sou · H5B357 · 2017-06-22 00:00:00 — De aktuella uppgiftssamlingarna utgör normalt i traditionell mening register och inte databaser. Vi föreslår därför att begreppen register eller andra uppgiftssamlingar används i lagtexten. Det är inte klart vilka register eller uppgiftssamlingar som PNR-uppgifterna kommer att jämföras med vid enheten för passa- gerarinformation. De man kan tänka sig är i fråga om EU-register t.ex. , där personer efterlysta för brott registreras. I fråga om internationella register finns t.ex. databas där kända Behandling av PNR-uppgifter vid enheten för passagerarinformation internationella brottslingar kan registreras. Ett nationellt register man kan tänka sig är misstankeregistret. Som angetts i avsnitt 10.5 är det vår utgångspunkt att enheten, när den startar det operativa arbetet, kommer att använda sig av de system som den nuvarande registerförfattningsregleringen ger förutsättningar för och som reg- leras i annan författning. Bestämmelser härom behöver därför inte föras in i denna reglering. Dock krävs, som angetts ovan, att registren eller uppgiftssamlingarna är relevanta för PNR-direktivets syften. Det bör i sammanhanget noteras att vissa uppgiftssamlingar som kan bli aktuella för jämförelser kan innehålla uppgifter om personer som inte faller inom direktivets tillämpningsområde eftersom de t.ex. är misstänkta för annat slags eller lindrigare brottslighet. En auto- matisk sökning i dessa uppgiftssamlingar skulle kunna innebära att PNR-uppgifterna leder till träffar avseende sådan brottslighet som inte omfattas av direktivet. Dock kan en träff avseende exempelvis ett lindrigare brott, en person som är försvunnen eller ett dokument som är stulet, leda till andra antaganden och annan information, som i sin tur leder till misstanke om inblandning i grov brottslighet eller terroristbrottslighet. Sökningarna i de olika databaserna bör därför, enligt vår mening, inte begränsas till att endast omfatta sådana brott som avses i direktivet. Jämförelser med på förhand fastställda kriterier Vid förhandsbedömningarna får enheten för passagerarinformation enligt artikel 6.3 b även behandla PNR-uppgifter i enlighet med på förhand fastställda kriterier. Med behandling i enlighet med på för- hand fastställda kriterier avses vad som i polisiära sammanhang kallas för profilering. Med en profil menas en icke personanknuten före- teelse och kan avse uppgifter om exempelvis avreseort, resrutt, betal- ningssätt, bokningsrutin, bagage m.m. Vissa mönster och beteende i resandeflödet utgör riskprofiler som kan ge anledning att kontrollera en viss person. En profil används således för att leta efter mönster som kan indikera att en person är av intresse för vidare kontroller. En analys av PNR-uppgifter kan exempelvis ge indikationer på de vanligaste rutterna för människohandel och narkotikahandel, information som sedan kan användas som bedömningskriterier. I ett konkret fall från en medlemsstat avslöjade PNR-analysen en grupp Behandling av PNR-uppgifter vid enheten för passagerarinformation människohandlare som alltid reste samma väg. De använde falska handlingar för att checka in till en flygning inom EU som de använde äkta handlingar för att checka in till en annan flygning med destination i ett tredjeland. Så snart de befann sig i flygplatsens lounge-område gick de ombord på det plan som skulle avgå till en destination inom EU. Utan hjälp av PNR-uppgifter skulle det ha varit omöjligt att nysta upp detta nätverk för människohandel.2 I artikel 6.4 anges att förhandsbedömningen av passagerare i en- lighet med på förhand fastställda kriterier ska utföras på ett icke- diskriminerande sätt. De på förhand fastställda kriterier måste vara riktade, proportionella och specifika. Medlemsstaterna ska se till att kriterierna fastställs och regelbundet ses över av enheterna för pas- sagerarinformation i samarbete med behöriga myndigheter. Dessa på förhand fastställda kriterier får dessutom under inga omständig- heter vara