sou · H5B357 · 2017-06-22 00:00:00 — Enligt vår mening uppfyller dessa regleringar en rimlig avvägning mellan de olika intressen som står mot varandra även när det gäller PNR-uppgifter eller annan PNR-information. Det saknas därför – med ett undantag – anledning att föreslå några bestämmelser om hur länge behöriga myndigheter får bevara sådan information som de tar emot från en enhet för passagerarinformation. Undantaget avser sådan PNR-information som enheten för passagerarinformation efter sin förhandsbedömning enligt arti- kel 6.2 a skickar till en eller flera behöriga myndigheter för vidare granskning. För det fall den behöriga myndigheten konstaterar att PNR-informationen med resultatet av enhetens behandling visar sig sakna betydelse för att bekämpa terroristbrottslighet eller grov brottslighet, är det vår mening att informationen ska gallras hos den behöriga myndigheten genom att raderas. Vi föreslår därför en sådan bestämmelse, som bör föras in i lagen. Bestämmelsen kan sägas utgöra en motsvarighet till de bestämmelser som finns i 26 § polis- lagen, 4 kap. 8 § tullagen och 16 § inregränslagen, se avsnitt 18.2.1. Bestämmelsen kommer att gälla för samtliga nuvarande och even- tuellt tillkommande behöriga myndigheter. Det ska observeras att det kan ta olika i olika fall att konstatera om en uppgift saknar betydelse för den angivna brottsligheten. Det är alltså först när detta konstaterats som gallringsskyldigheten träder in. PNR-direktivet innehåller inte några särskilda bestämmelser om per- sonuppgiftsansvar. Däremot innehåller direktivet en rad skyldigheter som ålagts de nationella enheterna för passagerarinformation. Exem- pelvis anger direktivet hur enheten får behandla PNR-uppgifter och när enheten får överföra dessa uppgifter till behöriga myndigheter och andra mottagare. Vidare anges i direktivet att medlemsstaterna ska se till att enheten för passagerarinformation bevarar viss doku- mentation och loggar behandlingen av uppgifter samt informerar om personuppgiftsincidenter. Enheten ska också utse ett dataskyddsom- bud. Alla dessa skyldigheter innebär krav på behandling av person- uppgifter. Vidare anges i artikel 13.3 att direktivet inte påverkar tillämplig- heten av det nuvarande dataskyddsdirektivet1 på lufttrafikföretags behandling av personuppgifter, i synnerhet deras skyldigheter att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifters säkerhet och konfidentialitet. 1 och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. 19.1.2Nya dataskyddsdirektivet och brottsdatalagen En definition av begreppet personuppgiftsansvarig finns intagen i artikel 3.8 i det nya dataskyddsdirektivet. Enligt definitionen avses med personuppgiftsansvarig en behörig myndighet som ensam eller tillsammans med andra bestämmer ändamålen och medlen för be- handlingen av personuppgifter. Om ändamålen och medlen för be- handlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller medlemsstater- nas nationella rätt. Av definitionen framgår att endast myndigheter kan vara personuppgiftsansvariga inom direktivets område. Enligt skäl 50 i direktivet bör vidare de personuppgiftsansvariga åläggas ansvaret för all behandling av personuppgifter som de utför eller som utförs på deras vägnar. Utredningen om 2016 års dataskyddsdirektiv föreslår att en personuppgiftsansvarig definieras som den behöriga myndighet som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandlingen av personuppgifter (1 kap. 6 § BDL). Enligt 3 kap. 1 § BDL ska den personuppgiftsansvarige vara ansvarig för all behandling av personuppgifter som utförs under dennes ledning eller på dennes vägnar. Enligt utredningens allmänna överväganden ger brottsdatalagens definition vägledning som på ett tillräckligt tydligt sätt gör att det går att fastställa vem som är personuppgiftsansvarig i verksamheter där endast brottsdatalagen kommer att gälla. Vidare pekas på att myndigheternas registerförfattningar föreskriver vem som är personuppgiftsansvarig samt att utredningen kommer att i sitt slutbetänkande behandla hur personuppgiftsansvaret ska regleras i dessa författningar (SOU 2017:29 s. 298). 