Op donderdag heeft de Ierse gegevensbeschermingsautoriteit (DPC) aangekondigd dat zij de doorgifte van gegevens tussen Meta Platforms Ireland en haar Amerikaanse moederbedrijf zou kunnen stopzetten, waardoor Facebook in Europa in feite wordt uitgeschakeld.
Lees de volledige verklaring hier door Politico.eu die als eerste berichtte
<blockquote>
Op 7 juli 2022 12:37 PM CET door Vincent Manancourt.
Europeanen lopen het risico dat sociale mediadiensten Facebook en Instagram deze zomer worden gesloten, nu de Ierse privacytoezichthouder zijn bevel om de gegevensstromen van het bedrijf naar de Verenigde Staten te stoppen, heeft verdubbeld.
De Ierse commissie voor gegevensbescherming heeft haar Europese tegenhangers donderdag laten weten dat zij Facebook-eigenaar Meta zal verbieden gebruikersgegevens van Europa naar de VS te sturen. Het ontwerpbesluit van de Ierse toezichthouder maakt een einde aan Meta's laatste juridische redmiddel om grote hoeveelheden gegevens naar de VS te sturen, na jaren van felle rechtszaken tussen de Amerikaanse techgigant en Europese privacyactivisten.
Het Europees Hof van Justitie vernietigde in 2020 een pact tussen de EU en de VS over gegevensstromen, het zogenaamde Privacy Shield, uit vrees voor de Amerikaanse controlepraktijken. In zijn uitspraak maakte het Hof het ook moeilijker om een ander juridisch instrument te gebruiken dat Meta en veel andere Amerikaanse bedrijven gebruiken om persoonsgegevens naar de VS over te dragen, de zogenaamde standaard contractuele clausules (SCC's). Het besluit van deze week uit Ierland betekent dat Facebook gedwongen is om ook niet langer gebruik te maken van standaardcontractbepalingen.
Meta heeft herhaaldelijk gewaarschuwd dat een dergelijk besluit veel van zijn diensten in Europa, waaronder Facebook en Instagram, zou stilleggen.
"Als er geen nieuw trans-Atlantisch kader voor gegevensoverdracht wordt aangenomen en we niet kunnen blijven vertrouwen op SCC's of op andere alternatieve manieren van gegevensoverdracht van Europa naar de Verenigde Staten, zullen we waarschijnlijk niet in staat zijn om een aantal van onze belangrijkste producten en diensten, waaronder Facebook en Instagram, in Europa aan te bieden", zei Meta in maart van dit jaar in een filing bij de Amerikaanse Securities and Exchange Commission.
Het Ierse blokkeringsbevel zal, indien bevestigd door de groep van Europese nationale toezichthouders voor gegevensbescherming, waarschijnlijk ook een rilling door het bredere bedrijfsleven sturen, dat zich na de uitspraak van het hoogste EU-hof in 2020 afvroeg hoe het verder moest met het verzenden van gegevens van Europa naar de VS.
De EU en de VS onderhandelen momenteel over een nieuwe tekst inzake gegevensoverdracht, waardoor bedrijven zoals Meta gegevens over de Atlantische Oceaan kunnen blijven verzenden, ongeacht het Ierse bevel. Brussel en Washington bereikten in maart een voorlopig akkoord op politiek niveau, maar de onderhandelingen over de juridische details zijn vastgelopen en een definitief akkoord is onwaarschijnlijk voor het einde van het jaar.
Een woordvoerder van de Ierse DPC bevestigde dat het ontwerpbesluit is toegezonden aan andere Europese privacytoezichthouders, die nu een maand de tijd hebben om hun mening te geven, maar wilde niet ingaan op details van het besluit.
"Dit ontwerpbesluit, dat nog door de Europese gegevensbeschermingsautoriteiten moet worden beoordeeld, heeft betrekking op een conflict tussen het EU- en het Amerikaanse recht dat momenteel wordt opgelost", aldus een woordvoerder van Meta. "Wij verwelkomen de overeenkomst tussen de EU en de VS voor een nieuw juridisch kader dat de voortzetting van grensoverschrijdende gegevensoverdracht mogelijk maakt, en wij verwachten dat dit kader ons in staat zal stellen gezinnen, gemeenschappen en economieën met elkaar verbonden te houden."
Bekijk de bron op politico.eu.
</blockquote>De DPC stelde een besluit op om de gegevensoverdrachten van Meta voor Facebook stop te zetten en legde het voor aan het Europees Comité voor gegevensbescherming De gegevensbeschermingsinstanties van andere EU-lidstaten hebben een maand de tijd om hun standpunten en bezwaren toe te voegen voordat het verder gaat, maar het proces zal waarschijnlijk langer duren. De stap zou de grootste verstoring van de sociale mediagigant in zijn geschiedenis kunnen betekenen. De DPC heeft de inhoud van het ontwerp niet bekendgemaakt.
Eerder dit jaar verklaarde Facebook dat als het niet in staat is gegevens naar het buitenland over te dragen, dit gevolgen kan hebben voor de beschikbaarheid van zijn producten. Dit scenario lijkt nu bijna werkelijkheid te worden.
Update: andere gegevensbeschermingsautoriteiten maakten later bezwaar tegen het ontwerp van de EDBP. Als gevolg daarvan zal de EDBP het laatste woord hebben over de zaak, overeenkomstig het geschillenbeslechtingsmechanisme van de GDPR. Het nieuws werd openbaar in januari 2023.
