sou · H5B357 · 2017-06-22 00:00:00 — De behöriga myndigheterna har, som framgått ovan, en möjlighet att ställa egna frågor till enheten för passagerarinformation och på så sätt få tillgång till sådan PNR-information som myndigheten bedömer är nödvändig i dess verksamhet. För att en sådan begäran ska besvaras krävs, enligt artikel 6.2 b, att den är vederbörligen moti- verad och bygger på tillräckliga skäl. Förfrågan ska vidare avse ett specifikt fall och syfta till att förebygga, förhindra, upptäcka, ut- reda eller lagföra terroristbrottslighet eller grov brottslighet. Det finns enligt direktivet även en möjlighet för de behöriga myndigheterna att vända sig direkt till en enhet för passagerar- information i en annan medlemsstat för att få ta del av sådan PNR- information som finns lagrad hos den enheten. Denna möjlighet, som regleras i artikel 9.3, ska dock endast användas i nödfall och Behöriga myndigheters behandling av PNR-information i övrigt enligt de villkor som fastställts i artikel 9.2 (se avsnitt 15.3.3). Även i dessa fall ska begäran vara motiverad. En kopia av begäran ska alltid skickas till enheten för passagerarinformation i den be- gärande medlemsstaten. Möjligheten för en behörig myndighet att vända sig direkt till en enhet för passagerarinformation i en annan medlemsstat ska endast användas i undantagsfall. I alla andra fall ska, enligt artikel 9.3, de behöriga myndigheterna översända sina fram- ställningar via enheten för passagerarinformation i den egna med- lemsstaten. 16.1.3Våra överväganden och förslag Våra förslag: En behörig myndighet som önskar ta del av PNR- information som lagras hos en enhet för passagerarinformation i en annan medlemsstat ska framställa begäran till enheten för passagerarinformation vid för vidare förmed- ling till den andra medlemsstaten. Endast om det i ett enskilt brådskande fall är absolut nöd- vändigt får en behörig myndighet vända sig direkt till enheten för passagerarinformation i en annan medlemsstat med en begäran om att ta del av PNR-information som lagras hos den enheten. En behörig myndighet som har framställt en sådan begäran ska skicka en kopia av begäran till enheten för passagerarinformation vid . Frågorna kan regleras i förordning. Införandet av en bestämmelse som innebär att PNR-information ska överföras från enheten för passagerarinformation till de behöriga myndigheterna har föreslagits i avsnitt 15.2.2. Det saknas anledning att därutöver även reglera i vilka situationer de behöriga myndig- heterna har rätt att motta den överförda PNR-informationen. Detsamma gäller för det fall PNR-information skulle komma myn- digheten till del från en enhet för passagerarinformation i en annan medlemsstat. Det får nämligen förutsättas att den översändande medlemsstaten tillser att överföringen sker i enlighet med direk- tivets bestämmelser. Vidare saknas det enligt vår bedömning anledning att författ- ningsreglera de närmare förutsättningarna för att en behörig myn- Behöriga myndigheters behandling av PNR-information dighet ska få tillgång till PNR-information från enheten för passagerarinformation. Enligt vår mening bör det i stället vara upp till enheten att bedöma vilka förfrågningar som får och ska besva- ras. Således är det upp till enheten för passagerarinformation att bedöma t.ex. huruvida en begäran är tillräckligt motiverad för att den efterfrågade ska föras över till den efter- frågande myndigheten. När det gäller en begäran om att få ta del av PNR-information som lagras hos en enhet för passagerarinforma- tion i en annan medlemsstat har vi i avsnitt 15.3.4 redan föreslagit en bestämmelse i förordningen som innebär att en sådan begäran får göras endast om syftet därmed faller inom ramen för när PNR- information alls får behandlas enligt lagens portalparagraf som bl.a. genomför artikel 1.2 i direktivet, dvs. för att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller grov brotts- lighet. Den