ARBEJDSDOKUMENT 4. DA Forenet i mangfoldighed DA

Transkript

1 EUROPA-PARLAMENTET Udvalget om Borgernes Rettigheder og Retlige og Indre Anliggender ARBEJDSDOKUMENT 4 om USA's overvågningsaktiviteter med hensyn til EU-data og mulige retlige konsekvenser for transatlantiske aftaler og det transatlantiske samarbejde Udvalget om Borgernes Rettigheder og Retlige og Indre Anliggender Ordfører: Claude Moraes Axel Voss (medforfatter) DT\ doc PE v01-00 Forenet i mangfoldighed

2 Konsekvenserne af USA's overvågningsprogrammer for transatlantiske aftaler I lyset af de omfattende afsløringer af USA's overvågningsaktiviteter forventer EU's borgere, at Europa-Parlamentet som den eneste direkte folkevalgte EU-institution tager affære. Parlamentet bør ikke blot reagere på disse afsløringer, men bør i stedet indlede en gennemgående undersøgelse baseret på fornuftige retlige principper og undersøgelser for at foretage en grundig analyse af lovrammen for dataoverførsler med USA. Transatlantiske dataoverførsler finder ikke sted i en gråzone uden for en lovramme, men inden for flere eksisterende transatlantiske aftaler. Som følge af USA's overvågningsaktiviteter opfordrede flere politiske aktører endvidere til at suspendere visse eksisterende transatlantiske aftaler. Ud fra konklusioner fra LIBEundersøgelsesudvalget om elektronisk masseovervågning af EU's borgere og LIBE's delegation til Washington D.C. i oktober 2013 står det klart, at vi for at genoprette tilliden til det transatlantiske forhold skal styrke det økonomiske transatlantiske samarbejde og sikre en passende balance mellem EU's borgeres grundlæggende ret til databeskyttelse og lovlig udøvelse af retshåndhævelse. Eftersom LIBE-undersøgelsesudvalget om elektronisk masseovervågning af EU's borgere stadig er i gang og vil fremlægge det endelige dokument i starten af 2014, vil der i dette arbejdsdokument blive fokuseret på eksisterende transatlantiske aftaler, som adskiller sig med hensyn til omfang, indhold og retlig anvendelse. TFTP-aftalen, PNR-aftalen mellem EU og USA og Safe Harbour er tre vidt forskellige aftaler, som regulerer datastrømmen til og fra USA. På den ene side er TFTP-aftalen og PNR-aftalen mellem EU og USA aftaler på området for retlige og indre anliggender og værktøjer i kampen mod global terrorisme og alvorlig kriminalitet. På den anden side er Safe Harbour en mekanisme til dataoverførsel i erhvervssektoren. Safe Harbour Safe Harbour er en mekanisme indført af de amerikanske myndigheder (handelsministeriet, Federal Trade Commission og trafikministeriet) og Kommissionen for at give amerikanske myndigheder, der behandler personoplysninger for europæiske borgere, et redskab til at overføre data til USA med et tilstrækkeligt beskyttelsesniveau. Formålet med Safe Harbour var oprindeligt at tage hånd om problemet med en manglende dækkende amerikansk lovramme for privatlivets fred. Safe Harbour giver en EU-registeransvarlig mulighed for at overføre personoplysninger til en amerikansk organisation, som på grundlag af selvcertificering har tilsluttet sig Safe Harbour og forpligtet sig til at overholde principperne i Safe Harbour. Safe Harbour har helt fra begyndelsen været politisk kontroversielt. Europa-Parlamentet har flere gange givet udtryk for bekymring på grund af den manglende individuelle klageret, den manglende forpligtelse for virksomheder til at betale erstatning for ulovligt behandlede data og de forskellige beskyttelsessystemer i USA, afhængigt af om ejerne af dataene er europæere eller ej. En eventuel overtrædelse af beslutning 2000/520/EF medfører et dobbelt system til suspendering eller ophævelse af mekanismen. Ifølge artikel 3 kan databeskyttelsesmyndighederne i medlemsstaterne gøre brug af deres beføjelser med henblik på at suspendere overførslen af oplysninger til et foretagende, når der er stor sandsynlighed PE v /7 DT\ doc

