sou · H5B357 · 2017-06-22 00:00:00 — Regleringen av lufttrafikföretagens skyldigheter skulle vida- re kunna tas in i luftfartslagen (2010:500) eller lagen (2010:510) om lufttransporter. Vår bedömning är dock att en sådan uppsplittrad lagteknisk lös- ning skulle vara komplicerad, oöverskådlig och kräva korshänvis- ningar som skulle göra tillämpningen besvärlig. Övervägande skäl talar i stället, enligt vår mening, för att direktivet i huvudsak bör in- föras i svensk rätt genom en samlad ny lag. Genom en sådan lösning kommer en överskådlig reglering av området för PNR-uppgifter att tillskapas. Dessutom framstår en samlad ny reglering för stunden som den mest praktiska lagtekniska lösningen med tanke på den pågå- ende dataskyddsreformen och därav följande oklarhet om utform- ningen av den kommande regleringen på området. Vårt förslag: Till den nya lagen ska det införas en anslutande för- ordning. Centrala bestämmelser i direktivet ska finnas i lagen. Bestämmelser i frågor av mindre vikt för enskilda intressen och närmare bestämmelser rörande hanteringen av PNR-uppgifter m.m. ska tas in i förordningen. Utgångspunkter och inledande ställningstaganden Införandet av PNR-direktivet medför att uppgifter som ett luft- trafikföretag innehar om sina passagerare på flygningar till eller från EU ska överföras till enheten för passagerarinformation i det land dit flygningen kommer att ankomma eller i det land varifrån flyg- ningen kommer att avgå. Enligt den överenskommelse som med- lemsstaterna har ingått, och som ska börja gälla senast när direktivet ska vara genomfört i nationell rätt, ska direktivet även tillämpas på flygningar inom EU. Med hänsyn till den stora mängden flygresor som genomförs är det fråga om ett mycket stort antal PNR- uppgifter som ska överföras. uppgick antalet ankom- mande och avresande utrikespassagerare endast på de svenska flyg- platserna till 27 miljoner, varav 20,3 miljoner reste till eller från andra EU-länder. Antalet flygpassagerare ökar ständigt och 2016 var an- talet utrikespassagerare på de svenska flygplatserna 28,6 miljoner, varav 22 miljoner reste till eller från andra EU-länder.1 PNR-uppgifterna ska enligt direktivet lagras vid en nationell en- het för passagerarinformation, analyseras och gallras . Det kan förmodas att endast en mycket liten andel av uppgifterna kommer att bedömas ha samband med sådan brottslighet som faller under direktivet och därför kommer att överföras till behöriga myn- digheter eller till andra länders enheter för passagerarinformation eller Europol. Det stora flertalet uppgifter som kommer att lagras vid enheterna avser alltså resenärer som inte på något sätt är inblan- dade i någon brottslighet. Enligt 2 kap. 6 § RF är enskilda skyddade gentemot det allmänna mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär kartläggning eller övervakning av per- sonliga förhållanden. Inskränkningar i detta skydd kan enbart ske i lag och bara för att tillgodose ändamål som är godtagbara i ett demo- kratiskt samhälle (2 kap. 20 och 21 §§ RF). Det har i flera lagstift- ningsärenden som rört myndigheters personuppgiftsbehandling fram- hållits att målsättningen bör vara att myndighetsregister med ett stort antal registrerade och särskilt känsligt innehåll ska regleras särskilt i lag (se t.ex. bet. 1990/91:KU11 s. 11 och 1997/98:KU18 s. 43). 1 Enligt Transportstyrelsens statistikuppgifter. Observera dock att alla resande inom EU inte nödvändigtvis har ett EU-land som slutdestination. Statistiken avser första destinationsland efter avgång. Den som t.ex. flyger från till via räknas i sta- tistiken som resande inom EU. Utgångspunkter och inledande ställningstaganden Det kan diskuteras hur pass integritetskänsliga PNR-uppgifterna kan anses vara sedda var för sig. Emellertid möjliggör systemet, poten- tiellt sett, en ökad kartläggning av individers flygresor till och från . Uppgifterna, som från början samlats in av enskilda aktörer för kommersiella syften, görs tillgängliga för