P6_TA(2007)0039

PNR, SWIFT

Europaparlamentets resolution om SWIFT, PNR-avtalet och den transatlantiska dialogen om dessa frågor

Europaparlamentet utfärdar denna resolution

- med beaktande av rådets och kommissionens förklaringar under debatten i Europaparlamentet den 31 januari 2007 efter den muntliga frågan om SWIFT samt förhandlingarna om ett nytt PNR-avtal ("passenger name record") mellan EU och Förenta staterna,

- med beaktande av Europeiska centralbankens (ECB) skrivelse av den 30 januari 2007 med svar på den fråga som ställdes till banken och där det påpekades att ECB inte informerat de relevanta dataskyddsmyndigheterna och de nationella bankerna om att Förenta staterna tog del av uppgifter om ekonomiska transaktioner som genomförts med hjälp av SWIFT, och inte heller gjort sin moraliska auktoritet gällande mot SWIFT i fråga om detta,

- med beaktande av den åsikt om det kommande PNR-avtalet, vilken uttalats av arbetsgruppeni dataskyddsdirektivet [1] enligt artikel 29 för skydd av enskilda med avseende på behandlingen av personuppgifter samt den europeiska dataskyddsombudsmannens åsikt om ECB:s roll i fallet SWIFT,

- med beaktande av artikel 103.2 i arbetsordningen, och av följande skäl:

A. Delgivning av uppgifter och information är ett värdefullt redskap i den internationella kampen mot terrorismen och brottslighet i anslutning till den.

B. Företag med verksamhet på ömse sidor om Atlanten kommer alltmer i kläm mellan de motstridiga kraven som ställs av lagstiftningen i EU respektive Förenta staterna.

C. Det måste finnas en vederbörlig rättslig grund för delgivningen av personuppgifter. Denna rättsliga grund måste innefatta klara och tydliga regler och villkor och innefatta ett adekvat skydd av den enskilde medborgarens privatliv och medborgerliga friheter.

D. Det måste finnas en vederbörlig demokratisk legitimation för kampen mot terrorism och brottslighet, vilket innebär att programmen för delgivning av uppgifter genomgående måste vara föremål för parlamentarisk kontroll och rättslig prövning.

Allmänt

1. Europaparlamentet understryker att det under de senaste åren ingåtts flera avtal på Förenta staternas tillskyndan, vilka antagits utan någon som helst medverkan från Europaparlamentets sida. Bland dessa märks framför allt PNR-avtalet, samförståndsavtalet om SWIFT och Förenta staternas kontrollsystem Automatic Targeting System (ATS). Följden av dessa avtal har blivit osäkerhet i juridiskt hänseende om de nödvändiga garantierna för uppgiftsskydd i samband med delgivning och överföring av uppgifter mellan EU och Förenta staterna för skyddet av allmän säkerhet och framför allt för att förhindra och bekämpa terrorismen.

2. Europaparlamentet bekräftar än en gång att de lösningar som hittills framkastats av rådet och kommissionen, liksom också av privata företag, inte erbjuder ett tillräckligt skydd för personuppgifter om EUmedborgare (något som också konstaterats i en skrivelse från Schaar, ordföranden för arbetsgruppen enligt artikel 29, beträffande det nya tillfälliga PNR-avtalet) och att detta kunde innebära ett brott mot både gemenskapslagstiftningen och nationell lagstiftning, såsom i fallet SWIFT (se arbetsgruppens yttrande 10/2006 enligt artikel 29 av den 22 november 2006 och europeiska dataskyddsombudsmannens yttrande av den 1 februari 2007).

3. Europaparlamentet konstaterar att Förenta staternas kongress, som ett led i kampen mot terrorismen, sedan en tid tillbaka bett landets regering att anta mera målinriktade åtgärder som bättre garanterar respekten för privatlivet och är föremål för parlamentarisk tillsyn och rättslig prövning (såsom det gjordes när kongressen fick veta om att underrättelsetjänsten NSA hade ett program för telefonavlyssning).

