Preview document (🔗 origineel)

---

AH 2782

2026Z15708

Antwoord van staatssecretaris Van Bruggen (Justitie en Veiligheid) (ontvangen 27 augustus 2026)

Zie ook Aanhangsel Handelingen, vergaderjaar 2025-2026, nr. 2603

Vraag 1

Bent u bekend met de uitspraak van het Amerikaanse Hooggerechtshof in de zaak Trump v. Slaughter en het bericht van privacywaakhond noyb hierover?^{1 2}

Antwoord op vraag 1
Ja.

Vraag 2

Hoe reageert u op de uitspraak van het Amerikaanse Hooggerechtshof en de inhoudelijke analyse van noyb, die stelt dat de uitspraak de onafhankelijkheid van Amerikaanse toezichthouders aantast en dit grote gevolgen kan hebben voor de Data Privacy Framework tussen de Europese Unie en de Verenigde Staten?

Antwoord op vraag 2
De uitspraak van het Amerikaanse Hooggerechtshof van 29 juni 2026 in

Trump v. Slaughter roept terecht de vraag op in hoeverre de onafhankelijkheid van de Federal Trade Commission (FTC) als handhavende autoriteit onder het Data Privacy Framework (DPF) wordt geraakt. Zoals ook de European Data Protection Board (EDPB) waarin de Europese privacytoezichthouders samenwerken in haar brief d.d. 31 juli 2026 aan de Europese Commissie (hierna: de Commissie) heeft benadrukt, is het bestaan en de effectieve werking van onafhankelijke toezichtautoriteiten in een derde land een kernelement bij de beoordeling van een adequaat beschermingsniveau (artikel 45, lid 2, onder b, van de Algemene verordening gegevensbescherming (AVG)). De EDPB heeft de Commissie verzocht de gevolgen van de uitspraak voor het DPF zorgvuldig te bestuderen.³ Nederland heeft de Commissie reeds eerder gevraagd naar de mogelijke impact van de uitspraak van Trump v. Slaughter voor het DPF. De Commissie houdt op grond van de AVG doorlopend toezicht op ontwikkelingen in derde landen en internationale organisaties die mogelijk gevolgen hebben voor het functioneren van een adequaatheidsbesluit. Als een derde land, zoals de Verenigde Staten (VS), niet langer een passend beschermingsniveau zoals vereist voor een adequaatheidsbesluit waarborgt, gaat de Commissie bij uitvoeringshandelingen zonder terugwerkende kracht over tot intrekking, wijziging of schorsing van het adequaatheidsbesluit. Deze uitvoeringshandelingen kunnen worden besproken en vastgesteld volgens de in artikel 93, lid 2 en lid 3, AVG bedoelde onderzoeksprocedure, waarbij lidstaten, waaronder Nederland, worden betrokken.

De Commissie heeft in de context van de meest recente raadswerkgroep gegevensbescherming d.d. 6 juli jl. lidstaten geïnformeerd en aangegeven de impact van de beslissing van Hooggerechtshof te onderzoeken, en ziet dat in dit verband ook een brede evaluatie van het functioneren van de VS-rechtssysteem nodig is. Tegelijkertijd benadrukt de Commissie daarbij dat het adequaatheidsbesluit tot nader order van kracht blijft. Indien de Commissie zou besluiten over te gaan tot (gedeeltelijke) intrekking, wordt uw Kamer daarover geïnformeerd.

Vraag 3

Heeft u vertrouwen in de houdbaarheid van de Data Privacy Framework in het licht van de uitspraak in de zaak Trump v. Slaughter?

Antwoord op vraag 3
Het is aan de Commissie om, met inachtneming van alle feiten en omstandigheden, actuele ontwikkelingen te wegen in het licht van het adequaatheidsbesluit en de houdbaarheid daarvan. Zij is daartoe niet alleen bevoegd, maar ook bij uitstek toegerust. Ik vind het niet verstandig vooruitlopend op de bevindingen van de Commissie zelfstandig een oordeel te vormen. Als zou blijken dat structurele doorgiften onder het DPF niet langer een met het EU recht vergelijkbaar beschermingsniveau bieden, kan de Commissie bij uitvoeringshandeling het adequaatheidsbesluit (gedeeltelijk) schorsen, wijzigen of intrekken. Dit is een besluit van de Commissie dat in het op artikel 93 AVG gebaseerde comitologie comité met de lidstaten, waaronder Nederland, wordt besproken. Uw Kamer wordt daarover geïnformeerd.