användning i viss slags brottsbekämpning trots att det stora flertalet passagerare saknar an- knytning till brottslighet. Dessa förhållanden medför enligt vår upp- fattning att direktivet huvudsakligen bör införas i svensk rätt genom lag. Vidare innebär direktivet att det måste införas åligganden för enskilda, nämligen lufttrafikföretagen, vilket kräver lagform, se 8 kap. 2 § RF. I den mån det inte finns några normgivningsmässiga eller annars principiella hinder kan dock förordningsform vara att föredra för vissa bestämmelser av för enskilda intressen mindre in- gripande karaktär. I och med den relativt detaljerade reglering som ska genomföras enligt direktivet framstår det vidare som en ända- målsenlig ambition att vissa, mer tekniskt inriktade bestämmelser, tas in i en ny, till den nya lagen hörande förordning. De delar av direktivet som bör införas i svensk rätt genom lag avser bl.a. de grundläggande bestämmelserna om lufttrafikföretagens skyldigheter, tillåten behandling och vidaresändande av PNR-upp- gifter. Regleringen av närmare frågor om hanteringen av PNR- uppgifterna m.m., kan dock föras in på förordningsnivå. 8.4En grundläggande allmän utgångspunkt Vår utgångspunkt: Utformningen av våra förslag ska ske med beaktande av att det nya systemet för insamling och utbyte av PNR-uppgifter för brottsbekämpande syften är integritetskäns- ligt. En återhållsam hållning ska därför intas vid utformningen av våra förslag. Som vi redan framhållit ovan innebär PNR-direktivet att det införs ett i princip nytt verktyg i brottsbekämpningen. Stora nationella databaser över resenärers flygresor kommer att byggas upp i med- lemsstaterna. Även om systemet är uppbyggt så att så få uppgifter som möjligt om oskyldiga, vanliga passagerare ska nå ut till den brotts- bekämpande verksamheten i eller utomlands, innebär PNR- systemet en potentiellt sett ökad kartläggning av personers inter- Utgångspunkter och inledande ställningstaganden Härigenom företer systemet i viss mån lik- heter med skyldigheten för teleoperatörerna att utföra en generell datalagring för brottsbekämpande syften, vilket har underkänts av EU-domstolen.2 Det rör sig således om en känslig verksamhet när det gäller skyddet för enskildas personliga integritet. Som framgått av avsnitt 7.2 sker vårt arbete med att föreslå direktivets rättsliga genomförande parallellt med arbetet att bygga upp ett organisatoriskt och tekniskt system som lever upp till direktivets krav. Verksamhetens känsliga karaktär talar, tillsammans med bristan- de erfarenhet av hur man ska arbeta med PNR-uppgifterna, starkt för att ett återhållsamt förhållningssätt krävs när direktivet nu genom- förs. Vår utgångspunkt är därför att våra förslag ska hålla sig nära lydelsen av direktivets bestämmelser samt att, i den mån direktivets bestämmelser öppnar för tolkningar, den tolkning ska väljas som är minst ingripande ur integritetssynpunkt. Av bl.a. detta skäl vore det lämpligt med en utvärdering och en rättslig översyn efter det att PNR-systemet varit i drift . En sådan utvärdering och översyn torde mycket väl kunna leda till att det identifieras behov av författningsändringar i olika avseenden. Detta kommer vi att beröra i senare avsnitt. 8.5Den nya lagstiftningens förhållande till relevant dataskyddsreglering Våra bedömningar: Eftersom PNR-direktivet ska införlivas sam- tidigt som EU:s dataskyddsreform genomförs, bör våra författ- ningsförslag lämpligen – och så lång möjligt – anpassas till den reformen och det förslag om en ny ramlag som lämnats för att genomföra det nya dataskyddsdirektivet. Övervägande skäl talar för att i lagen inte närmare reglera dess förhållande till mer generell dataskyddsreglering på området. Bestämmelserna i lagen kommer dock att i olika avseenden gälla utöver eller i stället för de generella bestämmelserna i dataskydds- förordningen, den nya ramlag som genomför det nya dataskydds- 2 Dom i de förenade målen C-203/15 och C-698/15, Tele2 och m.fl. Utgångspunkter och