DA Den Europæiske Unions Tidende C 355/10

Udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse forslaget til Rådets afgørelse om indgåelse af aftalen mellem Den Europæiske Union og Amerikas Forenede Stater om behandling og overførsel af finansielle betalingsdata fra Den Europæiske Union til USA til brug for programmet til sporing af finansiering af terrorisme (TFTP II)

2010/C 355/02

DEN EUROPÆISKE TILSYNSFØRENDE FOR DATABESKYTTELSE,

som henviser til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 16,

som henviser til Den Europæiske Unions charter om grundlæggende rettigheder, særlig artikel 8,

som henviser til Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (1),

som henviser til anmodningen om en udtalelse i overensstemmelse med artikel 28, stk. 2, i forordning (EF) nr. 45/2001 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i fællesskabsinstitutionerne og -organerne og om fri udveksling af sådanne oplysninger (2),

HAR VEDTAGET FØLGENDE UDTALELSE:

I. INDLEDNING

1. Den 15. juni 2010 vedtog Kommissionen et forslag til Rådets afgørelse om indgåelse af aftalen mellem Den Europæiske Union og Amerikas Forenede Stater om behandling og overførsel af finansielle betalingsdata fra Den Europæiske Union til USA til brug for programmet til sporing af finansiering af terrorisme (TFTP II) (herefter benævnt »forslaget«). Forslaget (inklusive teksten til et udkast til aftale med USA) blev forelagt EDPS med henblik på en udtalelse. EDPS hilser det velkommen, at han høres, og henstiller, at der henvises til denne udtalelse i præamblen til forslaget.

2. Kommissionens forslag er udløst af ændringerne af strukturen i SWIFT (3), der fra 1. januar 2010 sikrer, at meddelelser om finansielle SWIFT-transaktioner, som kun vedrører Det Europæiske Økonomiske Samarbejdsområde og Schweiz, skal forblive i den europæiske zone — i modsætning til den transatlantiske zone — og ikke længere bliver spejlet i det amerikanske operationscenter.

3. Med det aktuelle forslag påtænker Kommissionen en international aftale mellem EU og USA, som i henhold til artikel 216 (internationale aftaler), 82 (retligt samarbejde) og 87 (politisamarbejde) i traktaten om Den Europæiske Unions funktionsmåde vil kræve, at relevante oplysninger om finansielle transaktioner, der er nødvendige for det amerikanske finansministeriums program til sporing af finansiering af terrorisme, bliver overført til det amerikanske finansministerium.

4. I fortsættelse af Europa-Parlamentets beslutning af 11. februar 2010 om at nægte at godkende den midlertidige aftale, som blev underskrevet den 30. november 2009, sigter det nye udkast især imod at imødekomme bekymringerne for beskyttelsen af personoplysninger, en grundlæggende ret, som efter Lissabontraktatens ikrafttræden er blevet endnu mere relevant inden for Den Europæiske Unions retlige rammer.

5. I forslaget fremhæves relevansen af databeskyttelse, idet de relevante artikler i traktaterne og andre internationale instrumenter eksplicit nævnes, og dens karakter af grundlæggende rettighed anerkendes. Dog er der ikke planer om at bruge artikel 16 i TEUF som retsgrundlag til trods for, at det i artikel 1, stk. 1, i den foreslåede aftale understreges, at en høj grad af databeskyttelse er et af hovedformålene. I den forbindelse gentager EDPS, at denne aftale ikke blot vedrører udveksling af personoplysninger, men også beskyttelse af disse oplysninger. Artikel 16 TEUF er derfor ikke mindre relevant som retsgrundlag end artikel 82 og 87 i TEUF vedrørende retligt og politimæssigt samarbejde, der er blevet valgt som retsgrundlag.

6. Forslaget er omfattet af proceduren i artikel 218, stk. 6, TEUF. Ifølge denne procedure kan Rådet kun vedtage en afgørelse om bemyndigelse til at indgå aftalen efter at have opnået Europa-Parlamentets godkendelse. Dette forslag udgør således en afgørende »testreference« for anvendelsen af de nye Lissabonprocedurer for en international aftale om beskyttelse af personoplysninger. Hvis det sikres, at databeskyttelsesprincipper og -garantier bliver fastlagt tilfredsstillende i denne aftale, vil det bane vejen for succes i andre forhandlinger.

