sou · H5B357 · 2017-06-22 00:00:00 — 2 § Lufttrafikföretag som har samlat in sådan förhandsinformation om passagerare (API-uppgifter) som anges i punkt 18 i bilagan till lagen (2018:000) om flygpassageraruppgifter i brottsbekämpningen, men inte lagrar denna information med hjälp av samma tekniska metoder som för andra PNR-uppgifter, ska överföra även dessa upp- gifter till enheten för passagerarinformation. Bestämmelserna i lagen och i denna förordning är tillämpliga även för dessa uppgifter. Handläggning av sanktionsavgift för lufttrafikföretag 3 § Ett beslut om sanktionsavgift ska delges den som avgiften ska tas ut av. Verkställighet av sanktionsavgift för lufttrafikföretag 4 § En sanktionsavgift ska betalas till från det att beslutet om att ta ut avgiften har fått laga kraft. Om sanktionsavgiften inte betalas inom den tid som anges i första stycket, ska myndigheten lämna den obetalda avgiften för indrivning. Bestämmelser om indrivning finns i lagen (1993:891) om indrivning av statliga fordringar m.m. Vid indrivning får verkställighet ske en- ligt utsökningsbalken. 5 § En beslutad sanktionsavgift faller bort till den del beslutet om avgiften inte har verkställts från det att beslutet fick laga kraft. 3 kap. Behandling av PNR-information vid enheten för passagerarinformation 1 § ska i samarbete med de be- höriga myndigheterna fastställa och regelbundet se över de kriterier som avses i 3 kap. 5 § 2 lagen (2018:000) om flygpassagerarupp- gifter i brottsbekämpningen. 2 § Behörighet för tillgång till uppgifter som har maskerats enligt 3 kap. 11 § lagen (2018:000) om flygpassageraruppgifter i brotts- bekämpningen får endast ges till dataskyddsombudet eller den som har ett särskilt behov av fullständiga uppgifter för att kunna utföra sina arbetsuppgifter vid enheten för passagerarinformation. Behörig- heten får bara utnyttjas när det i ett enskilt fall är absolut nödvän- digt med tillgång till fullständiga uppgifter. 3 § meddelar närmare föreskrifter om tillgång till PNR-information och till övriga personuppgifter som behandlas vid enheten för passagerarinformation. Elektroniskt utlämnande av personuppgifter 4 § Begränsningen i 2 kap. 20 § första meningen polisdatalagen (2010:361) gäller inte för enheten för passagerarinformations över- föring av PNR-information till behöriga mottagare. 5 § Har överföring av avmaskerade PNR-uppgifter skett efter till- stånd från , ska dataskyddsombudet vid enheten för passagerarinformation göra en utvärdering av överföringen i efter- hand. Dataskyddsombudet ska även göra en utvärdering i efterhand av varje överföring till tredjeland som skett utan förhandssamtycke från den medlemsstat som har lämnat uppgifterna till enheten. 6 § Om lufttrafikföretagen har sänt in andra PNR-uppgifter än de som anges i bilagan till lagen (2018:000) om flygpassageraruppgifter i brottsbekämpningen, ska enheten för passagerarinformation vid mot- tagandet genast gallra dessa genom att de raderas. 7 § Resultatet av en sådan behandling av PNR-uppgifter som avses i 3 kap. 4 § första stycket 1 lagen (2018:000) om flygpassagerarupp- gifter i brottsbekämpningen ska gallras så snart det inte längre be- hövs för att kunna informera behöriga mottagare om resultatet. Om ett sådant resultat som avses i första stycket utgörs av en träff som inte bedöms behöva granskas vidare, får resultatet bevaras om syftet med bevarandet är att undvika motsvarande felaktiga träf- far . Gallring måste dock senast ske då de bakomliggande PNR-uppgifterna ska gallras enligt 3 kap. 9 § samma lag. 8 § Resultatet av en sådan behandling av PNR-uppgifter som avses i 3 kap. 4 § första stycket 2 lagen (2018:000) om flygpassagerarupp- gifter i brottsbekämpningen ska gallras så snart det inte längre be- höver bevaras för återrapportering från mottagaren. 