Op 3 september 2025 heeft het Gerecht van de Europese Unie (het Gerecht) het beroep van Philippe Latombe tegen het adequaatheidsbesluit van de Europese Commissie (Commissie) inzake het EU-US Data Privacy Framework (DPF) verworpen. Daarmee blijft het DPF, dat trans-Atlantische doorgifte van persoonsgegevens mogelijk maakt, voorlopig in stand.
Het arrest behandelt uitvoerig de rechtmatigheid van het besluit van 10 juli 2023, waarbij de Commissie op grond van artikel 45 AVG oordeelde dat de Verenigde Staten (VS) een passend beschermingsniveau bieden voor persoonsgegevens. De toetsing door het Gerecht vond plaats “ex tunc”, wat betekent dat alleen de situatie ten tijde van het besluit is beoordeeld. Gelet op de ontwikkelingen sindsdien is dat een relevante kanttekening bij het arrest.
Het Gerecht beoordeelt de Amerikaanse regelgeving, waaronder Executive Order 14086 en het bijbehorende Attorney General Order, die de oprichting en werking van de Data Protection Review Court (DPRC) regelen. Het Gerecht oordeelt dat de DPRC voldoet aan de eisen van onafhankelijkheid en onpartijdigheid zoals neergelegd in artikel 47 van het EU Handvest. De DPRC is volgens het Gerecht een effectief rechtsmiddel voor EU-burgers, ondanks dat zij niet is opgericht via een wet van het Amerikaanse Congres. De rechters worden benoemd onder strikte voorwaarden en hun beslissingen zijn bindend voor de Amerikaanse overheid en inlichtingendiensten.
Het Gerecht wijst ook de bezwaren af over bulkverzameling van gegevens door Amerikaanse inlichtingendiensten. Volgens het arrest is deze verzameling onderworpen aan duidelijke beperkingen en waarborgen, waaronder proportionaliteitseisen en toezicht door onafhankelijke instanties zoals het Privacy and Civil Liberties Oversight Board. De afwezigheid van een voorafgaande rechterlijke toestemming wordt niet als strijdig met het EU-recht beschouwd, zolang er voldoende waarborgen bestaan, waaronder toetsing achteraf door de DPRC.
Hoewel het arrest het DPF in stand laat, benadrukt het Gerecht dat de Commissie verplicht is om het beschermingsniveau in de VS voortdurend te monitoren. Recente politieke ontwikkelingen kunnen daarbij relevant zijn. Een hoger beroep bij het Hof van Justitie is mogelijk en gelet op de principiële aard van de zaak ligt dat voor de hand.
Voor organisaties die persoonsgegevens doorgeven aan de VS blijft de situatie onzeker. Het sluiten van Standard Contractual Clauses naast DPF-certificering blijft daarom aanbevolen.