baserade på känsliga personuppgifter. Inte heller direktivets bestämmelse om de på förhand fastställda kriterierna i artikel 6.3 b är tvingande. Det utgör således en frivillig möjlighet för medlemsstaterna att använda sig av profilering. Om en profilering sker ska dock bestämmelserna i artikel 6.4 vara upp- fyllda. Även artikel 6.3 b och 6.4 bör genomföras i lagen. Det bör här framgå att PNR-uppgifter får behandlas i enlighet med på förhand utformade och fastställda kriterier i samband med förhandsbedöm- ningar av passagerare. Vidare bör det anges att dessa kriterier ska vara riktade och proportionella. Enligt vår mening utgör avgränsade ett bättre ord i sammanhanget än specifika, varför vi väljer att också använda det i lagen. Förbudet mot behandling av känsliga personuppgifter bör föras in i lagen genom en hänvisning till den bestämmelse i brottsdatalagen där dessa uppgifter behandlas. Dock följer det redan av 1 kap. 9 § RF att en myndighet inte ska utföra sitt arbete på ett diskriminerande sätt. Enlig vår mening saknas det därför anledning att i lagen särskilt ange detta kriterium. 2 A.a. s. 5. Behandling av PNR-uppgifter vid enheten för passagerarinformation Det kan i förordning regleras att kriterierna ska fastställas och regelbundet ses över av enheten för passagerarinformation i sam- arbete med behöriga myndigheter. I artikel 6.9 anges att konsekvenserna av förhandsbedömningarna inte får äventyra rätten för personer som åtnjuter fri rörlighet enligt unionsrätten att resa in på den berörda medlemsstatens territorium i enlighet med och rådets direktiv /38/EG3. När bedömningarna sker i samband med flygningar inom EU mellan medlemsstater för vilka kodexen om Schengengränserna4 är tillämp- lig, ska vidare konsekvenserna av sådana bedömningar vara förenliga med den förordningen. I rådets direktiv /38/EG slås unionsmedborgares och deras familjemedlemmars rätt att fritt röra sig och uppehålla sig inom med- lemsstaternas territorium fast. Direktivet har genomförts i främst genom ändrade bestämmelser i utlänningslagen. Kodexen om Schengengränserna syftar till att precisera unionens bestämmelser om gränskontroller vid personers passage av EU:s yttre gränser och tillfälliga inre gränser. Kodexen gäller som lag i . Enligt gränskodexen får alla personer, oavsett nationalitet, passera de inre gränserna vid vilket övergångsställe som helst, utan att någon in- eller utresekontroll genomförs. Detta utesluter inte möjligheten att den nationella polismyndigheten utövar sina befogenheter, på villkor att det inte har samma verkan som gränskontroller. Därut- över finns det i gränskodexen bestämmelser om att de EU-länder som tillhör Schengenområdet under vissa förutsättningar får åter- införa gränskontroller. 3Europaparlamentets och rådets direktiv /38/EG av om unionsmed- borgares och deras familjemedlemmars rätt att fritt röra sig och uppehålla sig inom medlems- staternas territorier och om ändring av förordning (EEG) nr 1612/68 och om upphävande av direktiven /221/EEG, 68/360/EEG, 72/194/EEG, 73/148/EEG, 75/34/EEG, 75/35/EEG, 90/364/EEG, 90/365/EEG och 93/96/EEG. 4Direktivet hänvisar till Europarlamentets och rådets förordning (EG) nr 562/2006 av den 15mars 2006 om en gemenskapskodex om gränspassage för personer (kodex om Schengen- gränserna). Den har emellertid ersatts av och rådets förordning (EU) 2016/399 av om en unionskodex om gränspassage för personer (kodex om Schengengränserna). Behandling av PNR-uppgifter vid enheten för passagerarinformation PNR-direktivet syftar inte till att förbättra gränskontrollerna eller reglera invandringen, utan syftar till att bekämpa terroristbrottslig- het och grov brottslighet. Direktivet innehåller vidare inga bestäm- melser om avvisning eller utvisning av personer. Med hänsyn härtill är det vår uppfattning att den grundbestämmelse om att PNR-uppgifter endast får användas i syfte att förebygga, förhindra, upptäcka, ut- reda eller lagföra terroristbrottslighet eller grov brottslighet som föreslås införas i lagen, är tillräcklig för att säkerställa att kraven i artikel 6.9 efterlevs. 