Συµφωνία ανταλλαγής προσωπικών δεδοµένων µεταξύ ΗΠΑ και Ευρωπαϊκής Ένωσης για τους σκοπούς του «Προγράµµατος Παρακολούθησης της Χρηµατοδότησης της Τροµοκρατίας» (Συµφωνία TFTP) 1 ο πρώτος έλεγχος που διενεργήθηκε από την Κοινή Εποπτική Αρχή (ΚΕΑ) της Ευρωπόλ εγείρει σοβαρές ανησυχίες για τη συµµόρφωση προς τους κανόνες προστασίας δεδοµένων Βρυξέλες, 2 Μαρτίου 2011 Η Κοινή Εποπτική Αρχή της Ευρωπόλ διενήργησε πρόσφατα τον πρώτο έλεγχο της Ευρωπόλ σχετικά µε τη Συµφωνία TFTP, η οποία τέθηκε σε ισχύ τον Αύγουστο 2010. Η Συµφωνία TFTP ανέθεσε µία νέα αρµοδιότητα στην ΚΕΑ να παρακολουθεί κατά πόσο η Ευρωπόλ σέβεται τις διατάξεις που αφορούν τους κανόνες προστασίας δεδοµένων στην Συµφωνία TFTP και παράλληλα να αποφασίζει επί του παραδεκτού των αµερικανικών αιτήσεων στη SWIFT. Η Ευρωπόλ είναι αρµόδια να εξακριβώσει εάν οι αµερικανικές αιτήσεις είναι αναλογικές και απαραίτητες σύµφωνα µε τις προϋποθέσεις που καθορίζονται στη Συµφωνία TFTP. Η Ευρωπόλ µπορεί συνεπώς να εγκρίνει ή να αρνηθεί τη διαβίβαση των δεδοµένων της SWIFT στις ΗΠΑ. Η Συµφωνία TFTP υιοθετήθηκε σε συνέχεια της «υπόθεσης SWIFT 2» όταν έγινε δηµόσια γνωστό ότι όλες οι διαβιβάσεις δεδοµένων της SWIFT αποθηκεύτηκαν σε ένα αντίγραφο βάσης δεδοµένων (mirror database) στις ΗΠΑ και ότι οι αµερικανικές αρχές υποχρέωσαν, δια της νοµικής οδού, την SWIFT να παραδώσει τα αιτούµενα οικονοµικά δεδοµένα (επονοµαζόµενες κλητεύσεις). Οι διαπραγµατεύσεις που πραγµατοποιήθηκαν µεταξύ της Βελγικής Αρχής Προστασίας εδοµένων, της ΕΕ και των αµερικανικών αρχών οδήγησαν στην απόφαση της SWIFT να µεταφέρει τη διαδικασία της αντιγραφής των ευρωπαϊκών διαβιβάσεων στην Ευρώπη. Στη συνέχεια πραγµατοποιήθηκαν διαπραγµατεύσεις µεταξύ ΕΕ και αµερικανικών αρχών µε σκοπό την εξεύρεση µιας νοµικής λύσης για την ανταλλαγή προσωπικών δεδοµένων για τους σκοπούς της παρακολούθησης της χρηµατοδότησης της τροµοκρατίας. Η Συµφωνία TFTP είναι το αποτέλεσµα αυτών των διαπραγµατεύσεων. Σύµφωνα µε το άρθρο 34(1) 3 της απόφασης του Συµβουλίου της ΕΕ για την Ευρωπόλ, η ΚΕΑ έχει ως έργο τον έλεγχο των δραστηριοτήτων της Ευρωπόλ 1 Συµφωνία µεταξύ της Ευρωπαϊκής Ένωσης και των Ηνωµένων Πολιτειών της Αµερικής για την επεξεργασία και διαβίβαση και διαβίβαση στοιχείων µηνυµάτων χρηµατοοικονοµικής φύσεως από την Ευρωπαϊκή Ένωση στις Ηνωµένες Πολιτείες της Αµερικής για σκοπούς του Προγράµµατος Παρακολούθησης της Χρηµατοδότησης της Τροµοκρατίας, ΟJ L. 195/5. 2 Society for Worldwide Interbank Financial Telecommunication. 3 Το άρθρο 34(1) αναφέρει, «Ιδρύεται ανεξάρτητη Κοινή Εποπτική Αρχή, η οποία έχει ως έργο, τηρουµένων των διατάξεων της παρούσας απόφασης, να ελέγχει τις δραστηριότητες της Ευρωπόλ προκειµένου να διασφαλίζει ότι η αποθήκευση, επεξεργασία και χρήση δεδοµένων που κατέχει η Ευρωπόλ δεν παραβιάζουν τα δικαιώµατα του οικείου φυσικού προσώπου».