inledande ställningstaganden direktivet och annan särreglering för dataskydd som gäller eller kommer att gälla för berörda myndigheter. Vårt förslag: Det tas i de behöriga myndigheternas allmänna registerförfattningar in bestämmelser om att det i den av oss före- slagna lagen och i föreskrifter som meddelats med stöd av den lagen finns bestämmelser om personuppgiftsbehandling som ska tillämpas i stället för bestämmelserna i aktuell registerförfattning. Den nya lagen kommer att innehålla bestämmelser som berör flera olika aktörer; främst lufttrafikföretag och olika myndigheter med uppgifter inom det slags brottsbekämpning som avses i PNR- direktivet. Verksamheterna hos dessa aktörer är redan föremål för mer eller mindre ingående författningsreglering. Detta gäller även den personuppgiftsbehandling som sker i verksamheterna. Några grundläggande relationer till annan lagstiftning måste därför redas ut. Det gäller framför allt förhållandena till de nya generella regle- ringarna på dataskyddsområdet, nämligen dataskyddsförordningen och det förslag till ramlag som genomför det nya dataskyddsdirek- tivet. Även några andra regleringar kommer att beröras nedan. EU:s nya dataskyddsförordning antogs . Förord- ningen, som ska börja tillämpas , utgör en ny generell reglering för personuppgiftsbehandling och kommer att ersätta data- skyddsdirektivet . antogs ett nytt dataskydds- direktiv som ska tillämpas på behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra, ut- reda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder. I detta ingår även att skydda mot samt förebygga och förhindra hot mot den allmänna säkerheten. Personuppgiftsbehandling som ligger inom direktivets tillämpningsområde är undantagen från dataskydds- förordningens tillämpningsområde. Det nya dataskyddsdirektivet ska vara genomfört i nationell rätt . Se en något mera utförlig beskrivning av reformen i avsnitt 6.5. Utgångspunkter och inledande ställningstaganden Förslag till anpassning och genomförandet i Två olika utredningar har analyserat den nya förordningen och det nya direktivet. har i betänkandet Ny dataskyddslag. Kompletterande bestämmelser till EU:s dataskyddsförordning (SOU 2017:39) bl.a. lämnat förslag till en ny lag, dataskyddslagen, med kompletterande bestämmelser till dataskyddsförordningen. Till lagen har även föreslagits en anslutande förordning. Enligt förslaget till kompletterande lag ska dataskyddsförordningen, i den ursprung- liga lydelsen, i tillämpliga delar gälla även vid behandling av person- uppgifter som utgör ett led i en verksamhet som inte omfattas av unionsrätten och i verksamhet som omfattas av avdelning V kapitel 2 i fördraget om Europeiska unionen. Alla bestämmelser i förord- ningen gäller dock inte, t.ex. inte de som reglerar skyldigheter för medlemsstaters nationella tillsynsmyndigheter att samarbeta med den svenska tillsynsmyndigheten eller den europeiska tillsynsmyndig- hetens befogenheter (a. SOU s. 354). Den till dataskyddsförordningen kompletterande lagen föreslås vara subsidiär till annan lagstiftning (1 kap. 3 §). Avvikande bestäm- melser i annan lag eller förordning gäller alltså i stället för lagen. Utredningen om 2016 års dataskyddsdirektiv har i delbetänkandet Brottsdatalag (SOU 2017:29) lämnat förslag till en ny ramlagstift- ning med bestämmelser om skydd av personuppgifter inom direk- tivets tillämpningsområde. I delbetänkandet föreslås en ny ramlag, brottsdatalagen, som ska vara generellt tillämplig vid behandling av personuppgifter som utförs av behöriga myndigheter i syfte att före- bygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lag- föra brott eller verkställa straffrättsliga påföljder. Ramlagen föreslås också gälla vid behöriga myndigheters personuppgiftsbehandling som utförs i syfte att upprätthålla allmän ordning och säkerhet (1 kap. 2 § förslaget till brottsdatalag). Med behörig myndighet avses en myn- dighet som har till uppgift att utföra sådan brottsbekämpning m.m. som sagts (1 