sou · H5B357 · 2017-06-22 00:00:00 — I 1 § anges att med hjälp av automatiserad behandling ska föra ett register över sådana passagerare som avses i 9 kap. 3 a § utlänningslagen. är personuppgiftsansvarig för behandlingen av personuppgifter i registret. Av 2 § framgår att personuppgiftslagen är tillämplig om inget annat följer av lagen eller föreskrifter som har meddelats med stöd av den. Det framgår också att en registrerad person inte har rätt att mot- sätta sig sådan behandling som är tillåten enligt lagen. I 3 § definieras vissa begrepp. I 4 § anges passagerarregistrets ändamål. Registret ska föras för att underlätta verkställandet av personkontroller vid gräns mot stater som inte tillhör Europeiska unionen och inte heller har träffat avtal om samarbete enligt med kon- ventionsstaterna. Registret får enligt 5 § endast innehålla de uppgifter som har in- kommit i enlighet med 9 kap. 3 a § utlänningslagen. Personuppgifter i passagerarregistret ska på begäran lämnas ut till Säkerhetspolisen och för sådan verksamhet som avses i 4 §. Personuppgifterna får dock inte lämnas ut på medium för auto- matiserad behandling. Säkerhetspolisen får dock ha direktåtkomst till personuppgifterna i registret. Regeringen får meddela föreskrif- ter om utlämnande till och direktåtkomst för fler myndigheter. (Se 6–8 §§.) I 9 § anges att en uppgift i passagerarregistret ska gallras efter överföringen till . Om uppgifter i registret behövs för att , Säkerhetspolisen eller ska kunna verkställa personkontroller enligt 4 §, får upp- gifterna i registret dock stå kvar till dess att myndighetens kontroller är slutförda. Vid behandling av personuppgifter enligt lagen eller enligt före- skrifter som har meddelats med stöd av lagen gäller bestämmelserna i personuppgiftslagen om rättelse och skadestånd (10 §). har i en framställan till regeringen hemställt om att medges direktåtkomst till passagerarregistret. 5Dagens reglering och användning av flygpassageraruppgifter Brottsbekämpning är ett samlingsbegrepp för alla åtgärder som syftar till att motverka brottslighet. I det brottsbekämpande arbetet inne- fattas självfallet att utreda begångna brott. Men även åtgärder för att förebygga, förhindra och upptäcka brottslig verksamhet innefattas i begreppet. I svensk lagstiftning brukar man skilja mellan sådan verk- samhet som innebär att förebygga, förhindra och upptäcka brottslig verksamhet samt utredning och beivrande av konkreta brott. Åtskill- nad görs alltså mellan sådan informations- och underrättelseinhämt- ning, ”spaning”, som sker innan det finns anledning att anta att ett brott som hör under allmänt åtal har begåtts och sådan utredning som sker sedan en förundersökning enligt 23 kap. 1 § RB har inletts. I polisens arbetsuppgifter ingår att förebygga och utreda all brottslighet. Även har till uppgift att bl.a. bekämpa brott. I den brottsbekämpande verksamheten har till uppgift att övervaka och kontrollera trafiken till och från utlandet, så att bestämmelserna om in- och utförsel av varor efterlevs. Det är som ansvarar för personkontrollen vid våra yttre gränser, medan svarar för varukontrollen. Även om tullens verksamhet är inriktad på varor får den brottsbekäm- pande verksamheten indirekt en viss anknytning till personer, efter- som det är personer som för varorna med sig över gränserna och kan dömas för smugglingsbrott. och är skyldiga att bistå vid kontrollen av utlänningars inresa och utresa. Mellan och har träf- fats en överenskommelse om samverkan vad gäller person- och tull- Dagens reglering och användning av flygpassageraruppgifter … kontroll vid yttre gräns. ansvarar emellertid för när- varande inte för personkontroll vid någon flygplats. inträdde i EU . Inträdet innebar bl.a. att gränsformaliteter mellan och de övriga EU-staterna i prin- cip inte längre skulle förekomma. Borttagandet av dessa formaliteter innebar emellertid att tullens kontroll över varuflödet till minskade och att det således