3 for, at principperne overtrædes, og når der ved behandling af personoplysninger er stor risiko for på betydelig vis at skade de registrerede. Medlemsstaterne skal underrette Kommissionen i sådanne tilfælde. Kommissionen skal evaluere gennemførelsen af beslutningen på grundlag af tilgængelige oplysninger og rapportere om ethvert relevant forhold til det ved artikel 31 i direktiv 95/46/EF nedsatte udvalg. Kommissionen kan således anføre, at gennemførelsen af Safe Harbour eller selve Safe Harbour ikke fungerer, og kan foreslå foranstaltninger til f.eks. at suspendere eller ophæve beslutningen. Safe Harbour anses i dag for at være en mulig hindring for at håndhæve EU's databeskyttelsesregler. Derudover mistænkes ordningen for at være et led i kæden af retlige begrundelser for USA's masseovervågningsprogram PRISM. Først efter, at medierne afslørede NSA's masseovervågningsaktiviteter, og det kom frem, at store amerikanske selskaber for elektronisk kommunikation, som alle var selvcertificerede i henhold til Safe Harbour, var involveret i disse aktiviteter, offentliggjorde Kommissionen en evaluering af den amerikanske Safe Harbour-ordning. Denne efterfølgende evaluering 1 viser, at det er vigtigt at gennemgå Safe Harbour under hensyntagen til nye teknologier og den eksponentielle stigning i datastrømmene, den øgede betydning af datastrømme, navnlig for den transatlantiske økonomi, den hastige vækst i antallet af virksomheder i USA, som har tilsluttet sig Safe Harbour, og de nyligt offentliggjorte oplysninger om amerikanske overvågningsprogrammer. Meddelelsen indeholder 13 vigtige henstillinger, som USA skal gennemføre for at tage hånd om de grundlæggende identificerede mangler, som skal danne grundlaget for en fuldstændig gennemgang af principperne i Safe Harbour. Trods denne reaktion fra Kommissionen er der udtrykt bekymring om, hvorvidt Safe Harbour er tilstrækkelig i lyset af den omfattende masseovervågning af privat adfærd. Hvad angår USA's elektroniske masseovervågning af EU's borgere, er der bred politisk enighed om, at EU bør stræbe efter at afslutte evalueringen af Safe Harbours tilstrækkelighed og finde nye retlige løsninger. Rapporten fra ad hoc-arbejdsgruppen mellem EU og USA om databeskyttelse af 27. november bekræfter, at amerikansk lovgivning ikke giver amerikanske personer hverken juridisk eller administrativ mulighed for at få adgang, klage og få oplysninger om deres personoplysninger, når de behandles med henblik på retshåndhævelse eller national sikkerhed. Safe Harbour er ikke længere sikker. Suspension eller ophævelse af Safe Harbour-aftalen er ligeledes en politisk drøftelse, men ville sandsynligvis medføre økonomiske konsekvenser. USA og EU er vigtige økonomiske partnere. Det er derfor mere end vigtigt at genopbygge den gensidige tillid mellem de transatlantiske partnere, at styrke tilliden til økonomien og mere specifikt anvende fælles eller tilstrækkelige databeskyttelsesstandarder på begge sider af Atlanten. På lang sigt kan dette ligeledes bidrage til at genopbygge det transatlantiske forhold, så det giver et mere solidt grundlag. Virkningen af de eventuelle økonomiske konsekvenser kendes dog ikke endnu. Det kan have alvorlige konsekvenser for alle de store amerikanske internetselskaber, hvis EU beslutter at ophæve Safe Harbour-beslutningen af 26. juli De vil i givet fald skulle anvende andre instrumenter i henhold til direktiv 95/46/EF, f.eks. kontraktregler eller 1 Communication from the Commission to the European Parliament and Council on the Functioning of Safe Harbour from the Perspective of EU Citizens and Companies Established in the EU, COM(2013)0847 af Rådsdokument 16987/13 af 27. november " There are no opportunities for individuals to obtain access, rectification or erasure of data, or administrative or judicial redress". DT\ doc 3/7 PE v01-00

