sou · H5B357 · 2017-06-22 00:00:00 — Direktivets uppräkning av de uppgifter som ska maskeras är ut- tömmande. Bestämmelsen i artikel 12.2 bör genomföras i den nya lagen genom en motsvarande uppräkning, men med några språkliga justeringar enligt följande. I direktivet anges under punkten a namn, inklusive namn på andra passagerare i PNR samt antal passagerare i PNR som reser tillsam- mans. Med PNR torde i sammanhanget avses passageraruppgifts- samlingen. Det är, enligt vår bedömning, tillräckligt om det i lagen Behandling av PNR-uppgifter vid enheten för passagerarinformation anges att maskering ska ske av alla namnuppgifter samt av uppgifter om antalet passagerare som reser tillsammans. Under punkten c anges alla former av betalningsinformation, in- begripet faktureringsadress, om denna innehåller uppgifter som kan användas för att identifiera den passagerare som pas- sageraruppgiftssamlingen avser eller andra personer. All betalnings- information som kan användas för att direkt identifiera en person ska alltså maskeras, oavsett om denna person är en passagerare eller inte. Detta bör framgå av vår bestämmelse. När det gäller de allmänna anmärkningarna enligt punkten e ska dessa maskeras om de innehåller uppgifter som kan användas för att direkt identifiera en passagerare. Även detta bör framgå av bestäm- melsen. 13.4Begränsad tillgång till maskerade uppgifter Våra förslag: Det ska införas ett författningsreglerat krav på att tillgången till maskerade uppgifter ska vara strikt begränsad. Det kan ske genom att det i förordningen förs in en bestämmelse om att endast dataskyddsombudet samt den som har ett särskilt be- hov av fullständiga uppgifter för att kunna utföra sina arbetsupp- gifter vid enheten för passagerarinformation ska kunna ges be- hörighet för tillgång till maskerade PNR-uppgifter. Behörigheten ska bara få utnyttjas när det i ett enskilt fall är absolut nöd- vändigt med tillgång till fullständiga uppgifter. Enligt direktivets skäl 25 bör åtkomst till maskerade uppgifter endast beviljas under mycket strikta och begränsade villkor för att säker- ställa högsta möjliga nivå av dataskydd. Som ett komplement till bestämmelserna om maskering bör det därför föras in bestämmelser som ställer krav på att behörigheten för åtkomst till fullständiga PNR-uppgifter som har maskerats ska vara särskilt begränsad. Så- dana bestämmelser bör kunna tas in i den till den nya lagen anslutande förordningen. Vi föreslår där en bestämmelse som anger att endast dataskyddsombudet samt den som har ett särskilt behov av fullstän- diga uppgifter för att kunna utföra sina arbetsuppgifter vid enheten ska kunna ges behörighet för tillgång till uppgifterna. Vi föreslår även att behörigheten bara får utnyttjas när det i ett enskilt fall är Behandling av PNR-uppgifter vid enheten för passagerarinformation absolut nödvändigt med tillgång till fullständiga uppgifter. Som fram- går av artikel 6.7 ska enhetens dataskyddsombud ha åtkomst till alla uppgifter som enheten behandlar. Dataskyddsombudet måste därför ha tillgång även till de fullständiga uppgifterna bakom maskerade PNR-uppgifter. Givetvis måste även befattningshavare på enheten för passagerarinformation som hanterar frågor om utlämnande av avmaskerade uppgifter ha tillgång till uppgifterna. Vidare måste någon befattningshavare finnas som kan möta andra slags behov av att kunna ta fram fullständiga uppgifter, exempelvis på tillsynsmyndig- hetens begäran i samband med tillsyn eller i samband med att en enskild registrerad passagerare begär information om behandlingen. Det följer dock av den föreslagna bestämmelsen att behörighets- tilldelningen till maskerade personuppgifter ska vara mycket strikt. Vilka befattningshavare på enheten som kan komma i fråga bör dock överlämnas åt att bestämma. Det finns som vi ser det inget hinder i och för sig mot att befattningshavare som har sin grundanställning utanför , t.ex. hos eller Säkerhetspolisen, ges sådan behörighet, förutsatt att detta skett efter en vederbörligen noggrann behovsanalys. 