fanns en ökad risk för olaglig införsel av bl.a. narkotika, vapen och dopningsmedel. Som kompensatorisk åtgärd för detta införde en möjlighet för tullen att i den brottsbekämpande verksamheten inhämta uppgifter från transportörer i fråga om bl.a. passagerare för att uppnå bättre träff- säkerhet i kontrollerna med mindre störning i den legala trafiken över gränserna. Motsvarande bestämmelser infördes för polisens del . I förarbetena till införandet av bestämmelserna för del angavs att uppgiftsskyldigheten innebär att tullen får en möjlighet att förhandsgranska de kommersiella datoriserade bokningssystemen för internationell trafik för att kunna göra en risk- bedömning avseende ankommande last och passagerare innan trans- portmedlet kommer (se prop. 1995/96:166 s. 78). Detsamma gäller för polisens del. Som angetts ovan har polisen rätt att få tillgång till uppgifter från transportföretag redan innan misstanke om ett visst konkret brott har uppstått. Detta regleras i 25 och 26 §§ polislagen (1984:387). På begäran av eller Säkerhetspolisen ska således ett transportföretag som befordrar varor, passagerare eller fordon till eller från skyndsamt lämna de aktuella upp- gifter om ankommande och avgående transporter som företaget har tillgång till. Uppgifter om passagerare ska avse namn, resrutt, bagage, medpassagerare samt sättet för betalning och bokning. Polisen får begära in uppgifterna endast om de kan antas ha betydelse för den brottsbekämpande verksamheten. Avsikten är dock inte att upp- gifterna ska begäras in för att bekämpa rena bagatellbrott. Detta framgår redan av proportionalitetsprincipen i 8 § polislagen (se prop. 1996/97:175 s. 68). Dagens reglering och användning av flygpassageraruppgifter … Uppgifterna kan lämnas på så sätt att de görs läsbara genom terminalåtkomst. Härmed avses detsamma som normalt be- nämns direktåtkomst. och Säkerhetspolisen får emellertid ta del av uppgifterna på detta sätt endast i den omfattning och som behövs för att kontrollera aktuella trans- porter. De får inte ändra eller på annat sätt bearbeta eller lagra upp- gifter som hålls tillgängliga på detta sätt. Uppgifter om enskilda som har lämnats på annat sätt än genom terminalåtkomst ska förstöras, om de visar sig sakna betydelse för utredning eller lag- föring av brott. Regleringen är inte avsedd att tillåta någon systematisk kartlägg- ning av resandeströmmar eller något generellt insamlande av upp- gifter. Det är inte heller avsett att uppgifter om resande ska registreras, lagras eller bearbetas på ett sådant sätt att nya personregister med uppgifter om resande skapas. Uppgifter som inhämtas genom upp- koppling till databaser via terminal (direktåtkomst) anses således fortfarande tillhöra och förvaras hos transportföretaget. (Jfr prop. 1995/96:166 s. 81 ff.) För det fall uppgifterna anses ha betydelse för utredning eller lagföring får informationen sparas i enskilda brottsutredningar med stöd av bestämmelserna i polisdatalagen. befogenhet att inhämta vissa passageraruppgifter från transportföretag om uppgifterna kan antas ha betydelse för dess brottsbekämpande verksamhet infördes . Bestämmelserna finns numera i 4 kap. 6–8 §§ tullagen (2016:253) samt i 15 och 16 §§ lagen (1996:701) om befogenhet vid gräns mot ett annat land inom Europeiska unionen (inregränslagen). Bestäm- melserna motsvarar de i 25–26 §§ polislagen. Kompletterande bestämmelser finns i 4 kap. 4–9 §§ tullförord- ningen (2016:287) och i 3–7 §§ förordningen (1996:702) om Tull- verkets befogenheter vid gräns mot ett annat land inom Europeiska unionen. Bl.a. anges att information om innehållet i de inhämtade bokningsuppgifterna får lämnas till andra tulltjänstemän, andra enheter inom , och Kustbevak- ningen om uppgiften behövs i brottsbekämpande verk- Dagens reglering och användning av flygpassageraruppgifter … samhet för att klarlägga om brott eller brottslig verksamhet har före- kommit, pågår eller planeras. Sådan information