sou · H5B357 · 2017-06-22 00:00:00 — Paragrafen, som behandlas bl.a. i avsnitt 25, reglerar skyldigheten för transportörer av varor, passagerare eller fordon till eller från att på begäran lämna vissa bokningsuppgifter till eller Säkerhetspolisen. Första och andra stycket är oförändrade. I tredje stycket anges att första och andra stycket inte ska gälla för det fall lagen (2018:000) om flygpassageraruppgifter i brottsbe- kämpningen är tillämplig. 28.3Förslaget till lag om ändring i lagen (1996:701) om befogenheter vid gräns mot ett annat land inom Europeiska unionen Paragrafen, som behandlas bl.a. i avsnitt 25, reglerar skyldigheten för transportörer av varor, passagerare eller fordon till eller från att på begäran lämna vissa bokningsuppgifter till . Första och andra stycket är oförändrade. I tredje stycket anges att första och andra stycket inte ska gälla för det fall lagen (2018:000) om flygpassageraruppgifter i brottsbe- kämpningen är tillämplig. 28.4Förslaget till lag om ändring i lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst Paragrafen, som behandlas i avsnitt 8.5, reglerar förhållandet till lagen (2018:000) om flygpassageraruppgifter i brottsbekämpningen. Be- stämmelsen är ny. Genom paragrafen föreskrivs att för det fall det i lagen om flyg- passageraruppgifter i brottsbekämpningen finns avvikande bestäm- melser, ska dessa tillämpas i stället för bestämmelserna i denna lag. 28.5Förslaget till lag om ändring i polisdatalagen (2010:361) Paragrafen, som behandlas i avsnitt 8.5, reglerar förhållandet till lagen (2018:000) om flygpassageraruppgifter i brottsbekämpningen. Be- stämmelsen är ny. Genom paragrafen föreskrivs att för det fall det i lagen om flyg- passageraruppgifter i brottsbekämpningen finns avvikande bestäm- melser, ska dessa tillämpas i stället för bestämmelserna i polisdatalag- en. Det gäller oavsett om det handlar om personuppgiftsbehandling vid enheten för passagerarinformation eller en behörig myndighet som omfattas av polisdatalagens tillämpningsområde. 28.6Förslaget till lag om ändring i tullagen (2016:253) Paragrafen, som behandlas i avsnitt 25, reglerar förhållandet mellan lagens bestämmelser om tillgång till transportörers bok- ningsuppgifter och lagen (2018:000) om flygpassageraruppgifter i brottsbekämpningen. Bestämmelsen är ny. Av bestämmelsen framgår att skyldigheten enligt 4 kap. 6 § tullagen för transportörer av varor, passagerare eller fordon till eller från att på begäran lämna vissa bokningsuppgifter till Tull- verket inte ska gälla för det fall lagen om flygpassageraruppgifter i brottsbekämpningen är tillämplig. 28.7Förslaget till lag om ändring i tullbrottsdatalagen (2017:000) Paragrafen, som behandlas bl.a. i avsnitt 8.5, reglerar behandling av personuppgifter som har lämnats till från transportföre- tag. I ett nytt tredje stycke föreskrivs att för det fall det i lagen (2018:000) om flygpassageraruppgifter i brottsbekämpningen finns avvikande bestämmelser ska dessa tillämpas i stället. Paragrafen är i övrigt oförändrad. Av utredningen framgår att av alla bokningar av flygbiljetter inom EU och internationellt utförs av resebyråer. San- nolikt kommer denna typ av bokningar att öka i takt med att användandet av internet ökar globalt. I samband med att PNR-direktivet antogs gjorde Europeiska unionens råd ett uttalan- de av vilket framgår att medlemsstaterna förklarar att de i enlighet med önskemål åtar sig att i enlighet med sin nationella lagstiftning utvidga insamlingen av PNR-uppgifter till att omfatta aktörer som inte är lufttrafikföretag. Som sådana aktörer nämns särskilt resebyråer och researrangörer. Vi anser att det redan nu finns mycket goda skäl att införa en ut- ökad skyldighet för dessa aktörer att överföra PNR-uppgifter till den svenska enheten för passagerarinformation. Utredningen har dock inte lagt fram något sådant förslag. Ur ett brottsbekämpningsper- spektiv är det väldigt olyckligt och