EU-VS Data Privacy Framework — doorgifte naar gecertificeerde Amerikaanse organisaties

Dit is het adequaatheidsbesluit waarmee persoonsgegevens naar de Verenigde Staten mogen zonder aanvullende waarborgen. Het geldt niet voor de Verenigde Staten als land, maar uitsluitend voor Amerikaanse organisaties die zich zelf hebben gecertificeerd en op de lijst van het Data Privacy Framework staan. Wie met een leverancier werkt die daar niet op staat, valt terug op modelcontractbepalingen en een eigen beoordeling van het rechtsstelsel in het ontvangende land. Het verschil met die contractroute is precies dat een adequaatheidsbesluit die beoordeling overneemt: bij een gecertificeerde ontvanger hoeft een bedrijf zelf geen afweging meer te maken.

Waarvoor is dit bedoeld

Na het arrest Schrems II van 16 juli 2020 (C-311/18), waarin het Hof van Justitie het Privacy Shield ongeldig verklaarde, ontbrak een eenvoudige route naar de Verenigde Staten. De Amerikaanse regering nam daarop Executive Order 14086 van 7 oktober 2022 aan, die de signals intelligence aan noodzakelijkheids- en evenredigheidsgrenzen bindt en een Data Protection Review Court instelt waar Europeanen verhaal kunnen halen. Op die basis oordeelde de Commissie dat het beschermingsniveau bij deelnemende organisaties in grote lijnen gelijkwaardig is.

Voor wie

Iedere verwerkingsverantwoordelijke en verwerker in de EU die persoonsgegevens naar de Verenigde Staten stuurt of daar toegankelijk maakt. Er is geen drempel naar omvang of omzet: een mkb-bedrijf met dertig medewerkers dat een Amerikaanse clouddienst, e-maildienst, CRM-pakket, salarissysteem, helpdesk of analysedienst gebruikt, doet een doorgifte en heeft daarvoor een grondslag nodig. Ook het enkel toegang geven vanuit de Verenigde Staten tot gegevens die in Europa staan, telt als doorgifte.

Wat er niet onder valt

Het besluit dekt alleen Amerikaanse organisaties die actief gecertificeerd zijn, en alleen de gegevenscategorieën die zij in hun certificering hebben opgegeven — personeelsgegevens moeten daar afzonderlijk in staan. Certificeren kan bovendien alleen wie onder de jurisdictie van de Federal Trade Commission of het ministerie van Vervoer valt; dat sluit onder meer banken, verzekeraars, telecomaanbieders en veel organisaties zonder winstoogmerk uit. Het besluit zegt niets over doorgifte naar andere derde landen en verandert niets aan de overige verplichtingen uit de AVG.

Wat je moet doen

De doorgifte rust op artikel 45 AVG. Dat vergt vaststellen dat de ontvangende organisatie op de lijst van het Data Privacy Framework staat met de status actief, dat haar certificering de betrokken gegevenssoort dekt, en dat de doorgiftegrondslag in het verwerkingsregister en in de privacyverklaring is vastgelegd. Verdwijnt een leverancier van de lijst, dan vervalt de grondslag en is een andere nodig. Voor wat de Amerikaanse partij op haar beurt doorgeeft aan haar eigen onderaannemers gelden aparte voorwaarden uit het kader.

Hoe de certificering werkt

Het Amerikaanse ministerie van Handel beheert het kader en de lijst. Een organisatie geeft bij aanmelding onder meer op welke doeleinden zij nastreeft, welke persoonsgegevens het betreft, welke verificatiemethode zij hanteert, welk geschillenmechanisme geldt en welke Amerikaanse toezichthouder bevoegd is. Zij moet jaarlijks hercertificeren en bevestigen dat zij de beginselen onderschrijft. Het ministerie houdt ook een bestand bij van organisaties die van de lijst zijn gehaald, met de reden daarvan.

De lijst is het controlepunt

Omdat het besluit aan de individuele certificering hangt en niet aan het land, is de publieke lijst het enige betrouwbare controlemiddel. Een leverancier die in zijn voorwaarden naar het Data Privacy Framework verwijst maar niet op de lijst staat met de status actief, biedt geen geldige grondslag. De Commissie beval in haar evaluatie juist op dit punt strenger toezicht aan, omdat organisaties ten onrechte deelname claimen.

Als een leverancier zich terugtrekt

Bij vrijwillige terugtrekking of bij het niet halen van de jaarlijkse hercertificering moet de Amerikaanse organisatie de persoonsgegevens wissen of teruggeven. Zij mag ze alleen houden als zij jaarlijks aan het ministerie bevestigt dat zij de beginselen blijft naleven, of als zij op een andere goedgekeurde manier bescherming biedt, zoals modelcontractbepalingen.

