Onlangs keken we een subverwerkerslijst na voor een klant. Drie partijen, drie verschillende manieren om gegevens over de grens te krijgen: een Amerikaanse leverancier die zich beriep op het EU-VS dataprivacyakkoord, een Indiase partij met standaardcontractbepalingen, en een Britse partij die het gewoon rechtstreeks in het contract had vastgelegd.
Eén lijst, drie regimes naast elkaar. En van die drie was er maar één die op dat moment iets kwetsbaars had: de partij die op niets anders leunde dan dat ene akkoord.
Wat er precies gebeurde
Dat akkoord, het EU-VS Data Privacy Framework, is het besluit waarmee Europa gegevensoverdracht naar de Verenigde Staten toestaat zonder dat je er zelf aparte contractuele waarborgen bovenop hoeft te zetten. Het staat sinds 2023 overeind, en het staat sinds deze zomer ter discussie.
Op 29 juni 2026 deed het Amerikaanse Hooggerechtshof uitspraak in de zaak Trump tegen Slaughter. De Federal Trade Commission (FTC) is de Amerikaanse toezichthouder met een sleutelrol in het toezicht op het akkoord. Sinds 1935 gold voor haar commissarissen een vaste bescherming: de president kon hen alleen ontslaan wegens onbekwaamheid, plichtsverzuim of wangedrag, niet naar eigen inzicht. Het Hof besliste dat die bescherming niet meer standhoudt. In gewone taal: de FTC oefent uitvoerende macht uit en moet daarom onder het gezag van de president staan. In de uitspraak zelf staat het zo:
unquestionably exercises executive power, and must therefore be controlled by the Chief Executive, in whom such power is vested
Dat is niet zomaar een Amerikaanse kwestie. Artikel 45 lid 2 sub b van de AVG noemt het bestaan van een onafhankelijke toezichthouder in het derde land uitdrukkelijk als een van de elementen waarop een adequaatheidsbesluit wordt getoetst. Het besluit waarop het akkoord zelf berust, benoemt die onafhankelijkheid van de FTC en die ontslagbescherming expliciet. Dat gebeurt in de paragrafen 58 tot en met 60, met naam en toenaam. De EDPB, het samenwerkingsverband van de Europese privacytoezichthouders, stuurde daarom eind juli een brief aan de Europese Commissie. Daarin wijst zij op die paragrafen en vraagt zij de Commissie te beoordelen of de uitspraak gevolgen heeft voor het besluit.
De toon van die brief is opvallend nuchter. Er staat geen oordeel in dat het akkoord niet meer geldig zou zijn, en geen oproep om het in te trekken. Er staat een verzoek om het te beoordelen, en om op de hoogte gehouden te worden. Dat is een ander geluid dan je elders hoort: noyb, de organisatie van Max Schrems, concludeerde op de dag van de uitspraak zelf al dat de Commissie het besluit zou moeten intrekken. De toezichthouder die er het dichtst bovenop zit, kiest vooralsnog voor onderzoek boven een oordeel.
De vraag die ertoe doet
Dat maakt de vraag "valt het akkoord om" minder bruikbaar dan hij lijkt. Niemand weet dat nu, en giswerk daarover levert je niets op. De vraag die wel iets oplevert is een andere: welke van je leveranciers hangt er eigenlijk vanaf.
De meeste grote Amerikaanse partijen hebben namelijk niet één weg naar Europa opengezet, maar twee. Naast het akkoord hebben ze ook standaardcontractbepalingen lopen, de modelcontracten die de Europese Commissie heeft opgesteld voor doorgifte buiten een adequaatheidsbesluit om. Voor die partijen is een eventuele val van het akkoord vervelend, misschien een hoop papierwerk, maar geen breuk: ze vallen terug op wat er al ligt.
Voor de partijen die alleen het akkoord hebben, ligt dat anders. Zij hebben nu geen achtervang. Dat is niet per se onzorgvuldigheid van hun kant, het akkoord was tot nu toe gewoon voldoende. Maar het is wel het verschil tussen een organisatie die binnen een dag weer verder kan en een organisatie die met een gat zit.
Hoe je dat zelf natrekt
Dit is te controleren, en het is geen zwaar onderzoek. De marketingpagina van een leverancier of het keurmerk onderaan de site zegt iets over de beveiliging, niet over de juridische doorgifteroute. Kijk in plaats daarvan naar de subverwerkersbijlage bij de verwerkersovereenkomst, of bij grotere partijen naar de pagina die specifiek over gegevensbescherming en doorgifte gaat.
Kijk of het akkoord genoemd wordt, en of er ook standaardcontractbepalingen genoemd worden. Veel leveranciers vermelden allebei. Noemt een leverancier alleen het akkoord en niet de modelcontracten, dan is dat je concrete vraag: hebben jullie ook standaardcontractbepalingen afgesloten, en zo niet, waarom niet. Elke leverancier kan die vraag beantwoorden, en hoort dat ook te doen. Het antwoord hoort in je eigen doorgifteregister terecht te komen, niet alleen in je mailbox.
En als het antwoord nee is
Dan is de volgende stap niet meteen overstappen. Eerst navragen of er een achtervang in de maak is, en op welke termijn. Pas als dat antwoord uitblijft, of als het antwoord structureel nee is, wordt het een keuze: het risico bewust accepteren, aanvullende afspraken maken, of op zoek gaan naar een alternatief. Dat is een grotere stap, en die neem je pas als je weet dat hij nodig is.
Van de drie partijen op die lijst wisten we binnen een dag waar we moesten beginnen als het misging, en waar niet. Dat is op dit moment het enige verschil dat telt.
Bronnen:
- Brief van de EDPB aan de Europese Commissie over de gevolgen van de uitspraak Trump v. Slaughter, Ref. Ares(2026)7540711, 31 juli 2026. Te vinden via edpb.europa.eu
- Commission Implementing Decision (EU) 2023/1795 (adequaatheidsbesluit EU-VS Data Privacy Framework), via EUR-Lex
- Amerikaans Hooggerechtshof, Trump v. Slaughter, No. 25-332, 29 juni 2026, via supremecourt.gov
Geschreven door Johan Antonissen van Privacy in Bedrijf.