sou · H5B357 · 2017-06-22 00:00:00 — I rambeslutets artikel 13 finns således regler om över- föring av personuppgifter från en medlemsstat till ett tredjeland i de fall där uppgifterna har överförts från eller gjorts tillgängliga för medlemsstaten av en behörig myndighet i en annan medlemsstat. I artikel 13.1 anges vissa förutsättningar för att personuppgifter ska få överföras. En sådan överföring får göras bara om den stat från vilken uppgifterna har erhållits har gett samtycke till överföringen, överföringen är nödvändig för att förebygga, utreda, upptäcka eller lagföra brott eller för verkställighet av en straffrättslig påföljd och om mottagaren har ansvar för sådan verksamhet, samt det finns en adekvat skyddsnivå för databehandling i den stat i vilken mottagande myndighet eller mottagande internationellt organ finns. ska vara tillåtet att föra över uppgifter eller göra dessa tillgängliga måste samtliga dessa villkor som huvudregel vara uppfyllda. Enligt artikel 13.2 finns dock möjlighet att överföra personupp- gifter i förväg. Enligt artikeln krävs då att överföringen är absolut nödvändig, antingen för att avvärja en omedelbar och allvarlig fara för den allmänna säkerheten i en medlemsstat eller en tredjestat eller för att tillgodose en medlemsstats väsentliga intressen samt att ett förhandsmedgivande inte hinner utverkas . Om överföringen sker utan medgivande ska enligt artikel 13.2 sista meningen den myn- dighet, vars medgivande till överföring krävs, underrättas utan dröjs- mål. Artikel 13.3 innehåller en möjlighet att överföra personuppgifter trots att kravet på adekvat skyddsnivå inte är uppfyllt. I artikel 13.4 anges vilka faktorer som ska beaktas vid bedömningen av om mot- tagaren har en adekvat skyddsnivå. Artikel 13 i dataskyddsrambeslutet har i svensk rätt genomförts i lagen (2013:329) med vissa bestämmelser om skydd för person- uppgifter vid polissamarbete och straffrättsligt samarbete inom Europeiska unionen (lag) och i en tillhörande förordning (2013:343) med i övrigt samma namn. lag gör det således möjligt för en svensk myndighet att föra över personuppgifter till ett tredjeland. Den tillämpas dock bara på personuppgifter som en svensk myndighet har fått från en annan stat som är medlem i EU, , , eller , ett EU-organ eller ett EU-informationssystem. I lagens 7 § anges att personuppgifter får överföras till ett tredjeland om den som har överfört eller gjort upp- gifterna tillgängliga för den svenska myndigheten har medgett att de överförs, överföringen är nödvändig för något av de ändamål som omfattas av lagens tillämpningsområde och mottagaren har ansvar för ett sådant ändamål. Därtill ska staten där den mottagande myn- digheten eller organet finns ha en adekvat skyddsnivå för den avsedda behandlingen. Undantag från kravet på adekvat skyddsnivå görs i vissa enskilda fall som framgår av paragrafen. På samma sätt föreskrivs undantag från kravet på medgivande i förväg. Artikel 13 i dataskyddsrambeslutet och lag är som an- getts enbart tillämplig vid överföring av personuppgifter som här- rör från andra medlemsstater eller från vissa andra stater, organ och informationssystem. Personuppgiftslagen blir därför tillämplig för andra överföringar, bl.a. genom hänvisningar dit i myndigheters Vad gäller bestämmelserna i personuppgifts- lagen hänvisas till redogörelsen i avsnitt 6.3.2. Dataskyddsrambeslutet upphör att gälla , då det kom- mer att ersättas av det nya dataskyddsdirektivet. Av PNR-direk- tivets skäl 27 framgår att hänvisningar till dataskyddsrambeslutet bör ses som hänvisningar till såväl nuvarande lagstiftning som de framtida bestämmelser som kommer att ersätta denna. Eftersom det nya dataskyddsdirektivet ska genomföras i nationell rätt ungefärligen som PNR-direktivet, får hänvisningarna till dataskydds- rambeslutet läsas som hänvisningar till det nya dataskyddsdirek- tivet. Som tidigare framgått föreslås det nya dataskyddsdirektivet genomföras i svensk rätt genom brottsdatalagen. Bestämmelserna om överföring till tredjeland har tagits in i 8 kap. brottsdatalagen. I 8 kap. 1 och 2 §§ anges de grundläggande förut- sättningarna för en sådan överföring. Enligt 1 § får en behörig myn- dighet överföra personuppgifter som behandlas till ett tredjeland eller en internationell organisation. Det gäller även överföring av person- uppgifter för behandling i ett tredjeland eller av en internationell organisation. Personuppgifterna får dock endast överföras om över- föringen 1.