kap. 6 §). Genom en särskild bestämmelse föreslås dock att Säkerhetspolisens behandling av personuppgifter som rör nationell säkerhet inte ska omfattas av lagens tillämpningsområde (1 kap. 4 §). Detsamma ska gälla om har övertagit en arbetsuppgift som rör nationell säkerhet från Säkerhetspolisen. Enligt vad utredningen anger i delbetänkandet som sin uppskatt- Utgångspunkter och inledande ställningstaganden ning ligger Säkerhetspolisens verksamhet i allt väsentligt utanför det nya dataskyddsdirektivets tillämpningsområde, bl.a. dess verksamhet för att förebygga, förhindra och upptäcka brottslig verksamhet som innefattar brott mot rikets säkerhet och terrorbrott samt att utreda och beivra sådana brott (a. SOU s. 175). I förslaget föreslås att ramlagen ska vara subsidiär till annan lagstiftning. I 1 kap. 5 § föreskrivs således att om det i en annan lag eller en förordning finns bestämmelser som avviker från ramlagen, ska de bestämmelserna gälla. Om det i en viss myndighets register- författning, t.ex. polisdatalagen, finns avvikande bestämmelser gäller alltså de i stället för ramlagen. I det återstående uppdraget för Utredningen om 2016 års data- skyddsdirektiv innefattas bl.a. att lämna de förslag till författnings- ändringar som krävs för att anpassa vissa centrala författningar om rättsväsendets behandling av personuppgifter till de nya förutsätt- ningarna. De centrala författningarna avser bl.a. polisdatalagen och lagen (2005:787) om behandling av uppgifter i brotts- bekämpande verksamhet3. Vidare ska utredningen överväga om det finns anledning att reglera Säkerhetspolisens personuppgiftsbehand- ling separat från den lagstiftning som gäller för och vid behov lämna författningsförslag. Uppdraget ska slutredo- visas . Olika regleringsmodeller för registerförfattningar I nuvarande dataskyddsreglering finns, såsom beskrivits i avsnitt 6.3, personuppgiftslagen varigenom dataskyddsdirektiv genom- förts. Personuppgiftslagen är generellt tillämplig och gäller även för personuppgiftsbehandling vid brottsbekämpande verksamhet trots att det bakomliggande dataskyddsdirektivet undantar sådan verksam- het från dess tillämpningsområde. Personuppgiftslagen är dock sub- sidiär till avvikande reglering i annan lag eller förordning (2 § PUL). Inom främst myndighetsområdet finns en mycket stor mängd sär- regleringar i förhållande till personuppgiftslagen som innehåller just från personuppgiftslagen avvikande regleringar. Det kan handla om författningar som reglerar viss registerföring eller författningar som 3 Ersätts av tullbrottsdatalagen (2017:000) . Utgångspunkter och inledande ställningstaganden mer övergripande reglerar dataskyddsfrågor vid personuppgiftsbe- handling vid en viss myndighet eller viss verksamhet. Det gemen- samma begreppet för sådan särreglering är registerförfattning. I dagens registerförfattningar förekommer vanligen bestämmelser som på ett eller annat sätt klargör lagens förhållande till personupp- giftslagen. Olika regleringsmodeller har kommit till användning, huvudsakligen enligt antingen den kompletterande modellen eller den hänvisande modellen men det finns även en heltäckande variant. De flesta registerförfattningar är utformade i enlighet med den kompletterande modellen. Den tekniken kännetecknas av att särregleringen endast kompletterar eller ersätter huvudregleringen, dvs. personuppgiftslagen, i frågor som är specifika för de verksam- heter som omfattas av särlagstiftningen. Den myndighet som berörs måste därmed tillämpa såväl den särskilda registerförfattningen som personuppgiftslagen vid sin behandling av personuppgifter. Person- uppgiftslagen ska tillämpas om inte annat följer av registerförfatt- ningen eller av föreskrifter som meddelats med stöd av registerför- fattningen. Detta gäller oavsett om registerförfattningen i fråga innehåller eller inte innehåller någon bestämmelse som anger vilket förhållande som gäller mellan författningen och personuppgiftslagen. Frågan om en viss bestämmelse