sou · H5B357 · 2017-06-22 00:00:00 — Lag om flygpassageraruppgifter i brottsbekämpningen SOU och Ds kan köpas från kundservice. Beställningsadress: kundservice, 106 47 Ordertelefon: Webbplats: /offentligapublikationer För remissutsändningar av SOU och Ds svarar på uppdrag av . Svara på remiss – hur och varför Statsrådsberedningen, SB PM 2003:2 (reviderad ). En kort handledning för dem som ska svara på remiss. Häftet är gratis och kan laddas ner som pdf från eller beställas på /remisser Layout: Kommittéservice, Tryck: , 2017 bemyndigade regeringen statsrådet att tillkalla en särskild utredare med uppdrag att föreslå hur EU:s direk- tiv om användning av passageraruppgiftssamlingar (PNR-uppgifter) för att förebygga, förhindra, upptäcka, utreda och lagföra terrorist- brott och grov brottslighet och tillhörande överenskommelser ska genomföras i svensk rätt. Regeringen beslutade om direk- tiv för utredningen (dir. 2016:22). Till särskild utredare förordnades rådmannen . Till sakkunniga att biträda utredningen förordnades ämnesrådet , , och rättssakkunniga , . Till experter utsågs den seniora strategiska rådgivaren , Säkerhetspolisen, juristen , Transport- styrelsen, den nationella specialisten , , tf. enhetschefen , Säkerhets- och integritetsskydds- nämnden, och handläggaren , Polismyndig- heten. Juristen , , förordnades som expert i utredningen . Hovrättsassessorn har varit sekreterare i utred- ningen . Utredningen har antagit namnet (Ju 2016:07). Härmed överlämnas betänkandet Lag om flygpassageraruppgifter i brottsbekämpningen, SOU 2017:57. Till betänkandet har fogats ett särskilt yttrande av experterna . Med undantag från vad som framgår där har de sakkunniga och experterna i huvud- sak ställt sig bakom utredningens överväganden och förslag. Uppdraget är härmed slutfört. 1.1Förslag till lag (2018:000) om flygpassageraruppgifter Förslag till förordning (2018:000) om flygpassageraruppgifter i brottsbekämpningen..................... Förslag till lag om ändring i polislagen (1984:387)............... 1.4Förslag till lag om ändring i lagen (1996:701) om befogenheter vid gräns mot ett annat land inom Europeiska unionen............................... 1.5Förslag till lag om ändring i lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära Förslag till lag om ändring i polisdatalagen (2010:361)........ Förslag till lag om ändring i tullagen (2016:253) .................. 1.8Förslag till lag om ändring i tullbrottsdatalagen (2017:000)................................................................................ i anledning av direktivet ............................................. Allmänt om direktivet............................................................ Direktivets innehåll i korthet................................................. Överenskommelser i anledning av direktivet ....................... Transportörsansvaret och API-direktivet........................ Internationella åtaganden på området................................... Vissa EU-rättsliga åtaganden ................................................. 4.3.1Schengenkonventionen och direktivet om Kodex om Schengengränserna ............................... 4.4 Svenska regler om transportörsansvar................................... 4.5 API-direktivet och dess genomförande i svensk rätt........... Lagen om passagerarregister................................... Dagens reglering och användning av flygpassageraruppgifter i brottsbekämpningen .............. Dagens användning av PNR-uppgifter.................................. Gällande EU-rättslig reglering ............................................. 6.2.1EU-stadgan om de grundläggande 6.3 Huvuddragen i den svenska regleringen.............................. Lagen om internationellt polisiärt samarbete ...... Lagen om internationellt tullsamarbete ............... Bakgrund till reformen.......................................... Ett nytt dataskyddsdirektiv .................................. 6.5.4Viss personuppgiftsbehandling faller utanför Arbete inom EU.................................................... 7.2.1Arbete med att upprätta en nationell enhet Arbetet med direktivets tekniska VÅRA ÖVERVÄGANDEN OCH FÖRSLAG Utgångspunkter och inledande ställningstaganden ...... Allmänt om att genomföra EU-direktiv ............................. En samlad ny lag ................................................................... En grundläggande allmän utgångspunkt ............................. 8.5Den nya lagstiftningens förhållande till relevant Den nya lagens inledande bestämmelser .................... Den nya lagens namn, innehåll och syfte............................ Definitioner i lagen............................................................... Våra överväganden och förslag............................. Våra överväganden och förslag............................. Otillåten behandling av PNR-information......................... En enhet för passagerarinformation ........................... Den svenska enheten för passagerarinformation................ Enhetens organisation och utredningens uppdrag.............. Tillgången till PNR-information bör begränsas ................. Sekretess inom ?...................... Personal anställd vid andra myndigheter............................. Lufttrafikföretagens överföring av PNR-uppgifter......... 11.1.1 Olika former av kommersiell luftfart för befordran av passagerare ....................................... Tillstånd att bedriva passagerarflygtrafik............. 11.1.3 Lufttrafikföretagens resor till och från ... Lufttrafikföretagens insamlande av PNR-uppgifter........... Vilka lufttrafikföretag ska åläggas en skyldighet att överföra PNR-uppgifter?................................................ Överföring av PNR-uppgifter till enheten 11.4.1 Omfattningen av vårt uppdrag ............................. 11.4.2 Överföring av uppgifter avseende flygresor både inom och utom EU....................................... PNR-uppgifter och passagerare............................ 11.4.4 PNR-uppgifter som ska överföras........................ 11.4.5 Överföringar ska ske .................. 11.4.7 Hur överföringarna ska gå till............................... Anlitande av personuppgiftsbiträde ..................... Resebyråer och researrangörer .................................. Medlemsstaternas överenskommelse och vårt uppdrag ..... Resebyråer och researrangörer............................................. 12.2.1Resebyråers och researrangörers insamling och överföring av PNR-uppgifter till 12.2.2Behöriga myndigheter vill kunna få tillgång till samtliga insamlade PNR-uppgifter ................ 12.2.3 Insamling av PNR-uppgifter från resebyråer Behandling av PNR-uppgifter vid enheten En databas för PNR-uppgifter............................................. Ändamål för behandling av PNR-uppgifter........................ 13.2.1 PNR-uppgifterna får behandlas för att utföra Förfarandet vid förhandsbedömningar................ 13.2.3 PNR-uppgifterna får behandlas för att överföra PNR-information till behöriga mottagare och tredjeland ...................................... 13.2.4 PNR-uppgifterna får behandlas för att 13.2.5 PNR-information som tas emot från andra Maskering av PNR-uppgifter............................................... 13.3.2 Våra överväganden och förslag............................. Begränsad tillgång till maskerade uppgifter ........................ PNR-direktivets förhållande till API-direktivet och dess genomförande i svensk rätt.......................... PNR- och API-uppgifter ..................................................... Vårt uppdrag i denna del ...................................................... Direktivens olika mål och syften......................................... 14.3.1 Innebörden av den personkontroll som görs inom ramen för gränskontrollen.......................... Överföring av API-uppgifter ska ske även enligt Skillnader mellan PNR- och API-direktiven ...................... 14.6.1 Hur PNR-direktivet påverkar det svenska genomförandet av API-direktivet ........................ 14.6.2 Är en samordnad hantering av PNR- och API-uppgifter möjlig?........................................... Enhetens överföring och utbyte av PNR-information.... Överföring av PNR-information till behöriga nationella 15.2.2 Överföring av PNR-information till behöriga Utbyte av PNR-information med andra medlemsstater .... 15.3.2Utbyte mellan medlemsstaternas enheter för 15.3.3Överföring på direkt begäran från en behörig myndighet i en annan medlemsstat ...................... 15.3.4Enhetens inhämtande av PNR-uppgifter från andra medlemsstaters motsvarande enheter ........ Former för informationsutbytet .......................... Europols tillgång till PNR-information .............................. 15.4.1 Europol och dess verksamhet ............................... 15.4.4 Våra överväganden och förslag ............................. Överföring av avmaskerade PNR-uppgifter ....................... 15.5.2Vilka överföringar kräver att särskilda förutsättningar är uppfyllda? 15.5.3 Vilken prövning ska enheten göra? 15.5.4 Vem ska lämna tillstånd till överföring av fullständiga uppgifter?...................................... Behöriga myndigheters rätt att motta och begära tillgång till PNR-information.............................................. 