| Ingediend | 3 juli 2026 |
|---|---|
| Beantwoord | 27 augustus 2026 (na 55 dagen) |
| Indiener | Barbara Kathmann (GroenLinks-PvdA) |
| Beantwoord door | Aerdts |
| Onderwerpen | economie handel ict recht staatsrecht |
| Bron vraag | https://zoek.officielebekendmakingen.nl/kv-tk-2026Z15708.html |
| Bron antwoord | https://zoek.officielebekendmakingen.nl/ah-tk-20252026-2782.html |
Ja.
De uitspraak van het Amerikaanse Hooggerechtshof van 29 juni 2026 in
De Commissie heeft in de context van de meest recente raadswerkgroep gegevensbescherming d.d. 6 juli jl. lidstaten geïnformeerd en aangegeven de impact van de beslissing van Hooggerechtshof te onderzoeken, en ziet dat in dit verband ook een brede evaluatie van het functioneren van de VS-rechtssysteem nodig is. Tegelijkertijd benadrukt de Commissie daarbij dat het adequaatheidsbesluit tot nader order van kracht blijft. Indien de Commissie zou besluiten over te gaan tot (gedeeltelijke) intrekking, wordt uw Kamer daarover geïnformeerd.
Het is aan de Commissie om, met inachtneming van alle feiten en omstandigheden, actuele ontwikkelingen te wegen in het licht van het adequaatheidsbesluit en de houdbaarheid daarvan. Zij is daartoe niet alleen bevoegd, maar ook bij uitstek toegerust. Ik vind het niet verstandig vooruitlopend op de bevindingen van de Commissie zelfstandig een oordeel te vormen. Als zou blijken dat structurele doorgiften onder het DPF niet langer een met het EU recht vergelijkbaar beschermingsniveau bieden, kan de Commissie bij uitvoeringshandeling het adequaatheidsbesluit (gedeeltelijk) schorsen, wijzigen of intrekken. Dit is een besluit van de Commissie dat in het op artikel 93 AVG gebaseerde comitologie comité met de lidstaten, waaronder Nederland, wordt besproken. Uw Kamer wordt daarover geïnformeerd.
Het is vanzelfsprekend van groot belang dat doorgiften van persoonsgegevens aan derde landen in overeenstemming met de AVG plaatsvinden. De nationale toezichthouders voor gegevensbescherming, in Nederland de Autoriteit Persoonsgegevens (AP), zien daar op toe. Zoals uiteengezet in het antwoord op vraag 2, beoordeelt de Commissie de implicaties van de uitspraak van het Hooggerechtshof van de VS in het kader van haar verantwoordelijkheid voor adequaatheidsbesluiten. Als de Commissie het besluit (gedeeltelijk) zou intrekken of schorsen, dan zouden voor doorgiften niet langer op het DPF kunnen worden gebaseerd. Doorgiften zouden dan plaats moeten vinden op basis van andere AVG-instrumenten, zoals mogelijk model contractbepalingen (SCC), bindende bedrijfsvoorschriften (BCR)4 of, bij uitzondering, de uitzonderingen van artikel 49 AVG.
Zoals uiteengezet in het antwoord op vraag 3, ligt de verantwoordelijkheid voor de beoordeling of het DPF en de vraag of het adequaatheidsbesluit al dan niet gedeeltelijk dient te worden ingetrokken primair bij de Commissie. Zoals uiteengezet in het antwoord op vraag 2, volgt Nederland de ontwikkelingen op de voet.
Na het ongeldig verklaren van het DPF kunnen doorgiften niet langer op het DPF berusten. Welke gevolgen dit voor Nederland heeft, hangt af van de desbetreffende sector en de verwerkingen van persoonsgegevens die daarbinnen plaatsvindt. Een algemeen antwoord valt hierop dan ook niet te geven.
Zonder adequaatheidsbesluit zal elke verwerkingsverantwoordelijke een doorgifte van persoonsgegevens aan een (gecertificeerde) partij in de VS op een ander doorgifte-instrument uit de AVG moeten kunnen baseren. Hierbij kan gedacht worden aan SCC, BCR of aan de uitzonderingen zoals benoemd in artikel 49 AVG.