9 § PNR-information som har mottagits från andra medlemsstaters enheter för passagerarinformation ska gallras så snart resultatet inte längre behövs för att kunna informera behöriga myndigheter samt för att återrapportera till den enhet för passagerarinformation som har sänt in informationen. 10 § Dokumentation om behandlingen av PNR-uppgifter vid en- heten för passagerarinformation ska bevaras. Dokumentationen ska minst avse 1.uppgifter om vilka register eller andra uppgiftssamlingar och på förhand fastställda kriterier som används inom enheten, 2.namn och kontaktuppgifter för den organisation och personal inom enheten för passagerarinformation som har behörighet att be- handla PNR-uppgifter samt personalens olika nivåer av åtkomst- behörighet, 3.varje begäran om att få ta del av PNR-uppgifter som har fram- ställts av en behörig myndighet, en enhet för passagerarinformation ien annan medlemsstat eller en myndighet som har utsetts som be- hörig i en annan medlemsstat, och 4.varje begäran om att få ta del av PNR-uppgifter från och varje överföring av sådana uppgifter till ett tredjeland. 11 § Sådan loggning som avses i 3 kap. 4 § brottsdataförordningen (2018:000) ska utföras över enheten för passagerarinformations per- sonuppgiftsbehandling. Loggarna ska bevaras . 12 § Dataskyddsombudet vid enheten för passagerarinformation ska informeras om 1.varje utlämnande av avmaskerade PNR-uppgifter efter tillstånd från , och 2.varje överföring av PNR-uppgifter från enheten för passa- gerarinformation till tredjeland. Inhämtande av PNR-information från andra medlemsstaters enheter för passagerarinformation 1 § Inhämtande av PNR-information från andra medlemsstater får endast ske för ett eller flera av de syften som anges i 1 kap. 5 § lagen (2018:000) om flygpassageraruppgifter i brottsbekämpningen. 2 § En behörig myndighet som önskar ta del av PNR-information som lagras hos en enhet för passagerarinformation i en annan med- lemsstat ska framställa begäran till enheten för passagerarinformation vid för vidare förmedling till den andra medlems- staten. 3 § Endast om det i ett enskilt brådskande fall är absolut nödvän- digt får en behörig myndighet vända sig direkt till enheten för passa- gerarinformation i en annan medlemsstat med en begäran om att ta del av PNR-information som lagras hos den enheten. Om en behörig myndighet har framställt en begäran enligt första stycket, ska en kopia av begäran skickas till enheten för passagerar- information vid . 4 § Endast när det i ett enskilt fall är nödvändigt för att reagera på en specifik och faktisk fara med anknytning till terroristbrottslighet eller grov brottslighet, får enheten för passagerarinformation hos en motsvarande enhet i en annan medlemsstat begära att PNR-uppgifter ska hämtas in från lufttrafikföretag i enlighet med artikel 8.5 i PNR-direktivet för vidarebefordran till enheten. 1 § När enheten för passagerarinformation har överfört PNR- information till ett tredjeland utan förhandsmedgivande ska den utan dröjsmål informera den medlemsstat som har lämnat uppgifterna till enheten om överföringen. 2 § I samband med en överföring av PNR-information till ett tredje- land ska enheten för passagerarinformation uppställa villkor om användningsbegränsning som avses i 8 kap. 10 § brottsdatalagen (2018:000) i syfte att skydda PNR-informationen från användning i strid med PNR-direktivet. Denna förordning träder i kraft . lag om ändring i polislagen (1984:387) Härigenom föreskrivs att 25 § polislagen (1984:387) ska ha föl- jande lydelse. Ett transportföretag som befordrar varor, passagerare eller for- don till eller från ska på begäran av eller Säkerhetspolisen skyndsamt lämna de aktuella uppgifter om ankom- mande och avgående transporter, som företaget har tillgång till. Transportföretaget har endast skyldighet att lämna de uppgifter om passagerare som avser namn, resrutt, bagage och medpassagerare samt sättet för betalning och bokning. får begära uppgifter enligt första stycket endast om uppgifterna kan antas ha betydelse för den brottsbekämpande verksamheten. Vad som anges i första och andra stycket ska inte gälla när lagen (2018:000) om flygpassage- raruppgifter i brottsbekämpningen är tillämplig. Denna lag träder i kraft . 