sou · H5B357 · 2017-06-22 00:00:00 — utförde sammanlagt 240 lufttrafikföretag flygningar för be- fordran av passagerare till eller från antingen i linjefart eller som charterflyg. Av dessa flygbolag utförde 100 stycken fem eller färre sådana resor. Därtill utfördes sådana utlandsresor av upp till 87 olika taxiflygbolag.4 Den senare uppgiften är osäker eftersom det inte finns något system som registrerar persontransporter med taxiflyg.5 Resorna gick till någon av landets många flygplatser. Det finns 38 flygplatser i landet med reguljär trafik i form av linjefart eller charterflyg. Vid sidan av dessa finns ett betydande antal flygplatser av varierande standard. Taxiflygen behöver inte nödvändigtvis an- vända sig av flygplatser som är öppna och bemannade.6 11.2Lufttrafikföretagens insamlande av PNR-uppgifter Det finns inte någon uttrycklig författningsreglering om att lufttrafikföretag ska inhämta PNR-uppgifter om sina passagerare. Gällande bestämmelser på området ålägger dock lufttrafikföretagen att på luftfartygen medföra en passagerarlista med namn på sina passa- gerare. Alla luftfartyg som utför internationella passagerarflygningar ska således ha med sig en passagerarlista som inkluderar passagerar- nas avrese- och destinationsorter. Detta följer av artikel 29 i Chicago- konventionen. Även av Easa-ops följer en skyldighet att medföra passagerarlistor vid kommersiella lufttransporter. Enligt förordningen ska flygoperatören också se till att information som är relevant för flygningen och arten av verksamhet bevaras på marken. Det finns dock inte något uttalat krav på att just passagerarlistorna ska bevaras 4Enligt Transportstyrelsens statistikuppgifter. 5Se t.ex. SOU 2016:83 s.143. 6Se a.a. s. 65 f. och 143. Lufttrafikföretagens överföring av PNR-uppgifter I förordning (EU) nr 996/20107 behandlas frågor om utredning och förebyggande av flygolyckor. I förordningens arti- kel 20 anges att unionens flygbolag som ankommer till eller avgår från, och flygbolag från tredjeländer som avgår från, en flygplats be- lägen på territorierna i de medlemsstater som omfattas av fördragen, ska införa rutiner som gör det möjligt att och senast från underrättelsen om att ett luftfartyg har råkat ut för en olycka, ta fram en validerad förteckning, baserad på bästa tillgängliga uppgifter, över alla personer ombord. För att kunna göra en sådan förteckning torde fordras att uppgifter om resenä- rerna på något sätt finns sparade på marken. Enligt 15 § TSFS 2011:104 ska vid charterflygningar en förteck- ning över passagerare förvaras av det företag som utför flygningen och lämnas till Transportstyrelsen på begäran. För taxiflygningarna finns inte någon motsvarande bestämmelse i föreskrifterna om att det ska finnas en förteckning över passagerare. De lufttrafikföretag som utför reguljärflygningar samlar in PNR-uppgifter om sina passagerare. Uppgifterna vidarebefordras ofta från resebyråer eller researrangörer via olika bokningssystem. Upp- gifterna kan även lämnas av passagerarna själva när de bokar eller köper flygresor direkt av lufttrafikföretaget, exempelvis via en hem- sida. Lufttrafikföretagen samlar in PNR-uppgifterna för sina egna operativa och kommersiella syften. Därför kan omfattningen av de insamlade uppgifterna samt de insamlade uppgifternas karaktär variera stort mellan lufttrafikföretagen och mellan olika passagerare. I vissa fall kan PNR-uppgifterna bestå endast av namn, resväg, viss allmän in- formation och ett biljettnummer. I andra fall kan PNR-uppgifterna även innehålla exempelvis kontakt- och kreditkortsuppgifter samt uppgifter om att någon särskild service kommer att behövas under resan. Bokningssystemen kan tillhandahållas av olika systemleveran- törer, som är de som normalt överför uppgifterna till de nationella myndigheter som kräver tillgång till uppgifterna. De lufttrafikföretag som är specialiserade på charterflygningar samlar oftast inte in egna PNR-uppgifter. De uppgifter som behövs för att utföra en flygning, såsom namn