4 bindende selskabsregler. De nationale databeskyttelsesmyndigheder bør dog overveje, om disse instrumenter giver tilstrækkelig beskyttelse under hensyntagen til den amerikanske lovgivning om efterretning og den nationale sikkerhed og de amerikanske efterretningstjenesters inddragelse af disse selskaber i masseovervågningsaktiviteter. TFTP-aftalen TFTP-aftalen mellem EU og USA om behandling og overførsel af finansielle betalingsdata fra EU til USA til brug for programmet til sporing af finansiering af terrorisme (i det følgende benævnt "TFTP-aftalen") blev indgået den 13. juli 2010 og trådte i kraft den 1. august Sporing af finansiering af terrorisme er et vigtigt værktøj til bekæmpelse af finansiering af terrorisme og alvorlig kriminalitet, hvormed efterforskere inden for bekæmpelse af terrorisme kan opdage forbindelser mellem efterforskningsmål og andre potentielle mistænkte i forbindelse med bredere terroristnetværk, som er under mistanke for at finansiere terrorisme. Efter lange forhandlinger accepterede Europa-Parlamentet TFTP-aftalen på det grundlag, at aftalen sikrede en afbalanceret tilgang til bekæmpelse af terrorisme og samtidig garanterede beskyttelse af borgerrettigheder og grundlæggende rettigheder og sikrede privatlivets fred og databeskyttelse. Beskyldningerne om, at NSA (den nationale sikkerhedsmyndighed) har udnyttet SWIFTdatabasen, har rejst alvorlige bekymringer om, hvorvidt aftalen gav en reel retlig garanti og beskyttelse af EU's borgeres personoplysninger. Fra hele det politiske spektrum lød der opfordringer til Kommissionen om at foretage en fuldstændig undersøgelse af beskyldningerne om alvorlige overtrædelser om TFTP-aftalen mellem EU og USA for at genoprette tilliden og det loyale samarbejde i det transatlantiske forhold til USA. I en fælles resolution om SWIFT-aftalen som følge af NSA's overvågning 1 stemte et flertal i Europa- Parlamentet for, at Kommissionen skulle suspendere den nuværende aftale. Ifølge TFTP-aftalens artikel 21 er det retligt muligt at suspendere aftalen: "Hver af parterne kan ved meddelelse ad diplomatiske kanaler suspendere anvendelsen af denne aftale med øjeblikkelig virkning, hvis den anden part ikke overholder sine forpligtelser i medfør af aftalen. Opsigelsen får virkning seks (6) måneder fra datoen for modtagelsen af meddelelsen. Forud for en eventuel suspension eller opsigelse af denne aftale konsulterer parterne hinanden på en sådan måde, at der er tilstrækkelig tid til at træffe en beslutning, der er gensidig enighed om. Uanset denne aftales suspension eller opsigelse behandles alle oplysninger, som er i det amerikanske finansministeriums besiddelse i medfør af denne aftale, fortsat i overensstemmelse med denne aftales sikkerhedsbestemmelser, herunder bestemmelserne om sletning af oplysninger." 2 Det amerikanske finansministerium erklærede officielt i et svar til kommissær Malmström og LIBE-delegationen til Washington D.C. ( oktober 2013), at den amerikanske regering (idet NSA i denne forbindelses anses som en del af regeringen) ikke har indsamlet og Aftale mellem Den Europæiske Union og Amerikas Forenede Stater om behandling og overførsel af finansielle betalingsdata fra Den Europæiske Union til USA til brug for programmet til sporing af finansiering af terrorisme, EFT L 215/7 af PE v /7 DT\ doc

5 behandlet SWIFT-oplysninger på andre måder end i henhold til aftalen. Det amerikanske finansministerium gav ligeledes forsikringer vedrørende adgang til SWIFTformaterede meddelelser i overensstemmelse med andre retsinstrumenter. Kommissær Malmström rapporterede til medlemmerne af LIBE-udvalget om den seneste udvikling i TFTP og TFTS den 27. november Inden for rammerne af høringsproceduren i TFTP-aftalen har kommissær Malmström været i kontakt med USA, og disse høringer har bragt afsløringer, der tyder på, at USA har overtrådt TFTP-aftalen. Endvidere har det medført, at USA skriftligt har forsikret, at der ikke er foregået nogen direkte dataindsamling i strid med bestemmelserne i TFTP-aftalen. Tjenestemænd fra Europol og SWIFT har rapporteret til LIBE-undersøgelsesudvalget, at der ikke var nogen tegn på, at NSA havde overtrådt TFTPaftalen. Trods disse forsikringer fra USA og Kommissionen har visse politiske grupper givet udtryk for bekymring vedrørende præciseringen på grund af den manglende tekniske