sou · H5B357 · 2017-06-22 00:00:00 — och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på be- handling av personuppgifter och om det fria flödet av sådana upp- gifter och om upphävande av direktiv /46/EG (dataskyddsför- ordningen) börjar tillämpas . Förordningen utgör en ny generell reglering för behandling av personuppgifter inom EU och kommer att ersätta dataskyddsdirek- tivet . Förordningen, som är direkt tillämplig, kommer att utgöra ett ramregelverk för skyddet av personuppgifter inom EU. Den kommer därigenom att gälla t.ex. för lufttrafikföretags behand- ling av PNR-uppgifter. När förordningen träder i kraft måste person- uppgiftslagen upphävas, i vart fall i den omfattning som den annars skulle innehålla en dubbelreglering i förhållande till förordningen. Andra författningar som omfattas av den nya förordningens tillämp- ningsområde måste upphävas i de delar förordningen innehåller motsvarande föreskrifter och i övrigt anpassas till den. Förordningen reglerar bl.a. grundläggande principer för behand- ling av personuppgifter, den registrerades rättigheter, personupp- giftsansvar, tillsyn över personuppgiftsbehandling och rätten för en- skilda att få tillgång till rättsmedel och sanktioner mot ansvariga som inte lever upp till förordningens krav. Från förordningens tillämpningsområde undantas bl.a. person- uppgiftsbehandling som utförs av behöriga myndigheter i syfte att förebygga, utreda, upptäcka eller lagföra brott eller verkställa straff, inkluderande skydd mot samt förebyggande av hot mot den allmänna säkerheten. Personuppgiftsbehandling för dessa syften faller i stället under det nya dataskyddsdirektivets tillämpningsområde. har haft i uppdrag att föreslå de anpass- ningar och kompletterande författningsbestämmelser på generell nivå som dataskyddsförordningen ger anledning till. Utredningen har av- gett betänkandet Ny dataskyddslag. Kompletterande bestämmelser till EU:s dataskyddsförordning (SOU 2017:39). I betänkandet före- slås att kompletterande bestämmelser till dataskyddsförordningen av generell karaktär ska samlas i en ny lag, dataskyddslagen. och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på be- höriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrätts- liga påföljder, och om det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF (det nya dataskydds- direktivet) ska vara genomfört i nationell rätt . Direktivet ska dels skydda fysiska personers grundläggande fri- heter och rättigheter, särskilt deras rätt till skydd av personuppgifter, dels underlätta det informationsutbyte mellan behöriga myndigheter som är nödvändigt enligt unionsrätt eller nationell rätt. Direktivet ersätter dataskyddsrambeslutet. I förhållande till nuvarande svensk reglering innehåller det nya dataskyddsdirektivet en delvis ny eller mer detaljerad reglering om rättigheter för enskilda och om skyldigheter för personuppgifts- ansvariga eller biträden när det gäller bl.a. datasäkerhet, dokumen- tation och loggning, konsekvensanalyser och förhandssamråd med tillsynsmyndighet och regler om underrättelser vid s.k. personupp- giftsincidenter. Direktivet innehåller också regler som anpassats för rättsaktens tillämpningsområde om överföring av personuppgifter till tredjeland och internationella organisationer. Även när det gäller uppgifter och befogenheter för en tillsynsmyndighet innehåller direktivet särskilt anpassade bestämmelser. Enligt direktivet har enskilda vissa rättigheter, bl.a. att få vända sig till en tillsynsmyndighet med klagomål, att få tillgång till rätts- medel både mot tillsynsmyndighetens beslut och mot åtgärder av en personuppgiftsansvarig eller biträde samt att få ersättning av ansva- riga som inte lever upp till direktivets krav. Direktivet förpliktar även medlemsstater att föreskriva regler om påföljder eller sank- tioner vid överträdelser av bestämmelser som genomför direktivet. Utredningen om 2016 års dataskyddsdirektiv har haft i uppdrag att föreslå