sou · H5B357 · 2017-06-22 00:00:00 — Paragrafen behandlar enheten för passagerarinformations behandling av förfrågningar från motsvarande enheter i andra medlemsstater om att få del av PNR-information. Den genomför artikel 9.2 och behandlas i avsnitt 15.3.2 Bestämmelsen innebär att enheten för passagerarinformation är skyldig att besvara en motiverad förfrågan från en enhet för passagerarinformation i en annan medlemsstat om att få del av PNR-information som bevaras i PNR-databasen och över- föra de efterfrågade uppgifterna dit. För det fall enheten har tillgång till ett resultat av behandling av de aktuella PNR-uppgifterna som har tagits fram i samband med en förhandsbedömning av uppgifter- na, och detta resultat ännu inte har gallrats, ska även det resultatet överföras. är dock inte skyldig att på begäran av en annan enhet exempelvis jämföra PNR-uppgifterna med uppgifter i något register eller någon annan uppgiftssamling. Endast för det fall en sådan förhandsbedömning redan är genom- förd och alltjämt finns sparad vid enheten ska resultatet av den också överföras. I att förfrågan ska vara motiverad ligger ett krav på att den ska innehålla tillräckliga uppgifter för att det ska gå att bedöma om PNR-informationen ska användas i syfte att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller grov brotts- lighet. Om så inte är fallet, ska PNR-informationen inte överföras. Om den begärda PNR-informationen är äldre än och därför har maskerats ska även villkoren i 4 kap. 7 § vara upp- fyllda för att en överföring av avmaskerade PNR-uppgifter ska kunna ske. Paragrafen reglerar översändande från enheten för passagerarinfor- mation direkt till en myndighet som har utsetts som behörig i en annan medlemsstat. Den genomför artikel 9.3 i direktivet och be- handlas i avsnitt 15.3.3. PNR-uppgifter ska som huvudregel utbytas mellan medlems- staterna bara via deras enheter för passagerarinformation. PNR- direktivet innehåller dock en möjlighet för en medlemsstats behöriga myndigheter att i undantagsfall vända sig direkt till enheten för passagerarinformation i en annan medlemsstat med en begäran om överföring av PNR-information. Av aktuell bestämmelse framgår att enheten för passagerarinformation endast i ett enskilt brådskande fall där det är absolut nödvändigt är skyldig att besvara en motive- rad förfrågan från en myndighet som har utsetts som behörig i en annan medlemsstat och överföra PNR-information dit. Av artikel 7.3 i PNR-direktivet framgår att medlemsstaterna ska meddela kommis- sionen sin förteckning över behöriga myndigheter. Kommissionen ska offentliggöra dessa och eventuella ändringar i Europeiska unionens officiella tidning. När en myndighet vänder sig direkt till den svenska enheten för passagerarinformation ska det alltså vara enkelt för en- heten att få fram uppdaterad information om myndigheten i fråga är en behörig myndighet enligt PNR-direktivet i sitt land. Överföring av PNR-information direkt till en myndighet som har utsetts som behörig i en annan medlemsstat ska i övrigt ske endast under samma förutsättningar som överföring till en annan enhet för passagerarinformation. Det innebär bl.a. att endast motiverade förfrågningar ska besvaras. Om de begärda uppgifterna är äldre än och därför har maskerats ska även villkoren i 4 kap. 7 § vara uppfyllda för att en överföring av fullständiga, avmaskerade PNR-uppgifter ska kunna ske. Paragrafen behandlar inhämtande av PNR-uppgifter från lufttrafik- företag på andra tider än normalt på begäran av en enhet för passa- gerarinformation i en annan medlemsstat. Bestämmelsen genomför artikel 9.4 i direktivet och behandlas i avsnitt 15.3.2. Av 2 kap. 3 § framgår att enheten för passagerarinformation kan begära att lufttrafikföretag ska överföra PNR-uppgifter även än de som anges i 2 kap. 2 § om det i ett enskilt fall bedöms nödvändigt med tillgång till PNR-uppgifter för att avvärja en specifik och faktisk fara med anknytning till terroristbrottslighet