sou · H5B357 · 2017-06-22 00:00:00 — •Besvara förfrågningar: Lagrade uppgifter får behandlas för att enheten för passagerarinformation ska kunna fullgöra sina upp- gifter enligt lagen om att på begäran överföra PNR-information till behöriga mottagare (reaktiv användning). •Utforma urvalskriterier: Uppgifterna får analyseras för att enheten ska kunna uppdatera eller skapa nya kriterier som ska användas vid förhandsbedömningar av passagerare. kommer även att få del av PNR-information som har överförts till enheten från motsvarande enheter i andra medlemsstater. Sådan information får endast be- handlas för att vidarebefordras till behöriga myndigheter. är personuppgiftsansvarig för den behandling av personuppgifter som utförs vid enheten för passagerarinforma- tion. ska utse ett dataskyddsombud för enheten för passagerarinformation. Ombudets uppgifter framgår av lagen. Överföring av PNR-information från enheten för passagerarinformation ska fungera som en nod vid vilken massan av PNR-uppgifter som lufttrafikföretagen överför tas emot, lagras och analyseras översiktligt. Endast sådan PNR-information som bedömts vara av intresse för att bekämpa terroristbrottslighet eller grov brottslighet ska därefter nå ut till behöriga myndigheter i det egna landet för vidare analys och åtgärder. Regeringen har ut- sett , , , Ekobrottsmyn- digheten och Försvarsmakten såsom behöriga att ta emot och begära ut PNR-uppgifter från enheten för passagerarinformation. Ytterli- gare myndigheter kan komma att utses framöver. Enligt lagen ska enheten i enskilda fall överföra resultatet av sina förhandsbedöm- ningar till en eller flera behöriga myndigheter så att de kan utföra en vidare granskning av PNR-informationen. Enheten ska också över- föra PNR-information till behöriga myndigheter som svar på sär- skilda förfrågningar från en behörig myndighet. Vidare ska enheten vidarebefordra PNR-information som har mottagits från andra med- lemsstaters enheter för passagerarinformation till behöriga myndig- heter. En befattningshavare vid enheten ska alltid ha gjort en bedöm- ning av PNR-informationen innan den lämnas från enheten. ska enligt lagen även överföra PNR-information till motsvarande enheter i andra medlemsstater. Så ska ske om enheten vid en förhandsbedömning bedömt att viss information även är relevant och nödvändig för en annan medlems- stat. En överföring ska även ske till andra medlemsstater som svar på en begäran från den medlemsstaten. Vidare kan överföringar av PNR-information ske till Europol. Lagen innehåller också bestämmelser om att enheten för passa- gerarinformation under vissa förutsättningar får överföra PNR- information till tredjeland. Överföring av avmaskerade PNR-uppgifter, dvs. fullständiga PNR-uppgifter där personuppgifter tidigare genomgått en maske- ring, får bara ske om vissa närmare förutsättningar är uppfyllda. Om förundersökning pågår ska en begäran från en behörig myndighet om att få tillgång till avmaskerade PNR-uppgifter ha beslutats av all- män åklagare. I alla andra fall krävs att myndig- hetschef har godkänt utlämnandet. Rikspolischefen ska med vissa begränsningar kunna delegera beslutanderätten. Behöriga myndigheters behandling av PNR-information Det finns i lagen särskilda bestämmelser om behandling av PNR- information vid de behöriga myndigheterna. Bland annat anges att ett resultat av enheten för passagerarinformations förhandsbedöm- ning av passagerare genast ska gallras av behöriga myndigheter om det visar sig sakna betydelse för något av de syften som anges i lagens portalbestämmelse. Vidare finns ett undantag från lagens portal- bestämmelse om otillåten behandling av PNR-information. Om det har kommit fram uppgifter om annat slags brott än terroristbrotts- lighet eller grov brottslighet, s.k. överskottsinformation, i samband med en behörig myndighets insats som görs till följd av behandling av PNR-information, får uppgifterna användas för att förhindra, utreda eller lagföra det brottet. Direktivets krav på generella dataskyddsbestämmelser och rättig- heter för enskilda omfattas i stor utsträckning av annan tillämplig dataskyddsreglering och behöver, med något undantag, inte särskilt regleras i den nya lagen. Tillsyn över personuppgiftsbehandling enligt lagen ska utföras av tillsynsmyndigheten enligt den föreslagna brottsdatalagen och i enlighet med bestämmelserna om tillsyn i den lagen. Sanktionsavgift får tas ut av personuppgiftsansvariga myndigheter vid överträdelser av vissa grundläggande bestämmelser i lagen som har till syfte att skydda enskildas integritet. Vid bestämmande av sanktionsavgiftens storlek och i handläggningsfrågor ska sanktions- avgiftssystemet i den föreslagna brottsdatalagen och den tillhörande förordningen tillämpas. Befintlig sekretesslagstiftning bedöms