sou · H5B357 · 2017-06-22 00:00:00 — Men totalt sett torde rättsväsendets olika insatser vid utred- ning och lagföring av allvarlig brottslighet effektiviseras. Vi bedömer att våra förslag i sig inte kommer att medföra så många tillkommande ärenden att det på grund av detta finns behov av några resursförstärkningar för rättsväsendet. När ny lagstiftning införs krävs det normalt utbildningsinsatser. Det är inte unikt för de förslag som utredningen presenterar utan uppkommer regelmässigt i olika lagstiftningsärenden. Kostnaderna för utbildning bör rymmas inom befintliga ramar. Ny lagstiftning kräver normalt också nya interna föreskrifter och styrande doku- ment. Det får anses ingå i de normala uppgifterna för myndigheterna. Den tillsynsmyndighet som ska utses enligt det nya dataskydds- direktivet kommer att få ytterligare arbetsuppgifter och därmed ökade kostnader då den även ska övervaka behandlingen av PNR-uppgifter vid bl.a. enheten för passagerarinformation. Förslaget att sanktions- beslut ska kunna överklagas till allmän förvaltningsdomstol kan också innebära en viss ökad belastning för domstolarna. Enligt vår bedöm- ning kommer dock dessa fall att bli få. och domstolarnas kostnader får antas kunna rymmas inom an- slagsramarna. Vår bedömning: Förslagen innebär att fler PNR-uppgifter avse- ende enskilda flygresenärer samlas in i syfte att motverka terrorist- brottslighet och grov brottslighet men säkerställer också skyddet för enskildas personliga integritet vid de behöriga myndigheternas behandling av uppgifterna. För allmänheten innebär den föreslagna regleringen att PNR-upp- gifter om oss alla, i egenskap av utrikesresenärer, kommer att över- föras och behandlas vid enheten för passagerarinformation. PNR- uppgifter har även tidigare använts av brottsbekämpande myndigheter. Dock innebär förslagen att uppgifter om samtliga utrikesresenärer ska samlas in och behandlas. Den föreslagna regleringen kan därmed sägas påverka resenärernas integritet. Insamlingen och behandlingen av uppgifterna kommer dock inte att märkas i praktiken, om de inte föranleder ingripanden gällande misstanke om allvarlig brottslighet eller terroristbrottslighet. Samtliga inskickade PNR-uppgifter kommer att genomgå en auto- matisk analys vid enheten för passagerarinformation där de kan jäm- föras mot relevanta register eller andra uppgiftssamlingar eller med på förhand fastställda kriterier. Fler s.k. träffar kommer troligen att uppkomma än vid en rent behandling av PNR-uppgifter. Detta kan i förlängningen innebära att fler individer anses vara intres- santa för vidare kontroller och att PNR-information om dem sänds vidare från enheten för passagerarinformation till behöriga myn- digheter. Den PNR-information som sänds vidare kan avse såväl skyldiga som oskyldiga personer. Systemet kan därmed innebära att många träffar skickas över till behöriga myndigheter för vidare granskning för att sedan konstateras inte vara relevanta. Enligt vårt förslag ska dock sådana träffar genast raderas av de behöriga myn- digheterna. Ur dataskyddssynpunkt kan det nya systemet även ses som posi- tivt, eftersom det enbart är PNR-uppgifterna för de personer där det vid en automatiserad analys blir en träff som kommer att läsas av de tjänstemän som därefter ska göra en bedömning av uppgifterna. Det innebär att PNR-uppgifter från det stora flertalet resenärer aldrig kommer att granskas av en fysisk person. Behandlingen kan även väntas innebära att ett färre antal oskyldiga personer väljs ut för fysisk kontroll på en flygplats. Regleringen innehåller stränga krav på hur de överförda PNR- uppgifterna får behandlas hos enheten för passagerarinformation och hos de behöriga myndigheter som senare tar del av uppgifterna. PNR-uppgifterna får endast behandlas för att bekämpa terrorist- brottslighet eller grov brottslighet. PNR-uppgifter som avslöjar käns- liga personuppgifter får inte behandlas över huvud taget. Vidare får och ska PNR-informationen