14PNR-direktivets förhållande till API-direktivet och dess genomförande i svensk rätt Som har framgått av tidigare avsnitt kan de uppgifter som överförs från lufttrafikföretagen avse såväl PNR- som API-uppgifter. Den förhandsinformation om passagerare (API-uppgifterna) som samlas in utgörs främst av sådan information som finns på passets maskin- läsbara del, såsom namn, födelsedatum, nationalitet och passnummer. API-uppgifterna innehåller även viss information om resrutten, så- som avgångs- och ankomstort, beräknad avgångs- och ankomsttid samt flygnummer. Uppgifterna anses utgöra verifierbar information. PNR-uppgifterna däremot består, som tidigare angetts, av sådan in- formation om passagerare som samlas in vid beställning och bokning av flygresor. PNR-uppgifterna kan beskriva vart och när en passage- rare har tänkt flyga, hur bokningen är gjord och om någon ytterligare service kommer att behövas under resan. Sådan information anses inte vara verifierad. Det uppgivna namnet behöver inte korrespon- dera med det namn som anges i en persons pass, eftersom en sådan korrelation inte alltid är nödvändig för att genomföra en resebokning. En viss överlappning mellan vad som är en PNR-uppgift och vad som är en API-uppgift kan förekomma. lagrar insamlade API-uppgifter som en del av PNR-uppgifterna, andra gör det inte. Sådana API-uppgifter som finns på passets maskinläsbara del samlas endast in av lufttrafikföretagen inför resor till och från länder utanför . Inom Schengenområdet råder passfrihet och de uppgifter som endast finns på passets maskinläs- bara del samlas därmed inte in. PNR-uppgifter samlas dock in inför samtliga flygresor. PNR-direktivets förhållande till API-direktivet och dess genomförande i svensk rätt De API-uppgifter som är kopplade till en viss person blir tillgäng- liga för de lufttrafikföretag som utför reguljärflygningar i samband med incheckningen. En incheckning kan vanligtvis ske via internet före flygets avgång. Incheckning kan även ske vid disk på flygplatsen och passet läses då av maskinellt. De API- uppgifter som är knutna till en person läggs då samman med upp- gifterna om den avgående flighten. Vid incheckning via internet kan passageraren själv fylla i sina pass- och personuppgifter. Uppgifterna blir då verifierade först när passet läses av maskinellt på flygplatsen i samband med ombordstigningen. PNR-uppgifterna blir tillgäng- liga för de lufttrafikföretag som utför reguljärflygningar i samband med att uppgifterna läggs in i bokningssystemen. För de lufttrafikföretag som utför charterflygningar blir endast en mindre del av PNR-uppgifterna tillgängliga. Detta sker i samband med att uppgifterna överförs från researrangörerna inför flygningen. Tidpunkten för överföringen kan variera. Vid flygningar till tredje- länder får de lufttrafikföretag som utför charterflygningar även del av API-uppgifter genom ett särskilt meddelande, som ska vidarebe- fordras till ankomstlandet. Överförda API-uppgifter utgör huvudsakligen ett verktyg för identifiering. Uppgifterna kan således användas för att underlätta och påskynda identitetskontrollen av passagerare vid gränsen. Till- gång till API-uppgifter kan också göra det möjligt att förhindra att personer som till exempel har belagts med uppehållsförbud reser in i landet. Uppgifterna kan även göra det möjligt att utföra en utökad gränskontroll av vissa i förväg identifierade personer. Uppgifterna kan således användas som ett led i gränskontrollerna. API-uppgifter kan dock även användas av myndigheterna för att de även i andra fall ska kunna identifiera misstänkta och eftersökta personer. Upp- gifterna kan således komma till användning i underrättelsearbetet med att exempelvis kartlägga var vissa personer har befunnit sig . Eftersom API-uppgifterna avser verifierbara upp- gifter om en persons identitet är de värdefulla för att jämförelser mot olika databaser ska kunna genomföras. PNR-uppgifter används snarare som ett