är nödvändig för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet, 2.riktas till en behörig myndighet i ett tredjeland eller till en inter- nationell organisation som är en behörig myndighet, och a)ett beslut om adekvat skyddsnivå enligt 3 §, eller b)tillräckliga skyddsåtgärder enligt 4 §, eller c)ett undantag för särskilda situationer enligt 5 §. Enligt andra stycket ska en behörig myndighet som avser att över- föra personuppgifter till ett tredjeland särskilt beakta risken för att enskilda får försämrat skydd för sina personuppgifter. Personuppgifter som en svensk myndighet har fått från en annan medlemsstat får, enligt 8 kap. 2 §, överföras till ett tredjeland eller en internationell organisation endast om den medlemsstat som lämnat uppgifterna till en svensk myndighet har medgett att de överförs. Om medgivande på grund av tidsbrist inte kan inhämtas i förväg, får, enligt andra stycket, personuppgifter ändå överföras om det är nödvändigt för att avvärja en omedelbar och allvarlig fara för allmän säkerhet. Detsamma gäller om det är nödvändigt för att avvärja en omedelbar och allvarlig fara för andra väsentliga intressen för eller annan medlemsstat. I 8 kap. 3 § anges att om kommissionen har beslutat att det finns en adekvat nivå för skyddet av personuppgifter i ett tredjeland, eller en viss geografisk eller på annat sätt angiven del av det, får person- uppgifter överföras dit. Om det inte finns ett beslut om adekvat skyddsnivå får, enligt 8 kap.4 §, personuppgifter ändå överföras om 1.skyddsåtgärder för personuppgifter har fastställts i ett avtal som ger tillräckliga garantier till skydd för registrerades rättigheter, eller 2.den behöriga myndighet som uppgifterna ska överföras till på annat sätt garanterar tillräckligt skydd för dem. Enligt 8 kap. 5 § kan överföring vara tillåten i vissa särskilda situa- tioner även om det inte finns ett beslut om adekvat skyddsnivå enligt 3 § eller tillräckliga skyddsåtgärder enligt 4 §. I sådant fall får en överföring, eller en samling av överföringar, göras endast om över- föringen är nödvändig för att 1.skydda den registrerades eller en annan fysisk persons vitala in- tressen, eller andra berättigade intressen för den registrerade, 2.i ett enskilt fall förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet, 3.i ett enskilt fall kunna fastställa, göra gällande eller försvara ett rättsligt anspråk som hänför sig till ett sådant syfte som anges i 2, eller 4.avvärja en omedelbar och allvarlig fara för allmän säkerhet. Personuppgifter får, enligt andra stycket, inte överföras om den registrerades intresse av skydd mot kränkning av grundläggande fri- och rättigheter väger tyngre än det allmännas intresse av en sådan överföring som avses i första stycket 2 eller 3. I 8 kap. 6 och 7 §§ finns bestämmelser om vidareöverföring till ett annat tredjeland eller internationell organisation. Enligt 6 § får en svensk myndighet inte tillåta att sådana personuppgifter som en myndighet har fått från en annan medlemsstat, och som överförts till ett tredjeland, vidareöverförs till ett annat tredjeland eller en internationell organisation, om inte den behöriga myndigheten i den medlemsstat som ursprungligen lämnade uppgiften, har medgett att uppgifterna får vidareöverföras. I 7 § anges vad en behörig myndig- het ska beakta när den ska ta ställning till om personuppgifter som