hur det nya dataskyddsdirektivet ska genomföras i svensk rätt. Utredningen har i delbetänkandet Brottsdatalagen (SOU 2017:29) föreslagit att direktivet i huvudsak genomförs genom en ny ramlag, brottsdatalagen. Syftet med den föreslagna lagen är både att skydda fysiska personers grundläggande fri- och rättigheter och att säker- ställa att behöriga myndigheter kan behandla och utbyta personupp- gifter med varandra på ett ändamålsenligt sätt. Enligt förslaget ska lagen – i likhet med personuppgiftslagen – vara generellt tillämplig inom det område som direktivet reglerar. Lagen ska även vara sub- sidiär. Den föreslagna lagen ska tillämpas av myndigheter som har till uppgift att förebygga, förhindra eller upptäcka brottslig verksam- het, utreda eller lagföra brott eller verkställa straffrättsliga påföljder vid behandling av personuppgifter. Lagen ska också gälla för person- uppgiftsbehandling vid upprätthållande av allmän ordning och säker- het. De som har sådana arbetsuppgifter betecknas behöriga myn- digheter. Lagen ska även tillämpas av andra aktörer som har fått i uppgift att utöva myndighet för något av de nämnda syftena. De behöriga myndigheternas behandling av personuppgifter kommer dock bara att styras av lagen när de behandlar personuppgifter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätt- hålla allmän ordning och säkerhet. Dataskyddsförordningen kom- mer att bli tillämplig i övrigt, t.ex. när behandlar personuppgifter i tillståndsärenden eller när en allmän domstol hand- lägger ett tvistemål. Det som blir avgörande för om lagen är tillämp- lig är dels om det är en behörig myndighet som behandlar person- uppgifterna, dels syftet med behandlingen. De närmare bestämmelserna i förslaget till brottsdatalag kommer, i den mån de är av intresse för vår utredning, att behandlas i kom- mande avsnitt. De myndigheter som bedriver verksamhet inom den föreslagna lagens tillämpningsområde har i allmänhet särskilda registerförfatt- ningar som reglerar personuppgiftsbehandlingen. Utredningen om 2016 års dataskyddsdirektiv kommer att i slutbetänkandet, som ska redovisas , föreslå de anpassningar som krävs i berörda registerförfattningar. 6.5.4Viss personuppgiftsbehandling faller utanför båda instrumenten Viss behandling av personuppgifter undantas från både dataskydds- förordningens och dataskyddsdirektivets tillämpningsområden. Det gäller bl.a. personuppgiftsbehandling i verksamhet som inte om- fattas av unionsrätten, däribland området nationell säkerhet. Säkerhetspolisens huvuduppgifter hör att förebygga, förhindra och upptäcka brottslig verksamhet som innefattar brott mot rikets säker- het och terrorbrott och att utreda och beivra sådana brott. Säker- hetspolisen ansvarar vidare för personskyddet av den centrala stats- ledningen. nämnda uppgifter hör till nationell säkerhet. Utredningen om 2016 års dataskyddsdirektiv har föreslagit att brottsdatalagen inte ska vara tillämplig för Säkerhetspolisens behand- ling av personuppgifter som rör nationell säkerhet. Inte heller ska lagen vara tillämplig när övertagit en uppgift som rör nationell säkerhet från Säkerhetspolisen. Förslaget innebär dock inte att Säkerhetspolisens personuppgiftsbehandling kommer att läm- nas oreglerad inom området nationell säkerhet. På samma sätt som Säkerhetspolisen tillämpar polisdatalagen och vissa bestämmel- ser i personuppgiftslagen i verksamhet som rör nationell säkerhet bör, enligt utredningen, myndigheten tillämpa vissa be- stämmelser i brottsdatalagen. Vilka bestämmelser det bör vara och hur myndighetens behandling av personuppgifter i övrigt bör reg- leras kommer utredningen att behandla i slutbetänkandet. (Se SOU 2017:29 s. 175 ff.) Intresset för att använda sig av PNR-uppgifter i den brottsbekäm- pande verksamheten är stort över hela världen. Flera länder, t.ex. , och , har redan etablerade PNR-system. Även har ett fungerande system i bruk. Exempelvis och har också legat långt fram i arbetet