4. Europaparlamentet bekräftar sina förbehåll, vilka på senaste tiden också delats av Förenta staternas kongress, beträffande sådana metoder som profilering och "data mining", som består av att man urskillningslöst lagrar allt större mängder av personuppgifter, såsom i fallet med ATS, vilket används av Förenta staternas regering.

5. Europaparlamentet välkomnar att Förenta staternas regering på senaste tiden tagit dessa förbehåll ad notam och avser söka avhjälpa situationen med hjälp av nedanstående åtgärder:

a) Tillsättande av tjänstemän med uppgift att övervaka respekten för privatlivet ("privacy officers") och/eller ett oberoende organ inom den federala administrationen med uppgift att bedöma konsekvenserna för respekten för privatlivet av alla initiativ som kunde tänkas inkräkta på privatlivets helgd.

b) Inrättande av en mekanism för att garantera Förenta staternas medborgare rätten till överklagande i händelse av att uppgifter om dem använts för orätt ändamål.

6. Europaparlamentet anser emellertid att det inte räcker med dessa förbättringar för att garantera uppgiftsskyddet för EU-medborgarna samt att det vore att hälsa med största tillfredsställelse om lagen från 1974 om respekt för privatlivet ("Privacy Act") också kunde gälla på ömsesidig basis för EU-medborgarna, så att dessa kunde komma åt sina uppgifter och vid behov få dem beriktigade och ändrade, och även få tillgång till rättsmedel för överklagande och till en oberoende myndighet för uppgiftsskydd.

7. Europaparlamentet erinrar om sin åsikt om att sådana garantier för uppgiftsskyddet vore ägnade att underlätta delgivningen av uppgifter och samtidigt garantera respekten för privatlivet och att överföringen av uppgifter i vilket fall som helst måste bygga på ett eller flera internationella avtal, av liknande slag som avtalet om rättsligt samarbete i frågor om brottmål och utlämning mellan EG och Förenta staterna, ett avtal som just nu är uppe till behandling i Förenta staternas kongress.

8. Europaparlamentet anser att både Europaparlamentet och medlemsstaternas nationella parlament, liksom också Förenta staternas kongress oinskränkt bör få medverka i arbetet med sådana internationella avtal, eftersom de berör både EU-medborgarnas och Förenta staternas medborgares grundläggande rättigheter.

9. Europaparlamentet vidhåller att man i fråga om uppgiftsskyddet bör sträva efter att avtalen föreskriver en hög nivå av skydd mot riskerna för missbruk av uppgifterna samt att de kompletteras med bindande principer på EU-nivå beträffande skyddet av uppgifter för säkerhetsändamål (tredje pelaren).

10. Europaparlamentet understryker att det måste antas ett rambeslut om skydd av personuppgifter enligt tredje pelaren och påpekar att parlamentet i sin ståndpunkt av den 27 september 2006 [2] enhälligt efterlyst ett omfattande och ambitiöst uppgiftsskydd, där det också skulle ingå föreskrifter för uppgiftsskyddet i samband med utbyte av personuppgifter med tredjeländer.

11. Europaparlamentet anser att man tillsammans med Förenta staterna måste fastställa en ram som man har gemensam och delar med varandra och som slår vakt om de garantier som behövs inom det särskilda terroristbekämpningspartnerskapet mellan EU och Förenta staterna samt att det i denna ram också kunde tas upp allt som berör den fria rörligheten för personer mellan EU och Förenta staterna.

12. Europaparlamentet förväntar sig att denna strategi för transatlantiskt partnerskap kommer att tas upp till diskussion vid nästa toppmöte mellan EU och Förenta staterna den 30 april 2007 och anser att kontakterna mellan Europaparlamentet och Förenta staternas kongress bör intensifieras med tanke på detta. Parlamentet anhåller om att

a) föredragandena från Europaparlamentet skall tillåtas närvara vid en utfrågning i Förenta staternas kongress om frågor av ömsesidigt intresse (avtalet om rättsligt samarbete i frågor om brottmål och utlämning mellan EG och Förenta staterna, ATS, SWIFT),

b) ordförandena från de behöriga kongressutskotten skall inbjudas till nästa omgång av den transatlantiska dialogen (Bryssel och Berlin i mitten av april 2007) och i vilket fall som helst före nästa vårtoppmöte mellan EU och Förenta staterna.