behandlats i får vidareöverföras. I 8 kap. 8 § finns en möjlighet att i vissa fall överföra person- uppgifter till andra än behöriga myndigheter. Enligt 9 § ska svenska myndigheter följa uppställda villkor för att använda personuppgifter som har överförts från ett tredjeland. I 10 § anges att en svensk behörig myndighet får, vid överföring av personuppgifter till tredje- land, ställa upp villkor som begränsar möjligheten att använda upp- gifterna, om det krävs med hänsyn till enskilds rätt eller från allmän synpunkt. Enligt 7 kap. 1 § BDF ska den som har överfört personuppgifter till ett tredjeland utan förhandsmedgivande enligt 8 kap. 2 § andra stycket BDL, utan dröjsmål informera den medlemsstat som lämnat uppgifterna till en svensk myndighet om överföringen. 17.3Våra överväganden och förslag Vårt förslag: Tredjeland ska i lagen definieras som en stat som inte är en medlemsstat. PNR-direktivet innehåller inte någon definition av tredjeland. Med tredjeland avses i EU-sammanhang vanligtvis ett land som inte är medlem i unionen och som därmed står utanför medlemsstaternas samarbete. Alla EU-medlemsstater är dock inte bundna av PNR- Som har angetts ska direktivet inte tillämpas av . Överföringar av PNR-uppgifter till får därmed uppfattas som överföringar till ett tredjeland. Med hänsyn härtill blir en definition av begreppet tredjeland nödvändig i vår lag. Utgångs- punkten för en sådan definition bör enligt utredningen vara hur med- lemsstat definieras. Som framgått av avsnitt 15.3.1 avses med med- lemsstat i lagförslaget en stat som är medlem i EU, med undantag för . Stater som inte är medlemsstater enligt direktivet ska betraktas som tredjeländer. Definitionen av tredjeland bör därför vara en stat som inte är en medlemsstat enligt lagens definition av en sådan. 17.3.2Förutsättningar för överföring till tredjeland Vårt förslag: får överföra PNR-information till en myndighet i ett tredjeland som där är behörig att bedriva verksamhet för att förebygga, förhindra, upp- täcka, utreda eller lagföra sådan brottslighet som motsvarar ter- roristbrottslighet eller grov brottslighet. Uppgifterna får dock endast överföras om 1.de grundläggande förutsättningarna för överföring av person- uppgifter enligt 8 kap. 1 § första stycket 3 och 2 § första stycket BDL är uppfyllda och under i övrigt samma förutsätt- ningar som överföringar får ske mellan medlemsstaterna, 2.överföringen är nödvändig för att förebygga, förhindra, upp- täcka, utreda eller lagföra terroristbrottslighet eller grov brotts- lighet, och 3.det tredjelandet godtar att vidareöverföra uppgifterna till ett annat tredjeland endast om det är absolut nödvändigt för att förebygga, förhindra, upptäcka, utreda eller lagföra terrorist- brottslighet eller grov brottslighet och enheten för passagerar- information har lämnat ett uttryckligt medgivande till över- föringen. PNR-information får överföras till vissa myndigheter i tredjeland PNR-direktivets bestämmelser om överföring till tredjeland bör i huvudsak genomföras i den av oss föreslagna lagen. Vissa detalj- bestämmelser kan dock tas in i den anslutande förordningen. Det bör av lagen framgå att enheten för passagerarinformation får överföra PNR-information till ett tredjeland. Det är således en- ligt direktivet inte möjligt att, såsom får ske enligt brottsdatalagen, överföra PNR-information även till internationella organisationer. Enligt PNR-direktivet får överföringar endast ske till en behörig myndighet i tredjeland (artikel 11.3). Även i brottsdatalagen anges att överföringar får ske till en behörig myndighet i tredjeland. En behörig myndighet definieras i brottsdatalagen som en myndighet eller en annan aktör som har i uppdrag att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säker- het (1 kap. 6 §). Enligt vår mening bör med behörig myndighet i PNR-direktivet dock avses en myndighet som i det tredjelandet är behörig att bedriva verksamhet