In 1858, toen ingenieurs de eerste communicatiekabel tussen Groot-Brittannië en de VS aanlegden, bestond de grote uitdaging erin de telegraafsignalen van de landen door één enkele draad te persen. Sindsdien hebben de publieke en private sector duizenden kilometers glasvezelkabel onder de Atlantische Oceaan aangelegd, die terabits aan data per seconde overdraagt. Tegenwoordig zijn de obstakels voor de transatlantische gegevensuitwisseling niet van technologische aard, maar van juridische aard.

De EU heeft tweemaal privacyregels opgesteld voor de uitwisseling van gegevens over haar burgers met de VS, die ook het Verenigd Koninkrijk als EU-lid beheersten. Nadat beide illegaal waren verklaard, ging het blok over tot de oprichting van een derde. Drie jaar na het verlaten van Europa onderhandelt Groot-Brittannië over een eigen adequaatheidsovereenkomst met de VS. Hoe gaat dat?

Hoe zijn we hier gekomen? 

De EU en de VS hebben hun Privacy Shield-overeenkomst inzake de toereikendheid van gegevens in 2016 opgesteld na een succesvolle juridische uitdaging van hun oorspronkelijke Safe Harbor-overeenkomst. Dankzij het Privacy Shield konden Amerikaanse bedrijven zichzelf certificeren bij het Amerikaanse ministerie van Handel om gegevens van Europese bedrijven te ontvangen.

Nadat hij Safe Harbour had aangevochten, daagde de Oostenrijkse advocaat Max Schrems ook Privacy Shield voor de rechter, waarna het Hof van Justitie van de Europese Unie (CJEU) het in juli 2020 ongeldig verklaarde. Sindsdien moeten Britse bedrijven die gegevens met de VS willen uitwisselen, gebruikmaken van standaardcontractbepalingen (SCC's). Deze overeenkomsten tussen bedrijven maken gegevensuitwisseling mogelijk, maar de implementatie ervan vergt meer werk. Het Verenigd Koninkrijk heeft de SCC's vervangen door de International Data Transfer Agreement (ITDA), hoewel het nog steeds mogelijk is om EU-SCC's te gebruiken door een speciaal Brits addendum toe te passen.

SCC's en ITDA's kunnen ad hoc bilaterale gegevensuitwisseling tussen organisaties ondersteunen, maar een standaard intergouvernementele overkoepelende overeenkomst zou de zaken voor bedrijven gemakkelijker maken. De race is dus begonnen om een ​​alternatief voor Privacy Shield te bedenken.

Een overeenkomst tussen Groot-Brittannië en de VS uitbroeden 

Het Verenigd Koninkrijk werkt, parallel aan de EU, aan een eigen overeenkomst over de toereikendheid van data met de VS. Afgelopen augustus publiceerde het land een gezamenlijke verklaring over dit plan met de VS, waarin grensoverschrijdende datastromen worden gebundeld met tal van technologische initiatieven, variërend van diversificatie in de telecommunicatie tot kwantumcomputing.

Het Britse Department for Digital, Culture, Media & Sport (DCMS) doorloopt vier fasen in zijn beoordeling van de toereikendheid van de gegevens met andere landen: gatekeeping, beoordeling, aanbeveling en procedureel. Gatekeeping is wanneer het ministerie besluit of er überhaupt een beoordeling van de toereikendheid van een land moet worden gestart. Tijdens een beoordeling verzamelt en interpreteert het gegevens over het betreffende land op basis van een standaardsjabloon voordat het een aanbeveling doet aan de minister van Buitenlandse Zaken. De secretaris overlegt vervolgens met het Information Commissioner's Office (ICO) over de vraag of de geschiktheid moet worden vastgesteld. Zodra dat stadium voorbij is, produceert het ministerie wetgeving in het parlement.

De DCMS biedt geen specifieke datum voor de voltooiing van dat proces voor de adequaatheidsovereenkomst tussen Groot-Brittannië en de VS, maar heeft wel een lange weg afgelegd. Afgelopen oktober hebben zowel de EU als het Verenigd Koninkrijk de adequaatheidsonderhandelingen met de VS een stap voorwaarts gezet toen het Witte Huis een Executive Order uitvaardigde over het verbeteren van de waarborgen voor de Amerikaanse signaalinlichtingendienst. Het beloofde een Data Protection Review Court op te richten dat Britse en EU-burgers een manier zou geven om elk gebruik van hun gegevens door de Amerikaanse autoriteiten te betwisten.

Dit stemde het DCMS tevreden, dat een verklaring uitgaf waarin de Amerikaanse stap werd geprezen en waarin werd beloofd begin dit jaar adequaatheidsvoorschriften voor het parlement op te stellen. In januari gaven de Britse minister van DCMS, Michelle Donelan, en Amerikaanse functionarissen het startsein tijdens de eerste bijeenkomst van de alomvattende dialoog tussen de VS en het VK over technologie en data. De twee landen kwamen overeen om een ​​databrug voor de gegevensuitwisseling tussen de VS en het VK "in 2023" af te ronden en te implementeren.

Wat gebeurt er nu? 

De Amerikaanse adequaatheidsovereenkomst is niet het enige initiatief van Groot-Brittannië. Internationale datastromen maken deel uit van de Nationale Datastrategie. Het kabinet streeft daarnaast naar adequaatheidsafspraken met Australië, de Republiek Korea, Singapore, het Dubai International Financial Centre en Colombia. Deals met India, Brazilië, Kenia en Indonesië staan ​​op de to-do lijst.

Politico meldde dat de EU ongeveer zes maanden nodig heeft om het in oktober overeengekomen TransAtlantische Kader voor Gegevensbescherming tussen de VS en de EU te implementeren. Dat betekent dat we de implementatie rond volgende maand kunnen verwachten. Het Verenigd Koninkrijk is mogelijk nog bezig met het regelen van de nodige juridische zaken voordat de Amerikaanse wetgeving inzake adequaatheid in het parlement wordt ingediend. Hopelijk duurt het echter niet veel langer, zodat het Verenigd Koninkrijk zich kan aansluiten bij de aankondiging van de EU.

Totdat die details bekend zijn, baseren juristen zich op het uitvoeringsbesluit voor richtlijnen. Noyb.eu, de non-profit privacygroep die Schrems heeft opgericht, heeft al haar zorgen geuit over het gebrek aan privacybescherming voor EU-burgers in dat document. De organisatie heeft kritiek geuit op het besluit omdat het zwakker is dan de AVG en Amerikaanse inlichtingendiensten de mogelijkheid biedt om massale surveillance voort te zetten. Deze kritiek suggereert dat er mogelijk al juridische problemen voor de overeenkomst zullen ontstaan ​​voordat deze überhaupt is aangenomen.

De Britse regering, die al plannen maakt om met zwakkere regels voor gegevensbescherming uit de AVG te stappen, maakt zich misschien niet zo druk om deze kwesties, maar haar tegenstanders wellicht wel. Hoewel data in slechts milliseconden de oceaan oversteekt, duren juridische en politieke intriges een stuk langer.