sou · H5B357 · 2017-06-22 00:00:00 — However, this requires that API data processed under the Act is kept separate from the API data transferred from air under the new Act, that it is always clear which purpose and under which regulatory framework API data is processed, and that it is ensured that the differences in the regulatory frameworks con- cerning access to data, for example, are monitored. Significance of the PNR Directive for the existing regulations Implementation of the Directive will also have an effect on the existing regulations. We therefore propose that the Act (1984:387), the Customs Act (2016:253) and the Act on the powers of Swedish Customs at ’s borders with other European Union countries (1996:701) (the Internal Borders Act) include pro- visions requiring that obligations on air under these acts to transfer booking data to the Swedish Authority, the Customs should not apply when the Act on air passenger data in law enforcement is applicable. agencies and tour operators In a declaration adopted at the same time as the PNR Directive, the Member States stated that they, in accordance with their national legislation and subject to parliamentary processing in certain Member States, undertake to expand the collection of PNR data to also apply to actors that are not air . Examples given in the declaration include agencies and tour operators that offer travel-related services. The declaration gives no time limit for when this should be implemented in national legislation. In our view, agencies and tour operators are already covered by the system for collecting PNR data as they transfer PNR data to air for further transfer to the passenger information unit. We consider that further expansions of this system should be deferred until further notice. However, the issue should be monitored and possibly investigated further. The proposals would mean more PNR data concerning individual air passengers being collected for law enforcement purposes, which we consider would have a positive impact on law enforcement efforts. The proposals also mean that protection of personal privacy would be guaranteed in the competent law enforcement authorities’ pro- cessing of data. The proposals will add a burden in terms of work and costs for air . However, we do not consider that their competitiveness will be affected to any great extent. In addition, the proposals would mean increased costs for the Swedish Authority linked to the of a passenger information unit and the running of such a unit. However, the economic consequences for the Swedish Authority and other relevant authorities are deemed to fall within the existing economic framework. It is proposed that the new Act enter into force on 25 2018. lag (2018:000) om flygpassageraruppgifter i brottsbekämpningen Härigenom föreskrivs följande. 1 kap. Allmänna bestämmelser 1 § Denna lag innehåller bestämmelser om lufttrafikföretags över- föring av PNR-uppgifter till enheten för passagerarinformation och om behandlingen av PNR-uppgifter i verksamhet för att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller grov brottslighet. Genom denna lag genomförs och rådets direktiv (EU) 2016/681 av om användning av passa- geraruppgiftssamlingar (PNR-uppgifter) för att förebygga, förhind- ra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet (PNR-direktivet). 