för att förebygga, förhindra, upptäcka, utreda eller lagföra brott motsvarande terroristbrottslighet eller grov brottslighet. Det bör av lagen framgå att överföringar endast får ske till en sådan myndighet i tredjeland. Så kan ske genom en hänvisning till lagens portalbestämmelse där dessa syften anges. Det bör vidare av lagen framgå att en överföring endast får ske om vissa särskilt uppräknade villkor är uppfyllda. En bestämmelse om överföring bör utformas så att det framgår att samtliga villkor ska vara uppfyllda för att enheten ska få överföra PNR-information till ett tredjeland. Vilka dessa villkor bör vara diskuteras i det följ- ande. Grundläggande bestämmelser om överföring av personuppgifter till tredjeland ska vara uppfyllda PNR-direktivet innehåller inte några grundläggande bestämmelser med allmänna principer för överföring av personuppgifter till tredje- land. T.ex. saknas i direktivet bestämmelser om krav på adekvat skyddsnivå för personuppgifterna i det tredjelandet. I stället anges att villkoren i artikel 13 i dataskyddsrambeslutet ska vara uppfyllda vid överföringar av PNR-information till tredjeland. har angetts upphävs dataskyddsrambeslutet i samband med genom- förandet av det nya dataskyddsdirektivet. PNR-direktivets hänvis- ningar till dataskyddsrambeslutet får därför läsas som hänvisningar till det nya dataskyddsdirektivet. Artikel 13 i dataskyddsrambeslutet innehåller rambeslutets samt- liga bestämmelser om överföring till tredjeland. Den allmänna hän- visningen till rambeslutets samtliga bestämmelser i frågan får därför tolkas som en hänvisning även till samtliga bestämmelser om över- föring till tredjeland i det nya dataskyddsdirektivet. I något fall inne- håller det direktivet dock bestämmelser som inte kan tillämpas vid överföringar till tredjeländer från enheten för passagerarinforma- tion, eftersom PNR-direktivet innehåller andra regler. Dessa bestäm- melser kommer vi att återkomma till nedan. Som har angetts föreslås det nya dataskyddsdirektivets samtliga bestämmelser om överföring till tredjeland genomföras i brottsdatalagen med tillhörande förordning. Brottsdatalagen inne- håller således de grundläggande bestämmelserna med allmänna prin- ciper för överföring av personuppgifter till tredjeland inom det brottsbekämpande området. Enligt vår mening är det viktigt att dessa grundläggande bestämmelser tillämpas även vid överföring av PNR- information för att den skyddsnivå som säkerställs genom det direk- tivet inte ska undergrävas. Dessa bestämmelser i brottsdatalagen bör därmed vara tillämpliga även vid överföring av PNR-information. De grundläggande förutsättningarna för att överföringar alls ska få ske till tredjeländer framgår för det första av 8 kap. 1 § första stycket 3 BDL. Bestämmelsen hänvisar till 3, 4 och 5 §§, som anger förutsättningarna för att en överföring ska omfattas av beslut om adekvat skyddsnivå, av tillräckliga skyddsåtgärder eller vara föremål för ett undantag för särskilda situationer. Dessa bestämmelser bör således tillämpas även vid överföringar av PNR-information från enheten för passagerarinformation. Det kan dock sägas att 8 kap. 5 § inte torde kunna ha något tillämpningsutrymme i praktiken med tanke på det snäva användningsområdet och detaljregleringen av hur PNR-uppgifter får användas enligt vårt förslag till lagstiftning. Vidare finns i 8 kap. 2 § första stycket intaget den huvudregel som anger att personuppgifter som har erhållits från en annan med- lemsstat endast får överföras om den medlemsstat som har lämnat uppgifterna har medgett att de överförs. Även denna huvudregel bör gälla vid överföring av PNR-uppgifter. Förutsättningarna för överföring till en annan medlemsstat ska vara uppfyllda Enligt artikel 11.1 d ska de villkor som fastställs i artikel 9.2 vara uppfyllda även vid en överföring av PNR-information till tredje- land. Av artikel 9.2, som har behandlats i avsnitt 15.3.2, framgår