innefattar en avvikelse från vad som ska gälla enligt personuppgiftslagen får göras med tillämpning av sed- vanliga metoder för tolkning av författningar (se prop. 1997/98:44 s. 115 f.). Trots att det i teknisk mening alltså inte måste regleras att registerförfattningen och personuppgiftslagen kompletterar varan- dra på detta sätt, innehåller registerförfattningar ofta bestämmelser som ger uttryck för förhållandet till personuppgiftslagen, dvs. det anges på ett eller annat sätt att personuppgiftslagen gäller utöver re- gisterförfattningen. Ofta anges detta i en paragraf under en särskild rubrik, exempelvis Förhållandet till personuppgiftslagen. Vid användning av den hänvisande modellen anges i registerför- fattningen att den gäller i stället för personuppgiftslagen, om inte annat anges i bestämmelser i registerförfattningen som hänvisar till särskilt utpekade bestämmelser i personuppgiftslagen som ska vara tillämpliga även vid behandling av personuppgifter enligt register- författningen i fråga. Även vid den hänvisande modellen måste alltså myndigheten tillämpa såväl den särskilda registerförfattningen som personuppgiftslagen vid sin behandling av personuppgifter. Däremot behöver man inte jämföra bestämmelserna i de båda författningarna Utgångspunkter och inledande ställningstaganden för att komma fram till vad som gäller. Den hänvisande modellen används i flertalet registerförfattningar som gäller för behandling av personuppgifter inom den brottsbekämpande sektorn, exempelvis polisdatalagen och den nya tullbrottsdatalagen som träder i kraft . För de registerförfattningar som är konstruerade enligt den hel- täckande modellen är personuppgiftslagen över huvud taget inte tillämplig beträffande den behandling av personuppgifter som regle- ras genom författningen. De bestämmelser i personuppgiftslagen som trots detta ska tillämpas i den aktuella verksamheten upprepas i stället i registerförfattningen, vilket i praktiken innebär ett slags dubbel- reglering. Fördelen är att tillämparen inte behöver läsa i två olika lagar – registerförfattningen respektive personuppgiftslagen – för att kon- statera vilka bestämmelser som reglerar den aktuella personuppgifts- behandlingen. Registerförfattningen är således heltäckande på så sätt att den helt ersätter personuppgiftslagen. Den heltäckande modellen är ovanlig men används t.ex. i kameraövervakningslagen (2013:460). Våra bedömningar och förslag Vårt förslag till lagstiftning för genomförande av PNR-direktivet innehåller bestämmelser som direkt eller indirekt gäller personupp- giftsbehandling hos så pass skilda aktörer som kommersiella luft- trafikföretag och myndigheter som ska använda PNR-uppgifter. Beträffande de sistnämnda har regeringen utsett , , , Ekobrottsmyndig- heten och Försvarsmakten såsom behöriga myndigheter enligt arti- kel 7 i direktivet. Möjligen kommer andra myndigheter att efter hand läggas till. Det är därmed inte möjligt att med en enda bestämmelse klargöra relationen till annan dataskyddsreglering. I det följande behandlar vi frågan i vilken utsträckning det behövs. Redan här vill vi emellertid framhålla att det mot bakgrund av dataskyddsreformen, som ska genomföras ungefär med PNR-direktivet, ter sig mest ändamålsenligt att våra förslag anpas- sas till reformen i stället för till nu gällande personuppgiftslag. Vi återkommer nedan till detta. Utgångspunkter och inledande ställningstaganden Vissa bestämmelser i den nya lag som vi föreslår kommer att ha lufttrafikföretagen som adressat. Dessa bestämmelser handlar i allt väsentligt om skyldigheter för företagen att leverera PNR-uppgifter till en nationell enhet för passagerarinformation som ska finnas hos . Dessa är i och för sig inga dataskyddsbestämmel- ser men dess fullföljande medför av naturliga skäl en personupp- giftsbehandling i och med översändandet till enheten. Lufttrafik- företagen kommer vid sin personuppgiftsbehandling att omfattas av dataskyddsförordningens bestämmelser. Det innebär