ge ett tillfredsställande skydd för PNR-informationen såväl vid enheten för passagerarinformation som vid behöriga myndigheter. Någon ny eller ändrad sekretessreg- lering är inte motiverad. Inte heller behövs det någon särskild be- stämmelse om sekretessgenombrott. PNR-direktivets förhållande till API-direktivet API-uppgifter (Advance Passenger Information) avser främst sådan information som finns på passets maskinläsbara del, såsom namn, födelsedatum, nationalitet och passnummer. API-uppgifter anses ut- göra verifierbar information och används därför huvudsakligen som ett verktyg för identifiering. I rådets direktiv /82/EG av om skyldighet för transportörer att lämna uppgifter om passagerare (nedan kallat API-direktivet) regleras transportörers ansvar för att på begäran förse nationella myndigheter med sådana passageraruppgifter inför resor från länder utanför Schengensam- arbetet. Direktivet är i genomfört främst genom vissa bestäm- melser i utlänningslagen (2005:716) samt genom lagen (2006:444) om passagerarregister. Enligt PNR-direktivet ska lufttrafikföretagen överföra såväl PNR- som API-uppgifter till enheterna för passagerarinformation. Skyldigheten att överföra API-uppgifter följer således inte bara av API-direktivet utan även av PNR-direktivet. Det ingår i vårt upp- drag att analysera om och i så fall hur PNR-direktivet påverkar det svenska genomförandet av API-direktivet samt att föreslå hur syste- met med flygpassageraruppgifter ska möjliggöra hantering av både PNR-uppgifter och API-uppgifter. Enligt vår bedömning varken ersätter eller påverkar PNR- direktivet API-direktivet eller dess genomförande i . Direk- tiven och deras respektive genomföranden kommer därför att vara parallellt tillämpliga. Vi har vidare funnit att en samordnad hantering av PNR- och API-uppgifter vid enheten för passagerarinformation är möjlig även avseende API-uppgifter som behandlas enligt lagen om passagerarregister. Det kräver dock att API-uppgifter som behand- las enligt lagen om passagerarregister hålls isär från de API-uppgifter som överförs från lufttrafikföretagen enligt den nya lagen, att det alltid står klart för vilket syfte och enligt vilket regelverk API-upp- gifter behandlas samt att det säkerställs att regelverkens olikheter i fråga om t.ex. tillgång till uppgifterna följs. PNR-direktivets betydelse för den nuvarande regleringen Genomförandet av direktivet får också en effekt på den nuvarande regleringen. Vi föreslår därför att det i polislagen (1984:387), tullagen (2016:253) och lagen (1996:701) om befogenhet vid gräns mot ett annat land inom Europeiska unionen (inre- gränslagen) förs in bestämmelser som innebär att transportföretags skyldigheter enligt de lagarna att överföra bokningsuppgifter till Polis- myndigheten, Säkerhetspolisen och inte ska gälla när lagen om flygpassageraruppgifter i brottsbekämpningen är tillämplig. Medlemsstaterna har i en deklaration som antogs som PNR-direktivet, angett att de, i enlighet med sin nationella lagstift- ning och med förbehåll för parlamentsbehandling i vissa medlems- stater, åtar sig att utvidga insamlingen av PNR-uppgifter till att om- fatta även aktörer som inte är lufttrafikföretag. Som exempel anges i deklarationen resebyråer och researrangörer som tillhandahåller reserelaterade tjänster. Någon tidsgräns för när detta ska vara genom- fört i nationell lagstiftning anges inte i deklarationen. Enligt vår be- dömning omfattas resebyråer och researrangörer redan av systemet med insamling av PNR-uppgifter eftersom de överför PNR-uppgifter till lufttrafikföretagen för vidare överföring till enheten för passa- gerarinformation. Ytterligare utvidgningar av detta system bör enligt vår mening tills vidare anstå. Frågan bör dock bevakas och eventuellt utredas vidare. Förslagen innebär att fler PNR-uppgifter avseende enskilda flyg- resenärer kommer att samlas in i brottsbekämpande syfte, vilket vi bedömer kommer att få positiva konsekvenser för det brottsbekäm- pande arbetet. Förslagen innebär också att skyddet för enskildas per- sonliga integritet vid de brottsbekämpande behöriga myndigheter- nas behandling av uppgifterna säkerställs. Lufttrafikföretagen kommer att belastas arbets- och kostnads- mässigt av förslagen. Dock bedömer vi inte att deras konkurrens- förhållanden kommer att påverkas i någon större omfattning. Vidare medför förslagen ökade kostnader för kopplade till inrättandet av en enhet för passagerarinformation och till drivan- det av enheten. De ekonomiska konsekvenserna för Polismyndig- heten och övriga berörda myndigheter bedöms dock rymmas inom de befintliga ekonomiska ramarna. Den nya lagen föreslås träda i kraft . On , Parliament and the Council adopted Directive (EU) 2016/681 on the use of passenger name record (PNR) data for the