Förhandlingarna om det långfristiga PNR-avtalet

13. Europaparlamentet understryker att ett kommande långfristigt PNR-avtal bör grunda sig på följande principer, utöver de punkter som redan antagits av parlamentet i dess ovannämnda ståndpunkt av den 27 september 2006:

a) Politiken måste grunda sig på fasta belägg. Ett nytt avtal måste föregås av en grundlig utvärdering. Frågan om det nuvarande avtalets (och det tidigare avtalets) effektivitet bör tas upp till behandling, liksom frågan om de europeiska flygbolagens kostnader och konkurrenskraft. Vid utvärderingen måste hänsyn tas till genomförandet av åtagandena och till frågan om PNR-uppgifter i kontrollsystemet ATS.

b) Överföringar av passageraruppgifter måste bygga på en princip om att de får överföras endast för klart avgränsade användningsändamål.

c) Motivering och proportionalitet: det verkar som om det med tanke på vad säkerheten och övervakningen av lagarnas efterlevnad kräver vore mer än tillräckligt med uppgifter enligt systemet för förhandsinformation om passagerare (Advanced Passenger Information System, APIS). Sådana uppgifter insamlas redan i Europa med stöd av rådets förordning (EEG) nr 2299/89 av den 24 juli 1989 om en uppförandekod för datoriserade bokningssystem [3] och kan därför utbytas med Förenta staterna med stöd av ett jämförbart system. Uppgifter om beteende, tagna ur PNR, verkar vara endast begränsat användbara, eftersom de inte kan identifieras om inte de kopplats till APIS och därför finns det inte någon tillfredsställande motivering för en allmän överföring av PNR-uppgifter.

d) Ett framtida avtal måste bygga på vilka rön man gjort om hur pass adekvat skyddet av personuppgifter fungerar. Från Europeiska unionens sida framstår det som klart att det råder ett akut behov av skydd för personuppgifter enligt tredje pelaren, liksom också av världsomspännande normer för alla kategorier av personuppgifter.

e) Det måste regelbundet göras en utvärdering av hur adekvat och effektivt programmet är i fråga om uppgiftsskyddet och Europaparlamentet och, i mån av möjlighet, Förenta staternas kongress bör få medverka vid denna utvärdering. En årlig utvärdering måste ovillkorligen ingå som ett led i ett framtida avtal och utvärderingsrapporten måste offentliggöras och tillställas Europaparlamentet.

f) Alternativa lösningsförslag, såsom Electronic Travel Authorisations inom ramen för programmet för undantag från viseringskrav ("Visa Waiver Programme") i stället för att flygbolagen sänder in PNR-uppgifter, måste också följa Europeiska unionens normer för uppgiftsskydd.

g) De villkor som i dag finns med i Förenta staternas åtaganden måste ingå som ett led i avtalet och vara rättsligt bindande. Ett framtida avtal måste ha större demokratisk legitimitet, med full medverkan från Europaparlamentets sida, och/eller ratificeras av de nationella parlamenten.

h) Ett framtida avtal måste i vilket fall som helst bygga på ett så kallat push-system (att myndigheterna gör särskild begäran om uppgifter i varje enskilt fall) och det så kallade pull-systemet (att innehavarna av uppgifterna självmant sänder in dem till myndigheterna) bör inte längre godkännas, eftersom pushsystemet, enligt det förra avtalet, redan hade bort införas så fort det låtit sig göra rent tekniskt.

i) Passagerarna bör informeras om att PNR-uppgifter översänds och kunna komma åt sina uppgifter och vid behov få dem beriktigade och ändrade, och även få tillgång till ett rättsligt förfarande för överklagande eller till en oberoende myndighet för uppgiftsskydd.

j) Europaparlamentet förväntar sig att Förenta staternas myndigheter vid ett bekräftat terroristhot skall ha en skyldighet att genast underrätta EU myndigheterna om denna misstanke.

