sou · H5B357 · 2017-06-22 00:00:00 — Längre fram i direktivet framgår dock att även sådana myndigheter som utsetts som behöriga i andra medlemsstater har rätt att få del av uppgifter från enheten på motsvarande sätt (artikel 9.3). Enligt vår mening bör det redan av denna inledande bestämmelse framgå samtliga aktörer som är be- höriga att motta uppgifter från enheten för passagerarinformation. Vi föreslår därför att detta kommer till uttryck i lagen. Vi föreslår även att det i lagens definitionsbestämmelse förs in en definition av behöriga mottagare. Definitionen ska omfatta behöriga svenska myn- digheter, enheter för passagerarinformation i andra medlemsstater, myndigheter som har utsetts som behöriga i andra medlemsstater samt Europol. Tredjeländer omfattas inte av definitionen. Som framgår redan i artikel 4.2 avser enhetens uppgifter inte bara att lagra, analysera och utbyta PNR-uppgifter som mottagits från lufttrafikföretagen. Analyserna m.m. kommer också att leda till så kallade träffar eller andra slags resultat av behandlingen av PNR- uppgifterna. Uttrycket ”PNR-uppgifter eller resultatet av behand- lingen av dem” eller motsvarande återkommer ett stort antal tillfällen i direktivet. Det finns därför ett behov av att i den lagstiftning vi föreslår referera till inte bara själva PNR-uppgifterna utan även re- sultatet av behandlingen av dem. För att förenkla lagstiftningen före- slår vi att det i lagen förs in en definition som omfattar såväl PNR- uppgifter som resultatet av behandlingen av sådana uppgifter. En lämplig samlingsbeteckning är PNR-information, vilket vi alltså föreslår ska tas in i lagens definitionsparagraf. En enhet för passagerarinformation 10.3Enhetens organisation och utredningens uppdrag Vår bedömning: Våra författningsförslag ger ett rättsligt ramverk för verksamheten enligt den nya lagen vid enheten för passagerar- information. Hur enheten närmare ska organiseras, bemannas och administreras m.m. bör överlåtas till att bestämma, lämpligen i samråd med behöriga myndigheter. Enligt våra kommittédirektiv ska ansvara för genomförandet av direktivets tekniska bestämmelser. I vårt utred- ningsuppdrag ingår dock att föreslå hur enheten för passagerar- information ska organiseras. Inom pågår redan ett arbete med att införa en enhet för passagerarinformation. En förstudie gällande införandet av en systematiserad hantering av PNR- och API-uppgifter har, som beskrivits i avsnitt 7.2.1, genomförts av tillsammans med och Säkerhetspolisen. I förstudien finns förslag på hur enheten för passagerarinformation ska vara organiserad. Polis- myndigheten har också, tillsammans med , ansökt om och erhållit bidrag från kommissionen för att etablera en enhet för passagerarinformation. Det pågår ett arbete med att etablera en sådan enhet med tillhörande it-stöd. Vi har tolkat utredningsuppdraget så att vi i frågan om hur en- heten för passagerarinformation ska vara organiserad bör arbeta i linje med det planeringsarbete som redan pågår. Vi ser det således som vårt uppdrag att se till att det finns ett rättsligt ramverk inom vilket inrättandet och organiseringen kan utvecklas vidare. Vår mål- sättning är således att ge möjlighet att genomföra direktivets tekniska bestämmelser och utarbeta hur enheten för passa- gerarinformation rent operativt och administrativt ska organiseras. De mer praktiska frågorna kring hur enheten för passagerarinforma- tion rent faktiskt ska arrangeras och bemannas tas lämpligen och bäst om hand av involverade myndigheter själva. Utgångspunkten för vårt arbete är alltså att i stor utsträckning ska få bestämma sin egen organisation (jfr 38 § förordning [2014:1102] med instruktion för ). Med tanke på enhetens uppgifter att bidra till arbetet att bekämpa terroristbrottslighet och En enhet för passagerarinformation grov brottslighet även vid andra behöriga myndigheter, ter det sig dock lämpligt att det i relevant omfattning sker ett samråd med dessa andra myndigheter när det gäller utformningen