får också lämnas till en utländsk myndighet eller mellanfolklig organisation, om ut- lämnandet följer av en konvention som har tillträtt eller en överenskommelse som har ingått. Om transportföretag inte lämnar bokningsuppgifter på begäran har möjlighet att förelägga transportföretaget att vid vite lämna uppgifterna. Bestämmelser härom finns i 4 kap. 24 § och 7 kap. 5 § tullagen samt i 21 § inregränslagen. Användningen av passageraruppgifter inom regleras i övrigt av lagen (2005:787) om behandling av uppgifter i Tull- verkets brottsbekämpande verksamhet, främst 13 §. Den lagen ska dock ersättas av en ny lag om behandling av personuppgifter i Tull- verkets brottsbekämpande verksamhet, tullbrottsdatalagen. Den nya lagen träder i kraft (se prop. 2016/17:91). I förslaget till tullbrottsdatalag finns bestämmelser om personuppgifter från transportföretag intagna i 2 kap. 8 och 9 §§. Enligt 2 kap. 8 § TBL får personuppgifter som har lämnats till enligt de aktuella bestämmelserna i tullagen eller inre- gränslagen behandlas i den utsträckning det är tillåtet enligt dessa lagar och enbart i den utsträckning det behövs för planering av kon- trollverksamheten och urval av kontrollobjekt. Om det behövs i ett enskilt fall får, enligt andra stycket, personuppgifterna behandlas för något av lagens primära ändamål och göras gemensamt tillgängliga. I 2 kap. 9 § finns bestämmelser om i vilka fall identitetsbeteckningar såsom namn och personnummer får användas som sökbegrepp vid sökning i sådana personuppgifter som lämnats till enligt 8 § första stycket. Sådana sökbegrepp får användas bara om upp- gifterna avser en person som är eller har varit misstänkt för brott eller kan antas ha samband med brottslig verksamhet eller som över- vakas på grund av misstanke om att personen kan komma att utöva brottslig verksamhet. För personuppgifter som har gjorts allmänt tillgängliga gäller lagens bestämmelser om sökning bland sådana upp- gifter. Dagens reglering och användning av flygpassageraruppgifter … 5.3Dagens användning av PNR-uppgifter arbetar i en mycket begränsad omfattning med PNR- och API-uppgifter för att förhindra grov brottslighet i form av narkotikasmuggling, människosmuggling och penningtvätt. Främst används uppgifterna av gränspolisen i gränskontrollverksam- heten. Passageraruppgifterna används både för att hitta kända personer och för att leta efter mönster som kan indikera att en person är av intresse, s.k. profilering. Endast ett flygbolag tillhandahåller terminalåtkomst till sitt bok- ningssystem. De API- och PNR-uppgifter som behandlas utgörs så- ledes främst av sådan information som finns tillgänglig på de passa- gerarlistor som flygbolagen manuellt tillhandahåller vid förfrågan. Vid sådana förfrågningar kan uppgifterna överlämnas i pappersform från flygbolagen över disk. Uppgifterna kan även levereras via fax eller e-post. Kvaliteten på informationen skiljer sig åt då flygbolagen har olika reservations- och incheckningssystem. Uppgifterna från flygbolagen innehåller ofta grundläggande uppgifter. Efterfrågas mer information måste flygbolagen kontaktas igen för komplettering. Även analysen av de uppgifter som inhämtas sker manuellt då saknar tekniskt stöd för hantering av uppgifter- na. Varje passagerare hanteras individuellt vilket är ett tidskrävande arbete. Arbetet ställer också höga krav på analytikern då antalet parametrar som ska granskas kan vara stort. Bristen på IT-stöd hindrar en kontinuerlig bevakning då antalet resenärer är för stort för att uppgifterna ska kunna hanteras manuellt. Analysarbetet blir också extremt krävande med långa handläggnings- tider och innebär att enbart ett fåtal av alla resenärer kan profileras. Säkerhetspolisen arbetar med insamling av API- och PNR- uppgifter i sitt arbete med kontraterrorism, kontraspionage, författ- ningsskydd och personskydd. PNR-uppgifter används främst för kartläggning. Dagens reglering och användning av flygpassageraruppgifter … Vid de tillfällen då PNR-uppgifter behövs tas en direktkontakt med det flygbolag som bedöms kunna ge efterfrågade uppgifter. Denna hantering innebär en osäkerhet i informationshantering, vilket kan medföra att frågor ställs till en större skara än nödvändigt. De uppgifter som levereras från flygbolagen skiljer sig åt och innehåller i flera fall inte tillräcklig information. Säkerhetspolisen saknar direktåtkomst till system som lagrar PNR-uppgifter eller API-uppgifter. Vissa passageraruppgifter kan komma myndigheten till handa via myndighetssamverkan. All till- gång till passageraruppgifter kräver dock fysisk närvaro av särskilda personer och fysisk tillgång till system på flygplatsen. Detta gör att Säkerhetspolisen inte kan räkna med att information går att få fram just när den behövs. Säkerhetspolisen saknar tekniskt stöd för hantering av såväl API- som PNR-uppgifter och all hantering sker manuellt. Vid behov kan Säkerhetspolisen använda ett eget analyssystem inköpt av en extern leverantör för att analysera de PNR- och API-uppgifter som samlas in manuellt. Underlaget är varierande beroende på vilket flygbolag som har levererat uppgifterna och det krävs ett stort manuellt arbete för att mata in informationen i analyssystemen. är den myndighet som i störst utsträckning använder API- och PNR-uppgifter . Uppgifterna används främst för att upptäcka brottslighet i form av smuggling av narkotika, dopnings- medel och cigaretter. kan även dela med sig av PNR- uppgifter till övriga brottsbekämpande myndigheter i vissa fall. delar uppgifter med andra länder, främst i . Enbart uppgifter om specifika brottsmisstänkta personer delas för att möjliggöra identifiering och matchning av liknande inkomman- de händelser. begär in eller hämtar själv in PNR-uppgifter från flyg- bolagen. Tullen har tillgång till vissa flygbolags bokningssystem och kan på så sätt få del av uppgifterna via direktåtkomst. Uppgifterna skickas även till från flygbolagen via e-post eller fax. Informationen inkommer i ett stort antal olika format. För att underlätta en snabb och effektiv sökning för planering och urval av Dagens reglering och användning av flygpassageraruppgifter … lämpliga kontrollobjekt får uppgifterna formateras om till ett an- vändarvänligt format och sammanställas elektroniskt. Sammanställ- ningen sker i ett avgränsat system. har således visst system- stöd till sin hjälp vid överföringen av uppgifterna. All inhämtning, profilering och analys av uppgifterna hanteras dock manuellt. använder PNR-uppgifter för att profilera sedan tidi- gare okända personer. En profilering börjar med att begär in eller själv hämtar bokningsuppgifterna som behövs för att genom- föra profileringen. När bokningsuppgifterna finns tillgängliga analy- seras uppgifterna. Efter analys skickas utfallet vidare till det s.k. tullfiltret som agerar på underlaget. har åtkomst till bokningsuppgifter från 32 flygbolag, antingen via direktåtkomst eller genom att flygbolagen skickar sina uppgifter till . Hur stor del av dessa upp- gifter som tullen faktiskt tar del varierar. sker inte någon profilering över huvud taget beroende på personalsituationen. Vissa bolag, vars bokningssystem tullen har direktåtkomst till, anses inte utgöra en risk ur ett tullperspektiv. Dessa bokningsuppgifter granskas därför sällan. Av samtliga ankommande resenärer till statliga och kommunala flygplatser kontrollerade . Alla grova narkotikabeslag på i passagerartrafi- ken var baserade på tillgång till PNR-uppgifter. Alla gripna kurirer var tidigare okända för svenska myndigheter. Samtliga beslag avsåg flygningar inom EU. Enligt artikel 8 i den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna (Europa- konventionen) har var och en rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. En offentlig myndighet får endast göra inskränkningar i dessa rättigheter med stöd av lag och om det är nödvändigt i ett demokratiskt samhälle för vissa i artikeln uppräknade