13.2.3PNR-uppgifterna får behandlas för att överföra PNR-information till behöriga mottagare och tredjeland Våra förslag: Från lufttrafikföretag insamlade PNR-uppgifter får behandlas för att enheten ska kunna fullgöra sina uppgifter enligt direktivet att på eget initiativ överföra PNR-information eller för att besvara en begäran från en behörig mottagare. Vidare ska i ändamålsbestämmelsen framgå att PNR-uppgifter får över- föras till tredjeland enligt bestämmelserna om detta i lagen. Reaktiv behandling av PNR-uppgifter PNR-uppgifter behöver inte endast användas i realtid för att för- hindra brottslighet. Uppgifterna kan även användas reaktivt efter det att ett brott har begåtts för att ta fram bevisning och, i förekom- mande fall, hitta medbrottslingar och nysta upp kriminella nätverk. I brottsutredningar kan äldre PNR-uppgifter användas exempelvis för att kartlägga var en misstänkt har befunnit sig vid vissa tidpunk- ter, vem personen har rest med och vem som har betalat för resan. Exempelvis kan kreditkortsinformation som ingår bland PNR-upp- gifterna göra det möjligt för de behöriga myndigheterna att identifiera och styrka kopplingar mellan en person och en känd brottsling eller ett kriminellt nätverk. Ett exempel från en medlemsstat rörde storskalig människo- och narkotikahandel med anknytning till en medlemsstat och flera tredjeländer. Karteller importerade narkotika till flera olika destinationer i . Människor som själva var offer för människohandel tvingades svälja narkotika och transportera Behandling av PNR-uppgifter vid enheten för passagerarinformation den till EU. Personerna identifierades genom att det på grundval av PNR-uppgifter kunde konstateras att de hade köpt flygbiljetten med stulna kreditkort. Detta ledde till gripanden i den berörda med- lemsstaten. På denna grund skapades ett bedömningskriterium som i sig ledde till flera ytterligare gripanden i andra medlemsstater och tredjeländer.5 Lagrade PNR-uppgifter kan även vara av intresse i underrättelse- verksamhet eller annan verksamhet för att förebygga, förhindra eller upptäcka brottslig verksamhet. Behöriga myndigheter som tror sig kunna ha nytta av äldre PNR- uppgifter kan vända sig till enheten för passagerarinformation och begära att få ut äldre PNR-uppgifter som kan vara av värde för dem i deras arbete. Således anges i artikel 6.2 b att PNR-uppgifterna får användas i enskilda fall för att besvara en vederbörligen motiverad förfrågan (request i den engelska versionen av direktivet) från en be- hörig myndighet om att tillhandahålla och behandla PNR-uppgifter i ett specifikt fall. Förfrågan ska bygga på tillräckliga skäl och vara ställd i syfte att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrott eller grov brottslighet. Resultatet av en sådan behand- ling av PNR-uppgifter ska enligt bestämmelsen lämnas till de be- höriga myndigheterna eller, när så är lämpligt, till Europol. Av andra bestämmelser i direktivet framgår att enheten för passa- gerarinformation under vissa förutsättningar även ska besvara för- frågningar från andra än behöriga myndigheter om att få ta del av sådana PNR-uppgifter som lagras vid enheten. Sådana förfrågningar kan komma från andra medlemsstaters enheter för passagerarinfor- mation (artikel 9.2), myndigheter som har utsetts till behöriga i andra medlemsstater (artikel 9.4), Europol (artikel 10.2) och tredjeländer (artikel 11.2). Bestämmelsen i artikel 6.2 b bör genomföras på så sätt att det av bestämmelsen framgår att PNR-uppgifter som överförts från luft- trafikföretagen får behandlas för att besvara en begäran från samt- liga mottagare som enligt direktivet är behöriga att motta PNR- 5 KOM (2011) 32 slutlig av , s. 5 f. Behandling av PNR-uppgifter vid enheten för passagerarinformation uppgifter från enheten för passagerarinformation och för att tillhandahålla dessa mottagare resultatet av sådan behandling. Detta kan