verktyg för underrättelse- arbetet än som ett verktyg för identitetskontroll. Uppgifterna an- vänds främst för att göra riskbedömningar av passagerare och för att välja ut personer som skulle kunna vara av intresse för vidare kontroller, men som inte är misstänkta . SOU 2017:57 PNR-direktivets förhållande till API-direktivet och dess genomförande i svensk rätt kan även användas för att analysera och fastställa misstänkta rese- och beteendemönster. PNR-uppgifterna kan vidare användas i sam- band med brottsutredningar och för lagföringsåtgärder. Det kan innebära ett mervärde att behandla API-uppgifter till- sammans med PNR-uppgifter. Med hjälp av API-uppgifterna kan en individs identitet säkerställas. De misstänkta rese- och beteende- mönster som kan upptäckas med hjälp av PNR-uppgifterna kan där- med matchas med en identitetsuppgift. Sådana korsjämförelser kan minimera risken för att oskyldiga personer kontrolleras och utreds. API-direktivet1 reglerar, som har beskrivits i avsnitt 4.5, transpor- törers ansvar för att förse nationella myndigheter med API-uppgifter vid ankommande resor från tredjeländer som står utanför Schengen- samarbetet. Direktivet syftar, enligt artikel 1, till att förbättra gräns- kontrollerna och bekämpa olaglig invandring. API-direktivet har i svensk rätt genomförts främst genom vissa bestämmelser i utlännings- lagen (2005:716) samt genom lagen (2006:444) om passagerarregister. Enligt uppgift från kommissionen kommer en översyn av direktivet att ske . 14.2Vårt uppdrag i denna del I kommittédirektiven framhålls att regeringen i skrivelsen Före- bygga, förhindra, försvåra – den svenska strategin mot terrorism (skr. 2014/15:146) angett att systemet för hantering av flygpassagerar- uppgifter bör samordnas med systemet för API-uppgifter, eftersom de tillsammans kan vara ett användbart verktyg i terrorismbekämp- ningen. Mot denna bakgrund ska utredningen •analysera om och i så fall hur PNR-direktivet påverkar reglering- en i 9 kap. 3 a § utlänningslagen och lagen om passagerarregister, dvs. det svenska genomförandet av API-direktivet, •föreslå hur systemet med flygpassageraruppgifter ska möjliggöra hantering av både PNR-uppgifter och API-uppgifter, och •föreslå de författningsändringar som bedöms nödvändiga. 1 Rådets direktiv /82/EG av om skyldighet för transportörer att lämna uppgifter om passagerare. PNR-direktivets förhållande till API-direktivet och dess genomförande i svensk rätt 14.3Direktivens olika mål och syften API-direktivet är en rättsakt som bygger vidare på Schengenregel- verket. Direktivet har tillkommit för att den olagliga invandringen ska kunna bekämpas effektivt och gränskontrollerna förbättras (se skäl 1). I direktivets artikel 1 anges således att direktivet syftar till att förbättra gränskontrollerna och bekämpa olaglig invandring. Att detta är direktivets syften uttrycks också i skäl 3, 7, 9, 11 och 12. Av skäl 2 framgår att rådet antagit en förklaring om terrorism, i vilken det betonats behovet av att påskynda behandlingen av åtgärder på det området och påskynda arbetet med ett föreslaget rådsdirektiv om skyldighet för transportörer att lämna uppgifter om passagerare. Detta har i det svenska genomförandet uttryckts som att direktivet också utgör ett led i kampen mot terrorismen (se prop. 2005/06:129 s. 18 och 20). API-direktivet har i svensk rätt, som tidigare angetts, införts bl.a. genom lagen om passagerarregister. Av lagens 4 § framgår att passa- gerarregistret ska föras för att underlätta verkställandet av person- kontroller vid gräns mot stater som inte tillhör EU och inte heller har träffat avtal om samarbete enligt med konventionsstaterna. I motiven klargörs att uppgifter enligt lagen bör kunna begäras från en transportör när uppgifterna kan antas ha betydelse för personkontrollverksamheten. Med detta begrepp avses verksamheten för att kontrollera invandringen men även för att förebygga och bekämpa därmed förknippad brottslighet (se prop. 2005/06:129 s. 38). PNR-direktivets