Processing and transfer of Financial Messaging Data from the EU to the US for purposes of the Terrorist Finance Tracking Program (TFTP II)

C 355/10 SV Europeiska unionens officiella tidning 29.12.2010

Yttrande från Europeiska datatillsynsmannen om förslag till rådets beslut om ingående av avtalet mellan Europeiska unionen och Amerikas förenta stater om behandling och överföring av uppgifter om finansiella betalningsmeddelanden från Europeiska unionen till Förenta staterna i enlighet med programmet för att spåra finansiering av terrorism (TFTP II)

(2010/C 355/02)

EUROPEISKA DATATILLSYNSMANNEN HAR AVGETT DETTA förda finansiella transaktioner inom det europeiska ekono­ YTTRANDE miska samarbetsområdet och Schweiz stannar kvar inom det europeiska området – till skillnad från det transatlan­ tiska området – och inte längre kommer att avspeglas i det amerikanska operativa centrumet. med beaktande av fördraget om Europeiska unionens funktions­ sätt, särskilt artikel 16,

3. Med det nuvarande förslaget planerar kommissionen en internationell överenskommelse mellan EU och Förenta sta­ med beaktande av Europeiska unionens stadga om de grund­ terna som, baserat på artiklarna 216 (internationella avtal), läggande rättigheterna, särskilt artikel 8, 82 (rättsligt samarbete) och 87 (polissamarbete) i fördraget om Europeiska unionens funktionssätt, skulle kräva över­ föring till Förenta staternas finansministerium av relevanta med beaktande av Europaparlamentets och rådets direktiv finansiella betalningsmeddelanden som krävs för det ame­ 95/46/EG av den 24 oktober 1995 om skydd för enskilda rikanska finansministeriets program för att spåra finansie­ personer med avseende på behandling av personuppgifter och ring av terrorism. om det fria flödet av sådana uppgifter ( 1 ),

4. Efter Europaparlamentets beslut den 11 februari 2010 om med beaktande av begäran om yttrande i enlighet med att inte acceptera det interimsavtal som undertecknades den artikel 28.2 i förordning (EG) nr 45/2001 om skydd för en­ 30 november 2009 syftar det nya förslaget framför allt till skilda då gemenskapsinstitutionerna och gemenskapsorganen att inrikta sig på oron vad gäller skyddet av personuppgif­ behandlar personuppgifter och om den fria rörligheten för så­ ter, en grundläggande rättighet som efter Lissabonfördragets dana uppgifter ( 2 ), ikraftträdande har blivit ännu mer relevant inom Europe­ iska unionens rättsliga ramar.

1. Den 15 juni 2010 antog kommissionen ett förslag till emellertid inte att använda artikel 16 i fördraget om Eu­ rådets beslut om ingående av avtalet mellan Europeiska ropeiska unionens funktionssätt som rättslig grund, trots att unionen och Amerikas förenta stater om behandling och det i artikel 1.1 i det föreslagna avtalet betonas att ett av överföring av uppgifter om finansiella betalningsmeddelan­ avtalets huvudsyften är att uppnå ett omfattande uppgifts­ den från Europeiska unionen till Förenta staterna i enlighet skydd. Europeiska datatillsynsmannen upprepar därför att med programmet för att spåra finansiering av terrorism detta avtal inte enbart gäller utbyte av personuppgifter utan (TFTP II) (nedan kallat ”förslaget”). Förslaget (inklusive tex­ även skydd av dessa uppgifter. Artikel 16 i fördraget om ten till ett förslag till avtal med Förenta staterna) sändes till Europeiska unionens funktionssätt är därför inte mindre Europeiska datatillsynsmannen för samråd. Datatillsyns­ relevant som rättslig grund än artiklarna 82 och 87 i för­ mannen välkomnar samrådet och rekommenderar att en draget om Europeiska unionens funktionssätt om sam­ hänvisning till detta yttrande förs in i förslagets ingress. arbete för att upprätthålla lag och ordning och som har valts som rättslig grund.

