sou · H5B357 · 2017-06-22 00:00:00 — I anslutning till offentlighets- och sekretesslagens materiella sekre- tessbestämmelser finns inte sällan ytterligare sekretessbrytande be- stämmelser som gäller just den aktuella sekretessen i fråga. En sådan är 35 kap. 10 § OSL. Av den bestämmelsen följer att sekretessen 2 Lenberg m.fl., Zeteo , kommentaren till 10 kap. 27 § OSL. enligt 1 § i samma kapitel inte hindrar att en uppgift lämnas ut bl.a. enligt vad som föreskrivs i lagen (1998:621) om misstankeregister och polisdatalagen eller förordningar som har stöd i dessa lagar. Denna sekretessbrytande bestämmelse har bl.a. införts för att myn- digheterna inte ska behöva förlita sig på en sekretessprövning enligt generalklausulen i 10 kap. 27 § OSL. Bestämmelsen medför också en möjlighet att lämna ut uppgifter till enskilda eller till andra stater enligt vad som föreskrivs i de i bestämmelsen angivna författningarna (jfr 8 kap. 3 § OSL). En ytterligare i förhållande till 35 kap. 1 § sekre- tessbrytande bestämmelse är 35 kap. 10 a § enligt vilken sekretessen i 1 § inte hindrar att uppgift om en enskild lämnas mellan Polismyn- digheten och Säkerhetspolisen, om den mottagande myndigheten behöver uppgiften i sin brottsbekämpande verksamhet. Även här kan påpekas att redogörelsen ovan är ofullständig. 24.3.1Skyddet för PNR-information hos enheten för passagerarinformation Vår bedömning: Sekretessregleringen i 18 kap. 1 och 2 §§ samt 35 kap. 1 § första stycket 4 OSL ger ett tillfredsställande skydd för PNR-uppgifter som kommer in från lufttrafikföretagen för att lagras i PNR-databasen och även vid senare användning inom enheten. PNR-uppgifter som överförts från andra medlems- stater omfattas också av denna sekretessreglering liksom sådana träffar, analyser och andra resultat som tas fram inom enheten eller kommer in till enheten genom det internationella utbytet för vidare granskning av svenska behöriga myndigheter. Någon ny eller ändrad sekretessreglering, t.ex. avseende sekretessens styrka, är därför inte motiverad. I PNR-databasen hos enheten för passagerarinformation kommer det att lagras PNR-uppgifter från miljontals flygpassagerare. Som vi tidigare berört innebär PNR-systemet en massregistrering som potentiellt sett möjliggör en kartläggning av enskildas flygresande till och från . Även om uppgifterna sedda var för sig ofta kan te sig harmlösa finns det därför ett behov av sekretesskydd för att skydda passagerarnas personliga integritet. Bland uppgifterna kan också finnas en del skyddsvärda ekonomiska uppgifter såsom bank- eller kontokortsinformation. Likaså kan lufttrafikföretagen, researrangörer och resebyråer ha kommersiella intressen av att PNR-uppgifter som emanerar från dem inte blir offentligt tillgäng- liga och sammanförda med konkurrenters motsvarande uppgifter. För det allmännas intresse av sekretesskydd för den brottsbe- kämpande verksamheten torde det stora flertalet PNR-uppgifter i och för sig kunna röjas för vem som helst utan skada för verksam- heten. De allra flesta uppgifter som enheten för passagerarinforma- tion mottar från lufttrafikföretagen avser ju passagerare av intet in- tresse för bekämpningen av terroristbrottslighet eller grov brotts- lighet. Däremot säger det sig själv att ett röjande av träffar som fås fram vid enhetens förhandsbedömningar liksom annat resultat av en- hetens bearbetning och analys av PNR-uppgifterna kan antas skada kommande insatser som grundas på denna information. Detsamma gäller för PNR-information som mottagits från andra medlemsstater som bedömt att det finns anledning för att undersöka denna vidare. Även framtagna riskkriterier torde behöva skyddas från offentlighet för att det långsiktiga brottsbekämpande arbetet vid enheten och hos behöriga myndigheter inte ska störas. Arbetet vid enheten för passagerarinformation går med ett sam- manfattande ord ut på att informationsförsörja den brottsbekämpan- de verksamheten och är därmed en del av verk- samhet med att