19.1.3Våra överväganden och förslag Vårt förslag och vår bedömning: I lagen tas in en bestämmelse om att är personuppgiftsansvarig för den be- handling av personuppgifter som utförs vid enheten för passagerar- information. Ytterligare bestämmelser om personuppgiftsansvar behöver inte föras in i lagen. Personuppgiftsansvaret för behandling av personuppgifter vid enheten för passagerarinformation Enheterna för passagerarinformation får enligt direktivet inrättas såsom nya, egna, myndigheter eller etableras inom en redan befintlig myndighet. Eftersom valet av organisationsform är upp till varje med- lemsstat, är det förståeligt att direktivet ålägger enheterna för passa- gerarinformation de skyldigheter som direktivet kräver. Den svenska enheten för passagerarinformation kommer dock att inrättas inom och ingå som en organisatorisk enhet i den myn- digheten. Inom svensk förvaltning är det normalt så att det yttersta ansvaret för verksamheten läggs på myndighetsnivå. Det är således myndigheten i stort som ansvarar för personuppgiftsbehandlingen. Eftersom enheten för passagerarinformation kommer att placeras inom är det alltså den enda rimliga ordningen enligt vår mening att det är som ska vara person- uppgiftsansvarig för den behandling av personuppgifter som enheten utför enligt den lag som vi föreslår. Frågan är om detta behöver regleras särskilt. För personuppgiftsbehandling i den brotts- bekämpande verksamheten kommer brottsdatalagen att bli tillämp- lig. I brottsdatalagen pekas inte särskilt ut vilken myndighet som är personuppgiftsansvarig för vad. Såvitt vi i skrivande stund kan för- moda kommer den befintliga regleringen av personuppgiftsansvaret att i huvudsak behållas i de särskilda registerförfattningarna för behöriga myndigheter på området, däribland polisdatalagen, även sedan de anpassats till brottsdatalagen. Polisdatalagen kommer att gälla även för arbetet vid enheten för passagerarinformation, för det fall inte annat anges i vår lag. Det torde därför inte vara helt nöd- vändigt att även i vår lag ange att det är som har personuppgiftsansvaret. Eftersom frågan förtjänar tydlighet föreslår dock vi att det i lagen förs in en bestämmelse om personuppgiftsansvar. Behovet av tydlighet sammanhänger bl.a. med att det annars kan uppstå missförstånd på grund av de bestämmelser som anger vad enheten för passagerarinformation ska eller får göra. Bestämmelsen är således av upplysande karaktär och förtydligar att det är som ska ansvara för att PNR-direktivets och brottsdatalagens olika skyldigheter följs vad gäller verksamheten vid enheten för passagerarinformation. Personuppgiftsansvaret för behandling hos behöriga myndigheter Sedan PNR-uppgifterna har överförts från enheten för passagerar- information till olika behöriga myndigheter kommer respektive myndighet att vara ansvarig för de överförda personuppgifterna och dess fortsatta behandling. Det gäller oavsett om PNR-informationen överförts efter en förhandsbedömning eller på särskild begäran. Detta behöver inte regleras särskilt i vår lag. Personuppgiftsansvaret för behandling hos lufttrafikföretagen Lufttrafikföretagen åläggs en författningsreglerad skyldighet att över- föra PNR-uppgifter till enheten för passagerarinformation. Så gott som samtliga lufttrafikföretag torde vara sådana i EU etablerade aktörer som kommer att omfattas av den kommande dataskyddsför- ordningens tillämpningsområde, se artikel 3 i förordningen. I förord- ningen finns en med det nya dataskyddsdirektivet likartad definition av personuppgiftsansvarig (artikel 4.7). De PNR-uppgifter som luft- trafikföretagen överför är uppgifter som företagen redan samlat in i sin kommersiella verksamhet i vilken de bestämmer ändamålen och medlen med