prevention, detection, investigation and prosecution of terrorist offences and serious crime (referred to below as the PNR Directive). PNR refers to data provided by passengers when booking flights and during check-in. This data can include names, dates, route, luggage information and method of payment. Air already collect and process such data about their passengers for their own operational and commercial purposes. PNR data is also of interest for law enforcement purposes. The data can be used, for example, to screen out previously unknown passengers who should be subject to further examinations by the authorities. PNR data can also be used in connection with criminal investigations or to analyse and establish suspicious and behavioural patterns. Authorities all over the world have begun to collect more PNR data from air and to analyse it for the purpose of combating terrorism and serious crime. In , the Swedish Autho- rity, the Customs are already permitted to request certain PNR data from air and to use it for law enforcement purposes. The PNR Directive is an EU-wide regulatory framework for the collection and use of PNR data in certain law enforcement activi- ties. The Inquiry’s overall remit is to present proposals on the legisla- tive amendments necessary to implement the PNR Directive in Swedish law. A new Act on air passenger data for law enforcement purposes We propose that the PNR Directive should mainly be implemented through a new act, the Act on air passenger data for law enforce- ment purposes. This Act will contain provisions on the transfer by air of PNR data to the passenger information unit and the processing of PNR data in activities for the prevention, detection, investigation and prosecution of terrorist offences or serious crime. The purpose of this Act is to meet the need for access to PNR data in such activities and protection of privacy in the processing of such data. The Act, like the underlying PNR Directive, will contain regula- tions on both operations and data protection. Regarding the latter, we consider it most appropriate to adapt the legislative proposal as far as possible to the data protection reform that will be implemen- ted in the first half of 2018. The provisions in the Act will apply in addition to, or instead of, the general provisions in the Protection Regulation, the new framework law – the Act – which has been proposed to implement the new Data Pro- tection Directive (SOU 2017:29), and other special regulations on data protection that apply or will apply to relevant authorities. The Act will be accompanied by an ordinance implementing certain detailed provisions of the Directive. Unlawful processing of PNR information The Act will contain a preamble stating that PNR data transferred by air or the results of a unit for the processing of such passenger information, i.e. PNR information, may not be processed for any purposes other than the prevention, detection, investigation and pro- secution of terrorist offences or serious crime. Terrorist offences are defined in the Act as the offences referred to under domestic law in or other Member States in Articles 1–4 of Council Framework Decision 2002/475/JHA of 13 2002 on combating terrorism. Serious crime refers to the offences listed in annex II of the PNR Directive, and for which domestic law in or other Member States prescribes imprisonment of three years or more. The Act also contains a general ban on processing PNR data that is sensitive personal data. In the event that the passenger informa- tion unit or a competent authority receives such data, it must be deleted immediately. A passenger information unit Under the Act, there will be a passenger information unit at the Swedish Authority. This unit will have responsibility for collec- ting PNR data from air , storing and processing this data, and transferring PNR information to competent Swedish authorities. The unit will also be responsible for the exchange of PNR infor- mation within the EU. PNR data that is processed by the unit will not be directly available to competent authorities or to others working at the Swedish Authority. Direct access to PNR information processed at the unit will therefore not be permitted. In this unit, access to PNR infor- mation will be restricted through special authorisation provisions. Under the Act, PNR data should be transferred from air with a valid operating licence or equivalent permitting them to carry out, with compensation, carriage of passengers by air, and that collect and process PNR data in reservation systems in their regular acti- vities. One starting point is that the transfer obligation does not apply to the majority of small air conducting taxi flights from small airfields that do not have departure control