sou · H5B357 · 2017-06-22 00:00:00 — gifter i penningtvättsregister och att endast tjänstemän vid den nationella funktionen för internationella uppgifter vid Polismyndig- heten får ha tillgång till uppgifter i det internationella registret. Av bestämmelsen framgår vidare att det vid löpande ska föras en förteckning över de tjänstemän vid myndigheten som behandlar dessa uppgifter. I förarbetena till polisdatalagen framgår därtill att underrättelse- verksamhet bedrivs vid särskilda enheter med särskilt utbildade tjänstemän och att det är en naturlig del av underrättelsearbete att begränsa antalet tjänstemän som tar del av viss information (a. prop. s. 107). I propositionen En ny organisation för polisen (prop. 2013/14:110) anges att det får förutsättas att underrättelsearbetet kommer att bedrivas på samma sätt i den nya polisorganisationen. och Säkerhetspolisen ska se till att anställda som arbetar med underrättelseverksamhet inte ges tillgång till fler upp- gifter än de har behov av i sitt arbete (a. prop. s. 517). I de för nu gällande bestämmelserna om tillgång till passageraruppgifter finns bestämmelser som reglerar vilka anställda som ska ha behörighet att ta del av bokningsuppgifterna. Således anges i 4 kap. 6 § tullförordningen (2016:287) och i 5 § förordningen (1996:702) om befogenheter vid gräns mot ett annat land inom Europeiska unionen att chefen för , eller en chefstjänsteman som förordnats för uppgiften av chefen, beslutar om vilka anställda som ska ha behörighet att ta del av bokningsupp- gifter som lämnats av transportföretag, eller genom terminalåtkomst. Behörighet ska endast ges till den som har nödvändig utbildning och som behöver informationen för sina arbetsuppgifter inom Tull- verkets brottsbekämpande verksamhet. Inom en myndighet utan inre sekretessgränser ställer det allmänna dataskyddsrättsliga regelverket krav på att personuppgifter ska skyd- das genom att tillgången till uppgifterna avgränsas och begränsas så långt möjligt är för verksamheten. Som framgått ovan finns redan tydliga regler om detta för del i polisdatalagstift- ningen. Det är snarare regel än undantag att sådana bestämmelser tas in i registerförfattningar som sätter ramar för myndigheternas En enhet för passagerarinformation Denna dataskyddsreglering sker utifrån in- tresset att tillgodose enskilda registrerades intresse av att person- uppgifter om dem hanteras på ett sätt som ger dem ett tillbörligt skydd för deras personliga integritet. I stor utsträckning överlappande och likartade krav på att be- gränsa tillgång till myndigheternas information, särskilt känslig sådan, följer även av annan reglering som motiverats av helt andra intressen än det integritetsintresse som ligger bakom den dataskyddsrättsliga regleringen. Begränsningar av tillgången till en myndighets elektro- niska informationssamlingar behövs för att skydda t.ex. verksam- hetens effektivitet, samhällsfunktioner och liknande. Det säger sig självt att verksamhet är sådan att ett otal begräns- ningar i polisanställdas tillgång till information måste finnas för att skydda informationen från risken att spridas till nackdel för polis- verksamheten som sådan. Inom enheten för passagerarinformation kommer det att finnas personuppgifter om enskilda som inte bör kunna vara allmänt till- gängliga inom för att PNR-direktivets krav på till- fredsställande integritetsskydd ska uppnås (se t.ex. artikel 13.2). En korrekt tillämpning av polisdatalagens och polisdataförordningens bestämmelser skulle emellertid i och för sig kunna anses tillräckliga för att få till konsekvens att endast den som tjänstgör vid enheten för passagerarinformation ges tillgång till PNR-information som be- handlas vid enheten. Dock anser vi att frågan om begränsning av tillgången är så pass central för integritetsskyddet att den bör reg- leras särskilt. Ett tillägg i 4 a § PDF om att endast tjänstemän vid enheten får ha tillgång till PNR-information skulle därvid i och för sig kunna tänkas. I