Trump versus Slaughter: Het einde van de trans-Atlantische datastromen ?

Op 30 juni stuurde de ngo Noyb, een doorn in het oog van digitale giganten en toezichthouders, een brief naar de Europese Commissie met het verzoek om de uittreding uit het transatlantische kader voor gegevensbescherming (het Data Privacy Framework of DPF) in te plannen.

Volgens de ngo garanderen de Verenigde Staten geen onafhankelijk toezicht meer op de privacy.

Hoewel president Trump al twee van de drie leden van de "Privacy and Civil Liberties Oversight Board" had ontslagen, een onafhankelijk toezichtsorgaan dat in 2004 door het Congres was opgericht, heeft het Hooggerechtshof van de Verenigde Staten ongetwijfeld een dodelijke slag toegebracht aan het Amerikaanse onafhankelijke toezichtssysteem.

In een radicale ommezwaai ten opzichte van eerdere jurisprudentie oordeelde het Hof op 29 juni dat de onafhankelijkheid van de Federal Trade Commission (FTC) ongrondwettelijk was.

De uitspraak in de zaak "Trump v. Slaughter" past binnen het kader van een "unitaire" theorie, volgens welke de president macht moet uitoefenen over alle Amerikaanse uitvoerende organen.

Volgens deze doctrine zijn Amerikaanse wetten die verschillende overheidsinstanties onafhankelijkheid verlenen, daarom ongrondwettelijk.

“"Gezien het feit dat de Europese Unie sterk vertrouwde op de 'onafhankelijkheid' van de FTC als haar toezichthouder op de privacy, is de gehele structuur van het EU-VS-kader voor gegevensbescherming in elkaar gestort."’

Max Schrems, voorzitter van Noyb, voegt eraan toe dat, nu de Verenigde Staten nog steeds aanzienlijke druk uitoefenen op de EU om de uitwisseling van persoonsgegevens te waarborgen, zijn ngo de komende weken ook juridische stappen zal ondernemen met als doel het Hof van Justitie van de Europese Unie (CJEU) te bewegen de huidige overeenkomst te annuleren.

Een uitspraak in de stijl van "Schrems III" zou daarmee de lijst met prestaties van de activist compleet maken.

Parlementslid en CNIL-lid Philippe Latombe stuurde ook een brief naar de Europese Commissie waarin hij verzocht om de annulering van het trans-Atlantische verdrag en Franse bedrijven aanspoorde om oplossingen voor het beheer van soevereine gegevens te implementeren.

Het is belangrijk te benadrukken dat het besluit van de Europese Commissie, waarin de adequaatheid van het door de Verenigde Staten ingestelde beschermingskader wordt erkend, van kracht blijft totdat de Commissie of het Hof van Justitie van de EU het ongeldig verklaart.

Een procedure bij het Hof duurt doorgaans twee tot drie jaar voordat een definitieve uitspraak wordt gedaan.

De Commissie hoeft echter mogelijk niet te wachten op de uitkomst van een dergelijke procedure: zij heeft reeds, in reactie op vragen van de media, aangekondigd dat zij voorn voornemens is de geldigheid van haar adequaatheidsbesluit te analyseren, gezien het gebrek aan onafhankelijkheid van de FTC.

De Deense autoriteit voor gegevensbescherming gaf op 1 juli in een verklaring verder aan dat de uitspraak van het Hooggerechtshof van de Verenigde Staten bijzonder verregaande gevolgen zou kunnen hebben, niet alleen voor overdrachten op basis van de DPF (Data Protection Fund), maar ook voor overdrachten op basis van andere rechtsgrondslagen, bijvoorbeeld standaardcontracten.

De autoriteit moedigt gegevensverwerkers aan om hun beoordeling van het beschermingsniveau dat door het ontvangende land wordt gegarandeerd, te herzien in het kader van hun effectbeoordeling van de gegevensoverdracht.

Het is met name belangrijk om te controleren of nog steeds aan de voorwaarden voor onafhankelijk toezicht door de autoriteiten is voldaan.