16.1.1 Behöriga myndigheters rätt att motta 16.1.2 Behöriga myndigheters möjlighet att begära tillgång till PNR-information............................... 16.1.3 Våra överväganden och förslag............................. Behandling av PNR-information vid de behöriga 16.2.1 Tillämpliga dataskyddsbestämmelser hos de 16.2.2 Våra generella överväganden i denna del ............. 16.2.3 Myndigheternas behandling av den överförda Överföring till tredjeland........................................... 17.2.1 Dataskyddsrambeslutet och lag............. Våra överväganden och förslag ............................................ 17.3.2 Förutsättningar för överföring till tredjeland ..... Överföring utan medgivande ............................... 17.3.4 Säkerställande av direktivets bestämmelser......... Lagringstid och gallring ............................................ 18.3 Inledande radering hos enheten för 18.3.2 Våra överväganden och förslag ............................. 18.4 Lagringstiden hos enheten för passagerarinformation för PNR-uppgifter som mottagits från lufttrafikföretag ......... 18.4.2 Våra överväganden och förslag ............................. 18.5 Radering av PNR-uppgifter som utgör känsliga 18.5.2 Allmänt om känsliga personuppgifter.................. 18.5.3PNR-uppgifter som kan utgöra känsliga 18.5.4 Våra överväganden och förslag ............................. Enhetens bevarande och gallring av resultatet av en förhandsbedömning .................................................... 18.6.2 Våra överväganden och förslag ............................. Enhetens bevarande och gallring av resultat av behandling av PNR-uppgifter på begäran....................... Bevarande och gallring av PNR-information hos behöriga myndigheter.................................................... 18.8.2 Våra överväganden och förslag ............................. 19.1.2 Nya dataskyddsdirektivet och brottsdatalagen ... 19.1.3 Våra överväganden och förslag ............................. genomförande i svensk rätt .................................. 19.2.4 Våra överväganden och förslag............................. Bevarande av dokumentation och loggning........................ 19.3.4 Våra överväganden och förslag............................. 19.5.4 Våra överväganden och förslag............................. Rätten till information ......................................................... 20.2.4 Våra överväganden och förslag............................. Rätt till rättelse, radering eller begränsning av behandlingen av uppgifter ............................................... 20.3.3 Våra överväganden och förslag............................. Rätt till ersättning................................................................. 20.4.3 Våra överväganden och förslag Rätt till rättsmedel ................................................................ 20.5.3 Våra överväganden och förslag ............................. 21.2.1Dagens tillsyn över behandling av 21.2.2 Förslag om förändrat tillsynsansvar ..................... Våra överväganden och förslag............................................. Direktivets bestämmelser och vårt uppdrag........................ Olika typer av sanktioner ..................................................... Sanktioner mot lufttrafikföretag.......................................... Jämförbara nationella sanktionsbestämmelser .... 22.3.3 Sanktioner som tillämpas i andra länder............... Valet av sanktionsform.......................................... 22.3.5 När ska sanktionsavgift få användas?................... Utformningen av sanktionsavgiftssystemet ........ 22.3.7 Förfarandet vid beslut om sanktionsavgift .......... Sanktioner vid felaktig behandling av PNR-uppgifter ....... 22.4.1Dagens sanktionssystem vid felaktig behandling av personuppgifter ............................. Bestämmelser i direktivet som inte kräver Vårt uppdrag i denna del ...................................................... Sekretess i brottsbekämpande verksamhet m.m................. 24.3.1 Skyddet för PNR-information hos enheten 24.3.2 Skyddet för PNR-information hos behöriga 24.3.3 Behövs nya sekretessbrytande bestämmelser? PNR-direktivets betydelse för den nuvarande Våra överväganden och förslag ............................................ En effektiv användning av PNR-uppgifter i Konsekvenser för lufttrafikföretagen.................................. Konsekvenser för staten....................................................... Konsekvenser för enskilda................................................... Konsekvenser i övrigt........................................................... Förslaget till lag om flygpassageraruppgifter 28.2 Förslaget till lag om ändring i polislagen (1984:387) ......... 