Tillgången till SWIFT-uppgifter

14. Europaparlamentet upprepar sin oro över att SWIFT, efter att ha instämts inför rätta, överfört till Förenta staternas myndigheter en del uppgifter som hanteras i dess system i Förenta staterna, också uppgifter som inte berör medborgare i Förenta staterna och uppgifter som inte uppkommit på Förenta staternas territorium och att detta skett utgående från SWIFT:s beslut av (text utgår) kommersiell och systemrelaterad karaktär om att uppgifterna systematiskt skall kopieras över till ett motsvarande system baserat i Förenta staterna, något som bryter mot både gemenskapslagstiftningen och nationell lagstiftning om uppgiftsskydd.

15. Europaparlamentet anser det synnerligen oroväckande att varken Europeiska centralbanken eller den grupp av tio centralbanker som övervakar SWIFT:s verksamhet tidigare skarpt kritiserat det ovan beskrivna förhållandet, som strider mot Europakonventionen om de mänskliga rättigheterna och Europeiska unionens stadgan om de grundläggande rättigheterna, liksom också mot fördragen och sekundärrätten (direktivet om skydd av personuppgifter och Europaparlamentets och rådets förordning (EG) nr 45/2001 av den 18 december 2000 om skydd för enskilda då gemenskapsinstitutionerna och gemenskapsorganen behandlar personuppgifter och om den fria rörligheten för sådana uppgifter [4]), och att bankerna och bankkunderna i Europa först på senaste tiden fått veta om allt det här, med hjälp av uppgifter i pressen.

16. Europaparlamentet beklagar djupt att rådet ännu inte tagit ställning till denna fråga som påverkar så många medborgare, konsumenter och företag, fastän det redan gått flera månader sedan detta uppdagats, samt att endast sju av de 27 medlemsstaterna besvarat ett frågeformulär som kommissionen skickat ut för att få klarhet i fråga om respekten för gemenskapslagstiftningen och nationell lagstiftning om uppgiftsskydd.

17. Europaparlamentet upprepar sina farhågor beträffande det nuvarande systemet för tillsyn över SWIFT, där ansvaret faller på gruppen av tio centralbanker, under uppsikt av ECB, men där ingen formell behörighet föreligger. Parlamentet uppmanar rådet och ECB att tillsammans överväga hur systemet skulle kunna förbättras, för att säkerställa att larmförfarandet fungerar ordentligt, med allt vad detta innebär i fråga om åtgärder som skall vidtas.

18. Europaparlamentet biträder den åsikt som uttryckts av den europeiska dataskyddsombudsmannen angående Europeiska centralbankens roll och uppmanar Europeiska centralbanken att

- såsom övervakare av SWIFT söka efter lösningar för att garantera att reglerna för uppgiftsskydd följs och att reglerna för konfidentialitet inte hindrar att uppgifter i tid skickas in till de myndigheter som är behöriga att ta del av dem,

- såsom användare av nätverket SWIFTNet-Fin söka efter lösningar för att garantera att lagstiftningen om uppgiftsskydd följs vid betalningstransaktionerna och senast vid utgången av april 2007 sammanställa en rapport om de åtgärder som vidtagits,

- såsom ansvarig för utformande av politiken garantera, i samverkan med centralbankerna och finansinstituten, att de europeiska betalningssystemen, inklusive det uppdaterade systemet för storskaliga betalningar, TARGET2, och det planerade systemet för Target Securities, om det blir verklighet, fullt ut följer gemenskapslagstiftningen om uppgiftsskydd. Parlamentet uppmanar ECB att tillhandahålla Europaparlamentet en utvärdering av om så skett.