Als de leverancier niet gecertificeerd is

Dan is er geen adequaatheidsbesluit en loopt de doorgifte via artikel 46 AVG. In de praktijk zijn dat de modelcontractbepalingen uit Uitvoeringsbesluit (EU) 2021/914 van 4 juni 2021, vastgesteld op grond van artikel 46, lid 2, onder c, AVG. Die contractbepalingen zijn op zichzelf niet genoeg: uit Schrems II volgt dat de exporteur moet beoordelen of het recht en de praktijk in het ontvangende land de contractuele bescherming ondergraven, en zo nodig aanvullende technische of organisatorische maatregelen moet treffen. Die beoordeling is wat in de praktijk een transfer impact assessment heet.

Personeelsgegevens en doorgifte aan derden

Voor personeelsgegevens gelden binnen het kader eigen regels, en een organisatie moet die categorie uitdrukkelijk in haar certificering hebben opgenomen. De Commissie beval in haar eerste evaluatie aan dat de Europese en Amerikaanse autoriteiten juist over personeelsgegevens en over verdere doorgifte aan derden gezamenlijke uitleg zouden opstellen, omdat daarover in de praktijk onduidelijkheid bestaat.

De rechtszaak tegen het besluit

Het Gerecht van de Europese Unie deed op 3 september 2025 uitspraak in zaak T-553/23, Latombe tegen Commissie, in uitgebreide samenstelling van de Tiende kamer. Het beroep is in zijn geheel verworpen. Het Gerecht oordeelde dat het Data Protection Review Court voldoet aan artikel 47 van het Handvest: de rechters kunnen niet dan om gegronde reden worden ontslagen, het hof toetst zelfstandig en is niet gebonden aan het oordeel van de Civil Liberties Protection Officer. Dat het bij besluit van de Attorney General is ingesteld en niet bij wet van het Congres, achtte het Gerecht niet doorslaggevend. Over bulkverzameling oordeelde het dat Executive Order 14086 voldoende waarborgen bevat en dat voorafgaande rechterlijke toestemming niet is vereist — rechterlijke toetsing wel.

Wat de evaluatie opleverde

De Commissie publiceerde op 9 oktober 2024 haar verslag over de eerste periodieke evaluatie van het adequaatheidsbesluit. Conclusie was dat de Amerikaanse autoriteiten de vereiste structuren en procedures hebben opgezet. De aanbevelingen: het ministerie van Handel moet zijn controlemiddelen intensiever gebruiken om overtredingen en valse deelnameclaims op te sporen, de Federal Trade Commission moet actiever uit eigen beweging handhaven, en beide zijden moeten gezamenlijke richtsnoeren opstellen. De volgende evaluatie voorziet de Commissie na drie jaar, mede in afwachting van rapporten over de uitvoering van Executive Order 14086 en van mogelijke wijzigingen van sectie 702 van de Foreign Intelligence Surveillance Act.

Wat het Europees Parlement vond

Het Parlement nam op 11 mei 2023 een resolutie aan over de vraag of het toen voorliggende kader een passend beschermingsniveau bood (T9-0204/2023, rapporteur López Aguilar namens de commissie LIBE). Het Parlement drong er bij de Commissie op aan het adequaatheidsbesluit niet vast te stellen zolang de Amerikaanse waarborgen niet daadwerkelijk op orde waren. De Commissie stelde het besluit twee maanden later toch vast.

Hoe stevig het besluit staat

Het besluit is in werking en door de rechter in eerste aanleg overeind gelaten. Tegelijk is het naar zijn aard herroepbaar: de Commissie houdt de ontwikkelingen in de Verenigde Staten voortdurend in de gaten en kan het besluit opschorten, wijzigen of intrekken wanneer het beschermingsniveau niet langer toereikend is, en het Hof van Justitie kan het alsnog ongeldig verklaren. Die combinatie is de reden dat veel organisaties naast de certificering van hun leverancier ook modelcontractbepalingen in het contract laten opnemen.

Toezicht NL

De Autoriteit Persoonsgegevens houdt toezicht op de doorgifte door Nederlandse organisaties en kan een doorgifte opschorten of verbieden. Aan Amerikaanse zijde handhaven de Federal Trade Commission en het ministerie van Vervoer de beginselen; het ministerie van Handel beheert de certificering. Een betrokkene in Nederland kan zich met een klacht over Amerikaanse overheidstoegang tot de AP wenden, die de klacht doorgeleidt naar het Amerikaanse verhaalsmechanisme.

Boete

Doorgifte zonder geldige grondslag valt onder artikel 83, lid 5, AVG: tot twintig miljoen euro of vier procent van de wereldwijde jaaromzet, waarbij het hoogste bedrag geldt.