med att driftsätta egna PNR-system. Som angetts i avsnitt 3.2 ingick EU avtal som reglerar överföringen av PNR-uppgifter från flygbolag till , och . Avtalen har därefter omförhandlats. De nya avtalen med och har godkänts av Europaparlamen- tet och har trätt i kraft. Vad gäller det planerade avtalet med har ännu inte tagit ställning. Parlamentet har begärt ett yttrande från bl.a. i frågan om avtalet är förenligt med och EU-stadgan vad gäller fysiska per- soners rätt till skydd av personuppgifter. Generaladvokaten har läm- nat ett förslag till yttrande där det anges att vissa förtydliganden måste göras i avtalet och/eller vissa av bestämmelserna utgå för att avtalet ska vara förenligt med stadgan och inte gå utöver vad som är strängt nödvändigt för att uppnå målsättningen att skydda den all- männa säkerheten. Något yttrande från har dock ännu inte kommit. antog ett beslut som godkänner att förhandlingar inleds om ett avtal med . Fem länder, , , , och , har ett underrättelsesamarbete kallat ”The Five Eyes” som även behandlar PNR- och API-frågor. Inom ramen för samarbetet ut- byter länderna erfarenheter kring användningen av PNR- och API- uppgifter samt även operativ information. Som framgått i avsnitt 4.2.1 rekommenderas i annex 9 till Chicago- konventionen att de fördragsslutande staterna använder sig av stan- dardformatet PNRGOV för överföringen av PNR-uppgifter. I an- nexet anges även att de fördragsslutande stater som kräver tillgång till PNR-uppgifter bör anpassa sin behandling av uppgifterna och sina tekniska krav till vissa angivna riktlinjer, bl.a. instruktioner för implementering av standardformatet PNRGOV. PNRGOV har utarbetats gemensamt av stater, lufttrafikföretag och tjänsteleverantörer. Formatet uppdateras ständigt och instruk- tionerna för dess implementering finns i version 16.1. Arbetet relaterat till PNRGOV utförs av en arbetsgrupp bestående av företrädare för såväl industrin som olika stater och leds av . Arbetsgruppen, med namnet , håller år- ligen två möten där standardformatet diskuteras och förslag till för- ändringar tas fram. Vid mötena deltar , , WCO samt före- trädare för olika länder, flygbolag och systemleverantörer. Samtliga berörda medlemsstater arbetar nu med att genomföra PNR-direktivet i nationell rätt och i den operativa verksamheten. Beroende på befintliga system och den nuvarande användningen av PNR-uppgifter i brottsbekämpningen har medlemsstaterna kommit olika långt i detta arbete. Enligt artikel 4 i PNR-direktivet ska varje medlemsstat inrätta eller utse en myndighet eller del av en myndighet som ska fungera som medlemsstatens enhet för passagerarinformation. Den engelska benämningen för enheten är Passenger Information Unit (PIU). En- heten ska ansvara för att samla in PNR-uppgifter från lufttrafikföre- tagen, lagra och behandla dessa uppgifter och överföra uppgifterna eller resultatet av behandlingen av dem till behöriga myndigheter. Enheten ska även ansvara för att utbyta uppgifterna med främst andra medlemsstaters motsvarande enheter och med Europol. PNR-direktivet har förhandlats har kommissionen skapat en möjlighet för medlemsstaterna att ansöka om bidrag för att etablera nationella enheter för passagerarinformation och för att bygga upp nödvändiga rutiner och datastöd. 14 medlemsstater, där- ibland , har ansökt och erhållit bidrag från den s.k. ISEC- fonden1. Sedan PNR-direktivet antogs har kommissionen erbjudit juridisk assistans, expertis och ekonomisk support för att tillse att fungerande enheter för passagerarinformation byggs upp inom med- lemsstaterna och kommer att vara på plats när direktivet ska vara genomfört . Ytterligare ekonomiskt stöd finns att ansöka om för perioden –2020. Kommissionen har även anordnat möten där frågor kring implementeringen har diskuterats tillsammans med medlemsstaterna. har fyra sådana möten hållits under kom- missionens ledning. Enligt artikel 8.3 i PNR-direktivet ska all överföring av PNR- uppgifter