kan leda till att den nya regle- ringen inte blir så framgångsrik som det var tänkt. Vi vill framhålla att det är av mycket stor vikt att även dessa aktörer om- fattas av samma överföringsskyldighet. Vi vill också betona vikten av att arbetet med att ta fram en sådan reglering inleds . Genomförande av direktiv om användning av passageraruppgiftssamlingar En särskild utredare ska föreslå hur direktivet om användning av passageraruppgiftssamlingar för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet (PNR-direk- tivet) ska genomföras i svensk rätt. Utredaren ska föreslå ett system för hanteringen av flygpassageraruppgifter och den reglering för per- sonuppgiftsbehandling och sekretess som detta kräver. Utredaren ska också lämna de författningsförslag som krävs för att svensk lag- stiftning ska leva upp till direktivet och den deklaration som med- lemsstaterna ska anta som direktivet. Vid utformningen av regleringen ska skyddet för enskildas personliga integritet särskilt beaktas. Uppdraget ska redovisas . Passageraruppgiftssamlingar består av uppgifter som lämnats av passagerare (– PNR) och samlats in av lufttrafikföretag (härefter benämnda flygbolag) i samband med be- ställning och bokning av biljetter samt vid incheckning, t.ex. namn, betalningssätt, bagageinformation, destination och resebolag. bolag samlar in och behandlar sådana uppgifter om sina passagerare för kommersiella syften. Ett direktiv om användning av passageraruppgiftssamlingar för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet (PNR-direktivet) kommer att antas . Medlemsstaterna måste genomföra direktivet i nationell rätt efter att det trätt i kraft. Direktivet reglerar skyldigheten för flygbolag att överföra passa- geraruppgiftssamlingar till enheter för passagerarinformation i med- lemsstaterna, för vilka ändamål uppgifterna får behandlas, hur länge uppgifterna får lagras och under vilka förutsättningar de får lämnas ut. Flygpassageraruppgifterna får endast behandlas för att förebyg- ga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet. Terroristbrott definieras som de brott enligt nationell rätt som avses i artiklarna 1–4 i rådets rambeslut /475/RIF av om bekämpande av terrorism. Med grov brottslig- het avses de brott som listas i bilaga II till direktivet, t.ex. människo- handel, olaglig handel med narkotika, våldtäkt och sabotage, om de kan bestraffas med fängelse eller annan frihetsberövande åtgärd enligt nationell rätt. Direktivet innehåller även andra bestämmelser om dataskydd. Utredarens övergripande uppdrag är att analysera direktivet och föreslå de författningsändringar och andra åtgärder som krävs för att PNR-systemet ska kunna genomföras i svensk rätt. Förslagen ska sammantaget ge en väl balanserad reglering. I det ligger att utredaren ska ta hänsyn till intresset av en rättssäker och effektiv brottsbe- kämpning som skyddet för den personliga integriteten och andra grundläggande fri- och rättigheter säkerställs. Vid utformning- en av de författningsförslag som lämnas ska utredaren beakta EU:s stadga om de grundläggande rättigheterna (EUT C 83, 30.3.2010, s. 389) och de internationella konventioner på området som är förpliktat att följa. Utredaren ska vidare eftersträva kostnads- effektiva lösningar för dem som berörs av direktivet. Direktivet kräver endast att flygbolagen lämnar passagerarupp- giftssamlingar för flygtransporter som anländer från eller avgår till ett land utanför Europeiska unionen (EU). Medlemsstaterna har också möjlighet att tillämpa det på flygningar inom EU. Medlems- staterna kommer i en deklaration som ska antas som direk- tivet åta sig att utnyttja denna möjlighet. Genom deklarationen har medlemsstaterna även uttalat att man ska eftersträva att, med hänsyn till nationellt parlamentariskt förfarande, införa nationella bestäm- melser som innebär skyldighet att överföra flygpassageraruppgifter även för ekonomiska aktörer som inte är