endast överföras till behöriga myn- digheter, andra medlemsstater, Europol och tredjeländer när vissa förutsättningar är uppfyllda. Regleringen ställer också krav på att PNR-uppgifterna behandlas på ett säkert sätt och ger enskilda rätt till information om behandlingen, att kräva rättelse av felaktig be- handling samt begära skadestånd och överklaga beslut vid felaktig behandling. Enskilda kommer också ha rätt att vända sig till ett data- skyddsombud vid enheten för passagerarinformation för att få råd och information om behandlingen av PNR-uppgifterna. Förslagen ger således ett tillfredsställande skydd för enskildas personliga in- tegritet vid de behöriga myndigheternas behandling av deras PNR- uppgifter. Våra förslag innebär vidare att enskilda kommer att beröras i den utsträckning flygbiljetter blir dyrare. Som vi angett ovan förväntas dock biljettpriserna öka endast i försumbar omfattning. Utredningens bedömning: Förslagen förväntas inte få några andra konsekvenser. Förslagen får inte några konsekvenser för kommuner eller landsting generellt eller för den kommunala självstyrelsen. Förslagen bedöms inte heller innebära några konsekvenser för jämställdheten eller miljön. Enligt utredningens bedömning medför förslagen i betänkandet inte heller några andra konsekvenser av det slag som anges i 15 §§ kommittéförordningen (1998:1474) och som inte kommenteras på andra ställen i detta kapitel. Vårt förslag: Författningsförslagen ska träda i kraft . Medlemsstaterna ska enligt artikel 18 i direktivet sätta i kraft de bestämmelser i lagar och andra författningar som är nödvändiga för att följa direktivet . kommer dataskyddsförordningen att börja tillämpas. Utredningen om 2016 års dataskyddsdirektiv har föreslagit att brottsdatalagen ska börja gälla . Med hänsyn till att vår reglering har betydelse för aktörer både inom och utom det brottsbekämpande området bör vår reglering lämpligen träda i kraft tidigast när samtliga de nya dataskyddsbestäm- melserna i såväl dataskyddsförordningen som i de författningar som genomför det nya dataskyddsdirektivet har börjat gälla. Våra författ- ningsförslag bör därför träda i kraft . Något behov av ytterligare ikraftträdandebestämmelser eller över- gångsbestämmelser har vi inte identifierat. 28.1Förslaget till lag om flygpassageraruppgifter i brottsbekämpningen 1 kap. Allmänna bestämmelser I paragrafen anges lagens innehåll. Bestämmelsen behandlas i av- snitt 9.1. Första stycket innehåller en sammanfattande beskrivning av lagens innehåll. Bestämmelsen genomför, tillsammans med 5 §, artikel 1 i PNR-direktivet. Definitioner av lufttrafikföretag, , terroristbrottslighet och grov brottslighet finns i 3 §. Med ordet be- handling avses detsamma som 1 kap. 6 § BDL1. Däri inbegrips in- samling, användning, lagring och medlemsstaternas inbördes utbyte av PNR-uppgifter enligt artikel 1 b i PNR-direktivet. PNR-uppgift- erna får användas för att förebygga, förhindra, upptäcka eller utreda terroristbrottslighet eller grov brottslighet. Uppgifterna kan enligt lagen således behandlas både i underrättelseverksamhet och i för- undersökning. Vidare kan uppgifterna behandlas av åklagare och i domstol vid en lagföring. Den behandlingen regleras dock inte av denna lag. Angående lagens förhållande till annan central dataskydds- reglering på området, se avsnitt 8.5. I andra stycket anges att lagen genomför och rådets direktiv (EU) 2016/681 av om användning av passageraruppgiftssamlingar (PNR-uppgifter) för att förebygga, 1 Se förslag till brottsdatalag i SOU 2017:29. förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet. Paragrafen anger lagens övergripande syfte. Bestämmelsen behand- las i avsnitt 9.1. Lagens syfte är tudelat. Den syftar till att dels ge behöriga myn- digheter tillgång till PNR-uppgifter för användning i viss brottsbe- kämpning, dels värna de registrerades integritet vid insamlingen och den vidare användningen samt utbytet av uppgifter om dem. Be- stämmelsen