och med att PNR-direktivet genomförs genom en egen avgränsad lagstiftning är det emellertid lämpligare att bestäm- melser om begränsningar i tillgången tas in i den lag och förordning som vi föreslår. Vi menar också att en övergripande bestämmelse om att endast den som tjänstgör vid enheten får ha tillgång till PNR- information är av så stor vikt för integritetsskyddet att den bör tas in i lagen. Det är också av vikt, menar vi, att det inom enheten inte ska få lov att vara full åtkomst till PNR-informationen alldeles oavsett om det är motiverat för verksamhetens effektivitet och ändamålsenlig- het eller inte. Även detta bör framgå på lagnivå. Vi föreslår därför att det i lagen också anges att tillgången till PNR-informationen ska En enhet för passagerarinformation begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter vid enheten. Därmed framgår motsatsvis att onödigt bred åtkomst bland tjänstemännen på enheten inte får före- komma. Närmare bestämmelser om tillgången – inom denna ram – bör dock kunna meddelas i förordningen eller genom föreskrifter av . Dessa bestämmelser kommer att gälla i stället för polisdatalagstiftningens reglering. Vi kommer att i senare avsnitt föreslå en bestämmelse i förordningen om att tillgången till vissa slags uppgifter ska begränsas, se avsnitt 13.4. Därutöver får tillgången till uppgifterna vid enheten för passa- gerarinformation regleras internt med hjälp av bestämmelser om be- hörighetstilldelning. Med en sådan ordning kan de uppgifter som behandlas inom enheten på ett enkelt sätt avgränsas och omges av extra integritets- och säkerhetsskydd. Därmed kan tillgången till den information som finns tillgänglig inom enheten för passagerarinfor- mation begränsas till vad varje tjänsteman behöver för att utföra sina arbetsuppgifter. Behörighetsstyrning och principer som avgör tillgången till uppgifter kan utarbetas på förhand. Behörigheterna kan vidare anpassas till olika befattningshavares behov med hänsyn till tjänstenivå och arbetsuppgifter. Inom enheten kommer emellertid att behandlas inte bara PNR- information som vårt förslag tar sikte på. Enheten kommer exempel- vis att kunna göra slagningar i andra databaser som finns tillgäng- liga i den brottsbekämpande verksamheten. Tillgång och övriga förutsättningar för detta bör, menar vi, lämpligen bedömas och han- teras utifrån polisdatalagstiftningen eller annan tillämplig reglering för detta. Vi föreslår alltså ingen tillkommande dataskyddsrättslig reglering för detta. Vidare kommer enheten att motta framställningar med förfrågan från behöriga svenska myndigheter, andra länders enheter för pas- sagerarinformation eller Europol. Dessa förfrågningar ska vara moti- verade och det kan förmodas att de innehåller information som är känslig både för enskilda personer och för underrättelse- eller ut- redningsverksamheten vid den begärande myndigheten. Hur dessa ska skyddas från alltför stor tillgänglighet inom enheten eller från spridning ut till övrig verksamhet inom bör myn- digheten lämpligen själv tillse, på motsvarande sätt som sker beträffande annan information som av andra hänsyn än integritets- intresset inte kan få bli fritt tillgänglig bland myndighetens tiotusen- En enhet för passagerarinformation Vi föreslår därför ingen reglering av detta. Däremot kommer vi i nästföljande avsnitt att behandla några särskilda frågor som uppkommer med anledning av att personal från andra myndig- heter, dvs. andra behöriga myndigheter än , kom- mer att tjänstgöra vid enheten. Slutligen hänvisar vi till avsnitt 24 där vi allmänt kommer att be- handla frågor om det behövs nya eller förändrade sekretessbestäm- melser för att skydda PNR-informationen. En ytterligare fråga är om det behövs sekretessbrytande bestämmelser för att möjliggöra de uppgiftsströmmar som PNR-systemet innefattar. 