sou · H5B357 · 2017-06-22 00:00:00 — 5.samarbeta med tillsynsmyndigheten och vara kontaktpunkt för den vid förhandssamråd och andra frågor som rör behandling av personuppgifter. Om den personuppgiftsansvarige bryter mot bestämmelser för be- handling av personuppgifter och rättelse inte vidtas, ska dataskydds- ombudet, enligt 3 kap. 15 §, anmäla det till tillsynsmyndigheten. Enligt 3 kap. 14 § BDF ska den personuppgiftsansvarige säker- ställa att dataskyddsombud ges möjlighet att delta i de frågor som rör skyddet av personuppgifter. Den personuppgiftsansvarige ska se till att dataskyddsombud kan utföra de uppgifter som anges i 3 kap. 14 och 15 §§ BDL genom att tillhandahålla nödvändiga resur- ser, ge tillgång till dokumentation om behandling av personuppgifter och vid behov medge åtkomst till personuppgifter som behandlas. Den personuppgiftsansvarige ska också se till att dataskyddsombud ges möjlighet att upprätthålla sin sakkunskap. 19.5.4Våra överväganden och förslag Våra förslag: ska utse ett dataskyddsombud för enheten för passagerarinformation. Dataskyddsombudet ska ha tillgång till alla uppgifter som behandlas vid enheten. Det förs i lagen in bestämmelser som anger att dataskydds- ombudet vid enheten för passagerarinformation ska ansvara för genomförandet av relevanta skyddsåtgärder. Vidare ska enskilda ha rätt att kontakta dataskyddsombudet i egenskap av enda kon- taktpunkt i alla frågor som gäller behandling av dennes PNR- uppgifter enligt lagen. Om dataskyddsombudet anser att enheten för passagerarinformation bryter mot bestämmelser för behand- ling av PNR-uppgifter, ska han eller hon anmäla det till tillsyns- myndigheten. Enligt brottsdatalagen ska den personuppgiftsansvarige utse ett eller flera dataskyddsombud. I PNR-direktivet anges i stället att enheten för passagerarinformation ska utse ett eget dataskyddsombud. Som tidigare framgått ska enheten för passagerarinformation placeras vid och ingå som en organisatorisk enhet i den myn- digheten. Skyldigheten att utse enhetens dataskyddsombud bör i linje med den normala strukturen inom svensk förvaltning läggas på myndighetsnivå, dvs. på den nivå inom myndigheten som har det yttersta ansvaret för verksamheten vid enheten och som är person- uppgiftsansvarig för enhetens behandling av personuppgifter. Enligt vår mening kan det knappast anses strida mot PNR-direktivet att utseendet av dataskyddsombud sker i en överordnad nivå i stället för på enheten. Det väsentliga med direktivets bestämmelser, som vi tolkar dem, är att det finns ett särskilt dataskyddsombud hos enheten som kan utföra de uppgifter som ett sådant ska ha enligt direktivet. Skyldighet för att utse ett dataskyddsombud vid enheten för passagerarinformation bör föras in i vår reglering. Skyldigheten att anmäla till tillsynsmyndigheten när dataskydds- ombud utses och entledigas bör också åligga den personuppgifts- ansvarige, dvs. Detta framgår av brottsdatalagen och behöver inte regleras särskilt i vår lag. Att det ska utses ett särskilt dataskyddsombud vid enheten för passagerarinformation hindrar, som vi ser det, inte i sig att detta ombud har sin anställning utanför enheten eller har fler uppdrag som dataskyddsombud. Huruvida detta är lämpligt eller möjligt torde bero på hur mycket arbete det kommer att visa sig att ombu- det behöver lägga ned på sitt uppdrag, vilket är svårt att nu bedöma. Dessutom kan säkerhetsaspekten med tanke på känsligheten i in- formationen och ombudets obegränsade tillgång till uppgifterna tala mot en sådan lösning. Dataskyddsombuds uppgifter enligt brottsdatalagen omfattar i stora delar även de uppgifter som ett dataskyddsombud ska ha en- ligt PNR-direktivet. Men det finns vissa skillnader. Således menar vi att skyldigheten enligt artikel 5.1 i direktivet att övervaka behandlingen av PNR-uppgifter och genomförandet av relevanta skyddsåtgärder, i huvudsak omfattas av 3 kap. 14 § 1 BDL, dock att ombudet dessutom ska ansvara för genomförandet av