eller grov brottslighet. Aktuell paragraf föreskriver att enheten för passagerarinformation under i övrigt samma omständigheter ska be- gära in PNR-uppgifter från lufttrafikföretag än normalt på begäran av en enhet för passagerarinformation i en annan medlemsstat, för att därefter översända uppgifterna till den efterfrågande enheten. Paragrafen genomför artikel 10 och behandlas i avsnitt 15.4. Av bestämmelsen framgår att enheten för passagerarinformation på begäran ska överföra efterfrågad PNR-information till Europol. Överföring enligt bestämmelsen kan ske såväl av förhandsinforma- tion om passagerare som av äldre uppgifter som lagras i databasen över PNR-uppgifter. En begäran från Europol om att få ta del av PNR-information ska vara motiverad. I att begäran ska vara moti- verad ligger ett krav på information som tydliggör att syftet med behandlingen av den mottagna informationen är att förebygga, för- hindra, upptäcka, utreda eller lagföra terroristbrottslighet eller grov brottslighet. Om de begärda PNR-uppgifterna är äldre än och därför har maskerats ska även villkoren i 4 kap. 7 § vara uppfyllda för att en överföring av avmaskerade PNR-uppgifter ska kunna ske. Överföring av avmaskerade PNR-uppgifter Paragrafen behandlar förutsättningarna för överföring av avmaske- rade PNR-uppgifter från enheten för passagerarinformation. Den genomför artikel 12.3 i direktivet och behandlas i avsnitt 15.5. Avmaskerade PNR-uppgifter definieras i 1 kap. 3 §. Enligt denna bestämmelse kan översändande av sådana äldre och fullständiga PNR-uppgifter ske på särskild begäran från en behörig mottagare eller ett tredjeland. En överföring får dock endast ske om det kan antas vara nödvändigt för att besvara begäran. Enheten ska före över- föringen göra en egen prövning av motiven till begäran och bedöma om det rimligen kan antas vara nödvändigt för att besvara den kor- rekt att mottagaren i sin bekämpning av terroristbrottslighet eller grov brottslighet får tillgång inte bara till maskerade PNR-uppgifter utan även till de fullständiga uppgifterna. Prövningen kan göras täm- ligen summariskt och inskränka sig till en kontroll av att det av be- gäran framgår att framställningen även omfattar utfående av avmaske- rade, fullständiga uppgifter om en person. Därutöver ska, som vid samtliga överföringar från enheten, kontrolleras att mottagarens be- gäran sker i syfte att använda mottagna uppgifter för att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller grov brottlighet. Som en ytterligare förutsättning för överföring av av- maskerade uppgifter krävs ett beslut eller tillstånd enligt 8 eller 9 §. Enligt bestämmelsen får avmaskerade PNR-uppgifter överföras som svar på en begäran från en myndighet som har utsetts som be- hörig i en annan medlemsstat. Enligt 4 kap. 4 § ska dock enheten för passagerarinformation endast besvara en sådan begäran i ett en- skilt brådskande undantagsfall. I praktiken torde det knappast vara nödvändigt att överföra äldre, avmaskerade PNR-uppgifter i en sådan situation. Bestämmelsen behandlas i avsnitt 15.5.4. För det fall en förundersökning har inletts ska en begäran från behöriga svenska myndigheter om att få tillgång till fullständiga, avmaskerade, PNR-uppgifter ha beslutats av allmän åklagare. Så är fallet även om allmän åklagare inte är förundersökningsledare. Åkla- garen ska inför sitt beslut avgöra om tillgång till uppgifterna rimligen kan antas vara nödvändigt för att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller grov brottslighet. Be- slutet ska dokumenteras i förundersökningsmaterialet. Bestämmelsen behandlas i avsnitt 15.5.4. I de fall begäran om utfående av avmaskerade PNR-uppgifter framställs i underrättelsearbete eller om begäran kommer från en enhet för passagerarinformation i en annan medlemsstat, en myndig- het som har utsetts som behörig i en annan medlemsstat, Europol eller ett tredjeland, ska enheten för passagerarinformation inhämta tillstånd till överföring