10.5Personal anställd vid andra myndigheter Vår bedömning: Det behövs inga särskilda bestämmelser med anledning av att personal med grundanställning vid andra be- höriga myndigheter än kommer att tjänstgöra vid enheten för passagerarinformation. Som tidigare angetts kan enligt direktivet personalen vid enheten för passagerarinformation komma att utgöras av tjänstemän som har avdelats från behöriga myndigheter. Således kan personalen vid enheten komma att ha sin grundanställning inte bara vid Polismyn- digheten utan även vid exempelvis och Säkerhetspolisen. En sådan bemanning ger större möjligheter att ta tillvara den sam- lade kompetensen som finns inom de behöriga myndigheterna och underlättar för enheten att bedriva sin verksamhet på ett sätt som är till så stor nytta som möjligt för de behöriga myndigheternas be- kämpning av terroristbrottslighet och grov brottslighet. Såvitt vi förstått det parallella projektarbetet med att praktiskt och tekniskt organisera enheten för passagerarinformation är tanken att tjänste- männen i sitt arbete vid enheten för passagerarinformation ska rep- resentera enheten och inte sina respektive myndigheter. Det är en tanke som är i linje med vad vi angett tidigare om att enheten ska ingå i , dvs. inte vara ett samverkansorgan för flera myndigheter. En följd av detta är att tjänstemän vid enheten som har avdelats från t.ex. Säkerhetspolisen eller anses delta i arbetet vid enheten för passagerarinformation och därmed vid . En enhet för passagerarinformation De kommer därmed att i enlighet med 2 kap. 1 § OSL bli bundna av sekretess som gäller för arbete vid denna enhet. Det gäller även i förhållande till deras ”hemmamyndigheter”. När personal från eller Säkerhetspolisen arbetar inom enheten uppkommer alltså en sekretessgräns mellan dem och dessa myndigheter. Inom enheten kommer det, å andra sidan, inte att finnas sekretessgränser mellan anställda från , Säkerhets- polisen eller . En jämförelse kan i detta sammanhang göras med det arbete som sker vid Nationellt centrum för terrorhotbedömning (NCT), som är en permanent myndighetsgemensam arbetsgrupp med per- sonal från Säkerhetspolisen, () och Militära underrättelse- och säkerhetstjänsten vid Försvarsmakten (Must) och som setts över och analyserats från rättslig syn- vinkel, se Ds 2016:31. Vid NCT arbetar analytiker från de tre NCT- myndigheterna, i gemensamma lokaler hos . på NCT behåller personalen sin anställning hos den ordinarie myndigheten. Analytikerna vid NCT är, vid sin placering där, alltså fortfarande anställda vid respektive myndighet och företräder också den myndigheten i arbetet vid NCT. Den behandling av person- uppgifter som respektive analytiker utför inom ramen för NCT- samarbetet, utför denne som företrädare för den egna myndigheten. I samarbetet finns myndighetsspecifika mappar med information och handläggares personliga mappar, men det finns också en gemensam mapp. Utbytet inom samarbetet av personuppgifter sker med stöd av respektive myndighets registerförfattning. Den information som ligger till grund för NCT:s analyser och bedömningar hämtas in av tjänstemännen främst från deras respektive hemmamyndigheter. Informationen hämtas från bl.a. olika register och databaser. Analy- tikerna använder sina egna myndigheters IT-system och har inte tillgång till varandras system. Vid sin placering på NCT har analyti- kernas tillgång till information begränsats genom olika behörigheter och analytikerna kommer endast åt sådan information från hemma- myndigheterna som anses vara relevant för det uppdrag de har vid NCT. I den nämnda utredningen föreslås att det i respektive myndighets registerförfattning införs bestämmelser om att direkt- åtkomst får medges till de andra samarbetande myndigheterna med anknytande sekretessbrytande bestämmelser. Förslaget bereds i . En enhet för passagerarinformation Av redogörelsen för NCT framgår motsatsvis att förutsättning- arna kommer att vara helt andra vid enheten för passagerarinfor- mation i och med att avdelade tjänstemän från t.ex. kommer att delta i arbete när de tjänstgör vid enheten. Den information som hanteras inom enheten, inte