transportörer, t.ex. de rese- byråer och researrangörer som erbjuder bokningsförmedling vid vilken sådana uppgifter samlas in och behandlas. Utgångspunkten för uppdraget är därför att direktivet även ska tillämpas på flygningar inom EU och att skyldigheten att föra över flygpassageraruppgifter till de nationella enheterna i medlemsstaterna även ska omfatta rese- byråer och researrangörer. Utredaren ska föreslå ett system för hanteringen av flygpassa- geraruppgifter och den reglering för personuppgiftsbehandling och sekretess som detta kräver. Utredaren ska även analysera om och i så fall hur PNR-direktivet påverkar det svenska genomförandet av rådets direktiv /82/EG av om skyldighet för transportörer att lämna uppgifter om passagerare (API-direktivet). Ett system för hantering av flygpassageraruppgifter PNR-direktivet ställer krav på medlemsstaterna att se till att det finns ett fungerande system för att hantera flygpassageraruppgifter. Enligt direktivet ska flygbolag överföra flygpassageraruppgifter för ankom- mande och avgående transporter till den medlemsstat som flyget an- kommer till eller avgår ifrån. I enlighet med den deklaration som medlemsstaterna ska anta ska det eftersträvas att det i nationell rätt föreskrivs samma skyldighet för resebyråer och researrangörer. Med- lemsstaterna ska säkerställa att det i nationell rätt införs effektiva proportionella och avskräckande sanktioner, inklusive ekonomiska sådana, för flygbolag som inte uppfyller sina skyldigheter enligt direk- tivet vad gäller överföring av uppgifter eller som inte översänder uppgifterna i det fastställda formatet. För svenskt vidkommande bör ett sådant system vara uppbyggt enligt den struktur som redan gäller att en myndighets beslut om sanktioner kan överklagas till allmän förvaltningsdomstol. Varje medlemsstat ska inrätta eller utse en myndighet eller del av myndighet med behörighet att förebygga, upptäcka, utreda och lagföra terroristbrott och grov brottslighet som ska fungera som med- lemsstatens enhet för passagerarinformation. Enheten ska ansvara för att samla in flygpassageraruppgifter från flygbolagen, lagra, be- handla och överföra dessa uppgifter eller resultatet av behandlingen av dem till behöriga brottsbekämpande myndigheter. Enheten ska också ansvara för att utbyta flygpassageraruppgifter och resultatet av behandlingen av sådana uppgifter med andra medlemsstaters en- heter för passagerarinformation och med Europol. Enheten ska lagra uppgifterna . ska uppgifterna maskeras på ett sådant sätt att passageraren inte kan identifieras. De insamlade uppgifterna får endast behandlas för vissa angivna ändamål och läm- nas ut under vissa förutsättningar. har till uppgift att förebygga, upptäcka och utreda de flesta av de brott som om- fattas av direktivet. Utgångspunkten för uppdraget är därför att den nationella enheten ska placeras vid . Myndigheten ska även ansvara för genomförandet av direktivets tekniska bestäm- melser. Medlemsstaterna ska utse de myndigheter som ska vara behöriga att begära eller ta emot flygpassageraruppgifter och underrätta Euro- peiska kommissionen om dessa senast efter det att direktivet trätt i kraft. Regeringen kommer att utse dessa myndig- heter och det ingår därför inte i uppdraget att föreslå vilka myndig- heter som ska anses behöriga enligt direktivet. •ett system för hur flygpassageraruppgifter ska hanteras i , •hur enheten för passagerarinformation ska organiseras, •vilka sanktioner som ska kunna åläggas flygbolag som inte upp- fyller sina skyldigheter enligt direktivet, och •de författningsändringar som behövs. Behandling av personuppgifter och sekretess Ett effektivt system för hantering av flygpassageraruppgifter förut- sätter att uppgifter kan överföras inom systemet. måste skyddet för enskildas personliga integritet säkerställas. För att myndigheter ska kunna utbyta information krävs att in- formationen inte omfattas av sekretess