av enhetens organi- sation och arbetssätt m.m. Det är dock inget som vi anser behöver regleras närmare. Endast i den mån det anses nödvändigt kommer vi därför att föreslå att enheten för passagerarinformations organi- sation ska författningsregleras (jfr prop. 2013/14:110 s. 395 f.). Organisatoriska frågor för utredningen Vi ser det således som vårt uppdrag att utarbeta ett rättsligt ramverk inom vilket kan organisera enheten för passa- gerarinformation. Den övergripande rättsliga frågan av organisato- risk karaktär som enligt vår mening bör behandlas av utredningen, avser att överväga vilken reglering som krävs för att säkerställa att behandlingen av PNR-information vid enheten för passagerarinfor- mation hålls tillräckligt åtskild från övrig personuppgiftsbehandling inom och från behöriga myndigheter i övrigt. PNR-direktivet kan nämligen inte förstås på annat sätt än att de från lufttrafikföretagen insamlade uppgifterna och analysresultaten m.m., dvs. PNR-informationen, ska skyddas inom de nationella en- heterna och bara, i bildlig mening, passera enheternas väggar genom de dörrar och under de förutsättningar i övrigt som direktivets regel- verk ställer upp. I och med att den svenska enheten inrättas i en be- fintlig stor myndighet uppstår frågor om hur dessa ”väggar” lämpligen kan åstadkommas. Denna fråga kommer att analyseras i nästföljande avsnitt 10.4. En annan fråga med organisatorisk anknytning är vilka rättsliga konsekvenser m.m. som följer av planerna på att det vid enheten ska tjänstgöra personal som har sin grundanställning vid andra behöriga myndigheter, se avsnitt 7.2.1. Den frågan behandlas nedan i avsnitt 10.5. En enhet för passagerarinformation 10.4Tillgången till PNR-information bör begränsas Vårt förslag: Direktåtkomst till PNR-information som behand- las vid enheten för passagerarinformation hos ska inte vara tillåten. En bestämmelse som klargör detta tas in i lagen. Det finns inte någon legaldefinition av begreppet direktåtkomst. Begreppet har dock använts i lagstiftningssammanhang sedan 1990- talet. användes begreppet terminalåtkomst. Begreppet direktåtkomst har i senare års dataskyddsreglering främst använts såsom en specialform av elektroniskt utlämnande genom passerande av rättsliga gränser mellan myndigheter eller mellan självständiga verk- samhetsgrenar inom myndigheter, s.k. sekretessgränser. Med direkt- åtkomst avses vanligtvis att någon myndighet har en sådan teknisk tillgång till en annan myndighets upptagningar som avses i 2 kap. 3 § andra stycket TF. En myndighet med direktåtkomst har alltså getts direkt tillgång till någon annan myndighets register eller data- bas och kan på egen hand söka efter information, normalt utan att kunna påverka innehållet i registret eller databasen (se bl.a. prop. 2009/10:85 s. 168). I begreppet ligger också att den som är person- uppgiftsansvarig för registret eller databasen inte har någon kontroll över vilka uppgifter som mottagaren vid ett visst söktillfälle tar del av. Den myndighet som lämnar ut uppgifter genom direktåtkomst fattar således inte något beslut om utlämnande av de uppgifter som den som har direktåtkomst tar del av i varje enskilt fall (se bl.a. SOU 2015:39 s. 121). Beslutet att lämna ut uppgifterna tas långt tidi- gare. Uppgifterna i registret eller databasen är nämligen att betrakta som utlämnade i tryckfrihetsförordningen och sekretesslagstift- ningens mening redan då direktåtkomsten tekniskt etableras. Varken nuvarande personuppgiftslag eller det nya dataskydds- direktivet reglerar närmare olika sätt att elektroniskt lämna ut person- uppgifter. Inte heller brottsdatalagen innehåller bestämmelser av det slaget. Däremot förekommer sådana bestämmelser i polisdatalagen, En enhet för passagerarinformation tullbrottsdatalagen och flertalet andra registerförfattningar på om- rådet. Enligt 2 kap. 21 § PDL är direktåtkomst tillåten bara i den utsträckning som följer av polisdatalagen. Av 3 kap. 8 § PDL följer att bl.a. Säkerhetspolisen, och