bestämmelsen bör vara tillämplig även när en behörig myndighet begär tillgång till PNR-information. Vidare bör det av författning framgå att en begäran från en be- hörig myndighet om att få ta del av PNR-information som lagras hos en enhet för passagerarinformation i en annan medlemsstat som huvudregel ska framställas till enheten för passagerarinforma- tion vid för vidare förmedling till den andra medlemsstaten (jfr artikel 9.3). Denna fråga kan regleras i förord- ning. Det bör också i förordning regleras att en behörig myndighet endast i undantagsfall har rätt att vända sig direkt till en enhet för passagerarinformation i en annan medlemsstat med en begäran om att få ta del av sådan information som finns bevarad vid den enhet- en. Enligt artikel 9.3 får en sådan begäran endast framställas i nöd- fall. Med nödfall torde menas detsamma som om det absolut krävs eller är absolut nödvändigt. Enligt vår mening passar uttrycket absolut nödvändigt bättre in i svensk lagstiftning. Vi föreslår därför att detta uttryck används i författningstexten. En situation där det skulle kunna anses absolut nödvändigt för en behörig myndighet att vända sig direkt till en enhet för passagerar- information i en annan medlemsstat skulle kunna uppstå om myn- digheten finner att det finns risk för ett nära förestående terrorist- attentat och det är nödvändigt att så snabbt som möjligt få informa- tion om en misstänkts resväg. Enligt vår bedömning kommer dock bestämmelsen troligen inte att användas i praktiken. För de behöriga myndigheterna kommer det sannolikt att gå snabbare att begära in Behöriga myndigheters behandling av PNR-information den önskade informationen via den nationella enheten för passagerar- information, som har upparbetade vägar för utbyte med motsva- rande enheter, i stället för att myndigheterna själva ska ta dessa kon- takter. För det fall en behörig myndighet har begärt PNR-information direkt från en enhet för passagerarinformation i en annan medlems- stat, ska en kopia av begäran skickas till den nationella enheten för passagerarinformation. Även denna fråga kan regleras i förordning. 16.2Behandling av PNR-information vid de behöriga myndigheterna PNR-direktivet innehåller endast ett fåtal bestämmelser som rör be- handlingen av den PNR-information som har vidarebefordrats från enheten för passagerarinformation till de behöriga myndigheterna. Bestämmelserna, som finns i direktivets artikel 7, kommer att beröras i det följande. Först följer dock en kort beskrivning av gällande dataskyddsbestämmelser på området och våra allmänna övervägan- den gällande de behöriga myndigheterna. 16.2.1Tillämpliga dataskyddsbestämmelser hos de behöriga myndigheterna Polisdatalagen är tillämplig vid behandling av person- uppgifter i brottsbekämpande verksamhet vid och Säkerhetspolisen. Lagen gäller även för den polisiära verksam- heten vid . Enligt vad vi erfarit är det endast till polisiära del som det kommer att bli aktuellt att överföra PNR-information. Polisdatalagen beskrivs kort- fattat i avsnitt 6.4.1. För del kommer från en ny lag om behandling av personuppgifter i brottsbekämpande verk- samhet, tullbrottsdatalagen, att bli tillämplig för person- uppgiftsbehandling i den brottsbekämpande verksamheten. Den ersätter den nu gällande lagen (2005:787) om behandling av upp- gifter i brottsbekämpande verksamhet. För en kortfattad beskrivning av den nya lagen, se avsnitt 6.4.2. Behöriga myndigheters behandling av PNR-information Som har framgått har Utredningen om 2016 års data- skyddsdirektiv lämnat förslag till en brottsdatalag med bestämmelser om skydd av personuppgifter på det brottsbekämpande området. Förslaget innehåller bestämmelser som i princip genomför samtliga bestämmelser i det nya dataskyddsdirektivet. Utredningen kommer att lämna förslag till de författnings- ändringar som krävs för att anpassa bl.a. polisdatalagen och tull- brottsdatalagen till de nya förutsättningarna. För