προκειµένου να διασφαλίζει ότι η αποθήκευση, επεξεργασία και χρήση δεδοµένων που κατέχει η Ευρωπόλ δεν παραβιάζουν τα δικαιώµατα του οικείου φυσικού προσώπου. Στη συνάντηση της 11 Οκτωβρίου 2010, η ΚΕΑ ανέθεσε σε µια οµάδα τον έλεγχο της εφαρµογής της Συµφωνίας TFTP, συµπεριλαµβανοµένων όλων των συναφών µερών. Ο έλεγχος πραγµατοποιήθηκε το Νοέµβριο του 2010. Η οµάδα ελέγχου διαπίστωσε ότι κάποιες προϋποθέσεις προστασίας δεδοµένων δεν πληρούνταν. Το πιο σηµαντικό εύρηµα του ελέγχου ήταν ότι οι γραπτές αιτήσεις που έλαβε η Ευρωπόλ δεν ήταν αρκετά συγκεκριµένες για να αποφασίσει εάν θα έπρεπε να τις δεχθεί ή να τις αρνηθεί. ιαπιστώθηκε ότι οι αµερικανικές αιτήσεις ήταν πολύ γενικές και πολύ αόριστες για να καταστεί δυνατή η ορθή αξιολόγηση της αναγκαιότητας των αιτούµενων διαβιβάσεων δεδοµένων. Ωστόσο, η Ευρωπόλ ενέκρινε κάθε αίτηση που έλαβε. Μία από τις προτάσεις της ΚΕΑ είναι, συνεπώς, ότι η Ευρωπόλ πρέπει να επικοινωνεί µε το Υπουργείο Οικονοµικών των ΗΠΑ για να διασφαλίζει ότι όλες οι µελλοντικές αιτήσεις για δεδοµένα της SWIFT πληρούν τα κριτήρια που περιγράφονται στη Συµφωνία TFTP. H KEA συµπέρανε ότι η κατάλληλη εξακρίβωση του κατά πόσον οι αιτήσεις εναρµονίζονται µε τη Συµφωνία TFTP - στη βάση της διαθέσιµης τεκµηρίωσης - είναι αδύνατη. Η Ευρωπόλ συµβούλευσε ότι η προφορική πληροφόρηση έχει κάποιο ρόλο στην εξακρίβωση της κάθε αίτησης. Αυτή η πληροφόρηση παρέχεται σε συγκεκριµένους Ευρωπαίους αξιωµατούχους µε τον όρο ότι δεν θα δηµιουργείται αρχείο. Αυτού του είδους η διαδικασία εµποδίζει την ΚΕΑ στον έλεγχο του εάν η Ευρωπόλ θα µπορούσε να αποφασίζει σωστά. Η ΚΕΑ, συνεπώς, ήταν αδύνατο να εξετάσει εάν ο όγκος των δεδοµένων που διαβιβάστηκαν στις ΗΠΑ από τη SWIFT ήταν αναλογικός και απαραίτητος όπως απαιτούνται από τη Συµφωνία TFTP. Η σηµαντική εµπλοκή της προφορικής πληροφόρησης καθιστά αδύνατο τον κατάλληλο εξωτερικό και εσωτερικό έλεγχο από το Γραφείο Προσωπικών εδοµένων της Ευρωπόλ και την ΚΕΑ αντίστοιχα. Περισσότερες πληροφορίες και η πλήρης λίστα προτάσεων που δόθηκαν στην Ευρωπόλ, περιέχονται στη δηµόσια έκδοση της αναφοράς της ΚΕΑ, που είναι διαθέσιµη τώρα στην ιστοσελίδα της ΚΕΑ. 4 Λόγω της κατηγοριοποίησης των πληροφοριών στις οποίες έγινε ο έλεγχος (EU SECRET), η ΚΕΑ δεν δύναται να καταστήσει την πλήρη αναφορά δηµόσια διαθέσιµη. Ευρωπόλ ΚΕΑ Πρόεδρος Isabel Cruz 4 http://europoljsb.consilium.europa.eu/about.aspx