och flygnummer, överförs i 7 och rådets förordning (EU) nr 996/2010 av om utredning och förebyggande av olyckor och tillbud inom civil luftfart och om upphävande av direktiv /56/EG. Lufttrafikföretagens överföring av PNR-uppgifter sådant fall till dem från researrangören inför flygresan. Övriga PNR- uppgifter, som passagerarna lämnat i samband med resebokningen, finns kvar hos researrangören. Vid flygningar till tredjeland skickas dock ett API-meddelande till flygbolaget, som i sin tur vidarebe- fordrar meddelandet till myndigheten i ankomstlandet. Meddelandet innehåller namn, födelsetid, nationalitet på pass och passnummer samt ett bokningsnummer. De mindre lufttrafikföretag som utför taxiflygningar samlar i de flesta fall inte in uppgifter om sina passagerare på ett systematiserat sätt. De insamlande uppgifterna kan i vissa fall bestå av endast en namnuppgift som noteras för hand eller i ett excelformulär. 11.3Vilka lufttrafikföretag ska åläggas en skyldighet att överföra PNR-uppgifter? Våra förslag: PNR-uppgifter ska enligt lagen överföras från luft- trafikföretag som har en giltig operativ licens eller motsvarande som ger rätt att mot vederlag utföra lufttransporter av passagera- re, och som i sin normala verksamhet samlar och hanterar PNR- uppgifter i reservationssystem. Reservationssystem ska i lagen definieras som system där PNR-uppgifter samlas för hantering av reservationer. Direktivets definition av ett lufttrafikföretag, innebärandes ett så- dant företag med operativ licens eller motsvarande som ger rätt att bedriva passagerarflygtrafik, innefattar alla företag som utför luft- transport av passagerare mot betalning eller hyra så länge de har den angivna licensen. I begreppet företag innefattas enligt vår bedöm- ning, på samma sätt som enligt lufttrafikförordningen, både fysiska och juridiska personer samt officiella organ. Enligt lufttrafikförord- ningen undantas från kravet på operativ licens endast lufttrafik som utförs med icke-motordrivna luftfartyg och/eller ultralätta motor- drivna luftfartyg samt lokala flygningar. Alla övriga företag som utför lufttransporter mot betalning eller hyra inom unionen ska således ha en operativ licens och träffas därmed av PNR-direktivet. Således omfattas charterflygningarna av direktivets definition, även i de fall charterbolagen äger sina egna flygplan. Även taxiflygen omfattas av direktivets definition. Således träffas också taxiflygföretagen rent Lufttrafikföretagens överföring av PNR-uppgifter definitionsmässigt av direktivets överföringsskyldighet när de mot ersättning eller hyra utför lufttransporter med hjälp av mindre flyg eller helikopter över ett lands gränser. Med tillägget ”eller motsva- rande” innefattas i definitionen även de lufttrafikföretag som inte har en operativ licens utfärdad i ett land inom EU men som har en motsvarande licens från ett tredjeland. har definierats på olika sätt i olika svenska författningar. Exempelvis definieras begreppet i TSFS 2010:68 som ett flygföretag med ett giltigt drifttillstånd (AOC). I TSFS 2011:104 definieras däremot ett lufttrafikföretag som ett flyg- företag med giltigt drifttillstånd och i förekommande fall operativ licens eller motsvarande. Även i de EU-rättsliga förordningarna på området finns det olika definitioner av begreppet. I exempelvis för- ordning (EG) nr 261/20048 definieras ett lufttrafikföretag endast som ett lufttrafikföretag med en giltig licens. I lufttrafikförord- ningen är dock definitionen av ett lufttrafikföretag ungefärligen den- samma som i PNR-direktivet, dvs. ett företag med giltig operativ licens eller motsvarande. Det saknas således enhetlighet i definitionerna av begreppet lufttrafikföretag. Med hänsyn härtill bör, enligt vår mening, PNR- direktivets definition av begreppet införas i den nya lag som vi före- slår. En sådan lösning synes även lämplig eftersom direktivets defi- nition innehåller en upplysning om kravet på en operativ licens. I detta ligger även ett krav på att lufttrafikföretaget