sou · H5B357 · 2017-06-22 00:00:00 — Det är alltså endast de PNR-uppgifter som lufttrafikföretagen redan samlar in som en del av sin normala kommersiella verksamhet som enligt direktivet ska överföras till de nationella enheterna för passage- rarinformation. Således vore det enligt vår mening oförenligt med PNR-direktivet att i lag eller förordning ålägga lufttrafikföretagen att samla in fler uppgifter än de som de redan samlar in för den egna verksamheten. Vi kan inte heller se att en ordning som innebär en skyldighet för resebyråer och researrangörer att leverera fler PNR- uppgifter till lufttrafikföretagen än vad de sistnämnda behöver skulle vara förenlig med den nämnda grundläggande tanken bakom direktivet. Detta gäller i synnerhet om sådana uppgifter som emanerat från resebyråernas och researrangörernas leveransskyldig- het skulle behandlas av enheten för passagerarinformation och över- föras mellan medlemsstaterna i enlighet med det system som PNR- direktivet ålägger medlemsstaterna att genomföra. Vi har nämligen svårt att se att direktivet ger rättsligt stöd för ett uppgiftsutbyte av- seende andra slags PNR-uppgifter än de som samlas in från luft- trafikföretagen eftersom uppgifterna behandlas i deras kommersiella verksamhet. Att hålla isär de PNR-uppgifter som emanerar från charterarrangörernas uppgiftsskyldighet från sådana som överförs enligt PNR-direktivets bestämmelser, och därför också skulle om- fattas av direktivets bestämmelser om uppgiftsutbyte mellan med- lemsstaterna m.m., torde emellertid vara en svår utmaning praktiskt sett. Redan det sagda innebär enligt vår mening att det vi kallar modell 2 inte kan föreslås inom ramen för vårt arbete. Det kan i sammanhanget dessutom erinras om att skäl 8 i ingressen anger att direktivet inte bör medföra någon skyldighet för passagerare att till- handahålla några uppgifter utöver de som redan tillhandahålls luft- trafikföretagen (vår kursivering). Vi vill framhålla att en lösning enligt modell 2 torde kunna åstad- kommas på frivillig väg. Beroende på hur en sådan lösning riggas skulle den dock av allt att döma innebära utvecklingskostnader för charterarrangörerna och eventuellt ytterligare kostnader för mot- tagandet hos lufttrafikföretagen. Dessutom skulle ett antal frågor rörande integritet och dataskydd behöva analyseras närmare, såsom om överföringarna till lufttrafikföretagen skulle kräva samtycke från resenärerna eller om någon annan rättslig grund i dataskydds- förordningen kan tillämpas, vem som skulle ha personuppgifts- ansvaret för uppgifterna och därmed ansvara för säkerhetsfrågor osv. Modell 3) – Överföring från resebyråer och researrangörer direkt till enheten för passagerarinformation Den tredje modellen tar sin utgångspunkt i skäl 33 i PNR-direktivet enligt vilket direktivet inte påverkar medlemsstaternas möjligheter att i enlighet med nationell rätt tillhandahålla ett system för insam- ling och behandling av PNR-uppgifter från ekonomiska aktörer som inte är transportörer, t.ex. resebyråer och researrangörer som samlar in PNR-uppgifter i sin verksamhet. Detta förutsätter givetvis att den nationella rätten är förenlig med unionsrätten. PNR-direk- tivet som sådant hindrar alltså inte att det införs en lagstiftning i om att resebyråer och researrangörer ska överföra PNR- uppgifter direkt till enheten för passagerarinformation. Ett system med direktöverföring från resebyråer och researrangö- rer till enheten för passagerarinformation reser ett flertal frågor. En första fråga är givetvis hur systemet lämpligen skulle utformas i fråga om när och hur resebyråer och researrangörer skulle över- föra PNR-uppgifter till enheten för passagerarinformation. När vore det möjligt i förhållande till flygplans planerade avgångar? När vore det lämpligt utifrån enhetens behov av uppgifterna? Är ett jämfört med lufttrafikföretagens sändningar tidigarelagt översändan- de till enheten, t.ex. vid biljettering, alls acceptabelt från integritets- synpunkt? Hur