systems for pas- sengers. PNR data is to be transferred electronically to the passenger information unit. An annex to the Act specifies the PNR data to be transferred. ‘API’ data (see below for details about this kind of data) is included in the PNR data to be transferred. However, the data re- ferred to in the annex may only be transferred when air collect it as part of their regular activities. Therefore, the Act does not oblige air to collect additional PNR data about their passengers; it simply states that they must transfer data to which they already have access. PNR data should normally be transferred on two occasions prior to every flight arriving to or departing from . The first trans- fer should take place 24–48 hours before the flight departure, and the second transfer should take place immediately after the gate has been closed. The obligation to transfer data applies to flights both within the EU and to or from a third country. An air that has not transferred PNR data in accordance with the provisions in the Act or provisions issued in connection with the Act must pay a financial penalty. For every flight con- ducted without the air fulfilling its transfer obligation, the financial penalty is set at a minimum of 000 and a maximum of 000. The financial penalty may be reduced or waived, in whole or in part, if the infringement is excusable, or if, in view of the circumstances, it would be unreasonable to impose the penalty. Air must inform passengers about the transfer of PNR data to the passenger information unit and the reasons for this transfer. Processing of PNR data at the passenger information unit The PNR data that has been transferred to the passenger informa- tion unit from air must be stored in a special database at the unit for a period of five years. It must then be deleted. After six months, the PNR data in the database must be masked, which means that accessible data directly attributable to a natural person must be made invisible to users without special authorisation to access the data. PNR data that has been transferred to the passenger information unit from air may be processed for the following purposes only. •Advance assessment: the data may be processed to enable the unit to conduct an assessment of passengers before their estimated arrival to or departure from so as to select individuals who need to be further investigated by competent authorities or Europol (use in real time). In this kind of advance assessment of passengers, PNR data may be compared with data in relevant data- bases or other data collections, and with pre-determined criteria. •Responding to enquiries: stored data may be processed to enable the passenger information unit to fulfil its responsibility under the Act to transfer PNR information to competent recipients upon request (reactive use). •Devising selection criteria: data may be analysed to enable the unit to update or create new criteria to be used when conducting advance assessments of passengers. The passenger information unit will also have access to PNR infor- mation transferred to the unit from corresponding units in other Member States. This data may only be processed for further transfer to competent authorities. The Swedish Authority is the personal data controller for the processing of personal data conducted at the passenger informa- tion unit. The Swedish Authority will appoint a data protec- tion officer for the passenger information unit. The officer’s duties are stated in the Act. Transfer of PNR information from the passenger information unit The passenger information unit will function as a hub at which the mass of PNR data transferred by air is received, stored and superficially analysed. Only PNR information considered to be of interest for combating terrorist offences or serious crime will sub- sequently be made available to competent domestic authorities for further analysis and action. The Government has appointed the Swedish Authority, the , Swedish Customs, the Swedish Economic Crime Authority and the Swedish Armed Forces as competent authorities to receive and request PNR data from the passenger information unit. Additional agencies may be appointed in the future. Under the Act, the unit is required, in individual cases, to transfer the results of its advance assessments to one or several competent authorities so that they can conduct an additional examination of the PNR information. The unit should also transfer PNR information to competent authorities in response to special requests from a competent authority. Moreover, the unit should forward information received from other Member States’ passenger information units to competent authorities. An official at the unit is required to have always carried out an