lösas genom att det i lagen hänvisas till behöriga mottagare i stället för endast behöriga myndigheter och Europol. Vidare bör framgå att PNR-uppgifter får behandlas av enheten för att den på eget initiativ ska överföra uppgifter till andra medlemsstater enligt artikel 9.1. De närmare förutsättningarna som anges i artikel 6.2 b och i artikel 9 bör dock inte framgå av ändamålsbestämmelsen utan genomföras i andra bestämmelser i lagen och som vi behandlar i avsnitt 15. Enligt artikel 11 i direktivet får i vissa fall PNR-uppgifter be- handlas genom att överföras till tredjeland. Även detta bör framgå i lagens ändamålsbestämmelse. Förutsättningarna för överföring till tredjeland behandlar vi i avsnitt 17. 13.2.4PNR-uppgifterna får behandlas för att utforma kriterier Vårt förslag: Från lufttrafikföretag insamlade PNR-uppgifter får analyseras för att uppdatera eller skapa nya kriterier som ska an- vändas vid förhandsbedömningarna. Som har angetts ska de på förhand fastställda kriterierna regel- bundet ses över av enheterna för passagerarinformation i samarbete med behöriga myndigheter. De PNR-uppgifter som har samlats in från lufttrafikföretagen och finns lagrade i databasen vid enheten för passagerarinformation får således även användas för att uppdatera riskprofilerna eller skapa nya sådana. Det är därmed möjligt för per- sonalen inom enheten att gå igenom de PNR-uppgifter som finns samlade i databasen för att leta efter mönster som kan indikera att personer kan vara av intresse för vidare kontroller. PNR-uppgifterna kan på detta sätt användas för att förbättra urvalet av de passagerare som kan komma att vara intressanta för vidare granskning. Detta framgår av artikel 6.2 c. Enligt vår mening bör även denna ändamålsbestämmelse föras in i lagen. Det bör här framgå att PNR-uppgifter får analyseras för att uppdatera eller skapa nya kriterier som ska användas vid förhands- bedömningarna. Behandling av PNR-uppgifter vid enheten för passagerarinformation 13.2.5PNR-information som tas emot från andra medlemsstaters enheter för passagerarinformation Vårt förslag: PNR-information som enheten för passagerar- information mottar från motsvarande enheter i andra medlems- stater får endast behandlas i syfte att vidarebefordra uppgifterna till behöriga myndigheter för fortsatt användning för ett eller flera av syftena att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller grov brottslighet. En enhet för passagerarinformation som vid sin förhandsbedömning av passagerare har identifierat en person kan i vissa fall överföra PNR-informationen om denna person inte bara till en myndighet som har utsetts till behörig i det egna landet utan även till en motsva- rande enhet i en annan medlemsstat. Detta framgår av artikel 9.1 och behandlas närmare i avsnitt 15.3.2. Vår enhet för passagerarinfor- mation kommer således inte bara att behandla PNR-uppgifter som har kommit in från lufttrafikföretagen till den egna databasen, utan kommer därutöver också att motta och behandla PNR-information från andra medlemsstaters motsvarande enheter. Enligt artikel 9.1 ska den mottagande enheten överföra de på detta sätt mottagna uppgifterna till sina behöriga myndigheter. De uppgifter som över- förs från andra länders enheter för passagerarinformation ska således lämnas vidare från enheten till de nationella behöriga myndigheter- na, och inte bevaras vid enheten för passagerarinformation. Vidare kommer enheten för passagerarinformation att motta PNR-information från andra medlemsstaters enheter för passagerar- information som svar på sådana förfrågningar som enheten ställt till den andra enheten (artikel 9.2). Det framgår dock inte av direktivet vad enheten ska göra med denna information. Enligt vår bedömning bör enheten för passagerarinformation uppfattas som en förmedlare av PNR-information och inte som en slutlig destinationsinstans när det gäller det internationella utbytet av PNR-information. Således ska PNR-information som finns sparad i databaser