2. Kommissionens förslag har föranletts av den förändrade utformningen av SWIFT ( 3 ), som från och med den 6. Förslaget omfattas av förfarandet i artikel 218.6 i fördraget 1 januari 2010 innebär att SWIFT:s meddelanden om slut­ om Europeiska unionens funktionssätt. Enligt detta för­ farande kan rådet endast anta ett beslut som medger att ( 1 ) EGT L 281, 23.11.1995, s. 31. avtalet sluts efter att Europaparlamentet givit sitt medgi­ ( 2 ) EGT L 8, 12.1.2001, s. 1. vande. Förslaget är därför ett avgörande ”testfall” när det ( 3 ) SWIFT är ett Belgienbaserat företag som tillhandahåller tjänster för gäller att tillämpa de nya Lissabonförfarandena på ett in­ betalningsmeddelanden till finansinstitutioner över hela världen. Se­ ternationellt avtal om skydd av personuppgifter. Om prin­ dan 2001 har det amerikanska finansdepartementet utfärdat admi­ ciper och garantier för skydd av uppgifter tillfredsställande nistrativa förelägganden mot SWIFT för att få tillgång till vissa per­ sonuppgifter rörande finansiella transaktioner som avspeglas på en slås fast i avtalet kommer det att leda till att även andra server på amerikanskt territorium. förhandlingar blir framgångsrika. 29.12.2010 Europeiska SV unionens officiella tidning C 355/11

7. I detta sammanhang betonar Europeiska datatillsynsmannen 11. På begäran av Europaparlamentet och europeiska databetydelsen av förhandlingarna för ett avtal mellan Europe­ skyddsmyndigheter fastställs dessutom i förslaget en rad iska unionen och Amerikas förenta stater om skydd av bestämmelser (artiklarna 14–18) om rättigheter för den personuppgifter när dessa överförs och bearbetas för att person som berörs av uppgifterna, såsom rätten att bli förebygga, undersöka, upptäcka eller åtala brott, inbegripet informerad, rätten till tillgång, rätten till rättelse, radering terrorism, inom ramen för polisiärt och rättsligt samarbete i eller blockering liksom rätten att få upprättelse. Den kon­ brottmål. Förslaget till mandat för att inleda förhandling­ kreta möjligheten att genomdriva dessa bestämmelser och arna antogs av kommissionen den 26 maj 2010. I presen­ de förfaranden som ska följas av personer som inte är tationen av förslaget till mandat betonar kommissionen amerikanska medborgare eller bosatta i landet är emellertid behovet av ett gediget avtal om skydd av personuppgif­ fortfarande oklar (se nedan punkt II.2.3). ter ( 1 ).

8. Mot denna bakgrund rekommenderar Europeiska datatill­ II.2 Ytterligare förbättringar krävs fortfarande synsmannen att det nuvarande förslaget kompletteras med 12. Europeiska datatillsynsmannen instämmer helt i behovet av en stark koppling till förhandlingarna med Förenta staterna att, såsom anges i artikel 1.1 i förslaget, se till att privatliv om denna transatlantiska ram för skydd av uppgifter. Dessa och skydd av personuppgifter respekteras fullt ut. Europe­ normer bör även bli tillämpliga på TFTP II-avtalet. Europe­ iska datatillsynsmannen påpekar i detta sammanhang att ett iska datatillsynsmannen rekommenderar att detta krav in­ antal öppna frågor fortfarande behöver tas upp och vissa förlivas i det nuvarande avtalet, eller åtminstone att man nyckelbeståndsdelar behöver förbättras för att villkoren i kommer överens med Förenta staternas regering om att ett EU:s rättsliga ram för skydd av personuppgifter ska vara eventuellt framtida avtal om skydd av uppgifter ska omfatta uppfyllda. det utbyte som avses i föreliggande förslag.

9. Europeiska datatillsynsmannen bidrar slutligen aktivt till II.2.1 Är den planerade behandlingen av personuppgifter ståndpunkterna från artikel 29-arbetsgruppen samt arbets­ verkligen nödvändig och rimlig? gruppen om polis och rättsväsende. Utöver de punkter som lämnats eller kommer att lämnas i dessa ståndpunkter ana­ 13. Europeiska datatillsynsmannen är fullt medveten om att lyseras i yttrandet det nuvarande förslaget med utgångs­ kampen mot terrorismen och finansieringen av terrorismen punkt från Europeiska datatillsynsmannens tidigare kom­ kan kräva restriktioner i rätten att skydda personuppgifter mentarer om både interimsavtalet och de pågående för­ liksom när det gäller bestämmelser om banksekretess. Det handlingarna med Förenta staterna. är redan fallet när det gäller en rad EU-instrument ( 3 ) som innehåller ett antal åtgärder som syftar till att förhindra att det finansiella systemet utnyttjas för att tvätta pengar och finansiera terrorism. Dessa instrument innehåller även spe­ cifika bestämmelser som möjliggör utbyte av information II. ANALYS AV FÖRSLAGET med tredje lands myndigheter, liksom garantier för skydd av personuppgifter i enlighet med direktiv 95/46/EG. II.1 Förslaget innehåller ett antal förbättringar