bara personuppgifter, kommer vidare att ingå i infor- mationsmassa. Det innebär att en anställd från inte kommer att kunna göra slagningar i informationssamlingar med stöd av sin behörighet för tillgång enligt 2 kap. 11 § TBL med anknytande föreskrifter. I stället kommer det att få ske med stöd av den direkt- åtkomst för som kan medges enligt 3 kap. 8 § TBL. När tjänstemannen i fråga t.ex. gör en sökning i informationssam- lingar som hör till sker det följaktligen inte heller med stöd av direktåtkomst för (2 kap. 16–18 §§ PDL) utan på grund av den eventuella behörighet för tillgång som Polis- myndigheten kan ha gett i enlighet med de bestämmelser vi ovan redogjort för i 4 § PDF m.m. och de vi föreslagit i den nya lagen med anknytande föreskrifter. Som vi tidigare påpekat kommer det av allt att döma att före- komma information av olika slag som är mycket känslig, t.ex. om underrättelseoperationer eller som rör rikets säkerhet och liknande, som bara ett fåtal bör känna till och arbeta med. Av den anledningen, samt även ur effektivitetssynpunkt, torde det t.ex. vara lämpligt att bara den som avdelats från Säkerhetspolisen ges rätt att arbeta med att besvara Säkerhetspolisens framställningar om att få ut PNR-in- formation från enheten eller dito framställningar från enheter i andra medlemsstater som uppenbarligen syftar till att vidarebefordras till det landets behöriga säkerhetstjänst. Likaså kan det vara rimligt att den som avdelats från ges behörighet att för enhetens, dvs. räkning, använda den direktåtkomst till informationssamlingar som medgetts. Dessa slags frågeställningar med anknytning till att personal från olika myndigheter arbetar vid enheten bör dock inte regleras i den lagstiftning vi föreslår, utan lämnas bäst över till att i samråd med inblandade myndigheter reglera genom föreskrifter, arbetsordning för enheten eller liknande. Vi ser alltså framför oss att det finns behov av en tämligen strikt behörighetstilldelning av En enhet för passagerarinformation hänsyn till såväl dataskydd och integritet som helt andra skydds- hänsyn. Redan i detta sammanhang vill vi påpeka att det i vårt arbete inte funnits förutsättningar att klarlägga vilka informationssamlingar utöver PNR-uppgifterna som man kommer behöva använda sig av i arbetet vid enheten för passagerarinformation. Det sagda gäller re- gister och andra gemensamt tillgängliga uppgifter hos både Polis- myndigheten och hos andra myndigheter. Vi utgår därför från att enheten, när den startar det operativa arbetet, kommer att utnyttja system som den nuvarande registerförfattningsregleringen m.m. ger förutsättningar för genom ramar för ändamålbestämning, direktåt- komst m.m. 11Lufttrafikföretagens överföring av PNR-uppgifter PNR-direktivet ålägger lufttrafikföretag att överföra uppgifter om sina passagerare. Ett lufttrafikföretag definieras i direktivet som ett lufttrafikföretag med giltig operativ licens eller motsvarande som ger rätt att bedriva passagerarflygtrafik (artikel 3.1). Gemensamma bestämmelser för tillhandahållande av lufttrafik i gemenskapen finns i EU:s lufttrafikförordning1. Med lufttrafik avses enligt förordningen en flygning eller serie flygningar för befordran av passagerare, gods, och/eller post som utförs mot ersättning och/eller hyra. Ett företag definieras i förordningen som en fysisk eller juri- disk person, oavsett om verksamheten bedrivs i vinstsyfte eller inte. kan enligt förordningen även avses ett officiellt organ, oavsett om det har självständig status som juridisk person eller inte. 11.1.1Olika former av kommersiell luftfart för befordran av passagerare Den kommersiella luftfarten för transport av passagerare brukar delas in i reguljärflyg och charterflyg. Med reguljärflygning avses luftfart som regelbundet trafikerar vissa flyglinjer. Vid en reguljärflygning köper passagerarna en plats, flygstol, på ett flygplan i linjetrafik. Med charterflygning avses i stället oregelbunden luftfart. Charterflyg- ningarna går således