förebygga, förhindra, upptäcka och utreda brott. Som sådan är det vår bedömning att uppgifter som behandlas i PNR-data- basen vid enheten kommer att omfattas av de sekretessbestämmelser i 18 kap. 1 och 2 §§ samt 35 kap. 1 § första stycket 4 OSL som vi redogjort för ovan. Vad gäller den sistnämnda bestämmelsen kommer den att reglera inte bara uppgifter i PNR-databasen utan även andra uppgifter om enskilda som enheten behandlar enligt den nya lagen. Sekretessen enligt 35 kap. 1 § gäller, om det inte står klart att en uppgift kan röjas utan att den enskilde eller någon närstående lider skada eller men. Det kan för övrigt nämnas att de bokningsuppgifter som inhämtas med stöd av bestämmelserna i 25 och 26 §§ polis- lagen (1984:387) också anses omfattas av sekretesskyddet i bestäm- melserna i 18 och 35 kap. OSL de förvaras hos Polis- myndigheten (jfr prop. 1996/97:175 s. 68). Såvitt vi nu kan bedöma torde det inte bli aktuellt att PNR-information skulle omfattas av sekretess enligt 21 kap. 5 § OSL till skydd för utlänningars säkerhet, men vi kan inte helt utesluta det i särskilda fall. När det gäller sekretessen enligt 18 kap. 1 eller 2 § OSL kan det inte på ett enkelt sätt anges om den ena eller andra paragrafen är tillämplig i olika fall och mycket talar för att båda bestämmelserna ibland är parallellt tillämpliga. Enligt vår uppfattning kan det bero på den aktuella situationen. Själva lagringen av PNR-uppgifter (vilket kan komma att avse minst 28 miljoner flygpassagerarresor ) torde kunna ses som en sådan annan verksamhet som syftar till att förebygga, uppdaga, utreda eller beivra brott som avses i 18 kap. 1 § andra stycket 2. Enligt vår mening talar emellertid det mesta för att förhandsbedömningar, träffar och resultat från behandlingar för att t.ex. besvara en särskild begäran från underrättelseenheter vid be- höriga myndigheter omfattas av den starkare sekretessregleringen i 18 kap. 2 § första stycket. Däremot torde resultat av behandlingar som gjorts för att besvara en förfrågan om att hämta in PNR-infor- mation i en förundersökning inte höra hemma i 18 kap. 2 §. Det är dock under alla förhållanden vår slutsats att det allmännas intresse och behov av sekretesskydd för enhetens PNR-information är väl tillgodosett genom 18 kap. 1 och 2 §§ även om det i det enskilda fallet inte är alldeles enkelt att bedöma om det är den ena eller andra paragrafen eller båda som ska tillämpas parallellt. Sekretessregleringen inom det brottsbekämpande området, inte minst när det får internationella inslag, är relativt kom- plex. Det talar för att inte i onödan föreslå ytterligare bestämmelser om de som redan gäller ger ett tillfredsställande sekretesskydd. Det är vår uppfattning att så är fallet när det gäller såväl det allmännas intresse av att skydda den brottsbekämpande verksamheten som in- tresset av att skydda passagerares integritet och berörda företags kommersiella verksamhet. Vad gäller integritetsintresset ser vi således inte tillräckliga skäl att, såsom gjorts beträffande vissa andra register, införa någon absolut sekretess för uppgifter i PNR-databasen. Absolut sekretess bör användas återhållsamt och när det verkligen finns ett oundgängligt behov av det. Det omvända skaderekvisitet i 35 kap. 1 § med presum- tion för sekretess ger enligt vår mening ett tillräckligt starkt skydd. Vi ser heller inte anledning att – på motsvarande sätt som gjorts i fråga om passagerarregistret – föreslå ett annat skaderekvisit för kommer- siella intressen än vad som annars gäller inom den brottsbekämpande verksamheten enligt 35 kap. 1 §. Sammanfattningsvis menar vi att det inte finns behov av ändrad sekretessreglering för att skydda PNR- uppgifter hos enheten för passagerarinformation eller annan PNR- information som enheten för passagerarinformation genererar i sitt arbete eller mottar från andra medlemsstater. 