Verwerkingsverantwoordelijken kunnen voorzorgsmaatregelen treffen om te voorkomen dat een eventuele ongeldigverklaring van het DPF ertoe leidt dat de doorgifte van persoonsgegevens moet worden gestaakt. Een geheel of gedeeltelijke intrekking of ongeldigverklaring van het DPF hoeft niet te betekenen dat Amerikaanse clouddienstverleners niet meer gebruikt kunnen worden. Wel is het voor clouddiensten die gegevens in de VS opslaan of verwerken, of waarbij een Amerikaanse partij rechtstreeks toegang heeft tot gegevens, in ieder geval nodig om een passende oplossing te vinden. Dit kan bijvoorbeeld door data te hosten in Europese datacenters van dezelfde aanbieder en/of de rechtstreekse toegang door Amerikaanse partijen te beperken of, als dat niet mogelijk is, met aanvullende technische maatregelen zoals sterke encryptie of het inrichten van autonome voorzieningen.
Voor de rijksdienst geldt op basis van het cloudbeleid dat opslag en verwerking van gegevens in principe binnen de Europese Economische Ruimte (EER) en Zwitserland plaatsvinden.7 Gebruik buiten deze landen kan alleen met een formele uitzondering, onderbouwd met een goede reden, een risicoanalyse en zo nodig aanvullende mitigerende maatregelen. Voor bestaand cloudgebruik is bovendien een exitplan verplicht dat rekening houdt met het wegvallen van een voorziening en dus verder reikt dan alleen het hiervoor beschreven scenario. Dit exitplan kan ook worden ingezet als een verwerking om andere redenen niet kan worden voortgezet. Onderdeel hiervan is dat organisaties zelf een actueel overzicht bijhouden van alle gebruikte clouddiensten.
De nationale toezichthouders voor gegevensbescherming blijven bevoegd; in Nederland is dat de AP. Zij houden toezicht op verwerkingsverantwoordelijken en verwerkers, inclusief internationale doorgiften. Coördinatie tussen toezichthouders verloopt in EU-verband via de EDPB. De Commissie gaat over het adequaatheidsbesluit zelf, niet over individuele handhaving.
Als het DPF ongeldig zou worden verklaard, zou dat betekenen dat de bepalingen uit de AVG voor doorgifte aan derde landen waarvoor geen adequaatheidsbesluit geldt, opnieuw van toepassing worden. De AP heeft voor dergelijke situaties uitgebreide informatie op haar website staan.8 Mocht het zo ver komen, dan ben ik bereid de AP te vragen of zij een gedeelte daarvan specifiek zouden willen toespitsen op de VS. Als het adequaatheidsbesluit zou komen te vervallen, blijft te allen tijde de verwerkingsverantwoordelijke zelf verantwoordelijk voor naleving van de normen uit de AVG, ook bij doorgifte aan derde landen.
Ja. Als aanvullende maatregelen niet volstaan, rest uitsluitend een incidentele doorgifte op basis van een toepasselijke bepaling in artikel 49 AVG (zoals expliciete geïnformeerde toestemming, noodzaak voor een overeenkomst met de betrokkene, zwaarwegend algemeen belang, rechtsvorderingen, vitale belangen of openbaar register). Deze uitzonderingsbepalingen zijn uitzonderlijk, niet bedoeld voor structurele of grootschalige stromen, en vereisen strikte proportionaliteit, transparantie en volledige documentatie. Past geen derogatie voor de specifieke doorgifte, dan is de doorgifte niet toegestaan.
Nee. Minder afhankelijk worden van Amerikaanse leveranciers kan risico’s verkleinen, maar is niet de enige mogelijke maatregel. Rechtmatige doorgifte kan ook worden geborgd met doorgifte instrumenten onder de AVG, zoals SCC of BCR. Als die combinatie de risico’s niet voldoende wegneemt, is doorgifte niet toegestaan en moet deze worden beëindigd.
Ja.
Hierbij deel ik u mede dat de schriftelijke vragen van het lid Kathmann (PRO), van uw Kamer aan de Staatssecretaris van Justitie en Veiligheid over de zorgen rondom de Data Privacy Framework tussen de EU en de VS (ingezonden 3 juli 2026) niet binnen de gebruikelijke termijn kunnen worden beantwoord, aangezien nog niet alle benodigde informatie is ontvangen. Ik streef ernaar de vragen zo spoedig mogelijk te beantwoorden.