Försvarsmakten gäller bl.a. lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverk- samhet och militära säkerhetstjänst med anslutande förordning (SFS 2007:260). Lagen gäller för verksamheten vid den del av För- svarsmakten som kallas Must och i vilken PNR-information med personuppgifter kan komma att mottas från enheten för passagerar- information för fortsatt behandling i verksamhet med att förebygga, upptäcka eller förhindra terroristbrottslighet eller grov brottslighet. Regleringen är en s.k. heltäckande registerlagstiftning som varken gäller utöver eller hänvisar till personuppgiftslagen. Den innehåller dock likadana eller liknande bestämmelser som personuppgiftslagen, t.ex. om förhållandet till offentlighetsprincipen och definitioner men även bestämmelser rörande information, rättelse, skadestånd, säkerhet och personuppgiftsombud. Tillsyn över personuppgifts- behandlingen enligt lagen utövas av Datainspektionen (10 § förord- ningen). En utredning har getts i uppdrag att se över regle- ringen av behandlingen av personuppgifter inom bl.a. Försvarsmakten (dir. 2017:42). Det uppdraget ska redovisas . 16.2.2Våra generella överväganden i denna del Som vi anfört redan i avsnitt 8.5 hade de fåtaliga bestämmelserna om hur PNR-information får behandlas hos de behöriga myndig- heterna lämpligen kunnat placeras i respektive behörig myndighets registerförfattning. Det föreligger dock en stor osäker- het kring hur den aktuella dataskyddsregleringen kommer att se ut efter genomförandet av dataskyddsreformen. Vad gäller de brotts- bekämpande myndigheternas personuppgiftsbehandling kommer den till stor del att regleras av brottsdatalagen och det är oklart hur de myndighetsspecifika registerförfattningarna kommer Behöriga myndigheters behandling av PNR-information att se ut. Förslaget till brottsdatalag tyder på att dess bestämmelser inte kommer att vara direkt tillämpliga för Säkerhetspolisens verk- samhet. Utredningen om 2016 års dataskyddsdirektiv har dock angett att vissa bestämmelser i brottsdatalagen kommer att vara tillämpliga på motsvarande sätt som vissa bestämmelser i personuppgiftslagen (SOU 2017:29 s. 176). Vilka bestämmelser i brottsdatalagen och hur Säkerhetspolisens personuppgiftsbehandling ska regleras kommer utredningen att återkomma till i sitt slutbetänkande. Vidare omfattas inte Försvarsmaktens personuppgiftsbehandling av den dataskyddsreglering som föreslagits eller kommer att föreslås för brottsbekämpande myndigheter. Med hänsyn till dessa förhållan- den föreslår vi, som framgått av avsnitt 8.5, att PNR-direktivets be- stämmelser om PNR-uppgifternas behandling hos de behöriga myn- digheterna, i vart fall tills vidare, förs in i den av oss föreslagna nya lagen. En fördel med denna samlade lösning är att det inte krävs ändringar i olika registerförfattningar om nya behöriga myndig- heter utses eller någon faller ifrån. Vidare föreslår vi att det i de aktuella registerförfattningarna förs in bestämmelser om att det i den av oss föreslagna lagen och i före- skrifter som har meddelats med stöd av den lagen finns bestämmelser om personuppgiftsbehandling som ska tillämpas i stället för bestäm- melserna i aktuell registerförfattning (se avsnitt 8.5). Utöver de bestämmelser som kommer att föreslås i detta avsnitt föreslår vi även att det i den nya lagen tas in bestämmelser om gallring vid de behöriga myndigheterna av sådan PNR-information som visar sig sakna betydelse för att förebygga, förhindra, upp- täcka, utreda eller lagföra terroristbrottslighet eller grov brottslig- het (se avsnitt 18.8) eller som avslöjar känsliga personuppgifter (se avsnitt 18.5). Det kan här också erinras om att vi i avsnitt 9.5 före- slagit en inledande allmän portalbestämmelse som genomför bl.a. artikel 1.2 i direktivet och som innebär en yttre ram för vilken be- handling som alls är tillåten vad gäller PNR-information. Enligt den bestämmelsen, som även behöriga