sou · H5B357 · 2017-06-22 00:00:00 — Det är dock lufttrafikföretaget som har personuppgiftsansvaret för över- föringen av uppgifterna, bl.a. att den kringgärdas av tillräckliga säker- hetsåtgärder. Det är även lufttrafikföretaget som riskerar sanktions- avgift om uppgiftsskyldigheten inte fullgörs enligt denna lag. Bestämmelsen genomför direktivets skäl 29 och 37. Den behandlas i avsnitt 20.2.4. Paragrafen innebär att lufttrafikföretag vars passagerare berörs av överföringen av PNR-uppgifter enligt lagen ska informera passa- gerarna om att uppgifterna överförs till enheten för passagerarin- formation och om att detta sker till följd av ett författningsreglerat åläggande som genomför PNR-direktivet. Informationen kan lämp- ligen lämnas tillsammans med den övriga information som lufttrafik- företagen ska tillhandahålla enligt dataskyddsförordningen. Infor- mationsskyldigheten fullgörs lämpligen både med en mer allmänt riktad metod, t.ex. en webbplats, och genom information till passa- geraren i fråga, t.ex. på biljett eller bokningsbekräftelse. Vid samarbete mellan lufttrafikföretag, s.k. code sharing, ansvarar respektive luft- trafikföretag för att informera sina passagerare. Paragrafen reglerar för vilka överträdelser administrativ sanktions- avgift ska tas ut av ett lufttrafikföretag. Den genomför artikel 14 i direktivet. Paragrafen behandlas i avsnitt 22.3.5. I paragrafen anges uttömmande vilka överträdelser som kan för- anleda sanktionsavgift. Både överträdelser av bestämmelser i lagen och bestämmelser som har utfärdats i anslutning till lagen kan leda till sanktionsavgift. Sanktionsavgift kan t.ex. utgå om överföringar inte sker som anges i lagen eller om de görs i ett annat format än de som godkänts av kommissionen. Polismyndig- heten avgör dock i det enskilda fallet om det är påkallat att ta ut sanktionsavgift, se 8 § andra stycket. PNR-uppgifterna ska överföras av det lufttrafikföretag som utför själva flygningen. Sanktioner kommer således inte att drabba de luft- trafikföretag som endast delar linjebeteckning med det företag som utför flygningen. Det följer inte heller någon sanktionsavgift enligt lagen vid utebliven information till passagerarna om överföringen. Ansvaret för överträdelser är strikt. Det krävs alltså varken uppsåt eller oaktsamhet för att en sanktionsavgift ska kunna tas ut. Det är tillräckligt att en överträdelse har ägt rum. Paragrafen behandlar sanktionsavgiftens storlek. Övervägandena finns i avsnitt 22.3.6. I första stycket fastställs minimi- och maximibelopp för sanktions- avgift. Avgifter som motsvarar eller ligger i närheten av maximi- beloppet är avsedda för de allvarligare fallen. Det kan röra sig om upprepade överträdelser eller fall som rör ett stort antal passagerare och där ingen rimlig förklaring finns till att de aktuella uppgifterna inte har lämnats. I andra fall bör en lägre avgift kunna fastställas. Direktivets föreskrift om att sanktionerna ska vara effektiva, pro- portionella och avskräckande ska dock alltid beaktas. I andra stycket föreskrivs att sanktionsavgiften kan sättas ned helt eller delvis. Lufttrafikföretagen kommer normalt sett ha möjlighet att lämna uppgifter i enlighet med direktivets bestämmelser. Det kan emellertid finnas olika orsaker till att ett lufttrafikföretag inte har fullgjort sin överföringsskyldighet. Det kan t.ex. vara så att det har skett ett tekniskt fel vid överföringen av uppgifterna. Vidare kan ett flyg som inte var tänkt att anlända till oväntat ha om- dirigerats hit. Paragrafen ger möjlighet att sätta ned sanktions- avgiften, helt eller delvis, om överträdelsen är ursäktlig eller om det annars med hänsyn till omständigheterna skulle vara oskäligt att ta ut avgiften. Paragrafen behandlas i avsnitt 22.3.7. I första stycket föreskrivs att beslutar om sanktionsavgift. Av andra stycket fram- går att sanktionsavgiften tillfaller staten. Av paragrafen följer att den som avgiften ska tas ut av ska ges tillfälle att yttra sig innan beslutar om sanktionsavgift. Paragrafen behandlas i avsnitt 22.3.7. Möjligheten att besluta om sanktionsavgift bortfaller om den som avgiften ska tas ut av inte har fått tillfälle att yttra sig efter överträdelsen. Av bestämmelsen, som behandlas i avsnitt 22.3.7, framgår att Polis- myndighetens beslut om sanktionsavgift får överklagas till allmän förvaltningsdomstol. Vid överklagande till kammarrätten krävs pröv- ningstillstånd. I bestämmelsen upplyses om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om lufttrafikföre- tagens överföring av PNR-uppgifter till enheten för passagerarinfor- mation samt om handläggningen av beslut om och verkställighet av sanktionsavgifter. 