får medges direktåtkomst till personuppgifter som har gjorts gemen- samt tillgängliga i brottsbekämpande verksamhet. Med gemensamt tillgängliga avses att fler än ett fåtal personer har rätt att ta del av uppgifterna (3 kap. 1 § PDL). Enligt en förekom- mande uppfattning innebär tillgång bland en grupp på fler än tio personer att rekvisitet gemensamt tillgängliga är uppfyllt. Inte bara antalet personer med tillgång räknas emellertid. Även sådana fak- torer som hur länge uppgifter behandlas kan ha betydelse för att ta bara ett exempel. I 3 kap. 2 § PDL anges vilka personuppgifter som får göras gemensamt tillgängliga. Det kan också nämnas att lagen (2006:444) om passagerarregister, som tillkommit för att genomföra API-direktivet i svensk rätt, tillåter Säkerhetspolisen att ha direktåtkomst till personuppgifterna i det registret. Av PNR-direktivet följer att behöriga myndigheter, inklusive Polis- myndigheten, ska få tillgång till PNR-information först efter det att de har behandlats och vidareförts från enheten för passagerarinfor- mation i enlighet med en viss procedur enligt direktivets bestäm- melser. De behöriga myndigheterna kan således inte, såsom i lagen om passagerarregister, tillåtas ha egen åtkomst till PNR-information som behandlas vid enheten. Som vi redovisat i avsnitt 8.5 kommer polisdatalagen att vara tillämplig vid enhetens behandling av PNR-uppgifter och andra per- sonuppgifter i den utsträckning den nya lagstiftning vi föreslår inte innehåller avvikande bestämmelser. Det är vår bedömning att PNR- uppgifterna, som ska lagras i en databas enligt direktivet, lik- väl som resultatet av enhetens behandling av PNR-uppgifterna rim- ligen bör betraktas som sådana personuppgifter som gjort gemensamt tillgängliga inom brottsbekämpande verksam- het även om uppgifterna de facto behandlas avgränsat vid enheten. Med tanke på vad 3 kap. 8 § PDL föreskriver om att direktåtkomst En enhet för passagerarinformation får medges till vissa av de myndigheter som är behöriga myndig- heter enligt PNR-direktivet, anser vi att det behövs en uttrycklig bestämmelse i den nya lagen som förbjuder direktåtkomst till PNR- information som behandlas vid enheten. Utan en sådan bestämmelse ger nämligen, logiskt sett, 3 kap. 8 § PDL en rättslig öppning för att medge direktåtkomst till enhetens PNR-information. Vi föreslår därför en sådan förbudsbestämmelse, som kommer att gälla i stället för polisdatalagens reglering av direktåtkomst. Genom en bestäm- melse som inte tillåter direktåtkomst säkerställs alltså att andra be- höriga myndigheter än förhindras att ta direkt del PNR-information som behandlas vid enheten. Med hänsyn till be- stämmelsens grundläggande betydelse bör den, enligt vår mening, föras in i vårt förslag till lag. Vi förutsätter att informationsutbytet enligt direktivet ska kunna ske med användning av modern informationsteknik. Därmed anser vi att det i vår reglering finns behov av ett undantag från den nu- varande bestämmelsen i 2 kap. 20 § första meningen PDL som anger att endast enstaka personuppgifter får lämnas ut på medium för automatiserad behandling. Frågan kan regleras i förordning. Vår bedömning: Det kommer inte att finnas någon sekretess- gräns mellan enheten för passagerarinformation och Polismyn- dighetens övriga brottsbekämpande verksamhet. Det finns inte heller tillräcklig anledning att föreslå en reglering som skulle kunna skapa en sådan sekretessgräns. Uppgifter inom verksamhet omfattas av bestäm- melserna om tystnadsplikt och handlingssekretess i offentlighets- och sekretesslagen. Uppgifter som skyddas av sekretess får inte lämnas ut till en enskild eller annan myndighet utan stöd i offentlighets- och sekretesslagen. Sekretess gäller således även mellan myndigheter (8 kap. 1 § OSL). Mellan myndigheter, även med näraliggande upp- gifter, finns alltså sekretessgränser. Enligt 8 kap. 2 § OSL kan det även finnas en sekretessgräns inom en myndighet, nämligen mellan olika verksamhetsgrenar om de