033 200 30 83
Amerikaans Hooggerechtshof zet EU‑VS Data Privacy Framework verder onder druk
Het Amerikaanse Hooggerechtshof heeft op 29 juni 2026 een uitspraak gedaan die mogelijk grote gevolgen heeft voor de doorgifte van persoonsgegevens tussen de Europese Unie en de Verenigde Staten. In Trump v. Slaughter oordeelde het Supreme Court dat de Amerikaanse president een commissaris van de Federal Trade Commission (FTC) mag ontslaan. Daarmee komt de onafhankelijkheid van de FTC ter discussie te staan, terwijl juist deze onafhankelijkheid een belangrijke rol speelt binnen het EU‑VS Data Privacy Framework.
Privacyorganisatie NOYB spreekt al over een mogelijke “Schrems III” en heeft de Europese Commissie opgeroepen de adequaatheidsbeslissing voor de VS in te trekken. Maar wat betekent de uitspraak daadwerkelijk voor Europese organisaties?
Waar ging Trump v. Slaughter over?
De zaak draaide om het ontslag van Rebecca Slaughter, een Democratische commissaris bij de FTC. President Trump ontsloeg haar zonder daarbij een wettelijke ontslaggrond. Op grond van de geldende wetgeving konden FTC-commissarissen alleen worden ontslagen wegens inefficiënt functioneren, plichtsverzuim of wangedrag in functie. Deze ontslagbescherming moest waarborgen dat de FTC haar taken onafhankelijk van de politieke wensen van de president kon uitvoeren. Slaughter vocht haar ontslag daarom aan.
Het Supreme Court oordeelde met zes tegen drie stemmen dat deze wettelijke ontslagbescherming in strijd is met de Amerikaanse Grondwet. Volgens de meerderheid moet de president voldoende zeggenschap hebben over functionarissen die verantwoordelijk zijn voor de uitvoering van federaal beleid. Door deze uitspraak kunnen FTC-commissarissen voortaan eenvoudiger door de president worden ontslagen.
Hoewel de uitspraak niet over privacy of gegevensdoorgiften gaat, roept zij daarmee wel de vraag op of de FTC nog kan worden beschouwd als een onafhankelijk toezichthoudend orgaan.
Waarom is de onafhankelijkheid van de FTC belangrijk?
Het EU‑VS Data Privacy Framework maakt het mogelijk om persoonsgegevens vanuit de Europese Economische Ruimte door te geven aan Amerikaanse organisaties die zich voor het framework hebben gecertificeerd. Voor dergelijke doorgiften zijn dan geen aanvullende doorgifte-instrumenten, zoals standaardcontractbepalingen, nodig.
Amerikaanse organisaties certificeren zichzelf en verklaren daarmee dat zij zich aan de beginselen van het Data Privacy Framework houden. Voor de meeste deelnemende organisaties is de FTC belast met het toezicht op en de handhaving van deze verplichtingen. Wanneer een organisatie zich niet aan haar privacybeloften houdt, kan de FTC optreden op grond van het verbod op oneerlijke of misleidende handelspraktijken.
De Europese Commissie heeft bij het vaststellen van de adequaatheidsbeslissing dan ook zwaar geleund op de toezichthoudende en handhavende rol van de FTC. Volgens NOYB wordt de FTC in het besluit maar liefst 259 keer genoemd.
Botsing met het Europese recht?
Artikel 8 lid 3 van het Handvest van de grondrechten van de Europese Unie en artikel 16 lid 2 VWEU vereisen dat de naleving van de regels voor gegevensbescherming wordt gecontroleerd door een onafhankelijke autoriteit.
Een derde land hoeft niet exact hetzelfde systeem van gegevensbescherming te hebben als de EU. Voor een adequaatheidsbesluit moet het land echter wel een beschermingsniveau bieden dat “in wezen gelijkwaardig” is aan het Europese beschermingsniveau. Onafhankelijk en effectief toezicht is daarbij een belangrijk beoordelingscriterium.
Volgens NOYB is niet langer aan dit vereiste voldaan nu de Amerikaanse president FTC-commissarissen naar eigen inzicht kan ontslaan. De organisatie stelt daarom dat een belangrijk fundament onder het EU‑VS Data Privacy Framework is weggevallen.
De precieze juridische gevolgen zijn echter nog niet vastgesteld. Het is niet vanzelfsprekend dat de FTC volledig gelijkgesteld moet worden aan een Europese gegevensbeschermingsautoriteit. Bovendien bestaat het Amerikaanse toezichtstelsel uit meer onderdelen dan alleen de FTC. Uiteindelijk is het aan de Europese Commissie en mogelijk het Hof van Justitie om te beoordelen of het Amerikaanse beschermingsniveau nog steeds in wezen gelijkwaardig is.
