sou · H5B357 · 2017-06-22 00:00:00 — Frågan är om brottsdatalagens tillämplighet bör framgå i lagen genom någon bestämmelse på sätt som vanligen sker när det Utgångspunkter och inledande ställningstaganden gäller befintliga registerförfattningars förhållande till personuppgifts- lagen. Som framgått kommer avvikande bestämmelser i annan lag eller förordning att gälla framför brottsdatalagens bestämmelser alldeles oavsett om detta anges i registerförfattningar eller inte. Omvänt gäller vidare att brottsdatalagens bestämmelser kommer att vara tillämpliga även på en registerförfattnings tillämpningsområde, i den utsträckning som den sistnämnda inte innehåller avvikande bestäm- melser och givetvis i övrigt faller under brottsdatalagens tillämp- ningsområde. Utredningen om 2016 års dataskyddsdirektiv har aviserat att det kommer att lämnas förslag om en delvis ny regleringsmodell för registerförfattningarna på området. Enligt förslaget ska registerför- fattningarna anpassas till brottsdatalagen på så sätt att de ska gälla utöver ramlagen och bara innehålla de bestämmelser som innebär undantag eller avvikelser från bestämmelserna i ramlagen (se SOU 2017:29 s. 141). Utredningen kommer dock, i enlighet med direkti- ven för arbetet, först i slutbetänkandet lämna förslag till de föränd- ringar som behöver göras i myndigheternas registerförfattningar som en följd av brottsdatalagen. De redovisade modeller som förekommer bland gällande register- författningar är alla förenade med både för- och nackdelar. Vår ambition är att anpassa vår lagkonstruktion till hur de centrala för- fattningarna om personuppgiftsbehandling på det brottsbekämpande området kommer att se ut framöver. Utredningen om 2016 års dataskyddsdirektiv har alltså redan an- gett att särförfattningarna ska utformas i enlighet med den komplet- terande modellen. Hur detta kommer att närmare utformas är dock på nuvarande stadium inte klart, dvs. om det kommer att föras in bestämmelser i respektive registerförfattning som klargör dess för- hållande till brottsdatalagen eller inte. Vi ser inte skäl att föreslå en annan lagteknisk lösning för vår lag, i den utsträckning den riktar sig till myndigheter som är behöriga myndigheter enligt den nya brottsdatalagen. Även den lagstiftning vi föreslår bör alltså vara kompletterande och gälla utöver brotts- datalagen. Frågan är om det behöver anges på annat sätt än genom den bestämmelse i brottsdatalagen som anger att avvikande bestäm- melser i lag eller förordning gäller före den lagen. Utgångspunkter och inledande ställningstaganden Brottsdatalagen är utformad för och kommer att, med visst undantag, att gälla generellt för brottsbekämpande verksamhet vid myndigheter som har till uppgift att bedriva sådan verksamhet. Detta kommer att bli väl inarbetat hos dessa myndigheter. Vi ser därför inte att det finns ett behov av att i en allmän bestämmelse i den lag vi föreslår upplysa om förhållandet till brottsdatalagen, vare sig att brottsdatalagen gäller utöver de regler som finns i den föreslagna lagen eller, motsatsvis, att den föreslagna lagens bestämmelser ersätter eller gäller utöver brottsdatalagens bestämmelser. Det sagda menar vi bör gälla för såväl den reglering som avser personuppgiftsbehand- ling vid enheten för passagerarinformation vid som de bestämmelser som berör den behandling som kommer att ske hos behöriga myndigheter när de mottar PNR-uppgifter och som annars omfattas av brottsdatalagens tillämpningsområde. Till detta kommer att Säkerhetspolisen föreslås stå utanför ramlagens tillämpningsområde när den mottagit PNR-uppgifter i sin verksam- het med att bekämpa terroristbrottslighet. Även Försvarsmakten torde stå utanför brottsdatalagens tillämpningsområde i den verk- samhet vari det kan bli aktuellt att motta PNR-uppgifter från en- heten för passagerarinformation. För Säkerhetspolisens och Försvars- maktens del skulle därvid behövas någon specialreglering som inte skulle underlätta