efterforskning og tilliden til erklæringerne fra USA: Tilliden skal genopbygges for at sikre et fremtidigt vellykket samarbejde mellem USA og EU. PNR-aftale mellem EU og USA Aftalen mellem EU og USA om passagerlisteoplysninger (i det følgende kaldet "PNR-aftalen mellem EU og USA") blev indgået i henhold til artikel 24 og artikel 38 i den tidligere traktat om Den Europæiske Union. Passagerlisteoplysninger er datasæt, som flyselskaberne opretter for hver flypassager i et computerreservationssystem. PNR-aftalen mellem EU og USA er en aftale, som EU har indgået med et tredjeland, og som derfor skal godkendes af Europa- Parlamentet. Den nye aftale blev indgået i november 2011 og omfatter et klart anvendelsesområde, maksimal tid til lagring af data, mulighed for, at EU-tjenestemænd kan kontrollere gennemførelsen af aftalen i USA, og en klausul om gennemgang. PNR-aftalen mellem EU og USA indeholder en suspensions- og en opsigelsesklausul. På den ene side giver artikel 24 mulighed for at suspendere aftalen i tilfælde af en tvist som følge af gennemførelsen af aftalen og mange dermed forbundne forhold. Hvis konsultationerne ikke fører til, at tvisten bilægges, kan hver af parterne ved skriftlig meddelelse ad diplomatiske kanaler suspendere anvendelsen af aftalen. Opsigelsen får virkning 90 dage fra datoen for denne meddelelse, medmindre parterne er blevet enige om en anden dato. Uanset PNR-aftalen mellem EU og USA's suspension behandles og anvendes alle PNR-oplysninger, som er i Department of Homeland's (DHS) besiddelse i medfør af denne aftale inden dens suspension, fortsat i overensstemmelse med denne aftales sikkerhedsbestemmelser. Det bemærkes imidlertid, at enhver overtrædelse af en aftale kan anses for at være en afgørende faktor og føre til suspension af aftalen. På den anden side er artikel 25 i PNR-aftalen mellem EU og USA opsigelsesklausulen i den retlige aftale. Hver af parterne kan ved skriftlig meddelelse ad diplomatiske kanaler til enhver tid opsige aftalen. Opsigelsen får virkning 120 dage fra datoen for meddelelsen. 1 I lyset af de alvorlige bekymringer i EU om USA's overvågningsprogrammer udstedte 1 Aftale mellem Amerikas Forenede Stater og Den Europæiske Union om anvendelse og overførsel af passagerlisteoplysninger til United States Department of Homeland Security, EUT L 215/5 af DT\ doc 5/7 PE v01-00

6 Kommissionen den fælles vurdering af gennemførelsen af aftalen mellem EU og USA om behandling og overførsel af PNR til DHS for at kontrollere, hvordan disse aftaler anvendes. For PNR-aftalens vedkommende blev der foretaget en fælles gennemgang med deltagelse af databeskyttelseseksperter fra EU og USA, som havde til formål at klarlægge, hvordan aftalen var blevet gennemført. Ifølge denne endelige rapport 1 har DHS erklæret, at det deler PNR med den amerikanske efterretningstjeneste, hvis der foreligger et bekræftet tilfælde med en klar sammenhæng med terrorisme, og i henhold til aftalens betingelser. I gennemgangsperioden gav DHS i 23 særskilte tilfælde PNR-oplysninger til NSA til støtte for antiterrorsager i overensstemmelse med aftalens betingelser. Ifølge gennemgangen fortolkes deling af oplysninger med tredjelande strengt og ligeledes i overensstemmelse med aftalen. Dermed er der ifølge gennemgangen ikke noget, der tyder på, at PNR-aftalen mellem EU og USA er blevet overtrådt. I den endelige rapport nævnes det imidlertid ikke, at ikkeamerikanske borgere i henhold til amerikansk lovgivning i forbindelse med behandling af personoplysninger til efterforskningsformål ikke har nogen retlige eller administrative muligheder for at beskytte deres rettigheder. Forfatningsmæssig beskyttelse kan kun opnås af amerikanske personer 2. USA's overvågningsprogrammer og deres konsekvenser for fremtidige transatlantiske aftaler Som følge af afsløringerne af USA's masseovervågning er der behov for at genoprette og styrke tilliden i det transatlantiske forhold mellem EU og USA. Hvad angår fremtidige transatlantiske aftaler, skal der være et tillidsforhold, så