har främst en informativ och pedagogisk betydelse då den klargör den övergripande målsättningen med regleringen. I paragrafen, som bl.a. genomför artikel 3, definieras vissa uttryck som används i lagen. Avmaskerade PNR-uppgifter definieras inte i direktivet. Uttrycket behandlas i avsnitt 13.3. Med avmaskerade PNR-uppgifter avses sådana uppgifter som tidi- gare har gjorts osynliga i PNR-databasen för användare utan särskild behörighet, eftersom de har förvarats där och som därefter har gjorts synliga på nytt. Behörig mottagare definieras inte i direktivet. Uttrycket behandlas i avsnitt 10.2. Med behörig mottagare avses samtliga aktörer som är behöriga att motta PNR-information från enheten för passagerarinformation. Mottagare i tredjeland omfattas inte av definitionen. Definitionen, som genomför artikel 7.2, behandlas i avsnitt 15.2.1. Bestämmelsen avgränsar vad för slags myndighet som i kan utses till en behörig sådan och hur myndigheten utses. Med att en myndighet är behörig avses att den är behörig att ta emot PNR- information från enheten för passagerarinformation, antingen efter enhetens förhandsbedömning eller efter särskild begäran enligt lagens bestämmelser. Även andra kan dock komma att ha rätt att använda PNR-informationen, t.ex. åklagare eller allmän domstol i samband med utredning eller lagföring av terroristbrottslighet eller grov brotts- lighet. Dessa är dock inte i lagens mening behöriga att få PNR- information direkt från enheten. Definitionen motsvarar artikel 3.5 i direktivet och behandlas bl.a. i avsnitt 11.4.3. PNR-uppgifter utgörs av sådana uppgifter om resenärer som läm- nas i samband med bokning eller köp av flygresor eller vid incheck- ning och som samlas och hanteras av lufttrafikföretag för deras kom- mersiella och operativa syften. PNR är en i resebranschen vedertagen benämning som står för . Det spelar ingen roll om PNR-uppgifterna samlas i lufttrafikföretagens system för hantering av reservationer, i avgångskonstrollsystem som används för att checka in passagerare på flygningar eller i likvärdiga system med motsvarande funktioner. Vilka PNR-uppgifter som ska behandlas enligt lagen framgår av bilagan till lagen. Det ska observeras att även s.k. API-uppgifter (Advance Passenger Information) kan ingå bland dessa PNR-uppgifter. Definitionen motsvarar artikel 3.9 i direktivet och behandlas i avsnitt 9.4. Med grov brottslighet avses sådana brott enligt nationell rätt i eller andra medlemsstater som har sin motsvarighet i bilaga II till direktivet och för vilka det ingår fängelse i straffskalan. För att ett brott ska ses som grovt i denna lags mening ska det således omfattas av den angivna bilagan och kunna leda till fängelse eller mer. Inom det svenska tillämpningsområdet faller t.ex. män- niskohandel, våldtäkt, rån, grov stöld, narkotikabrott, narkotika- smuggling och grovt vapenbrott. Definitionen och bilaga II till direktivet har betydelse för att när- mare avgränsa i vilka fall PNR-information ska överföras från enheten för passagerarinformation till behöriga myndigheter för användning i deras verksamhet med att förebygga, förhindra, upptäcka, utreda eller lagföra aktuell brottslighet. För det fall PNR-information ska överföras till en annan medlemsstat på begäran bör det vara tillräck- ligt att den medlemsstat som begär tillgång till uppgifterna anger att aktuell brottslighet omfattas av bilagan och kan leda till fängelse enligt den medlemsstatens nationella rätt. I de fall enheten för passagerarinformation mottar PNR-information från en annan medlemsstat efter en förhandsbedömning av passagerare gjord i den medlemsstaten, får informationen endast sändas vidare till behöriga myndigheter här om aktuell brottslighet omfattas av aktuell bilaga och kan leda till fängelse i . Det ska observeras att den svenska översättningen av bestämmel- sen har rättats i direktivet genom ett särskilt beslut. Definitionen i 3 § genomför den rättade versionen. Definitionen behandlas