10. Europeiska datatillsynsmannen tillstår att förslaget innehål­ ler vissa avgörande förbättringar jämfört med det interimis­ tiska TFTP I-avtalet, exempelvis: 14. Avtalet om ömsesidig rättslig hjälp mellan EU och Förenta staterna medger uttryckligen utbyte av information om bankkonton och finansiella transaktioner mellan myndighe­ ter för upprätthållande av lag och ordning samt anger vill­ — Uteslutning av SEPA-uppgifter. Förslaget innebär ut­ koren och begränsningarna för detta utbyte. Även på in­ tryckligen att krav från det amerikanska finansminis­ ternationell nivå anges i de så kallade Egmont-princi­ teriet inte ska omfatta några uppgifter som gäller det perna ( 4 ) grunden för det internationella utbytet av infor­ gemensamma eurobetalningsområdet (artikel 4.2 d). mation om finansiella transaktioner mellan finansunderrät­ telseenheter, och samtidigt fastställs begränsningar och ga­ rantier beträffande användningen av utbytta uppgifter. In­ strument för utbyte av uppgifter mellan Förenta staterna — Definitionen av terrorism. I artikel 2 i förslaget utgår och Europol och Eurojust finns dessutom redan, och säker­ man från definitionen av terrorism enligt synsättet i ställer samtidigt utbyte av information och skydd av per­ artikel 1 i rådets rambeslut 2002/475/JHA ( 2 ). sonuppgifter. C 355/12 SV Europeiska unionens officiella tidning 29.12.2010

15. Mot denna bakgrund betonas i kommissionens förslag nyt­ om finansiella transaktioner i EU så att endast relevanta och tan med TFTP-programmet, såsom påpekats av det ame­ nödvändiga uppgifter sänds till de amerikanska myndighe­ rikanska finansministeriet och den framstående personens terna. Om dessa lösningar inte kan tas fram omedelbart bör rapporter. Villkoret i artikel 8 i den europeiska konventio­ det i vilket fall som helst i avtalet fastställas en kort över­ nen om de mänskliga rättigheterna för att motivera ingrepp gångsperiod efter vilken bulköverföringar inte längre är till­ i privatlivet är emellertid ”nödvändighet” och inte ”nytta”. låtna.

16. Enligt Europeiska datatillsynsmannen krävs tillräckliga bevis L a g r i n g s p e r i o d för att det finns ett verkligt mervärde i att detta avtal beaktar befintliga instrument eller, med andra ord, i vilken 21. Beträffande lagringsperioden konstaterar Europeiska datatill­ utsträckning avtalet verkligen är nödvändigt för att uppnå synsmannen att förslaget korrekt fastställer maximalt till­ resultat som inte kan erhållas genom att använda instru­ låtna lagringstider för uppgifterna liksom mekanismer för ment som i mindre utsträckning inkräktar på privatlivet, att se till att personuppgifter raderas när de inte längre är såsom de som redan fastställts i befintliga EU-ramar och nödvändiga. Bestämmelserna i artikel 6 i förslaget rörande internationella ramar. Enligt Europeiska datatillsynsmannen icke framtagna uppgifter förefaller emellertid gå i motsatt bör detta mervärde fastställas otvetydigt, som ett villkor för riktning. För det första är begreppet ”icke framtagna upp­ varje avtal med Förenta staterna om utbyte av finansiella gifter” inte självklart och bör därför förtydligas. För det uppgifter, även med tanke på hur inträngande avtalet är (se andra har skälen till att icke framtagna uppgifter ska behål­ även punkterna 18-22 om rimlighet). las i fem år inte bevisats.