av sådana fullständiga PNR-uppgifter från myndighetschefen för , dvs. att fatta beslut om tillstånd får delegeras till en annan anställd vid myndigheten som har rätt kompetens, utbildning och erfarenhet. Delegation får dock inte ske till någon som själv deltar i den verk- samhet som har begärt ut informationen. Inte heller får delegation ges till någon som arbetar vid enheten för passagerarinformation. Den som fattar beslutet ska avgöra om tillgång till fullständiga avmaske- rade PNR-uppgifter rimligen kan antas vara nödvändigt för att före- bygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller grov brottslighet. Av den till lagen hörande förordningen framgår att dataskydds- ombudet vid enheten för passagerarinformation ska informeras och göra en efterhandsutvärdering av varje överföring av avmaskerade uppgifter enligt denna bestämmelse. Behöriga myndigheters behandling av PNR-information Bestämmelsen behandlar frågan om gallring av resultatet av för- handsbedömningar hos de behöriga myndigheterna. Den motsvaras inte av någon bestämmelse i direktivet och behandlas i avsnitt 18.8. För det fall en behörig myndighet, som har mottagit PNR- information från enheten för passagerarinformation med resultat från enhetens förhandsbedömning av passagerare, vid sin granskning finner att informationen saknar betydelse för att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller grov brotts- lighet, ska denna information gallras av den behöriga myndigheten. Resultatet av sådana förhandsbedömningar av passagerare som visar sig sakna betydelse för den brottsbekämpande verksamheten ska således inte bevaras hos de behöriga myndigheterna. Motsvarande bestämmelser finns för bokningsuppgifter från transportörer i 26 § tredje stycket polislagen (1984:387), 4 kap. 8 § tredje stycket tullagen (2016:253 och 16 § tredje stycket lagen (1996:701) om befogenheter vid gräns mot ett annat land inom Europeiska unionen. Det kan från fall till fall ta olika innan det går att kon- statera om en uppgift saknar betydelse för den angivna brottslig- Så snart detta har konstaterats ska dock PNR-informationen gallras genom att raderas. Paragrafen behandlar frågan om gallring av känsliga personuppgifter hos de behöriga myndigheterna. Bestämmelsen genomför artikel 13.4 i direktivet och behandlas i avsnitt 18.5. Eftersom enheten för passagerarinformation inte får behandla PNR-uppgifter som utgör känsliga personuppgifter ska sådana upp- gifter inte heller föras över från enheten till de behöriga myndig- heterna. Med hänsyn till det stora antalet PNR-uppgifter som behand- las vid enheten kan det dock i något fall ändå av misstag förekomma att sådana uppgifter förs vidare. För det fall ett sådant misstag skulle inträffa och PNR-uppgifter som utgör känsliga personuppgifter skulle överföras till en behörig myndighet, ska den behöriga myn- digheten radera dessa. Bestämmelsen är utformad på samma sätt som motsvarande bestämmelse för enheten för passage- rarinformation i 3 kap. 10 §. Annan behandling av PNR-information Paragrafen innehåller ett undantag från bestämmelsen om otillåten behandling av PNR-uppgifter i 1 kap. 5 §. Den genomför artikel 7.5 i direktivet och behandlas i avsnitt 16.2.3. Bestämmelsen innebär en möjlighet för de behöriga myndig- heterna att förhindra, utreda och lagföra mindre allvarlig eller annat slags brottslighet som upptäcks i samband med en brottsbekämpan- de insats som görs till följd av sådan PNR-information som myn- digheten har fått från en enhet för passagerarinformation. Om denna PNR-information leder till att den behöriga myndigheten genomför en brottsbekämpande insats avseende terroristbrottslighet eller grov brottslighet och det vid denna insats framkommer misstankar om sådan brottslighet som faller utanför direktivet, har myndigheten alltså rätt att agera även på dessa misstankar för att förhindra, utreda eller lagföra brott. Med en brottsbekämpande insats avses olika möjliga åtgärder som kan ske