skulle uppgifterna överföras? Hur kan man undvika att enheten får samma PNR-uppgifter i dubbel upplaga, dvs. både direkt från resebyråerna eller researrangörerna och via lufttrafik- företagen? Kan man utgå från att det finns standardiserade format och språk för alla de olika aktörernas samtliga PNR-uppgifter på motsvarande sätt som det finns för lufttrafikföretagens? Om inte, vem ska utveckla sådana? Hade det varit tillräckligt att överföringar skedde på särskild begäran? En ytterligare fråga är vilka möjligheter enheten för passagerar- information har att inom en nära överskådlig tid ta emot PNR- uppgifter direkt från små och stora resebyråer och researrangörer i och i andra länder vid sidan av dem som kommer från luft- trafikföretagen. Enligt vad vi inhämtat är de tekniska och perso- nella förberedelserna för att kunna ta emot PNR-uppgifter bara från lufttrafikföretagen ingen okomplicerad process. Vi befarar att en utvidgning med ett nytt system med direktöverföringar från rese- byråer och researrangörer kan, i vart fall på kort sikt, bli en över- mäktig uppgift som i värsta fall riskerar att försvåra det faktiska genomförandet av PNR-direktivets system. Det måste också beaktas att ett åläggande för resebyråer och researrangörer att själva överföra PNR-uppgifter till enheten för passagerarinformation skulle få betydande tekniska, driftsmässiga och ekonomiska konsekvenser för företagen. Den infrastruktur som krävs för en sådan lösning finns inte varför ett sådant åläg- gande torde medföra stora utvecklings- och investeringskostnader. Lönsamheten i branschen är generellt sett svag och företagen har normalt små marginaler. De minsta bolagen med bara ett fåtal an- ställda skulle drabbas hårdast då de skulle ha svårt att klara av att bevaka och säkerställa överföringen av uppgifterna. Som tidigare konstaterats består branschen av ett stort antal aktö- rer av skiftande slag och storlek. Att finna ett överföringssystem som kan tillgodose alla aktörers möjligheter och tekniska lösningar är en grannlaga uppgift. Att på egen hand finna ett system som reg- lerar överföring från all världens eller unionens resebyråer och rese- arrangörer får ses som en näst intill omöjlig uppgift inom ramen för detta uppdrag. En begränsning av överföringsskyldigheten till att endast omfatta svenska företag kan inte heller anses lämpligt. Rese- byråerna och researrangörerna agerar på en internationell och kom- mersiell marknad. För det fall skulle införa en lösning som endast eller till största del träffade svenska företag, skulle företag från andra länder få konkurrensfördelar. Vi kan inte förorda en lösning som innebär att svenska resebyråer och researrangörer drabbas hårdare än andra. Sammantaget är det vår uppfattning att övervägan- den angående införandet av ett system med direktöverföring av PNR-uppgifter från resebyråer och researrangörer till enheten för passagerarinformation måste föregås av ett mer grundligt analys- och kartläggningsarbete än vad som är möjligt att utföra inom ramarna för vårt uppdrag. Resebyråerna och researrangörerna kommer att bli en del av PNR- systemet, eftersom de överför PNR-uppgifter till luft- trafikföretagen för vidare befordran till enheterna för passagerar- information i och i andra medlemsstater och kommer att fortsätta göra det. Som angetts ovan är det inte möjligt att därut- över göra PNR-direktivets bestämmelser om överföring från luft- trafikföretagen till de nationella enheterna för passagerarinforma- tion direkt tillämpliga för resebyråerna och researrangörerna. Inte heller är det enligt direktivet möjligt att ålägga lufttrafikföretagen att hämta in fler uppgifter från dessa aktörer. Enligt vår mening kan det knappast ses som ett tillåtet kringgående att – i stället för att ålägga lufttrafikföretagen en ökad insamling – ålägga resebyråer och researrangörer att föra över ytterligare PNR-uppgifter till lufttrafik- företagen; uppgifter som de sistnämnda inte behöver för sin