7. I denne forbindelse understreger EDPS betydningen af forhandlingerne om en aftale mellem Den Europæiske Union og USA om beskyttelse af personoplysninger, når de overføres og behandles med henblik på at forebygge, undersøge, afsløre eller retsforfølge strafferetlige overtrædelser, herunder terrorisme, inden for rammerne af politisamarbejdet og det retlige samarbejde i straffesager. Udkastet til fuldmagt til at indlede disse forhandlinger blev vedtaget af Kommissionen den 26. maj 2010. Ved fremlæggelsen af dette udkast til fuldmagt understregede Kommissionen behovet for en solid aftale om beskyttelse af personoplysninger (4).

8. På denne baggrund henstiller EDPS, at der til det aktuelle forslag knyttes en stærk forbindelse til forhandlingerne med USA om de generelle transatlantiske databeskyttelsesrammer. Det bør sikres, at disse standarder også skal anvendes på TFTP II-aftalen. EDPS henstiller, at dette krav inkluderes i den nuværende aftale, eller at det i det mindste aftales med USA's regering, at en eventuel fremtidig aftale om databeskyttelse kommer til at dække udvekslinger i henhold til det nuværende forslag.

9. Endelig bidrager EDPS aktivt til indstillingerne i artikel 29-gruppen vedrørende databeskyttelse og arbejdsgruppen om politimæssigt og retligt samarbejde. Ud over de punkter, der er fremhævet eller bliver fremhævet i disse indstillinger, indeholder denne udtalelse en analyse af det aktuelle forslag med udgangspunkt i EDPS’ tidligere bemærkninger vedrørende både den midlertidige aftale og de igangværende forhandlinger med USA.

II. ANALYSE AF FORSLAGET

II.1. Forslaget indeholder visse forbedringer

10. EDPS anerkender, at dette forslag omhandler nogle væsentlige forbedringer i forhold til den midlertidige TFTP I-aftale, f.eks.: — udelukkelse af data fra det fælles europæiske betalingsområde. Det fastsættes eksplicit i forslaget, at der i begæringer fra det amerikanske finansministerium ikke anmodes om data vedrørende det fælles europæiske betalingsområde (artikel 4, stk. 2, litra d)). — definition af terrorisme. Artikel 2 i forslaget bygger på definitionen af terrorisme efter tilgangen i artikel 1 i Rådets rammeafgørelse 2002/475/RIA (5).

11. I fortsættelse af Europa-Parlamentets og de europæiske databeskyttelsesmyndigheders anmodninger indeholder forslaget endvidere en række bestemmelser (artikel 14-18) om registreredes rettigheder såsom retten til at blive informeret, retten til aktindsigt, retten til berigtigelse, sletning eller blokering samt retten til at opnå erstatning. Imidlertid er det stadig ikke klart, hvordan disse bestemmelser konkret skal håndhæves, og hvilke procedurer ikke-amerikanske borgere eller indbyggere skal følge (jf. nedenfor afsnit II.2.3).

II.2. Men der er stadig behov for yderligere forbedringer

12. EDPS er helt enig i behovet for at sikre fuld respekt for privatlivets fred og beskyttelse af personoplysninger, jf. forslagets artikel 1, stk. 1. Ud fra den synsvinkel fremhæver EDPS, at der stadig er nogle åbne spørgsmål, som skal besvares, og nogle centrale elementer, der skal forbedres for at opfylde betingelserne i EU's retlige rammer om beskyttelse af personoplysninger.

II.2.1. Er den påtænkte behandling af personoplysninger virkelig nødvendig og forholdsmæssig?

13. EDPS er helt klar over, at bekæmpelse af terrorisme og finansiering af terrorisme kan nødvendiggøre begrænsninger i retten til beskyttelse af personoplysninger og også i bestemmelserne om bankhemmelighed. Det er allerede tilfældet i en række af EU's instrumenter (6), som indeholder et vist antal foranstaltninger, der sigter mod at bekæmpe misbrug af det finansielle system til hvidvaskning af penge og finansiering af terrorisme. Disse instrumenter indeholder også specifikke bestemmelser, som åbner mulighed for informationsudveksling med tredjelandes myndigheder samt garantier for beskyttelse af personoplysninger i overensstemmelse med direktiv 95/46/EF.

