Na zeven jaar procederen en twee baanbrekende uitspraken van het Europese Hof van Justitie ontplofte onlangs de Trans-Atlantische databom. In een uitgelekt voorlopig besluit verbiedt de Ierse datatoezichthouder DPC techgigant Facebook om Europese data naar haar thuisbasis in de VS te sturen. In dezelfde week constateerde de Nederlandse spionnenwaakhond CTIVD in een vernietigend rapport dat de AIVD en MIVD al twee jaar ‘onrechtmatig’ handelen. Zo zouden zij de privacywaarborgen in de toch al controversiële Wiv2017, beter bekend als de ‘sleepwet’, doelbewust met ‘kunstgrepen’ omzeilen, om omvangrijke datasets te kunnen delen met andere diensten in andere landen. Het broodmagere reparatiewetje, dat nu in de Eerste Kamer ligt, is hooguit een pleister op de sleepwetwond. Nederland gaat de VS dus achterna als onveilige datahaven.
De fundamentele botsing tussen inlichtingenwerk en privacy werd jarenlang als hete aardappel door de politiek doorgegeven, tot de hoogste EU-rechter de Europese politiek tot twee keer toe tot de orde riep. Sinds de Schrems II-uitspraak van het Europese Hof van Justitie op 16 juli, woedt een epische machtsstrijd tussen ‘s werelds grootste techbedrijven, datatoezichthouders en politici aan weerszijden van de oceaan. President Trump zou binnenskamers zelfs gezegd hebben dat de VS nu wraak zal nemen op de EU vanwege haar ongehoorzame rechters.
Net als de meeste organisaties baseerde Facebook zich op modelcontracten van de Europese Commissie, een legitieme grondslag voor datatransport onder privacywet AVG. Data van een Europese gebruiker ligt nooit te slapen op een server in Europa, maar dupliceert en flitst elke milliseconde naar een datacenter ergens in de wereld waar in die ene oogopslag toevallig even bandbreedte is. Ga dat maar eens in een weekendje fiksen. Bovendien had de Europese koepel van datatoezichthouders al toegezegd eerst richtlijnen te publiceren hoe bedrijven wél aan de abstracte uitspraak van het EU-Hof moeten voldoen. Om die reden stapte Facebook dus op 11 september naar de rechter om het onverwachte verbod van de Ierse DPC, de leidende Europese toezichthouder voor Facebook, te schorsen.
Voor de Nederlandse diensten is die afkoelperiode allang voorbij. De moedwillige overtredingen van de sleepwet, die al ruim twee jaar voortduren, hebben volgens de waakhond “grote impact op de fundamentele rechten van de burger”, juist omdat “het overgrote deel van de burgers en organisaties die in zulke grote sleepnetdatasets voorkomen geen onderwerp van onderzoek zijn, en dat ook nooit zullen worden”. De Eerste Kamer – in ons staatsbestel de hoeder van de grondrechten – mag de toch al magere reparatiewet niet aanpassen. Burgers zullen zich anders genoodzaakt zien de rechter genoegdoening te vragen voor een inadequate wet en de stelselmatig onrechtmatige praktijken.
In potentie kunnen behendige burgers via een proefprocedure zelfs een civiele massaschadeclaim tegen de diensten instellen, met de onrechtmatige daden uit de CTIVD-rapporten als bewijs. De dichter Heinrich Heine zei naar Nederland te reizen als de wereld vergaat, omdat hier alles later gebeurt. Nu de Trans-Atlantische databom is gebarsten, zal de Nederlandse volgen.