17. Europeiska datatillsynsmannen har inte möjlighet att be­ döma hur nödvändigt detta avtal är. Även om det kan 22. Europeiska datatillsynsmannen inser fullständigt behovet av påvisas att avtalet är nödvändigt finns det också andra att se till att personuppgifter som krävs för en specifik punkter som förtjänar att uppmärksammas av förhand­ antiterroristundersökning eller åtal blir åtkomliga, kan be­ larna. handlas och behållas så lång tid som behövs, i vissa fall till och med längre än fem år, eftersom personuppgifter kan behövas för undersökningar eller rättsliga förfaranden som pågår under lång tid. Men om man antar att icke framtagna uppgifter är uppgifter som har bulköverförts och som man varken har gått in på eller använt för ett specifikt åtal eller 18. Rimlighet är också huvudkriteriet för att bedöma mängden en specifik undersökning bör den tillåtna lagringstiden för personuppgifter som överförs liksom deras lagringstid. I att behålla dessa uppgifter vara betydligt mer begränsad. I artikel 4 i förslaget begränsas omfattningen av den ame­ detta perspektiv bör det betonas att den tyska författnings­ rikanska begäran. Förslaget innebär emellertid att person­ domstolen har ansett att när det gäller att lagra uppgifter uppgifter bulköverförs till amerikanska myndigheter och om telekommunikation är en lagringsperiod på sex måna­ sedan i princip behålls under en femårsperiod, oavsett om der redan mycket lång och behöver därför motiveras på de har tagit fram uppgifter eller det finns en bevisad kopp­ lämpligt sätt ( 1 ). Författningsdomstolen föreföll anse att ling till en specifik undersökning eller ett specifikt åtal. denna sexmånadersperiod var den maximala för uppgifter som inte gällde en specifik undersökning. B u l k ö v e r f ö r i n g a r

19. Trots vad Europaparlamentet och europeiska dataskydds­ II.2.2 Tryggar förslaget rättslig tillsyn? myndigheter har begärt bygger förslaget fortfarande på fö­ reställningen att personuppgifter ska bulköverföras till det 23. Enligt förhandlingsmandatet bör en rättslig offentlig myn­ amerikanska finansministeriet. På den punkten är det viktigt dighet ha ansvaret för att ta emot förfrågningar från det att klargöra att det faktum att det nuvarande SWIFT-syste­ amerikanska finansministeriet, bedöma om de överensstäm­ met inte medger en riktad sökning inte kan betraktas som mer med avtalet och i förekommande fall begära att leve­ tillräcklig motivering för att bulköverföringar av uppgifter rantören överför uppgifterna på grundval av ett ”system för ska bli lagliga enligt EU:s dataskyddslag. överföring”. Både Europaparlamentet och Europeiska data­ tillsynsmannen välkomnade detta synsätt som innebär en avgörande garanti – i linje med nationella konstitutioner och rättssystem i medlemsstaterna – för lagenliga och ba­ lanserade överföringar av uppgifter liksom en oberoende

20. Europeiska datatillsynsmannen anser därför att lösningar tillsyn. bör tas fram för att se till att bulköverföringar ersätts med mekanismer som möjliggör filtrering av uppgifter ( 1 ) Dom av den 2 mars 2010. 29.12.2010 Europeiska SV unionens officiella tidning C 355/13