till följd av sådan misstänkt brottslighet som omfattas av direktivet. Det kan t.ex. röra sig om ett förhör, en husrannsakan, en brottsplatsundersökning, ett beslag eller en spaningsoperation. Huruvida en förundersökning har inletts är inte avgörande. Paragrafen behandlar automatiserade beslut hos de behöriga myndig- heterna. Den genomför artikel 7.6 och behandlas i avsnitt 16.2.4. Av bestämmelsen framgår att de behöriga myndigheterna inte får fatta några beslut som har rättsliga konsekvenser för en person eller på annat sätt allvarligt påverkar denne endast på grund av den automatiska behandlingen av PNR-uppgifter. Ett beslut baserat på PNR-uppgifter måste således alltid föregås av en bedömning gjord av en tjänsteman vid myndigheten. Enligt bestämmelsen får besluten inte heller grunda sig på känsliga personuppgifter. I bestämmelsen upplyses om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om behöriga myn- digheters inhämtande och behandling av PNR-information. Bestämmelsen reglerar överföringen av PNR-information från en- heten för passagerarinformation till ett tredjeland. Bestämmelsen genomför artikel 11.1 i direktivet och behandlas i avsnitt 17.3.2. Av bestämmelsen framgår att enheten för passagerarinformation får överföra PNR-information till tredjeland. Det är däremot inte, som i brottsdatalagen, tillåtet att överföra PNR-information till inter- nationella organisationer. Tredjeland definieras i 1 kap. 3 §. får PNR-information endast överföras till en sådan myndighet i det tredjelandet som där är behörig att bedriva verksamhet för att före- bygga, förhindra, upptäcka, utreda eller lagföra brott motsvarande terroristbrottslighet eller grov brottslighet. Samtliga villkor i bestämmelsen ska vara uppfyllda för att en- heten ska få överföra PNR-information till ett tredjeland. Enligt första punkten får uppgifterna endast överföras om förut- sättningarna för överföring av PNR-information mellan medlems- staterna är uppfyllda. Vidare ska de grundläggande förutsättningarna för överföring av personuppgifter enligt 8 kap. 1 § första stycket 3 och 2 § första stycket BDL vara uppfyllda. I de bestämmelserna anges bl.a. att en överföring ska omfattas av beslut om adekvat skyddsnivå, av tillräckliga skyddsåtgärder eller vara föremål för ett undantag för särskilda situationer. Där anges också att personupp- gifter som har erhållits från en annan medlemsstat som huvudregel endast får överföras om den medlemsstat som har lämnat uppgifter- na har medgett att de överförs. För det fall överföringen avser PNR-information som enheten för passagerarinformation har fått från en annan medlemsstat och något medgivande till överföringen inte har hunnits hämtas in från den medlemsstaten, ska även be- stämmelsen i 2 § vara uppfylld. Av andra punkten framgår att en överföring ska vara nödvändig för att förebygga, förhindra, upptäcka, utreda eller lagföra brott som motsvarar terroristbrottslighet eller grov brottslighet. Med att över- föringen ska vara nödvändig menas att det är fråga om något som behövs. De PNR-uppgifter som överförs ska således behövas t.ex. för att en behörig myndighet i ett tredjeland ska kunna lagföra brott som motsvarar terroristbrottslighet eller grov brottslighet. Om en myndighet i ett tredjeland begär att få tillgång till PNR-uppgifter ska enheten för passagerarinformation således pröva om den utländska myndigheten behöver uppgifterna för ett syfte som omfattas av lagens tillämpningsområde. Enligt tredje punkten ska det tredjelandet också godta att endast vidareöverföra uppgifterna till ett annat tredjeland om det är absolut nödvändigt för att förebygga, förhindra, upptäcka, utreda eller lag- föra brott motsvarande terroristbrottslighet eller grov brottslighet och enheten för passagerarinformation har lämnat ett uttryckligt med- givande till vidareöverföringen. Medgivandet kan ske såväl muntligt För att det i efterhand ska gå att kontrollera bör dock medgivandet dokumenteras av enheten