Source: https://www.eaid-berlin.de/?tag=snowden
Timestamp: 2019-06-20 14:16:32
Document Index: 158524163

Matched Legal Cases: ['Art. 25', 'CJEU ', 'Art. 25', 'Art. 7', 'CJEU ', 'Art. 41', 'Art. 25']

Snowden | EAID
Safe Harbor – No Future?
Posted on 1. Oktober 2015 by Peter Schaar	2 comments
Keynote on the conference „New Directions in Cyber Security“
Berlin, 1 October 2015
Safe Harbor – No Future? How the General Data Protection Regulation and the rulings of the Court of Justice of the European Union (CJEU) will influence transatlantic data transfers
One week ago, the Advocate General at the Court of Justice of the European Union (CJEU) issued his vote on the Safe Harbor case of Max Schrems vs. the Irish Data Protection Commissioner.
Since 1995 when the General European Directive on Data Protection came into force, data transfers from the European Union and its member states to non-EU countries have been subject to specific privacy and security restrictions. Such restrictions do not exist only in Europe.
For example in the US several legal acts and decisions of regulatory authorities constitute the obligation to store specific data in the own country, in particular data, which have been generated by public bodies and providers of critical infrastructures. The US Federal Trade Commission has stated that a company subject to privacy obligations under US law is not allowed to avoid such obligations by outsourcing their data processing activities to offshore service providers.
The key message of Art. 25 of the 1995 GD is that transfer of personal data to a third country may take place only if the recipient in question ensures an adequate level of data protection. The adequacy shall be assessed in the light of all the circumstances surrounding the data transfer operation.
The main road to adequacy are the so-called adequacy decisions of the European Commission, that the said country ensures an adequate level of data protection. These decisions are binding for the member states. They shall take the measures necessary to comply with the Commission’s decision.
One of the most discussed adequacy decisions concerns the United States – the decision on Safe Harbor, although the Commission was of the opinion, that the US in general failed to provide an adequate level of data protection for the private sector, because of the lack of any comprehensive data protection legislation.
The Safe Harbor principles, negotiated between the Commission and the US government in the late 1990s should bridge this obstacle. The SH arrangement has been aimed at guaranteeing the adequate level of protection required by EU law for those companies, committing themselves to comply with the SH principles.
From the beginning, since the Safe Harbor was agreed in the year 2000 there has been some criticism against it. The main critical argument was that the principles do not meet the high EU data protection standards defined by the General Directive.
A scientific implementation study on SH done 2004 on behalf of the Commission came to the result that „Key concepts such as ‚US organization‘, ’personal data’,’deceptive practices’ lack clarity. Moreover, the jurisdiction of the FTC with regard to certain types of data transfers is dubious.“ (p.18)
It also has been criticized, that companies which declare compliance with the principles at once may profit from the Safe Harbor privileges, even if their privacy practices were not yet subject to an independent audit.
These issues remain important until our days. But after the vote the Advocate General at the CJEU (GA) issued recently, the focus lays on another question: How far practices and powers of US authorities have been ignored in the adequacy assessments.
At the first glance, law enforcement authorities, police and intelligence do not fall within the scope of the Safe Harbor agreement and therefore they do not have to be subject to the assessment. But this first impression is wrong.
As Art. 25 of the GD is pointing out, the assessment is to be done in the light of „all circumstances“ surrounding a data transfer to the third country. Even activities of authorities in the third country have to be examined. It is unclear how far this happened during the Safe Harbor assessment in the late 1990s.
But even if such assessment once took place, the result may be invalid today, because things changed dramatically after 9/11 2001. As we have learnt from Edward Snowden and other whistleblowers, US government has obtained broad access to private companies’ databases, telecommunications and Internet services.
Many companies which have co-operated with the NSA – voluntarily or based on legal obligations – have been safe harborists and there is no doubt that NSA and other services have got access to big amounts of data stemming from Europe or related to EU citizens.
The USA PATRIOT ACT and secret Presidential Orders, issued after 9/11 provided intelligence and law enforcement agencies with a lot of new powers and simultaneously demolished many safeguards which have been introduced in the 1970s to protect civil rights and privacy.