24. Enligt förslaget lämnas emellertid denna uppgift till Euro­ nande av personuppgifter till den berörda personen mycket pol, som är en EU-myndighet för att förebygga och be­ väl kan begränsas enligt de omständigheter som anges i kämpa organiserad brottslighet, terrorism och andra former artikel 15.2, bör informationen kunna spridas till europe­ av allvarliga brott som påverkar två eller fler medlemssta­ iska nationella myndigheter för skydd av personuppgifter i ter ( 1 ). Det är uppenbart att Europol inte är en rättslig samtliga fall, för att dessa effektivt ska kunna sköta sin myndighet. övervakande uppgift. Myndigheter för skydd av personupp­ gifter är självfallet bundna av ett sekretesskrav när de utför sina uppgifter och kommer inte att lämna uppgifterna till den berörda personen så länge villkoren för ett undantag 25. Europol har dessutom specifika intressen i utbytet av per­ finns. sonuppgifter på grundval av det föreslagna avtalet. I för­ slagets artikel 10 ges Europol befogenhet att begära att relevant information ska erhållas via TFTP om myndigheten har skäl att tro att en person eller enhet har en koppling till 30. När det gäller rätten till rättelse anges i artikel 17.2 att ”En terrorism. Det är svårt att kombinera denna befogenhet för part som får kännedom om att materiella uppgifter som Europol, som kan vara viktig för att fullgöra Europols upp­ den har översänt eller mottagit från den andra parten i gift och som kräver goda relationer med det amerikanska enlighet med detta avtal är inkorrekta eller otillförlitliga, finansministeriet, med myndighetens uppgift att trygga en ska om möjligt underrätta den andra parten om detta”. oberoende tillsyn. Europeiska datatillsynsmannen anser att skyldigheten att rätta felaktiga eller otillförlitliga uppgifter är en grundläg­ gande garanti inte enbart för personen som berörs av upp­ gifterna utan även för att de åtgärder som utförs av myn­ 26. Europeiska datatillsynsmannen undrar dessutom i vilken digheterna som ska verkställa lagar ska bli effektiva. I det utsträckning den nuvarande rättsliga ramen anförtror Euro­ hänseendet bör myndigheter som utbyter uppgifter inrätta pol – särskilt utan att ändra dess rättsliga grund enligt det mekanismer för att se till att denna rättelse alltid kan ge­ normala förfarandet i Lissabonfördraget – uppgifterna och nomföras, och orden ”om möjligt” bör därför strykas i befogenheterna för att göra en administrativ begäran från förslaget. ett tredje land ”bindande” (artikel 4.5) för ett privat företag, vilket då får ”tillåtelse och är skyldigt” att tillhandahålla uppgifter till detta tredje land. Här bör det noteras att det enligt den nuvarande EG-lagstiftningen inte är uppenbart 31. Den viktigaste frågan för Europeiska datatillsynsmannen är huruvida ett beslut från Europol rörande ett privat företag emellertid att dessa rättigheter konkret kan verkställas. Av skulle omfattas av EG-domstolens rättsliga kontroll. skäl som gäller rättssäkerhet och insyn bör det i förslaget å ena sidan anges mer i detalj vilka konkreta förfaranden som personer som berörs av uppgifterna kan använda för att genomföra de rättigheter de tillerkänns i avtalet, både inom EU och i Förenta staterna. 27. Mot den bakgrunden upprepar Europeiska datatillsynsman­ nen sin uppfattning att det bör vara en offentlig rättslig myndighet som har i uppgift att bedöma krav från det amerikanska finansministeriet, även i syfte att respektera 32. Å andra sidan anges uttryckligen och tydligt i artikel 20.1 förhandlingsmandatet och EU:s nuvarande rättsliga ram. att avtalet ”inte ska ligga till grund för några rättigheter eller förmåner för några privata eller offentliga personer eller enheter”. Europeiska datatillsynsmannen noterar att denna bestämmelse förefaller upphäva eller åtminstone ifrågasätta II.2.3 Medför förslaget verkställbara rättigheter (och skydd) för den bindande effekten av de bestämmelser i avtalet som ger personer som berörs av uppgifterna? personer som berörs av uppgifterna rättigheter, vilka för 28. Såsom redan angivits i inledningen till detta yttrande fast­ närvarande ännu inte är vare sig erkända eller genomför­ ställs i förslaget en rad rättigheter för personer som berörs bara enligt amerikansk lag, särskilt när personerna som berörs av uppgifterna inte är amerikanska medborgare eller av uppgifterna, såsom rätten att bli informerad, rätten till permanent boende i landet. Den amerikanska lagen om tillgång, rätten till rättelse, radering eller blockering, liksom integritetsskydd (Privacy act) ger exempelvis en kvalificerad rätten att få upprättelse. Det är emellertid viktigt att å ena rätt att få tillgång till personlig information som är starkare sedan förbättra vissa delar av bestämmelserna och å andra sidan se till att de verkligen är möjliga att verkställa. än den generella rätt som beviljas allmänheten genom den amerikanska lagen om informationsfrihet (Freedom of In­ formation Act). Den amerikanska lagen om integritetsskydd (Privacy Act) anger emellertid tydligt att en begäran om tillgång till egna register endast är möjlig för ”en medbor­ 29. Beträffande rätten att få tillgång till sina egna personupp­ gare i Förenta staterna eller en utländsk medborgare som gifter anges i avtalet en rad begränsningar. Europeiska data­ enligt lag har permanent uppehållstillstånd” ( 2 ). tillsynsmannen är medveten om att rättigheterna för perso­ ner som berörs av uppgifterna kan begränsas om det är ( 2 ) Detta bekräftas av informationen på det amerikanska finansminis­ nödvändigt, särskilt när det gäller kampen mot terrorismen. teriets webbplats ”När du gör en begäran om anmälan om eller Förslaget bör emellertid göra det tydligt att medan utläm­ tillgång till register, ska den: […] ange att du är medborgare i Förenta staterna eller utländsk medborgare med permanent uppe­ ( 1 ) Se exempelvis artikel 3 i rådets beslut 2009/371/JHA om inrättande hållstillstånd enligt lag i Förenta staterna, […]”, http://www.treas. av Europeiska polisbyrån (Europol), (EUT L 121, 15.5.2009, s. 37). gov/foia/how-to.html (senast använd den 21 juni 2010). C 355/14 SV Europeiska unionens officiella tidning 29.12.2010