2 § Syftet med lagen är att tillgodose behovet av tillgång till PNR- uppgifter i verksamhet för att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller grov brottslighet och att skydda människor mot att deras personliga integritet kränks vid behand- ling av uppgifter om dem. 3 § I denna lag används följande uttryck med nedan angiven betydelse. uppgifter (PNR-uppgifter) där gått en maskering. En behörig myndighet, en en- en annan medlemsstat, en myn- dighet som har utsetts som behö- rig i en annan medlemsstat eller En sådan av regeringen utsedd myndighet som har behörighet att behandla PNR-information i förhindra, upptäcka, utreda eller En sammanställning av upp- gifter om varje enskild passage- rare som gör det möjligt för det lufttrafikföretag som sköter bok- lufttrafikföretag att behandla och De brott som anges i bilaga II till PNR-direktivet och för vilka det i nationell rätt i eller andra medlemsstater är föreskri- Ett lufttrafikföretag med giltig operativ licens eller motsvarande som ger rätt att mot vederlag utföra lufttransporter av passa- verksamhet samlar och hanterar gått en maskering. Åtgärd som innebär att till- gängliga uppgifter som direkt kan hänföras till en fysisk person görs osynliga för en användare av ett särskild behörighet för tillgång En stat som är medlem i EU, med undantag för . Alla personer, förutom besätt- ningsmedlemmar, som transpor- teras eller ska transporteras med ett flygplan och som finns upp- tagna i passagerarförteckningen. av en enhet för passagerarinfor- mations behandling av sådana samlas för hantering av reserva- De brott enligt nationell rätt i eller andra medlems- stater som avses i artiklarna 1–4 i rådets rambeslut /475/RIF pande av terrorism. En stat som inte är en med- 4 § Det ska hos finnas en enhet för passagerar- information. Enheten ska ansvara för att 1.samla in PNR-uppgifter från lufttrafikföretag, lagra och be- handla dessa uppgifter och överföra PNR-information till behöriga myndigheter, och 2.utbyta PNR-information med andra behöriga mottagare. Otillåten behandling av PNR-information 5 § PNR-uppgifter som har överförts från lufttrafikföretag enligt denna lag eller föreskrifter som meddelats i anslutning till lagen och resultatet av enheten för passagerarinformations behandling av så- dana uppgifter får inte behandlas för andra syften än att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller grov brottslighet, om inte annat anges i denna lag. Detsamma ska gälla PNR-information som har mottagits från en annan medlemsstat och som där samlats in och behandlats av en enhet för passagerarinforma- tion enligt den nationella reglering som genomfört PNR-direktivet. Förbud mot behandling av känsliga personuppgifter 6 § PNR-uppgifter som utgör sådana personuppgifter som avses i 2 kap. 11 § brottsdatalagen (2018:000)1 får inte behandlas enligt denna lag. 2 kap. Lufttrafikföretagens skyldigheter Överföring av PNR-uppgifter till enheten för passagerarinformation 1 § Lufttrafikföretag ska inför varje flygning ankommande till eller avgående från överföra samtliga de PNR-uppgifter som anges i bilagan till denna lag till enheten för passagerarinformation. 1 Med hänvisningen avses förslaget till ramlag i SOU 2017:29. uppgifterna ska dock endast överföras i de fall lufttrafikföretagen samlar in uppgifterna som en del av sin normala verksamhet. Om flygningens linjebeteckning delas med ett eller flera andra lufttrafikföretag, ska det lufttrafikföretag som utför flygningen över- föra PNR-uppgifter om samtliga passagerare. 2§ PNR-uppgifterna ska överföras 1.24–före flygningens avgång, och 2.omedelbart efter det att gatens dörrar har stängts. Överföringar enligt första stycket 2 får begränsas till uppdate- ringar och kompletteringar av de uppgifter som överförts som avses i första stycket 1. 3 § När det i ett enskilt fall är nödvändigt med tillgång till PNR- uppgifter för att avvärja en specifik och faktisk fara med anknyt- ning till terroristbrottslighet eller grov brottslighet, ska lufttrafik- företag på begäran av enheten för passagerarinformation överföra PNR-uppgifter även än de som anges i 2 §. 4 § Lufttrafikföretagen ska överföra PNR-uppgifterna i elektronisk form. får inte medges direktåt- komst till lufttrafikföretagens uppgiftssamlingar med PNR-uppgifter. 5 § Den som är skyldig att överföra uppgifter enligt denna lag får anlita ett personuppgiftsbiträde för att utföra överföringen. 