eller att sekretessen kan brytas. Vidare krävs att det finns stöd för att uppgifterna får lämnas ut. Regler om utlämnande av uppgifter från en myndighet till en annan finns, vad gäller den behandling som direktivet föreskriver, dels i offentlighets- och sekretesslagen (2009:400), dels i de författningar som reglerar myndigheternas personuppgiftsbehandling. Dessa är polisdatalagen (2010:361) och lagen (2005:787) om behandling av uppgifter i brottsbekämpande verksamhet. Enligt direktivet ska medlemsstaterna säkerställa att den behand- ling av personuppgifter som sker vid den nationella enheten och vid behöriga brottsbekämpande myndigheter omfattas av nationella dataskyddsbestämmelser som överensstämmer med rådets rambeslut /977/RIF av om skydd av personupp- gifter som behandlas inom ramen för polissamarbete och straff- rättsligt samarbete (dataskyddsrambeslutet) och de dataskyddsbe- stämmelser som finns angivna i PNR-direktivet. Med hänvisningen till dataskyddsrambeslutet ska förstås såväl nuvarande lagstiftning som de framtida bestämmelser som kommer att ersätta detta. kommer nämligen ett nytt direktiv att antas med regler om skydd av personuppgifter när myndigheter behandlar sådana uppgifter vid brottsbekämpning, brottmålshantering eller straffverkställighet (det nya dataskyddsdirektivet). •analysera vilken personuppgiftsbehandling som aktualiseras vid tillämpningen av direktivet, •ta ställning till om reglerna i offentlighets- och sekretesslagen innebär ett tillräckligt skydd för de uppgifter som ska utbytas en- ligt direktivet eller om nuvarande lagstiftning behöver ändras för att ska leva upp till bestämmelserna i direktivet, •föreslå en reglering för personuppgiftsbehandling och sekretess som passar in i den befintliga svenska strukturen och ger en rätts- säker och mer effektiv brottsbekämpning som skyddet för den personliga integriteten säkerställs, och •i den utsträckning det är möjligt, beakta det arbete som genom- förs av den utredning som kommer att få i uppdrag att genomföra det nya dataskyddsdirektivet. Påverkar PNR-direktivet det svenska genomförandet av API-direktivet? Enligt bilaga I till direktivet omfattar flygpassageraruppgifter bl.a. förhandsuppgifter om passagerare (Advance Passenger Information, API). Inhämtandet av sådana uppgifter regleras i direktiv /82/EG om skyldighet för transportörer att lämna uppgifter om passagerare (API-direktivet). API-direktivet har genomförts i svensk rätt genom en bestämmelse i 9 kap. 3 a § utlänningslagen (2005:716) och genom lagen (2006:444) om passagerarregister. Bestämmelsen i utlännings- lagen innebär att en transportör som luftvägen transporterar passa- gerare till från en stat utanför Schengenområdet, på begäran av ska överföra uppgifter om de ankommande passagerarna så snart incheckningen avslutats. Informationen ska föras över till som ska spara uppgifterna i ett passa- gerarregister. PNR-direktivet innebär en skyldighet för flygbolag att överföra de förhandsuppgifter om passagerare och flygpassageraruppgifter som framgår av bilaga I till direktivet. Tillämpningen av bestämmelserna i ska i övrigt inte påverka tillämpningen av API- direktivet. I regeringens skrivelse Förebygga, förhindra, försvåra – den svenska strategin mot terrorism (skr. 2014/15:146) anges att syste- met för hantering av flygpassageraruppgifter bör samordnas med systemet för API-uppgifter, eftersom de tillsammans kan vara ett an- vändbart verktyg i terrorismbekämpningen. •analysera hur PNR-direktivet förhåller sig till regleringen i 9 kap. 3 a § utlänningslagen och lagen om passagerarregister, •föreslå hur systemet för flygpassageraruppgifter ska möjliggöra hantering av både PNR-uppgifter och API-uppgifter, och • föreslå de författningsändringar som bedöms nödvändiga. Utredaren ska bedöma de ekonomiska konsekvenserna av förslagen för de behöriga brottsbekämpande myndigheterna och konsekven- serna i övrigt av förslagen. Om