33. Europeiska datatillsynsmannen rekommenderar därför att 38. Förslaget bör dessutom inte bara fastställa datum för den den nuvarande formuleringen i artikel 20.1 ses över så första gemensamma översynen, som ska äga rum efter sex att de rättigheter som föreslås tydligt anges och verkligen månader, utan även tidsplanen för nästa översyn, som ex­ är genomförbara även på amerikanskt territorium. empelvis kan äga rum varje år därefter. Europeiska datatill­ synsmannen rekommenderar även att ett samband upprät­ tas mellan resultatet av dessa gemensamma översyner och avtalets löptid. II.2.4 Tryggar förslaget en tillfredsställande oberoende tillsyn och övervakning?

34. I artikel 12 i förslaget anges olika nivåer av övervakning av de villkor och garantier som inrättas genom avtalet. ”Obe­ 39. I detta sammanhang betonar Europeiska datatillsynsmannen roende övervakare” kommer att övervaka det amerikanska att en bortre tidsgräns är önskvärd även mot bakgrund av finansministeriets sökningar, både i realtid och bakåt i ti­ att mer riktade lösningar på längre sikt kan bli tillgängliga. den. ”En oberoende person som utnämns av Europeiska En tidsbegränsning kan också vara ett bra incitament för att kommissionen” ska dessutom kontinuerligt övervaka den nödvändiga satsningar ska göras på att utveckla sådana första tillsynsnivån, inbegripet dess oberoende. Det bör lösningar som skulle innebära att det inte längre finns klargöras vilka uppgifter den oberoende personen ska ha, några skäl till bulköverföringar av uppgifter till det ame­ hur det ska garanteras att han faktiskt kan uppfylla sina rikanska finansministeriet. uppgifter och till vem han rapporterar.