2 Senaste lydelse 2014:588. lag om ändring i lagen (1996:701) om befogenheter vid gräns mot ett annat land inom Europeiska unionen Härigenom föreskrivs att 15 § lagen (1996:701) om be- fogenheter vid gräns mot ett annat land inom Europeiska unionen ska ha följande lydelse. Transportföretag som befordrar varor, passagerare eller fordon till eller från skall på begäran av skyndsamt lämna de aktuella uppgifter om ankommande och avgående transporter, som företaget har tillgång till. Transportföretag har endast skyldig- het att lämna de uppgifter om passagerare som avser namn, resrutt, bagage och medpassagerare samt sättet för betalning och bokning. får begära uppgifter enligt första stycket endast om uppgifterna kan antas ha betydelse för verkets brottsbekämpande verksamhet. Vad som anges i första och andra stycket ska inte gälla när lagen (2018:000) om flygpassa- geraruppgifter i brottsbekämpning- en är tillämplig. Denna lag träder i kraft . 3 Senaste lydelse 1999:434. lag om ändring i lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst Härigenom föreskrivs att det i lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst ska införas en ny paragraf, 1 kap. 1 a §, med följande lydelse. I lagen (2018:000) om flyg- passageraruppgifter i brottsbekämp- ningen och i föreskrifter som rege- ringen har meddelat i anslutning till den lagen finns det särskilda bestämmelser om behandling av personuppgifter. Om det i dessa författningar finns avvikande be- stämmelser, ska de tillämpas i stäl- let för bestämmelserna i denna lag. Denna lag träder i kraft . lag om ändring i polisdatalagen (2010:361) Härigenom föreskrivs att det i polisdatalagen (2010:361) ska in- föras en ny paragraf, 1 kap. 4 a §, med följande lydelse. I lagen (2018:000) om flyg- passageraruppgifter i brottsbe- kämpningen och i föreskrifter som regeringen har meddelat i anslut- ning till den lagen finns det sär- skilda bestämmelser om behand- ling av personuppgifter. Om det i dessa författningar finns avvikan- de bestämmelser, ska de tillämpas i stället för bestämmelserna i den- na lag. Denna lag träder i kraft . lag om ändring i tullagen (2016:253) Härigenom föreskrivs att det i tullagen (2016:253) ska införas en ny paragraf, 4 kap. 6 a §, med följande lydelse. Vad som anges i 6 § ska inte gälla när lagen (2018:000) om flygpassageraruppgifter i brottsbe- kämpningen är tillämplig. Denna lag träder i kraft . lag om ändring i tullbrottsdatalagen (2017:000) Härigenom föreskrivs att 2 kap. 8 § tullbrottsdatalagen (2017:000) ska ha följande lydelse. Lydelse enligt prop. Personuppgifter som har lämnats till från transport- företag enligt 4 kap. 6 § tullagen (2016:253) eller 15 § lagen (1996:701) om befogenheter vid gräns mot ett annat land inom Europeiska unionen får behandlas i den utsträck- ning det är tillåtet enligt dessa lagar och enbart i den utsträckning det behövs för planering av kontrollverksamheten och urval av kon- trollobjekt. Om det behövs i ett enskilt fall får sådana personuppgifter be- handlas för något annat ändamål som anges i 5 § och göras gemen- samt tillgängliga. I lagen (2018:000) om flyg- passageraruppgifter i brottsbe- kämpningen och i föreskrifter som regeringen har meddelat i anslut- ning till den lagen finns det sär- skilda bestämmelser om behand- ling av personuppgifter. Om det i dessa författningar finns avvikan- de bestämmelser, ska de tillämpas i stället för bestämmelserna i den- na lag. Denna lag träder i kraft . Utredningens uppdrag är att lämna förslag till de lagändringar som krävs för att i svensk rätt genomföra och rådets direktiv (EU) 2016/681 av om användning av passageraruppgiftssamlingar (PNR-uppgifter) för att förebygga, för- hindra, upptäcka, utreda och lagföra