i avsnitt 11.3 och motsvarar delvis defini- tionen i artikel 3.1. i lagens mening avses sådana lufttrafik- företag som har en giltig operativ licens utfärdad enligt bestämmel- serna i och rådets förordning (EG) nr 1008/2008 av om gemensamma regler för tillhandahål- lande av lufttrafik i gemenskapen och som ger rätt att mot betalning och/eller hyra utföra lufttransporter av passagerare. Även sådana lufttrafikföretag som har en motsvarande licens utfärdad i en stat utanför EU innefattas. För att omfattas av överföringsskyldigheten enligt lagen fordras därutöver att lufttrafikföretagen i sin normala verksamhet samlar och hanterar PNR-uppgifter i någon form av reservationssystem med systematiserad behandling av standardise- rade PNR-uppgifter. Som utgångspunkt utesluts från överförings- skyldighet härigenom flertalet mindre lufttrafikföretag som utför taxiflygningar från mindre flygstationer utan system för avgångs- kontroller av passagerare. Maskerade PNR-uppgifter definieras inte i direktivet. Uttrycket be- handlas i avsnitt 13.3. Med maskerade PNR-uppgifter avses sådana uppgifter som har gjorts osynliga i PNR-databasen för den vanliga användaren av data- basen eftersom de har förvarats där . Definitionen, som avses i artikel 3.10, behandlas i avsnitt 13.3. Genom en maskering görs sådana PNR-uppgifter som direkt kan hänföras till en fysisk person osynliga, dvs. oåtkomliga, för den användare av PNR-databasen som saknar särskild behörighet för att få ta del av maskerade uppgifter. Maskering ska ske efter det att PNR-uppgifterna har kommit in från lufttrafikföre- tagen, se 3 kap. 11 § där det också anges vilka uppgifter som ska maskeras. Definitionen har ingen motsvarighet i direktivet. Uttrycket behand- las i avsnitt 15.3.1. Med medlemsstat avses sådana stater som är bundna av direktivet, vilket gäller samtliga EU:s medlemsstater förutom . Definitionen motsvaras av artikel 3.4 i direktivet. Uttrycket behand- las i avsnitt 11.4.3. Med passagerare avses alla personer, även de i transfer eller transit, som finns upptagna i passagerarförteckningen och därmed trans- porteras eller kommer att transporteras med ett flygplan med luft- trafikföretagets godkännande. Besättningsmedlemmar omfattas dock inte. Sådana operatörsanställda som reser med flygplanet utan att tjänstgöra ombord transporteras med lufttrafikföretagets godkän- nande och ska stå med i passagerarlistan. De omfattas därmed av direktivets definition av passagerare. Definitionen har ingen motsvarighet i direktivet. Uttrycket behand- las i avsnitt 10.2. Med PNR-information avses såväl PNR-uppgifter som det resul- tat som framkommer när PNR-uppgifter behandlas vid en enhet för passagerarinformation och jämförs med uppgifter i relevanta register eller andra uppgiftssamlingar eller med på förhand fastställda kri- terier. Definitionen motsvarar artikel 3.6 i direktivet och behandlas i avsnitt 11.3. Med reservationssystem avses ett sådant elektroniskt system där lufttrafikföretag systematiskt samlar PNR-uppgifter och hanterar reservationer. Det har ingen betydelse om reservationssystemet till- hör lufttrafikföretaget eller om PNR-uppgifterna samlas och hanteras i ett system som tillhandahålls av en tredjepart. Definitionen motsvarar artikel 3.8 i direktivet. Den behandlas i av- snitt 9.3. Med terroristbrottslighet avses i lagen samtliga brott som har införts i eller har ansetts svara mot befintlig nationell rätt i eller andra medlemsstater på grund av de aktuella bestämmelserna i rambeslutet och de ändringar som har genomförts i det beslutet. Precis som definitionen av grov brottslighet har definitionen av terroristbrottslighet betydelse för att närmare avgränsa i vilka fall PNR-information får behandlas och t.ex. ska överföras från enheten för passagerarinformation till behöriga mottagare. Tredjeland är inte definierat i direktivet. Definitionen täcker alla stater som inte är medlemsstater i lagens mening och utgår alltså från hur en