14. Endvidere giver aftalen mellem EU og USA om gensidig retshjælp mulighed for udveksling mellem retshåndhævende myndigheder af oplysninger vedrørende bankkonti og finansielle transaktioner, og der fastsættes betingelser og begrænsninger for denne udveksling. Også på internationalt plan danner de såkaldte Egmontprincipper (7) grundlaget for international udveksling af oplysninger om finansielle transaktioner mellem finansielle efterretningsenheder, samtidig med at de fastsætter begrænsninger og garantier for anvendelse af de udvekslede oplysninger. Desuden er der allerede etableret instrumenter for dataudveksling mellem USA og Europol og Eurojust, som sikrer informationsudveksling samtidig med beskyttelse af personoplysninger.

15. På denne baggrund sætter Kommissionens forslag fokus på nytten af TFTP-programmet, som er etableret af det amerikanske finansministerium, og af den fremtrædende persons rapporter. Imidlertid er den betingelse, der er anført i artikel 8 EMRK som begrundelse for indgreb i privatliv, »nødvendigt« snarere end »nyttigt«.

16. Ifølge EDPS skal der være tilstrækkeligt bevis for den reelle merværdi af denne aftale under hensyntagen til allerede eksisterende instrumenter, eller med andre ord i hvilken udstrækning er aftalen virkelig nødvendig for at opnå resultater, som ikke kunne opnås ved instrumenter, der griber mindre ind i privatlivets fred såsom dem, der allerede er fastsat gennem EU- og internationale rammer? Ifølge EDPS bør denne merværdi være utvetydigt fastslået som forudsætning for en aftale med USA om udveksling af finansielle oplysninger, også på baggrund af aftalens indgribende karakter (jf. også afsnit 18-22 om proportionalitet).

17. EDPS er ikke i stand til at vurdere nødvendigheden af denne aftale. Selv om aftalens nødvendighed påvises, fortjener andre punkter dog stadig forhandlernes opmærksomhed.

18. Proportionalitet er også hovedkriteriet, når mængden af overførte personoplysninger og deres lagringsperiode vurderes. Artikel 4 i forslaget indsnævrer anvendelsesområdet for de amerikanske begæringer. Dog fastsættes det stadig i forslaget, at personoplysninger vil blive overført til de amerikanske myndigheder i store mængder og herefter opbevaret i en periode på i princippet fem år, uanset om de er udtrukket, eller der er en bevist forbindelse med en bestemt undersøgelse eller retsforfølgelse.

Store overførsler

19. Til trods for Europa-Parlamentets og de europæiske databeskyttelsesmyndigheders anmodninger er forslaget stadig baseret på, at personoplysninger vil blive overført til det amerikanske finansministerium i store mængder. I forbindelse med dette punkt er det vigtigt at præcisere, at det forhold, at det nuværende SWIFT-system ikke giver mulighed for en målrettet søgning, ikke kan betragtes som en tilstrækkelig begrundelse for at gøre overførsel af data i store mængder lovlig ifølge EU's databeskyttelseslov.

20. Derfor mener EDPS, at der bør findes løsninger til at sikre, at overførsler i store mængder erstattes af mekanismer, hvorved oplysninger om finansielle transaktioner kan filtreres i EU og dermed sikre, at kun relevante og nødvendige data sendes til de amerikanske myndigheder. Hvis disse løsninger ikke kan findes omgående, bør der under alle omstændigheder nøje defineres en kort overgangsperiode i aftalen, hvorefter overførsler i store mængder ikke længere vil være tilladt.

Datalagringsperiode

21. Med hensyn til lagringsperioden anerkender EDPS, at forslaget korrekt fastsætter maksimale opbevaringsperioder samt mekanismer til at sikre, at personoplysninger slettes, når de ikke længere er nødvendige. Imidlertid synes bestemmelserne i forslagets artikel 6 om ikke-udtrukne data at gå i den modsatte retning. For det første er begrebet »ikke-udtrukne data« ikke klart og bør derfor præciseres. For det andet er det ikke bevist, hvorfor det er nødvendigt at opbevare ikke-udtrukne data i fem år.