vid andra med- lemsstaters enheter för passagerarinformation endast hämtas in när det är tillåtet enligt direktivet och därefter föras vidare till behöriga myndigheter. PNR-information kan därmed, enligt vår bedömning, inte hämtas in från andra medlemsstater för att enheten för passage- rarinformation ska kunna verifiera sin egen databas eller finslipa Behandling av PNR-uppgifter vid enheten för passagerarinformation Den PNR-information som hämtas in med stöd av bestämmelserna ska således, enligt vår bedömning, inte bevaras hos enheten, i vart fall inte . Den frågan återkommer vi till i avsnitt 18 om gallring. Den behandling som ska ske av PNR-information som mottagits från andra medlemsstater ska således syfta till att uppgifterna ska föras vidare till behöriga myndigheter för användning för något av de syften som framgår av artikel 1.2 i direktivet. Detta bör enligt vår mening komma till klart uttryck i lagen. Vi föreslår således en bestämmelse som anger att den PNR-information som enheten för passagerarinformation mottar från motsvarande enheter i andra med- lemsstater endast får behandlas i syfte att överföra informationen till behöriga myndigheter för att där komma till användning i verk- samhet för att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller grov brottslighet. Det finns dock inget som hindrar enheten från att inte överföra all denna information, för det fall enheten skulle bedöma den totalt onödig för de behöriga myn- digheterna. Hur enheten i övrigt ska gå till väga vid överlämnandet av PNR-information till behöriga myndigheter behandlas i av- snitt 15.2.2. Våra förslag: En bestämmelse förs in i lagen som anger att vissa PNR-uppgifter ska maskeras efter mottagandet från lufttrafikföretagen. Dessa uppgifter räknas upp i lagen och mot- svarar artikel 12.2 i direktivet. Vidare ska det föras in definitioner i lagen som anger att –med maskering ska förstås en åtgärd som innebär att tillgäng- liga uppgifter som direkt kan hänföras till en fysisk person görs osynliga för en användare av ett informationssystem som sak- nar särskild behörighet för åtkomst till uppgifterna, Behandling av PNR-uppgifter vid enheten för passagerarinformation –med maskerade PNR-uppgifter avses personuppgifter som genomgått en maskering, och –med avmaskerade PNR-uppgifter avses fullständiga flygpassa- geraruppgifter där personuppgifter tidigare genomgått en maskering. Enligt direktivets artikel 12.2 ska PNR-uppgifterna i PNR-databasen avidentifieras genom maskering efter en inledande sexmånadersperiod. Med avidentifiering genom maskering av uppgifter menas, enligt direktivets definition i artikel 3.10, att göra de uppgifter som kan användas för att identifiera den registrerade osynliga för en användare. Av artikel 12.2 framgår således att vid utgången av en period efter överföringen från lufttrafikföretagen ska PNR- uppgifterna avidentifieras genom maskering av vissa särskilt uppräk- nade uppgifter som kan användas för att identifiera de passagerare som PNR uppgifterna avser. I artikelns uppräkning ingår a)namn, inklusive namn på andra passagerare i PNR samt antal passagerare i PNR som reser tillsammans, b)adress och kontaktuppgifter, c)alla former av betalningsinformation, inbegripet faktureringsadress om denna innehåller uppgift som kan användas för att identifiera den passagerare som personuppgiftssamlingar avser eller andra personer, d)uppgifter om bonusprogram, e)allmänna anmärkningar, om dessa innehåller uppgifter som kan användas för att identifiera den passagerare som per- sonuppgiftssamlingar avser, samt f)alla API-uppgifter som samlats in. Behandling av PNR-uppgifter vid enheten för passagerarinformation 13.3.2Våra överväganden och förslag Av direktivets skäl 25 framgår att syftet med maskering av PNR- uppgifter som direkt identifierar en person är att en oproportioner- lig användning av uppgifterna ska undvikas. Tanken torde vara att efter hand som tiden går efter det att det är aktuellt att göra en förhandsbedömning