begripligheten i lagstiftningen. Sammantaget är det alltså vår bedömning att övervägande skäl talar för att det är mest ändamålsenligt att inte ta in någon bestämmelse i den av oss föreslagna lagen som upplyser om det som redan gäller vare sig det uttrycks särskilt i lagen eller inte. Med detta åsyftas att brottsdatalagen också gäller vid behandlingen av PNR-uppgifter i tillämpliga delar för sådana myndigheter som också annars har att tillämpa brottsdatalagen, dock inte i den utsträckning den av oss föreslagna lagen kommer att innehålla från brottsdatalagen avvikande bestämmelser. I följande avsnitt kommer vi att i mån av behov när- mare beröra vilka bestämmelser i brottsdatalagen som kommer att vara tillämpliga och vilka bestämmelser i den av oss föreslagna lagen som gäller i stället för brottsdatalagen. I övrigt blir det dock en rättstillämpningsfråga att bedöma i vad mån en bestämmelse i vår föreslagna lagstiftning innefattar en avvikelse. Den frågan får av- göras med sedvanliga metoder för tolkning av författningar. Det är möjligt att de lagtekniska lösningarna för registerför- fattningars förhållande till brottsdatalagen som Utredningen om Utgångspunkter och inledande ställningstaganden dataskyddsdirektiv kommer att föreslå blir andra och att det därför, för att uppnå konsekvensens och ändamålsenlighet på området, finns anledning att i det fortsatta arbetet med genomföran- det av PNR-direktivet anpassa våra förslag till dessa kommande, mer generella lösningar. En ytterligare fråga är hur den av oss föreslagna lagstiftningen ska förhålla sig till sådana registerförfattningar som gäller och som framöver kommer att anpassas till brottsdatalagen. Utgångspunkten för vårt uppdrag är, enligt våra kommittédirek- tiv, att den nationella enheten för passagerarinformation ska inrättas vid . Vi kommer att behandla detta mer ingående i avsnitt 10. Redan här och i linje med det ovan sagda kan sägas att enhetens arbete kommer att omfattas av tillämpningsområdet för polisdatalagen i dess nuvarande lydelse (1 kap. 2 § första stycket 1 PDL). Det är oklart hur polisdatalagens tillämpningsområde kom- mer att anges i det anpassade förslag som Utredningen om 2016 års dataskyddsdirektiv ska föreslå. Vi har därför att utgå från den ut- formning som finns . Många bestämmelser i den lag vi föreslår kommer att avvika från regleringen i polisdatalagen. Det gäller t.ex. bestämmelser om tillåtna ändamål, behandling av känsliga personuppgifter, gallring, åtkomst m.m. Det skulle tala för att den av oss föreslagna lagen helt skulle ersätta polisdatalagen. kommer emellertid enhetens arbete med PNR-uppgifter att innefatta en hel del annan personuppgifts- behandling än just den som specifikt rör PNR-uppgifter. Exempel- vis ska PNR-uppgifter analyseras och jämföras med uppgifter i rele- vanta databaser. Detta kommer att beskrivas i avsnitt 13. I den tämligen omfattande bearbetningen och i det analysarbete som ska ske vid enheten bör enligt vår mening polisdatalagen gälla i den utsträckning som den av oss föreslagna lagen inte innehåller avvikande bestämmelser. Vi föreslår därför detta. Rent lagtekniskt bör detta åstadkommas genom en bestämmelse som utformas med 1 kap. 4 § PDL som modell. Det bör alltså föras in en bestämmelse i polisdatalagen, 1 kap. 4 a §, av vilken framgår att det finns av- vikande bestämmelser i den av oss föreslagna lagen som ska tillämpas Utgångspunkter och inledande ställningstaganden i stället för bestämmelserna i polisdatalagen när det gäller person- uppgiftsbehandling vid enheten för passagerarinformation. De behöriga myndigheterna kommer också att behandla PNR- uppgifter när de väl mottagit denna information från enheten för passagerarinformation. Även för den behandlingen kommer det i våra författningsförslag finnas vissa begränsningar som går utöver vad som gäller enligt polisdatalagen och motsvarande regle- ringar för andra behöriga myndigheter som utsetts eller senare kan komma att utses