6 § Lufttrafikföretag ska informera passagerare om överföringen av PNR-uppgifter till enheten för passagerarinformation och om skälen till överföringen. 7 § Ett lufttrafikföretag som inte har överfört PNR-uppgifter en- ligt bestämmelserna i denna lag eller föreskrifter som utfärdats i an- slutning till lagen ska betala en sanktionsavgift. 8 § Sanktionsavgiften ska för varje flygning som har utförts utan att lufttrafikföretaget har fullgjort sin överföringsskyldighet bestäm- mas till och högst . Sanktionsavgiften får sättas ned helt eller delvis om överträdel- sen är ursäktlig eller om det annars med hänsyn till omständigheter- na skulle vara oskäligt att ta ut avgiften. 9 § beslutar om sanktionsavgift för lufttrafik- företag enligt denna lag. Sanktionsavgiften tillfaller staten. 10 § Sanktionsavgift får endast beslutas om den som avgiften ska tas ut av har fått tillfälle att yttra sig från den dag då över- trädelsen ägde rum. 11 § beslut om sanktionsavgift överklagas till allmän förvaltningsdomstol. Prövningstillstånd krävs vid överklagande till kammarrätten. 12 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om luft- trafikföretagens överföring av PNR-uppgifter till enheten för passa- gerarinformation samt om handläggningen av beslut om och verk- ställighet av sanktionsavgifter. 3 kap. Behandling av PNR-information vid enheten för passagerarinformation 1 § PNR-uppgifter som överförts från lufttrafikföretag ska lagras i en databas vid enheten för passagerarinformation. 2 § är personuppgiftsansvarig för den behandling av personuppgifter som utförs vid enheten för passagerarinformation. 3 § behandling av PNR-uppgifter får inte ske utanför medlemsstaternas territorium. 4 § får endast behandla PNR- uppgifter som anges i 1 § för följande ändamål: 1.Göra en förhandsbedömning av passagerare före deras be- räknade ankomst till eller avresa från , för att välja ut perso- ner som behöver utredas ytterligare av behöriga myndigheter eller Europol, på grund av att dessa personer kan vara inblandade i ter- roristbrottslighet eller grov brottslighet. 2.I enskilda fall fullgöra sina uppgifter enligt 4 kap. att överföra PNR-information på eget initiativ eller för att besvara en begäran från en behörig mottagare. 3.Göra analyser för att uppdatera eller skapa nya kriterier som anges i 5 § 2. Av 6 kap. framgår att PNR-uppgifter i vissa fall även får över- föras till mottagare i tredjeland. 5 § Vid förhandsbedömning enligt 4 § första stycket 1 får PNR- uppgifter 1.jämföras med register eller andra uppgiftssamlingar som är rele- vanta för ett eller flera av de syften som anges i 1 kap. 5 §, eller 2.behandlas enligt på förhand utformade och fastställda kriterier som är riktade, proportionella och avgränsade och som inte grun- das på sådana personuppgifter som avses i 2 kap. 11 § brottsdata- lagen (2018:000). 6 § PNR-information som enheten för passagerarinformation mot- tagit från motsvarande enheter i andra medlemsstater får endast be- handlas för att vidarebefordra uppgifterna till behöriga myndigheter för fortsatt användning för ett eller flera av de syften som anges i 1 kap. 5 §. 7 § Endast den som tjänstgör vid enheten för passagerarinformation får ha tillgång till PNR-information som behandlas vid enheten. Till- gången ska begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter vid enheten. 8 § Direktåtkomst till PNR-information som behandlas vid en- heten för passagerarinformation får inte tillåtas. Bevarande och gallring av PNR-uppgifter 9 § PNR-uppgifter som lagras i databasen för PNR-uppgifter ska bevaras där från det att de kommit in från ett lufttrafik- företag. Därefter ska de gallras genom att raderas. 10 § PNR-uppgifter som utgör sådana personuppgifter som avses i 2 kap. 11 § brottsdatalagen (2018:000) ska genast gallras genom att raderas, om de kommer in till enheten för passagerarinformation. 