för passagerarinformation. I den anslutande förordningen regleras att enheten för passagerar- information i samband med en överföring av PNR-information till ett tredjeland ska uppställa villkor om användningsbegränsning i syfte att skydda PNR-informationen från användning i strid med PNR-direktivet. Paragrafen behandlar frågan om överföring till tredjeland utan för- handsmedgivande. Den genomför artikel 11.2 i direktivet och be- handlas i avsnitt 17.3.3. Bestämmelsen innebär att för det fall den PNR-information som ska överföras har erhållits från en annan medlemsstat och något förhandsmedgivande till överföringen inte har hunnit inhämtas från den medlemsstaten, får informationen ändå överföras om det är absolut nödvändigt för att avvärja en specifik och faktisk fara med anknytning till terroristbrottslighet eller grov brottslighet. Med ut- trycket absolut nödvändigt markeras att undantaget ska tillämpas restriktivt och att det endast i undantagsfall kan bli fråga om över- föring utan förhandssamtycke. Bestämmelsen kan bli tillämplig t.ex. om en överföring är nödvändig för att avvärja ett terroristattentat i en medlemsstat eller tredjeland. Eftersom det typiskt sett är fråga om en överhängande fara för att något ska hända får prövningen i dessa fall göras utifrån att åtgärden kan antas vara nödvändig för att avvärja faran. Att det sedan i efterhand visar sig att överföringen inte var nödvändig, t.ex. därför att faran aldrig realiserades, innebär inte att överföringen var otillåten. I den anslutande förordningen anges att om PNR-information, som kommer från en annan medlemsstat, har överförts till ett tredje- land utan förhandsmedgivande, ska enheten för passagerarinforma- tion utan dröjsmål informera den andra medlemsstaten om överfö- ringen. I förordningen regleras också att överföringar utan förhands- medgivande ska genomgå efterhandskontroll av dataskyddsombudet vid enheten för passagerarinformation. Bestämmelsen, som reglerar förhållandet till brottsdatalagen, behand- las i avsnitt 17.3.4. Den motsvaras inte av någon artikel i direktivet. 8 kap. 8 § BDL föreskriver en möjlighet att i enskilda fall överföra personuppgifter till andra organ i ett tredjeland än behöriga myn- digheter. Denna möjlighet är inte tillämplig vid överföring av PNR- information, som endast får överföras till en myndighet i ett tredje- land som där är behörig att bedriva verksamhet för att förebygga, förhindra, upptäcka, utreda eller lagföra brott motsvarande terrorist- brottslighet eller grov brottslighet (se 1 §). I paragrafen upplyses om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om information till en annan medlemsstat när personuppgifter, som enheten för passage- rarinformation har fått från den andra medlemsstaten, har överförts till ett tredjeland utan förhandsmedgivande samt om uppställande av villkor om användningsbegränsning av PNR-information som överförts till ett tredjeland. 7 kap. Övriga bestämmelser Paragrafen reglerar rätten till radering eller begränsning av behand- ling av personuppgifter. Den behandlas i avsnitt 20.3.3. Bestämmel- sen genomför till viss del artikel 13.1 i direktivet. 4 kap. 10 § BDL innehåller bestämmelser om en registrerads rätt till radering eller begränsning av behandling av personuppgifter. Av första stycket följer att de aktuella bestämmelserna även ska gälla för det fall personuppgifter behandlas i strid med vissa centrala bestäm- melser i denna lag. Bestämmelserna avser lagens portalbestämmelse om otillåten behandling av personuppgifter, förbudet mot behand- ling av känsliga personuppgifter samt förpliktelsen att gallra PNR- uppgifter som har överförts från lufttrafikföretag . Av andra stycket följer att sådana beslut om radering eller begräns- ning av uppgifter som anges i bestämmelsen kan överklagas till allmän förvaltningsdomstol. Paragrafen behandlar skadestånd vid otillåten behandling av person- uppgifter. Den genomför till viss del artikel 13.1 i direktivet och