av regeringen till behöriga myndigheter enligt PNR-direktivet. Även för dessa behöriga myndigheter bör gälla att de avvikande bestämmelserna i vår lag ska gälla framför bestämmel- serna i registerförfattningar som annars gäller i deras verksamheter. I och med att och ut- setts som behöriga myndigheter kan den av oss föreslagna be- stämmelsen i polisdatalagen göras mer generell så att den omfattar all behandling enligt den av oss föreslagna lagen för dessa myndig- heter. Enligt vad vi upplysts om är tanken att det endast är inom polisiära del som det kommer att bli aktuellt att behandla PNR-information. Det bör därför, enligt vår bedöm- ning, inte föreslås en motsvarande bestämmelse i åklagardatalagen (2015:433). För del bör en motsvarande bestämmelse tas in i den nya tullbrottsdatalagen, Vi föreslår därför det. Bestämmelsen kan tas in som en nytt tredje stycke i 2 kap. 8 § TBL. Med tanke på den osäkerhet som råder angående den kommande regleringen för Säkerhetspolisen har vi inte sett det som möjligt att lämna något förslag för den myndigheten. I den mån Säkerhets- polisen även framgent ska omfattas av polisdatalagens tillämpnings- område, kommer emellertid den bestämmelse vi ovan föreslagit i polisdatalagen att även omfatta Säkerhetspolisens personuppgifts- behandling. Som nämnts ovan utsåg regeringen Polismyndig- heten, Säkerhetspolisen, , och Försvarsmakten såsom behöriga myndigheter enligt artikel 7 i direk- Utgångspunkter och inledande ställningstaganden Vi har av tidsskäl inte haft möjlighet att närmare behandla frågor som gäller Försvarsmakten. Såvitt vi erfarit är tanken att PNR-information ska kunna mottas från eller begäras från enheten för passagerarinformation endast i försvarsunderrättelseverksamheten och den militära säkerhetstjänst- en. Inom den verksamheten gäller lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksam- het och militära säkerhetstjänst. Regleringen av Försvarsmaktens behandling av personuppgifter, inklusive den nu nämnda lagen, kan komma att förändras betydligt till följd av förslag från den utred- ning som getts i uppdrag att se över regleringen av behand- lingen av personuppgifter inom Försvarsmakten och Försvarets radio- anstalt (dir. 2017:42). Det uppdraget ska dock redovisas först . Det är därför vår uppfattning att en motsvarande be- stämmelse som den vi ovan föreslagit för polisdatalagen och tull- brottsdatalagen bör införas i den nämnda lagen för försvarsunder- rättelseverksamheten och militära säkerhetstjänsten i avvaktan på en eventuell ändrad reglering på Försvarsmaktens område. Vi före- slår därför detta och att en sådan bestämmelse tas in som en ny paragraf, 1 kap. 1 a §, i den lagen. 9Den nya lagens inledande bestämmelser 9.1Den nya lagens namn, innehåll och syfte Våra förslag: Den nya lagen ska heta lagen om flygpassagerar- uppgifter i brottsbekämpningen. Lagen ska inledas med bestäm- melser som i korthet anger lagens innehåll och att lagen innebär ett genomförande av PNR-direktivet. Syftet med lagen ska vara att dels tillgodose behovet av till- gång till PNR-uppgifter i verksamhet för att förebygga, förhindra, upptäcka, utreda eller lagföra sådan brottslighet som omfattas av PNR-direktivets tillämpningsområde, dels skydda människor mot att deras personliga integritet kränks vid behandling av uppgifter om dem. Syftet ska uttryckligen anges i lagen. Som framgått i avsnitt 8.2 kommer den nya lagen som genomför PNR-direktivet att innehålla såväl verksamhets- som dataskyddsreg- lering. Med tanke härpå bör lagens namn inte ge intrycket att enbart vara av det ena eller andra slaget av reglering. Flygpassagerardatalag eller lag om behandling av flygpassageraruppgifter eller liknande som för tankarna till dataskyddsreglering bör därför inte väljas. Det är vidare allmänt eftersträvansvärt med korta namn på författningar som dock ska ge information om författningens innehåll (se t.ex. Ds 2014:1 s. 17). Vi har övervägt att föreslå namnet