assessment of the PNR information before it is disclosed by the unit. Under the Act, the passenger information unit should also transfer PNR information to corresponding units in other Member States. This is what should be done if, after an advance assessment, the unit considers that certain information is also relevant and necessary for another . Data should also be transferred to other Member States in response to a request from that . Moreover, PNR information should be transferred to Europol. The Act also contains provisions stating that the passenger in- formation unit may transfer PNR information to a third country under certain conditions. The transfer of unmasked PNR data, i.e. complete PNR data in which personal data has previously been masked, may only occur if certain more closely defined conditions have been met. If a prelimi- nary investigation is under way, a request from a competent authority on gaining access to unmasked PNR data must have been approved by a public prosecutor. In all other cases, the disclosure must have been approved by the head of the Swedish Authority. The National Commissioner should be able to delegate the right to decide, subject to certain limitations. Processing of PNR information by competent authorities The Act will contain special provisions on the processing of PNR information by the competent authorities. They state, among other things, that the result of an advance assessment of passengers by the passenger information unit must be immediately deleted by compe- tent authorities if it proves to be irrelevant for the purposes stated in the preamble to the Act. In addition, there is an exemption from the Act’s preamble on the unlawful processing of PNR informa- tion. If information has emerged about some form of offence other than a terrorist offence or serious crime – known as ‘excess disclosure’ – in connection with a competent authority’s actions as a result of having processed PNR information, this information may be used for the prevention, investigation and prosecution of the offence. The Directive’s requirements concerning general data protection provisions and the rights of individuals are largely met by other applicable data protection regulations, and need not – with the occa- sional exception – be regulated separately in the new Act. Supervision of personal data processing under the Act should be carried out by the supervisory authority in accordance with the pro- posed Act and in line with the provisions on super- vision in that Act. A financial penalty may be charged by authorities acting as per- sonal data controllers in the event of a breach of certain fundamental provisions in the Act intended to protect personal privacy. When determining the size of the financial penalty, and in processing issues, the financial penalty system in the proposed Act and the accompanying ordinance should be applied. Current secrecy legislation is considered to provide sufficient pro- tection for PNR information at both the passenger information unit and competent authorities. There is no need for any new or amended secrecy regulation. is there any need for special provisions on secrecy exemptions. How does the PNR Directive relate to the API Directive? API (advance passenger information) data refers primarily to in- formation contained in the machine-readable part of a passport, such as name, date of birth, nationality and passport number. API data is considered to constitute verifiable information and is there- fore mainly used as a tool for identification purposes. Council Directive 2004/82/EC of on the obligation of to communicate passenger data (referred to below as the API Direc- tive) regulates ’ obligations to provide national authorities, upon request, with such passenger information ahead of from countries outside the Schengen area. In , the Directive has been implemented primarily through certain provisions of the Aliens Act (2005:716) and through the Act (2006:444). Under the PNR Directive, air should transfer both PNR and API data to the passenger information units. Therefore, the obli- gation to transfer API data is imposed not only by the API Directive, but also by the PNR Directive. Our remit includes analysing whether and how the PNR Directive affects ’s implementation of the API Directive and proposing how the system of flight passenger data can enable processing of both PNR and API data. In our view, the PNR Directive neither replaces nor affects the API Directive or its implementation in . The Directives and their implementation will therefore be applicable in parallel. We have also found that the coordinated processing of PNR and API data at the passenger information unit is possible, also with regard to API data processed under the Act.