behandlingen av uppgifterna. Det torde inte kunna råda något tvivel om att ett lufttrafikföretag har personuppgiftsansvaret för de PNR-uppgifter som företaget samlat in och behandlar. Visser- ligen anges i artikel 11.1 i den tidigare nämnda förordningen om en uppförandekod för datoriserade bokningssystem2 att systemleveran- tören ska betraktas som registeransvarig, dvs. personuppgiftsansvarig för personuppgifterna i systemen. Enligt vår mening fråntar dock inte detta förhållande lufttrafikföretagens personuppgiftsansvar en- ligt dataskyddsförordningen för PNR-uppgifterna i samband med deras överföring till enheten för passagerarinformation. Det kan här anmärkas att artikel 13.3 respektive 21.2 i PNR-direktivet synes förutsätta att lufttrafikföretagen är personuppgiftsansvariga i detta avseende. Det förhållandet att lufttrafikföretagen åläggs en skyldig- het att översända redan insamlade uppgifter till enheten för passage- rarinformation medför inget behov av särskild reglering av person- 2 och rådets förordning (EG) nr 80/2009 av om en uppförandekod för datoriserade bokningssystem och upphävande av rådets förordning (EEG) nr 2299/89. uppgiftsansvaret menar vi. Lufttrafikföretagens personuppgiftsan- svar enligt dataskyddsförordningen för PNR-uppgifterna kommer alltså att omfatta deras överföring av PNR-information till enheten för passagerarinformation. För det fall ett lufttrafikföretag anlitar en systemleverantör för överföringen till enheten för passagerarinforma- tion uppträder denne, i fråga om överföringen, som ett personupp- giftsbiträde som behandlar personuppgifter för det personuppgifts- ansvariga lufttrafikföretagets räkning. Ansvaret för att överföringen till enheten för passagerarinforma- tion sker på ett säkert sätt ligger således hos lufttrafikföretagen. De har dock givetvis inget ansvar för den fortsatta hantering som sker vid enheten eller behöriga myndigheter m.fl. från och med enhetens mottagande av uppgifterna. Direktivet innehåller ett flertal bestämmelser som syftar till att säker- ställa en hög nivå av datasäkerhet vid behandlingen av PNR- uppgifter. I artikel 13.7 anges att medlemsstaterna ska se till att deras enhet för passagerarinformation genomför lämpliga tekniska och organisatoriska åtgärder och förfaranden för att säkerställa en så hög säkerhetsnivå som är lämplig med tanke på de risker som är för- knippade med behandlingen och arten av PNR-uppgifterna. Vidare anges i artikel 13.2 att medlemsstaterna ska föreskriva att de nationella bestämmelser om konfidentiell behandling och datasäkerhet som har antagits för genomförande av artiklarna 21 och 22 i dataskydds- rambeslutet även är tillämpliga på all behandling av personuppgifter i enlighet med detta direktiv. En ytterligare bestämmelse med anknyt- ning till datasäkerhet är artikel 6.8 vari anges att lagring, behandling och analys av PNR-uppgifter vid enheten för passagerarinformation uteslutande ska utföras på en eller flera säkra platser på en med- lemsstats territorium. Som redan tidigare nämnts anges vidare i artikel 13.3 att direk- tivet inte påverkar tillämpligheten av det nuvarande dataskydds- direktivet på lufttrafikföretags behandling av personuppgifter, i synnerhet deras skyldigheter att vidta lämpliga tekniska och organi- satoriska åtgärder för att skydda personuppgifters säkerhet och I artikel 16.1 anges vidare att all överföring av PNR- uppgifter från lufttrafikföretag till enheter för passagerarinforma- tion ska göras med elektroniska medel som tillhandahåller tillräck- liga garantier med avseende på de tekniska säkerhetsåtgärder och de organisatoriska åtgärder som styr den behandling som ska utföras. I händelse av tekniska problem får PNR-uppgifterna överföras på annat lämpligt sätt under förutsättning att samma säkerhetsnivå upprätthålls och att unionsrätten om dataskydd respekteras fullt ut (se även artikel 8.3). 