är att betrakta som självständiga i förhållande till varandra. En enhet för passagerarinformation dana verksamhetsgränser får sekretessbelagda uppgifter inte röjas utan stöd i offentlighet- och sekretesslagen. Bestämmelsen har sin motsvarighet i 2 kap. 8 § TF om när en handling blir allmän när den överlämnats mellan organ inom samma myndighetsorganisation. Det avgörande är även i detta fall att organen uppträder som själv- ständiga i förhållande till varandra. Däremot behöver det inte vara fråga om olika verksamhetsgrenar. Frågan om när organ eller verksamhetsgrenar inom samma myn- dighetsorganisation är att betrakta som självständiga i förhållande till varandra kan vara svårbedömd. Frågan har behandlats i ett antal propositioner , se t.ex. En i tiden (prop. 2005/06:200 s. 146 f.) och m.m. (prop. 2007/08:126 s. 162 f. och 202). I dessa propositioner har, mot bak- grund av uttalandena i förarbetena till den tidigare gällande sekre- tesslagen, slagits fast att om olika delar av en myndighets verksamhet har att tillämpa olika sekretessbestämmelser, får de anses utgöra olika verksamhetsgrenar i sekretesslagens mening. Först om olika delar av en myndighet utgör olika verksamhetsgrenar i sekretesslagstiftning- ens mening finns det skäl att även ta ställning till om de också är att betrakta som självständiga i förhållande till varandra. I motiven till offentlighets- och sekretesslagen anges att det för- hållandet att en myndighet har att tillämpa olika sekretessbestäm- melser inte med automatik innebär att det också finns olika verk- samhetsgrenar inom myndigheten i lagens mening. Att myndigheten har att tillämpa flera olika sekretessbestämmelser kan t.ex. bero på att bestämmelserna visserligen gäller på samma verksamhetsområde men att de finns i olika kapitel därför att de gäller till skydd för olika intressen, t.ex. sekretess till skydd för allmänna intressen i 18 kap. OSL och sekretess till skydd för enskildas intressen i 35 kap. OSL. Sekretessregleringen inom ett verksamhetsområde kan vidare vara uppdelad på flera paragrafer av redaktionella skäl. Först om det finns olika delar av en myndighets verksamhet som har att tillämpa sinsemellan helt olika set av sekretessbestämmelser är det fråga om olika verksamhetsgrenar i sekretesslagstiftningens mening. Om så är fallet behövs det därutöver göras en bedömning av om de olika verksamhetsgrenarna också har organiserats på ett sådant sätt att de förhåller sig självständiga till varandra. Det är bara om båda dessa kriterier är uppfyllda som det uppstår en sekretessgräns inom en myndighet. (Se prop. 2008/09:150 s. 358 ff.). En enhet för passagerarinformation De tidigare 21 polismyndigheterna, och slogs ihop i en ny myndighet, . Säkerhetspolisen utgör sedan samma datum en egen myndighet. I propositionen En ny organisation för polisen (prop. 2013/14:110) analyserades om det kommer att finnas enheter inom den nya som intar en sådan ställning att de kan anses utgöra självständiga organ i tryckfrihetsförord- ningens mening. Det ansågs då ännu inte gå att bedöma vilka delar av verksamheten som skulle komma att anses som självständiga organ. Den omständigheten att handläggningen av vissa ärenden koncentre- ras till en viss enhet inom myndigheten ansågs dock inte innebära att enheten kan anses som ett självständigt organ i den mening som avses i 2 kap. 8 § TF (se a. prop. s. 507 ff.). I propositionen analyserades vidare om det kommer att finnas sekretessgränser inom . Åtta olika verksamhets- grenar identifierades: den brottsförebyggande och brottsutredande verksamheten (18 kap. 1–3 §§ och 35 kap. 1–5 §§), särskilt person- säkerhetsarbete enligt 2 a § polislagen [1984:387] (18 kap. 7 § och 35 kap. 11 §), handläggningen av vapenärenden (18 kap. 16 § och 35 kap. 23 §), verksamhet enligt lagen om fingerade personuppgifter (22 kap. 2 §), räddningsinsatser enligt lagen om skydd mot olyckor (32 kap. 8 §), verksamhet som avser hjälp och bistånd till enskilda (35 kap. 20 §), verksamhet