har ett giltigt drift- tillstånd. Definitionen omfattar således såväl ett giltigt operativt tillstånd som ett drifttillstånd. Genom tillägget ”eller motsvarande” innefattas även sådana utländska lufttrafikföretag som inte har en operativ licens utfärdad i ett land inom EU men som har en mot- svarande licens från ett tredjeland. Av lagens definition bör också framgå att licensen ska ge rätt att bedriva passagerarflygtrafik, dvs. ge rätt att mot betalning eller hyra, dvs. vederlag, utföra lufttrans- porter av passagerare. För att direktivets bestämmelser om överföring av PNR-uppgifter ska bli tillämpliga för lufttrafikföretagen förutsätts, förutom att före- tagen träffas av direktivets definition av ett lufttrafikföretag, att de 8 och rådets förordning (EG) nr 261/2004 av om fastställande av gemensamma regler om kompensation och assistans till passagerare vid nekad ombordstigning och inställda eller kraftigt försenade flygningar och om upphävande av förordning (EEG) nr 295/91. Lufttrafikföretagens överföring av PNR-uppgifter samlar in PNR-uppgifter som en del av sin normala verksamhet. Denna avgränsning framgår av artikel 8.1. Att uppgifterna ska sam- las in som en del av företagets normala verksamhet (på eng. normal course of their business) får tolkas som att insamlingen ska ingå som en naturlig del i företagets verksamhet. Insamlingen ska således vara något som företaget redan gör. För det fall företaget inte samlar in PNR-uppgifter , kan överföringsskyldigheten dock inträda i samband med att företaget påbörjar en sådan insamling. Som har angetts ovan ålägger direktivet inte lufttrafikföretagen att inhämta ytterligare uppgifter eller några uppgifter alls om sina passagerare. Vad direktivet handlar om är i stället att redan insamlade uppgifter ska lämnas ut för ny användning i brottsbekämpande syfte. Den grundläggande skyldigheten att överföra PNR-uppgifter enligt direk- tivet bör därmed inte utsträckas till att avse sådana lufttrafikföretag som inte normalt befattar sig med PNR-uppgifter på det sätt som avses i direktivet. Definitionen av PNR-uppgifter i artikel 3.5 synes syfta till en systematisk behandling av uppgifter om passagerare via ett reserva- tionssystem, ett avgångskontrollsystem som används för att checka in passagerare på flygningar eller likvärdiga system med liknande upp- gifter. Med ett reservationssystem avses enligt artikel 3.6 lufttrafik- företagets interna system, där PNR-uppgifter samlas för hantering av reservationer. Sammanställningen av för resan nödvändiga uppgifter om varje enskild passagerare ska, enligt artikel 3.5, göra det möjligt för det lufttrafikföretag som sköter bokningen och andra deltagan- de lufttrafikföretag att behandla och kontrollera reservationen för varje resa. Av artikel 8.3 b framgår vidare att lufttrafikföretagen ska ha tillgång till en gate som passagerarna ska passera på vägen till flyg- planet, varefter den andra omgången PNR-uppgifter ska överföras. Tanken bakom PNR-direktivet synes således vara att PNR-uppgift- erna ska överföras från större aktörer, som normalt samlar in PNR- uppgifter från sina passagerare för operativa och kommersiella ända- mål, systematiskt behandlar dem i reservationssystem, avgångs- kontrollsystem eller likvärdiga system samt själva eller genom en mellanman sköter ombordstigningen på flygplanen genom en gate. De lufttrafikföretag som utför charterflygningar innehar i många fall endast en mindre mängd PNR-uppgifter. De uppgifter som de innehar behandlas dock oftast systematiskt i företagens datorsystem. Behandlingen av PNR-uppgifter får därmed anses ingå som en normal Lufttrafikföretagens överföring av PNR-uppgifter del i dessa företags verksamhet. Ombordstigningen på flygplanen sker, i de flesta fall, genom en gate och hanteras elektroniskt på samma sätt som för reguljärflygningarna. Några problem med hänsyn till direktivets överföringstidpunkter föreligger därför i normalfallet inte. Enligt vår bedömning omfattas således, som utgångspunkt, de