medlemsstat är definierad. är således i lagens mening ett tredjeland. Uttrycket behandlas i avsnitt 17.3.1. I paragrafen behandlas enheten för passagerarinformation. Bestäm- melsen genomför artikel 4.1 och 4.2 i direktivet. Den behandlas i avsnitt 10.2. I bestämmelsen slås fast att den nationella enheten för passagerar- information ska vara en enhet inom . Den kommer där att ingå i den verksamhetsgren som ägnar sig åt att förebygga, förhindra, upptäcka, utreda eller syftar till att lagföra brottslig verk- samhet. Vidare anges enhetens övergripande uppgifter, som är att samla in, lagra och behandla PNR-uppgifter och att överföra dem och annan PNR-information till behöriga myndigheter. Bland de grundläggande uppgifterna ingår också att utbyta PNR-information med andra medlemsstaters motsvarande enheter, med Europol och, i undantagsfall, med sådana myndigheter som har utsetts som be- höriga i andra medlemsstater. I 6 kap. finns bestämmelser som anger att PNR-information får överföras även till tredjeland om vissa för- utsättningar är uppfyllda. Otillåten behandling av PNR-information Paragrafen genomför bl.a. artikel 1.2, 7.4 och 9.2–4 i direktivet. Den behandlas i avsnitt 9.5. I paragrafen föreskrivs ett förbud mot behandling av PNR- information för andra syften än att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller grov brottslighet. Para- grafen kan ses som en portalbestämmelse som talar om vilken be- handling av PNR-uppgifter och resultatet av behandlingen av dessa uppgifter som över huvud taget är tillåten enligt lagen. Det har ingen betydelse om PNR-uppgifterna har överförts till enheten för passa- gerarinformation från ett lufttrafikföretag eller från en annan med- lemsstats motsvarande enhet. Det har inte heller någon betydelse om uppgifterna behandlas vid enheten för passagerarinformation eller vid en behörig myndighet. PNR-uppgifter som har samlats in i enlighet med PNR-direktivet får inte behandlas för andra syften än de som anges i bestämmelsen. Det finns dock ett undantag för be- handling av uppgifter hos behöriga myndigheter i ett visst fall, se vidare i 5 kap. 3 §. Förbud mot behandling av känsliga personuppgifter Paragrafen genomför artikel 13.4 i direktivet. Den behandlas i av- snitt 18.5. Genom bestämmelsen förbjuds behandling av PNR-uppgifter som utgör känsliga personuppgifter. Vilka personuppgifter som avses framgår av en motsvarande bestämmelse i 2 kap. 11 § BDL. Som käns- liga personuppgifter avses sådana uppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör, hälsa, sexualliv eller sexuell läggning. För det fall enheten för passagerarinformation mottar så- dana uppgifter ska dessa raderas, se vidare i 3 kap. 10 §. Inte heller en behörig myndighet får behandla PNR-uppgifter som utgör känsliga personuppgifter. Även för det fall en sådan myndighet av misstag skulle motta sådana uppgifter ska de raderas, se vidare i 5 kap. 2 §. Förbudet mot behandling av PNR-uppgifter som utgör känsliga personuppgifter tar sikte på sådana personuppgifter där det direkt framgår – av uppgiften i sig själv - att det är fråga om en känslig per- sonuppgift. Det krävs alltså inte att en mottagare av uppgifterna gör några närmare analyser och bedömningar av uppgifterna med jäm- förelser med övriga tillgängliga uppgifter osv, för att bedöma huru- vida en PNR-uppgift indirekt utgör en känslig personuppgift. 