24.3.2Skyddet för PNR-information hos behöriga myndigheter Vår bedömning: PNR-information som enheten för passagerar- information överför till verksamhet vid brottsbekämpande be- höriga myndigheter – självmant efter sin förhandsbedömning eller på begäran från den behöriga myndigheten – omfattas av samma sekretess som gäller för andra uppgifter i den verksamhet vari PNR-informationen används. Detsamma gäller för sådan PNR- information som sänts från enheter i andra medlemsstater via en- heten för passagerarinformation eller, i undantagsfall, direkt till myndigheten. Någon ny eller ändrad sekretessreglering behövs därför inte. Vi har ovan relativt ingående redogjort för de sekretessbestämmelser som i huvudsak gäller i aktuell verksamhet vid sådana brottsbe- kämpande myndigheter som utsetts eller kommer att utses till be- höriga myndigheter. Dessa kommer att få PNR-information från enheten efter dennas eller någon annan medlemsstats förhandsbe- dömning, på egen begäran eller undantagsvis direkt från en enhet i annan medlemsstat. I samtliga fall sker detta därför att de ska an- vända PNR-informationen i sin verksamhet med att förebygga, för- hindra, upptäcka, utreda eller lagföra terroristbrottslighet eller grov brottslighet. Vi ser det som den enda rimliga ordningen att samma sekretessbestämmelser bör gälla för PNR-informationen som för andra uppgifter som myndigheterna har eller hämtar in och använder i denna verksamhet. Dessa sekretessbestämmelser ger ett tillfreds- ställande skydd. Det saknas därför anledning att föreslå någon ny eller ändrad reglering i sekretesslagstiftningen. Vad gäller Försvarsmakten såsom behörig myndighet är det i verk- samhet inom Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst (Must) som det kan bli aktuellt att motta och använda PNR-information för något av de syften som anges i den nya lagen. I den verksamheten finns t.ex. behov av uppgifter om in- och utresande individer för att följa upp sådan säkerhets- hotande verksamhet som omfattas av lagens definition av terrorist- brottslighet eller, i viss utsträckning, grov brottslighet. Försvarsmaktens verksamhet inom Must omfattas inte direkt av sekretessregleringen enligt de ovan redovisade bestämmelserna i 18 kap. 1 och 2 §§ eller 35 kap. 1 § OSL. Däremot utgör PNR-infor- mationen uppgifter som, enligt det tidigare sagda, hänför sig till sådan verksamhet hos enheten för passagerarinformations som avses i 18 kap. 1 och 2 §. Den sekretessregleringen kommer, som framgått ovan, att vara tillämplig även hos Försvarsmakten efter det att PNR- informationen mottagits från enheten. Det är vidare vår uppfattning att även sekretessregleringen i 15 kap. 1 § (utrikessekretess) eller 2 § (försvarssekretess) OSL kan omfatta mottagen PNR-information i Musts verksamhet på samma sätt som dessa bestämmelser gäller i övrigt inom Musts verksamhet. Det har särskild betydelse för sådan PNR-information som Must i vissa undantagsfall kan begära direkt från en enhet i en annan med- lemsstat. Båda dessa bestämmelser innehåller emellertid raka skade- rekvisit med en presumtion för offentlighet. För sekretess enligt 15 kap. 1 § krävs att ett röjande kan antas störa mellan- folkliga förbindelser eller på annat sätt skada landet, För sekretess enligt 15 kap. 2 § gäller att det ska kunna antas att ett röjande skadar landets försvar eller på annat sätt vållar fara för rikets säker- het om uppgiften röjs. Beroende på sammanhanget eller uppgifter- nas karaktär är det alltså inte givet att PNR-information kan anses sekretessbelagd vid en prövning i det enskilda fallet gentemot dessa skaderekvisit. För Musts verksamhet finns därutöver en särskild sekretessbestäm- melse, 38 kap. 4 § OSL, till skydd för enskilds intresse. Enligt bestäm- melsen gäller sekretess hos Försvarsmakten i försvarsunderrättelse- verksamheten och den militära säkerhetstjänsten i underrättelse- och säkerhetsverksamheten för uppgift om enskilds personliga eller eko- nomiska förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider skada eller men. Skaderekvisitet är, liksom enligt 35 kap. 1 § OSL, omvänt med en presumtion för sekretess. Den bestämmelsen kommer att även vara tillämplig på PNR-information som mottas för att användas i Musts verksamhet. Vidare gäller 21 kap. 5 § OSL om sekretess till skydd för utlännings säkerhet även hos Försvarsmakten. Mot bakgrund av ovanstående är det vår uppfattning att PNR- information som överförs till Försvarsmakten såsom behörig myn- dighet enligt artikel 7 i direktivet kommer att åtnjuta ett tillfreds- ställande sekretesskydd hos Försvarsmakten. 