lufttrafikföretag som utför charterflygningar av direktivets över- föringsskyldighet. De lufttrafikföretag som utför taxiflygningar saknar emellertid i många fall strukturmässigt system för behandling av PNR-uppgifter i den mening som avses i direktivet. De namnuppgifter som samlas in för att uppfylla kravet på innehav av passagerarlistor antecknas i vissa fall endast manuellt eller med hjälp av excelblad. Någon sådan datoriserad behandling och kontroll av reservationer som avses i direk- tivet förekommer generellt inte. På mindre flygstationer saknas dess- utom gater och incheckningen sker därför manuellt. Den i direktivet angivna skyldigheten att överföra PNR-uppgifter efter det att gatens dörrar har stängts synes därmed svår att uppfylla. Enligt vår bedömning behandlar inte dessa mindre taxiflygföre- tag PNR-uppgifter på det sätt som avses i direktivet. De bör således inte träffas av överföringsskyldigheten enligt vårt lagförslag. För dessa aktörer får efterfrågade passageraruppgifter i stället begäras in med stöd av de gällande bestämmelserna för transportföretag i polislagen och i tullagstiftningen, som vi därför ser anledning att behålla för sådan lufttrafik som utförs av företag som inte kommer att omfattas av skyldigheter enligt den nya lagen för PNR-uppgifter. För att närmare ringa in de lufttrafikföretag som ska åläggas en grundläggande skyldighet att överföra PNR-uppgifter enligt vårt lagförslag bör således ett tillägg göras till definitionen av ett luft- trafikföretag. Detta tillägg bör innebära att lufttrafikföretaget i sin normala verksamhet ska samla och hantera PNR-uppgifter i reser- vationssystem. Genom en sådan skrivning faller de lufttrafikföretag som strukturmässigt saknar sådana system för behandling av PNR- uppgifter utanför överföringsskyldigheten. En definition av ett reser- vationssystem bör också föras in i lagen. Definitionen bör utformas på ungefär samma sätt som direktivets definition. För att inte utesluta de lufttrafikföretag som låter en tredjepart hantera PNR-uppgifterna bör det dock vara tillräckligt att i definitionen ange att med reserva- tionssystem avses sådana system där PNR-uppgifter samlas för hantering av reservationer. Lufttrafikföretagens överföring av PNR-uppgifter 11.4Överföring av PNR-uppgifter till enheten för passagerarinformation 11.4.1Omfattningen av vårt uppdrag Vårt förslag: Den nationella regleringen ska innehålla bestämmel- ser om lufttrafikföretagens överföring av PNR-uppgifter bara till den svenska enheten för passagerarinformation. Av PNR-direktivets artikel 8.1 följer att medlemsstaterna ska anta de åtgärder som är nödvändiga för att se till att lufttrafikföretag överför vissa i direktivet angivna PNR-uppgifter till databasen hos enheten för passagerarinformation i den medlemsstat på vars terri- torium flygningen kommer att ankomma till eller varifrån flygningen kommer att avgå. Det anges inte uttryckligen vilka delar av direkti- vet som det åligger varje medlemsstat att lagstifta om. Tanken bakom direktivet är dock att det i samtliga rättsordningar i de EU-länder som är bundna av direktivet ska finnas en harmoniserad skyldighet för lufttrafikföretagen att överföra PNR-uppgifter till såväl av- gångslandets som ankomstlandets nationella enhet för passagerar- information. Med tanke på att varje medlemsstat ska genomföra direk- tivet i sin rättsordning ser vi det som den enda rimliga lösningen att det svenska genomförandet ska begränsas till passagerartrafik som berör och svenska flygplatser. Det medför att den av oss före- slagna lagen inte reglerar skyldigheten för ett lufttrafikföretag som flyger mellan och att överföra PNR-uppgifter till den italienska enheten. Något annat skulle vara orimligt och leda till dubbelreglering om inom EU. Vad gäller flygtrafiken inom EU, som också ska omfattas av den nya lagen (se avsnitt 11.4.2), kan man också fråga sig vad den svenska regleringen bör ta sikte på. Enligt direktivet ska ett lufttrafikföretag som ska företa en flygresa