Het EU-US Data Privacy Framework (DPF) is het derde mechanisme waarmee de Europese Commissie persoonsgegevensoverdrachten naar de Verenigde Staten op basis van een adequaatheidsbeslissing heeft willen legitimeren. De voorgangers, Safe Harbor en Privacy Shield, werden respectievelijk in 2015 (Schrems I, C-362/14) en 2020 (Schrems II, C-311/18) door het Hof van Justitie van de EU vernietigd. Het debat over een mogelijke Schrems III is daarmee niet hypothetisch: het is een structureel risico dat elke organisatie die nu op het DPF steunt voor haar cloudverwerkingen, concreet in haar compliancestrategie moet meewegen.
Waarom het DPF structureel kwetsbaar is
De adequaatheidsbeslissing van 10 juli 2023 steunt op AVG artikel 45, dat de Commissie de bevoegdheid geeft te besluiten dat een derde land een adequaat beschermingsniveau biedt. De kern van het probleem is dat het Hof in Schrems II niet alleen het Privacy Shield nietig verklaarde, maar ook vaststelde dat de Amerikaanse inlichtingenwetgeving, met name FISA 702 en de hieruit voortvloeiende massasurveillancepraktijken, structureel onverenigbaar is met de Europese grondrechten op privacybescherming en doeltreffende rechtsbescherming.
De VS reageerde hierop met Executive Order 14086 (oktober 2022), dat nieuwe waarborgen voor signaalsintelligentieactiviteiten introduceerde en een onafhankelijk Data Protection Review Court instelde. De Commissie beschouwde deze maatregelen als voldoende voor een nieuw adequaatheidsoordeel. Critici, waaronder de Europese Gegevensbeschermingstoezichthouder en diverse parlementsleden, wezen er echter direct op dat een Executive Order door een volgende president kan worden ingetrokken of gewijzigd zonder tussenkomst van het Congres. Dat maakt de juridische grondslag fragiel: de bescherming is beleidsafhankelijk, niet wettelijk verankerd.
In zaak T-553/23 (Latombe v. Commissie) vocht een Frans Europarlementslid de adequaatheidsbeslissing aan bij het General Court, dat op 3 september 2025 uitspraak deed. De procedure illustreert dat de DPF-beslissing politiek en juridisch omstreden blijft. Ook het European Data Protection Board stuurde in maart 2026 een brief aan de Europese Commissie, waarin het zijn bezorgdheid uitsprak over de privacyimplicaties van het Amerikaanse inreisbeleid voor EU-burgers en de vraag opwierp of de feitelijke situatie de adequaatheidsbasis nog ondersteunt.
“The EDPB is concerned that the situation may have evolved in a way that could affect the level of protection afforded to EU data subjects whose data are transferred to the United States.” (European Data Protection Board, brief aan Europese Commissie, maart 2026)
Het verschil tussen DPF-instabiliteit en CLOUD Act-jurisdictierisico
Deze twee risico’s worden in de praktijk vaak verward, maar zij opereren op fundamenteel verschillende niveaus en versterken elkaar eerder dan dat het ene het andere compenseert.
| Risicotype | Grondslag | Wat het betreft | Wordt opgelost door adequaatheidsbeslissing? |
|---|---|---|---|
| DPF-instabiliteit | AVG artikel 45, Schrems-jurisprudentie | Rechtmatigheid van de doorgifte als AVG-rechtsgrond | Ja, zolang het DPF geldig is |
| CLOUD Act-jurisdictie | Clarifying Lawful Overseas Use of Data Act (VS, 2018) | Toegang van VS-autoriteiten tot gegevens bij Amerikaanse aanbieders, ook op EU-servers | Nee, dit is een structureel jurisdictievraagstuk |
De CLOUD Act stelt Amerikaanse rechtshandhavingsinstanties in staat via een gerechtelijk bevel gegevens op te vragen bij Amerikaanse cloudaanbieders, ongeacht waar de servers fysiek staan. Een adequaatheidsbeslissing regelt de AVG-conformiteit van de doorgifte, maar raakt niet aan de bevoegdheid van een Amerikaanse rechter om een aanbieders als Microsoft, Google of Amazon te gelasten klantgegevens te verstrekken. Organisaties in de juridische sector, de overheid en andere gereguleerde sectoren die hun data bij Amerikaanse hyperscalers onderbrengen, zijn dus blootgesteld aan dit jurisdictierisico ongeacht de status van het DPF.
