Groot deel van ICT-bedrijven in overtreding van de AVG

Het Hof van Justitie van de Europese Unie heeft het Privacy Shield welke doorgifte van persoonsgegevens van organisaties binnen de EU naar de Verenigde Staten mogelijk maakt, in haar uitspraak van 16 juli jl. (Schrems II) ongeldig verklaard. Dit betekent kort gezegd dat je als organisatie geen persoonsgegevens meer mag doorgeven aan de VS met een beroep op het Privacy Shield. 

Het Hof stelt dat het Privacy Shield onvoldoende bescherming biedt. Voornamelijk wegens het feit dat Amerikaanse inlichtingen- en veiligheidsdiensten op grond van Amerikaanse wetgeving gerechtigd zijn om gegevens van EU-burgers in te zien en te gebruiken en dit niet beperkt is tot strikt noodzakelijke gegevens. En dit is in strijd met de GDPR/AVG. 

In de praktijk zien wij veel ICT-bedrijven persoonsgegevens al dan niet bewust verwerken in de VS. Dit is al het geval bij het gebruik van Mailchimp of het gebruik van een Facebookpixel. 

Deze uitspraak heeft directe gevolgen aangezien er geen sprake is van een overgangsperiode. Het heeft dus onmiddellijke werking. Ons advies is om persoonsgegevens zo veel als mogelijk te verwerken binnen de EER. 

Door deze uitspraak is ineens een groot deel van ICT-bedrijven in overtreding van de AVG. De bal ligt nu bij de Autoriteit Persoonsgegevens. Toen de voorloper van het Privacy Shield, Safe Harbor, ongeldig werd verklaard, verleenden de Europese toezichthouders een gedoogperiode van 9 maanden om de constructie aan te passen. Vooralsnog hebben de toezichthouders nog geen gedoogperiode aangekondigd.

Deelnemers van ICTWaarborg kunnen het stappenplan wat u op dit moment kunt doen om de gevolgen van deze uitspraak in kaart te brengen en de stappen die u dient te nemen, gratis downloaden via deze link.

Nog geen deelnemer? Vul onderstaand formulier in om het stappenplan te ontvangen.