Voor gegevensverwerkers en functionarissen voor gegevensbescherming (FG's) biedt dit nieuws een kans om hun inventarisatie van trans-Atlantische gegevensoverdrachten, inclusief SaaS-, cloud- of AI-tools, bij te werken, de juridische basis ervan opnieuw te beoordelen en waar nodig mogelijke alternatieven te identificeren.

In Frankrijk

Na een openbare raadpleging publiceerde de CNIL op 30 juni haar aanbevelingen over het gebruik door professionals van locatiegegevens van verbonden voertuigen (auto's, fietsen, scooters, enz.).

Het doel is de rechtszekerheid te versterken en gebruikers meer transparantie te bieden.

In een factsheet die op 19 juni is bijgewerkt, herhaalt de CNIL haar belangrijkste aanbevelingen met betrekking tot het gebruik van digitale technologie in het bedrijfsleven.

Het document bevat 12 aanbevelingen en moedigt gegevensbeheerders aan om een diagnose te stellen via de website van de overheid.

In een publicatie van 10 juni worden ook de regels beschreven die gevolgd moeten worden bij elektronische communicatie met potentiële en bestaande klanten.

Op 3 juli publiceerde de CNIL de resultaten van haar onderzoek naar de evolutie van de rol van gegevensbeschermingsorganisaties in het licht van de ontwikkeling van kunstmatige intelligentie (AI).

Ze is geïnteresseerd in AI-governance binnen organisaties, nieuwe regelgevingsuitdagingen met betrekking tot de wisselwerking tussen de AVG en de Europese regelgeving inzake AI, en de behoeften van functionarissen voor gegevensbescherming (DPO's) op het gebied van vaardigheden, training en instrumenten.

Hoewel de functionaris voor gegevensbescherming (DPO) een belangrijke rol blijft spelen bij het waarborgen van de bescherming van persoonsgegevens in AI-projecten, is het niet de bedoeling dat hij deze naleving alleen beheert en heeft hij nog geen grondige kennis van de regelgeving.

De CNIL is van plan haar aanbevelingen en ondersteuning voor professionals aan te passen aan deze nieuwe uitdagingen en verwijst daarbij naar de instrumenten die al op haar website beschikbaar zijn.

Op dinsdag 16 juni kondigde de premier in een video op sociale media een extra publieke investering van 655 miljoen euro aan via het programma Frankrijk 2030 om de ontwikkeling van AI in Frankrijk te versnellen.

«"Een van de meest symbolische aankondigingen betreft het directoraat-generaal voor binnenlandse veiligheid (DGSI), dat zijn samenwerking met de Amerikaanse data-analysegigant Palantir beëindigt.".

Om deze buitenlandse technologie te vervangen, koos de DGSI voor het Franse bedrijf ChapsVision.

Deze bezorgdheid is onlangs versterkt door het besluit van de Amerikaanse regering om de toegang tot bepaalde geavanceerde kunstmatige intelligentiemodellen voor buitenlandse staatsburgers te beperken, in naam van de nationale veiligheid.

De overheid wil ook de invoering van AI in de administratie versnellen.

Een zelfsturende spraakassistent zal geleidelijk worden uitgerold naar ongeveer een miljoen ambtenaren.»

In hetzelfde verband werd de test van een Chinees taalmodel bij het directoraat-generaal van de schatkist op 23 juni onderbroken vanwege "sturende" of "bevooroordeelde" antwoorden.

De chatbot was bedoeld om hoge functionarissen te ondersteunen bij hun dagelijkse taken, waaronder de verwerking van vertrouwelijke of gevoelige gegevens.

Op woensdag werd een nieuw model van de Franse start-up Mistral AI geïnstalleerd.

Vanaf 2027 zal het Franse nationale agentschap voor cyberbeveiliging (ANSSI) geen beveiligingsproducten meer certificeren die geen versleutelingsmechanismen bevatten die bestand zijn tegen kwantumcomputers.