PNR- lagen. Vi har dock funnit att det skulle vara alltför svårbegripligt för icke insatta och att det därmed vore olämpligt att använda sig av en sådan förkortning i lagens namn. Den nya lagens inledande bestämmelser Den nya lagen är komplex och riktar sig i större eller mindre utsträckning till flera aktörer. För att i någon mån leva upp till kravet på korta lagrubriker anser vi att benämningen lagen om flygpassa- geraruppgifter i brottsbekämpningen är ändamålsenlig då den fångar kärnan i regleringen, nämligen att sådana uppgifter ska bli tillgäng- liga för användning inom brottsbekämpande verksamhet. PNR-direktivets artikel 1 har rubriken syfte och tillämpningsom- råde. Artikeln innehåller dock dels en sammanfattande beskrivning av direktivets innehåll, dels ett initialt klargörande av den mest centrala begränsningen av för vilka ändamål insamlade uppgifter får behandlas enligt direktivet. Vad gäller PNR-direktivets innehåll fram- går av punkten a i artikel 1.1 att direktivet innehåller bestämmelser om lufttrafikföretagens överföring av PNR-uppgifter om passage- rare på flygningar utanför EU. I punkten b framgår att direktivet också innehåller bestämmelser om behandlingen av de uppgifterna. I den behandling av PNR-uppgifter som omfattas av direktivet in- begrips enligt artikeln medlemsstaternas insamling, användning, lag- ring och inbördes utbyte av dessa uppgifter. De PNR-uppgifter som samlas in i enlighet med direktivet får enligt artikel 1.2 endast behandlas på det sätt som anges i direktivets artikel 6.2 a, b och c och endast i syfte att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet. I direktivet används begreppet brott när det är fråga om såväl att före- bygga och upptäcka brott som att utreda brott. I svensk lagstift- ning brukar man emellertid skilja mellan å ena sidan underrättelse- verksamhet som är ett led i arbetet med att förebygga, förhindra och upptäcka brottslig verksamhet och, å andra sidan, utredning och beivrande av konkreta brott. Vid tidigare genomföranden av såväl Prümrådsbeslutets bestämmelser om automatiserat utbyte av finger- avtrycksuppgifter och VIS-rådsbeslutets bestämmelser om brotts- bekämpande myndigheters tillgång till information för viseringar har begreppet brott tolkats så att det omfattar både konkreta brott och sådan brottslig verksamhet som är föremål för underrättelse- arbete (se prop. 2010/11:129 s. 110 och prop. 2014/15:82 s. 34). Vi ser ingen anledning att göra någon annan tolkning av begreppets Den nya lagens inledande bestämmelser innebörd i PNR-direktivet. Det innebär att PNR-uppgifter enligt direktivet får behandlas både vid underrättelseverksamhet och vid förundersökning. Vidare får uppgifterna användas av åklagare och i domstol vid en lagföring. Bestämmelsen i artikel 1 utgör en bra sammanfattning av direk- tivet. En ny lag om PNR-uppgifter skulle därför kunna inledas med liknande bestämmelser. Således föreslås en inledande bestämmelse som anger att lagen innehåller bestämmelser om lufttrafikföretags överföring av PNR-uppgifter till den nationella enheten för passa- gerarinformation och om behandlingen av PNR-uppgifter. Det bör av bestämmelsen vidare framgå att sådana uppgifter får användas i verksamhet för att förebygga, förhindra, upptäcka, utreda eller lag- föra terroristbrottslighet eller grov brottslighet. Det kan här anmärkas att vi valt att använda ordet eller i uttrycken ”utreda eller lagföra” samt ”terroristbrottslighet eller grov brottslighet” i stället för ordet och som används på motsvarande ställen i den svenska översättning- en av PNR-direktivet, vilket torde vara en felöversättning. Det är alltså inte nödvändigt att alla de angivna syftena är upp- fyllda för att uppgifterna ska få behandlas i ett enskilt fall. Inte heller behöver ett syfte med behandlingen vara att både bekämpa terrorist- brottslighet och grov brottslighet, utan det är tillräckligt att den ena sortens brottslighet är aktuell. Vi kommer i det följande