kom- mersiella verksamhet. För att införa bestämmelser om överföring direkt från resebyråerna eller researrangörerna till den nationella en- heten för passagerarinformation skulle det därför vara nödvändigt att åstadkomma en egen nationell lösning. Som vi anfört ovan före- faller ett sådant nationellt system inte vara lämpligt att införa . Vi är medvetna om att det möjligen har gjorts andra tolkningar av direktivet i än de som vi har kommit fram till ovan. Det förändrar inte våra bedömningar i detta läge. Vi ser det dock som tro- ligt att en utvidgning av systemet med insamling av PNR-uppgifter till att omfatta ytterligare uppgifter från resebyråer och researrangörer kommer att ske genom en användning av det vi kallar modell 2. En sådan utvidgning kräver dock, som vi ser det, en justering av PNR- direktivet alternativt att en frivillig överenskommelse i frågan ingås mellan lufttrafikföretagen och resebranschen. Kommissionen ska utföra en översyn av PNR-direktivet. Vid denna översyn ska det beaktas huruvida det är nödvändigt att låta resebyråer och researrangörer omfattas av direk- tivets tillämpningsområde (artikel 19.3). Mot bakgrund av översynen ska kommissionen, om det är lämpligt, lägga fram ett lagstiftnings- förslag i syfte att ändra direktivet (artikel 19.4). Som har angetts finns det inte någon tidsangivelse för när medlemsstaternas överenskommelse ska vara genomförd i natio- Enligt vår mening finns det därför all anledning att avvakta den översyn som kommer att ske av kommissionen, innan överens- kommelsen genomförs i svensk rätt genom en utvidgad insamling av PNR-uppgifter från resebyråer och researrangörer utöver den över- föring av PNR-uppgifter som sker via lufttrafikföretagen. En skyldighet för resebyråer och researrangörer att överföra PNR-uppgifter till de nationella enheterna för passagerarinforma- tion bör, precis som frågan om överföring av dessa uppgifter från lufttrafikföretagen, behandlas på samma sätt inom samtliga med- lemsstater. Det är således angeläget att följa utvecklingen i denna fråga inom EU. Med hänsyn härtill och av de skäl som tidigare anförts, finns inte förutsättningar att föreslå en ytterligare utvidgning av PNR-systemet. Frågan bör dock bevakas och even- tuellt utredas vidare. 13Behandling av PNR-uppgifter vid enheten för passagerarinformation 13.1En databas för PNR-uppgifter Vårt förslag: En bestämmelse förs in i lagen som anger att de PNR-uppgifter som överförts från lufttrafikföretagen ska lagras i en databas vid enheten för passagerarinformation. De PNR-uppgifter som enligt direktivets artikel 8 ska överföras från lufttrafikföretagen (av dem själva eller deras personuppgiftsbiträden) ska samlas in av varje medlemsstats enhet för passagerarinformation. Av artikel 6.1 framgår inledningsvis att för det fall de överförda PNR-uppgifterna avser andra uppgifter än de som anges i direk- tivets bilaga I, ska enheten för passagerarinformation och slutgiltigt radera dessa vid mottagandet. Denna fråga kommer vi att återkomma till i avsnitt 18.3. De PNR-uppgifter som inte gallras bort redan i samband med mottagandet ska föras in i en databas vid enheten för passagerarinformation (artikel 12.1). Samtliga överförda PNR-uppgifter, som inte har raderats vid den inledande gallringen, kommer således att lagras i denna databas. Det bör av lagen framgå att det vid enheten för passagerarinforma- tion ska finnas en datoriserad uppgiftssamling där de PNR-uppgifter som har överförts från lufttrafikföretagen ska lagras. Med hänsyn till det stora antalet passagerare som reser till och från kommer uppgiftssamlingen att innehålla miljontals PNR-uppgifter. Uppgiftssamlingen kommer att bestå av ett urval av uppgifter som ska hanteras på ett strukturerat sätt. Uppgifterna ska behandlas för särskilda och begränsade ändamål och vara avgränsade från andra Behandling av PNR-uppgifter vid enheten för passagerarinformation Visserligen kommer uppgiftssamlingen att inne- hålla vissa fritextfält. Den kommer dock troligen inte att innehålla löpande texter eller elektroniska dokument av olika slag. Detta talar för att det snarare är fråga om ett register i begreppets traditionella bemärkelse än en databas. Dock är de tekniska lösningarna ännu inte uppbyggda och det är därför inte helt klart hur dessa närmare kom- mer att vara utformade. Vi har därför valt att i implementeringen hålla oss så nära direktivets ordalydelse som möjligt. I lagförslaget används därför ordet databas för att beskriva den datoriserade upp- giftssamlingen. 