Deze eis zal met name betrekking hebben op producten die bestemd zijn voor gevoelige sectoren zoals defensie, wapenindustrie en overheidsdiensten.

Bedrijven hebben tot 2030 de tijd om uitsluitend zogenaamde "kwantumveilige" oplossingen aan te schaffen.

Het versnellen van de overgang naar post-kwantumcryptografie stond ook centraal in het werk van de G7-subgroep voor cyberbeveiliging, die begin juni onder Frans voorzitterschap bijeenkwam.

De gegevensbeschermingsautoriteiten van de G7-landen kwamen op 25 en 26 juni ook bijeen in Parijs op uitnodiging van de CNIL, in het kader van het Franse voorzitterschap van de G7.

Ze hebben een verklaring aangenomen over privacyvriendelijke leeftijdsverificatiemechanismen, evenals een document over de ontwikkeling van verbonden objecten die de privacy van minderjarigen respecteren.

In Europa

Europese instellingen en organen

Op 29 juni heeft de EU-Raad definitief ingestemd met de vereenvoudiging en stroomlijning van de AI-regels zoals vastgelegd in de Omnibusverordening.

De toepassing van de regels met betrekking tot systemen met een hoog risico wordt uitgesteld tot 2 december 2027 voor op zichzelf staande AI-systemen met een hoog risico en tot 2 augustus 2028 voor AI-systemen met een hoog risico die in producten zijn geïntegreerd.

De tekst voegt een bepaling toe aan de AI-regelgeving, die AI-praktijken verbiedt die verband houden met het genereren van niet-consensuele seksuele en intieme inhoud of kinderpornografie.

Kunstmatige intelligentiesystemen die afbeeldingen genereren van naakte echte mensen of die kleding verwijderen uit bestaande foto's om intieme lichaamsdelen te onthullen, zullen vanaf december 2026 ook verboden worden.

De nieuwe regelgeving stelt de deadline voor de oprichting van regelgevende "sandboxes" voor AI door de bevoegde autoriteiten op nationaal niveau uit tot 2 augustus 2027 en verkort de periode die aanbieders krijgen om transparantieoplossingen met betrekking tot kunstmatig gegenereerde content te implementeren van 6 naar 3 maanden; de nieuwe deadline hiervoor is vastgesteld op 2 december 2026.

Volgens een document dat Politico heeft ingezien, probeert de voorzitter van het Europees Parlement, Roberta Metsola, een controversiële wet aan te nemen over het filteren van online kinderpornografie (CSAM), een wet die afgelopen maart door haar eigen parlement in plenaire zitting werd verworpen.

De voorzitter verzocht de in de Raad bijeengekomen lidstaten een ontwerp goed te keuren dat technologieplatformen in staat zou stellen hun diensten vrijwillig te scannen op kinderpornografisch materiaal. Dit onderwerp is zeer controversieel: de politie, sommige kinderrechtenactivisten en diverse Europese commissarissen stellen dat het ontbreken van wetgeving roofdieren en pedofielen in staat stelt ongestraft hun gang te gaan op internet.

Voorstanders van privacy en beveiligingsdeskundigen vrezen ondertussen dat deze voorstellen kunnen leiden tot onaanvaardbare massasurveillance en het einde van encryptie.

Op 18 juni 2026 heeft het Hof van Justitie van de EU in zijn arrest C-484/24 – NTH Haustechnik verduidelijkt dat persoonsgegevens die onrechtmatig zijn verkregen, niet automatisch van gerechtelijke procedures mogen worden uitgesloten.

De rechtbanken kunnen ze gebruiken als dat strikt noodzakelijk en proportioneel is voor de uitoefening van hun taak, met inachtneming van de beginselen van de AVG, in het bijzonder dataminimalisatie.

Deze mogelijkheid maakt de initiële verzameling van informatie echter niet rechtmatig en ontslaat de auteur ervan niet van mogelijke schendingen van de gegevensbeschermingsregels.