2 kap. Lufttrafikföretagens skyldigheter Överföring av PNR-uppgifter till enheten för passagerarinformation I bestämmelsen behandlas skyldigheten för lufttrafikföretag att överföra PNR-uppgifter till den svenska enheten för passagerar- information. Paragrafen genomför artikel 8.1 i direktivet samt med- lemsstaternas överenskommelse om att tillämpa direktivet även på flygningar inom EU. Den behandlas i avsnitt 11.4. Första stycket innebär att lufttrafikföretagen ska överföra PNR- uppgifter inför varje flygning ankommande till eller avgående från . Härmed omfattas alla flygningar mellan och ett annat land, oavsett om det är fråga om ett annat EU-land eller ett land utanför EU, och även för det fall det endast är fråga om en mellan- landning på svensk mark. Inrikesflygningar omfattas däremot inte. Av bestämmelsen framgår också den för direktivet gällande grund- satsen, nämligen att lufttrafikföretagen inte ska överföra fler upp- gifter än de som de redan samlar in i sin normala verksamhet. Lagen ålägger alltså inte lufttrafikföretagen att hämta in ytterligare PNR- uppgifter om sina passagerare (från passagerarna själva, charterbolagen eller resebyråer m.fl.) utan endast att överföra sådana uppgifter som de redan har tillgång till. Vilka uppgifter som kan vara aktuella för en sådan överföring framgår av bilagan till lagen. Även API-uppgifter ingår bland de uppräknade uppgifterna i bilagan. förordningen regleras att eventuella API-uppgifter ska överföras även om de inte lagras eller annars behandlas med hjälp av samma tek- niska metoder som andra PNR-uppgifter. I andra stycket anges att för det fall flera lufttrafikföretag sam- arbetar och har en gemensam linjebeteckning, s.k. code sharing, ska PNR-uppgifterna överföras av det lufttrafikföretag som utför själva flygningen. Paragrafen genomför delar av artikel 8.3 samt artikel 8.4 i direktivet. Den behandlas i avsnitt 11.4.5. Av bestämmelsen framgår att PNR-uppgifterna ska överföras , det första före flygningens avgång och det andra efter det att gatens dörrar har stängts, dvs. när passagerarna har stigit ombord på planet inför avgång och passa- gerare inte längre tillåts stiga ombord eller stiga av. Det är möjligt för ett lufttrafikföretag och enheten för passagerarinformation att kom- ma överens om vid vilken närmare tidpunkt den första överföringen ska ske. överfört PNR-uppgifterna inom den i lagen angivna tidsramen har företaget dock uppfyllt sin överförings- skyldighet enligt den första punkten. I andra stycket framgår att den senare överföringen får begränsas till uppdateringar och kompletteringar av den information som över- fördes vid det första tillfället. En sådan uppdatering kan avse såväl ändringar i tidigare lämnade PNR-uppgifter som helt nytillkomna PNR-uppgifter, t.ex. avseende passagerare inbokade som flygets avgång. Bestämmelsen, som genomför artikel 8.5 i direktivet, behandlas i avsnitt 11.4.6. Av bestämmelsen framgår att lufttrafikföretag, utöver vad som anges i 2 §, är skyldiga att överföra PNR-uppgifter även om det i ett enskilt fall bedöms nödvändigt för att av- värja en specifik och faktisk fara med anknytning till terroristbrotts- lighet eller grov brottslighet. Det är enheten för passagerarinforma- tion som, i praktiken normalt efter framställan från en behörig myndighet, ska bedöma huruvida det i ett enskilt fall är nödvändigt med tillgång till PNR-uppgifter än de som anges i 2 §. En sådan begäran kan bli aktuell då omständigheterna medför att tillgång till PNR-uppgifter avseende en viss person eller en viss flygresa är nödvändig för att reagera på en särskild risk för sådan brottslighet som direktivet avser. Bestämmelsen genomför delar av artiklarna 8.1 och 8.3 i direktivet. Den behandlas i avsnitt 11.4.7. Första meningen i bestämmelsen anger att PNR-uppgifterna ska överföras från lufttrafikföretagen till databasen vid enheten för passa- gerarinformation på elektronisk väg. Av andra meningen framgår att överföringen ska ske via den s.k. sändmetoden. Det är således inte tillåtet för enheten att via direktåtkomst ta del av PNR-uppgifter i lufttrafikföretagens reservationssystem eller liknande datoriserade bokningssystem. Närmare bestämmelser om formen för överföring- arna finns i den anslutande förordningen. Bestämmelsen motsvaras inte av någon bestämmelse i direktivet. Den behandlas i avsnitt 11.4.8. Paragrafen erinrar om att ett lufttrafikföretag har möjlighet att låta t.ex. en systemleverantör av ett datoriserat bokningssystem över- föra PNR-uppgifterna till enheten för passagerarinformation.