22. EDPS anerkender fuldt ud behovet for at sikre, at personoplysninger, der er nødvendige til en bestemt efterforskning eller retsforfølgning af sager om terrorbekæmpelse, indhentes, behandles og opbevares så længe, som det er nødvendigt, i nogle tilfælde endda ud over fem år, eftersom det kan være, at der er behov for personoplysningerne til langvarige efterforskninger eller retlige procedurer. Hvis man imidlertid antager, at ikke-udtrukne data er data, som er blevet overført i store mængder, og som hverken er blevet indhentet eller brugt til en bestemt retsforfølgning eller efterforskning, bør den tilladte opbevaringsperiode for disse data være langt mere begrænset. I det lys er det nyttigt at fremhæve, at den tyske forbundsforfatningsdomstol har vurderet, at en lagringsperiode på seks måneder i tilfælde af opbevaring af telekommunikationsdata allerede er meget lang og som følge heraf kræver en tilstrækkelig begrundelse (8). Forfatningsdomstolen syntes at betragte denne seksmåneders periode som maksimal for data, der ikke vedrørte nogen bestemt efterforskning.

II.2.2. Sikrer forslaget retslig kontrol?

23. Ifølge forhandlingsmandatet bør en offentlig juridisk myndighed have ansvaret for at modtage begæringer fra det amerikanske finansministerium, vurdere, at de er i overensstemmelse med aftalen og, hvor det er hensigtsmæssigt, forlange, at udbyderen overfører data direkte, dvs. på grundlag af et »push«-system. Både Europa-Parlamentet og EDPS så velvilligt på denne metode, som repræsenterer en afgørende garanti — på linje med medlemsstaternes nationale forfatninger og retssystemer — for at sikre lovlige og afbalancerede dataoverførsler samt en uafhængig kontrol.

24. I henhold til forslaget pålægges denne opgave imidlertid Europol, som er et EU-agentur for forebyggelse og bekæmpelse af organiseret kriminalitet, terrorisme og andre former for grov kriminalitet, der berører to eller flere medlemsstater. (9) Det er indlysende, at Europol ikke er en retlig myndighed.

25. Endvidere har Europol specifikke interesser i udveksling af personoplysninger på grundlag af den foreslåede aftale. Artikel 10 i forslaget giver Europol beføjelse til at anmode om relevant information opnået gennem TFTP, hvis det har grund til at formode, at en person eller en enhed har forbindelse til terrorisme. Det er svært at forene denne beføjelse for Europol, som kan være vigtig for løsningen af Europols opgave, og som kræver gode relationer til det amerikanske finansministerium, med Europols opgave med at sikre uafhængig kontrol.

26. Endvidere vil EDPS gerne vide, i hvilken grad de nuværende juridiske rammer — især uden at ændre retsgrundlaget ifølge den almindelige procedure i henhold til Lissabontraktaten — giver Europol opgaver og beføjelser til at gøre en administrativ begæring fra et tredjeland »bindende« (artikel 4, stk. 5) for en privat virksomhed, der således bliver »bemyndiget og forpligtet« til at levere data til det pågældende tredjeland. I den forbindelse skal det bemærkes, at det, som EU-lovgivningen ser ud nu, ikke er klart, om en afgørelse truffet af Europol over for en privat virksomhed vil være underlagt Europadomstolens kontrol.

27. På baggrund heraf gentager EDPS, at opgaven med at vurdere begæringerne fra det amerikanske finansministerium — også med henblik på at overholde forhandlingsmandatet og det nuværende EU-retsgrundlag — bør pålægges en offentlig juridisk myndighed.

II.2.3. Giver forslaget de registrerede rettigheder (og beskyttelse), der kan håndhæves?

28. Som allerede nævnt i indledningen til denne udtalelse fastsættes der i forslaget en række rettigheder for registrerede såsom retten til at blive informeret, retten til aktindsigt, retten til berigtigelse, sletning eller blokering samt retten til at opnå erstatning. Det er imidlertid vigtigt på den ene side at forbedre nogle elementer af disse bestemmelser og på den anden at sikre, at de kan håndhæves effektivt.