ΑΝΑΦΟΡΑ ΓΙΑ ΤΟΝ ΕΛΕΓΧΟ ΤΗΣ ΕΦΑΡΜΟΓΗΣ ΤΗΣ ΣΥΜΦΩΝΙΑΣ TFTP, O ΟΠΟΙΟΣ ΠΡΑΓΜΑΤΟΠΟΙΗΘΗΚΕ ΤΟ ΝΟΕΜΒΡΙΟ ΤΟΥ 2010 ΑΠΟ ΤΗΝ ΚΟΙΝΗ ΕΠΟΠΤΙΚΗ ΑΡΧΗ ΤΗΣ ΕΥΡΩΠΟΛ Αναφορά υπ αρ. ΚΕΑ/Έλεγχ. 11-07 Βρυξέλλες, 1 Μαρτίου 2011
ΠΙΝΑΚΑΣ ΠΕΡΙΕΧΟΜΕΝΩΝ I. ΕΙΣΑΓΩΓΗ.3 II. ΓΕΝΙΚΑ ΣΧΟΛΙΑ ΚΑΙ ΜΕΘΟ ΟΛΟΓΙΑ....4-5 III. ΓΕΝΙΚΑ ΣΥΜΠΕΡΑΣΜΑΤΑ...6 IV. ΠΡΟΤΑΣΕΙΣ...7 V. ΠΑΡΑΡΤΗΜΑ
Ι. ΕΙΣΑΓΩΓΗ Στις 28 Ιουνίου 2010, η ΕΕ και οι ΗΠΑ υπέγραψαν συµφωνία για την επεξεργασία και τη διαβίβαση στοιχείων µηνυµάτων χρηµατοοικονοµικής φύσεως από την Ευρωπαϊκή Ένωση στις Ηνωµένες Πολιτείες της Αµερικής. Η Συµφωνία αυτή προβλέπει τη µετάδοση στοιχείων µηνυµάτων χρηµατοοικονοµικής φύσεως σχετικά µε χρηµατοοικονοµικές διαβιβάσεις από την Ευρωπαϊκή Ένωση στις Ηνωµένες Πολιτείες για χρήση από το Πρόγραµµα Παρακολούθησης της Χρηµατοδότησης της Τροµοκρατίας (TFTP). Τα στοιχείa µηνυµάτων χρηµατοοικονοµικής φύσεως τηρούνται από την Society for Worldwide Interbank Financial Telecommunication (SWIFT). H Συµφωνία TFTP παρέχει στην Ευρωπόλ ένα συγκεκριµένο ρόλο να ελέγχει εάν οι αιτήσεις από το Υπουργείο Οικονοµικών των ΗΠΑ για τα δεδοµένα της SWIFT πληρούν τους όρους της Συµφωνίας TFTP. Οι αιτήσεις και οι απαραίτητες προϋποθέσεις καθορίζονται στο άρθρο 4 της Συµφωνίας TFTP. Σύµφωνα µε το άρθρο 34(1) της απόφασης του Συµβουλίου της ΕΕ για την Ευρωπόλ, η Κοινή Εποπτική Αρχή της Ευρωπόλ (KEA) έχει ως έργο να ελέγχει τις δραστηριότητες της Ευρωπόλ προκειµένου να διασφαλίζει ότι η αποθήκευση, επεξεργασία και χρήση δεδοµένων που κατέχει η Ευρωπόλ δεν παραβιάζουν τα δικαιώµατα του ατόµου. Για αυτό το σκοπό στη συνάντηση της 11 ης Οκτωβρίου 2010 ανέθεσε σε µια οµάδα ελέγχου τη διενέργεια ελέγχου. Ο έλεγχος αφορούσε στην εφαρµογή της Συµφωνίας TFTP από την Ευρωπόλ συµπεριλαµβανοµένων όλων των συναφών µερών. Σύµφωνα µε το πρωτόκολλο µεταξύ ΚΕΑ και Ευρωπόλ για τις ειδικές ρυθµίσεις µε την Ευρωπόλ όσον αφορά στις επισκέψεις και τους ελέγχους από την ΚΕΑ, η οµάδα ελέγχου όρισε τις ηµεροµηνίες για την επίσκεψη ελέγχου στην Ευρωπόλ και ενηµέρωσε την Ευρωπόλ εκ των προτέρων. Ο έλεγχος πραγµατοποιήθηκε στις 11 Νοεµβρίου 2010. Αυτός ήταν ο δωδέκατος έλεγχος της Ευρωπόλ από την ΚΕΑ.
