Združenje SWIFT - Ugotovljena nezakonitost obdelave osebnih podatkov
+ -SPOROČILO ZA JAVNOST
Ugotovljena nezakonitost obdelave osebnih podatkov združenja SWIFT
Bruselj, 23. november 2006 – Delovna skupina za področje varstva osebnih podatkov je na dvodnevnem zasedanju sprejela stališče glede pred meseci odkrite afere SWIFT, ki je rezultat proučitve spoštovanja in skladnosti zakonodaje s področja varstva osebnih podatkov v posameznih državah EU. Predstavljeno mnenje Delovne skupine Article 29 vsebuje ugotovitve glede obdelave osebnih podatkov združenja SWIFT (Society for Worldwide Interbank Financial Telecommunication).
SWIFT je mednarodni finančni sporočilni sistem, ki opravlja naloge mednarodne izmenjave denarja. Vse podatke shranjuje za obdobje 124 dni v dveh operativnih centrih, prvem v Evropski uniji in drugem v ZDA – gre za obliko obdelave podatkov po imenu "zrcaljenje". Sporočila vsebujejo osebne podatke, kot so osebna imena plačnikov in prejemnikov sredstev. Po terorističnih napadih septembra 2001 je Ministrstvo za finance ZDA izdalo pozive, z zahtevo da SWIFT omogoči dostop do informacij v sporočilih, ki so se nahajala v ZDA. SWIFT je pozive spoštoval, vendar pa se je z Ministrstvom za finance ZDA dogovoril za nekatere omejitve dostopa. Zadeva je zaradi novinarskega poročanja konec junija in v začetku julija 2006 postala javno odmevna.
Kot združenje, ustanovljeno v Belgiji je SWIFT subjekt Belgijskega prava varstva osebnih podatkov, ki je v svoj pravni red preneslo Direktivo EU o varstvu osebnih podatkov 95/46/ES (v nadaljevanju direktiva). Finančne institucije v EU, ki uporabljajo storitve združenja SWIFT so zato podrejene nacionalnim zakonom, ki urejajo varstvo osebnih podatkov in udejanjajo omenjeno direktivo.
Delovna skupina Article 29 v sprejetem stališču poudarja, da morajo temeljne pravice ostati zagotovljene tudi v boju zoper terorizem in kriminal. Zato vztraja pri globalnem spoštovanju temeljnih načel varstva osebnih podatkov.
Ob ugotovljenem delovna skupina meni, da:
- tako SWIFT kot finančne organizacije delijo skupno odgovornost – čeprav v različnem obsegu, za obdelavo osebnih podatkov kot "upravljavci osebnih podatkov" v pomenu kot ga določa 2d. člen Direktive.
- je za nadaljevanje obdelave osebnih podatkov ob zavedanju velikosti obsega pozivov ameriškega Ministrstva za finance dodaten namen, ki ni kompatibilen z izvornim tržnim namenom za katerega so bili osebni podatki zbrani skladno s pomenom 6(1)(b) člena Direktive. Niti SWIFT niti finančne institucije v EU subjektom obdelave osebnih podatkov niso zagotovili informacij glede obdelave njihovih osebnih podatkov, posebej glede prenosa v ZDA, kakor je to zahtevano skladno z 10. in 11. členom direktive.
- nadzorni ukrepi, ki jih vzpostavlja SWIFT, posebej glede dostopa ameriškega Ministrstva za finance do podatkov, nikakor ne nadomešča neodvisnega nadzora, ki bi ga lahko zagotovili neodvisni nadzorni organi ustanovljeni skladno z 28. členom direktive. Glede prenosa podatkov v operativni center v ZDA se združenje SWIFT za legitimnost obdelave ne more sklicevati na 25. člen direktive.
- se nobena od izključitev navedenih v 26(1) členu direktive ne nanaša na obdelavo podatkov v ZDA.
- združenje SWIFT ni uporabilo mehanizmov predvidenih s 26(2) členom direktive, da bi pridobilo odobritev nadzornega organa za varstvo osebnih podatkov Belgije za postopke obdelave. Zaradi tega delovna skupina Article 29 združenje SWIFT in finančne institucije poziva, da nemudoma sprejmejo ukrepe za popravo trenutno nezakonitega stanja.
- Dodatno Delovna skupina Article 29 poziva na predstavitev pojasnil glede nadzora nad združenjem SWIFT. Delovna skupina bo spremljala in nadzirala vse zgoraj naštete dejavnosti in postopke.Nadzor nad prenosom osebnih podatkov finančnih institucij SWIFT-u so dolžni na nacionalnih ravneh opravljati nadzorni organi za varstvo osebnih podatkov. V Sloveniji je to Informacijski pooblaščenec. Celotno sporočilo za javnost v angleškem jeziku lahko najdete na uradni strani Delovne skupine Article 29:
http://ec.europa.eu/justice_home/fsj/privacy/news/docs/PR_Swift_Affair_23_11_06_en.pdf