24.3.3Behövs nya sekretessbrytande bestämmelser? Vår bedömning: Det uppgiftsutlämnande av PNR-information som PNR-direktivet medför för enheten för passagerarinforma- tion är förenligt med nuvarande sekretessreglering och sekretess- brytande undantag. Det behövs ingen särskild bestämmelse om sekretessgenombrott i offentlighets- och sekretesslagen eller i den nya lagen. PNR-direktivet medför att enheten för passagerarinformation ska sända sekretessreglerad PNR-information vidare till behöriga myn- digheter, till mottagare i andra medlemsstater och till Europol. Den nya lagen och den anslutande förordningen kommer att innehålla ett flertal bestämmelser om uppgiftsflödet ut från enheten till olika behöriga mottagare i eller övriga EU. Under vissa begrän- sade förutsättningar ska enheten vidare få överföra PNR-informa- tion till tredjeland. Det är vår bedömning att skaderekvisiten i bestämmelserna om sekretess till skydd för den brottsbekämpande verksamheten normalt inte kommer att ”slå till” vid uppgiftsutbytet enligt PNR-direktivet och därmed kräva tillämpning av någon sekretessbrytande bestäm- melse. Däremot är sekretessen i 35 kap. 1 § OSL till skydd för i första hand uppgifter om berörda passagerares personliga förhållanden sådan att tillämpning av sekretessbrytande bestämmelser krävs för att möjliggöra utbytet av PNR-information. Det ska observeras att det nedan sagda inte tar sikte på såsom behörig myn- dighet, utan enbart på andra myndigheter. Enhetens uppgifts- lämnande till såsom behörig myndighet enligt den nya lagen och vice versa är en intern överföring inom myndigheten som inte korsar någon sekretessgräns eller kräver stöd i sekretess- brytande bestämmelser, se avsnitt 10.4. Beträffande Säkerhetspolisen som mottagande behörig myndighet framgår vidare av 35 kap. 10 a § OSL att sekretessen enligt 35 kap. 1 § inte utgör något hinder för utlämnande, se ovan. Vad beträffar andra behöriga myndigheter än är, som tidigare angetts, informationsförsörjning till verksamhet med att bekämpa terroristbrottslighet eller grov brottslighet en helt cen- tral uppgift för enheten. Vi bedömer därför att det finns ett tänkbart att den sekretessbrytande bestämmelsen i nödvändigt uppgiftslämnande kan tillämpas minstone utlämnande till behöriga myndigheter av träffar beträffande passagerare som enheten vid sina förhandsbedömningar finner be- höver granskas närmare av mottagande behörig myndighet eller be- hörig mottagare i annan medlemsstat eller Europol. Även vidare- befordran till behöriga myndigheter av PNR-information som andra länders enheter ansett böra granskas vidare är en central uppgift för den svenska enheten liksom att besvara andra medlemsstaters fram- ställningar med begäran om utfående av PNR-information. I och med att det på nuvarande stadium dock är något vanskligt att exakt se framför sig hur informationsutbytet kommer att gestalta sig och vilken prövning inför utlämnanden som enheten kommer att behöva göra i olika fall, förefaller det dock långt ifrån säkert att 10 kap. 2 § räcker till för allt det utlämnande till behöriga myndigheter som bör äga rum. De bestämmelser vi föreslagit i avsnitt 15.2–15.4 innebär att en- heten ska överföra PNR-information till behöriga mottagare, dvs. behöriga myndigheter, andra medlemsstaters enheter eller, undan- tagsvis, utsedda behöriga myndigheter i andra medlemsstater eller Europol. Förutsatt att enheten finner att villkoren enligt bestämmel- serna är uppfyllda, har enheten således en skyldighet