av passagerare, minskar behovet av till- gång till direkt utpekande personuppgifter om passagerare. Efter så som torde det i huvudsak endast vara vid undersökningar på särskild förfrågan som tillgång till sådana uppgifter om passagerare kan vara av intresse. Artikel 12.2 är en bestämmelse som enligt vår uppfattning måste genomföras genom författningsreglering. Den har en central ställning och bör därför genomföras i den nya lagen. I den svenska översättningen av direktivet används begreppet av- identifiering genom maskering för att beskriva denna ordning. Med avidentifierade data avses dock i andra lagstiftningar och i andra sammanhang att kopplingen mellan uppgifterna och en fysisk per- son har eliminerats. I PNR-direktivet är inte tanken att kopplingen mellan PNR-uppgifterna och den fysiska personen ska brytas. Under vissa förutsättningar ska nämligen de fullständiga uppgifterna kunna plockas fram. Regleringen i direktivet avser i stället att direkt utpe- kande personuppgifter ska göras osynliga för en användare. Ordet avidentifiering bör därför undvikas i lagförslaget. Ordet maskering är ett tämligen ovanligt begrepp i lagstiftnings- sammanhang. I artikel 4 i dataskyddsförordningen definieras det till synes näraliggande begreppet pseudonymisering. Vi har övervägt om det vore ett ord som lämpligen borde användas i stället för maskering. Begreppet pseudonymisering definieras emellertid i förordningen med att det avser ”behandling av personuppgifter på ett sätt som innebär att personuppgifterna kan tillskrivas en specifik registrerad utan att kompletterande uppgifter används, under för- utsättning att dessa kompletterande uppgifter förvaras separat och är föremål för tekniska och organisatoriska åtgärder som säkerställer att personuppgifterna inte tillskrivs en identifierad eller identifier- bar fysisk person”. Enligt vår mening kommer det beträffande det som kallas maskerade PNR-uppgifter i direktivet att brista i den förutsättning i dataskyddsförordningen som kräver separat förvaring. Det som avses ske med PNR-uppgifterna är i stället, i praktiken, Behandling av PNR-uppgifter vid enheten för passagerarinformation att behörigheten för åtkomst eller tillgång till de direkt identi- fierande uppgifterna ska snävas in så att en vanlig befattningshavare vid enheten för passagerarinformation som dittills haft tillgång till fullständiga uppgifter, inte längre kommer att ha det. Begreppet pseudonymiserade PNR-uppgifter bör således inte användas i den nya lagen. Vi bedömer det i stället som lämpligast att använda samma be- grepp som i direktivet, dvs. Ordet förekommer redan i författningstext, nämligen i lagen (2005:900) om förbud mot maske- ring i vissa fall. Den lagen innehåller förbud att i vissa sammanhang, t.ex. en demonstration, helt eller delvis täcka för ansiktet på ett sätt som försvårar identifikation. Att ordet förekommer i ett annat slags sammanhang med en annorlunda innebörd utgör enligt vår mening inget hinder mot att vi använder ordet i den nya lagen för att genom- föra direktivets bestämmelse om den åtgärd som avses där. Detta gäller särskilt eftersom användningsområdena i den nyssnämnda lagen och den av oss föreslagna nya lagen är så pass åtskilda att risken för missuppfattningar om innebörden av ordet i den ena eller andra lagen inte torde kunna uppstå. Vi föreslår således en bestämmelse om att PNR-uppgifter ska maskeras efter mottagandet från lufttrafikföretagen. Med maskering ska förstås en åtgärd som innebär att tillgängliga uppgifter som direkt kan hänföras till en fysisk person görs osynliga för en användare av ett informationssystem som saknar särskild be- hörighet för åtkomst till uppgifterna. Detta föreslår vi ska definieras i lagen. Vi föreslår också att det i lagen definieras att med maskerade PNR-uppgifter avses personuppgifter som genomgått en maske- ring samt att med avmaskerade PNR-uppgifter avses fullständiga flygpassageraruppgifter där personuppgifter tidigare genomgått en maskering.