- Facebook en Schrems. Een lang verhaal
- Hardhandig optreden tegen Google Analytics
- Privacyschild 2.0
- Gevolgen van het verbod op Facebook
- Laatste gedachten
Facebook en Schrems. Een lang verhaal
Het ontwerpbesluit is het resultaat van een lange en complexe juridische strijd tussen Max Schrems en Facebook. Negen jaar geleden diende privacy-activist Max Schrems bij het DPC een klacht in over de gegevensoverdrachten van Facebook, waarbij hij zich beriep op privacyproblemen in de nasleep van de onthullingen van Snowden. De zaak belandde twee keer bij het Hof van Justitie van de EU en het Hof ontkrachtte twee EU-VS kaders voor gegevensoverdracht in de baanbrekende zaken Schrems I en II.
Schrems II maakte de doorgifte van gegevens tussen de VS lastig, omdat het Hof benadrukte dat er doeltreffende waarborgen tegen Amerikaanse bewaking moeten worden ingevoerd - wat moeilijk en vaak onmogelijk is voor Europese bedrijven.
Volgens de Amerikaanse bewakingswetgeving wordt Facebook beschouwd als een "aanbieder van elektronische communicatiediensten" en is het daarom verplicht gegevens te delen met de Amerikaanse inlichtingendienst indien deze daarom verzoekt. Dit betekent dat Amerikaanse diensten toegang hebben tot de persoonsgegevens van EU-burgers.
De opdracht van de GDPR is eenvoudig: het beschermen van de privacy van Europese gegevens. Dit kan niet worden gegarandeerd wanneer persoonsgegevens vanuit de EU naar Facebook-servers in de VS worden gestuurd.
Hardhandig optreden tegen Google Analytics
Het Schrems II-arrest leidde pas begin dit jaar tot een reactie van de gegevensbeschermingsautoriteiten, toen de DSB (Oostenrijk) reageerde met een verbod op het gebruik van Google Analytics. De CNIL (Frankrijk) volgde snel, en ook Garante (Italië) verbood Google Analytics vorige week (update: Hongarije sloot zich hierbij aan). De komende maanden zullen waarschijnlijk meer EU-lidstaten dit voorbeeld volgen.
Privacyschild 2.0
Een woordvoerder van Facebook merkte op dat de kwestie wordt opgelost, verwijzend naar een nieuwe overeenkomst tussen de VS en de EU die de doorgifte van gegevens mogelijk maakt. Het zogenaamde Privacy Shield 2.0. De overeenkomst is echter nog lang niet rond. Zowel de EU(hier) als de VS(hier) kondigden een nieuwe overeenkomst aan over een nieuw kader voor trans-Atlantische gegevensoverdracht, maar een juridisch document ontbreekt.
Max Schrems (yup, die van de uitspraken) merkte op:
"De definitieve tekst zal meer tijd nodig hebben; zodra die er is, zullen we hem grondig analyseren, samen met onze Amerikaanse juristen. Als hij niet in overeenstemming is met de EU-wetgeving, zullen wij of een andere groep hem waarschijnlijk aanvechten. Uiteindelijk zal het Hof van Justitie een derde keer beslissen. We verwachten dat dit binnen enkele maanden na een definitieve beslissing weer bij het Hof zal liggen."
Update: het nieuwe kader voor gegevensoverdracht tussen de EU en de VS is onderweg nadat de Amerikaanse president Joe Biden in oktober een uitvoerend bevel ondertekende. Het nieuwe kader is in sommige opzichten nog steeds problematisch en zal zeker worden aangevochten in het Hof. We kijken naar weer een Schrems-arrest, en het is moeilijk te zeggen hoe dit zal uitpakken. Gevolgen van het verbod op Facebook.
Gevolgen van het verbod op Facebook
Een onopgelost conflict over trans-Atlantische gegevensoverdracht kan grote gevolgen hebben voor (bijna) alle Europeanen. Het klinkt onrealistisch dat Facebook niet beschikbaar zou zijn voor EU-burgers, maar dit zou wel eens werkelijkheid kunnen worden.
In februari vertelde DPC-hoofd Helen Dixon aan Reuters dat een besluit niet onmiddellijk gevolgen zou hebben voor WhatsApp, omdat het een andere gegevensbeheerder heeft.
Het klinkt hard, maar eindelijk laat de GDPR zijn tanden zien. Privacy is een mensenrecht en moet ook als zodanig worden behandeld. Google en Facebook zijn de grootste monopolisten ter wereld geworden door onze gegevens te gelde te maken. Dit model vertoont barsten nu steeds meer consumenten privacy eisen.
Laatste gedachten
We zijn Simple Analytics begonnen omdat we om privacy geven. Ons "gevecht" is voornamelijk met Google, omdat Simple Analytics een privacy-first Google Analytics-alternatief is, maar het gaat verder dan dat. Wij geloven in een onafhankelijk web dat vriendelijk is voor websitebezoekers.
Om een meer open web te creëren, moeten we anders gaan denken. We moeten manieren vinden om niet langer te vertrouwen op de grootste advertentiebedrijven ter wereld. We moeten echt uitzoeken hoe we onafhankelijk kunnen worden van die gegevensverslindende beesten.
Om dit te veranderen hebben we alternatieven nodig die ons daartoe in staat stellen. En ja, we zijn bevooroordeeld omdat we een privacy-eerste Google Analytics-alternatief hebben gebouwd. Maar als deze boodschap je aanspreekt, moet je al deze op de EU gebaseerde alternatieven voor digitale producten eens bekijken en het zelf zien.