3 kap. Behandling av PNR-information vid enheten för passagerarinformation Paragrafen behandlas i avsnitt 13.1. Den genomför bl.a. artikel 12.1 i direktivet. Genom bestämmelsen föreskrivs att det ska finnas en databas för PNR-uppgifter vid enheten för passagerarinformation där de PNR- uppgifter som överförs från lufttrafikföretagen ska lagras. Begrep- pet databas används i lagen i en rättslig mening för att beteckna en avgränsad uppgiftssamling med PNR-uppgifter. Någon särskild tek- nisk lösning för denna avgränsning föreskrivs inte. Bestämmelsen, som inte motsvaras av någon artikel i direktivet, be- handlas i avsnitt 19.1.3. Bestämmelsen är av upplysande karaktär och anger att det är Polis- myndigheten som är personuppgiftsansvarig för den behandling av personuppgifter som utförs vid enheten för passagerarinformation. Det är således som ska ansvara för att sådana skyl- digheter som följer av bl.a. denna lag följs i den verksamhet som sker vid enheten för passagerarinformation. Paragrafen genomför artikel 6.8 i direktivet. Den behandlas i av- snitt 19.2.4. Bestämmelsen innebär ett förbud mot att enhetens lagring och annan behandling av PNR-uppgifter sker på ett territorium utanför en medlemsstat enligt direktivet. Den innebär inte nödvändigtvis ett krav på att enhetens behandling av PNR-uppgifter ska ske i . Huvudsaken är att uppgifterna garanteras den säkerhetsnivå och övrigt dataskydd som gäller i medlemsstaterna. Paragrafen innehåller de grundläggande ändamålen för vilka de PNR-uppgifter som har överförts från lufttrafikföretag får behandlas vid enheten för passagerarinformation. Bestämmelsen genomför arti- kel 6.2. Den behandlas i avsnitt 13.2. Bestämmelsen ersätter de ändamålsbestämmelser som anges i 2 kap. 7 och 8 §§ PDL. Den exkluderar även en tillämpning av be- stämmelsen om behandling av personuppgifter för nya ändamål i 2 kap. 4 § BDL. Uppräkningen i bestämmelsen är alltså uttömman- de och innebär att endast sådan personuppgiftsbehandling som inryms i något av de i paragrafen angivna ändamålen får äga rum. Dock är behandling alltid tillåten för att uppfylla de syften som anges i 2 kap. TF. Vidare får PNR-uppgifterna alltid behandlas för att besvara en förfrågan från en enskild om huruvida dennes personuppgifter be- handlas vid enheten eller för att ge tillsynsmyndigheten tillgång till behandlade uppgifter. Enligt första stycket punkten 1 får PNR-uppgifterna behandlas för att göra en förhandsbedömning av passagerare innan de har an- länt till eller avrest från . En sådan realtidsbedömning har till syfte att identifiera personer som behöver utredas ytterligare av be- höriga myndigheter eller Europol. En bedömning av PNR-uppgift- erna innebär en möjlighet att välja ut personer som inte tidigare varit misstänkta för inblandning i grov brottslighet eller terrorism, men som enligt en analys av uppgifterna kan vara inblandade i sådan brottslighet och därför bör bli föremål för ytterligare utredning av de behöriga myndigheterna. Syftet med behandlingen enligt denna punkt är att PNR-informationen ska analyseras vidare av nationella behöriga myndigheter eller av Europol, för ställningstagande där till om den ger anledning till vidare insatser, t.ex. att en eller flera passagerare kontrolleras. Behandlingen ska således inte ske för att finna personer som bör behandlas vidare vid andra medlemsstaters enheter för passagerarinformation. För det fall enheten skulle finna att den framtagna informationen kan vara av intresse även för en annan medlemstat ska dock informationen sändas även till den med- lemsstatens enhet för passagerarinformation enligt 4 kap. 2 §. Be- handling av PNR-information för ett sådant ändamål behandlas i punkten 2. Av andra punkten följer att enheten för passagerarinformation får behandla PNR-uppgifter för att fullgöra sina uppgifter enligt 4 kap. att