ändamål, bl.a. med hänsyn till den allmänna säkerheten och till förebyggande av oordning och brott. Artikel 8 skyddar bl.a. mot felaktig behandling av personuppgifter. gäller som svensk lag. Det framgår av 2 kap. 19 § RF att lag eller annan föreskrift inte får meddelas i strid med åtaganden på grund av konventionen. Även i FN:s konvention om medborgerliga och politiska rättig- heter finns en bestämmelse till skydd för godtyckligt eller olagligt ingripande i någons privat- och familjeliv (artikel 17). antog en konvention till skydd för enskilda vid automatisk databehandling av personupp- gifter (dataskyddskonventionen). Konventionen trädde i kraft . har, liksom övriga EU-medlemsstater, an- slutit sig till konventionen. Ett arbete med att se över konventionen pågår. Dataskyddskonventionens syfte är att säkerställa respekten för grundläggande fri- och rättigheter, särskilt den enskildes rätt till per- sonlig integritet i samband med automatiserad behandling av person- uppgifter. Konventionens tillämpningsområde är enligt huvudregeln automatiserade personregister och automatisk databehandling av personuppgifter i allmän och enskild verksamhet. Konventionen innehåller principer för dataskydd som de konven- tionsanslutna staterna måste iaktta i sin nationella lagstiftning. Bl.a. ska personuppgifter som är föremål för automatiserad behandling samlas in och behandlas på ett korrekt sätt för särskilt angivna ända- mål. Vidare måste uppgifterna vara relevanta för ändamålen med be- handlingen och får inte senare användas på ett sätt som är ofören- ligt med dessa. Uppgifterna måste också vara riktiga och aktuella och de får inte bevaras än vad som är nödvändigt för ända- målen. Vissa kategorier av personuppgifter får enligt konventionen be- handlas endast om den nationella lagstiftningen ger ett ändamåls- enligt skydd. Till sådana personuppgifter hör uppgifter som avslöjar ras, politisk tillhörighet, religiös tro eller övertygelse i övrigt, sexual- liv och uppgifter om brott. Vidare föreskrivs att en registrerad bl.a. ska ha möjlighet till insyn i register och till att få uppgifter rättade. Under vissa förutsättningar får undantag göras från bestämmel- serna i konventionen om bl.a. uppgifternas beskaffenhet. Sådana in- skränkningar förutsätter stöd i den nationella lagstiftningen och att inskränkningen är nödvändig i ett demokratiskt samhälle för vissa angivna ändamål, t.ex. brottsbekämpning. Konventionen kompletteras med flera av ministerkommittén an- tagna rekommendationer om hur personuppgifter bör behandlas inom olika områden. En sådan rekommendation rör polisen. 6.2.1EU-stadgan om de grundläggande rättigheterna I artikel 7 i Europeiska unionens stadga om de grundläggande rättig- heterna slås fast att var och en har rätt till respekt för sitt privatliv och familjeliv, sin bostad och sin korrespondens. I artikel 8 före- skrivs att var och en har rätt till skydd av de personuppgifter som rör honom eller henne. Sådana uppgifter ska behandlas lagenligt för bestämda ändamål och på grundval av den berörda personens sam- tycke eller någon annan legitim och lagenlig grund. Var och en har rätt att få tillgång till insamlade uppgifter som rör honom eller henne och att få dem rättade. En oberoende myndighet ska kontrollera att reglerna efterlevs. I artikel 52 i stadgan anges i vilken utsträckning inskränkningar får göras i de rättigheter som erkänns i stadgan. Utgångspunkten är att sådana inskränkningar endast får göras i lag och ska vara fören- liga med det väsentliga innehållet i rättigheterna. Begränsningar får endast göras om de är nödvändiga och svarar mot ett allmänt sam- hällsintresse som erkänns av unionen eller behovet av skydd för andra människors rättigheter och friheter. Den allmänna regleringen av behandling av personuppgifter inom EU finns i och rådets direktiv /46/EG av om skydd för enskilda personer med avse- ende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). Direktivet