Vraag 4

Deelt u onze zorgen dat deze uitspraak gevolgen kan hebben voor de rechtmatige datauitwisseling tussen de Europese Unie en de Verenigde Staten? Wat zouden die gevolgen volgens u kunnen zijn?

Antwoord op vraag 4
Het is vanzelfsprekend van groot belang dat doorgiften van persoonsgegevens aan derde landen in overeenstemming met de AVG plaatsvinden. De nationale toezichthouders voor gegevensbescherming, in Nederland de Autoriteit Persoonsgegevens (AP), zien daar op toe. Zoals uiteengezet in het antwoord op vraag 2, beoordeelt de Commissie de implicaties van de uitspraak van het Hooggerechtshof van de VS in het kader van haar verantwoordelijkheid voor adequaatheidsbesluiten. Als de Commissie het besluit (gedeeltelijk) zou intrekken of schorsen, dan zouden voor doorgiften niet langer op het DPF kunnen worden gebaseerd. Doorgiften zouden dan plaats moeten vinden op basis van andere AVG‑instrumenten, zoals mogelijk model contractbepalingen (SCC), bindende bedrijfsvoorschriften (BCR)⁴ of, bij uitzondering, de uitzonderingen van artikel 49 AVG.

Vraag 5

Bent u bereid de gevolgen van de uitspraak te bespreken in Europees verband met oog op mogelijke juridische stappen die de Data Privacy Framework ongeldig kunnen maken?⁵

Antwoord op vraag 5
Zoals uiteengezet in het antwoord op vraag 3, ligt de verantwoordelijkheid voor de beoordeling of het DPF en de vraag of het adequaatheidsbesluit al dan niet gedeeltelijk dient te worden ingetrokken primair bij de Commissie. Zoals uiteengezet in het antwoord op vraag 2, volgt Nederland de ontwikkelingen op de voet.

Vraag 6

Is Nederland voorbereid op een scenario waar de Data Privacy Framework ongeldig wordt verklaard? Welke maatregelen kunt u nemen om hier op voor te bereiden, zoals ook uiteengezet door uw voorganger?⁶

Antwoord op vraag 6
Na het ongeldig verklaren van het DPF kunnen doorgiften niet langer op het DPF berusten. Welke gevolgen dit voor Nederland heeft, hangt af van de desbetreffende sector en de verwerkingen van persoonsgegevens die daarbinnen plaatsvindt. Een algemeen antwoord valt hierop dan ook niet te geven.

Zonder adequaatheidsbesluit zal elke verwerkingsverantwoordelijke een doorgifte van persoonsgegevens aan een (gecertificeerde) partij in de VS op een ander doorgifte-instrument uit de AVG moeten kunnen baseren. Hierbij kan gedacht worden aan SCC, BCR of aan de uitzonderingen zoals benoemd in artikel 49 AVG.

Verwerkingsverantwoordelijken kunnen voorzorgsmaatregelen treffen om te voorkomen dat een eventuele ongeldigverklaring van het DPF ertoe leidt dat de doorgifte van persoonsgegevens moet worden gestaakt. Een geheel of gedeeltelijke intrekking of ongeldigverklaring van het DPF hoeft niet te betekenen dat Amerikaanse clouddienstverleners niet meer gebruikt kunnen worden. Wel is het voor clouddiensten die gegevens in de VS opslaan of verwerken, of waarbij een Amerikaanse partij rechtstreeks toegang heeft tot gegevens, in ieder geval nodig om een passende oplossing te vinden. Dit kan bijvoorbeeld door data te hosten in Europese datacenters van dezelfde aanbieder en/of de rechtstreekse toegang door Amerikaanse partijen te beperken of, als dat niet mogelijk is, met aanvullende technische maatregelen zoals sterke encryptie of het inrichten van autonome voorzieningen.

Voor de rijksdienst geldt op basis van het cloudbeleid dat opslag en verwerking van gegevens in principe binnen de Europese Economische Ruimte (EER) en Zwitserland plaatsvinden.⁷ Gebruik buiten deze landen kan alleen met een formele uitzondering, onderbouwd met een goede reden, een risicoanalyse en zo nodig aanvullende mitigerende maatregelen. Voor bestaand cloudgebruik is bovendien een exitplan verplicht dat rekening houdt met het wegvallen van een voorziening en dus verder reikt dan alleen het hiervoor beschreven scenario. Dit exitplan kan ook worden ingezet als een verwerking om andere redenen niet kan worden voortgezet. Onderdeel hiervan is dat organisaties zelf een actueel overzicht bijhouden van alle gebruikte clouddiensten.