13.2Ändamål för behandling av PNR-uppgifter Vårt förslag: får endast be- handla PNR-uppgifter som har överförts från lufttrafikföretagen för uttryckliga ändamål som anges i lagen. De PNR-uppgifter som har överförts från lufttrafikföretagen i enlighet med direktivets bestämmelser får endast behandlas i syfte att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet. Denna utgångspunkt och grundförutsättning framgår av direktivets artikel 1.2 och har behandlats i avsnitt 9.5. I artikel 6.2 finns de närmare bestämmelserna om vad enheten för passagerarinformation får göra med de insamlade PNR-uppgifter- na. Här anges att enheten endast får behandla PNR-uppgifterna för följande tre ändamål: a)Göra en bedömning av passagerare före deras beräknade ankomst till eller avresa från den berörda medlemsstaten, för att identifiera personer som de behöriga myndigheterna och i förekommande fall Europol behöver utreda ytterligare, på grund av att dessa per- soner kan vara inblandade i terroristbrott eller grov brottslighet. b)I enskilda fall, besvara en vederbörligen motiverad förfrågan som bygger på tillräckliga skäl från de behöriga myndigheterna om att tillhandahålla och behandla PNR-uppgifter i specifika fall i Behandling av PNR-uppgifter vid enheten för passagerarinformation syfte att förebygga, förhindra, upptäcka, utreda och lagföra ter- roristbrott eller grov brottslighet och tillhandahålla de behöriga myndigheterna eller, när så är lämpligt, Europol resultaten av sådan behandling. c)Analysera PNR-uppgifter för att uppdatera och skapa nya kri- terier som ska användas vid de bedömningar som genomförs enligt artikel 6.3 b, i syfte att identifiera personer som kan vara delaktiga i terroristbrott eller grov brottslighet. Artikel 6.2 utgör en verksamhetsreglering som anger hur de insam- lade PNR-uppgifterna ska behandlas för att uppgifterna ska komma till användning vid bekämpande av terroristbrottslighet eller grov brottslighet. Bestämmelsen utgör dock även en dataskyddsbestäm- melse som anger för vilka ändamål de insamlade PNR-uppgifterna över huvud taget får behandlas. Genom ändamålen sätts ramen för vilken behandling som är tillåten och på så sätt kan användning och spridning av personuppgifter begränsas. Av andra bestämmelser i direktivet framgår emellertid att artikel 6.2 inte är helt exklusiv. Av artikel 9 och 11 framgår nämligen att PNR-uppgifter får behandlas även för att lämnas ut till andra medlemsstater och tredjeländer. Ändamålsbestämning är central i dataskyddsreglering. I 2 kap. 3 § BDL anges att personuppgifter bara får behandlas för särskilda, uttryckligt angivna och berättigade ändamål. I 2 kap. 4 § framgår under vilka förutsättningar personuppgifter får behandlas för ett nytt ändamål. Normalt är det den personuppgiftsansvarige själv som be- stämmer ändamålen med en behandling. I registerförfattningar kan det emellertid finnas bestämmelser om ändamålsbestämmelser som kan vara mer eller mindre preciserade. I polisdatalagen finns sådana allmänt formulerade ändamålsbestämmelser för del främst i 2 kap. 7–9 §§. Genom PNR-direktivet sjösätts ett nytt system för inhämtande, användande och utbyte inom EU av uppgifter om flygpassagerare och deras resande. Det är nödvändigt, menar vi, för ett korrekt genomförande av direktivet att i lag reglera för vilka ändamål PNR- uppgifter som mottagits från lufttrafikföretagen får användas. Enligt vår mening bör artikel 6 genomföras