For years it seemed that many of these changes were not on the screen of the European Commission and other European stakeholders. The implementation study on SH of 2004 came to the conclusion: „Since the new US legislation only rarely contradicts the SH principles for data covered by SH, these conflicts do not appear to undermine the level of protection for any significant flows of personal data to the United States. The controversial provisions of the USA PATRIOT ACT are essentially irrelevant for SH data flows.“ (p. 101)
But 2013, after the the beginning of the Snowdon revelations, nobody can ignore any more, that the practices of NSA, CIA and FBI introduced after 9/11 have impact on the level of data protection in the United States: The legal provisions on Government access to personal information, especially the Foreign Intelligence Surveillance Act (FISA), do not meet the basic standards of the rule of law at least so far data of non-US-persons are concerned. The practices disclosed in the last two years and the commitments of US officials on mass surveillance provided the public with loads of evidence that the NSA and others are involved in bulk collection of personal data coming from Europe. Therefore it seems evident, that these practices have to be taken into account by the CJEU.
Another change happened in Europe: The Lisbon Treaty came into force in 2009, and at least since then privacy and data protection, including the independent oversight, have been fundamental rights of the European Union, as parts of the European primary law. European secondary law and European Commission’s decisions have to fulfill these requirements. Even older legislation, agreements with third countries as to PNR or TFTP and Commission’s decisions have to be reviewed in the light of Art. 7 and 8 of the EU Charter of Fundamental Rights.
Acknowledging this, the vote of Advocate General Bot (AG) in the case of Maximilian Schrems versus the Irish Data Protection Commissioner, issued last week, is not really surprising. The vote touches two big points:
Even if the Commission decides that the level of data protection in a country is adequate, this does not prevent national data protection authorities from suspending the transfer of the data, it they are of the opinion, that in the concrete case adequacy criteria are not met by the recipient. As we have learnt from the Snowden revelations, Facebook and other Internet companies cooperated closely with the NSA and provided them with broad access to personal data stored on their servers.
The AG is of the opinion that the Safe Harbor arrangement itself is invalid, because the US, especially the intelligence services, do not provide adequate protection for the personal data coming from Europe. Therefore he proposes to suspend the Safe Harbor.
Nobody knows how the European Court of Justice will decide the case. The ruling is expected on 6 October. Perhaps you know the sentence „How the judge decides depends what he ate for breakfast“. It is correct: The vote of the advocate general is only an opinion and it does not bind anybody.
But for me it seems likely that the judges will acknowledge the vote, at least in the result. In two earlier cases, the court decided last year, on data retention and on the right to be forgotten, the judges underlined the high importance of European fundamental rights on privacy and data protection. In these cases the court went beyond the Advocate general’s vote. In the Schrems’ case the AG adapted this recent orientation of the judges.
If the CJEU will decide as proposed by the AG, this does not mean automatically the end of Safe Harbor. But the Safe Harbor arrangement must be renegotiated and at the end there might be a better safe Harbor System, meeting the principles of fundamental rights and complying with the new EU Data Protection Regulation.
Art. 41 of the Commissions proposal contains criteria, conditions and procedures for adequacy assessments, more specific than the current Art. 25 of the GD from 1995: The criteria which shall be taken into account for the Commission’s assessment of an adequate or not adequate level of protection include expressly the rule of law, judicial redress and independent supervision. The new article confirms explicitly the possibility for the Commission to assess the level of protection afforded by a territory or a processing sector within a third country.
My conclusion for today: Safe Harbor will be possible even in the future. But such a „happy end“ requires changes in the SH arrangement. And it requires effective legal guarantees for EU citizens in the US.
Also necessary is a new thinking in Europe, in particular on the fields of law enforcement and intelligence. If we urge the US to respect our privacy, European secret services have to respect fundamental rights of all EU citizens and citizens of third countries as well.
Posted on 22. Mai 2014 by Peter Schaar	2 comments
1844 bewegte eine Abhöraffäre die Londoner Öffentlichkeit – ein Skandal, der interessante Parallelen zu der aktuellen Snowden-Affäre aufweist. Der italienische Polit-Aktivist Giuseppe Mazzini setzte sich von seinem Londoner Wohnort aus für die staatliche Einigung Italiens ein und korrespondierte intensiv mit Gleichgesinnten im In- und Ausland. Diese Aktivitäten erregten das Misstrauen des österreichisch-ungarischen Kaiserreichs, das Teile Italiens besetzt hielt. Um dem für die Donaumonarchie abträglichen Treiben entgegenzuwirken, wandte sich der österreichische Botschafter in London an die britische Regierung und verlangte, die Post Mazzinis zu überwachen – mit Erfolg. Die von Mazzini geschriebenen und die an gerichteten Briefe wurden im Royal Post Office geöffnet, kopiert und der Inhalt den Österreichern mitgeteilt.