besvara en begäran från en behörig mottagare om att få tillgång till äldre PNR-uppgifter och att överföra dem till den efterfrågande mottagaren. I brottsutredningar kan äldre PNR-uppgifter vara an- vändbara för att exempelvis kartlägga var en misstänkt har befunnit sig , vem personen har rest med och vem som har betalat för resan. PNR-uppgifter kan således även användas reaktivt efter det att ett brott har begåtts för att t.ex. ta fram bevisning eller, i förekommande fall, hitta medbrottslingar och nysta upp kriminella Behöriga mottagare kan därför ha ett intresse av att få del av sådana äldre PNR-uppgifter som bevaras vid enheten för passage- rarinformation. Enligt tredje punkten får PNR-uppgifterna behandlas för att skapa nya eller uppdatera gamla kriterier som ska användas vid förhands- bedömningarna enligt första punkten. Det är därmed möjligt för personalen inom enheten för passagerarinformation att gå igenom de PNR-uppgifter som finns samlade i databasen för att t.ex. leta efter mönster som kan indikera att personer kan vara av intresse för vidare kontroller. I andra stycket upplyses om att det i 6 kap. finns bestämmelser som anger att PNR-uppgifter under vissa förutsättningar får över- föras till ett tredjeland. PNR-uppgifterna får behandlas även för detta ändamål. Paragrafen anger hur en förhandsbedömning av PNR-uppgifter får gå till. Bestämmelsen genomför artikel 6.3 och behandlas i avsnitt 13.2.2. PNR-uppgifterna får enligt första punkten jämföras med sådana register eller andra uppgiftssamlingar som är relevanta för att före- bygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller grov brottslighet. Vilka register eller uppgiftssamlingar som ska användas är upp till varje medlemsstat. Dessa måste dock vara rele- vanta för direktivets syften, dvs. att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller grov brottslighet. Enligt direktivet kan detta omfatta register över personer eller föremål som är eftersökta eller finns uppförda på en spärrlista. Enligt andra punkten får PNR-uppgifterna behandlas i enlighet med på förhand utformade och fastställda kriterier. Uppgifterna får således jämföras med sådana i förväg bestämda profiler som kan ge anledning att kontrollera en viss person. En profil avser en icke per- sonanknuten företeelse och kan omfatta uppgifter om exempelvis avreseort, resrutt, betalningssätt, bokningsrutin, bagage m.m. Profiler kan användas för att leta efter mönster som kan indikera att en per- son är av intresse för vidare kontroller. Enligt bestämmelsen ska så- dana kriterier, eller profiler, vara riktade, proportionella och avgrän- sade och får inte grundas på känsliga personuppgifter. av förordningen att kriterierna ska fastställas och fortlöpande ses över av enheten för passagerarinformation i samarbete med behöriga myndigheter. Härigenom kan kriterierna kontinuerligt förbättras och träffsäkerheten öka. Paragrafen reglerar enheten för passagerarinformations behandling av PNR-information som den mottagit från motsvarande enheter i andra medlemsstater. Den har ingen motsvarighet i direktivet. Be- stämmelsen behandlas i avsnitt 13.2.5. kommer inte bara att behandla PNR-uppgifter som har kommit in till enheten från lufttrafikföre- tag, utan kommer också att motta och behandla PNR-information som överförts från andra medlemsstaters motsvarande enheter. Av bestämmelsen framgår att enheten endast får behandla denna PNR- information i syfte att vidarebefordra den till en eller flera behöriga myndigheter för fortsatt användning enligt de syften som anges i 1 kap. 5 §. Den PNR-information som enheten för passagerarinfor- mation mottagit från motsvarande enheter i andra medlemsstater kan således inte användas t.ex. för att enheten ska kunna verifiera sin egen databas eller finslipa sina kriterier etc. För det fall det kan konstateras att den mottagna informationen inte avser terroristbrotts- lighet och inte heller avser sådan brottslighet som definieras som grov brottslighet i , följer av 1 kap. 5 § att informationen inte får sändas vidare till behöriga myndigheter. Paragrafen behandlas i avsnitt 10.4.3. Den begränsar antalet personer vid som är behöriga att ta del av uppgifterna i PNR-databasen och den övriga PNR-information som behandlas