att överföra PNR-informationen som mottagaren behöver för sin verksamhet med att förebygga, förhindra, upptäcka, utreda eller lagföra terrorist- brottslighet eller grov brottslighet. Som vi ser det innebär detta att det visavi de svenska behöriga myndigheterna föreligger en sådan upp- giftsskyldighet som aktualiserar en tillämpning av 10 kap. 28 § OSL. Den bryter sekretess oavsett vilken materiell sekretessbestämmelse som gäller för en uppgift i fråga. Det ska dock påpekas att det ytterst är enhetens sak – dvs. i strikt mening utifrån sekretesslagstiftningens systematik – att bedöma vilka uppgifter mot- tagaren behöver för den aktuella bekämpningen avseende terrorist- brottslighet eller grov brottslighet som mottagna uppgifter är tänkta att användas för. Självfallet är det därför inte tillåtet för enheten att med åberopande av uppgiftsskyldighet och 10 kap. 28 § OSL lämna fler eller andra uppgifter som en mottagande myndighet inte alls verkar behöva. Att så inte får ske följer emellertid redan av andra bestämmelser i den föreslagna lagen. Regleringen i den nya lagen om förutsättningarna för att lämna ut PNR-information till andra medlemsstater och Europol är detal- jerade. Detsamma gäller bestämmelserna om utlämnande till tredje- land. Vi bedömer att det utlämnande som kommer i fråga till ut- ländska myndigheter enligt den nya lagen sker i enlighet med sådana särskilda föreskrifter i lag eller förordning som avses i 8 kap. 3 § 1 OSL. Även beträffande behöriga mottagare i utlandet finns således förutsättningar att med stöd av offentlighets- och sekretess- lagen sända över PNR-information som omfattas av sekretess enligt 35 kap. 1 § OSL eller någon annan materiell sekretessbestämmelse. Det är alltså vår samlade bedömning att sekretess inte utgör hinder för det utbyte av information som kommer att vara en integ- rerad del av verksamheten vid enheten för passagerarinformation. Vi ser heller inte skäl för att tydliggöra detta genom någon upplysande bestämmelse i vare sig den nya lagen eller i offentlighets- och sekretes- slagstiftningen. Den typen av tydliggörande kan nämligen leda till osäkerhet om vad som gäller på andra områden som saknar mot- svarande upplysningsbestämmelser. Vad särskilt gäller överföring till tredjeland kan avslutningsvis tilläggas att bestämmelserna i är formellt neutrala i den meningen att det principiellt sett inte påverkar tillämpningen av överföringsbestämmelserna om PNR-information, som enheten över- för till tredjeland, omfattas av sekretess eller inte hos Polismyndig- heten. Det är en annan sak att sekretess för överförda uppgifter kan påverka vilken skyddsnivå i mottagarlandet eller vilka skyddsåt- gärder eller villkor om användningsbegränsning som krävs i den enskilda situationen. för den nuvarande regleringen Som framgått i avsnitt 5.2 finns det bestämmelser som innebär att PNR-uppgifter kan användas i den brottsbekämpande verksamheten. Enligt dessa regelverk har , Säker- hetspolisen och möjlighet att få ta del av bokningsupp- gifter redan innan misstanke om ett visst konkret brott har uppstått. Bestämmelser härom finns i 25 och 26 §§ polislagen (1984:387), 4 kap. 6–8 §§ tullagen (2016:253) och i 15 och 16 §§ lagen (1996:701) om befogenhet vid gräns mot ett annat land inom Europeiska unionen (inregränslagen). Regleringen är i huvudsak ut- formad på samma sätt i de olika lagarna. På begäran av någon av de angivna myndigheterna ska ett transportföretag som befordrar varor, passagerare eller fordon till eller från skyndsamt lämna de aktuella uppgifter om ankommande och avgående transporter som företaget har tillgång till. Transportföretaget har endast skyldighet att lämna de uppgifter om passagerare som avser namn, resrutt, bagage, medpassagerare samt sättet för betalning och bokning. Uppgifterna får bara begäras in om de kan antas ha betydelse för den brottsbe- kämpande verksamheten. I övrigt innehåller regleringen ingen be- gränsning i fråga om för vilken slags brottslighet