Een mogelijke “Schrems III”
Privacyactivist Max Schrems en noyb zien in de uitspraak aanleiding om het EU–VS Data Privacy Framework opnieuw juridisch aan te vechten. Noyb heeft de Europese Commissie formeel verzocht de adequaatheidsbeslissing voor de Verenigde Staten op ordelijke wijze in te trekken. Daarnaast heeft noyb aangekondigd op korte termijn een procedure te zullen starten, met als doel de geldigheid van het Data Privacy Framework uiteindelijk door het Hof van Justitie te laten beoordelen.
Het zou niet de eerste keer zijn dat het Hof een regeling voor de doorgifte van persoonsgegevens naar de Verenigde Staten ongeldig verklaart. In 2015 maakte het Hof in Schrems I een einde aan Safe Harbor. In 2020 werd in Schrems II ook het Privacy Shield ongeldig verklaard, onder meer vanwege de ruime Amerikaanse surveillancebevoegdheden en het ontbreken van voldoende effectieve rechtsbescherming voor Europese betrokkenen.
Bij een nieuwe procedure kan niet alleen de onafhankelijkheid van de FTC ter discussie komen te staan. Het Data Privacy Framework steunt namelijk ook op het Data Protection Review Court, waar Europese betrokkenen klachten over Amerikaanse overheidssurveillance kunnen laten beoordelen. Ondanks de naam is dit geen reguliere federale rechtbank, maar een beroepsorgaan binnen het Amerikaanse ministerie van Justitie. Het DPRC is ingesteld via regelgeving van de Amerikaanse minister van Justitie, ter uitvoering van Executive Order 14086. Hoewel deze regelgeving verschillende onafhankelijkheids- en ontslagwaarborgen bevat, berust het stelsel uiteindelijk niet op een formele wet van het Amerikaanse Congres. Een toekomstige president kan de Executive Order wijzigen of intrekken, waardoor ook het fundament onder het rechtsbeschermingsmechanisme kan worden aangetast. Volgens noyb roept de uitspraak in Trump v. Slaughter daarom bredere twijfels op over de vraag of de Verenigde Staten nog wel de onafhankelijke toezichts- en rechtsbeschermingsmechanismen bieden waarop de Europese adequaatheidsbeslissing is gebaseerd.
Is het Data Privacy Framework nu ongeldig?
De uitspraak in Trump v. Slaughter maakt het EU‑VS Data Privacy Framework niet automatisch ongeldig.
De adequaatheidsbeslissing uit 2023 blijft van kracht totdat de Europese Commissie deze intrekt, wijzigt of opschort, of totdat het Hof van Justitie de beslissing ongeldig verklaart. Europese organisaties mogen daarom vooralsnog persoonsgegevens blijven doorgeven aan Amerikaanse organisaties die geldig onder het Data Privacy Framework zijn gecertificeerd.
De uitspraak vergroot wel de juridische onzekerheid rond het framework. Ook kan zij aanleiding zijn om opnieuw te kijken naar de afhankelijkheid van Amerikaanse dienstverleners en de alternatieven die beschikbaar zijn als het framework in de toekomst alsnog wegvalt.
Wat betekent dit voor organisaties?
Er is op dit moment geen reden om alle doorgiften naar de VS onmiddellijk stop te zetten. Organisaties doen er wel verstandig aan om:
- vast te leggen welke doorgiften naar de VS op het Data Privacy Framework zijn gebaseerd;
- periodiek te controleren of Amerikaanse ontvangers nog geldig zijn gecertificeerd;
- te inventariseren of alternatieve doorgifte-instrumenten, zoals standaardcontractbepalingen, beschikbaar zijn;
- bestaande Transfer Impact Assessments actueel te houden;
- na te gaan welke technische en organisatorische maatregelen, zoals versleuteling en dataminimalisatie, aanvullende bescherming bieden;
- ontwikkelingen bij de Europese Commissie, de Europese privacytoezichthouders en het Hof van Justitie te blijven volgen.
Ook het gebruik van standaardcontractbepalingen of bindende bedrijfsvoorschriften neemt alle onzekerheid niet automatisch weg. Bij deze instrumenten moet zelfstandig worden beoordeeld of de wetgeving en praktijk in het ontvangende land voldoende bescherming bieden. Veranderingen in de onafhankelijkheid van Amerikaanse toezichts- en rechtsbeschermingsorganen kunnen daarom ook relevant zijn voor bestaande Transfer Impact Assessments.
De conclusie is vooralsnog genuanceerd: het EU‑VS Data Privacy Framework staat juridisch onder toenemende druk, maar is nog steeds geldig. Van een daadwerkelijke “Schrems III” is pas sprake wanneer een procedure bij het Hof van Justitie terechtkomt. Totdat hierover meer duidelijkheid bestaat, is het voor organisaties van belang om zicht te houden op hun doorgiften van persoonsgegevens naar de Verenigde Staten en de juridische ontwikkelingen nauwlettend te volgen.