terroristbrott och grov brotts- lighet och för att ska leva upp till den deklaration som med- lemsstaterna har antagit i anledning av direktivet. Direktiven för arbetet finns i bilaga 1. I uppdraget ingår bl.a. att –föreslå ett system för hur flygpassageraruppgifter ska hanteras i och hur enheten för passagerarinformation ska organiseras, –föreslå vilka sanktioner som ska kunna åläggas flygbolag som inte uppfyller sina skyldigheter enligt direktivet, –föreslå en reglering för personuppgiftsbehandling och sekretess som passar in i den befintliga svenska strukturen och ger en rätts- säker och mer effektiv brottsbekämpning som skyddet för den personliga integriteten säkerställs, och –analysera om och i så fall hur direktivet påverkar det svenska genomförandet av rådets direktiv /82/EG av om skyldighet för transportörer att lämna uppgifter om passage- rare (API-direktivet) samt att föreslå hur systemet med flygpassa- geraruppgifter ska möjliggöra hanteringen av både PNR-uppgifter och API-uppgifter. Utredningens arbete påbörjades . Arbetet har bedrivits på sedvanligt sätt med regelbundna sammanträden med gruppen av sakkunniga och experter. Utredningen har sammanträtt vid sammanlagt nio tillfällen. Utredningen har beaktat det arbete som pågår inom Polismyndig- heten med att bl.a. inrätta en enhet för passagerarinformation och i övrigt genomföra direktivets tekniska delar. genom- fördes ett besök vid . Det samråd som utredningen enligt direktiven ska ha med berör- da myndigheter har huvudsakligen skett genom experterna. Därut- över har utredningen i vissa delar samrått med Datainspektionen som har lämnat övergripande synpunkter. Synpunkter har också inhämtats från berörda ekonomiska aktö- rer. hölls ett dialogmöte med representanter för lufttrafikföretagen. Ett dialogmöte med representanter för rese- byråer och researrangörer hölls . Ytterligare kontakter med dessa aktörer har förekommit efter mötena. Enligt utredningens direktiv ska utredaren i den utsträckning det är möjligt beakta det arbete som genomförs av Utredningen om 2016 års dataskyddsdirektiv (Ju 2016:06). Arbetet med genomförandet av det nya data- skyddsdirektivet har därutöver följts under hand. Våra författnings- förslag är anpassade till den nämnda utredningens förslag till ny ram- lagstiftning, brottsdatalagen med anslutande förordning, varigenom det nya dataskyddsdirektivet föreslås bli genomfört (SOU 2017:29). Skälet för detta något ovanliga anslag redogör vi för i avsnitt 8.5. Utredningen har vidare deltagit vid ett flertal möten med andra utredningar som utreder frågor om anpassning till EU:s dataskydds- reform. Även arbetet inom andra relevanta utredningar har beaktats. i anledning av direktivet antog och rådet direktiv (EU) 2016/681 om användning av passageraruppgiftssamlingar (PNR- uppgifter) för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet (PNR-direktivet). Direktivet jämte rättelser av detta finns i bilaga 2 och 3. PNR är en förkortning av den engelska benämningen . I den svenska versionen av direktivet har detta be- grepp översatts som passageraruppgiftssamling eller PNR-uppgifter. Det som åsyftas är uppgifter som passagerare lämnar vid beställning och bokning av flygresor samt vid incheckning. Uppgifterna kan till exempel avse namn, resedatum, resväg, bagageinformation och be- talningssätt. Lufttrafikföretagen samlar in och behand- lar sådana uppgifter om sina passagerare i olika bokningssystem för sina egna operativa och kommersiella syften. Direktivet reglerar skyl- digheten för lufttrafikföretag att överföra dessa redan insamlade uppgifter till enheter för passagerarinformation i medlemstaterna. Direktivet anger också för vilka ändamål uppgifterna får behandlas samt hur länge uppgifterna får och ska lagras och under vilka förut- sättningar de ska överföras till olika mottagare. Målen för direktivet är bl.a. att trygga säkerheten, skydda personers liv och säkerhet samt att