“The Privacy Shield is incompatible with EU law due to the primacy it gives to the requirements of national security and public interest of the United States.” (Hof van Justitie van de EU, arrest Schrems II, C-311/18, 16 juli 2020)
Gevolgen van een ongeldigverklaring voor lopende verwerkingen
Als het Hof van Justitie het DPF ongeldig verklaart, vervalt de adequaatheidsbeslissing met onmiddellijke werking als rechtsgrond voor gegevensdoorgiften naar de VS. Dit heeft directe gevolgen voor elke organisatie die op dat moment uitsluitend op het DPF steunt voor haar verwerkingen via Amerikaanse clouddiensten: die verwerkingen zijn op dat moment niet langer rechtmatig zonder aanvullende grondslag.
De gevolgen zijn concreet: klantgegevens die worden verwerkt via SaaS-platformen gebaseerd in de VS, back-ups op Amerikaanse infrastructuur, en communicatieplatformen die data routeren via Amerikaanse servers, vallen allemaal onder deze blootstelling. Nationale toezichthouders, zoals de Autoriteit Persoonsgegevens in Nederland, zijn in beginsel verplicht te handhaven zodra een doorgifte geen geldige rechtsgrond meer heeft. De boetes en reputatieschade die hieruit kunnen voortvloeien, zijn in het licht van de AVG-maximumboetes van 4 procent van de wereldwijde jaaromzet substantieel.
Het DPF-contingencyplan: van inventarisatie naar alternatieve grondslag
Een DPF-contingencyplan is geen theoretische oefening: het is een operationeel document dat compliance officers en IT-beslissers in staat stelt snel te schakelen als de beslissing valt. Het plan kent vier opeenvolgende stappen.
Stap 1: Verwerkingsinventarisatie per rechtsgrond
Het verwerkingsregister, verplicht onder AVG artikel 30, moet per verwerking de gebruikte doorgifte-rechtsgrond vermelden. Identificeer alle verwerkingen waarvoor het DPF de enige of primaire grondslag vormt voor doorgifte naar de VS. Dit geeft inzicht in de omvang van de blootstelling.
Stap 2: Toets op alternatieve grondslagen
Bij het wegvallen van het DPF zijn de volgende instrumenten uit hoofde van AVG artikel 46 en artikel 49 beschikbaar, elk met hun eigen beperkingen:
- Standaardcontractbepalingen (SCCs, artikel 46 lid 2 sub c): Het meest gangbare alternatief voor commerciële cloudverwerkingen. Vereisen een Transfer Impact Assessment (TIA) per ontvangend land. Als de TIA concludeert dat de VS onvoldoende bescherming biedt, zijn aanvullende technische maatregelen verplicht, zoals end-to-end-versleuteling waarbij de sleutels uitsluitend bij de Europese verwerkingsverantwoordelijke berusten.
- Bindende bedrijfsregels (BCRs, artikel 46 lid 2 sub b): Bruikbaar voor intragroepsoverdrachten, maar vereisen goedkeuring door een nationale toezichthouder en zijn niet snel inzetbaar als noodmaatregel.
- Derogaties (artikel 49): Uitdrukkelijke toestemming van de betrokkene of contractuele noodzaak zijn in beginsel denkbaar, maar artikel 49 is uitdrukkelijk bedoeld voor incidentele, niet voor structurele verwerkingen. Gebruik als structurele grondslag voor cloudverwerkingen is niet conform de EDPB-richtsnoeren.
Stap 3: Technische en organisatorische maatregelen als vangnet
Organisaties die niet onmiddellijk kunnen migreren naar een EU- of Zwitserse aanbieder zonder CLOUD Act-blootstelling, kunnen als tijdelijke maatregel toepassen: versleuteling aan de bron met sleutelbeheer uitsluitend in eigen handen (BYOK, Bring Your Own Key), pseudonimisering van persoonsgegevens vóór doorgifte, en strikte dataminimalisatie. Deze maatregelen verlagen het feitelijke risico, maar vervangen geen rechtmatige doorgifte-grondslag.