från till exempelvis överföra sina PNR-uppgifter dels till den svenska enheten för passa- gerarinformation, dels till den franska enheten. Likaså ska lufttrafik- företaget inför en resa från till överföra PNR- uppgifterna till både den franska och den svenska enheten för passagerarinformation. Vi ser det som vår uppgift att reglera luft- trafikföretagets skyldighet att överföra PNR-uppgifter till den svenska enheten för passagerarinformation. Lufttrafikföretagens överföring av PNR-uppgifter dighet att överföra uppgifterna till den franska enheten för passa- gerarinformation får regleras genom genomförande av direktivet. Även här ser vi detta som en nödvändig begränsning för att undvika framtida tillämpningssvårigheter för lufttrafikföretagen. Våra förslag till lag och förordning kommer således att innehålla bestämmelser om lufttrafikföretagens överföring till den svenska enheten för passagerarinformation. 11.4.2Överföring av uppgifter avseende flygresor både inom och utom EU Våra förslag: Lufttrafikföretag ska inför varje flygning ankom- mande till eller avgående från överföra PNR-uppgifter till enheten för passagerarinformation. Om flygningens linjebeteckning delas med ett eller flera andra lufttrafikföretag, ska det lufttrafikföretag som utför flygningen överföra PNR-uppgifter om samtliga passagerare. Överföring inför flygningar till och från EU Enligt artikel 8.1 ska medlemsstaterna anta de åtgärder som är nöd- vändiga för att se till att lufttrafikföretag överför vissa i direktivet angivna PNR-uppgifter i samband med flygningar utanför EU. Med flygning utanför EU avses i direktivet flygningar mellan ett land inom EU och ett land utanför EU (jfr artikel 3.2). Inför sådana flygningar ska enligt bestämmelsen PNR-uppgifter överföras till databasen hos enheten för passagerarinformation i den medlemsstat på vars territorium flygningen kommer att ankomma eller från det territorium varifrån flygningen kommer att avgå. Om flygningens linjebeteckning delas med ett eller flera andra lufttrafikföretag ska, enligt bestämmelsen, det företag som utför flygningen ha skyldig- het att överföra PNR-uppgifter om samtliga passagerare ombord. Gemensam linjebeteckning, s.k. code sharing, är en form av sam- arbete mellan flygbolag. Det innebär att ett flygbolag sätter sin egen bolagskod på en flygning som genomförs av ett annat flygbolag. Detta är ett sätt för flygbolagen att genom samarbete med andra flygbolag utvidga sitt linjenät och marknadsföra sig på linjer de inte själva Lufttrafikföretagens överföring av PNR-uppgifter Enligt direktivet vilar i sådant fall ansvaret för att PNR- uppgifterna överförs på det lufttrafikföretag som utför flygningen. I artikel 8.1 anges vidare att för det fall en flygning utanför EU omfattar en eller flera mellanlandningar på medlemsstaternas flyg- platser, ska lufttrafikföretagen överföra PNR-uppgifter för alla passa- gerare till enheterna för passagerarinformation i alla berörda med- lemsstater. Detta gäller även om en flygning inom EU innebär en eller flera mellanlandningar på olika medlemsstaters flygplatser, men endast i fråga om medlemsstater som samlar in PNR-uppgifter från flygningar inom EU. Som angetts i avsnitt 3.3 kommer inte att tillämpa direktivet, varför detta inte medför någon skyldig- het för lufttrafikföretagen att överföra PNR-uppgifter dit. I övrigt ska alltså PNR-uppgifter överföras till samtliga medlemsstater där en flygning startar, landar eller eventuellt mellanlandar. Överföring även inför flygningar inom EU Direktivet ålägger således lufttrafikföretagen att överföra PNR- uppgifter om passagerare på flygningar som anländer från eller avgår till ett land utanför EU. Av artikel 2.1 framgår att medlemsstaterna därutöver på frivillig grund kan tillämpa direktivet även på flygningar inom EU. och övriga medlemsstater som är bundna av direktivet har förklarat att de har för avsikt att tillämpa direktivet även för flygresor inom EU. kommer att skriftligen meddela kommissionen detta. Kommissionen