begge sider kan samarbejde om at blive enige om spørgsmål, som er vigtige for både EU's og USA's borgere. Det er vigtigt, at USA anerkender, at overholdelse af de grundlæggende rettigheder og datasikkerhed er et vigtigt led i EU's og medlemsstaternes rammelovgivning og et vigtigt spørgsmål i EU. Den manglende tilfredsstillende kontrol med hensyn til at kunne garantere datasikkerhed for EU's borgere og virksomheder i Europa vil påvirke de fremtidige transatlantiske aftaler negativt. Adgangen til de oplysninger, der behandles og lagres i EU, enten direkte af USA's NSA eller andre efterforskningsagenturer, eller uden brug af mekanismerne til gensidig retshjælp, har udhulet den transatlantiske tillid i alvorlig grad og ligeledes påvirket tilliden til amerikanske organisationer med aktiviteter i EU. Dette forværres ydermere af manglen på retslige og administrative klagemidler i den amerikanske lovgivning for EU's borgere, navnlig i forbindelse med overvågningsaktiviteter til efterforskningsformål. I lyset af Europa- Parlamentets betydning for de transatlantiske aftaler bør det revurdere sin rolle for at sikre, at ansvaret ikke ophører, når det har givet sin støtte til en aftale. Som demokratisk valgt institution er Europa-Parlamentet forpligtet til at sikre, at EU's borgeres grundlæggende rettigheder respekteres og fortsat respekteres i eventuelle transatlantiske aftaler. 1 Joint Review of the implementation of the Agreement between the European Union and the United States of America on the processing and transfer of passenger name records to the United States Department of Homeland Security Accompanying the Report from the Commission to the European Parliament and to the Council on the joint review of the implementation of the Agreement between the European Union and the United States of America on the processing and transfer of passenger name records to the United States Department of Homeland Security, SEC(2013)0630, Bruxelles, Rapport fra arbejdsgruppen mellem EU og USA om databeskyttelse. Rådsdokument 16987/13 af 27. november PE v /7 DT\ doc

7 Henstillinger EU's og USA's tilgang til databeskyttelse og privatlivets fred er grundlæggende meget forskellig. Hvor databeskyttelse er en grundlæggende rettighed i EU, opfattes det som et led i forbrugerbeskyttelse og organiseres sektorspecifikt i USA. Hvor der i EU løbende arbejdes på at skabe balance mellem databeskyttelse og privatlivets fred på den ene side og sikkerhed og retshåndhævelse på den anden, synes USA kun at prioritere sikkerhed og retshåndhævelse. NSA's overvågningsaktiviteter påvirker primært EU's borgeres privatliv, men også forholdet mellem USA og EU. USA's overvågningsaktiviteter med hensyn til EU-oplysninger kan have retlige konsekvenser for de eksisterende transatlantiske aftaler og det fremtidige transatlantiske samarbejde. Manglende tillid og spændinger mellem de transatlantiske partnere er konsekvenser som følge af overtrædelsen af retlige aftaler mellem USA og EU. (Midlertidig) suspension og genforhandlinger af eksisterende økonomiske transatlantiske aftaler kan være retlige konsekvenser af USA's overvågningsaktiviteter. Som allerede nævnt henviser dette til ovennævnte forslag om at afslutte Safe Harbour for at bringe balance i det transatlantiske forhold. I denne forbindelse opfordres Kommissionen indtrængende til i forbindelse med de igangværende forhandlinger at indgå en databeskyttelsesaftale om retshåndhævelse (paraplyaftale). Denne aftale er yderst vigtig, eftersom den vil danne grundlag for at fremme dataoverførsel i forbindelse med politisamarbejdet og det retlige samarbejde samt i kriminalsager. Endvidere vil den give EU's borgere ret til domstolsprøvelse i USA, når deres personoplysninger behandles i USA med henblik på retshåndhævelse eller retligt samarbejde. Denne aftale vil styrke EU's borgeres databeskyttelses- og privatlivsrettigheder og samtidig genoprette tilliden i det transatlantiske samarbejde inden for retlige og indre anliggender. DT\ doc 7/7 PE v01-00