Het Europees Comité voor gegevensbescherming (EDPB) heeft op 10 juni een model voor de melding van datalekken vastgesteld.

Dit model is voornamelijk bedoeld om door de APD's met behulp van een computerprogramma te worden geïmplementeerd.

Het model wordt ter openbare raadpleging voorgelegd, waardoor belanghebbenden tot 5 augustus de mogelijkheid hebben om hun opmerkingen en feedback over de inhoud ervan te delen.

Vanaf 3 augustus gebruikt Google de IP-adressen van internetgebruikers in de Europese Economische Ruimte, het Verenigd Koninkrijk en Zwitserland om advertenties te meten en te personaliseren.

Hoewel Google deze gegevens al om technische redenen verzamelt, is het gebruik ervan aan het veranderen: het IP-adres kan nu worden gebruikt om apparaten te identificeren voor gerichte advertenties.

Deze werkwijze, die onder de AVG valt, vereist toestemming van de gebruiker. Deze toestemming moet worden geïntegreerd in de mechanismen die al worden gebruikt voor het beheren van advertentievoorkeuren en cookies.

Nieuws uit de lidstaten van de Europese Unie.

De Belgische en Spaanse gegevensbeschermingsautoriteiten hebben op 18 juni gezamenlijk aanbevelingen en beste praktijken voor de videogamesector gepubliceerd.

Deze samenwerking vloeit voort uit de door de autoriteiten geconstateerde behoefte om een sector te reguleren die wereldwijd meer dan 3 miljard gebruikers omvat en gebruikmaakt van ingrijpende technologieën.

Het document analyseert de meest voorkomende activiteiten voor de verwerking van persoonsgegevens in videogames, identificeert de bedreigingen en risico's die daaraan verbonden zijn en doet aanbevelingen en suggesties voor beste praktijken.

In Kroatië heeft de APD een makelaarskantoor een boete opgelegd voor het bewaren van klantgegevens langer dan nodig was voor de verwerking, het opslaan van kopieën van identiteitsdocumenten en bankpassen zonder wettelijke grondslag, en het onvoldoende trainen van medewerkers in de verwerking van persoonsgegevens.

Het Spaanse Agentschap voor Gegevensbescherming (APD) publiceerde op 8 juni richtlijnen met betrekking tot het gebruik van camera's in verpleeghuizen, om zorg en privacy met elkaar te verenigen.

Het hof legde Vodafone España ook een boete van € 1.050.000 op, nadat een derde partij erin was geslaagd de beveiligingsmaatregelen te omzeilen en een klantfactuur te bemachtigen met een ongeautoriseerd e-mailadres, en een tweede mobiele lijn frauduleus op naam van de klager te registreren.

Uiteindelijk werd CaixaBank een boete van €500.000 opgelegd wegens systematische tekortkomingen in de gegevensbescherming, na herhaalde beveiligingslekken.

De autoriteit heeft de bank specifiek verzocht haar mogelijkheden voor het opsporen van datalekken te verbeteren en haar procedures voor het identificeren van de betrokken personen en gegevens in geval van een incident te versterken.

De Ierse Autoriteit voor Gegevensbescherming (DPA) heeft de Health Service Executive (HSE), de openbare gezondheidsdienst, een boete van € 300.000 opgelegd naar aanleiding van een ransomware-cyberaanval in 2018 waarbij de persoonsgegevens van ongeveer 84.000 patiënten in gevaar kwamen.

Het onderzoek concludeerde dat de HSE onvoldoende technische en organisatorische beveiligingsmaatregelen had getroffen, geen GDPR-conforme documentatie bezat en haar onderaannemers niet naar behoren had gecontroleerd.

Naast de boete heeft de DPC de HSE opgedragen haar beleid en procedures voor gegevensbeveiliging op duurzame wijze te versterken.