att föreslå hur terroristbrottslighet och grov brottslighet ska definieras i lagen. Vi återkommer då till vårt val att använda begreppet terrorist- brottslighet i stället för direktivets uttryck terroristbrott. I författningar som genomför direktiv förekommer ibland och ibland inte en upplysning om att författningen i fråga genomför ett EU- direktiv. En sådan bestämmelse har ingen materiell betydelse som sådan utan innebär enbart just en upplysning. Vi ser ett värde i att upplysa om att lagen genomför PNR-direktivet och föreslår därför att det tas in en sådan upplysningsbestämmelse i lagens inledande paragraf. Härigenom uppfylls vidare kravet enligt artikel 18.1 andra stycket i PNR-direktivet om att hänvisning till direktivet ska göras vid den nationella implementeringen. Den nya lagens inledande bestämmelser Direktivets syfte får anses framgå av dess ingress. I skäl 5 anges att målen för direktivet bland annat är att trygga säkerheten, skydda personers liv och säkerhet och att inrätta en rättslig ram till skydd för PNR-uppgifter vid behöriga myndigheters behandling av dessa. I skäl 6 anges att en effektiv behandling av PNR-uppgifter, exem- pelvis genom att jämföra PNR-uppgifter med uppgifter i olika data- baser över eftersökta personer och föremål, är nödvändig för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet och därigenom förbättra den inre säkerheten. En sådan behandling av PNR-uppgifter anges även vara nödvändig för att samla in bevisning och i förekommande fall för att hitta med- brottslingar och avslöja kriminella nätverk. I skäl 7 anges vidare att bedömningen av PNR-uppgifter gör det möjligt att identifiera per- soner som inte har varit misstänkta för delaktighet i terrorist- brott eller grov brottslighet och som bör undersökas närmare av de behöriga myndigheterna. Genom att använda PNR-uppgifter är det möjligt att möta hotet från terroristbrott och grov brottslighet från en annan utgångspunkt än vid behandling av andra kategorier av personuppgifter. Enligt skäl 10 är det av största vikt att alla medlemsstater inför bestämmelser om skyldigheter för lufttrafikföretag som tillhanda- håller flygförbindelser utanför EU att överföra de PNR-uppgifter, inklusive API-uppgifter, som de samlar in för att det ska gå att före- bygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet. Av skäl 11 framgår vidare att behandlingen av per- sonuppgifter bör stå i proportion till de särskilda säkerhetsmål som direktivet syftar till att uppfylla. På grund av rättsliga och tekniska skillnader mellan olika natio- nella bestämmelser om behandling av personuppgifter, däribland PNR-uppgifter, möts lufttrafikföretagen av olika krav på vilken typ av information som ska översändas och vilka villkor som gäller för översändandet av denna information till de behöriga nationella myn- digheterna. Dessa skillnader kan vara till skada för ett effektivt sam- arbete mellan de behöriga nationella myndigheterna för att före- bygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet. I skäl 35 anges därför som ytterligare syfte bakom Den nya lagens inledande bestämmelser direktivet att det är nödvändigt att på unionsnivå inrätta en gemen- sam rättslig ram för överföring och behandling av PNR-uppgifter. Det bör i lagens inledande del finnas en bestämmelse som be- skriver lagens syfte. En sådan bestämmelse måste dock utformas på ett mycket övergripande och förenklat sätt men ändå fånga regle- ringens syfte. Detta är tudelat. Lagen syftar dels till att ge behöriga myndigheter tillgång till information för användning i viss brotts- bekämpande verksamhet, dels till att värna de enskildas integritet vid insamlingen och den vidare användningen samt utbytet av upp- gifter om dem. PNR-direktivets artiklar avspeglar således en avväg- ning mellan, å ena sidan, viljan att skapa ett harmoniserat och enhet- ligt system för informationsanvändning och utbyte inom EU för en effektiv bekämpning av allvarlig brottslighet