vad som ska iakttas vid överföring av PNR-information till en annan medlemsstat på särskild förfrågan. Således ska samma villkor som gäller vid överföring av PNR-information till en annan medlems- stat på särskild begäran vara uppfyllda även när sådan information överförs till ett tredjeland. Bestämmelsen i artikel 11.1 d bör genomföras i lagen genom en hänvisning till de paragrafer som genomför artikel 9.2. Det innebär att för det fall överföringen avser PNR-uppgifter som är äldre än och därmed maskerade, får fullständiga, avmaskerade, PNR-uppgifter endast överföras om även de bestämmelser som genomför artikel 12.3 är uppfyllda, se vidare i avsnitt 15.5. Överföringen ska vara nödvändig för direktivets syften Av artikel 11.1 b framgår att en överföring av PNR-information till tredjeland endast får ske om den är nödvändig för direktivets syften enligt artikel 1.2. Således krävs enligt PNR-direktivet att en överföring till tredjeland är nödvändig för just de syften som anges i direk- tivet, dvs. för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet. I brottsdatalagen anges i stället att överföringar endast får ske om de ändamål som anges i data- skyddsdirektivet, och som är mer allmängiltiga, är uppfyllda (8 kap. 1 § 1). PNR-direktivets syften innefattas i de syften som anges i brottsdatalagen. Det behöver därför inte i den lag som vi föreslår införas någon bestämmelse som anger att 8 kap. 1 § 1 inte ska vara tillämplig. Dock krävs det i lagen en bestämmelse som anger att en överföring till tredjeland endast får ske om syftena i PNR-direktivet är uppfyllda. Den bestämmelsen är en sådan avvikande bestämmelse i annan författning som enligt 1 kap. 5 § BDL gäller före brotts- datalagen. Bestämmelsen bör föras in i lagen genom en hänvisning till ett eller flera av de syften som anges i den portalbestämmelsen i lagen som genomför artikel 1.2 i direktivet och som innebär att uppgift- erna endast får behandlas för att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller grov brottslighet. Visser- ligen hade bestämmelsen blivit tydligare om dessa syften skrevs ut i bestämmelsen. Dessa syften återkommer emellertid så pass frekvent i lagen, sedd som helhet, att hänvisningar i allmänhet bör väljas för att lagtexten inte i ska bli onödigt ordrik. Med terroristbrottslighet och grov brottslighet bör i sammanhanget avses motsvarande brotts- lighet i det tredjelandet. Direktivets krav på att överföringen ska vara nödvändig bör också föras in i lagen. Enligt vår mening bör nödvändigheten tolkas på samma sätt som i allmänt språkbruk, dvs. att det är fråga om något som behövs. De PNR-uppgifter som överförs ska således behövas av ett tredjeland i dess bekämpning av aktuell brottslighet. Villkor för vidareöverföring från det tredjelandet Artikel 11.1 c behandlar frågan om vidareöverföring från ett tredje- land till ett annat tredjeland av sådan PNR-information som här- stammar från den svenska enheten för passagerarinformation. Enligt bestämmelsen ska det tredjeland som vill motta PNR-information godta att de överförda uppgifterna endast får föras vidare till ett annat tredjeland om det är strikt nödvändigt för detta direktivs ändamål och efter uttryckligt samtycke av medlemsstaten. I brottsdatalagen anges endast att en svensk behörig myndighet får ställa upp villkor som begränsar möjligheten att använda de över- förda uppgifterna, om det krävs med hänsyn till enskilds rätt eller från allmän synpunkt (8 kap. 10 §). Bestämmelsen i direktivet bör därför genomföras i vår lag. På samma sätt som angetts ovan föreslår vi att det i bestämmelsen ska framgå de syften för vilka en över- föring ska vara nödvändig. Så bör, på samma sätt som angetts ovan, ske genom en hänvisning till ett eller flera av de syften som anges i lagens portalbestämmelse. Enligt direktivet får en vidareöverföring endast ske om det är strikt nödvändigt (i den engelska versionen strictly necessary, i