rele- vanta skyddsåtgärder. Detta innebär, enligt vår tolkning, att det ankommer på ombudet vid sidan av att ta initiativ till och lämna riktlinjer och förslag på lämpliga skyddsåtgärder samt att också se till att dessa genomförs i praktiken på enheten. Detta bör regleras särskilt i den av oss föreslagna lagen. Vidare omfattas uppgiften att vara kontaktpunkt för enskilda enligt artikel 5.3 i stort sett av bestämmelsen i 3 kap. 14 § 4 BDL, dock att det i PNR-direktivet framhålls att registrerade ska ha rätt att kontakta dataskyddsombudet i egenskap av kontaktpunkt i alla frågor som rör behandlingen av den registrerades PNR-uppgifter. Detta torde vara en inte oväsentlig utvidgning av ombudets upp- gifter jämfört med brottsdatalagen. Vi tolkar nämligen artikel 5.3 på så sätt att enskilda ska ha en möjlighet att vända sig till och få hjälp eller information av dataskyddsombudet vid enheten även om behandlingen i det särskilda fallet helt eller delvis utförts av ett luft- trafikföretag, en behörig myndighet eller av utländska mottagare, dock bara såtillvida det varit fråga om en tillämpning av den lag vi föreslår. Detta föreslår vi ska uttryckas genom en bestämmelse i den nya lagen som gäller utöver 3 kap. 14 § 4 BDL. Om en enskild har invändningar mot t.ex. lufttrafikföretags insamling av PNR-uppgifter får denne däremot vända sig till vederbörande lufttrafikföretag. Likaså får en enskild vända sig till vederbörande dataskyddsombud utanför enheten om det handlar om användning av PNR-uppgifter i ett förundersökningsprotokoll. Dock bör enhetens dataskydds- ombud i sådana fall kunna lotsa en missnöjd eller undrande enskild vidare till rätt kontaktpunkt. Av bestämmelsen i 3 kap. 14 § BDF framgår att den person- uppgiftsansvarige ska tillhandahålla nödvändiga resurser för att dataskyddsombudet ska kunna utföra sina uppgifter (jfr artikel 5.2 i PNR-direktivet). Den bestämmelsen kommer att gälla även för dataskyddsombudet vid enheten för passagerarinformation och be- höver alltså inte regleras särskilt i våra förslag. Enligt artikel 6.7 i PNR-direktivet ska dataskyddsombudet ha åtkomst till alla uppgifter som enheten för passagerarinformation behandlar. I brottsdataförordningen anges att den personuppgifts- ansvarige ska säkerställa att dataskyddsombudet ges möjlighet att delta i de frågor som rör skyddet av personuppgifter. Vidare ska den personuppgiftsansvarige enligt bestämmelsen ge tillgång till doku- mentation om behandling av personuppgifter och vid behov medge åtkomst till personuppgifter som behandlas. Enligt vår mening torde ett behov av tillgång till PNR-uppgifter ständigt föreligga för att dataskyddsombudet ska kunna utföra sina uppgifter. Man skulle där- för kunna resonera som så att ytterligare reglering inte är nödvändig i frågan. Vi menar dock att ombudets kontinuerliga tillgång till upp- gifterna är så pass central, för att lagligheten i behandlingen ska kunna kontrolleras, att frågan bör tas in i vår reglering. Vi föreslår alltså en bestämmelse som anger att dataskyddsombudet ska ges tillgång till alla uppgifter som behandlas vid enheten. Vidare anges i artikel 6.7, som avser behandling av PNR-uppgifter vid enheten för passagerarinformation, att dataskyddsombudet ska hänskjuta en fråga till tillsynsmyndigheten om denne anser att behandlingen av vissa uppgifter inte har varit lagenlig. Enligt brotts- datalagen ska en anmälan till tillsynsmyndigheten i liknande situa- tioner göras först om rättelse inte vidtas (3 kap. 15 § ). Bestämmelsen i PNR-direktivet är således strängare än den föreslagna bestämmelsen i brottsdatalagen. Frågan får därför regleras särskilt i vår lag. Frågor om information till dataskyddsombudet i vissa fall och om efterhandskontroll har behandlats i tidigare avsnitt, se av- snitt 15.5.4 och 17.3.4. En viktig aspekt av personuppgiftsskyddet är enskildas rätt att få veta hur deras personuppgifter behandlas. Information om den person- uppgiftsbehandling som pågår är en