behandlas i avsnitt 20.4.3. Av bestämmelsen följer att brottsdatalagens bestämmelser om skadestånd ska gälla även när personuppgifter behandlas i strid med denna lag eller föreskrifter som meddelats med stöd av den. Bestäm- melsen är bara tillämplig för överträdelser av lagens bestämmelser som avser att ge skydd för personuppgifter. Om ett lufttrafikföretag bryter mot bestämmelserna i 2 kap. genom att inte överföra PNR- uppgifter till enheten för passagerarinformation eller när enheten för passagerarinformation bryter mot sin skyldighet att besvara för- frågningar från behöriga myndigheter eller fullgöra sina förpliktel- ser om informationsutbyte med andra medlemsstater enligt 4 kap. ska skadeståndsbestämmelsen inte tillämpas. Paragrafen behandlas i avsnitt 21.3. Den genomför artikel 15 i direktivet. Bestämmelsen föreskriver att den tillsynsmyndighet som avses i brottsdatalagen ska ha tillsyn över all personuppgiftsbehandling en- ligt lagen. Det har således ingen betydelse om personuppgiftsbe- handlingen har utförts av enheten för passagerarinformation, ett lufttrafikföretag eller en behörig myndighet. uppgifter och befogenheter regleras i brottsdatalagen. Sanktionsavgifter vid överträdelser av enheten för passagerarinformation eller en behörig myndighet Paragrafen reglerar vid vilka överträdelser av lagens bestämmelser som administrativ sanktionsavgift får tas ut av en personuppgifts- ansvarig myndighet. Den genomför artikel 14.1 och innebär att sank- tioner kan tillgripas vid överträdelser av de bestämmelser i lagen som har till syfte att skydda enskildas integritet. Bestämmelsen behandlas i avsnitt 22.4.3. avgör i det enskilda fallet om sanktionsav- gift bör tas ut, vilket framgår av formuleringen att avgift får tas ut. Paragrafen föreskriver att sanktionsavgift får tas ut av den person- uppgiftsansvariga myndigheten, oavsett om en överträdelse har skett vid enheten för passagerarinformation eller vid en behörig myndighet. I paragrafen anges uttömmande vilka överträdelser som kan för- anleda sanktionsavgift. Enligt punkten 1 kan sanktionsavgift tas ut vid överträdelser av bestämmelsen om att PNR-uppgifter inte får behandlas för andra syften än att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller grov brottslighet samt vid överträdelser av förbudet mot behandling av känsliga personupp- gifter. Enligt punkten 2 kan sanktionsavgift utgå för överträdelse av flertalet av bestämmelserna i 3 kap. om hur PNR-information får behandlas vid enheten för passagerarinformation. Det innebär bl.a. att behandling av PNR-uppgifter för andra ändamål än de som anges i lagen kan leda till sanktionsavgift. Detsamma gäller vid överträdelse av de bestämmelser som begränsar tillgången till PNR-information och förbjuder direktåtkomst. Även överträdelser av lagens bestäm- melser om maskering av PNR-uppgifter, bevarande och gallring kan föranleda sanktionsavgift. Av punkten 3 framgår att överträdelser av bestämmelserna om överföring av avmaskerade PNR-uppgifter kan föranleda sanktionsavgift. Även överträdelser av vissa bestämmelser om hur PNR-uppgifter får användas vid de behöriga myndigheterna kan enligt punkten 4 bli föremål för sanktionsavgift. Vid överträ- delser av regler om överföring till tredjeland kan enligt punkten 5 sanktionsavgift också tas ut. Bestämmelsen behandlas i avsnitt 22.4.3. I första stycket föreskrivs att sanktionsavgiftssystemet i brottsdatalagen och den tillhörande förordningen ska tillämpas även vid överträdelser enligt denna lag. Av andra stycket framgår att de i brottsdatalagen föreslagna minimi- och maximibeloppen för allvarligare överträdelser ska tilläm- pas när sanktionsavgiften ska bestämmas. Utgångspunkten vid be- stämmandet av sanktionsavgift är den behandling som skett av per- sonuppgifterna. I tredje stycket upplyses om att beslut om sanktionsavgift kan överklagas till allmän förvaltningsdomstol enligt 7 kap. 4 § BDL 28.2Förslaget till lag om ändring i polislagen (1984:387)