29. Med hensyn til retten til at få adgang til egne personoplysninger fastlægges der en række begrænsninger i aftalen. EDPS erkender, at der især i forbindelse med terrorbekæmpelse kan indføres begrænsninger i registreredes rettigheder, forudsat at de er nødvendige. Selv om videreformidling til en person af den pågældendes personoplysninger godt kan være begrænset under de i artikel 15, stk. 2, nævnte omstændigheder, bør det dog præciseres i forslaget, at videreformidling af disse oplysninger til de europæiske nationale databeskyttelsesmyndigheder under alle omstændigheder bør være mulig, så disse myndigheder kan løse deres tilsynsopgave effektivt. Naturligvis vil databeskyttelsesmyndighederne være bundet af tavshedspligt under udøvelsen af deres arbejde og skal ikke videreformidle oplysningerne til den pågældende person, så længe betingelserne for en undtagelse er til stede.

30. Med hensyn til retten til berigtigelse hedder det i artikel 17, stk. 2, at »Hver part informerer så vidt muligt den anden, hvis den bliver opmærksom på, at væsentlige oplysninger, som den har overført til eller modtaget fra den anden part i medfør af denne aftale, er ukorrekte eller upålidelige«. EDPS mener, at forpligtelsen til at berigtige ukorrekte eller upålidelige oplysninger er en grundlæggende garanti ikke kun for den registrerede, men også for effektiviteten af de retshåndhævende myndigheders indsats. I den forbindelse bør myndigheder, som udveksler oplysninger, iværksætte mekanismer for at sikre, at denne berigtigelse altid er mulig, og ordene »så vidt muligt« bør derfor slettes fra forslaget.

31. Imidlertid vedrører EDPS’ største bekymring spørgsmålet om, hvorvidt disse rettigheder kan håndhæves. Af hensyn til retssikkerhed og gennemsigtighed bør forslaget på den ene side indeholde nærmere detaljer om, hvilke konkrete procedurer de registrerede kan benytte for at håndhæve de rettigheder, der anerkendes i aftalen, både i EU og i USA.

32. På den anden side hedder det eksplicit og klart i artikel 20, stk. 1, at aftalen »danner ikke grundlag for og giver ikke nogen rettigheder eller fordele til private eller offentlige personer eller enheder«. EDPS bemærker, at denne bestemmelse synes at annullere eller i det mindste sætte spørgsmålstegn ved den bindende virkning af de bestemmelser i aftalen, der sikrer registreredes rettigheder, som i øjeblikket hverken er anerkendt eller kan håndhæves i henhold til amerikansk lov, især når de registrerede ikke er amerikanske statsborgere eller personer med fast bopæl. F.eks. giver den amerikanske Privacy Act en begrænset ret til aktindsigt i personoplysninger, som er stærkere end den generelle ret til aktindsigt, offentligheden har i henhold til den amerikanske Freedom of Information Act. Dog hedder det klart i den amerikanske Privacy Act, at en begæring om aktindsigt i egne oplysninger kun er mulig for »en amerikansk statsborger eller en udlænding, som lovligt har fået fast ophold«. (10)

33. EDPS henstiller derfor, at den nuværende formulering af artikel 20, stk. 1, revideres for at sikre, at de rettigheder, forslaget giver, er klart anført og kan håndhæves effektivt, også på amerikansk territorium.

II.2.4. Sikrer forslaget tilfredsstillende og uafhængig kontrol og tilsyn?

34. I forslagets artikel 12 fastsættes forskellige niveauer for overvågning af de betingelser og sikkerhedsforanstaltninger, som fastsættes ved aftalen. »Uafhængige overvågere« skal i realtid og med tilbagevirkende kraft overvåge alle søgninger, der iværksættes af det amerikanske finansministerium. Endvidere skal »en uafhængig person, som Europa-Kommissionen har udpeget«, løbende kontrollere det første kontrolniveau, herunder dets uafhængighed. Det bør præciseres, hvilke opgaver denne uafhængige person skal have, hvordan det vil blive garanteret, at den pågældende faktisk kan løse sine opgaver, og hvem han/hun refererer til.