mål är, förutom att inrätta en rättslig ram till skydd för användningen av PNR-uppgifter, att trygga säkerheten och skydda personers liv och säkerhet (skäl 5). En effektiv behandling av PNR-uppgifter har ansetts nödvändig för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet och därigenom förbättra den inre säkerheten. En sådan behandling av PNR-uppgifter har även ansetts nödvändig för att samla in be- visning och i förekommande fall för att hitta medbrottslingar och avslöja kriminella nätverk (skäl 6). PNR-direktivet kan således sägas ha ett brottsbekämpande syfte där målsättningen är att trygga den allmänna säkerheten. PNR-uppgifter får dock endast användas för att förebygga, förhindra, upptäcka, utreda eller lagföra terrorist- brottslighet eller grov brottslighet (se t.ex. artikel 1). SOU 2017:57 PNR-direktivets förhållande till API-direktivet och dess genomförande i svensk rätt 14.3.1Innebörden av den personkontroll som görs inom ramen för gränskontrollen deltar , i likhet med ett flertal andra EU-stater, i . kan sägas innefatta två grundtankar, som är starkt sammanlänkade med varandra. Den första är den fria rörligheten för personer, i den betydelsen att person- kontrollerna vid nationsgränserna mellan Schengenstater – inre gräns – ska upphöra. Den andra grundtanken är att kampen ska stärkas mot internationell kriminalitet och mot sådan invandring som är illegal. Vid Schengenterritoriets yttre gränser utförs gränskontroll i en- lighet med EU:s kodex om Schengengränserna2, som gäller som lag i . Enligt får inre gräns passeras överallt utan att någon in- och utresekontroll genomförs. Medlemsstaterna har dock möjlighet att tillfälligt återinföra gränskontroll vid de inre gränserna, om det uppkommer ett allvarligt hot mot allmän ordning eller inre säkerhet. Regeringen beslutade att tillfälligt återinföra gränskontroll vid inre gräns. De tillfälliga gräns- kontrollerna gäller alltjämt. I ansvarar för kontroll av personer vid de yttre gränserna (9 kap. 1 § utlänningslagen). och Kust- bevakningen är efter en begäran av skyldiga att bistå vid en sådan kontroll. Även får efter över- enskommelse med hjälpa till vid kontrollen. Kust- bevakningen ska medverka i kontrollverksamhet genom att utöva kontroll av sjötrafiken. Den personkontroll som görs inom ramen för gränskontrollerna syftar i första hand till att fastställa behörigheten för icke-svenska medborgare att resa in och vistas här i landet. I huvudsak inriktas kontrollen på att identitet, pass, visering och andra handlingar är i ordning. Denna del av personkontrollen är ett led i reglerade invandring. Personkontrollen syftar dock också till att förhindra gränsöverskridande brottslighet. Någon klar och entydig definition av denna brottslighet finns inte, men den innefattar i vart fall en brottslighet som på olika sätt har koppling till fler länder än , 2 och rådets förordning (EU) 2016/399 av om en unions- kodex om gränspassage för personer (kodex om Schengengränserna). PNR-direktivets förhållande till API-direktivet och dess genomförande i svensk rätt bl.a. genom resande- och invandrarströmmar. I begränsat avseende hör till den gränsöverskridande brottsligheten de utlänningar som i strid med utlänningslagens bestämmelser reser in eller vistas i . Brott mot utlänningslagen kan exempelvis avse utlänningar som vistas i utan erforderliga tillstånd eller bryter mot återreseförbud. Olika former av smugglingsbrott – av varor, narkotika och män- niskor – är därtill naturligtvis att betrakta som gränsöverskridande brottslighet. Även andra brott kan dock vara gränsöverskridande, om de har koppling till flera länder genom att planering eller genom- förande inte enbart sker i . (Jfr SOU 2004:110 s. 291 och 331 ff.) Personkontrollens syfte att förhindra gränsöverskridande brotts- lighet har efter inträde i fått en än mer framträdande roll. En av grundtankarna bakom är att genom olika kompensatoriska åtgärder i form av bl.a. ökat polissamarbete och annat rättsligt samarbete