genom en paragraf som på ett Behandling av PNR-uppgifter vid enheten för passagerarinformation enklare sätt beskriver enhetens olika uppgifter och som dessutom inkluderar behandling för sådana ändamål som anges i artiklarna 9 och 11, dvs. behandling för översändande till andra medlemsstater och till tredjeländer. Bestämmelsen om ändamål kommer att ersätta de ändamålsbe- stämmelser som anges i 2 kap. 7 och 8 §§ PDL. Den exkluderar även en tillämpning av bestämmelsen om nya ändamål i 2 kap. 4 § BDL. Uppräkningen i bestämmelsen är uttömmande och innebär att en- dast sådan personuppgiftsbehandling som inryms i något av de i para- grafen angivna ändamålen får äga rum. Dock är behandling alltid tillåten för att uppfylla de syften som anges i 2 kap. TF. Vidare får PNR-uppgifterna alltid behandlas för att besvara en förfrågan från en enskild om huruvida dennes personuppgifter behandlas vid en- heten eller för att ge tillsynsmyndigheten tillgång till behandlade upp- gifter. Hur de närmare ändamålen ska regleras i lagen diskuteras nedan. 13.2.1PNR-uppgifterna får behandlas för att utföra förhandsbedömningar Våra förslag: Från lufttrafikföretag insamlade PNR-uppgifter får behandlas för att göra en bedömning av passagerare före deras beräknade ankomst till eller avresa från , för att välja ut personer som behöver utredas ytterligare av behöriga myndigheter eller Europol, på grund av att dessa personer kan vara inblandade i terroristbrottslighet eller grov brottslighet. Denna behandling bör i lagen kallas för förhandsbedömning. Användning av PNR-information i realtid PNR-uppgifter kan användas för att göra en bedömning av passage- rare redan innan de har anlänt till eller avrest från en medlemsstat. Syftet med en sådan användning är att övervaka eller gripa personer innan ett brott har begåtts. Uppgifterna kan även användas för att ingripa mot personer på grund av att ett brott har begåtts eller håller på att begås. PNR-uppgifterna kan således vara ett användbart verktyg för behöriga myndigheter i realtid. Behandling av PNR-uppgifter vid enheten för passagerarinformation Vidare kan kontroll av PNR-uppgifter före passagerarnas an- komst ge de behöriga myndigheterna möjlighet att göra en mer ingå- ende bedömning av personer som, baserat på objektiva bedömnings- kriterier och tidigare erfarenheter, kan utgöra ett säkerhetshot. Detta underlättar resandet för andra passagerare och minskar risken för att människor olovligen kontrolleras på grundval av kriterier som nationalitet eller hudfärg.1 PNR-uppgifterna ger således de behöriga myndigheterna möjlig- het att identifiera, dvs. välja ut, personer som kanske inte tidigare varit misstänkta för inblandning i grov brottslighet eller terrorism, men som enligt en analys av uppgifterna kan vara involverade i sådan brottslighet och därför bör bli föremål för ytterligare utredning. Identifieringen av sådana personer ger de behöriga myndigheterna möjlighet att förebygga och avslöja grov brottslighet, inklusive terrorhandlingar. Genom artikel 6.2 a ges enheten för passagerarinformation en möjlighet att använda de insamlade PNR-uppgifterna för att göra en bedömning av passagerare före deras beräknade ankomst till eller avresa från den berörda medlemsstaten. Våra överväganden och förslag Bestämmelsen i artikel 6.2 a bör föras in i lagen i stort sett i enlig- het med sin ordalydelse. Således bör det av bestämmelsen framgå att PNR-uppgifterna får behandlas i syfte att identifiera sådana per- soner som behöver utredas ytterligare. Med att en person har identi- fierats torde i vanligt språkbruk menas att man har erhållit säkra identitetsuppgifter, såsom namn, födelsedata osv. För att en sådan identifikation ska kunna ske krävs att det är möjligt att erhålla säkra identitetsuppgifter om den resande. PNR-uppgifterna består dock av sådana uppgifter som har lämnats av passagerarna själva i samband med beställning och bokning av flygresor och anses inte innehålla verifierade identitetsuppgifter. Det vid bokningen upp- givna namnet behöver nämligen inte korrespondera med det namn som anges i en persons pass, eftersom en sådan korrelation inte alltid är nödvändig för att genomföra en resebokning. 