11 § Följande PNR-uppgifter ska maskeras i databasen för PNR- uppgifter efter att de kommit in från lufttrafikföre- tagen: 1.Alla namn på passagerare. 2.Antal passagerare som reser tillsammans. 3.Adress och kontaktuppgifter. 4.Alla former av betalningsinformation, inklusive fakturerings- adress, om informationen innehåller uppgifter som kan användas för att direkt identifiera en person. 5.Uppgifter om bonusprogram. 6.Allmänna anmärkningar, om dessa innehåller uppgifter som kan användas för att direkt identifiera en passagerare. 12 § ska utse ett dataskyddsombud för enheten för passagerarinformation. Dataskyddsombudet ska ha tillgång till alla uppgifter som behand- las vid enheten. 13 § Utöver de uppgifter som anges i 3 kap. 14 § brottsdatalagen (2018:000) ska dataskyddsombudet vid enheten för passagerarinfor- mation ansvara för genomförandet av relevanta skyddsåtgärder. Enskilda ska ha rätt att kontakta dataskyddsombudet i egenskap av enda kontaktpunkt i alla frågor som gäller behandling enligt denna lag av PNR-uppgifter om denne. 14 § Om dataskyddsombudet anser att enheten för passagerarinfor- mation bryter mot bestämmelser för behandling av PNR-uppgifter, ska han eller hon anmäla det till tillsynsmyndigheten. 15 § Regeringen eller den myndighet regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om 1.utformande av kriterier, 2.tillgång till PNR-information, 4.bevarande och gallring, 5.dokumentation och loggning, 6.information till dataskyddsombud, och 7.enheten för passagerarinformations inhämtande av PNR- information från andra medlemsstater. Överföring av PNR-information från enheten för passagerarinformation Överföring till behöriga myndigheter 1 § ska i enskilda fall lämna PNR- information till en eller flera behöriga myndigheter för att 1.en vidare granskning ska ske av PNR-information rörande passagerare som valts ut vid en förhandsbedömning enligt 3 kap. 4 § första stycket 1, 2.besvara en motiverad begäran från en behörig myndighet om att tillhandahålla och behandla PNR-uppgifter för ett eller flera av de syften som anges i 1 kap. 5 § och tillhandahålla resultaten av sådan behandling, eller 3.vidarebefordra PNR-information som har mottagits från en motsvarande enhet i en annan medlemsstat. En befattningshavare vid enheten ska ha gjort en bedömning av PNR-informationen innan den lämnas från enheten. Överföring till andra medlemsstater 2 § ska till en motsvarande enhet i en annan medlemsstat överföra sådan PNR-information som be- handlats för ändamålet förhandsbedömning enligt 3 kap. 4 § första stycket 1 och som bedömts relevant och nödvändig för vidare gransk- ning i den andra medlemsstaten. 3 § ska be- svara en motiverad begäran från en motsvarande enhet i en annan medlemsstat och överföra lagrade PNR-uppgifter och resultatet av en eventuell behandling enligt 3 kap. 4 § första stycket 1 av dessa upp- gifter dit. 4 § Endast när det i ett enskilt brådskande fall är absolut nödvän- digt ska enheten för passagerarinformation besvara en motiverad begäran från en myndighet som har utsetts som behörig i en annan medlemsstat och överföra PNR-uppgifter och resultatet av en even- tuell behandling enligt 3 kap. 4 § första stycket 1 av dessa uppgifter direkt till den myndigheten. 5 § När det i ett enskilt fall är nödvändigt med tillgång till PNR- uppgifter för att avvärja en specifik och faktisk fara med anknyt- ning till terroristbrottslighet eller grov brottslighet, ska enheten för passagerarinformation på begäran av en motsvarande enhet i en annan medlemsstat inhämta PNR-uppgifter i enlighet med 2 kap. 3 § och överföra dessa till den begärande enheten. 6 § ska besvara en motiverad begäran från Europol och överföra PNR-information dit. Överföring av avmaskerade PNR-uppgifter 7 § Avmaskerade PNR-uppgifter får lämnas från enheten för passa- gerarinformation till behöriga mottagare eller till ett tredjeland en- dast om det rimligen kan antas vara nödvändigt för ändamålet att besvara en sådan begäran som anges i 1 § första stycket 2, 3, 4 eller 6 §§ detta kapitel eller 6 kap. 1 §. Dessutom krävs sådant beslut eller tillstånd som anges i 8 eller 9 §. 