som avser utlänningskontroll och med- borgarskap (37 kap. 1 §) och verksamhet som avser skadereglering (40 kap. 6 §). Bedömningen gjordes att de verksamheter som avser personsäkerhetsarbete och fingerade personuppgifter kunde anses utgöra självständiga verksamhetsgrenar i den tidigare organisationen, men att övriga verksamhetsgrenar tidigare inte hade organiserats så att de kunde anses vara självständiga i förhållande till varandra. Det förutsattes att de både verksamheterna avseende personsäkerhets- arbete och fingerade personuppgifter skulle komma att organiseras skilda från övriga verksamheter så att sekretessgränser uppstår. Huruvida övriga verksamhetsgrenar kommer att kunna anses vara självständiga angavs bero på hur den nya myndigheten organiseras. Det angavs vidare att det vid tillfället inte gick att med säkerhet ut- tala sig om i vilken utsträckning det kommer att finnas sekretess- gränser inom , men att det är sannolikt att det i de allra flesta fall inte kommer att finnas sådana gränser. (Se a. prop. s. 508 f.) Angående en följdändring i 2 kap. 18 § PDL, angavs vidare En enhet för passagerarinformation att ”första stycket har anpassats till att sekretess inte gäller inom i dess brottsbekämpande verksamhet, varför polismyndigheter har tagits bort” (a. prop. s. 649). En närliggande fråga är hur en befattningshavare ska tillämpa sekretessreglerna i förhållande till sina kollegor. Den frågan berörs i viss utsträckning i förarbetena till ändringar i sekretesslagen. Där uttalas att sekretessreglerna inte anses utgöra hinder mot att lämna uppgifter mellan befattningshavare hos en myndighet i den utsträck- ning som är normal för och behövlig för ett ärendes handläggning eller verksamhetens bedrivande i övrigt (prop. 1990/91:111 s. Det framhålls dock att det av grunderna för sekretesslagen torde följa att en befattningshavare inte bör anses ha en obegränsad frihet att lämna uppgifter som omfattas av sekretess till andra anställda inom myndigheten. JO har också uttalat att det torde stå klart att en befattningshavare inte har någon obegränsad frihet att lämna upp- gifter som omfattas av sekretess till sina arbetskamrater (1983/84 s. 262). JO konstaterar dock att sekretesslagstiftningen inte kan anses utgöra ett hinder mot att en handläggare rådfrågar andra befatt- ningshavare om ett ärende, åtminstone inte om det framstår som objektivt försvarbart. Uppgifter måste också fritt kunna lämnas till den som på ett eller annat sätt deltar i beredningen och avgörande av ett ärende. (Se prop. 2013/14:110 s. kommer att vara en egen enhet men som sådan utgöra en del av brottsbekäm- pande verksamhet. När det gäller informationsöverföring inom Polis- myndigheten synes den rådande uppfattningen vara den att det inte förekommer sekretessgränser (eller sekretessväggar) inom Polismyn- dighetens brottsförebyggande och brottsutredande verksamhet (se t.ex. a. prop. s. 508 f.). Vi delar den uppfattningen. De sekretessbe- stämmelser som i första hand blir tillämpliga för PNR-information som behandlas hos enheten finns i 18 kap. 1–2 §§ OSL, till skydd för den brottsbekämpande verksamheten, och 35 kap. 1–2 §§ OSL, till skydd för enskilda. Dessa bestämmelser tillämpas också för annan brottsförebyggande och brottsutredande verksamhet. En enhet för passagerarinformation Även för det fall särskilda sekretessbestämmelser därutöver skulle införas avseende PNR-information m.m. till skydd för verksamheten vid enheten och för registrerade passagerare (se dock våra bedöm- ningar i den frågan i avsnitt 24) är det knappast motiverat att skapa ett helt eget set av sekretessbestämmelser för verksamheten inom enheten för passagerarinformation. Såvitt kan bedömas är det varken möjligt eller lämpligt att införa någon sekretessreglering i syfte att utforma arbetet inom enheten som en egen verksamhetsgren av annat slag än den brottsförebyggande och brottsutredande verksamheten i övrigt vid . Trots att enheten för passagerar- information kommer att