ska därefter offentliggöra detta meddelande i Europeiska unionens officiella tidning (EUT). När ett sådant meddelande har lämnats, ska, enligt artikel 2.2, alla be- stämmelser i direktivet gälla för flygningar inom EU som om de vore flygningar utanför EU och för PNR-uppgifter från flygningar inom EU som om de vore PNR-uppgifter från flygningar utanför EU. Det som ovan angetts om överföring av PNR-uppgifter från luft- trafikföretagen kommer således även gälla flygningar inom EU. Direktivet ska genomföras i medlemsstaterna . Kommissionen har angett att den endast kommer att offent- liggöra meddelanden om att en medlemsstat ska tillämpa direktivet även för flygresor inom EU, om staten även har underrättat kom- missionen om att den har genomfört direktivets övriga bestämmelser i enlighet med artikel 18.1. Enligt kommissionen kommer således ett Lufttrafikföretagens överföring av PNR-uppgifter meddelande från en medlemsstat om att den ska tillämpa direktivet även för flygresor inom EU att få rättslig verkan först när hela direktivet är genomfört i medlemsstaten. Vidare har kommissionen angett att det är tillräckligt att direktivet är genomfört i den med- lemsstat som PNR-uppgifterna ska överföras till för att ett luft- trafikföretag ska vara skyldigt att överföra PNR-uppgifter dit. Huruvida den medlemsstat där lufttrafikföretaget har sitt säte ännu har genomfört direktivet eller lämnat meddelanden om detta till kommissionen saknar således betydelse för överföringsskyldigheten.9 För del innebär det ovanstående att lufttrafikföretagen, när direktivet är genomfört här och kommissionen är informerad om detta och om att ska tillämpa direktivet även på flygningar inom EU, ska överföra PNR-uppgifter till den svenska enheten för passagerarinformation inför alla utrikesresor ankommande till eller avgående från . En utgångspunkt för vårt uppdrag är att direktivet ska tillämpas även för flygningar inom EU och att detta ska genomföras som direktivet i övrigt ska vara införlivat i svensk rätt. Det bör därför av vår reglering framgå att överföringar av PNR- uppgifter till enheten för passagerarinformation ska ske såväl inför resor till och från länder utanför EU som inför resor inom EU. Detta kan uttryckas som att överföringar ska ske inför varje flyg- ning ankommande till eller avgående från . Vidare bör det av regleringen framgå att om flygningens linjebeteckning delas med ett eller flera andra lufttrafikföretag, ska det lufttrafikföretag som utför flygningen överföra PNR-uppgifter om samtliga passagerare. Bestämmelserna, som innebär skyldigheter för enskilda lufttrafik- företag, bör föras in i lag. 9 Se Ref. (2017) 68233 – 06/01/2017. Lufttrafikföretagens överföring av PNR-uppgifter Våra förslag: PNR-uppgifter, eller flygpassageraruppgifter, ska i lagen definieras som en sammanställning av uppgifter om varje enskild passagerare som gör det möjligt för det lufttrafikföretag som sköter bokningen och andra deltagande lufttrafikföretag att behandla och kontrollera reservationen. Passagerare ska definieras som alla personer, förutom besätt- ningsmedlemmar, som transporteras eller ska transporteras med ett flygplan och som finns upptagna i passagerarförteckningen. Med PNR-uppgifter, eller passageraruppgiftssamling, avses enligt artikel 3.5 en sammanställning av för resan nödvändiga uppgifter om varje enskild passagerare som gör det möjligt för det lufttrafikföretag som sköter bokningen och andra deltagande lufttrafikföretag att behandla och kontrollera reservationen för varje resa som bokas av en person eller för en persons räkning, oavsett om uppgifterna finns i reservationssystemet, i avgångskontrollsystemet som används för att checka in passagerare på flygningar eller i likvärdiga system med motsvarande uppgifter (på eng. functionalities). Med passagerare av- ses enligt artikel 3.4 alla personer, inbegripet personer i transfer eller transit, som transporteras eller ska transporteras med ett flygplan med lufttrafikföretagets godkännande.