8 § Om förundersökning pågår ska en begäran från en behörig myn- dighet om att få tillgång till avmaskerade PNR-uppgifter ha beslu- tats av allmän åklagare. 9 § I de fall som inte omfattas av 8 § krävs att tillstånd till över- föringen har lämnats av . Myndighetschefen får delegera rätten att besluta om tillstånd till en annan anställd vid myndigheten som har den särskilda kompetens, utbildning och erfarenhet som behövs. Den som har fått rätten att fatta beslut får inte arbeta vid en- heten för passagerarinformation eller fatta beslut om överföring till sådan verksamhet som han eller hon deltar i. Behöriga myndigheters behandling av PNR-information 1 § En behörig myndighet som mottagit PNR-information enligt 4 kap. 1 § första stycket 1 ska genast gallra informationen genom att den raderas, om den visar sig sakna betydelse för något av de syften som anges i 1 kap. 5 §. 2 § För det fall en behörig myndighet mottar PNR-uppgifter som utgör sådana personuppgifter som avses i 2 kap. 11 § brottsdata- lagen (2018:000) ska de uppgifterna genast gallras genom att raderas. Annan behandling av PNR-information 3 § Om det har kommit fram uppgifter om annat brott än terrorist- brottslighet eller grov brottslighet i samband med en behörig myn- dighets insats som görs till följd av behandling av PNR-information, får informationen, utöver vad som anges i 1 kap. 5 §, användas för att förhindra, utreda eller lagföra brottet. 4 § Ett beslut som har rättsliga följder för en fysisk person eller annars i betydande grad påverkar honom eller henne får inte enbart grun- das på en automatiserad behandling av PNR-uppgifter eller uppgifter som avses i 2 kap. 11 § brottsdatalagen (2018:000). 5 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela bestämmelser om behöriga myndigheters inhämtande och behandling av PNR-infor- mation. 1 § får överföra PNR-informa- tion till en myndighet i ett tredjeland som där är behörig att bedriva verksamhet som motsvarar ett eller flera av de syften som anges i 1 kap. 5 §. PNR-informationen får dock endast överföras om 1.förutsättningarna i 8 kap. 1 § första stycket 3 och 2 § första stycket brottsdatalagen (2018:000), 4 kap. 3 och 7 §§ samt 2 § detta kapitel är uppfyllda, 2.överföringen är nödvändig för ett eller flera av de syften som anges i 1 kap. 5 §, och 3.det tredjelandet godtar att vidareöverföra uppgifterna till ett annat tredjeland endast om det är absolut nödvändigt för ett eller flera av de syften som anges i 1 kap. 5 § och enheten för passagerar- information har lämnat ett uttryckligt medgivande till vidareöver- föringen. 2 § Om medgivande till överföring på grund av tidsbrist inte kan hämtas in i förväg från en medlemsstat som har lämnat PNR-infor- mation till enheten för passagerarinformation, får, i stället för vad som anges i 8 kap. 2 § andra stycket brottsdatalagen (2018:000), in- formationen ändå överföras om det är absolut nödvändigt för att avvärja en specifik och faktisk fara med anknytning till terrorist- brottslighet eller grov brottslighet. 3 § När enheten för passagerarinformation överför PNR-informa- tion till ett tredjeland ska vad som anges i 8 kap. 8 § brottsdatalagen (2018:000) inte gälla. 4 § Regeringen eller den myndighet regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela närmare föreskrifter om 1.information till annan medlemsstat när personuppgifter över- förts utan förhandsmedgivande enligt 2 §, och 2.uppställande av villkor om användningsbegränsning av PNR- information som överförts till ett tredjeland. 7 kap. Övriga bestämmelser 1 § Vad som anges i 4 kap. 10 § brottsdatalagen (2018:000) om regi- strerads rätt till radering eller begränsning av behandling av person- uppgifter ska tillämpas vid behandling i strid mot 1.1 kap. 5 §, 2.1 kap. 6 §, eller 3.3 kap. 9 §. Det framgår av 7 kap. 2 § brottsdatalagen att beslut enligt 4 kap. 10 § brottsdatalagen kan överklagas. 