förutsättning för att någon ska kunna kontrollera om behandlingen är författningsenlig och i övrigt kunna bevaka sina intressen. Enligt PNR-direktivets skäl 37 bör med- lemsstaterna se till att passagerarna klart och tydligt informeras om insamlingen av PNR-uppgifterna och om sina rättigheter. Även i skäl 29 anges att medlemsstaterna bör se till att passagerare förses med korrekt, lättåtkomlig och lättbegriplig information om insam- lingen av PNR-uppgifter och överföringen av dessa uppgifter till enheten för passagerarinformation samt om sina rättigheter i egen- skap av registrerade. Direktivet anger att passagerarna ska tillerkännas vissa grundläg- gande rättigheter vid behandlingen av deras personuppgifter. Enligt artikel 13.1 ska medlemsstaterna föreskriva att alla passagerare vid all behandling av personuppgifter i enlighet med direktivet har sam- ma rätt till skydd av sina personuppgifter, rätt till åtkomst, rättelse, radering och begränsning samt rätt till ersättning och tillgång till rättsmedel som fastställs i unionsrätten och nationell rätt och för genomförande av artiklarna 17, 18, 19 och 20 i dataskyddsram- beslutet. Enligt PNR-direktivet ska således de angivna artiklarna i dataskyddsrambeslutet tillämpas även vid sådan personuppgiftsbe- handling som omfattas av direktivet. En enskild registrerads rätt till information om behandlingen reg- leras i dataskyddsrambeslutet i artiklarna 16 och 17. PNR-direktivet hänvisar dock endast till artikel 17. Enligt den bestämmelsen har den registrerade rätt att på begäran åtminstone få bekräftat av den register- ansvarige eller den nationella tillsynsmyndigheten om uppgifter röran- de honom eller henne har överförts eller gjorts tillgängliga och i så fall till vilka mottagare eller mottagarkategorier (artikel 17.1.a), eller en bekräftelse från tillsynsmyndigheten att alla nödvändiga kon- troller har utförts (artikel 17.1.b). Artikel 17.2 anger för vilka syften undantag får göras från reglerna om den registrerades rätt till infor- mation. Sådana undantag får göras bl.a. om begränsningen är nöd- vändig för att hindra obstruktion och skydda allmän eller nationell säkerhet. Artikel 17.3 föreskriver att en vägran att lämna information till den enskilde enligt huvudregeln ska vara skriftlig och innehålla skälen för vägran. Om vägran att lämna information grundas på något av undantagen i artikel 17 behöver några skäl inte anges. Den registre- rade ska underrättas om möjligheten att överklaga till den nationella tillsynsmyndigheten, en rättslig myndighet eller till domstol. Vid genomförandet av dataskyddsrambeslutet ansågs artikel 17.1 motsvaras av 26 § PUL, som ställer mer långtgående krav på vilken information som ska lämnas. Undantagsgrunderna i 8 a och 27 §§ PUL ansågs i allt väsentligt motsvara de undantagsgrunder som anges i artikel 17.2. Bestämmelserna i artikel 17.3 ansågs inte kräva några lagstiftningsåtgärder. (Se prop. 2012/13:73 s. 90 ff.) Bestämmelserna i personuppgiftslagen behandlas närmare i avsnitt 6.3.2. Som har angetts i tidigare avsnitt får PNR-direktivets hänvisningar till dataskyddsrambeslutet läsas som hänvisningar till det nya data- skyddsdirektivet, som föreslås genomföras i brottsdatalagen. Enskil- das rätt till information behandlas i 4 kap. brottsdatalagen. Enligt 4 kap. 1 § ska den personuppgiftsansvarige göra viss allmän infor- mation tillgänglig för registrerade. Informationen omfattar den per- sonuppgiftsansvariges identitet och kontaktuppgifter, dataskydds- ombudet kontaktuppgifter, ändamålen med behandlingen, rätten att begära att få information om behandling av personuppgifter och att få del av dem, rätten att begära rättelse, radering eller begränsning av behandlingen samt möjligheten att lämna in klagomål till tillsyns- myndigheten och kontaktuppgifter till den. Om den personuppgiftsansvarige anser att en registrerad behöver ytterligare information för att kunna ta tillvara sina rättigheter ska, enligt 4 kap. 2 §, den personuppgiftsansvarige på eget initiativ även lämna viss personrelaterad information. Denna information omfattar den rättsliga grunden för behandlingen, kategorier av mottagare av personuppgifterna, hur länge personuppgifterna får behandlas eller, om det inte är möjligt att ange, kriterierna för att fastställa det samt övrig nödvändig information. Vid bedömningen av om övrig nöd- vändig information ska lämnas ut ska det särskilt beaktas om person- uppgifterna samlats in utan den registrerades vetskap. I 4 kap. 3 § anges vilken information som ska lämnas till en registrerad på begäran. Enligt bestämmelsen ska den personuppgifts- ansvarige till den som begär det utan dröjsmål lämna skriftligt be- sked om personuppgifter som rör honom eller henne behandlas. Behandlas sådana uppgifter ska sökanden få del av dem och även få viss skriftlig information om behandlingen. Den skriftliga informa- tionen ska omfatta 1.vilka personuppgifter om sökanden som behandlas, 2.varifrån uppgifterna kommer, 3.den rättsliga grunden för behandlingen, 4.ändamålen med behandlingen, 5.mottagare eller kategorier av mottagare av personuppgifterna, även i tredjeland eller internationella organisationer, 6.hur länge personuppgifterna får behandlas eller, om det inte är möjligt att ange, kriterierna för att fastställa det, 7.rätten att begära rättelse, radering eller begränsning av behand- lingen, och 8.möjligheten att lämna in klagomål till tillsynsmyndigheten och kontaktuppgifterna till den. Sökanden behöver inte få del av personuppgifter som han eller hon har tagit del av, om det inte begärs. Det ska dock framgå av informa- tionen att personuppgifterna i fråga behandlas. I 4 kap. 5 § anges att rätten till information får begränsas i lag, annan författning eller i beslut som har meddelats med stöd av för- fattning. En sådan begränsning får endast göras av hänsyn till in- tresset av att 1.förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upp- rätthålla allmän ordning och säkerhet, 2.andra rättsliga utredningar eller undersökningar inte hindras, 3.nationell säkerhet skyddas, eller 4.annans fri- och rättigheter skyddas. Om dessa förutsättningar är uppfyllda är den personuppgiftsansva- riga inte heller skyldig att lämna ut skälen för beslut enligt första stycket eller beslut i fråga om rättelse, radering eller begränsning av behandling. Informationsskyldigheten enligt 4 kap. 3 § gäller som huvud- regel inte heller för personuppgifter i löpande text som inte fått sin slutliga utformning när begäran gjordes eller i minnesanteckningar eller liknande (4 kap. 6 §). Om en begäran om information om att personuppgifter behand- las eller att få del av dem är orimlig eller uppenbart ogrundad får den personuppgiftsansvarige avslå den (4 kap. 7 §). Information ska som huvudregel lämnas utan avgift. Om någon begär information eller uppgifter enligt 3 § oftare än en gång får den personuppgiftsansvarige dock ta ut en rimlig avgift eller avslå begäran (4 kap. 7 och 12 §§). I brottsdataförordningen anges krav på utformningen av bl.a. den information som lämnas till enskilda. Informationen ska vara lättill- gänglig och lättbegriplig och lämnas i lämplig form (4 kap. 1 §). En enskilds begäran om att ta del av information ska göras skriftligen hos den personuppgiftsansvarige (4 kap. 2 §). Lufttrafikföretagen hör inte till den brottsbekämpande sektorn. För dem kommer således inte bestämmelserna om personuppgifts- behandling enligt dataskyddsrambeslutet eller det nya dataskydds- direktivet att vara tillämpliga. Lufttrafikföretagens personuppgifts- behandling omfattas i stället av tillämpningsområdet för det nu gällande dataskyddsdirektivet1, som genomförts i svensk rätt genom personuppgiftslagen. Som tidigare angetts ska det nu gällande data- skyddsdirektivet ersättas av dataskyddsförordningen, som ska börja tillämpas . Enligt artikel 13.2 i PNR-direktivet ska detta inte påverka tillämp- ligheten av det nu gällande dataskyddsdirektivet