19.2.2Dataskyddsrambeslutet och dess genomförande i svensk rätt Artikel 22 i dataskyddsrambeslutet föreskriver krav på säkerhet i samband med behandlingen av personuppgifter. Enligt bestämmelsen ska medlemsstaterna se till att behöriga myndigheter vidtar lämpliga tekniska och organisatoriska åtgärder för att skydda personuppgifter från att avsiktligt eller oavsiktligt utplånas eller gå förlorade samt från ändringar, otillåten spridning och otillåten tillgång till uppgifterna. I punkten 2 ställs mera konkreta krav på olika typer av åtgärder som dels ska förhindra att uppgifterna hamnar i orätta händer, dels till- försäkra att det går att i efterhand kontrollera vem som har lagt in uppgifter och att de system som används fungerar tillfredsställande. I artikel 21 i rambeslutet föreskrivs att personuppgifter endast får behandlas av anställda vid den behöriga myndigheten eller efter instruktioner från denna, om det inte föreligger rättsliga skyldigheter till annan behandling. Vidare ska den som anlitas för att arbeta för en behörig myndighet vara bunden av alla de bestämmelser om skydd av uppgifter som gäller för respektive myndighet. De aktuella bestämmelserna föranledde inte några ändringar i lag eller förordning i samband med genomförandet av rambeslutet, efter- som gällande rätt för den brottsbekämpande sektorn redan ansågs tillgodose kraven enligt rambeslutet (se prop. 2008/09:16 s. 52 f.). Bland annat hänvisades till de allmänna bestämmelserna i 30–32 §§ PUL om säkerheten vid behandling av personuppgifter. Bestämmel- serna avser att trygga både den tekniska säkerheten och att de per- soner som behandlar uppgifterna har tillräckliga instruktioner för att behandla uppgifterna på ett korrekt sätt. Den personuppgifts- ansvarige har ett stort ansvar för säkerheten. Vidare hänvisades till att bestämmelser om informationssäkerhet även finns i andra författ- ningar, t.ex. i arkivlagen (1990:782). Vad gäller artikel 21 ansågs där- utöver 14 § i lagen (1994:260) om offentlig anställning ha betydelse för att uppfylla rambeslutets krav såvitt gäller allmän verksamhet. Som har angetts upphävs dataskyddsrambeslutet i samband med genomförandet av det nya dataskyddsdirektivet. Av PNR- direktivets skäl 27 framgår att hänvisningar till dataskyddsrambeslu- tet bör ses som hänvisningar till såväl nuvarande lagstiftning som de framtida bestämmelser som kommer att ersätta denna. Eftersom det nya dataskyddsdirektivet ska genomföras i nationell rätt ungefärligen som PNR-direktivet, får hänvisningarna till dataskydds- rambeslutet läsas som hänvisningar till det nya dataskyddsdirektivet. Som tidigare framgått föreslås det nya dataskyddsdirektivet genomföras i svensk rätt genom brottsdatalagen och den tillhörande förordningen. Så gäller även för det nya dataskyddsdirektivets be- stämmelser om tekniska och organisatoriska åtgärder. Enligt 3 kap. 2 § BDL ska den personuppgiftsansvarige, genom lämpliga tekniska och organisatoriska åtgärder, säkerställa och kunna visa att behand- lingen av personuppgifter är författningsenlig och att registrerades rättigheter skyddas. I 3 kap. 3 § anges att den personuppgiftsansva- rige ska, genom lämpliga tekniska och organisatoriska åtgärder, se till att dataskyddsprinciper säkerställs på ett effektivt sätt och att nödvändiga skyddsåtgärder integreras i behandlingen (inbyggt data- skydd). Det gäller både vid beslut om hur behandlingen ska utföras och vid behandlingen. Enligt 3 kap. 4 § ska den personuppgiftsansvarige se till att det i automatiserade behandlingssystem som regel endast är möjligt att behandla de personuppgifter som är nödvändiga för varje särskilt angivet ändamål med behandlingen (dataskydd som standard). I 3 kap. 6 § anges att den personuppgiftsansvarige ska se till att tillgången till personuppgifter begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. Kan en typ av ny behandling eller betydande förändringar av- seende redan pågående behandling antas medföra särskild