förhindra att den fria rörligheten inom Schengen får till följd att kriminella personer och organisationer fritt kan verka inom Schengenområdet. (Se SOU 2004:110 s. Kontrollen vid de yttre gränserna har tre huvudinriktningar. Den första är den traditionella gränskontrollen, dvs. kontroll av att den inresande har erforderliga handlingar och uppfyller övriga villkor för inresa i Schengenområdet. Den andra är kontrollen av om den in- resande har begått brott eller är efterlyst för brott. Slutligen har den yttre gränskontrollen till syfte att vara ett verktyg för att avvärja hot mot allmän ordning och säkerhet. Personkontrollen vid de yttre gränserna kan således sägas innehålla ett i vid mening brottsföre- byggande moment. (Jfr SOU 2004:110 s. 59 och 61, se även prop. 2015/16:65 s. 61 f.) I förarbetena till lagen om passagerarregister angavs att förbätt- rade gränskontroller ökar möjligheten att motverka organiserade smugglingsaktioner och att människor utan skyddsbehov luras att till smugglare betala stora summor för att sedan bli avvisade. Förbätt- rade gränskontroller ansågs även innebära att möjligheterna ökar att tidigt kunna identifiera eventuella terrorister och avvärja nya terror- dåd (se prop. 2005/06:129 s. 35). SOU 2017:57 PNR-direktivets förhållande till API-direktivet och dess genomförande i svensk rätt 14.4Överföring av API-uppgifter ska ske även enligt PNR-direktivet För att uppnå PNR-direktivets mål om att trygga säkerheten och skydda personer från terroristbrottslighet eller grov brottslighet har det ansetts vara av största vikt att alla medlemsstater inför bestäm- melser om skyldigheter för lufttrafikföretag att överföra såväl sina PNR-uppgifter som sina API-uppgifter. Således framgår av punk- ten 18 i direktivets bilaga I att eventuellt insamlade API-uppgifter ingår bland de uppgifter som ska överföras från lufttrafikföretagen till den nationella enheten för passagerarinformation enligt artikel 8.1. I artikel 8.2 anges vidare att direktivets samtliga bestämmelser ska vara tillämpliga även vid överföring av de uppgifterna. Av direktivets skäl 10 framgår att bestämmelserna inte bör påverka tillämpningen av API-direktivet. Förpliktelser att överföra API-uppgifter finns därmed inte bara i API-direktivet utan även i PNR-direktivet. De API-uppgifter som samlas in enligt PNR-direktivet ska behandlas enligt det direktivet. kan API-uppgifter även samlas in i enlighet med genom- förandet av API-direktivet och detta ska inte påverkas av PNR- direktivets bestämmelser. API-direktivet har inte heller upphävts eller ändrats i och med PNR-direktivets antagande. Vår utmaning är att försöka få genomförandena av de båda direk- tiven att fungera sida vid sida. Kan något föras ihop? Eller talar över- vägande skäl för att genomförandena och tillämpningen av dessa behöver hållas isär? 14.5Skillnader mellan PNR- och API-direktiven Det kan inledningsvis konstateras att de båda direktiven har delvis olika, delvis överlappande mål och syften. PNR-direktivet syftar till att skydda den allmänna säkerheten genom att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller grov brotts- lighet, dvs. avser bekämpning av viss brottslighet. API-direktivet däremot syftar till att förbättra gränskontrollerna och bekämpa olag- lig invandring. Förbättrade gränskontroller kan visserligen medföra att hot mot den allmänna säkerheten avvärjs. De personkontroller som ingår i gränskontrollerna har också som delmål att förhindra PNR-direktivets förhållande till API-direktivet och dess genomförande i svensk rätt API-direktivets syfte att förbättra gränskontrollerna kan därför i en vid mening anses förenligt med PNR-direktivets syfte. Det kan dock konstateras att API-direktivet också har syften som faller utanför brottsbekämpning, nämligen migrationskontroll, se avsnitt 14.3.1. En ytterligare väsentlig skillnad är att PNR-direktivet inte, såsom API-direktivet, enbart är knutet till resor från tredjeland och den gränskontroll som därmed blir