syftar till att garantera en hög och i alla medlemsstater likvärdig skyddsnivå när det gäller enskilda personers fri- och rättigheter med avseende på be- handling av personuppgifter och att främja ett fritt flöde av per- sonuppgifter mellan medlemsstaterna i EU. Direktivet har genomförts i svensk rätt huvudsakligen genom personuppgiftslagen (1998:204) med tillhörande förordning (se av- snitt 6.3.2). Direktivet gäller inte för behandling av personuppgifter som faller utanför gemenskapsrätten, t.ex. allmän säkerhet, försvar, statens säkerhet och statens verksamhet på straffrättens område. Rådets rambeslut /977/RIF av om skydd av personuppgifter som behandlas inom ramen för polissamarbete och straffrättsligt samarbete (dataskyddsrambeslutet) reglerar data- skyddet inom angivna områden. Rambeslutet är föranlett av ett antal EU-instrument rörande utvidgat polisiärt och rättsligt samarbete avseende gränsöverskridande informationsutbyte. Det är tillämpligt på uppgifter som överförs eller görs tillgängliga mellan medlemsstater och EU-organ eller vissa utpekade informationssystem. rambeslutet gäller däremot inte för rent nationell personuppgifts- behandling. Från tillämpningsområdet undantas också personupp- giftsbehandling inom området nationell säkerhet. Dataskyddsrambeslutet uppfylls redan till stora delar av befint- lig lagstiftning. De återstående delarna har genomförts i svensk rätt genom lagen (2013:329) med vissa bestämmelser om skydd för per- sonuppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen (lag) med tillhörande förordning (se avsnitt 6.4.5). 6.3Huvuddragen i den svenska regleringen Grundläggande bestämmelser till skydd för den personliga integri- teten finns i regeringsformen. I 1 kap. 2 § första stycket slås det fast att den offentliga makten ska utövas med respekt bl.a. för den enskilda människans frihet och i fjärde stycket anges bl.a. att det allmänna ska värna den enskildes privatliv och familjeliv. Enligt 2 kap. 6 § andra stycket är var och en gentemot det allmänna skyddad mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Inskränkningar i det grundlagsfästa skyd- det kan endast göras genom lag och bara under de förutsättningar som anges i 2 kap. Andra stycket i 2 kap. 6 § infördes vid grundlags- reform. Bestämmelsen omfattar enbart betydande intrång i den enskildes privata sfär. I förarbetena anges att det är naturligt att det läggs stor vikt vid uppgifternas karaktär vid bedömningen av hur ingripande intrånget i den personliga integriteten kan anses vara i samband med insamling, lagring och bearbetning eller utlämnande av uppgifter om enskildas personliga förhållanden. Ju känsligare upp- gifterna är, desto mer ingripande måste det allmännas hantering av uppgifterna normalt anses vara. Även hantering av ett litet fåtal upp- gifter kan innebära ett betydande intrång i den personliga inte- griteten om uppgifterna är av mycket känslig karaktär. Vid bedöm- ningen av intrångets karaktär är det också naturligt att stor vikt läggs vid ändamålet med behandlingen. En hantering som syftar till att utreda brott kan enligt förarbetena normalt anses vara mer känslig än t.ex. en hantering som uteslutande sker för att ge en myndighet underlag för förbättringar av kvaliteten i handläggningen. Mängden uppgifter kan också vara en betydelsefull faktor i sammanhanget. (Se prop. 2009/10:80 s. Lagens syfte och tillämpningsområde Personuppgiftslagen, genom vilket det nu gällande dataskyddsdirek- tivet genomfördes i svensk rätt, syftar till att skydda människor mot att deras personliga integritet kränks genom behandling av person- uppgifter. Kompletterande bestämmelser till lagen finns i person- uppgiftsförordningen (1998:1191). Med personuppgifter avses all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Begreppet behandling av personuppgifter omfattar i stort sett allt man kan göra med sådana uppgifter, t.ex. att samla in, söka, bevara eller sprida upp- gifterna.