och, å andra sidan, ett tillgodoseende av berörda passagerares grundläggande rättigheter om respekt för privatlivet och skydd för sina personuppgifter. Detta uttrycks, enligt vår mening, lämpligen med en bestämmelse som anger att syftet med lagen är att tillgodose behovet av tillgång till PNR- uppgifter vid sådan verksamhet som nämnts ovan och att skydda människor mot att deras personliga integritet kränks vid behand- lingen av uppgifter om dem. Vårt förslag: Vissa uttryck som används i lagen ska definieras. Definitionerna ska ligga så nära PNR-direktivets definitioner som möjligt. Vi har i tidigare avsnitt angett att dataskyddsförordningen, brotts- datalagen, polisdatalagen och viss annan dataskyddsreglering för behöriga myndigheter kommer att gälla i mer eller mindre stor utsträckning utöver de bestämmelser som vi föreslår i den nya lagen. Därmed kommer en hel rad dataskyddsrättsliga begrepp att också bli tillämpliga vid behandling av personuppgifter enligt vår lag. Exempel på detta är just orden behandling och personuppgifter, men även begreppen personuppgiftsansvarig, personuppgiftsbiträde, dataskyddsombud, registrerad m.m. I artikel 3 i PNR-direktivet definieras vissa uttryck som är av grundläggande betydelse både för förståelsen av bestämmelserna i Den nya lagens inledande bestämmelser direktivet och för att ringa in dess närmare tillämpningsområde. Vi menar att huvuddelen av dessa definitioner bör tas in i den nya lagen som genomför direktivet och föreslår därför detta. Vi kommer där- vid att förhålla oss nära lydelsen i direktivet. Vilka begreppen är kommer att närmare behandlas eller annars framgå i andra avsnitt i detta betänkande. Ett par definitioner i direktivet kommer det dock att saknas be- hov av i vårt förslag enligt vår bedömning. Detta gäller till en början begreppen flygning utanför EU och flygning inom EU, eftersom det inte kommer att finnas någon särreglering för det ena eller andra slaget av flygningar. Inte heller finns det behov av att definiera be- greppet sändmetoden. Detta kommer vi att närmare behandla i av- snitt 11.4.7. Vidare kommer vi att föreslå definitioner av en del ytterligare begrepp än de som anges i artikel 3 i direktivet. Skälet till detta är närmast att förenkla utformningen av de materiella bestämmelserna i lagen. Inte i något avseende kommer dessa extra definitioner att strida mot direktivet. Vilka dessa definitioner är kommer att framgå i senare avsnitt. Av avgörande betydelse för PNR-direktivets tillämpningsområde och tillåtna ram för användningen av PNR-uppgifter är emellertid begreppen terroristbrott och grov brottslighet. Genom portalpara- grafen i artikel 1.2 slås nämligen fast att PNR-uppgifter som samlas in i enlighet med direktivet endast får behandlas i syfte att före- bygga, förhindra, upptäcka, utreda eller lagföra sådan brottslighet. Nedan behandlar vi i separata avsnitt vad som ska förstås med be- greppen terroristbrott och grov brottslighet och hur de bör definieras i den nya lagen. I artikel 3.8 i PNR-direktivet definieras terroristbrott som de brott enligt nationell rätt som avses i artiklarna 1–4 i rådets rambeslut /475/RIF av om bekämpande av terrorism (ter- rorismrambeslutet). Någon kvalifikation angående straffets svårig- het anges inte i direktivet. Den nya lagens inledande bestämmelser Vad som utgör ett terroristbrott definieras i artikel 1 i terrorism- rambeslutet. Med ett sådant brott avses i korthet vissa uppsåtliga handlingar som genom sin art eller sitt sammanhang allvarligt kan skada ett land eller en internationell organisation och som begås i syfte att –injaga allvarlig fruktan hos en befolkning, –otillbörligen tvinga offentliga organ eller en internationell orga- nisation att utföra eller att avstå från att utföra en handling, eller –allvarligt destabilisera eller förstöra de grundläggande politiska, konstitutionella, ekonomiska eller sociala strukturerna i ett land eller i en internationell organisation.