inrätta en rättslig ram till skydd för PNR-uppgifterna vid be- höriga myndigheters behandling av dessa. PNR-direktivet och överenskommelser i anledning av direktivet Terroristattentat under senare årtionden har lett till nya initiativ för att förbättra säkerheten. har den internationella organi- serade brottsligheten ökat.1 Organiserad brottslighet och terrorism är företeelser som ofta inbegriper internationella resor. Som en följd av detta har myndigheterna i flera länder i allt större utsträckning börjat samla in och analysera PNR-uppgifter i syfte att bekämpa terrorism och grov brottslighet. PNR-uppgifter bör skiljas från s.k. API-uppgifter (Advance Passenger Information). API-uppgifter avser främst sådan informa- tion som finns på passets maskinläsbara del, såsom namn, födelse- datum, nationalitet och passnummer. I rådets direktiv /82/EG av om skyldighet för transportörer att lämna upp- gifter om passagerare (API-direktivet) regleras transportörers ansvar för att på begäran förse nationella myndigheter med sådana passa- geraruppgifter inför resor från länder utanför Schengen-området. API-direktivet syftar till att förbättra gränskontrollerna och be- kämpa olaglig invandring. API-uppgifter används huvudsakligen som ett verktyg för iden- tifiering. Uppgifterna kan därmed användas som ett led i gränskon- trollerna. API-uppgifterna kan dock även användas av brottsbekäm- pande myndigheter för att dessa ska kunna identifiera misstänkta och eftersökta personer. Uppgifterna kan även komma till användning i underrättelsearbetet med att exempelvis kartlägga var vissa personer har befunnit sig . PNR-uppgifter används snarare som ett verktyg för underrät- telseverksamhet än som ett verktyg för identitetskontroll. Uppgift- erna används främst för att göra riskbedömningar av passagerare och för att sålla ut personer som skulle kunna vara intressanta att kon- trollera vidare men som inte är misstänkta . Uppgift- erna kan även användas för att analysera och fastställa misstänkta rese- och beteendemönster. PNR-uppgifterna kan också användas i samband med brottsutredningar och för lagföringsåtgärder. En närmare beskrivning av hur PNR- och API-uppgifter kan användas i brottsbekämpande verksamhet finns i avsnitt 14.1. 1 KOM (2010) 492 slutlig av , s. 2. PNR-direktivet och överenskommelser i anledning av direktivet PNR-uppgifter har använts , främst av tullmyn- digheter men också till viss del av andra brottsbekämpande myndig- heter världen över.2 I har uppgifterna använts av på . Inledningsvis förekom endast behandling av PNR-uppgifter. Den senaste tidens tekniska utveckling har möjliggjort tillgång till och analys av PNR-uppgifter på ett sätt som inte tidigare var möjligt. Ett antal länder utanför Europeiska unionen har särskilda system för inhämtande och analys av PNR-uppgifter. Efter terrorist- attentaten antog lagstiftning som inne- bär att lufttrafikföretag med trafik till, från eller genom dess territo- rium ska tillhandahålla de amerikanska myndigheterna PNR-upp- gifter. beslutade och att göra samma sak. Flera länder har följt i deras fotspår. EU ingick avtal som reglerar överföringen av PNR-uppgifter från lufttrafikföretag till , och . Avtalen har därefter omförhandlats. De senaste avtalen med och har godkänts av och trädde 2012. Vad gäller det planerade nya avtalet med har ännu inte tagit ställning. Parlamentet har begärt ett yttrande från bl.a. i frågan om avtalet är förenligt med fördraget om Europeiska unionen och Europeiska unionens stadga om de grundläggande rättigheterna vad gäller fysiska personers rätt till skydd av personuppgifter. Generaladvokaten har lämnat ett förslag till yttrande där det anges att vissa förtydliganden måste göras i avtalet och/eller vissa av bestämmelserna utgå för att avtalet ska vara förenligt med stadgan och inte gå utöver vad som är strängt nödvändigt för att uppnå målsättningen att skydda den allmänna säkerheten. Något