Die Überwachung flog auf, nachdem Mazzini und seine Freunde misstrauisch geworden waren und durch einige Tricks herausfanden, dass ihre Briefe geöffnet wurden. Mazzini ging an die britische Öffentlichkeit. Die Empörung war groß – Politiker verlangten von der Regierung eine Erklärung, die diese zunächst unter Berufung auf das Staatswohl und die notwendige Geheimhaltung ablehnte. Das britische Parlament gab sich mit dieser Erklärung nicht zufrieden und richtete einen Untersuchungsausschuss ein, der das ganze Ausmaß der Überwachung sichtbar machte: Nicht nur Mazzini, sondern auch viele andere Personen standen unter Überwachung. Ihre Briefe wurden ausgesondert und geöffnet.
Warum regte sich die Öffentlichkeit auf? War nicht aus der britischen Vergangenheit durchaus bekannt, dass in Großbritannien wie in vielen anderen Staaten Postsendungen überwacht wurden? Die Kritik war besonders deshalb so scharf, weil wenige Jahre zuvor die „Penny Post“ – ein allgemein gegen geringes Entgelt zugänglicher Dienst der Royal Mail eingeführt worden war. Der Umfang des Brieftransports war daraufhin stark angestiegen und die Fernkorrespondenz gehörte inzwischen zum Alltag vieler Menschen und beschränkte sich nicht mehr auf Aristokraten, Fernhändler, Diplomaten und sonstige herausgehobene Persönlichkeiten. Die Überwachung der Briefpost, die man zuvor hinzunehmen bereit gewesen war, war damit zu einem Massenphänomen geworden, das prinzipiell jeden betraf.
Die Affäre hatte schließlich ein Happy End: Angesichts der anhaltenden Empörung wurde das für die Überwachung verantwortliche „Inner Office“ aufgelöst und die britische Regierung versprach, das Postgeheimnis zukünftig einzuhalten. Jedenfalls wurde die Überwachung drastisch reduziert und britische Briefschreiber konnten über Jahrzehnte in aller Regel sicher sein, dass ihre mit der Royal Post abgewickelte Korrespondenz nicht von Dritten mitgelesen oder kopiert wurde.
Bei der heutigen Überwachung durch den britischen Geheimdienst GCHQ und die amerikanische NSA sind wir von einem solchen Happy End noch weit entfernt. Die Mazzini-Affäre, wie bedeutsam eine kritische Öffentlichkeit ist, wenn es um die Bewahrung von Bürgerrechten geht. Dies gilt auch heute – für Großbritannien wie für den Rest der Welt!
P.S. Auf die Mazzini-Affäre hat mich – am Rande einer Konferenz zum Datenschutz und zur IT-Sicherheit – Reinhard Posch hingewiesen, der im österreichischen Bundeskanzleramt als CIO tätig ist. Herzlichen Dank!
Europäische Sollbruchstelle „nationale Sicherheit“?
Posted on 25. Februar 2014 by Peter Schaar	2 comments
Spätestens seit dem Vertrag von Amsterdam von 1997 ist es ein erklärtes Ziel der Europäischen Union, sich zu einem gemeinsamen „Raum der Freiheit, der Sicherheit und des Rechts“ weiterzuentwickeln. Seither ist in einer Vielzahl von EU-Rechtsakten die polizeiliche Zusammenarbeit zwischen den europäischen Mitgliedstaaten verbessert worden. Zudem wurden europäische Institutionen gebildet, die in Fragen der öffentlichen Sicherheit zusammenarbeiten, etwa das europäische Polizeiamt Europol und die europäische Justizbehörde Eurojust.
