We schrijven 2011. Max Schrems realiseert zich dat Facebook een op zijn zachtst gezegd ‘minder correcte interpretatie’ van de wet hanteert. Hij vraagt om een kopie van alle gegevens die het Facebook over hem heeft. Wat hij terugkrijgt? Een bestand van 1222 pagina’s, waaronder data die hij had gedeletet en persoonlijke gegevens die hij niet zelf aan Facebook had doorgegeven.

Max dient een klacht in bij de Ierse gegevensbeschermingsautoriteit voor 22 inbreuken, maar krijgt uiteindelijk het deksel op de neus: de autoriteit weigert formeel te reageren of Facebook’s praktijken legaal zijn of niet. Het zal nog twee jaar duren voordat Facebook opnieuw met de vinger wordt gewezen. Dit na onthullingen over de surveillancepraktijken van de NSA (National Security Agency).

Een van de principes van de AVG is dat men persoonsgegevens niet mag doorgeven aan een land dat niet hetzelfde beschermingsniveau biedt. De AVG bepaalt echter ook dat de Europese Commissie in bepaalde gevallen kan besluiten om dit principe terzijde te schuiven. Dit was het geval tijdens de implementatie van Safe Harbor. Het opstellen van ‘standaardclausules’ werd ook gezien als een manier om gegevens toch te kunnen overdragen aan een derde land.

Na de goedkeuring van de Europese verordening zijn veel inspanningen geleverd, maar de soms vage formuleringen waren vatbaar voor interpretatie. Ook het probleem van de Amerikaanse toezichtwetten was hiermee niet opgelost. De opvolger van Safe Harbor, Privacy Shield, trad op 1 augustus 2016 in werking, maar was wederom niet de oplossing. Privacy Shield bood onvoldoende garanties tegen het willekeurig verzamelen van gegevens en de inmenging van Amerikaanse spionagediensten. Sommige gekozen termen waren nog steeds vaag en ‘het algemeen belang en het naleven van de Amerikaanse wetgeving’ werd nog steeds te vaak ingeroepen om gegevensverzameling en verregaand toezicht te rechtvaardigen.

Op 16 juli 2020 nam het Hof haar besluit en verklaarde ze het EU-VS Privacy Shield ongeldig. De contractuele standaardclausules bestaan nog wel. Maar de partij die de gegevens exporteert moet verplicht nagaan of het land van bestemming evenwaardige beschermingsgaranties biedt. In haar arrest oordeelde het Hof dat, aangezien de contractuele standaardclausules niet echt konden worden toegepast en de overgedragen gegevens ipso facto voldoende beschermd waren, het aan de toezichthoudende autoriteiten is om dergelijke bepalingen op te schorten of te verbieden. De rechtbank vond enerzijds dat Facebook en soortgelijke bedrijven zich niet achter dergelijke clausules mogen verschuilen en anderzijds dat toezichthouders een actieve rol moeten spelen en concrete maatregelen moeten nemen in lijn met de AVG. Het Hof maakte ook duidelijk dat de onderwerping aan Amerikaanse wetten in strijd is met de grondrechten die van toepassing zijn binnen de Europese Unie en dit dus de facto verhindert dat beschermingsgaranties door de VS te allen tijde worden nageleefd.