endast under en viss säsong, beroende på res- 1 och rådets förordning (EG) nr 1008/2008 av om gemensamma regler för tillhandahållande av lufttrafik i gemenskapen, vanligen benämnd EU:s lufttrafikförordning. Lufttrafikföretagens överföring av PNR-uppgifter En charterflygning innebär dessutom vanligtvis att ett helt flygplan hyrs och används som en del av en paketresa, i vilken resa, boende och eventuellt mat m.m. säljs i ett paket. Ett flygplan kan dock chartras även för att utföra en enstaka flygresa. Traditionellt har researrangörer hyrt flygplan och besättning från ett flygbolag för att utföra en eller flera charterflygningar. äger ofta de stora researrangörerna även flygbolagen som utför charterflygningar. Skillnaden mellan charterflyg och reguljärflyg har också blivit mindre, då researrangörerna ofta säljer flygstolar i charterflygningarna. Skillnaden är dock att charterflyg- ningar inte ingår i systemet för flygbokningar direkt hos lufttrafik- företagen utan att biljetter säljs via arrangörer och resebyråer. Det finns även så kallad taxiflygning, som innebär att hela flyg- plan eller helikoptrar hyrs ut tillfälligtvis för transport av passagerare eller gods på uppdrag av företagsledningar, artister osv. Med taxi- flygning avses i detta sammanhang icke regelbunden luftfart med ett mindre luftfartyg, som är typgodkänt för befordran av högst tio passagerare. Vid taxiflygning med passagerare väljs destinations- orten av den som har beställt transporten. 11.1.2Tillstånd att bedriva passagerarflygtrafik För att få utföra lufttransporter mot betalning åt allmänheten krävs som huvudregel ett drifttillstånd (AOC – air operator certificate). Detta regleras i svensk rätt i 7 kap. 1 § luftfartslagen (2010:500). Grundkravet på drifttillstånd finns även reglerat i den s.k. Easa- förordningen2 samt i den tillhörande tillämpningsförordningen, van- ligen benämnd Easa-ops3. Drifttillståndet är ett flygsäkerhetsmässigt godkännande som intygar att tillståndsinnehavaren har de yrkes- mässiga kunskaper och den organisation som krävs för att på ett betryggande sätt sköta den verksamhet som anges i tillståndet. Ett drifttillstånd gäller för viss typ av luftfart och för vissa luftfartyg. 2Europaparlamentets och rådets förordning (EG) nr 216/2008 av om fastställande av gemensamma bestämmelser på det civila luftfartsområdet och inrättande av en europeisk byrå för luftfartssäkerhet, och om upphävande av rådets direktiv /670/EEG, förordning (EG) nr 1592/2002 och direktiv /36/EG. 3Kommissionens förordning (EU) nr 965/2012 av om tekniska krav och administrativa förfaranden i samband med flygdrift enligt och rådets förordning (EG) nr 216/2008. Lufttrafikföretagens överföring av PNR-uppgifter Kravet på drifttillstånd gäller även för utländska rättssubjekt vid luftfart inom svenskt område och för svenska rättssubjekt vid luft- fart utanför . Drifttillstånd utfärdas i av Transport- styrelsen och kan erhållas av staten, kommuner och landsting, privat- personer samt olika former av bolag, föreningar, stiftelser och sam- fund. I fråga om ett utländskt rättssubjekt som är hemmahörande i ett annat land som är medlem i Internationella civila luftfartsorga- nisationen () eller i ett land som träffat avtal med om rätt till luftfart inom svenskt område, godtas ett drifttillstånd eller en likvärdig handling som har utfärdats av det landet i enlighet med normer. Drifttillstånd krävs således för att få utföra lufttransporter mot betalning åt allmänheten oavsett om det handlar om reguljärflyg, charterflyg eller taxiflyg. Begreppet allmänheten ska tolkas vitt, vilket innebär att i stort sett alla som inte ingår i utövarens närmaste be- kantskapskrets innefattas. Vidare är det tillräckligt att det har avtalats om att någon form av betalning ska utgå för att en lufttransport ska vara tillståndspliktig. Det föreligger således inget krav på vinst eller vinstsyfte. Det finns inte heller något krav på att en verksamhet ska ha en viss omfattning för att den