Vraag 7

Als de Data Privacy Framework ongeldig wordt verklaard, welke autoriteit moet dan toezien op de (on)rechtmatige uitwisseling van data met Amerikaanse partijen? Kunt u deze autoriteit vragen om advies om dit scenario samen uit te werken?

Antwoord op vraag 7
De nationale toezichthouders voor gegevensbescherming blijven bevoegd; in Nederland is dat de AP. Zij houden toezicht op verwerkingsverantwoordelijken en verwerkers, inclusief internationale doorgiften. Coördinatie tussen toezichthouders verloopt in EU‑verband via de EDPB. De Commissie gaat over het adequaatheidsbesluit zelf, niet over individuele handhaving.

Als het DPF ongeldig zou worden verklaard, zou dat betekenen dat de bepalingen uit de AVG voor doorgifte aan derde landen waarvoor geen adequaatheidsbesluit geldt, opnieuw van toepassing worden. De AP heeft voor dergelijke situaties uitgebreide informatie op haar website staan.⁸ Mocht het zo ver komen, dan ben ik bereid de AP te vragen of zij een gedeelte daarvan specifiek zouden willen toespitsen op de VS. Als het adequaatheidsbesluit zou komen te vervallen, blijft te allen tijde de verwerkingsverantwoordelijke zelf verantwoordelijk voor naleving van de normen uit de AVG, ook bij doorgifte aan derde landen.

Vraag 8

Zijn er scenario’s denkbaar waarin aanvullende maatregelen niet volstaan en data niet meer rechtmatig met Amerikaanse partijen gedeeld kan worden? Welke implicaties heeft dat?

Antwoord op vraag 8
Ja. Als aanvullende maatregelen niet volstaan, rest uitsluitend een incidentele doorgifte op basis van een toepasselijke bepaling in artikel 49 AVG (zoals expliciete geïnformeerde toestemming, noodzaak voor een overeenkomst met de betrokkene, zwaarwegend algemeen belang, rechtsvorderingen, vitale belangen of openbaar register). Deze uitzonderingsbepalingen zijn uitzonderlijk, niet bedoeld voor structurele of grootschalige stromen, en vereisen strikte proportionaliteit, transparantie en volledige documentatie. Past geen derogatie voor de specifieke doorgifte, dan is de doorgifte niet toegestaan.

Vraag 9

Deelt u de mening dat de enige zekere maatregel om onrechtmatige data-uitwisseling met de Verenigde Staten te voorkomen is om veel minder afhankelijk te worden van Amerikaanse techbedrijven?

Antwoord op vraag 9
Nee. Minder afhankelijk worden van Amerikaanse leveranciers kan risico’s verkleinen, maar is niet de enige mogelijke maatregel. Rechtmatige doorgifte kan ook worden geborgd met doorgifte instrumenten onder de AVG, zoals SCC of BCR. Als die combinatie de risico’s niet voldoende wegneemt, is doorgifte niet toegestaan en moet deze worden beëindigd.

Vraag 10

Kunt u deze vragen afzonderlijk van elkaar beantwoorden?

Antwoord op vraag 10
Ja.

---

1. US Supreme Court just blew up EU-US Data Transfers, noyb, 29 juni 2026↩︎

2. 25-332 Trump v. Slaughter, 29 juni 2026↩︎

3. EDPB Letter to the European Commission on US Supreme Court judgment Trump v. Slaughter | European Data Protection Board↩︎

4. Standard Contractual Clauses (SCC), Binding Corporate Rules (BCR)↩︎

5. Max Schrems preps new privacy challenge to EU-US data deal, Euractiv, 1 juli 2026↩︎

6. “Mocht het DPF komen te vervallen, dan zal mogelijk middels een DTIA gekeken moeten worden naar de vraag of er (en zo ja welke) aanvullende waarborgen of maatregelen moeten worden genomen om de in de AVG vereiste rechtsbescherming voor natuurlijke personen te waarborgen.”, Kamerstuk 32761-31↩︎

7. 2026Z15738&did=2026D35294">Informatie- en communicatietechnologie (ICT) | Tweede Kamer der Staten-Generaal↩︎

8. https://www.autoriteitpersoonsgegevens.nl/themas/internationaal/doorgifte-binnen-en-buiten-de-eer↩︎