myndigheter är skyldiga att följa, får PNR-information inte behandlas för andra syften än att före- bygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller grov brottslighet. I övriga frågor kommer behandlingen av den PNR-information som har överförts till de behöriga myndigheterna från en enhet för passagerarinformation att styras av de dataskyddsbestämmelser som Behöriga myndigheters behandling av PNR-information är tillämpliga för de behöriga myndigheterna. I praktiken innebär detta brottsdatalagen, avvikande eller kompletterande bestämmelser i polisdatalagen, tullbrottsdatalagen, lagen om behandling av person- uppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst eller de nya författningar som kan komma att genomföras på grundval av förslag från Utredningen om 2016 års dataskyddsdirektiv eller den nämnda utredning som ser över behandlingen av personuppgifter inom Försvarsmakten. För att skyddet för enskilda ska bli effektivt krävs att de myn- digheter som hanterar PNR-information är medvetna om uppgif- ternas ursprung och att det på grund av ursprunget kan göras särskilda begränsningar för behandlingen. Det kan därför vara lämp- ligt att PNR-informationen förses med någon form av märkning redan i samband med att den erhålls från en enhet för passagerar- information. En sådan märkning skulle göra det enklare för de behöriga myndigheterna att leva upp till lagens krav på hantering av informationen. Det har i tidigare lagstiftningssammanhang disku- terats huruvida det i lag eller förordning bör regleras om en märk- ning ska göras av varifrån vissa uppgifter härstammar. Regeringen har då funnit att frågan om hur en eventuell märkning ska utformas inte bör regleras på lag- eller förordningsnivå, eftersom en sådan reglering skulle kunna innebära en onödig begränsning i myndig- heternas arbete med moderna tekniklösningar (se prop. 2012/13:73 s. 113). Vi delar den bedömningen. Frågan om märkning av den PNR-information som har överförts till de behöriga myndigheterna från en enhet för passagerarinformation bör därför lösas på myndig- hetsnivå, eventuellt i samarbete mellan myndigheterna. 16.2.3Myndigheternas behandling av den överförda PNR-informationen Vårt förslag: Om det har kommit fram uppgifter om annat brott än terroristbrottslighet eller grov brottslighet i samband med en behörig myndighets insats som görs till följd av behandling av PNR-information, får – utöver vad som anges i lagens portal- bestämmelse – informationen användas för att förhindra, utreda eller lagföra brottet. Behöriga myndigheters behandling av PNR-information Behandling endast för direktivets syften Av artikel 7.4 framgår att de behöriga myndigheterna endast får vidarebehandla sådan PNR-information som de har mottagit av en- heten för passagerarinformation om det specifika syftet är att före- bygga, förhindra, upptäcka, utreda eller lagföra terroristbrott eller grov brottslighet. Artikel 7.4 utgör såvitt avser PNR-uppgifter en upprepning av den för direktivet grundläggande bestämmelsen i artikel 1.2 om att PNR-uppgifter endast får behandlas för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet. Enligt vårt förslag kommer en portalbestämmelse med denna inne- börd att föras in i lagens inledande kapitel. Vi föreslår att den också ska omfatta resultaten av en enhet för passagerarinformations be- handling av PNR-uppgifter, dvs. Det saknas enligt vår bedömning skäl att därutöver införa en särskild bestämmelse med detta innehåll för de behöriga myndigheterna. För det fall be- stämmelserna om hur PNR-information får behandlas hos de behö- riga myndigheterna skulle föras in i varje behörig myndighets re- gisterförfattning hade dock en särskild bestämmelse som genomför artikel 7.4 varit nödvändig i respektive lag. Behandling för att förhindra, utreda eller lagföra annan upptäckt brottslighet Enligt artikel 7.5 ska punkten 4 inte påverka de brottsbekämpande eller rättsliga myndigheternas