Much ado about nothing?

Je kunt van Amerikanen veel zeggen maar niet dat ze zich iets gelegen laten liggen aan anderen als het gaat om de bescherming van hun nationale belangen. Dus scherpten ze na de WTC aanslagen in 2001 allerlei bestaande bevoegdheden van veiligheidsdiensten verder aan door middel van de wet Providing Appropriate Tools Required to Intercept and Obstruct Terrorism, inmiddels beter bekend als Patriot Act en gaven die wet naar goed Amerikaans gebruik meteen maar ‘extra territoriale werking’.

Tot zover weinig nieuws onder de zon ware het niet dat de Patriot Act op gespannen voet blijkt te staan met de Europese privacybescherming. Beschermde persoonsgegevens kunnen namelijk door toepassing van de bij Patriot Act verleende bevoegdheden buiten het zicht van de daarvoor wettelijk aangewezen verantwoordelijken, in handen van de FBI komen. Dat kan bijvoorbeeld wanneer Europese overheden en bedrijven voor de uitvoering van ICT opdrachten gebruik maken van de diensten van bedrijven die vallen onder Amerikaanse jurisdictie. Weliswaar bevat de Amerikaanse wetgeving enkele waarborgen tegen een te ruimhartig gebruik van de bevoegdheid tot opvorderen van informatie zoals voorafgaande goedkeuring door speciale rechtbanken maar over de omvang van die rechterlijke toets wordt verschillend gedacht hetgeen ongetwijfeld iets te maken heeft met het verschil in wederzijdse beleving van privacy.

Dat gezegd zijnde is de vraag wat Europa nu met de Patriot Act aan moet.
Feit is dat gegevensverstrekkingen aan Amerikaanse overheidsorganisaties als de FBI op gespannen voet met onze privacyregelgeving staan. Feit is bovendien dat de voor de bescherming van die gegevens wettelijk aangewezen verantwoordelijken niet op de hoogte zullen zijn van die informatieverstrekkingen. Een vordering om informatie wordt immers niet aan hen maar aan de partij die onder Amerikaanse jurisdictie valt, gedaan. Bij een ICT-opdrachtverstrekking aan een bedrijf met Amerikaanse roots, is dat de opdrachtnemer en die mag daar tegen de opdrachtgever bij wie de informatie wordt weggehaald, niets over zeggen. Helaas gaat ‘wat niet weet wat niet deert’ hier niet op en handelt de onwetende opdrachtgever desondanks onrechtmatig jegens de persoon wiens gegevens in het geding zijn.

Feit is echter ook dat de Patriot Act inmiddels 11 jaar bestaat en daarover tot voor kort nauwelijks discussie plaats vond. Diverse Amerikaanse bedrijven actief op de Nederlandse markt hebben bovendien met grote stelligheid verklaard nog nooit met zo’n vordering te zijn geconfronteerd.
Feit is voorts dat tal van Europese landen verdragen, overeenkomsten etc. met Amerika hebben afgesloten op grond waarvan dezelfde informatie zonder problemen aan de Amerikanen mag worden verstrekt en ook Nederland de weg weet te vinden als het gaat om het eigenmachtig in handen krijgen van gevoelige digitale informatie.

Feit is tenslotte dat, zeker op de ICT-markt, grote commerciële belangen op het spel staan en Europese bedrijven er bij gebaat kunnen zijn als Amerikaanse concurrenten van de markt worden gehouden. Ter illustratie: alleen al bij cloud dienstverlening gaat het om een potentiele omzet van ruim 50 miljard euro per jaar!
Er zit dus nogal wat ruis op de lijn. Hoog tijd derhalve voor een goed gesprek met de Amerikanen en een op feiten en juridische (on)mogelijkheden gebaseerde discussie in eigen huis.