ΙΙ. ΓΕΝΙΚΑ ΣΧΟΛΙΑ ΚΑΙ ΜΕΘΟ ΟΛΟΓΙΑ Α. ΓΕΝΙΚΑ ΣΧΟΛΙΑ Σύµφωνα µε την ανάθεση από την ΚΕΑ, µια οµάδα ελέγχου επισκέφθηκε την Ευρωπόλ στη Χάγη στις 11 Νοεµβρίου 2010. Η οµάδα ελέγχου αποτελούνταν από επτά ειδικούς εµπειρογνώµονες στην προστασία προσωπικών δεδοµένων συµπεριλαµβανοµένων τακτικών και αναπληρωµατικών µελών της ΚΕΑ και γραµµατεία. Την οµάδα ελέγχου καλωσόρισε ο Αναπληρωτής ιευθυντής της Ευρωπόλ. Η οµάδα ελέγχου είχε στη διάθεσή της κάθε υπηρεσία που χρειαζόταν για την προετοιµασία και τη διενέργεια του ελέγχου. Β. ΜΕΘΟ ΟΛΟΓΙΑ 1. Σύµφωνα µε την ειδική συνεννόηση µε την Ευρωπόλ σχετικά µε τις επισκέψεις και τις κατευθυντήριες γραµµές για τις επισκέψεις στη Ευρωπόλ και τους ελέγχους από την ΚΕΑ, έγινε εκ των προτέρων ενηµέρωση για τον επιτόπιο έλεγχο. 2. Η ΚΕΑ προσπαθεί να διασφαλίσει ότι η Ευρωπόλ επεξεργάζεται προσωπικά δεδοµένα σύµφωνα µε τις σχετικού κανόνες προστασίας δεδοµένων: δηλαδή, τις σχετικές διατάξεις του Συµβουλίου της ΕΕ για την Ευρωπόλ, τους κανόνες της Σύµβασης του Συµβουλίου της Ευρώπης (ΕΤS No 108) της 28 ης Ιανουαρίου 1981 και της Πρότασης Νο R (87) 15 της Επιτροπής Υπουργών του Συµβουλίου της Ευρώπης. Η ΚΕΑ επίσης παρακολουθεί την συµµόρφωση µε εσωτερικές διαδικασίες για το χειρισµό διαχειριστικής πληροφόρησης. Η ΚΕΑ έλεγξε, επίσης, εάν η επεξεργασία είναι σύµφωνη µε τις διατάξεις της Συµφωνίας TFTP και το έγγραφο που περιέχει τις τεχνικές προδιαγραφές της διαδικασίας εξακρίβωσης σε σχέση µε τη Συµφωνία TFTP. Συγκεκριµένα, η ΚΕΑ έχει ως σκοπό τη διασφάλιση των παρακάτω προϋποθέσεων: Τα δεδοµένα πρέπει να είναι επαρκή, συναφή, όχι περισσότερα, ακριβή και ορθά σε σχέση µε τους σκοπούς για τους οποίους συλλέγονται και στη συνέχεια επεξεργάζονται. 3. Η οµάδα ελέγχου δηµιούργησε προσωρινούς καταλόγους στοιχείων που καθορίζουν τους ελέγχους που θα διεξαχθούν κατά τη διάρκεια του επιτόπιου ελέγχου. Αυτοί οι έλεγχοι αφορούσαν προσωπικά δεδοµένα, αρχεία καταγραφής οικονοµικού ελέγχου (audit logs), πηγαία αρχεία (source documents), διαδικασίες και πληροφοριακά συστήµατα τα οποία είναι διαθέσιµα στην Ευρωπόλ. Η οµάδα ελέγχου ήταν χωρισµένη σε τρεις υποοµάδες και η κάθε µια κάλυπτε έναν από τα ακόλουθα αντικείµενα ελέγχου: *Το έργο της Ευρωπόλ υπό την Συµφωνία TFTP και πώς αυτό εκτελείται. *Αρχεία καταγραφής οικονοµικού ελέγχου και ασφάλεια. *Το περιεχόµενο των αιτήσεων υπό τη συµφωνία TFTP