35. I artikel 13 fastsættes der også en mekanisme til fælles evaluering, som skal foretages efter seks måneder og herefter med regelmæssige mellemrum. Denne fælles evaluering skal foretages af en fælles europæisk-amerikansk delegation, der for EU-delegationens vedkommende skal omfatte repræsentanter for to databeskyttelsesmyndigheder, og der udfærdiges en rapport, som Kommissionen forelægger for Europa-Parlamentet og Rådet.

36. EDPS fremhæver, at uafhængigt tilsyn er et centralt element i retten til beskyttelse af personoplysninger, som det bekræftes i artikel 16 TEUF og artikel 8 i EU's charter om grundlæggende rettigheder. For nylig opstillede Domstolen strenge kriterier for uafhængighed i sin dom af 9. marts 2010, Kommissionen mod Tyskland (11). Det er indlysende, at de samme strenge kriterier ikke kan pålægges tredjelande, men det er også klart, at der kun kan være tale om en passende beskyttelse af personoplysninger (12), såfremt der er tilstrækkelige garantier for uafhængig kontrol. Det er også en betingelse for internationale aftaler med lande, hvis retssystem ikke finder det nødvendigt at etablere kontrol ved en uafhængig myndighed.

37. På denne baggrund er det afgørende, at i det mindste de nærmere betingelser for kontrollen og den fælles evaluering samt beføjelserne for de personer, der foretager kontrollen, og garantierne for deres uafhængighed er klart defineret i aftalen i stedet for at være noget, parterne »koordinerer i fællesskab«, eller som fastsættes af parterne på et senere tidspunkt. Navnlig er det vigtigt at sikre, at både den af Europa-Kommissionen udpegede person og repræsentanterne for de europæiske databeskyttelsesmyndigheder kan handle uafhængigt og udføre deres tilsynsopgaver effektivt.

38. Endvidere bør forslaget ikke kun indeholde datoen for den første fælles evaluering, som skal finde sted efter seks måneder, men også tidslinjen for den følgende evaluering, der f.eks. kan finde sted hvert år derefter. EDPS henstiller også til, at der fastlægges en forbindelse mellem resultatet af disse fælles evalueringer og aftalens varighed.

39. I den forbindelse understreger EDPS, at en udløbsklausul er ønskelig — også set i lyset af, at der muligvis foreligger mere målrettede løsninger på længere sigt. En udløbsklausul kan også være et godt incitament til at sikre, at der bliver gjort den nødvendige indsats for at udvikle sådanne løsninger, hvilket vil betyde, at der ikke længere er nogen grund til at sende data i store mængder til det amerikanske finansministerium.

40. Med henblik på at styrke effektiviteten af både kontrollen og den fælles evaluering bør der foreligge information og relevante data om antallet af begæringer om aktindsigt og erstatning, mulig opfølgning (sletning, berigtigelse osv.) samt om antallet af beslutninger om begrænsning af registreredes rettigheder. I forbindelse med evalueringen bør der foreligge og rapporteres information om mængden ikke blot af meddelelser, det amerikanske finansministerium har »fået adgang til«, men også af meddelelser, der er »udleveret« til det amerikanske finansministerium. Det bør specificeres i aftalen.

41. Endvidere bør de europæiske databeskyttelsesmyndigheders beføjelser og kompetencer ikke på nogen måde begrænses i forslaget. I den sammenhæng bemærker EDPS, at forslaget er et tilbageskridt i forhold til den midlertidige TFTP-aftale. For mens det i præamblen til den foregående aftale hed, at »denne aftale ikke udgør en fravigelse af medlemsstaternes databeskyttelsesmyndigheders eksisterende beføjelser til at beskytte enkeltpersoner med hensyn til behandling af deres personoplysninger«, er der i forslaget nu tale om »kompetente databeskyttelsesmyndigheders tilsyn på en måde, der er i overensstemmelse med denne aftales specifikke bestemmelser«. EDPS henstiller derfor, at det i forslaget klart erklæres, at aftalen ikke udgør en fravigelse fra eller begrænser de europæiske databeskyttelsesmyndigheders beføjelser.

III. KONKLUSIONER

42. EDPS anerkender, at dette forslag omfatter visse væsentlige forbedringer i forhold til den midlertidige TFTP I-aftale såsom udelukkelse af oplysninger vedrørende det fælles europæiske betalingsområde, en mere begrænset definition af terrorisme og mere detaljerede bestemmelser om registreredes rettigheder.