28.3Förslaget till lag om ändring i lagen (1996:701) om befogenheter vid gräns mot ett annat land inom Europeiska unionen .................................. 28.4Förslaget till lag om ändring i lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära Förslaget till lag om ändring i polisdatalagen (2010:361)... Förslaget till lag om ändring i tullagen (2016:253)............. Förslaget till lag om ändring i tullbrottsdatalagen (2017:000).............................................................................. Bilaga 2 och rådets direktiv (EU) 2016/681.............................................................. Rättelse till och rådets direktiv (EU) 2016/681................................................ Uttalande från Europeiska unionens råd..................... brottsdatalagen (2018:000), förslag till ramlag för genomförande av det nya dataskyddsdirektivet, lämnat av Utredningen om 2016 års dataskydds- direktiv (SOU 2017:29) brottsdataförordningen (2018:000), den till den föreslagna brottsdatalagen ning (EU) 2016/679 av 2016 om skydd för fysiska personer med avseende på behandling av person- uppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän data- rådets rambeslut /977/RIF av den om skydd av person- uppgifter som behandlas inom ramen för polissamarbete och straffrättsligt Europeiska unionens stadga om de tiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straff- rättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävan- de av rådets rambeslut /977/RIF polisdatalagen (2010:361) polisdataförordningen (2010:1155) personuppgiftslagen (1998:204) tullbrottsdatalagen (2017:000), som träder i kraft antog och rådet direktiv (EU) 2016/681 om användning av passageraruppgiftssamlingar (PNR- uppgifter) för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet (nedan kallat PNR-direktivet). PNR är en förkortning av den engelska benämningen . Det som åsyftas är uppgifter som passagerare lämnar vid beställning och bokning av flygresor samt vid incheckning. Upp- gifterna kan till exempel avse namn, resedatum, resväg, bagageinfor- mation och betalningssätt. Lufttrafikföretagen samlar in och behandlar sådana uppgifter om sina passagerare för sina egna operativa och kommersiella syften. PNR-uppgifter är också av intresse i det brottsbekämpande arbetet. Uppgifterna kan t.ex. användas för att sålla ut tidigare okända passagerare som skulle kunna vara intres- santa för myndigheterna att kontrollera. PNR-uppgifterna kan även användas i samband med brottsutredningar eller för att analysera och fastställa misstänkta rese- och beteendemönster. Myndigheter världen över har i allt större utsträckning börjat samla in PNR-uppgifter från lufttrafikföretag och analysera dem i syfte att bekämpa terrorism och grov brottslighet. För del kan Polis- myndigheten, Säkerhetspolisen och begära in vissa PNR-uppgifter från lufttrafikföretag och använda dessa för brottsbekämpande ändamål. PNR-direktivet utgör ett unionsgemensamt regelverk för insam- ling och användning av PNR-uppgifter i viss brottsbekämpande verksamhet. Utredningens övergripande uppdrag är att lämna förslag till de lagändringar som krävs för att genomföra PNR-direktivet i svensk rätt. En ny lag om flygpassageraruppgifter i brottsbekämpningen Vi föreslår att PNR-direktivet i huvudsak ska genomföras i en ny lag, lagen om flygpassageraruppgifter i brottsbekämpningen. Lagen innehåller bestämmelser om lufttrafikföretags överföring av PNR- uppgifter till enheten för passagerarinformation och om behandlingen av PNR-uppgifter i verksamhet för att förebygga, förhindra, upp- täcka, utreda eller lagföra terroristbrottslighet eller grov brottslighet. Syftet med lagen är att tillgodose behovet av tillgång till PNR-upp- gifter i sådan verksamhet och att skydda människor mot att deras personliga integritet kränks vid behandling av uppgifter om dem. Lagen, liksom det bakomliggande PNR-direktivet, innehåller så- väl verksamhetsreglering som dataskyddsreglering. I sistnämnt avse- ende har vi bedömt det som lämpligast att anpassa författningsför- slaget så långt möjligt till den dataskyddsreform som kommer att genomföras . Bestämmelserna i lagen kommer att gälla utöver eller i stället för de generella bestämmelserna i dataskydds- förordningen, den nya ramlag, brottsdatalagen, som föreslås genom- föra det nya dataskyddsdirektivet (SOU 2017:29) och annan särreg- lering för dataskydd som gäller eller kommer att gälla för berörda myndigheter. Lagen kompletteras med en förordning, som genomför vissa de- taljbestämmelser i direktivet. Otillåten behandling av PNR-information Lagen innehåller en portalbestämmelse som anger att PNR-uppgifter som överförts