2 § Bestämmelsen i 7 kap. 1 § brottsdatalagen (2018:000) om skade- stånd ska tillämpas på motsvarande sätt vid behandling i strid med bestämmelser till skydd för personuppgifter i denna lag eller för- ordning som har meddelats i anslutning till den. 3 § Tillsyn över personuppgiftsbehandling enligt denna lag ska ut- föras av tillsynsmyndigheten enligt brottsdatalagen (2018:000) och i enlighet med bestämmelserna om tillsyn i den lagen. Sanktionsavgifter vid överträdelser av enheten för passagerarinformation eller en behörig myndighet 4 § Sanktionsavgift får tas ut av den personuppgiftsansvariga myn- digheten vid överträdelse av bestämmelserna i 1.1 kap. 5 eller 6 §, 2.3 kap. 3–11 §§, 3.4 kap. 7–9 §§, 4.5 kap. 1, 2 eller 4 §§, eller 5.6 kap. 1 eller 2 §§. 5 § Vad som sägs i 6 kap. 3 § tredje stycket och 4–8 §§ brottsdata- lagen (2018:000) ska gälla även vid uttagande av sanktionsavgift en- ligt 4 §. Sanktionsavgiften ska vara och högst . Det framgår av 7 kap. 4 § brottsdatalagen att tillsynsmyndig- hetens beslut om sanktionsavgift kan överklagas. PNR-uppgifter som enligt 2 kap. 1 § ska föras över från lufttrafik- företag till enheten för passagerarinformation: 2.Datum för bokning/utfärdande av biljett. 3.Planerat eller planerade resedatum. 5.Adress och kontaktuppgifter (telefonnummer och e-postadress). 6.All betalningsinformation, inklusive faktureringsadress. 8.Uppgifter om bonusprogram. 9.Resebyrå/reseagent. 10.Passagerarens resestatus, inklusive resebekräftelser, incheck- ningsstatus, upplysningar om passagerare som inte infinner sig (no show) och passagerare utan bokning (go show). 12.Allmänna anmärkningar, inklusive alla tillgängliga uppgifter om ensamresande barn , såsom namn, kön, ålder, språk- kunskaper, namn och kontaktuppgifter för den person som följer barnet till incheckning för avresan och denna persons förhållande till barnet, namn och kontaktuppgifter för den person som hämtar barnet vid ankomsten och denna persons förhållande till barnet samt flygplatspersonal som ledsagar barnet vid avresan respektive an- komsten. 13.Biljettinformation, inklusive biljettnummer, datum för utfär- dande av biljetten, enkelbiljetter och automatisk biljettprisuppgift. 14.Platsnummer och annan platsinformation. 15.Information om gemensam linjebeteckning. 17.Antal medresenärer i PNR-uppgifterna och deras namn. 18.All eventuell förhandsinformation (API-uppgifter) som har samlats in, inklusive typ av identitetshandling, identitetshandlingens nummer, utfärdandeland, och sista giltighetsdag, nationalitet, efter- namn, förnamn, kön, födelsedatum, lufttrafikföretag, flygnummer, utresedatum, ankomstdatum, avreseflygplats, ankomstflygplats, av- resetid och ankomsttid. 19.Alla ändringar som har gjorts av de PNR-uppgifter som anges ipunkterna 1–18. Denna lag träder i kraft . förordning (2018:000) om flygpassageraruppgifter i brottsbekämpningen 1 kap. Allmänna bestämmelser 1 § Denna förordning innehåller kompletterande bestämmelser till lagen (2018:000) om flygpassageraruppgifter i brottsbekämpningen. 2 § Uttryck som används i denna förordning har samma innebörd och tillämpningsområde som i lagen (2018:000) om flygpassagerar- uppgifter i brottsbekämpningen. 2 kap. Lufttrafikföretagens skyldigheter Överföring av PNR-uppgifter till enheten för passagerarinformation 1 § Lufttrafikföretagen ska överföra PNR-uppgifter i enlighet med artikel 1 i kommissionens genomförandebeslut (EU) 2017/759 av om gemensamma protokoll och dataformat som ska användas av lufttrafikföretag när PNR-uppgifter överförs till en- heterna för passagerarinformation. Vid eventuella tekniska problem får överföringen ske på annat lämpligt sätt som säkerställer ett tillfredsställande skydd för upp- gifterna.