aktuell. PNR-direktivet ska ju tilläm- pas även vid flygresor från och, på grund av medlems- staternas åtagande, för resor mellan EU-länder. Terrorism och grov brottslighet utgör visserligen sådan brottslighet som ofta innehåller gränsöverskridande moment. Dock behöver så inte alltid vara fallet. I PNR-direktivets katalog över grov brottslighet ingår brott som naturligen kan ses som gränsöverskridande, såsom t.ex. olaglig han- del med narkotika. Brottskatalogen har dock inte något uttalat gräns- överskridande syfte. PNR-direktivet kan således sägas omfatta en rad olika slags brott utan direkt koppling till sådan gränsöverskridan- de brottslighet som är av intresse vid en gränskontroll. API-direk- tivets syfte att bekämpa den olagliga invandringen sammanfaller, som angetts ovan, inte uttryckligen med PNR-direktivets syften. Dock ingår vissa brott med koppling till olaglig invandring i PNR-direk- tivets brottskatalog, t.ex. människohandel och hjälp till olovlig inresa eller olovlig vistelse. API-direktivet innehåller inte några brottskataloger eller hän- visningar till särskilda brott, såsom PNR-direktivet. De inhämtade API-uppgifterna enligt API-direktivet synes i stället kunna använ- das för att bekämpa all sorts gränsöverskridande brottslighet. API- direktivet innehåller inte heller någon straffvärdesbegränsning, vilket innebär att det direktivet även kan tillämpas vid mindre grov brotts- lighet än PNR-direktivet. API-direktivet ålägger transportörer skyldigheten att överföra API-uppgifterna medan det enligt PNR-direktivet är lufttrafikföre- tag som åläggs ett ansvar att överföra uppgifter. Med transportör enligt API-direktivet avses varje fysisk eller juridisk person som be- driver yrkesmässig persontrafik luftvägen. Som framgått i avsnitt 11.3 kan också lufttrafikföretagen utgöras av såväl fysiska som juridiska personer. I praktiken torde därmed överföringsskyldigheten träffa samma slags aktörer. SOU 2017:57 PNR-direktivets förhållande till API-direktivet och dess genomförande i svensk rätt I API-direktivet specificeras ett antal uppgifter som ska överföras av transportörerna. Kön ingår exempelvis inte i uppräkningen. En- ligt PNR-direktivet ska i stället lufttrafikföretagen överföra alla de eventuella API-uppgifter som de har samlat in (se vidare om detta i avsnitt 11.4.4). Direktiven innehåller vidare olika bestämmelser om överförings- tider. Enligt API-direktivet ska API-uppgifterna överföras senast vid slutet av incheckningen. Denna tidpunkt har i 9 kap. 3 a § utlännings- lagen förtydligats till så snart incheckningen har avslutats. Enligt PNR-direktivet ska överföringen av uppgifter ske , det första 24–före flygningens avgång, och det andra ome- delbart efter det att gatens dörrar har stängts. Därtill anges i API- direktivet att uppgifterna ska överföras på begäran. Enligt PNR- direktivet ska dock överföringarna ske inför varje flygning och inte endast när en begäran härom har framställts. Det finns dock inte, som vi ser det, något som hindrar en stående begäran om överföring av uppgifter enligt API-direktivet. Enligt PNR-direktivet ska de överförda uppgifterna sparas i en databas vid enheten för passagerarinformation. PNR-direktivet inne- håller strikta bestämmelser om hur uppgifterna får behandlas där och hur de behöriga myndigheterna ska få tillgång till uppgifterna. I API-direktivet anges endast att de överförda uppgifterna ska sparas i ett tillfälligt register. Genom det svenska genomförandet gäller en uppgiftsskyldighet i förhållande till Säkerhetspolisen och då uppgifter begärs ut för personkontroll vid inresa från tredjeland. Regeringen får också meddela föreskrifter om att uppgifter i registret ska lämnas ut även till andra myndigheter. Säkerhetspolisen har också direktåtkomst till uppgifterna i passagerarregistret. har i en framställan till regeringen begärt att få direktåtkomst till passagerarregistret. Några sådana lösningar är dock inte aktuella för genomförandet av PNR-direktivet (se avsnitt 10.4.1).