yttrande från har dock ännu inte kommit. antog Europeiska unionens råd ett beslut som godkänner att förhandlingar inleds om ett avtal med . De brottsbekämpande myndigheterna i EU-länderna har i olika utsträckning möjlighet att tillgå och behandla PNR-uppgifter. För del kan bl.a. och begära in och använda vissa PNR-uppgifter för brottsbekämpande ändamål. Detta beskrivs närmare i kapitel 5. Uppgifterna kan också sparas i enskilda utredningar med stöd av polisdatalagen (2010:361) 2 A.a. s. 4. PNR-direktivet och överenskommelser i anledning av direktivet och lagen (2005:787) om behandling av uppgifter i brotts- bekämpande verksamhet3. Något nationellt system för insamling av uppgifterna finns dock inte. Uppgifterna sparas inte heller i någon central databas. Ett unionsgemensamt regelverk för insamling och användning av PNR-uppgifter i brottsbekämpande verksamhet har diskuterats . överlämnade Europeiska kommissionen ett förslag till rådets rambeslut om användande av PNR-uppgifter i brottsbekämpningssyfte. Förslaget förhandlades men blev inaktuellt när Lissabonfördraget trädde 2009. lade kommissionen fram ett förslag till direktiv om användning av PNR-uppgifter för bekämpande av terroristbrott och allvarliga brott. Förslaget syftade till att enhetligt reglera insamling, sparande och be- handling av flygpassageraruppgifter. I huvudsak fanns det två skäl till förslaget. Det första var att bidra till medlemsstaternas möjligheter att bekämpa och skydda medborgarna från allvarliga brott, inklu- sive terroristbrottslighet. Det andra var att undvika utvecklandet av olika PNR-system inom EU vilket skulle kunna leda till rättsosäker- het, ökade kostnader och risk för bristande skydd för den person- liga integriteten. Rådet var tidigt positivt till förslaget. dröjde längre med att ta ställning bl.a. eftersom det ansågs behövas ett star- kare skydd för den personliga integriteten. av förhandlingar och sedan ett antal terroristattentat genomförts i , kom rådet och parlamentet överens om ett gemensamt förslag till reglering. Förslaget innebar bl.a. att vissa frågor lämnades utanför direktivet och i stället hanteras i frivilliga överenskommelser mellan medlemsstaterna. 3.3Direktivets innehåll i korthet Direktivet är indelat i fyra kapitel och innehåller sammanlagt 22 artik- lar. Artiklarna presenteras starkt förkortat i det följande. Det när- mare innehållet i artiklarna och de skäl som hänför sig till dessa kom- mer att redovisas i anslutning till våra överväganden om artiklarnas implementering. 3 Ersätts av tullbrottsdatalagen (2017:000). PNR-direktivet och överenskommelser i anledning av direktivet Av artikel 1 framgår att direktivet innehåller bestämmelser om lufttrafikföretags överföring av PNR-uppgifter på flygningar utanför EU. I artikeln anges att de PNR-uppgifter som samlas in i enlighet med direktivet endast får behandlas i syfte att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet. Direktivet avser således endast flygningar utanför EU. I artikel 2 ges dock möjlighet för en medlemsstat att tillämpa direktivets be- stämmelser även för flygningar inom EU. I artikel 3 definieras centrala begrepp i direktivet. Med lufttrafik- företag avses exempelvis ett sådant företag med giltig operativ licens eller motsvarande som ger rätt att bedriva passagerarflygtrafik. Med flygningar utanför EU menas varje flygning som utförs av ett sådant lufttrafikföretag, med avgång från ett tredjeland och planerad land- ning på en medlemsstats territorium eller flygning från en medlems- stats territorium med planerad landning i ett tredjeland, i båda fallen inklusive eventuella mellanlandningar på territorier i medlemsstater eller tredjeländer. Passagerare är alla personer, förutom besättnings- medlemmar, som transporteras med eller ska transporteras med ett flygplan med lufttrafikföretagets godkännande. Godkännandet fram- går av att personen står med i passagerarförteckningen.