vid enheten för passagerarinformation. Endast de som arbetar vid enheten får ha tillgång till dessa uppgifter. Dessutom ska tillgången begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter vid enheten. Vissa tjänstemän kan ha sin grundanställning på en annan behörig myndighet än men ha avdelats för att arbeta vid enheten för passagerarinformation. När de gör det anses de delta i verksamhet i den mening som avses i bl.a. 2 kap. 1 § OSL. Paragrafen behandlas i avsnitt 10.4.1. Den innebär att andra myndig- heter än inte får tillåtas ha direkt tillgång till upp- gifterna i PNR-databasen vid enheten för passagerarinformation eller i övrigt till den PNR-information som behandlas vid enheten. Behöriga myndigheter får således endast tillgång till dessa uppgifter sedan de har överförts till dem från enheten för passagerarinfor- mation. Tillgången inom regleras i 7 §. Bevarande och gallring av PNR-uppgifter Paragrafen behandlas i avsnitt 18.4. Den genomför delvis artikel 12.1 och 12.4 i direktivet. I bestämmelsen föreskrivs att PNR-uppgifter som mottagits från lufttrafikföretagen ska lagras i databasen för PNR-uppgifter vid en- heten för passagerarinformation . Det har ingen betydelse om PNR-uppgifterna levereras till enheten direkt från ett lufttrafik- företag eller från ett personuppgiftsbiträde, exempelvis en system- leverantör. ska PNR-uppgifterna gallras genom att rade- ras. Härmed avses i praktiken att uppgifterna utplånas. För det fall PNR-uppgifter har överförts till behöriga myndig- heter gäller samma gallringsregler för de uppgifterna som i övrigt är tillämpliga vid den myndigheten. Dock ska sådana PNR-uppgifter som har överförts från enheten för passagerarinformation efter enhetens förhandsbedömning och som inte är av intresse för vidare kontroller raderas genast, se 5 kap. 1 §. Bestämmelsen behandlar radering av PNR-uppgifter som utgör käns- liga personuppgifter. Den genomför artikel 13.4 i direktivet och be- handlas i avsnitt 18.5. Lufttrafikföretagen bör inte skicka in andra uppgifter än de som omfattas av deras uppgiftsskyldighet, därmed inte heller känsliga personuppgifter. Dock kan detta komma att ske av misstag, t.ex. därför att uppgiven kontaktadress röjer en svensk partitillhörighet som är obekant för det asiatiska lufttrafikföretaget i fråga. Enligt bestämmelsen ska enheten för passagerarinformation gallra PNR-uppgifter som utgör känsliga personuppgifter genom att radera dem om enheten mottar sådana uppgifter från lufttrafik- företag eller från en enhet för passagerarinformation i en annan medlemsstat. Bestämmelsen kräver inte genomgång av varje inkommen uppgift. Däremot krävs att det används tillgänglig infor- mationsteknik för att genom automatiserade processer söka efter och radera känsliga personuppgifter när enhetens tekniska lösningar utformas och uppdateras. En motsvarande bestämmelse för behöriga myndigheter finns i 5 kap. 2.§. Av bestämmelsen framgår vilka PNR-uppgifter som ska maskeras efter att de överförts från lufttrafikföretag och förts in i databasen för PNR-uppgifter vid enheten för passagerarinforma- tion. Paragrafen genomför artikel 12.2 i direktivet och behandlas i avsnitt 13.3. De PNR-uppgifter som ska maskeras avser sådana uppgifter som kan användas för att identifiera passagerare. Uppräk- ningen motsvarar densamma i direktivet, dock med några språkliga justeringar. Med alla former av betalningsinformation enligt punkten 4 avses all sådan information som kan användas för att identifiera en person, oavsett om denne är en passagerare eller inte. Paragrafen genomför artikel 5.1 första ledet och artikel 6.7 första meningen i direktivet. Den behandlas i avsnitt 19.5.4. Av första stycket följer att ska utse ett eget dataskyddsombud för enheten för passagerarinformation. Av andra stycket följer att detta ombud för sitt arbete ska ha tillgång till samt- liga uppgifter som behandlas vid enheten för passagerarinformation. Genom en sådan tillgång kan lagligheten i behandlingen fortlöpande kontrolleras. Paragrafen reglerar dataskyddsombudets uppgifter. Bestämmelsen genomför andra ledet av artikel 5.1 i direktivet. Den behandlas i avsnitt 19.5.4. Dataskyddsombudets generella uppgifter regleras i brottsdata- lagen. Av första stycket framgår att