19. Europaparlamentet upprepar sin åsikt om att uppgifter som tillkommit vid ekonomiska transaktioner på klart definierade villkor skall kunna användas uteslutande vid rättsliga undersökningar i samband med misstankar om finansiering av terrorism och erinrar att både EU och Förenta staterna i sin lagstiftning (Europaparlamentets och rådets förordning (EG) nr 1781/2006 av den 15 november 2006 om information om betalaren som skall åtfölja överföringar av medel [5] respektive Bank Secrecy Act) genomfört rekommendation VII från Finansiella aktionsgruppen.

20. Europaparlamentet erinrar om att finansinstituten från och med den 31 december 2006 med stöd av rekommendation VII från Finansiella aktionsgruppen är ålagda att samla in och bevara vissa typer av uppgifter om överföringar av belopp på 1000 US-dollar eller mera i Europa (3000 US-dollar i Förenta staterna) och att alla dessa uppgifter på begäran måste sändas in till eller göras tillgängliga för myndigheterna [6].

21. Europaparlamentet anser att EU och Förenta staterna är grundläggande och lojala bundsförvanter i kampen mot terrorismen och att denna lagstiftningsram därför bör bilda utgångspunkten för förhandlingar om ett eventuellt internationellt avtal, utgående från att SWIFT är ett belgiskt företag som lyder under belgisk lag och följaktligen har ansvaret för att uppgifterna hanteras i enlighet med artikel 4.1 i direktiv 95/ 46/EG. Europaparlamentet påpekar att en naturlig följd av detta vore att SWIFT ålades upphöra med att, som nu, lagra in alla uppgifter om EU-medborgare och EU-företag i en parallell databas i Förenta staterna eller också att flytta denna alternativa databas någonstans där den inte omfattades av Förenta staternas lagstiftning. Parlamentet kräver att detta internationella avtal skall ge nödvändiga garantier mot missbruk av uppgifter för ekonomiska ändamål eller affärsändamål.

22. Europaparlamentet påpekar att SWIFT tillhandahåller tjänster också utanför EU och Förenta staterna och att därför, i samband med eventuella åtgärder, hänsyn bör tas till den världsomfattande karaktären hos företagets tjänster.

23. Europaparlamentet uppmanar kommissionen, som har behörighet både i frågor som gäller uppgiftsskydd och lagstiftning om betalningssystem, att undersöka vilka möjligheter till ekonomiskt spionage och affärsspionage som betalningssystemen, tagna i ordets vidaste bemärkelse, i sin nuvarande utformning erbjuder, så att alltså också tillhandahållarna av meddelandetjänster ("messaging providers") skulle tas med i undersökningen, och rapportera om sätt att åtgärda detta problem.

24. Europaparlamentet konstaterar att finansiella tjänster kan undantas från avtalet om skyddsprinciper ("Safe Harbour Agreement"), såsom arbetsgruppen i enlighet med artikel 29 påpekat i sitt yttrande 10/2006, och oroar sig över att europeiska företag och branscher som i Förenta staterna driver verksamhet som inte omfattas av detta avtal nu kan bli tvungna att ge Förenta staternas myndigheter tillgång till personuppgifter. Denna kategori omfattar framför allt filialer till europeiska banker i Förenta staterna samt försäkringsbolag, socialförsäkringsinstitutioner och leverantörer av telekommunikationstjänster. Parlamentet uppmanar kommissionen att i brådskande ordning utreda denna fråga.

*

* *

25. Europaparlamentet uppdrar åt talmannen att översända denna resolution till rådet, kommissionen, medlemsstaternas regeringar och parlament samt till Förenta staternas kongress.

[1] Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 23.11.1995, s. 31).

[2] Antagna texter, P6_TA(2006)0370).

[3] EGT L 220, 29.7.1989, s. 1.

[4] EUT L 8, 12.1.2001, s. 1.

[5] EUT L 345, 8.12.2006, s. 1.

[6] (Se den rapport som den 17 januari 2006 offentliggjordes av FinCEN (Financial Crimes Enforcement Network) om inrapportering av gränsöverskridande elektroniska överföringar: http://www.fincen.gov/news_release_cross_border.html).

--------------------------------------------------