Stap 4: Strategische migratie als structurele oplossing
Voor organisaties in gereguleerde sectoren, zoals overheidsinstanties, advocatenkantoren en zorgaanbieders, is migratie naar een soevereine cloudinfrastructuur buiten de Amerikaanse jurisdictie de meest robuuste oplossing. Zwitserse cloudaanbieders vallen niet onder de CLOUD Act en de Zwitserse federale gegevensbeschermingswetgeving biedt een hoog beschermingsniveau. On-premise opslag met beheer van de eigen sleutels elimineert het jurisdictierisico volledig. Bij deze afweging speelt ook NIS-2-compliance een rol: de NIS-2-richtlijn stelt eisen aan de weerbaarheid van kritieke informatie-infrastructuur, waarbij aanbieders buiten de VS-jurisdictie het aanvalsoppervlak en de regulatory burden verlagen.
Wat compliance officers nu moeten doen
De combinatie van het Latombe-arrest (T-553/23), de EDPB-brief van maart 2026 en de geopolitieke dynamiek rond Executive Order 14086 maakt duidelijk dat het DPF onder aanhoudende juridische en politieke druk staat. Wachten op een definitief arrest is geen strategie: de voorbereidingstijd voor een volledige SCCs-implementatie inclusief TIA bedraagt doorgaans meerdere maanden, en een migratie naar een soevereine cloudarchitectuur nog langer.
Concreet betekent dit: documenteer het verwerkingsregister op doorgifte-grondslagen, voer een TIA uit voor alle VS-gebonden verwerkingen, onderhandel met aanbieders over SCCs als fallback, en neem een tijdlijn op in de IT-roadmap voor het reduceren van afhankelijkheid van Amerikaanse hyperscalers voor kritieke of bijzondere categorieën persoonsgegevens. De twee ongeldigverklaringen in de afgelopen tien jaar, Safe Harbor in 2015 en Privacy Shield in 2020, vormen een empirische basis voor de inschatting dat een Schrems III geen onwaarschijnlijk scenario is maar een reëel risico waarvoor een organisatie aantoonbaar voorbereid dient te zijn.
Veelgestelde vragen
Wat is het verschil tussen het DPF-soevereiniteitsrisico en het CLOUD Act-jurisdictierisico?
Het DPF-risico betreft de vraag of de VS voldoende bescherming biedt onder de AVG: wordt het DPF geldig bevonden? Het CLOUD Act-risico bestaat ongeacht het DPF: Amerikaanse autoriteiten kunnen via een rechtelijk bevel gegevens opvragen bij Amerikaanse cloudaanbieders, zelfs als die servers in Europa staan. Een adequaatheidsbeslissing heft dit jurisdictierisico niet op.
Welke doorgifte-instrumenten blijven bruikbaar als het DPF ongeldig wordt verklaard?
Bij afwezigheid van een adequaatheidsbeslissing zijn standaardcontractbepalingen (SCCs, AVG artikel 46 lid 2 sub c), bindende bedrijfsregels (BCRs, AVG artikel 46 lid 2 sub b) en in uitzonderingsgevallen de derogaties van AVG artikel 49 toepasbaar. Voor structurele cloudverwerkingen zijn SCCs het meest gangbare instrument, maar zij vereisen een Transfer Impact Assessment.
Wat hield het arrest in zaak T-553/23 Latombe v. Commissie in?
In deze zaak, uitgesproken door het General Court op 3 september 2025, werd de adequaatheidsbeslissing van 10 juli 2023 aangevochten. De procedure is direct relevant voor de rechtsgeldigheid van het DPF als doorgifte-grondslag voor organisaties die op dat moment nog op het DPF steunden.
Hoe stel ik een DPF-contingencyplan op?
Inventariseer alle cloudverwerkingen die momenteel op het DPF steunen, identificeer de betrokken Amerikaanse aanbieders, toets of SCCs met bijbehorende TIA als alternatieve grondslag dienst kunnen doen, en evalueer of voor kritieke verwerkingen een overstap naar een EU- of Zwitserse leverancier zonder CLOUD Act-blootstelling haalbaar is. Documenteer dit als onderdeel van uw AVG-verwerkingsregister conform artikel 30.
Waarom volstaan SCCs niet automatisch als alternatief voor het DPF?
SCCs bieden een contractueel kader, maar het Schrems II-arrest verplicht organisaties tot een Transfer Impact Assessment per land van bestemming. Als de VS-wetgeving, waaronder FISA 702 en Executive Order 14086, feitelijk geen gelijkwaardig beschermingsniveau biedt, moeten aanvullende technische maatregelen worden getroffen. Is dat niet mogelijk, dan is de doorgifte in beginsel niet rechtmatig.