uppgifterna får användas. Uppgifterna får lämnas på så sätt att de görs läsbara genom direktåtkomst. De aktuella myndigheterna får ta del av uppgifter genom direktåtkomst endast i den omfattning och som behövs för att kontrollera transporterna. De får inte ändra eller på annat sätt bearbeta eller lagra uppgifter som hålls tillgängliga på detta sätt. Uppgifter om enskilda som lämnats på annat sätt än genom direktåtkomst ska förstöras, om de visar sig sakna be- tydelse för utredning och lagföring av brott. PNR-direktivets betydelse för den nuvarande regleringen För del finns det kompletterande bestämmelser i 4 kap. 4–9 §§ tullförordningen (2016:287) och i 3–7 §§ förordning- en (1996:702) om befogenheter vid gräns mot ett annat land inom Europeiska unionen (inregränsförordningen). Bl.a. anges att information om innehållet i inhämtade bokningsupp- gifter får lämnas till andra tulltjänstemän, andra enheter inom Tull- verket, och om uppgiften behövs i brottsbekämpande verksamhet för att klarlägga om brott eller brottslig verksamhet har förekommit, pågår eller planeras. Sådan information får också lämnas till en utländsk myndighet eller mellan- folklig organisation, om utlämnandet följer av en konvention som har tillträtt eller en överenskommelse som har ingått. Den kommande tullbrottsdatalagen, som ska träda i kraft , innehåller bestämmelser om den vidare behandlingen av bokningsuppgifter vid (se prop. 2016/17:91). Enligt 2 kap. 8 § TBL får personuppgifter som har lämnats till från transportföretag enligt 4 kap. 6 § tullagen eller 15 § inregränslagen behandlas i den utsträckning det är tillåtet enligt de lagarna och enbart i den utsträckning det behövs för planering av kontroll- verksamheten och urval av kontrollobjekt. Endast om det behövs i ett enskilt fall får sådana personuppgifter behandlas även för något av lagens primära ändamål och göras gemensamt tillgängliga. I 2 kap. 9 § TBL finns en bestämmelse som reglerar hur en sökning bland bokningsuppgifterna får gå till. I detta avsnitt kommer vi att analysera hur bestämmelserna om transportföretags skyldighet att lämna uppgifter om transporter och om de berörda myndigheternas behandling av dessa uppgifter berörs av genomförandet av PNR-direktivet. Utöver de ovan nämnda bestämmelserna regleras i 9 kap. 3 a–f §§ utlänningslagen (2005:716) skyldigheter för transportörer som luft- vägen transporterar passagerare till att på begäran överföra API-uppgifter till . De överförda uppgifterna kan enligt 6 § lagen (2006:444) om passagerarregister på begäran lämnas ut från till Säkerhetspolisen och för att underlätta verkställandet av personkontroller vid gräns. De angivna bestämmelserna genomför API-direktivet i svensk rätt. Som framgått av vår analys och våra överväganden i avsnitt 14 inne- bär PNR-direktivets genomförande inte att genomförandet av API- direktivet i svensk rätt påverkas. PNR-direktivets betydelse för den nuvarande regleringen API-direktivet och de bestämmelser som genomför det direktivet berörs därför inte närmare i detta avsnitt. 25.2Våra överväganden och förslag Vårt förslag: Det förs i polislagen, tullagen och inregränslagen in bestämmelser som innebär att transportföretags skyldigheter enligt de lagarna att överföra bokningsuppgifter till Polismyn- digheten, Säkerhetspolisen och inte ska gälla när lagen om flygpassageraruppgifter i brottsbekämpningen är tillämplig. PNR-direktivet påverkar inte samtliga transportörer PNR-direktivet innehåller endast bestämmelser om insamling och behandling av sådana PNR-uppgifter som lagras hos lufttrafikföre- tag. Direktivet innehåller således inga bestämmelser om insamling av PNR-uppgifter från transportörer som utför exempelvis buss-, färje-, eller tågtransporter. I skäl 33 anges att direktivet inte påverkar med- lemsstaternas möjligheter att tillhandahålla system för insamling och behandling av PNR-uppgifter från andra transportföretag, under förutsättning att den nationella rätten är förenlig med unionsrätten.