43. EDPS bemærker imidlertid, at en væsentlig forudsætning for vurderingen af en ny TFTP-aftales legitimitet bør opfyldes. Ordningens nødvendighed må fastslås i forhold til allerede eksisterende EU- og internationale instrumenter.

44. Hvis ordningen skulle være nødvendig, fremhæver EDPS, at der stadig er nogle åbne spørgsmål, som skal besvares, og nogle centrale elementer, der skal forbedres for at opfylde betingelserne i EU's retlige rammer om beskyttelse af personoplysninger som f.eks.: — at sikre, at overførsler af store mængder erstattes af mekanismer, hvorved oplysninger om finansielle transaktioner kan filtreres i EU og dermed sikre, at kun relevante og nødvendige data sendes til de amerikanske myndigheder — at nedbringe opbevaringsperioden for ikke-udtrukne data betydeligt — at pålægge en offentlig juridisk myndighed opgaven med at vurdere begæringer fra det amerikanske finansministerium i overensstemmelse med forhandlingsmandatet og EU's aktuelle lovgrundlag — at sikre, at de rettigheder, forslaget giver de registrerede, er klart anført og kan håndhæves effektivt, også på amerikansk territorium — at sikre uafhængige kontrol- og tilsynsmekanismer ved: i) at sikre en klar definition af opgaver og rolle for både den person, der udpeges af Europa-Kommissionen, og repræsentanterne for de europæiske databeskyttelsesmyndigheder, og at de sættes i stand til at handle uafhængigt og udføre deres tilsynsopgaver effektivt ii) at sikre, at fælles evalueringer finder sted regelmæssigt, og at deres resultat knyttes til aftalens varighed gennem en udløbsklausul iii) at udvide den tilgængelige information til uafhængige overvågere og databeskyttelsesmyndigheder iv) at undgå, at aftalen begrænser europæiske databeskyttelsesmyndigheders beføjelser — at indføje en henvisning til denne udtalelse i præamblen til forslaget.

Udfærdiget i Bruxelles, den 22. juni 2010. Peter HUSTINX Den Europæiske Tilsynsførende for Databeskyttelse

(1) EFT L 281 af 23.11.1995, s. 31.

(2) EFT L 8 af 12.1.2001, s. 1.

(3) SWIFT er en virksomhed baseret i Belgien, som på verdensplan yder meddelelsestjenester til finansielle institutioner. Siden 2001 har det amerikanske finansministerium udstedt administrative pålæg til SWIFT med henblik på at få adgang til nogle af de personoplysninger, som vedrører finansielle transaktioner, der spejles på en server placeret på amerikansk territorium.

(4) Jf. pressemeddelelse, http://europa.eu/rapid/pressReleasesAction.do?reference=IP/10/609&format=HTML&aged=0&language=EN&guiLanguage=en

(5) Rådets rammeafgørelse af 13. juni 2002 om bekæmpelse af terrorisme, (EFT L 164 af 22.6.2002, s. 3).

(6) Navnlig direktiv 2005/60/EF om forebyggende foranstaltninger mod anvendelse af det finansielle system til hvidvaskning af penge og finansiering af terrorisme og forordning (EF) nr. 1781/2006 om oplysninger, der skal medsendes om betaler ved pengeoverførsler.

(7) http://www.egmontgroup.org/library/download/5

(8) Dom af 2. marts 2010.

(9) Jf. f.eks. artikel 3 i Rådets afgørelse 2009/371/RIA om oprettelse af Den Europæiske Politienhed (Europol), (EUT L 121 af 15.5.2009, s. 37).

(10) Det bekræftes af de oplysninger, der ligger på det amerikanske finansministeriums websted: »When you make a request for notification of or access to records, it should: […] State that you are a citizen of the United States or an alien lawfully admitted for permanent residence in the United States; […]«, http://www.treas.gov/foia/how-to.html (sidst set den 21. juni 2010).

(11) Sag C-518/07, endnu ikke offenliggjort.

(12) Det hedder i forslagets artikel 8, at det amerikanske finansministerium forventes at sørge for en tilstrækkelig databeskyttelse.