från lufttrafikföretag till enheter för passagerarinformation ske på elektronisk väg med användning av gemensamma protokoll och understödda dataformat. Gemensamma protokoll ska användas så att PNR-uppgifternas säkerhet under överföringen tryggas. Under- stödda dataformat ska säkerställa att de överförda uppgifterna kan läsas av alla berörda parter. Kommissionen har enligt direktivet getts befogenhet att anta en förteckning över de gemensamma protokoll och understödda dataformat som ska användas (artikel 16.2). Kom- missionen har i detta arbete biträtts av en kommitté bestående av företrädare för medlemsstaterna. Arbetet är nu slutfört och ett genomförandebeslut har trätt i kraft.2 Inom EU finns även en operativ arbetsgrupp som har till uppgift att säkerställa ett harmoniserat genomförande av PNR-direktivet i medlemsstaterna. Arbetsgruppen utgör ett forum för de framtida enheterna för passagerarinformation och lämnar stöd under arbetet med att implementera direktivet. Gruppen har till syfte att främja största möjliga samarbete och utbyte av information mellan olika enheter för passagerarinformation. Arbetsgruppen är också tänkt att utgöra en grund för ett framtida nätverk mellan enheterna för passagerarinformation. Alla medlemsstater ansvariga för PNR-projekt deltar i arbetsgruppens arbete, som leds av ordförandeskapet. Inom kommissonens Generaldirektorat för skatter och tullar (Taxud) pågår ett arbete som syftar till att så många tullmyndig- 1Program “Prevention of and Fight against Crime” (ISEC). 2Kommissionens genomförandebeslut (EU) 2017/759 av om gemensamma protokoll och dataformat som ska användas av lufttrafikföretag när PNR-uppgifter överförs till enheterna för passagerarinformation. heter som möjligt ska bli delaktiga i medlemsstaternas enheter för passagerarinformation. 7.2.1Arbete med att upprätta en nationell enhet för passageraruppgifter har till uppgift att förebygga, upptäcka och ut- reda de flesta av de brott som omfattas av PNR-direktivet. Enligt våra utredningsdirektiv är en utgångspunkt för utredningens upp- drag att den svenska enheten för passagerarinformation ska placeras vid . har tillsammans med , som fram- gått ovan, ansökt och erhållit bidrag från en EU-fond. Fondmedlen har avsett att förbereda och sätta upp en it-plattform som kan hämta in PNR-uppgifter från flygbolag och som kan användas för att bearbeta de inhämtade uppgifterna. I ansökan angavs även att en enhet för passagerarinformation skulle etableras. Projektet har till- delats från fonden. har därefter fått vissa, begränsade, medel och kommer att ansöka om ytterligare medel . , och Säkerhetspolisen har genom- fört en förstudie gällande införandet av en systematiserad hantering av såväl PNR- som API-uppgifter. Projektet startade och redovisades i en rapport daterad . En- ligt rapporten syftar den till att skapa en gemensam bild för såväl , och som för berörda departement kring den verksamhet som ska ansvara för hanteringen av PNR- och API-uppgifter. Rapporten syftar också till att tydlig- göra verksamhetsnyttan för den brottsbekämpande och brottsföre- byggande verksamheten och utgöra ett beslutsunderlag för att starta utvecklingsprojekt för både verksamheten och dess it-stöd. I förstudierapporten lämnas vissa förslag på hur den nationella enheten för passagerarinformation bör organiseras. Enheten föreslås vara bemannad dygnet runt och bestå av personal som har sin grund- anställning inom , Säkerhetspolisen eller . Tillgång till passageraruppgifterna ska ske via ett it-stöd som upp- fyller ställda säkerhetskrav. Förstudien innehåller även bl.a. uppgifter om de olika roller och kompetenser som kommer att krävas vid en- heten, uppgifter om processer och arbetssätt samt ett tekniskt lös- ningsförslag. Det bedrivs ett projekt vid som har till uppgift att etablera en nationell enhet för passagerarinforma- tion med relevant it-stöd. Projektet omfattar såväl sådana uppgifter om passagerare som