ska vara tillståndspliktig, utan en enda flygning kan medföra tillståndsplikt. (Se prop. 2009/10:95 s. Beträffande luftfart inom EU krävs det utöver drifttillstånd även en operativ licens enligt EU:s lufttrafikförordning. I förordningen anges vilka krav som ska uppfyllas av lufttrafikföretag som bedriver vissa slag av kommersiell flygtrafik inom gemenskapen. Bl.a. krävs att företaget har ett drifttillstånd. Det görs även en prövning av om företaget uppfyller vissa finansiella villkor och försäkringskrav. Ett företag som uppfyller förordningens krav har rätt att få en operativ licens, vilket är ett tillstånd för företaget att mot betalning utföra lufttransport av passagerare, post eller gods som anges i licensen. Inget företag som är etablerat i gemenskapen, dvs. har sitt säte i ett land inom EU, får mot ersättning eller hyra utföra lufttransporter av bl.a. passagerare om de inte har beviljats den nödvändiga opera- tiva licensen. Från kravet på innehav av giltig operativ licens undan- tas lufttrafik som utförs med icke-motordrivna luftfartyg och/eller ultralätta motordrivna luftfartyg samt lokala flygningar. Licensen har karaktären av ett näringspolitiskt tillstånd. En operativ licens ger inte i sig tillgång till särskilda flyglinjer eller marknader. Lufttrafikföretagens överföring av PNR-uppgifter En operativ licens enligt EU:s lufttrafikförordning utfärdas av nationella tillståndsmyndigheter för företag som är etablerade i gemenskapen. I är Transportstyrelsen tillståndsmyndighet. har totalt 31 operativa licenser utfärdats i för både svenska och utländska företag. Vissa av dessa är tämligen stora aktörer som flyger i internationell trafik från de stora flygplatserna, t.ex. , genom konsortiet SAS, eller . Andra innehavare av svenska operativa licenser är avsevärt mindre. är ett exempel på en mindre aktör och kommunalförbundet luftambulans ett annat. När det gäller flygföretag som är etablerade i EU och som enbart flyger på destinationer utanför EU framgår inte uttryckligen av för- ordningen om dessa behöver ha en operativ licens. Eftersom den operativa licensen inte ger tillträde till marknaden utan är ett grund- läggande villkor för verksamheten som flygbolag, synes dock alla medlemsstater acceptera att en operativ licens även är ett krav för att bedriva transporter mellan EU och tredjeland. (Se prop. 2009/10:95 s. Operativa licenser, eller motsvarande, utfärdas dock även av länder utanför EU. Frågan om tillträde till flyglinjer inom unionen, för såväl regel- bunden som icke regelbunden lufttrafik, regleras i kap. II i lufttrafik- förordningen. Enligt förordningen ska berörda medlemsstater tillåta lufttrafikföretag med giltig operativ licens utfärdad av en behörig tillståndsmyndighet inom unionen att utöva trafikrättigheter, där- ibland befordran av passagerare, på flyglinjer inom EU. Således krävs inte något särskilt trafiktillstånd för tillträde till flyglinjer inom unionen för de lufttrafikföretag som har en giltig operativ licens ut- färdad inom EU. När det gäller luftfart som inte omfattas av EU:s lufttrafikförordning, eftersom den avser inrikestrafik, trafik till tredje- länder eller utförs av sådana lufttrafikföretag som inte har en giltig operativ licens utfärdad i ett land inom EU, kan det dock utöver ett drifttillstånd även krävas ett trafiktillstånd enligt 7 kap. 10 § luft- fartslagen för att mot betalning få utföra lufttransporter åt allmän- heten. Ett trafiktillstånd är trafikpolitiskt motiverat och ger till- träde till linjer eller marknader. Trafiktillståndet kan ges till såväl svenska som utländska operatörer och kan avse såväl regelbunden som icke regelbunden trafik. Trafiktillstånd lämnas av regeringen eller Transportstyrelsen. I TSFS 2010:168 finns Transportstyrel- Lufttrafikföretagens överföring av PNR-uppgifter sens föreskrifter om bl.a. trafiktillstånd. När det gäller charter- och taxiflygning finns särskilda föreskrifter i TSFS 2011:104. 11.1.3Lufttrafikföretagens resor till och från