Τα ευρήµατα του ελέγχου και η αξιολόγηση της ΚΕΑ περιγράφονται στο παράρτηµα αυτής της αναφοράς. Στην Ευρωπόλ δόθηκε η δυνατότητα να σχολιάσει το προσχέδιο αυτής της αναφοράς και τα σχόλια αυτά συµπεριλαµβάνονται στο παράρτηµα. Λόγω του ότι η Ευρωπόλ κατηγοριοποίησε όλα τα έγγραφα που σχετίζονται µε τα αιτήµατα της TFTP ως EU secret, το παράρτηµα κατηγοριοποιείται ως EU Secret-Secret UE.
ΙΙΙ. ΓΕΝΙΚΑ ΣΥΜΠΕΡΑΣΜΑΤΑ Η αναφορά αυτή παρουσιάζει τα αποτελέσµατα του δωδέκατου ελέγχου της Ευρωπόλ. Ο έλεγχος κάλυψε την επεξεργασία των δεδοµένων που αφορούν τις αιτήσεις από το Υπουργείο Οικονοµικών των ΗΠΑ υπό τη συµφωνία TFΤP και περιελάµβαναν µια αξιολόγηση της εξακρίβωσης αυτών των αιτήσεων. Η ΚΕΑ γνωρίζει ότι η Ευρωπόλ είχε λίγο χρόνο να προετοιµαστεί για το νέο της έργο υπό τη Συµφωνία TFTP. Επιπλέον, κατά τη διάρκεια του ελέγχου η Ευρωπόλ εκτελούσε ήδη για λιγότερο από έξι µήνες το σχετικό µε το TFTP έργο της. Οι διαδικασίες ακόµη οριστικοποιούνται και σε µερικές περιπτώσεις επανεξετάζονται. Κατά τη διάρκεια του ελέγχου η Ευρωπόλ έλαβε τέσσερις αιτήσεις για δεδοµένα SWIFT. Αυτές οι τέσσερις αιτήσεις είναι σχεδόν ίδιας φύσης και ζητούν -αόριστα- ευρείες µορφές δεδοµένων, τα οποία συµπεριλαµβάνουν δεδοµένα Κρατών-Μελών της ΕΕ. Εξαιτίας της αόριστης φύσης τους, η κατάλληλη εξακρίβωση εάν οι αιτήσεις συµµορφώνονται µε τις προϋποθέσεις του Άρθρου 4(2) της Συµφωνίας TFTP - στη βάση της διαθέσιµης τεκµηρίωσης - είναι αδύνατη. Η ΚΕΑ θεωρεί πιθανόν ότι η πληροφόρηση θα µπορούσε να είναι πιο συγκεκριµένη. Η πληροφόρηση που παρέχεται προφορικά -σε συγκεκριµένου προσωπικό της Ευρωπόλ από το Υπουργείο Οικονοµικών των ΗΠΑ µε τον όρο ότι δεν θα τηρηθούν γραπτές σηµειώσεις - έχει αντίκτυπο πάνω στις αποφάσεις της Ευρωπόλ. Ωστόσο, η ΚΕΑ δεν γνωρίζει το περιεχόµενο αυτών των πληροφοριών. Συνεπώς, όπου οι αιτήσεις στερούνται της απαραίτητης γραπτής πληροφόρησης που θα επιτρέψει την κατάλληλη διακρίβωση της συµµόρφωσης µε το άρθρο 4(2) της Συµφωνίας TFTP, είναι αδύνατο να ελεγχθεί εάν αυτή η έλλειψη διορθωθεί µε τις πληροφορίες που παρέχονται προφορικά. Ο σηµαντικός ρόλος της προφορικής πληροφόρησης καθιστά αδύνατο τον κατάλληλο εσωτερικό και εξωτερικό οικονοµικό έλεγχο από το Γραφείο Προστασίας εδοµένων της Ευρωπόλ και την ΚΕΑ. Η ΚΕΑ διαµόρφωσε κάποιες προτάσεις για να βελτιώσει την κατάσταση αυτή και τονίζει ότι η συµµόρφωση µε αυτές τις προτάσεις είναι επιτακτική για να ασκήσει µε τον κατάλληλο τρόπο η Ευρωπόλ το ρόλο της βάσει της Συµφωνίας TFTP.