De Noorse Autoriteit voor Gegevensbescherming (APD) heeft Elkjøp een administratieve boete van 20 miljoen Noorse kronen opgelegd, met name vanwege het ontbreken van geldige toestemming voor de verwerking van persoonsgegevens in het kader van haar loyaliteitsprogramma, onvoldoende beoordelingen met betrekking tot nieuwe verwerkingsdoeleinden en het niet reageren op verzoeken van betrokkenen binnen de door de AVG gestelde termijnen.

Internationaal

In het Verenigd Koninkrijk wordt een politieagent uit Derbyshire onderzocht nadat hij ervan beschuldigd werd kunstmatige intelligentie te hebben gebruikt om bewijsmateriaal te vervalsen in verschillende rechtszaken.

De autoriteiten bekijken mogelijk relevante dossiers, terwijl de betreffende agent is ontheven van zijn operationele taken.

Deze zaak, die een ernstig geval van misbruik van rechtspraak zou kunnen vormen, komt op een moment dat de Britse politie steeds meer gebruikmaakt van AI, waardoor het debat over de risico's en de noodzaak van strikte regulering van deze technologieën weer oplaait.

Diverse politiekorpsen zijn onlangs verzocht om bepaalde toepassingen van AI, met name bij het opstellen van documenten voor de rechtbank, op te schorten vanwege feitelijke fouten.

Ook in het Verenigd Koninkrijk zijn organisaties die onder de Britse wetgeving inzake gegevensbescherming vallen vanaf 19 juni verplicht een procedure in te voeren waarmee natuurlijke personen klachten kunnen indienen met betrekking tot hun persoonsgegevens.

Personen dienen hun klacht eerst bij de betreffende organisatie in te dienen, alvorens contact op te nemen met het Bureau van de Informatiecommissaris.

In China treden de voorlopige maatregelen met betrekking tot het beheer van antropomorfe interactieve diensten gebaseerd op kunstmatige intelligentie op 15 juli in werking.

Deze regelgeving is van toepassing op de snelgroeiende sector van op AI gebaseerde virtuele metgezellen en robots voor emotionele ondersteuning.

Aanbieders van deze diensten zullen gebruikers met name duidelijk moeten informeren dat ze met een AI communiceren, mechanismen moeten implementeren om emotionele afhankelijkheid te voorkomen, situaties van nood of risico moeten detecteren, minderjarigen moeten beschermen en hun toegang tot virtuele metgezellen moeten beperken.

Ze zullen ook moeten voldoen aan governance-vereisten, zoals het registreren van hun algoritmen, het uitvoeren van beveiligingsbeoordelingen in bepaalde gevallen en het implementeren van maatregelen voor gegevensbescherming en risicobeheer.

Het Ibero-Amerikaanse netwerk voor gegevensbescherming (RIPD) heeft een referentiedocument aangenomen dat tot doel heeft de waarborgen te versterken die van toepassing zijn op de verwerking van "neurodata", dat wil zeggen gegevens afkomstig van technologieën die hersenactiviteit kunnen meten of afleiden.

De tekst beveelt een betere bescherming van deze gegevens aan, meer transparantie over het gebruik en de werking ervan, en beperkingen, of zelfs verboden, voor bepaalde vormen van gebruik die onverenigbaar worden geacht met fundamentele rechten, met name wanneer deze gericht zijn op het manipuleren van gedrag of het uitbuiten van kwetsbare personen.

Anthropic heeft zijn twee krachtigste AI-modellen buiten gebruik gesteld.

Washington had, onder verwijzing naar zorgen over de "nationale veiligheid", geëist dat de Amerikaanse start-up die gespecialiseerd is in kunstmatige intelligentie de toegang tot Claude Fable 5 en Mythos 5 zou beperken tot alleen Amerikaanse burgers.

Volgens Anthropic is dit verzoek onmogelijk te implementeren. Op 22 mei kondigde Anthropic het Glasswing-project aan, waarin werd gesteld dat het cybersecurity AI-model Mythos meer dan 10.000 kwetsbaarheden had geïdentificeerd in veelgebruikte open-source software en projecten.