när det gäller luft- trafikföretagens behandling av personuppgifter. PNR-direktivets hänvisning till dataskyddsdirektivet får, med hänsyn till ovanstående, läsas som en hänvisning till dataskyddsförordningen. Enskildas rätt till information regleras i artiklarna 12–14 i data- skyddsförordningen. Av artikel 12 framgår att den information som den personuppgiftsansvarige lämnar ska vara koncis, klar och tydlig, begriplig och lätt tillgänglig. Informationen ska tillhandahållas skrift- ligt eller i någon annan lämplig form. Om den registrerade begär det kan informationen lämnas muntligt. Informationen ska normalt till- handahållas kostnadsfritt. I artikel 13 anges vilken information som ska tillhandahållas om personuppgifter har samlats in från den registrerade. Den informa- tion som lufttrafikföretagen i sådant fall ska tillhandahålla omfattar bl.a. identitet och kontaktuppgifter för den personuppgiftsansvarige och eventuellt dataskyddsombud, ändamålen med behandlingen, den period under vilken personuppgifterna kommer att lagras, rätten att begära tillgång till uppgifterna, rätten till rättelse, radering eller be- gränsning av behandlingen av uppgifterna och rätten att inge klago- mål till en tillsynsmyndighet. Den information som ska lämnas ska även omfatta vilka mottagare eller kategorier av mottagare som i före- kommande fall ska ta del av personuppgifterna. Om personuppgifterna i stället har lämnats till lufttrafikföre- tagen från någon annan, exempelvis en resebyrå eller researrangör, 1 och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. anges vilken information som ska lämnas i artikel 14. Bestämmelsen innehåller ungefärligen samma uppgifter som föregående artikel. Dock ska informationen i dessa fall även omfatta uppgifter om bl.a. varifrån personuppgifterna kommer samt information om de kate- gorier av personuppgifter som behandlingen gäller. Även i dessa fall ska den personuppgiftsansvarige lämna uppgift om mottagare eller de kategorier av mottagare som ska ta del av personuppgifterna. Informationen ska lämnas inom en rimlig tid efter det att person- uppgifterna erhållits, dock senast inom en månad. Om ett utläm- nande till en annan mottagare förutses, ska informationen lämnas senast när personuppgifterna lämnas ut . Informa- tion som den registrerade redan förfogar över behöver inte lämnas. Informationen behöver inte heller lämnas om erhållande eller ut- lämnande av uppgifterna följer av unionsrätten eller nationell rätt som fastställer lämpliga åtgärder för att skydda den registrerades berättigade intressen. 20.2.4Våra överväganden och förslag Vårt förslag: Lufttrafikföretagen ska informera passagerarna om överföringen av PNR-uppgifter till enheten för passagerarinfor- mation och om syftet med överföringen. Vår bedömning: Ytterligare bestämmelser om enskildas rätt till information behöver inte föras in i lagen. Rätten till information om insamlingen av PNR-uppgifter och överföringen av dessa uppgifter till enheten för passagerarinformation Enligt skälen till PNR-direktivet ska medlemsstaterna se till att passagerarna förses med korrekt, lättåtkomlig och lättbegriplig infor- mation om insamlingen av PNR-uppgifter och om överföringen av dessa uppgifter till enheten för passagerarinformation. Vem som ska lämna denna information till passagerarna anges inte. Informationen skulle således kunna lämnas såväl av lufttrafikföretagen som av en- heten för passagerarinformation. Kommissionen har angett att den mest praktiska lösningen vore om informationen lämnades av luft- trafikföretagen och att det därför är den mest önskvärda lösningen.2 Lufttrafikföretagen ska enligt dataskyddsförordningen tillhanda- hålla information om sin egen insamling av PNR-uppgifter. Infor- mationsskyldigheten omfattar även vilka mottagare eller kategorier av mottagare som ska ta del av personuppgifterna. Således följer det redan av dataskyddsförordningen att lufttrafikföretagen ska infor- mera sina