risk för intrång i den registrerades personliga integritet, ska den person- uppgiftsansvarige, enligt 3 kap. 7 §, innan behandlingen påbörjas eller förändringen genomförs bedöma konsekvenserna för skyddet av personuppgifter. I sådana fall ska den personuppgiftsansvarige sam- råda med tillsynsmyndigheten innan behandlingen påbörjas eller betydande förändringar genomförs. Enligt 3 kap. 8 § ska den personuppgiftsansvarige vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personupp- gifter som behandlas, särskilt mot obehörig eller otillåten behandling och mot förlust, förstöring eller annan oavsiktlig skada. I 3 kap. 8 § BDF anges vidare vad som ska beaktas vid utformningen av säker- hetsåtgärder för att en lämplig säkerhetsnivå ska uppnås. För en närmare beskrivning av de föreslagna bestämmelserna hänvisas till SOU 2017:29. 19.2.4Våra överväganden och förslag Vårt förslag och vår bedömning: Det ska i lagen föras in en be- stämmelse som genomför artikel 6.8 i direktivet. Enligt bestäm- melsen får enheten för passagerarinformations lagring och annan behandling av PNR-uppgifter inte ske utanför en medlemsstats territorium. Generella dataskyddsbestämmelser behöver i övrigt inte föras in i lagen. Som framgått innehåller brottsdatalagen ett flertal bestämmelser som innebär att lämpliga tekniska och organisatoriska åtgärder ska vidtas för att säkerställa en hög säkerhetsnivå till skydd av person- uppgifter. De ovan angivna bestämmelserna innehåller även krav på sådan konfidentiell behandling och datasäkerhet som avses i data- skyddsrambeslutet. Brottsdatalagen kommer att gälla såväl för den personuppgiftsbehandling som sker vid enheten för passagerar- information som vid de flesta behöriga myndigheter som senare kommer att ta del av PNR-information. Bestämmelserna i brottsdatalagen är generellt formulerade och kommer därmed att bli direkt tillämpliga för den personuppgifts- behandling som avses i PNR-direktivet och som utförs vid enheten för passagerarinformation eller vid de flesta behöriga myndigheter. Enligt vår uppfattning motsvarar dessa generella bestämmelser de krav som bör ställas i fråga om PNR-information. registerförfattningarna för de behöriga myndigheter som inte kom- mer att tillämpa brottsdatalagen kommer att innehålla motsvarande bestämmelser. Särskilda bestämmelser i dessa frågor behöver, med ett undantag, således inte föras in i vårt lagförslag. Undantaget avser kravet i artikel 6.8 om att enhetens lagring, behandling och analys av PNR-uppgifter måste ske på en eller flera säkra platser på en medlemsstats territorium. Den bestämmelsen saknar motsvarighet i brottsdatalagen och bör genomföras i den nya lagstiftning vi föreslår. Enligt vår bedömning innebär bestämmelsen ett förbud mot att lagring och annan behandling sker på ett territo- rium utanför en medlemsstat enligt direktivet. Det innebär alltså inte nödvändigtvis ett krav på att behandlingen ska ske i även om det är så som planeras ske. För att inte låsa fast den tekniska utvecklingen av PNR-systemet och samarbetet mellan medlems- staterna bör det inte föreskrivas att all lagring och annan behandling måste ske i . Artikel 6.8 bör i detta avseende genomföras som ett absolut förbud mot att enheten för passagerar- information lagrar och utför annan behandling av PNR-uppgifter utanför medlemsstaternas territorium. Med tanke på de generella säkerhetsbestämmelser som kommer att gälla ter det sig enligt vår mening inte nödvändigt att särskilt föreskriva att hanteringen ska ske på säkra platser. Att så måste ske följer enligt vår bedömning redan av de generella säkerhetskraven enligt brottsdatalagen. Vad gäller lufttrafikföretagen kommer dessas behandling av insamlade PNR-uppgifter och överföring till enheten för passagerar- information att omfattas av de bestämmelser om konfidentiell be- handling och datasäkerhet som finns i dataskyddsförordningen (se bl.a. artiklarna 3, 5.1 f och 32 i förordningen). Vi ser inte anledning att införa ytterligare reglering om detta i den nya lagen. 