Het Data Privacy Framework na Trump v. Slaughter

Op 29 juni 2026 deed het Amerikaanse Supreme Court uitspraak in de zaak Trump v. Slaughter. Het oordeelde dat de president de commissarissen van de Federal Trade Commission (FTC) naar eigen inzicht moet kunnen ontslaan. Dat klinkt als binnenlandse Amerikaanse politiek, maar het raakt rechtstreeks de regeling waarop veel Europese bedrijven vertrouwen als ze Microsoft 365, Google Workspace of een Amerikaanse AI-dienst gebruiken.

Wat het Data Privacy Framework regelt

Persoonsgegevens mogen volgens de AVG alleen naar een land buiten de Europese Economische Ruimte als het beschermingsniveau daar in wezen gelijk is aan het Europese. Voor de Verenigde Staten stelde de Europese Commissie in juli 2023 dat het zo is, voor Amerikaanse bedrijven die zich bij het EU-US Data Privacy Framework (DPF) hebben aangesloten. Microsoft en Google hebben dat gedaan. Het DPF is de opvolger van het Privacy Shield, dat het Europese Hof van Justitie in 2020 ongeldig verklaarde in de zaak Schrems II.

Een van de pijlers onder het DPF is onafhankelijk toezicht in de VS. De Commissie wees in haar besluit de FTC aan als die onafhankelijke toezichthouder, en noemde als argument uitdrukkelijk dat FTC-commissarissen voor zeven jaar worden benoemd en alleen om specifieke redenen kunnen worden ontslagen.

Wat de uitspraak verandert

Precies die ontslagbescherming heeft het Supreme Court nu ongrondwettig verklaard. De FTC is daarmee niet meer structureel onafhankelijk van de president. De Europese privacytoezichthouders, verenigd in de EDPB, vroegen de Europese Commissie op 31 juli 2026 daarom om te beoordelen of het DPF nog voldoende bescherming biedt.

Is het DPF dan vervallen?

Nee, niet formeel. Het adequaatheidsbesluit blijft gelden totdat de Commissie het intrekt, schorst of wijzigt, of totdat het Hof van Justitie het ongeldig verklaart. Doorgifte aan Amerikaanse bedrijven met een DPF-certificering mag vandaag dus nog steeds op die basis.

Maar een belangrijke grondslag is weg. Er loopt al een procedure tegen het DPF bij het Hof van Justitie (het hoger beroep in de zaak Latombe), en de uitspraak van het Supreme Court geeft critici een nieuw argument. Wie zich nog herinnert hoe snel het Privacy Shield in 2020 verdween, weet dat zo’n regeling van de ene op de andere dag kan wegvallen.

Wat er gebeurt als het DPF wegvalt

Dan is doorgifte naar de VS niet automatisch verboden, maar wordt het een stuk lastiger. Bedrijven moeten dan terugvallen op standaardcontractbepalingen (SCC’s) en per leverancier aantonen dat de bescherming in de praktijk werkt, met aanvullende maatregelen als sterke versleuteling waarvan de leverancier de sleutel niet heeft. Voor gewone clouddiensten als mail en bestandsopslag, waar de leverancier de gegevens moet kunnen lezen om ze te verwerken, is dat in de praktijk vaak niet rond te krijgen.

Wat je nu kunt doen

1. Breng in kaart welke diensten persoonsgegevens naar de VS sturen. Denk niet alleen aan mail en bestanden, maar ook aan chat, videobellen, AI, back-ups en analysetools.
2. Kijk niet alleen naar de serverlocatie. Een datacenter in Frankfurt of Amsterdam van een Amerikaans bedrijf valt nog steeds onder Amerikaans recht, waaronder de Cloud Act.
3. Begin met wat makkelijk te vervangen is. Mail, agenda, bestanden, documenten, chat en videovergaderen hebben inmiddels volwaardige Europese alternatieven.
4. Wacht niet op de volgende uitspraak. Een overstap in je eigen tempo is goedkoper en rustiger dan een gedwongen verhuizing als de regeling plotseling vervalt.

Binadit Workspace levert mail, agenda, contacten, Drive, documenten, videovergaderen en chat op servers in Nederland, van een Nederlands bedrijf zonder Amerikaanse moeder. Er gaat geen doorgifte naar de VS, dus het DPF speelt er geen rol. Bekijk wat er in Binadit Workspace zit of vraag een demo aan.

Bronnen

• Supreme Court of the United States, Trump v. Slaughter, 29 juni 2026: uitspraak (pdf)
• Uitvoeringsbesluit (EU) 2023/1795 van de Europese Commissie over het EU-US Data Privacy Framework, overwegingen 58 tot en met 60: EUR-Lex
• Algemene verordening gegevensbescherming, artikelen 44 tot en met 49: EUR-Lex
• European Data Protection Board, brief aan de Europese Commissie, 31 juli 2026, en de EDPB-FAQ over het DPF

Dit artikel is algemene informatie en geen juridisch advies. Laat je bij een concrete situatie adviseren door een jurist.