Auch wenn der Datenschutz bei diesen Initiativen nicht immer gewährleistet wurde, was zu berechtigter Kritik der Datenschützer und Bürgerrechtsorganisationen Anlass gab, zeigt sich erst jetzt, nach Bekanntwerden der globalen geheimdienstlichen Überwachung, wie wenig Europa beim Grundrechtsschutz in diesem Feld vorangekommen ist. Angesichts der ungeheuerlichen Überwachungsaktivitäten des amerikanischen Computergeheimdienstes NSA wäre eigentlich eine entschiedene Reaktion Europas angebracht. Davon ist allerdings wenig zu sehen. Zwar haben sich führende Repräsentantinnen und Repräsentanten der Europäischen Union, allen voran Justizkommissarin Viviane Reding, mit deutlichen Worten von den exzessiven US-Praktiken abgegrenzt. Zu vergleichbaren entschiedenen Handlungen hat sich die EU allerdings bisher nicht durchringen wollen. Anders als vom europäischen Parlament gefordert, wurde nicht einmal der massenweise Transfer von Finanzinformationen in die USA im Rahmen des SWIFT-Abkommens ausgesetzt.
Ein wichtiger Grund für die Zurückhaltung ist Tatsache, dass auch der britische Geheimdienst GCHQ massiv an den weltweiten Überwachungsaktionen beteiligt ist. Im Rahmen seiner – wie wir jetzt wissen, weit entwickelten – technischen Fähigkeiten greift der britische Dienst die Internetkommunikation ab, insbesondere indem er die über Großbritannien laufenden Überseekabeln anzapft. Ein Geheimdienst eines EU-Mitgliedstaats ist also maßgeblich für das völlig inakzeptabel ausspähen vertraulicher Kommunikationsverbindungen verantwortlich, die die meisten EU-Bürger betreffen.
Hier zeigen sich die Konsequenzen davon, dass sich viele Mitgliedstaaten weigern, auch nur grundrechtliche europaweite Mindeststandards zu garantieren, wenn es um die Arbeit der geheimdienste geht. Die Gewährleistung der „nationalen Sicherheit“ fällt auch nach dem Inkrafttreten des Vertrags von Lissabon in die ausschließliche Zuständigkeit der Mitgliedstaaten. Darauf beruft sich etwa die britische Regierung, wenn sie den EU-Gremien jegliche Mitsprache hinsichtlich der Geheimdienstaktivitäten abspricht.
Hier ist jetzt vor aller Augen die Beschränktheit des politischen Anspruchs der Europäischen Union sichtbar geworden, in zentralen Fragen des Grundrechtsschutzes und der Wahrnehmung gemeinsamer europäischer Interessen gegenüber den Vereinigten Staaten mit einer Stimme aufzutreten.
Schlimmer noch: Die für die Arbeit der Nachrichtendienste einschlägigen nationalen Gesetze, etwa das deutsche G10-Gesetz, das die nachrichtendienstliche Telekommunikationsüberwachung regelt, enthalten besondere Schutzvorkehrungen für die Telekommunikation der eigenen Staatsbürger. Vergleichbare Schutzvorkehrungen hinsichtlich ebenfalls betroffener Staatsangehöriger anderer Mitgliedstaaten bestehen allerdings nicht. Insofern müssen Unionsbürger aus anderen Mitgliedstaaten aus Geheimdienstsicht nicht anders behandelt werden als Bürger beliebiger Drittstatten, etwa Nordkoreas oder der USA.
Wenn sich die Europäische Union gegen Überwachungsmaßnahmen und Spionageaktivitäten der USA, Russlands, Chinas oderer anderer Drittstaaten ernsthaft schützen will, müssen die Mitgliedstaaten zumindest bereit sein, den Bürgern der übrigen europäischen Staaten denselben Schutz einzuräumen wie den eigenen Staatsbürgern. Ohne ein solches, durch verbindliche Verträge abgesichertes System gegenseitiger Grundrechtsgewährleistung wird Europa weiterhin kaum in der Lage sein, sich wirksam und glaubwürdig gegen Spionage und Überwachung aus Drittstaaten zur Wehr zu setzen.
Nur wenn Europa mit dem Schutz der Grundrechte in allen Politikfeldern endlich ernst macht, kann es wirklich zu einem Raum der gemeinsamen Freiheit, der Sicherheit und des Rechts werden.
Posted on 5. Januar 2014 by Peter Schaar	7 comments