19.3Bevarande av dokumentation och loggning Av direktivets skäl 37 framgår att all behandling av PNR-uppgifter bör loggas eller dokumenteras i syfte att kontrollera att den är laglig och för att möjliggöra självövervakning och säkerställande av upp- gifternas integritet och en säker behandling. Artikel 13.5 i direktivet behandlar frågan om bevarande av dokumentation. anges att enheten för passagerarinformation ska bevara dokumen- tation om alla system och förfaranden för uppgiftsbehandling inom dess ansvarsområde. Dokumentationen ska minst innehålla a)namn och kontaktuppgifter för den organisatoriska enhet och den personal vid enheten för passagerarinformation som anför- trotts behandlingen av PNR-uppgifter och de olika nivåerna av åtkomstbehörighet, b)begäran från behöriga myndigheter och enheter för passagerar- information i andra medlemsstater, c)begäran om och överföring av PNR-uppgifter till ett tredjeland. I bestämmelsen anges vidare att enheten för passagerarinformation på begäran ska göra all dokumentation tillgänglig för den nationella tillsynsmyndigheten. Loggning är en säkerhetsåtgärd som innebär att behandlings- historik sparas . Det är en teknisk funktion i syste- met som fungerar automatiskt och som inte går att ändra eller påverka på annat sätt. Loggning fyller flera olika funktioner. Den ger den personuppgiftsansvarige information både om hur behand- lingssystemen används och om externa och interna angrepp mot systemen. Loggning är således mycket viktig för det interna säker- hetsarbetet. Den ger också tillsynsmyndigheten nödvändig infor- mation för granskningen i efterhand av hur personuppgifter har behandlats. Av artikel 13.6 framgår att medlemsstaterna ska se till att enheten för passagerarinformation för loggar över behandling av PNR-upp- gifter. Enligt bestämmelsen ska loggar föras över åtminstone in- samling, läsning, utlämning och radering. Loggarna över läsning och utlämning ska särskilt visa ändamål, datum och tidpunkt för sådan behandling och i möjligaste mån identitetsuppgifter för den person som har läst eller lämnat ut PNR-uppgifterna samt identitetsupp- gifter för de personer som har mottagit uppgifterna. Loggarna ska uteslutande användas för kontroll och självövervakning, för att säker- ställa dataintegritet och datasäkerhet och för revision. ska på begäran göra loggarna tillgängliga för den nationella tillsynsmyndigheten. Av artikeln framgår vidare att loggarna ska bevaras . Personuppgiftsansvariga har enligt det nu gällande dataskyddsdirek- tivet ingen skyldighet att föra register över de behandlingar som de ansvarar för. I stället är de skyldiga att anmäla behandling av per- sonuppgifter som är helt eller delvis automatiserad till tillsyns- myndigheten, som ska föra ett sådant register över de behandlingar som har anmälts till myndigheten. Någon anmälan till tillsynsmyn- digheten behöver emellertid inte göras om den personuppgifts- ansvarige utser ett personuppgiftsombud, som bl.a. ska ha till uppgift att föra register över de behandlingar som utförs av den personupp- giftsansvarige. Artiklarna har genomförts dels i 36, 37 och 39 §§ PUL, dels i personuppgiftsförordningen. Enligt 3 § 3 PUF gäller undantag från anmälningsskyldigheten bl.a. för behandling av personuppgifter som regleras genom särskilda föreskrifter i lag eller förordning. Myndigheternas registerförfattningar är sådana särskilda föreskrifter. Myndigheterna i rättskedjan är därmed inte anmälningsskyldiga och Datainspektionen för således inget register över dessa behandlingar. I t.ex. polisdatalagen anges dock att ett personuppgiftsombud ska utses och, genom hänvisning till 39 § PUL, att ombudet ska föra en förteckning över de behandlingar som utförs. Som tidigare nämnts ställs krav på säkerhetsåtgärder i 31 § PUL. De anses även omfatta loggning och liknande åtgärder.