Seriøst sikkerhedshul fundet i bankdata-overførsler

Begreber i data-rodet:

SWIFT – forkortelse for Society for Worldwide Interbank Financial Telecommunication, der er en medlemsejet organisation for transaktioner af bank-data. SWIFT hører hjemme i Belgien og har mere end 9.000 banker som medlemmer herunder stort set alle danske banker. SWIFT-data referer til data fra en SWIFT-medlemsbank til en betalingsmodtager.

TFTP – forkortelse for Terrorist Finance Tracking Program, som er den amerikanske regerings projekt med at få fat i SWIFT-data fra Europa med henblik på terrorbekæmpelse. En TFTP-aftale med Europa blev sat på skinner i August 2010, hvor amerikanerne kunne få udleveret SWIFT-data fra Europa, hvis forespørgslen blev begrundet på fornuftig vis.

Europol – den Europæiske Unions politienhed, der er sat til at bedømme og godkende udleveringen af SWIFT-data fra Europa til USA.

JSB – en forkortelse for Europols Joint Supervisory Board, der er en fælles tilsynsmyndighed for Europol. JSB har i efteråret undersøgt sommerens TFTP-aftale med henblik på at finde ud af, hvordan den er blevet implementeret i praksis.

En undersøgelse af den amerikanske snabel i europæiske bankdata afslører, at udleveringen af bankdata fra Europa sker under kaotiske tilstande og uden, at reglerne bliver fulgt.
 
Bankdata fra Europa har ellers tidligere kostet uskyldige folk - heriblandt danskere - en plads på den amerikanske terrorliste. De er blevet mistænkt for at yde økonomisk støtte til terrorister, efter de har e-handlet med forretninger i Mellemøsten og lande som Pakistan.
 
Overvågningen af de transkontinentale data er historisk sket, efter de europæiske bankdata fra belgiske servere i en årrække er blevet spejlet i USA. Det har givet amerikanerne et helt frit indblik i bankdata fra Europa.
 
EU har dog ønsket at sætte en stopper for USA's frie snageri i europæernes transaktioner internt i Europa og fra Europa til andre kontinenter. Dataspejlet fra SWIFT-servere i Belgien er derfor siden blevet flyttet fra New York til Schweiz.
 
Derudover har de to kontinenter i sommeren 2010 indgået den såkaldte TFTP-aftale (Terrorist Finance Tracking Programme), hvor reglerne for udlevering af data er blevet nedfældet og formaliseret således, at den europæiske politimyndighed, Europol, skulle stå for godkendelsen af udleveringen af SWIFT-data fra Europa - men først efter at have modtaget forespørgsler fra de amerikanske myndigheder.
 
Siden indgåelsen af TFTP-aftalen er Europols godkendelse af SWIFT-data (Society for Worldwide Interbank Financial Telecommunication) blevet undersøgt af Europols tilsynsmyndighed, JSB (Europols Joint Supervisory Board) i november.
 
Helt uigennemskuelig databeskyttelse
Nu er JSB klar med konklusionen efter efterårets inspektion:
 
"Den vigtigste opdagelse var, at de skrevne forespørgsler til Europol var alt for generelle og abstrakte til at kunne evaluere, om data skulle udleveres. På trods af dette har Europol godkendt hver eneste forespørgsel," skriver JSB i en pressemeddelelse i kølvandet på undersøgelsen.
 
Med andre ord: Der er overhovedet ikke styr på, hvilke data de amerikanske myndigheder får udleveret, og TFTP-aftalen har i princippet ingen virkning, da amerikanerne får fingrene i alle de data, som de ønsker sig.
 
Senere i pressemeddelelsen skriver JSB også, at SWIFT-data i visse tilfælde er blevet udleveret efter mundtlige aftaler uden nogen former for nedskreven sagsbehandling.
 
"Essensen i JBS-undersøgelsen er, at udleveringen af data er uigennemskuelig. Det betyder reelt, at man ikke kan føre tilsyn med, om data-transaktionerne foregår på lovlig vis," forklarer it-chef i Datatilsynet, Sten Hansen, som også er det ene danske medlem af Europols tilsynsmyndighed, JSB.
 
Han forklarer, at hele formålet med JSB-undersøgelsen er ovenpå indgåelsen af TFTP-aftalen at sikre almindelige borgere, at deres data ikke bliver efterspurgt og endevendt af de amerikanske myndigheder, uden forespørgslerne er velbegrundede - eksempelvis mistanke om deltagelse i terror.
 
"Det bærende princip inden for databeskyttelse er, at man har ret til indsigt i egne data. Men det har man ikke i dette tilfælde med overførslen af SWIFT-data, og derfor er JSB borgernes garant for, at der ikke foregår noget, der ikke må foregå. Men det kan JSB ikke, fordi forholdene i dataudleveringen er uigennemskuelige," forklarer Sten Hansen til Computerworld.
 
Røg på terrorlisten
At borgere kan blive overraskede over, hvordan data bliver brugt, kan den danske modebutiksindehaver Christa Møllgaard-Hansen fra Lolland utvivlsomt skrive under på.
 
For da hun i februar 2008 købte seks kjoler i Pakistan for 205 dollar via SWIFT, røg hun uforvarende ind på den amerikanske terrorliste.
 
Hun fandt aldrig ud af, hvorfor hun lige pludselig var mistænkt for økonomisk at støtte terror ved at sende penge fra Maribo til Karachi, men hun fik en slags forklaring i dokumentarfilmen "Christas Mareridt" på TV2, der blev sendt i sommers.
 
"Der er formentlig sket det, at din pengeoverførsel gik gennem New York, som alle pengeoverførsler i verden. Her fungerer det lidt som et filter på et vandrensningsanlæg: enkelte partikler bliver fanget i systemet. Det er det, der er sket med dig," forklarer en FBI-agent til Christa i dokumentarfilmen.
 
Andre scenarier med partikler, der bliver opfanget i USA, kunne være, at de amerikanske skattemyndigheder fik indblik i større transaktioner mellem to europæiske virksomheder, hvilket kunne indikere et opkøb.
 
Dermed ville de amerikanske myndigheder og måske siden hen konkurrenter til europæerne få et konkurrenceforvridende informations-indblik i forholdene hos de nærmeste konkurrenter.
 
Ubegrundet terrormistanke og skævvridende konkurrence er dog kun to af mange mulige konsekvenser af fri udlevering af bankdata til USA.
 
For at få bremset transaktionsudleveringerne foreslår JSB blandt andet, at Europol strammer op omkring sin rolle som godkender af dataudleveringen.