bl.a. att för- pliktelsen att leverera PNR-uppgifter till de olika enheterna för passa- gerarinformation i EU, däribland den svenska, kommer att utgöra en sådan laglig grund för behandlingen som avses i artikel 6.1 c om nödvändig behandling för att fullgöra en rättslig förpliktelse. Även den av föreslagna kompletterande lagen kommer i princip bli tillämplig, i vart fall i den utsträckning som ett utländskt lufttrafikföretag alls träffas av svensk författningsreglering. De flesta bestämmelser i den lagstiftning vi föreslår kommer emel- lertid inte att rikta sig till lufttrafikföretagen. På grund därav och på grund av karaktären på de bestämmelser som faktiskt riktar sig till lufttrafikföretagen ser vi inte tillräckliga skäl att ta in en bestämmelse i lagen som mer allmänt upplyser om dess förhållande till dataskydds- förordningen. Förordningen kommer att gälla oavsett. I senare av- snitt kommer vi emellertid, i mån av behov, att ytterligare behandla vad som följer av dataskyddsförordningen. Förhållandet till den föreslagna ramlagen, brottsdatalagen Vi kommer i vårt arbete att i stor utsträckning förhålla oss till det förslag till ramlag som lämnats av Utredningen om 2016 års data- skyddsdirektiv såsom om den vore genomförd i enlighet med utred- ningsförslaget. Av framställningstekniska skäl har vi valt att kon- sekvent kalla förslaget för brottsdatalagen och även använda förkortningen BDL i anslutning till hänvisningar till föreslagna be- stämmelser. Det kan förvisso te sig ovanligt att i så stor utsträckning förhålla sig till ett författningsförslag som ännu inte är antaget av och inte heller har föreslagits av regeringen eller ens remiss- behandlats. Det är dock fråga om en ovanlig situation där våra för- Utgångspunkter och inledande ställningstaganden fattningsförslag, såsom anförts ovan, bör anpassas till genomförandet av det nya dataskyddsdirektivet som ska genomföras ungefärligen . I sammanhanget kan nämnas att flera artiklar i PNR-direktivet hänvisar till dataskyddsrambeslutet. Dessa hänvis- ningar ska enligt skäl 27 i direktivet också ses som hänvisningar till den rättsakt som ersätter rambeslutet, dvs. det nya dataskyddsdirek- tivet (se avsnitt 6.5.3). Eftersom andra förhållningspunkter saknas har vi i vårt arbete och i utformningen av våra författningsförslag utgått från att brottsdatalagen kommer att genomföras på utsatt datum och på det sätt som föreslagits. Vi är dock medvetna om att i den mån det vidare lagstiftningsarbetet med förslagen i delbetän- kandet Brottsdatalag leder till förändringar i författningsförslagen, kan det få följdverkningar på det vidare lagstiftningsarbetet med våra förslag. Vi bedömer att den personuppgiftsbehandling som kommer att ske hos den nationella enheten för passagerarinformation som en följd av PNR-direktivets bestämmelser faller in under den nya brottsdata- lagens tillämpningsområde. Enhetens arbete med PNR-uppgifterna kommer att ingå i verksamhet i stort med att förebygga, förhindra, upptäcka, utreda eller lagföra brott, om än bara avseende viss slags brottslighet; terroristbrottslighet och grov brotts- lighet. I och med att enheten ska finnas hos , kommer det föreslagna undantaget i brottsdatalagen för Säkerhets- polisen inte att omfatta enhetens behandling av PNR-uppgifter ens när den avser bekämpning av terroristbrottslighet. Det är alltså vår uppfattning att i detta avseende inte kan anses ha övertagit en uppgift rörande nationell säkerhet från Säkerhets- polisen när , genom den nationella enheten för passagerarinformation, fullgör sina uppgifter enligt den av oss före- slagna lagen. Det är vidare vår uppfattning att brottsdatalagen, som förslaget nu är utformat, kommer att i och för sig vara tillämplig på behand- lingen av PNR-uppgifter hos sådana svenska myndigheter som ska vara behöriga myndigheter enligt PNR-direktivet och som omfattas av den lagens tillämpningsområde i sin brottsbekämpande verksam- het, nämligen i vart fall , , och Eko- brottsmyndigheten.