passagerare om att de insamlade PNR-uppgifterna kommer att överföras till enheten för passagerarinformation. Den skyldig- heten gäller dock inte för det fall lufttrafikföretagen erhållit PNR- uppgifterna från en researrangör eller resebyrå, dvs. i fall då lufttrafik- företagen inte samlat in uppgifterna från den registrerade själv, efter- som lufttrafikföretagen kommer att överföra uppgifterna till följd av en författningsreglerad skyldighet att göra det (jfr artikel 14.5 c i förordningen). Förordningen ställer vidare inga krav på att informa- tionen i denna fråga även ska innehålla skälen till överföringen, i detta fall att den följer av ett författningsreglerat åläggande som genom- för ett EU-direktiv om användning av PNR-uppgifter för att före- bygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet. Vi anser att lufttrafikföretagen bör åläggas en skyldighet att infor- mera sina passagerare om överföringen till enheten för passagerar- information alldeles oavsett om PNR-uppgifterna samlats in direkt från passagerare eller via en resebyrå eller researrangör. Vi föreslår därför detta. Endast en upplysning om att PNR-uppgifterna kommer att över- föras till enheten för passagerarinformation torde dock för den enskilde resenären framstå som svårförståelig. För att det tydligt ska framgå för passagerarna varför deras personuppgifter överförs bör de, enligt vår mening, även informeras om lufttrafikföretagens skyl- digheter enligt PNR-direktivet och om direktivets syfte. Det bör därför i vår lag föras in en bestämmelse som anger att passagerarna ska informeras om överföringen av PNR-uppgifter till enheten för passagerarinformation och om skälen till överföringen. Lufttrafikföretagen lämnar liknande information till sina resenärer inför resor till länder som kräver tillgång till PNR- 2 COM, Report of the third meeting on the implementation of the PNR Directive, . Vi delar kommissionens uppfattning att den mest prak- tiska lösningen vore om lufttrafikföretagen ålades att lämna även den här aktuella informationen till sina passagerare. viatt informationsskyldigheten ska åläggas lufttrafikföretagen. Informationen kan lämpligen lämnas tillsammans med den övriga information som lufttrafikföretagen ska tillhandahålla enligt data- skyddsförordningen. Informationen kan framgå av flygbiljetten eller av lufttrafikföretagens hemsidor, eller, allra helst, på båda sätten. Ett åläggande för lufttrafikföretagen att lämna denna information påverkar inte tillämpligheten av dataskyddsförordningen. Åläggandet medför inte heller någon inskränkning i skyldig- heter enligt brottsdatalagen att såsom personuppgiftsansvarig lämna information om den personuppgiftsbehandling som kommer att ske vid enheten för passagerarinformation. Rätten till information om personuppgiftsbehandlingen vid enheten för passagerarinformation och behöriga myndigheter Efter det att PNR-uppgifterna har överförts till enheten för passa- gerarinformation kommer enskildas rätt till information om person- uppgiftsbehandlingen i stort att styras av bestämmelserna i det nya dataskyddsdirektivet så som detta genomförts i . Som har framgått hänvisar PNR-direktivet till vissa bestämmelser i det nu gällande dataskyddsrambeslutet. Enligt direk- tivets skäl 27 bör dock hänvisningarna läsas som hänvisningar även till de framtida bestämmelser som kommer att ersätta dessa. Det nya dataskyddsdirektivet går i vissa avseenden längre än dataskyddsram- beslutet i bemärkelsen att det ålägger personuppgiftsansvariga fler skyldigheter och enskilda förstärkta rättigheter. Det vore i och för sig möjligt att vid genomförandet av PNR-direktivet lägga sig på den något lägre nivå av rättigheter för enskilda som rambeslutet anger. PNR-direktivet innebär dock en så pass känslig personuppgifts- hantering att det vore helt oproportionerligt om enskilda skulle ges ett sämre skydd än vad som annars gäller på det brottsbekämpande området till följd av det nya dataskyddsdirektivet.