befogenheter på nationell nivå, om andra brott eller indikationer på sådana upptäcks i samband med brottsbekämpande insatser som görs till följd av sådan behandling av PNR-uppgifter. Om PNR-informationen leder till att en behörig myndighet genomför en brottsbekämpande insats avseende terrorist- brottslighet eller grov brottslighet och det vid denna insats fram- kommer misstankar om sådan brottslighet som faller utanför direk- tivet, har myndigheterna således rätt att agera även på dessa miss- tankar. Bestämmelsen innebär en möjlighet att förhindra, utreda och lagföra mindre allvarlig brottslighet som upptäcks i samband med en brottsbekämpande insats gällande allvarlig brottslighet, inklusive terrorism. Vad som menas med en brottsbekämpande insats anges inte i direktivet. Enligt vår mening bör med en sådan insats avses Behöriga myndigheters behandling av PNR-information olika möjliga åtgärder som kan ske till följd av sådan misstänkt brotts- lighet som omfattas av direktivet. Man kan t.ex. tänka sig ett för- hör, en husrannsakan, en brottsplatsundersökning eller ett beslag. Man kan också tänka sig en spaningsoperation. Huruvida en för- undersökning har inletts bör inte vara avgörande. En bestämmelse som genomför artikel 7.5 bör föras in i lag. Av bestämmelsen bör framgå att den utgör ett undantag från huvud- regeln om att PNR-information endast får användas för att före- bygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller grov brottslighet. Vårt förslag: Ett beslut som har rättsliga följder för en fysisk person eller annars i betydande grad påverkar honom eller henne, får inte enbart grundas på en automatiserad behandling av PNR- uppgifter eller på känsliga personuppgifter. Med automatiserade beslut avses beslut som inte fattas av någon tjänsteman utan som blir den automatiska följden av t.ex. att en viss handling ges in eller inte inkommer (SOU 2017:29 s. 288). En bestämmelse med liknande innehåll finns i artikel 11 i det nya dataskyddsdirektivet. I brottsdatalagen har den aktuella artikeln genomförts i 2 kap. 19 §. Av den bestämmelsen framgår att om ett beslut, som har rättsliga följder för en fysisk person eller annars i betydande grad påverkar honom eller henne, enbart grundas på automatiserad behandling av sådana personuppgifter som är av- sedda att bedöma hans eller hennes egenskaper, ska personen ha möjlighet att på begäran få beslutet omprövat av någon person. I bestämmelsen anges också att automatiserade beslut inte får enbart grundas på känsliga personuppgifter. I artikel 7.6 i PNR-direktivet anges att de behöriga myndig- heterna inte får fatta några beslut som har negativa rättsliga konse- kvenser för en person eller på annat sätt allvarligt påverkar en per- son endast på grund av den automatiska behandlingen av PNR- uppgifter. Besluten (such decisions i den engelska respektive sådanne afgørelser i den danska versionen) får inte heller grunda sig på känsliga personuppgifter. Behöriga myndigheters behandling av PNR-information Bestämmelsen innebär alltså att en behörig myndighet inte får fatta några beslut som har rättsliga följder för en fysisk person eller annars i betydande grad påverkar honom eller henne enbart till följd av en automatiserad behandling av PNR-uppgifter. Ett beslut baserat på PNR-uppgifter måste således alltid föregås av en bedömning gjord av en tjänsteman vid myndigheten. Vidare får ett sådant beslut inte grundas på känsliga personuppgifter. Direktivets bestämmelse uppvisar alltså vissa likheter med förbudet mot automatiserade be- slut i brottsdatalagen. Vi föreslår att det tas in en bestämmelse i den nya lagen om auto- matiserade beslut som genomför artikel 7.6 i PNR-direktivet. Liksom på övriga ställen i vår lag där känsliga personuppgifter är aktuella bör det i vår bestämmelse föras in en hänvisning till den bestämmelse i brottsdatalagen där de känsliga personuppgifterna i här aktuellt hänseende definieras. För