Het College Bescherming Persoonsgevens (CBP) heeft stelling genomen in de discussie rond het omstreden Safe Harbor-keurmerk.

Het college meent dat Nederlandse bedrijven en organisaties altijd zelf eindverantwoordelijk zijn. Bij overeenkomsten met Amerikaanse clouddiensten moeten zij zelf risicoanalyse uitvoeren en dataprotectie indien nodig met wettelijke regels afdekken, schrijft het CBP in zijn betoog.

Structureel misbruik

Safe Harbor is een cruciale regeling tussen de EU en VS. Alleen als Amerikaanse bedrijven Safe Harbor-gecertificeerd zijn mogen zij privégegevens van Europese consumenten verwerken en opslaan. Het gaat om zeven principes, waaronder 'ondubbelzinnige toestemming' van en een opt-out mogelijkheid voor betrokkenen, passende databeveiliging, duidelijk omschreven handhaving en correcte klachtafhandeling.

Maar het keurmerk, dat zou moeten worden gehandhaafd door het Amerikaanse ministerie van Handel, biedt allerminst een garantie. Er is in het verleden structureel misbruik van gemaakt en een kritisch rapport daarover werd achtergehouden. Daarnaast heeft Amerika de mogelijkheid om via antiterreurwet Patriot Act alsnog data te vorderen.

Gezamenlijk optrekken

Aanleiding van de stellingname van het CBP zijn vragen van SURF, de ICT-samenwerkingsorganisatie van het hoger onderwijs. SURF twijfelt aan Safe Harbor en gaat niet mee met de mening van de Europese Commisie, dat het keurmerk een “passend beschermingsniveau" noemt. De organisatie was daarom benieuwd hoe het CBP tegen de situatie aankijkt.

SURF meent nu dat Nederlandse organisaties en bedrijven gezamenlijk moeten optrekken. Door als overkoepelende organisatie in het vervolg aanvullende afspraken te maken met Amerikaanse cloudleveranciers, moet veiligheid gegarandeerd worden, schrijft de ICT-organisatie op zijn website.

Europese richtlijnen

Ondertussen zitten nieuwe Europese richtlijnen rond databescherming nog in de ontwerpfase. In juli kwamen de Europese toezichthouders gezamenlijk met een voorstel tot verregaande boetebevoegdheid. Daar buigt onder meer de Nederlandse Hoge Raad zich nu over. Uitsluitsel wordt pas medio volgend jaar verwacht.