IV. ΠΡΟΤΑΣΕΙΣ Με βάση την αξιολόγηση των ευρηµάτων του ελέγχου η ΚΕΑ προτείνει ότι η Ευρωπόλ πρέπει: 1. Να ενηµερώνει την ΚΕΑ για τα αποτελέσµατα της αναθεώρησης των πολιτικών και διαδικασιών που αφορούν το έργο της Ευρωπόλ υπό τη Συµφωνία TFTP. 2. Να διασφαλίζει τη δυνατότητα του Ευρωπαίου Επίτροπου για την Προστασία εδοµένων να εκτελέσει τα καθήκοντά του, λαµβάνοντας ιδιαίτερα υπόψη το µικρό χρονικό διάστηµα στο οποίο η Ευρωπόλ προβλέπεται να ανταποκριθεί στις αιτήσεις που λαµβάνονται υπό το άρθρο 4 της Συµφωνίας TFTP. 3. Να διασφαλίζει την ολική διαγραφή (hard-deletion) δεδοµένων που αφορούν το άρθρο 4 και τα οποία είχαν εισαχθεί σε κάποια από τα πληροφοριακά συστήµατα επεξεργασίας της Ευρωπόλ (ibase και SIENA) πριν την αναβάθµιση του επιπέδου ασφαλείας. 4. Να επικοινωνήσει µε το Υπουργείο Οικονοµικών των ΗΠΑ για να διασφαλίσει ότι τα αιτήµατα υπό το άρθρο 4 της TFTP εναρµονίζονται µε τα κριτήρια που καθορίζονται στο άρθρο 4 (2) της Συµφωνίας. Οι αιτήσεις πρέπει να περιέχουν πιο λεπτοµερείς πληροφορίες συγκεκριµένες για κάθε αίτηση έτσι ώστε να µπορεί η Ευρωπόλ να εξακριβώσει εάν οι αιτήσεις είναι σύµφωνα µε τις προϋποθέσεις του άρθρου 4 (2) της Συµφωνίας. Λαµβάνοντας υπόψη το γεγονός ότι - υπό την παρούσα Συµφωνία TFTP - η Ευρωπόλ λαµβάνει αντίγραφα των αιτηµάτων που στέλνονται στη SWIFT από το Υπουργείο Οικονοµικών των ΗΠΑ, µερικές επιπρόσθετες πληροφορίες ενδεχοµένως να χρειάζεται να παρέχονται από το Υπουργείο Οικονοµικών των ΗΠΑ στην Ευρωπόλ µε συµπληρωµατικά έγγραφα. 5. Να διασφαλίσει ότι οι εξακριβώσεις που γίνονται βασίζονται σε γραπτές αιτήσεις - µαζί µε όποια συµπληρωµατικά έγγραφα - έτσι ώστε να καθίσταται εφικτός ο κατάλληλος εσωτερικός και εξωτερικός συντονισµός από τον Γραφείο Προστασίας εδοµένων και την ΚΕΑ αντίστοιχα.