organiseras skild från övrig verksamhet, är det inte heller troligt att den kommer att organiseras så att den blir i tillräcklig grad självständig gentemot övrig brottsbekämpande verk- samhet vid . Som vi angett ovan bör det överlämnas åt att närmare bestämma hur enheten ska orga- niseras. Sammanfattningsvis är det därför olämpligt att lagstiftnings- vägen försöka skapa en ny sekretessgräns inom den brottsbekäm- pande verksamheten. Begränsningar i tillgången till PNR-information inom Polismyn- digheten med stöd av sekretessbestämmelser synes alltså inte vara en framkomlig väg för att skydda PNR-informationen i förhållande till övrig brottsbekämpande verksamhet inom . Det bör dock i sammanhanget påpekas att frånvaron av en sekre- tessgräns mellan enheten för passagerarinformation och övrig brotts- förebyggande och brottsutredande verksamhet inte innebär att det finns en obegränsad rätt att sprida sekretessbelagda uppgifter till kollegor inom myndigheten. 10.4.3Begränsningar via dataskyddsbestämmelser m.m. Våra förslag: Det ska föras in en bestämmelse i lagen om att bara den som tjänstgör vid enheten för passagerarinformation får ha tillgång till PNR-information som behandlas vid enheten samt att tillgången till PNR-informationen ska begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter vid enheten. Närmare bestämmelser om tillgång, behörighetstill- delning m.m. kan meddelas genom föreskrifter av regeringen eller myndighet som regeringen bestämmer. En enhet för passagerarinformation Nuvarande reglering i polisdatalagstiftningen m.m. I 2 kap. 11 § PDL slås fast att tillgången till personuppgifter inom ska begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. Bestämmelsen omfattar såväl direkt tillgång till automatiserade uppgiftssamlingar som till- gång i allmänhet. ska således organisera sin verk- samhet på ett sådant sätt att obefogad spridning av personuppgifter motverkas. Bestämmelsen riktar sig inte bara till dem som är enga- gerade i den dagliga verksamheten. Den måste också beaktas av dem som ansvarar för utformningen av nya datasystem liksom av dem som avgör vilken tillgång till personuppgifter respektive tjänsteman behöver för att kunna fullgöra sina uppgifter. (Se prop. 2009/10:85 s. 94 och 326.) I bestämmelsens andra stycke finns en upplysning om att regeringen eller den myndighet som regeringen bestämmer har möjlighet att meddela närmare föreskrifter om förutsättning- arna för tillgången till personuppgifter. Detaljbestämmelser kan så- ledes utformas så att tillgången till personuppgifter begränsas till vad som är nödvändigt för verksamhetens bedrivande. I lagens för- arbeten har angetts att det inte är lämpligt att i lagform ange detalje- rade riktlinjer för hur tillgången till personuppgifter bör avgränsas. Det har i stället angetts vara och övriga berörda myndigheters uppgift att, utifrån respektive myndighets organisation och struktur, säkerställa att åtkomsten till personuppgifter begränsas i enlighet med bestämmelsen (a. prop. Regeringen har i 3 § PDF föreskrivit att och Säkerhetspolisen får med- dela närmare föreskrifter om tillgången till personuppgifter för sina respektive verksamhetsområden. Vidare anges att för tilldelning av behörigheter för åtkomst till personuppgifter ska det särskilt beaktas att det, utöver behovet av uppgifterna, ställs krav på utbildning och erfarenhet. Enligt 4 § ska de nu nämnda myndigheterna ansvara för att det inom respektive myndighet finns rutiner för tilldelning, för- ändring, borttagning och regelbunden uppföljning av behörigheter för åtkomst till personuppgifter. Av 4 a § framgår vidare att beträf- fande penningtvättsregistret som regleras i 4 kap. 18 § PDL och det internationella registret som regleras i 4 kap. 21 § PDL får bara tjänstemän vid särskilda enheter ges tillgång till uppgifter i de re- gistren. I paragrafen anges således att endast tjänstemän vid finans- underrättelseenheten vid får ha tillgång till upp- En enhet för passagerarinformation