från lufttrafikföretag eller resultatet av en enhet för passagerarinformations behandling av sådana uppgifter, dvs. PNR- information, inte får behandlas för andra syften än att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller grov brottslighet. Terroristbrottslighet definieras i lagen som de brott enligt nationell rätt i eller andra medlemsstater som avses i artiklarna 1–4 i rådets rambeslut /475/RIF av om bekämpande av terrorism. Med grov brottslighet avses de brott som anges i en förteckning i bilaga II till PNR-direktivet och för vilka det i nationell rätt i eller andra medlemsstater är föreskrivet fängelse . Lagen innehåller också ett generellt förbud mot behandling av PNR-uppgifter som utgör känsliga personuppgifter. För det fall en- heten för passagerarinformation eller en behörig myndighet mottar sådana uppgifter ska dessa genast raderas. En enhet för passagerarinformation Det ska enligt lagen finnas en enhet för passagerarinformation inom . Denna enhet har till övergripande uppgift att samla in PNR-uppgifter från lufttrafikföretag, lagra och behandla dessa uppgifter och överföra PNR-information till behöriga svenska myn- digheter. Enheten ska också ansvara för utbytet av PNR-information inom EU. PNR-uppgifter som behandlas av enheten ska inte vara direkt tillgängliga för behöriga myndigheter eller för övriga som arbetar inom . Direktåtkomst till PNR-information som behandlas vid enheten ska därför inte tillåtas. Inom enheten ska till- gången till PNR-information begränsas genom särskilda behörighets- bestämmelser. PNR-uppgifter ska enligt lagen överföras från lufttrafikföretag som har en giltig operativ licens eller motsvarande som ger rätt att mot vederlag utföra lufttransporter av passagerare, och som i sin normala verksamhet samlar och hanterar PNR-uppgifter i reservationssystem. Som utgångspunkt utesluts från överföringsskyldighet flertalet mindre lufttrafikföretag som utför taxiflygningar från mindre flygstationer som saknar system för avgångskontroll av passagerare. PNR-uppgifterna ska överföras elektroniskt till enheten för passa- gerarinformation. Vilka PNR-uppgifter som ska överföras framgår av en bilaga till lagen. Även s.k. API-uppgifter (se om dessa slags uppgifter nedan) ingår bland de PNR-uppgifter som ska överföras. Uppgifterna i bilagan ska dock endast överföras i de fall lufttrafik- företagen samlar in dem som en del av sin normala verksamhet. Lagen ålägger alltså inte lufttrafikföretagen att hämta in ytterligare PNR- uppgifter om sina passagerare utan endast att överföra sådana upp- gifter som de redan har tillgång till. PNR-uppgifterna ska normalt överföras inför varje flygning ankommande till eller avgående från . Den första överföringen ska ske 24–före flygningens avgång och den andra överföringen efter det att gatens dörrar har stängts. Överföringsskyldigheten omfattar såväl flygningar inom EU som flygningar till eller från tredjeland. Ett lufttrafikföretag som inte har överfört PNR-uppgifter i en- lighet med bestämmelserna i lagen eller föreskrifter som utfärdats i anslutning till lagen ska betala en sanktionsavgift. Sanktionsavgiften ska för varje flygning som har utförts utan att lufttrafikföretaget har fullgjort sin överföringsskyldighet bestämmas till minst 20 000 kro- nor och högst . Sanktionsavgiften får sättas ned helt eller delvis om överträdelsen är ursäktlig eller om det annars med hänsyn till omständigheterna skulle vara oskäligt att ta ut avgiften. Lufttrafikföretag ska informera passagerare om överföringen av PNR-uppgifter till enheten för passagerarinformation och om skälen till överföringen. Behandling av PNR-uppgifter vid enheten för passagerarinformation De PNR-uppgifter som har överförts till enheten för passagerar- information från lufttrafikföretag ska lagras i en särskild databas vid enheten . Därefter ska de raderas. ska PNR-uppgifterna i databasen maskeras, vilket innebär att tillgängliga uppgifter som direkt kan hänföras till en fysisk person ska göras osynliga för en användare som saknar särskild behörighet för tillgång till uppgifterna. PNR-uppgifter som har överförts till enheten för passagerar- information från lufttrafikföretag får endast behandlas för följande ändamål. •Förhandsbedömning: Uppgifterna får behandlas för att enheten ska kunna göra en bedömning av passagerare före deras beräk- nade ankomst till eller avresa från , för att välja ut personer som behöver utredas ytterligare av behöriga myndigheter eller Europol (användning i realtid). Vid en sådan förhandsbedömning av passagerare får PNR-uppgifterna jämföras dels med uppgifter i relevanta register eller andra uppgiftssamlingar, dels med på förhand fastställda kriterier.