40. För att både tillsynen och den gemensamma översynen ska 35. I artikel 13 fastställs också en mekanism för en gemensam bli effektivare bör det finnas information och relevanta översyn som ska genomföras efter sex månader och där­ uppgifter om antal begäranden om tillträde och upprättelse, efter i regelbundna intervaller. Denna gemensamma översyn möjlig uppföljning (radering, rättning, etc.) liksom antalet ska genomföras av en gemensam EU-US-delegation, där beslut om att begränsa rättigheter för personer som berörs EU-delegationen innefattar företrädare för två dataskydds­ av uppgifterna. På samma sätt bör information, när det myndigheter, och ska resultera i en rapport som kommis­ gäller översynen, vara tillgänglig och redovisa, utöver sionen lägger fram för Europaparlamentet och rådet. mängden meddelanden som det amerikanska finansminis­ teriet ”haft tillträde till”, även antalet meddelanden som ”lämnats” till det amerikanska finansministeriet. Detta bör anges i avtalet. 36. Europeiska datatillsynsmannen betonar att oberoende över­ vakning är ett mycket viktigt inslag i rätten till skydd av personuppgifter, vilket också bekräftas i artikel 16 i fördra­ get om Europeiska unionens funktionssätt och artikel 8 i Europeiska unionens stadga om de grundläggande rättighe­ 41. Dessutom bör befogenheter och behörighet för europeiska terna. EG-domstolen fastställde nyligen strikta kriterier för dataskyddsmyndigheter inte på något sätt begränsas av oberoende i sin dom av den 9 mars 2010, kommissionen detta förslag. Europeiska datatillsynsmannen noterar också mot Tyskland ( 1 ). Det är uppenbart att lika strikta kriterier att förslaget innebär ett steg tillbaka när det gäller det inte kan gälla för tredje länder, men det är också tydligt att interimistiska TFTP-avtalet. I det tidigare avtalet angavs i personuppgifter endast kan skyddas tillräckligt ( 2 ) om det inledningen att ”detta avtal inte avviker från de befintliga finns tillfredsställande garantier för oberoende tillsyn. Det är befogenheterna för medlemsstaternas dataskyddsmyndighe­ också ett villkor för internationella avtal med länder vars ter att skydda enskilda personer när det gäller behandling rättssystem inte kräver att en oberoende myndighet ska av deras personuppgifter” men det nya förslaget hänvisar kontrollera verksamheten. nu till ”överinsyn av de behöriga dataskyddsmyndigheterna på ett sätt som är förenligt med de särskilda bestämmel­ serna i detta avtal”. Europeiska datatillsynsmannen rekom­ menderar därför att man i förslaget tydligt anger att avtalet inte gör något undantag från eller begränsar befogenheterna 37. Mot denna bakgrund är det avgörande att minst villkoren för europeiska dataskyddsmyndigheter. för tillsyn och den gemensamma översynen, liksom befo­ genheterna och garantierna för oberoende för de personer som är delaktiga i översynen, fastställs tydligt i avtalet sna­ rare än att de ”gemensamt samordnas” eller fastställs av parterna på ett senare stadium. Det är särskilt viktigt att se till att både den person som utnämns av Europeiska III. SLUTSATSER kommissionen och företrädarna för europeiska dataskydds­ myndigheter har möjlighet att agera oberoende och genom­ 42. Europeiska datatillsynsmannen konstaterar att detta förslag föra sina övervakande uppgifter effektivt. innebär vissa betydande förbättringar när det gäller det interimistiska TFTP I-avtalet, såsom uteslutning av SEPA- 1 uppgifter, en mer begränsad definition av terrorism och ( ) Mål C-518/07, nyr. ( 2 ) I det föreslagna avtalets artikel 8anges att det amerikanska finans­ mer detaljerade bestämmelser om rättigheter för personer ministeriet är skyldigt att trygga en tillräcklig skyddsnivå. som berörs av uppgifterna. 29.12.2010 Europeiska SV unionens officiella tidning C 355/15

43. Europeiska datatillsynsmannen noterar emellertid att en av­ — Förbättra de oberoende mekanismerna för tillsyn och görande förutsättning för att bedöma legitimiteten hos ett övervakning genom att: nytt TFTP-avtal måste uppfyllas. Behovet av schemat måste fastställas i förhållande till redan befintliga instrument såväl i) Se till att uppgifterna och rollen för både den per­ inom EU som internationellt. son som utnämns av Europeiska kommissionen och företrädarna för europeiska dataskyddsmyndigheter 44. Om detta skulle vara fallet påpekar Europeiska datatillsyns­ är väl definierade och att de har möjlighet att agera mannen att ett antal öppna frågor återstår att ta upp och oberoende och genomföra sina övervakande uppgif­ att avgörande beståndsdelar behöver förbättras för att upp­ ter effektivt. fylla villkoren i EU:s rättsliga ram för skydd av personupp­ gifter, bland annat: ii) Se till att gemensamma översyner äger rum regel­ bundet och att deras resultat kopplas till avtalets — Se till att bulköverföringar ersätts med mekanismer som löptid genom en bortre tidsgräns. gör det möjligt att filtrera uppgifter om finansiella transaktioner i EU så att endast relevanta och nödvän­ iii) Utvidga tillgänglig information till oberoende till­ diga uppgifter sänds till de amerikanska myndigheterna. synsmän och dataskyddsmyndigheter. — Avsevärt minska lagringsperioden för icke framtagna iv) Undvika att avtalet begränsar befogenheterna för uppgifter. europeiska dataskyddsmyndigheter. — Anförtro uppgiften att bedöma begäranden från det — Lägga till en hänvisning till detta yttrande i ingressen till amerikanska finansministeriet till en offentlig rättslig förslaget. myndighet, i linje med förhandlingsmandatet och den aktuella rättsliga ramen inom EU. Utfärdat i Bryssel den 22 juni 2010. — Se till att de rättigheter som personer som berörs av uppgifterna beviljas genom förslaget anges tydligt, och Peter HUSTINX att de kan genomföras effektivt även på amerikanskt territorium. Europeiska datatillsynsmannen