förslagen kan förväntas leda till kost- nadsökningar för det allmänna, ska utredaren föreslå hur dessa ska finansieras. Utredaren ska även bedöma vilka konsekvenser förslagen får för enskilda. Samråd och redovisning av uppdraget Utredaren ska inhämta synpunkter från berörda myndigheter, sär- skilt , , , Ekobrotts- myndigheten, Transportstyrelsen, Säkerhets- och integritetsskydds- nämnden och Datainspektionen. I lämplig omfattning ska utredaren även inhämta synpunkter från berörda flygbolag, andra ekonomiska aktörer och branschorganisationer. Utredaren ska vidare hålla sig informerad om arbetet med att genomföra det nya dataskyddsdirek- tivet och arbete med att genomföra PNR-direk- tivet i dess tekniska delar. Uppdraget ska redovisas . L 119/132 Europeiska unionens officiella tidning OCH RÅDETS DIREKTIV (EU) 2016/681 om användning av passageraruppgiftssamlingar (PNR-uppgifter) för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet OCH EUROPEISKA UNIONENS RÅD HAR ANTAGIT DETTA DIREKTIV med beaktande av fördraget om Europeiska unionens funktionssätt, särskilt artiklarna 82.1 d och 87.2 a, med beaktande av Europeiska kommissionens förslag, efter översändande av utkastet till lagstiftningsakt till de nationella parlamenten, med beaktande av Europeiska ekonomiska och sociala kommitténs yttrande (1), efter att ha hört , i enlighet med det ordinarie lagstiftningsförfarandet (2), och av följande skäl: (1)antog kommissionen ett förslag till rådets rambeslut om användning av passagerarupp giftssamlingar (PNR-uppgifter) i brottsbekämpningssyfte. Ikraftträdandet av Lissabonfördraget ledde dock till att kommissionens förslag, som ännu inte hade antagits av rådet, blev inaktuellt. (2)I Stockholmsprogrammet – ett öppet och säkert i medborgarnas tjänst och för deras skydd (3) uppmanades kommissionen att lägga fram ett förslag om användning av PNR-uppgifter för att förebygga, förhindra, upptäcka, utreda och lagföra terrorism och grov brottslighet. (3)I sitt meddelande av om en övergripande strategi när det gäller överföring av passagera ruppgiftssamlingar (PNR-uppgifter) till tredjeländer skisserade kommissionen ett antal huvuddrag i en ny unionsstrategi på detta område. (4)I rådets direktiv /82/EG (4) regleras transportörers översändande av förhandsinformation om passagerare (API-uppgifter) till behöriga nationella myndigheter i syfte att förbättra gränskontrollerna och bekämpa olaglig invandring. (5)Målen för detta direktiv är bland annat att trygga säkerheten, skydda personers liv och säkerhet och att inrätta en rättslig ram för skydd av PNR-uppgifter vid behöriga myndigheters behandling av dessa. (6)En effektiv användning av PNR-uppgifter, exempelvis genom att jämföra PNR-uppgifter med uppgifter i olika databaser över eftersökta personer och föremål, är nödvändig för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet och därigenom förbättra den inre säkerheten, för att samla in bevisning och i förekommande fall för att hitta medbrottslingar och avslöja kriminella nätverk. (7)Bedömningen av PNR-uppgifter gör det möjligt att identifiera personer som inte har varit misstänkta för delaktighet i terroristbrott eller grov brottslighet innan en sådan bedömning görs och som bör undersökas (1) EUT C 218, 23.7.2011, s. 107. (2) ståndpunkt av (ännu ej offentliggjord i EUT) och rådets beslut av . (3) EUT C 115, , s. 1. (4) Rådets direktiv /82/EG av om skyldighet för transportörer att lämna uppgifter om passagerare (EUT L 261, , s. 24). Europeiska unionens officiella tidning L 119/133 närmare av de behöriga myndigheterna. Genom att använda PNR-uppgifter är det möjligt att möta hotet från terroristbrott och grov brottslighet från en annan utgångspunkt än vid behandling av andra kategorier av personuppgifter. För att säkerställa att behandlingen av PNR-uppgifter begränsas till vad som är nödvändigt, bör emellertid utformning och tillämpning av bedömningskriterierna