1 KOM (2011) 32 slutlig av , s. 6. Behandling av PNR-uppgifter vid enheten för passagerarinformation uppgifter kan endast erhållas för det fall enheten för passagerar- information också får tillgång till API-uppgifter, som främst inne- håller uppgifter hämtade från den resandes pass. API-uppgifter samlas dock inte in inför resor inom EU. Säkra identitetsuppgifter kan således inte erhållas avseende de personer som endast företar resor inom unionen. Med hänsyn härtill bör med ordet identifiering i sam- manhanget förstås att en resenär har valts ut såsom intressant för vidare kontroller. För att undvika missförstånd föreslår vi att orden ”välja ut” användas i lagen i stället för direktivets uttryck. Syftet med behandlingen är att PNR-informationen ska utredas vidare av nationella behöriga myndigheter eller av Europol. Behand- lingen ska således inte ske för att finna personer som bör behandlas vidare vid andra medlemsstaters enheter för passagerarinformation. För det fall enheten skulle finna att den framtagna informationen kan vara av intresse även för en annan medlemstat ska dock infor- mationen sändas även till den medlemsstatens enhet för passagerar- information. Se vidare i avsnitt 15.3.2. Bestämmelsen som genomför artikel 6.2 a kommer att behandlas återkommande i betänkandet och i lagförslaget. Av denna anled- ning och för att förenkla lagtexten föreslår vi att den bedömning som ska göras enligt bestämmelsen benämns som förhandsbedöm- ning. Benämningen bör föras in i lagtexten. Vårt förslag: Vid förhandsbedömningar får PNR-uppgifter 1.jämföras med register eller andra uppgiftssamlingar som är relevanta för ett eller flera av syftena att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller grov brottslighet, eller 2.behandlas enligt på förhand utformade och fastställda krite- rier som är riktade, proportionella och avgränsade och som inte grundas på känsliga personuppgifter. Som tidigare framgått kommer enheten för passagerarinformation att få del av PNR-uppgifter från miljontals flygresor. För att enheten utifrån dessa uppgifter ska kunna välja ut de personer som kan vara Behandling av PNR-uppgifter vid enheten för passagerarinformation intressanta för vidare utredning bör den ha tillgång till vissa hjälp- medel. Således anges i artikel 6.3 att enheten vid förhandsbedöm- ningarna får jämföra PNR-uppgifter dels med uppgifter i relevanta databaser, dels med på förhand fastställda kriterier. Jämförelser med relevanta databaser Direktivet anger inte vilka databaser eller register som får användas vid förhandsbedömningarna. I artikel 6.3 a anges i stället att data- baserna ska vara relevanta för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet och att det inkluderar databaser över personer eller föremål som är eftersökta eller finns uppförda på en spärrlista. Vidare anges att jämförelserna ska göras i enlighet med unionsbestämmelser eller internationella eller nationella bestämmelser som är tillämpliga på sådana databaser. Direktivet innehåller således en generell begränsning av vilka typer av uppgiftssamlingar PNR-uppgifterna kan jämföras med. Medlems- staterna får dock själva bestämma vilka uppgiftssamlingar som ska användas. Artikeln är inte heller tvingande utan ger endast med- lemsstaterna en möjlighet att söka mot relevanta databaser. Artikel 6.3 a är av sådan vikt för PNR-uppgifternas användning att den bör genomföras i lagen. Av bestämmelsen bör framgå att PNR- uppgifter vid förhandsbedömningar – utöver jämförelser med tidigare uppgifter i PNR-databasen – får jämföras med sådana register eller andra uppgiftssamlingar som är relevanta för direktivets syften, dvs. för att förebygga, förhindra, upptäcka, utreda eller lagföra terrorist- brottslighet eller grov brottslighet.