den danska strengt nødvendigt). I svensk lag brukar begreppet absolut nödvän- digt användas för att markera ett undantagsfall som ska tillämpas restriktivt. Vi föreslår därför att det i lagen anges att det tredjelandet ska godta att överföra uppgifterna till ett annat tredjeland endast om det är absolut nödvändigt för direktivets ändamål. Vidare får en vidareöverföring enligt direktivet endast ske efter uttryckligt samtycke av medlemsstaten. lag och i brotts- datalagen används ordet medgivande i stället för samtycke. För att bättre korrespondera med denna lagstiftning föreslår vi att ordet medgivande används även i vår lag. Medgivandet bör lämpligen lämnas av enheten för passagerarinformation. Medgivandet ska enligt direktivet vara uttryckligt. Det framgår dock inte närmare hur ett sådant medgivande ska manifesteras. Man skulle kunna tänka sig att ett uttryckligt medgivande sker såväl munt- ligt som skriftligt och vi ser inga principiella eller praktiska problem med en sådan ordning. Vi föreslår därför att endast ett krav på ut- trycklighet införs i lagen. Det säger sig dock självt att oavsett på vilket sätt ett samtycke getts, måste det dokumenteras på något sätt. Våra förslag: Om medgivande till överföring av PNR-informa- tion på grund av tidsbrist inte kan inhämtas i förväg från den medlemsstat som har lämnat informationen till enheten för passagerarinformation får, i stället för vad som anges i 8 kap. 2 § andra stycket BDL, informationen ändå överföras om det är absolut nödvändigt för att avvärja en specifik och faktisk fara med anknytning till terroristbrottslighet eller grov brottslighet. I förordning ska regleras att om PNR-information, som kom- mer från en annan medlemsstat, har överförts till ett tredjeland utan förhandsmedgivande, ska enheten för passagerarinforma- tion utan dröjsmål informera den andra medlemsstaten om över- föringen. Det ska i förordning också regleras att överföringar utan förhandsmedgivande ska genomgå efterhandskontroll av dataskyddsombudet vid enheten för passagerarinformation. Som har angetts får, enligt 8 kap. 2 § första stycket BDL, personuppgifter som en svensk myndighet har fått från en annan medlemsstat överföras till ett tredjeland endast om den medlems- stat som lämnat personuppgifterna i förväg har medgett att de överförs till tredjelandet. Bestämmelsen ska enligt vårt förslag tillämpas även vid överföring av PNR-uppgifter. I bestämmelsens andra stycke finns intaget ett undantag från denna huvudregel. Även i artikel 11.2 i PNR-direktivet finns ett undantag från kravet på förhandsmedgivande, som är snävare än det undantag som föreslås i brottsdatalagen. För att en överföring av PNR-information ska få ske krävs enligt bestämmelsen att överföringen är absolut nödvän- dig för att reagera på ett specifikt och faktiskt hot med anknytning till terroristbrott eller grov brottslighet i en medlemsstat eller tredje- land och att ett förhandssamtycke inte kan erhållas . En be- stämmelse bör därför föras in i vår lag som ska gälla i stället för undantaget i 8 kap. 2 § andra stycket BDL. För förutsebarhetens skull bör bestämmelsen i vår lag genom- föras på liknande sätt som den angivna bestämmelsen i brottsdata- lagen. Ordet medgivande bör därför, som angetts ovan, användas i stället för samtycke. I brottsdatalagen och lag används också ordet fara i stället för hot. Med hänsyn härtill och eftersom svensk lagstiftning brukar utformas på det sättet, föreslår vi att ordet fara används i stället för hot även vid genomförandet av PNR- direktivet. Av samma anledning bör det i de andra lagarna använda ordet avvärja användas också i vår lag i stället för begreppet reagera på, som används i direktivet. Således bör det i lagen anges att en överföring utan förhandsmedgivande får ske om det är absolut nöd- vändigt för att avvärja en specifik och faktisk fara med anknytning till terroristbrottslighet eller grov brottslighet.