begränsas till att endast omfatta terroristbrott och grov brottslighet för vilka användningen av sådana kriterier är relevant. Bedömningskriterierna bör dessutom fastställas på ett sätt som gör att så få oskyldiga människor som möjligt identifieras felaktigt av systemet. (8)Redan nu samlar lufttrafikföretagen in och behandlar PNR-uppgifter om sina passagerare för sina egna kommersiella syften. Detta direktiv bör inte medföra någon skyldighet för lufttrafikföretagen att samla in eller lagra några ytterligare uppgifter om passagerare eller någon skyldighet för passagerare att tillhandahålla några uppgifter utöver dem som redan tillhandahålls lufttrafikföretagen. (9)lagrar insamlade API-uppgifter som en del av PNR-uppgifterna, andra gör det inte. Att använda PNR-uppgifter tillsammans med API-uppgifter tillför ett mervärde, genom att det hjälper medlemsstaterna att kontrollera en individs identitet, vilket ökar PNR-uppgifternas betydelse för brottsbe kämpningen och minimerar risken för att man kontrollerar och utreder oskyldiga människor. Därför är det viktigt att säkerställa att lufttrafikföretag, om de samlar in API-uppgifter, överför dessa, oavsett om de lagrar API- uppgifter med hjälp av andra tekniska metoder än andra PNR-uppgifter. (10)För att det ska gå att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet är det av största vikt att alla medlemsstater inför bestämmelser om skyldigheter för lufttrafikföretag som tillhandahåller f lygförbindelser utanför EU att överföra de PNR-uppgifter, inklusive API-uppgifter, som de samlar in. Medlemsstaterna bör även ha möjlighet att utsträcka denna skyldighet till lufttrafikföretag som tillhandahåller f lygförbindelser inom EU. De bestämmelserna bör inte påverka tillämpningen av direktiv /82/EG. (11)Behandlingen av personuppgifter bör stå i proportion till de särskilda säkerhetsmål som detta direktiv syftar till att uppfylla. (12)Den definition av terroristbrott som tillämpas i detta direktiv bör vara densamma som i rådets rambeslut /475/RIF (1). Definitionen av allvarlig brottslighet bör omfatta de brottskategorier som förtecknas i bilaga II till detta direktiv. (13)PNR-uppgifter bör överföras till en särskild enhet för passagerarinformation i den berörda medlemsstaten, för att säkerställa klarhet om vad som gäller och för att minska kostnaderna för lufttrafikföretagen. får ha olika avdelningar i en medlemsstat och medlemsstater får också gemensamt inrätta en enhet för passagerarinformation. Medlemsstaterna bör utbyta information med varandra genom relevanta nät för informationsutbyte för att underlätta informationsutbyte och säkerställa driftskompatibilitet. (14)Medlemsstaterna bör betala kostnaderna för användning, lagring och utbyte av PNR-uppgifter. (15)En förteckning över PNR-uppgifter som ska vidarebefordras till en enhet för passagerarinformation bör utformas i syfte att återspegla de offentliga myndigheternas legitima krav på att kunna förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet och därigenom förbättra den inre säkerheten i unionen, som grundläggande rättigheter skyddas, särskilt rätten till skydd av privatlivet och rätten till skydd av personuppgifter. I detta syfte bör höga standarder tillämpas, i enlighet med Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan), konventionen om skydd för enskilda vid automatisk databehandling av personuppgifter (nedan kallad konvention nr 108) och den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (nedan kallad ). En sådan förteckning bör inte grundas på en persons ras eller etniska ursprung, religion eller övertygelse, politiska eller annan åskådning, medlemskap i fackförening, hälsotillstånd, sexualliv eller sexuella läggning. PNR-uppgifterna bör endast omfatta sådan information om passagerarens bokning och resrutt som gör det möjligt för de behöriga myndigheterna att identifiera f lygpassagerare som utgör ett hot mot den inre säkerheten.