de brottsbekämpande myndigheter som i sin verksamhet tillämpar brottsdatalagen, kommer 2 kap. 19 § BDL att gälla utöver den av oss föreslagna bestämmelsen om automatiserade beslut. En viss dubbelreglering kommer därmed att uppstå avseende automati- serade beslut baserade på känsliga personuppgifter. Det sagda gäller dock bara för sådana behöriga myndigheter som annars har att tillämpa 2 kap. 19 § BDL, inte t.ex. Försvarsmakten. Enligt vår bedömning torde bestämmelsen inte komma att få någon praktisk betydelse för de behöriga myndigheternas behand- ling av PNR-information. Denna information kommer alltid att granskas individuellt av någon tjänsteman innan den används på ett sådant sätt att den leder till ett beslut som påverkar den person som PNR-uppgifterna avser. Vidare får PNR-uppgifter som avslöjar käns- liga personuppgifter över huvud taget inte behandlas av enheten för passagerarinformation eller de behöriga myndigheterna. Sådana upp- gifter kommer därför inte att ligga till grund för några beslut. 17 Överföring till tredjeland Överföringar från enheten för passagerarinformation till tredjeland behandlas i artikel 11 i PNR-direktivet. Av bestämmelsen framgår att det är tillåtet för en medlemsstat att överföra sådan PNR-information som lagras av enheten för passagerarinformation till ett tredjeland (artikel 11.1). En överföring får dock endast ske efter en bedömning i det enskilda fallet och under förutsättning att 1.de villkor som fastställs i artikel 13 i dataskyddsrambeslutet är upp- fyllda, 2.överföringen är nödvändig för direktivets syften enligt artikel 1.2, dvs. för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet, 3.det berörda tredjelandet godtar att överföra uppgifterna till ett annat tredjeland endast om det är strikt nödvändigt för direk- tivets ändamål enligt artikel 1.2 och endast efter uttryckligt sam- tycke av medlemsstaten, och 4.samma villkor för överföring till en annan medlemsstat som an- ges i artikel 9.2 är uppfyllda. I artikel 11.2 behandlas överföringar av sådan PNR-information som enheten för passagerarinformation har mottagit från en annan med- lemsstats motsvarande enhet. Överföring av personuppgifter som en svensk myndighet har fått från en annan medlemsstat kräver normalt samtycke från den medlemsstat från vilken uppgifterna har hämtats. I artikel 13.2 i dataskyddsrambeslutet finns det intaget ett undantag från denna huvudregel. Även i PNR-direktivet finns ett sådant undantag, som enligt bestämmelsen ska gälla i stället för mot- svarande bestämmelse i dataskyddsrambeslutet. Således anges i arti- kel 11.2 att överföring av PNR-uppgifter utan förhandssamtycke från den medlemsstat från vilken uppgifterna hämtades får ske i undantagsfall och endast om överföringen är absolut nödvändig för att reagera på ett specifikt och faktiskt hot med anknytning till terroristbrott eller grov brottslighet samt förhandssamtycke inte kan erhållas . Den myndighet som ansvarar för att ge samtycke i den ursprungliga medlemsstaten ska informeras utan dröjsmål och över- föringen ska vederbörligen registreras samt genomgå efterhands- kontroll. Enligt artikel 11.3 ska medlemsstaterna överföra PNR-uppgifter till behöriga myndigheter i tredjeländer på villkor som är förenliga med direktivet endast efter att ha förvissat sig om att mottagarnas planerade användning av uppgifterna är förenlig med dessa villkor och skyddsåtgärder. Dataskyddsombudet vid enheten för passagerar- information i den medlemsstat som har överfört PNR-uppgifterna ska enligt artikel 11.4 informeras om varje överföring. I dataskyddsrambeslutet anges gemensamma regler för behandling av personuppgifter inom ramen för polisiärt och straffrättsligt sam- arbete när personuppgifter överförs eller görs tillgängliga mellan EU-medlemsstater, , , och och EU-organ och EU:s informationssystem. Dataskyddsrambeslutet innehåller även bestämmelser om dataskydd vid överföringar till tredjeland.