omfattas av PNR-direktivet, som sådana som omfattas av det tidigare genomförda API-direktivet. En utgångspunkt för projektet är att enheten för passagerarinformation ska behandla såväl sådana uppgifter som hämtas in enligt de nationella bestäm- melser som genomför PNR-direktivet som de som genomför API- direktivet. I det senare fallet är planeringen dock att enheten för passagerarinformation endast ska utgöra en stödfunktion, eftersom berörda myndigheter kommer att ha direktåtkomst till uppgifterna i det registret. När det gäller PNR-uppgifter kommer enheten att ansvara för behandlingen av uppgifterna och direktåtkomst till upp- gifterna i PNR-databasen kommer inte att vara tillåten. Vid fortsatta arbete med att inrätta en enhet för passagerarinformation har de i förstudien angivna organisations- förslagen vidhållits. 7.2.2Arbetet med direktivets tekniska bestämmelser Inom pågår således ett arbete med att införa ett automatiserat och strukturerat system för hantering av PNR-upp- gifter. Utgångspunkten är att systemet ska ge de behöriga myndig- heterna ett effektivt och användarvänligt verktyg för behandlingen av uppgifterna. Tanken är också att enheten för passagerarinforma- tion ska ge likvärdig service till de behöriga myndigheterna. Inter- nationella riktlinjer angående överföring av PNR-uppgifter följs under arbetet. Analyssystemet för PNR-uppgifter kommer att göra automatiska sökningar mot olika databaser. Exempel på sådana databaser är Sis (Schengens informationssystem) och STLD (Stolen and lost documents). En utgångspunkt är att de sökningar som görs vid en normal gränskontroll ska kunna utföras, dock med de begränsningar som följer av PNR-direktivet och datakvalitet. kommer systemet att ge möjlighet att jämföra PNR-uppgifter med på förhand fastställda kriterier, s.k. profilering. De behöriga myndigheterna kommer att få möjlighet att via sär- skilda sökmallar i ett gemensamt it-system göra förfrågningar hos enheten för passagerarinformation. Stort arbete kommer att läggas på att göra dessa beställningar så lätthanterliga som möjligt. Vidare kommer systemet att utformas så att det inte tillåter vissa beställ- ningar som är oförenliga med PNR-direktivet. Beställningarna kom- mer att skickas via systemets ärendehantering till en analytiker vid enheten för passagerarinformation, som kontrollerar beställningen och godkänner att den körs i systemet. Systemet genomför därefter en sökning mot den information som finns lagrad. Vid en träff in- formerar systemet analytikern som analyserar informationen mer i detalj och överför resultatet till behörig myndighet. Med tanke på de risker som är förknippade med behandlingen och arten av PNR-uppgifterna är det viktigt att systemet håller en hög säkerhetsnivå. Samråd planeras därför ske med Datainspek- tionen och under arbetet med att utforma it-stödet. Såvitt vi erfarit har sådant samråd ännu inte skett. 8Utgångspunkter och inledande ställningstaganden 8.1Allmänt om att genomföra EU-direktiv Vårt övergripande uppdrag är att föreslå de författningsändringar och andra åtgärder som krävs för att genomföra PNR-direktivet i svensk rätt. Ett direktiv har som syfte att harmonisera medlemssta- ternas lagstiftning. När ett direktiv genomförs nationellt ska varje medlemsstat besluta de lagar och andra författningar som garanterar att direktivet tillämpas fullt ut på ett tillräckligt klart och precist sätt. Hur själva genomförandet av direktivet i en medlemsstats rättsord- ning närmare ska gå till överlämnas alltså åt varje stat att själv avgöra. En medlemsstat är följaktligen inte bunden av ett direktivs termino- logi eller systematik, om det avsedda resultatet kan uppnås på något annat sätt. EU-direktiv ska således införlivas i nationell rätt genom den lagstiftningsteknik som är ändamålsenlig. Det finns inte heller något absolut krav på att direktiv ska föranleda ny författningsreg- lering. I den mån befintlig lagstiftning redan uppnår direktivets krav, behövs i princip inte några författningsändringar. Enskilda ska dock ha möjlighet att identifiera sina rättigheter enligt direktivet och kunna göra dessa rättigheter gällande vid domstol (se domar i t.ex. mål C-131/88, kommissionen mot , 1991 I-825, och i mål C-361/88, kommissionen mot , 1991 I-2567). Det avgörande är således att det i nationell rätt läggs fast en rätts- lig ram som garanterar att direktivet tillämpas fullt ut på ett tillräck- ligt klart och precist sätt och som gör det möjligt för enskilda indi- vider att på ett tydligt sätt urskilja vilka rättigheter och skyldigheter de har enligt unionsrätten. Utgångspunkter och inledande ställningstaganden 8.2En samlad ny lag Vårt förslag: PNR-direktivet ska i huvudsak genomföras genom införandet av en ny samlad lag. PNR-direktivet innehåller flera nyheter i jämförelse med gällande svensk lagstiftning. Genom direktivet åläggs lufttrafikföretag att överföra PNR-uppgifter inför samtliga flygningar ankommande från eller avgående till ett land utanför EU. Enligt gällande svensk lag- stiftning är dessa företag endast skyldiga att på begäran lämna över vissa uppgifter om sina passagerare till den efterfrågande myndig- heten. Dagens uppgiftsskyldighet omfattar dock färre uppgifter än vad som enligt direktivet framöver ska överföras. PNR-direktivet innehåller vidare för svensk rätt nya företeelser som en databas för PNR-uppgifter och en enhet för passagerarinformation som ska be- arbeta uppgifterna. Lagring, analys och utbyte av PNR-uppgifter på det sätt som föreskrivs i direktivet förekommer inte i . PNR-direktivet innebär alltså inte, för vidkommande, att en redan befintlig verksamhet och reglering ska anpassas till en inom EU utformad harmoniserad reglering för medlemsstaternas på- gående verksamheter, så som annars ganska ofta är fallet vid genom- förande av direktiv. Genom PNR-direktivet införs i stället en på det hela taget ny verksamhet; ett system för behandling av PNR- uppgifter i en kvantitativ och kvalitativ omfattning som kan sägas innebära ett nytt brottsbekämpningsverktyg i . Det anförda innebär att en rad helt nya bestämmelser behöver införas för att ska uppfylla sina skyldigheter enligt direktivet. Frågan är hur regleringen lämpligen bör struktureras rent lagtekniskt. PNR-direktivet innehåller dels verksamhetsreglering, dels data- skyddsreglering. Till verksamhetsregleringen hör sådana bestämmelser vilka medlemsstaterna måste omvandla till nationell författnings- reglering med handlingsdirektiv som anger vad som ska göras med PNR-uppgifterna; att de ska sändas från lufttrafikföretagen till natio- nella enheter för passagerarinformation, att de ska lagras av enheterna och vidaresändas i vissa fall till behöriga mottagare m.m. Till dataskyddsregleringen hör sådana bestämmelser som sätter grän- ser för vad behöriga myndigheter får göra med uppgifterna eller som anger vissa rättigheter för enskilda registrerade m.m., dvs. be- stämmelser som syftar till att ge skydd för personuppgifter vid den Utgångspunkter och inledande ställningstaganden personuppgiftsbehandling som systemet med användning av PNR- uppgifter inom brottsbekämpningen för med sig. Bestämmelsernas utformning är dock ibland sådan att de olika karaktärerna av reg- lering är sammanvävda och svåra att särskilja. Direktivet är vidare omfattande och komplext, bl.a. i det att det berör helt olika slags aktörer; såsom kommersiellt verksamma flygbolag och brottsbekäm- pande myndigheter. Rent lagtekniskt finns det olika tänkbara sätt att helt eller delvis inarbeta PNR-direktivet i redan gällande lagstiftning. En möjlighet vore således att inarbeta verksamhetsregleringen i t.ex. polislagen (1984:387) och den nya lag om internationellt polisiärt samarbete som ska träda i kraft (se avsnitt 6.4.3). Dataskyddsregle- ringen skulle kunna tas in i polisdatalagen och andra registerförfatt- ningar som gäller för myndigheter som kommer att få motta PNR- uppgifter.