dataskyddsombudet, utöver vad som anges i 3 kap. 14 § BDL, även ska ansvara för genomförandet av relevanta skyddsåtgärder. Detta innebär att det ankommer på om- budet, vid sidan av , att ta initiativ till och lämna riktlinjer och förslag på lämpliga skyddsåtgärder samt att också se till att dessa genomförs i praktiken vid enheten för passagerarinfor- mation. Av andra stycket följer att enskilda ska ha rätt att vända sig till dataskyddsombudet i egenskap av enda kontaktpunkt i alla frågor som gäller behandlingen enligt lagen av PNR-uppgifter om denne. Den enskilde ska således kunna vända sig till och få hjälp eller in- formation av dataskyddsombudet vid enheten även om behandlingen i det särskilda fallet helt eller delvis utförts av ett lufttrafikföretag, en behörig myndighet eller av utländska mottagare, dock bara såtill- vida det varit fråga om en tillämpning av lagens bestämmelser. Om den enskilde har invändningar mot t.ex. lufttrafikföretags insamling av PNR-uppgifter får denne däremot vända sig till vederbörande lufttrafikföretag. Likaså får en enskild vända sig till vederbörande dataskyddsombud utanför enheten om det t.ex. handlar om använd- ning av PNR-uppgifter i ett förundersökningsprotokoll. enhetens dataskyddsombud i sådana fall kunna lotsa en missnöjd eller undrande enskild vidare till rätt kontaktpunkt. Paragrafen, som behandlas i avsnitt 19.5.4, reglerar dataskyddsom- budets skyldighet att anmäla brister till tillsynsmyndigheten. Be- stämmelsen genomför artikel 6.7 andra meningen. Om den personuppgiftsansvarige inte följer regelverket för be- handling av personuppgifter inom enheten för passagerarinformation ska dataskyddsombudet agera och anmäla detta till tillsynsmyndig- heten. Någon rätt för den personuppgiftsansvarige att först vidta rättelse föreligger alltså inte. Däremot får det givetvis förutsättas att rättelse ändå sker möjligt. Det är upp till dataskyddsom- budet att bedöma om en anmälan ska ske. Att ett anställt dataskydds- ombud med stöd av paragrafen gör en anmälan får inte leda till några konsekvenser för ombudet i arbetsrättsligt hänseende, eftersom det är fråga om en lagreglerad skyldighet. I bestämmelsen upplyses om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om utformande av kriterier, tillgång till PNR-information, dataskyddsombudets upp- gifter, bevarande och gallring, dokumentation och loggning, infor- mation till dataskyddsombud samt enheten för passagerarinforma- tions inhämtande av PNR-information från andra medlemsstater. Sådana bestämmelser finns i den till lagen anslutande förordningen. Överföring av PNR-information från enheten för passagerarinformation Överföring till behöriga myndigheter Paragrafen föreskriver i vilka situationer PNR-information ska över- föras från enheten för passagerarinformation till en behörig nationell myndighet. Bestämmelsen, som delvis genomför artikel 6.2 a och b samt 6.5 och 6.6. i direktivet, behandlas i avsnitt 15.2.2. Överföring till en behörig myndighet ska enligt första stycket första punkten ske för att vidarebefordra PNR-information avseende per- soner som vid den förhandsbedömning som görs av passagerare före deras beräknade ankomst till eller avresa från har ansetts vara intressanta för vidare granskning. Vidare ska enligt andra punkten PNR-information lämnas till en behörig myndighet som svar på en särskild motiverad förfrågan från den myndigheten. Förfrågan ska endast besvaras om den är motiverad och avser tillgång till PNR- information för att förebygga, förhindra, upptäcka, utreda eller lag- föra terroristbrottslighet eller grov brottslighet. Om de begärda uppgifterna är äldre än och därför har maskerats ska även villkoren i 4 kap. 7 § vara uppfyllda för att en överföring av fullständiga, avmaskerade PNR-uppgifter ska kunna ske. Enligt tredje punkten ska enheten för passagerarinformation lämna över sådan PNR-information som har överförts från en motsvarande enhet i en annan medlemsstat. Överföring från enheten för passagerarinformation till behöriga myndigheter ska endast ske i enskilda fall. PNR-information ska alltså inte per automatik föras vidare från enheten till en behörig myndighet. Vidare ska enligt andra stycket varje överlämnande till en behörig myndighet föregås av en bedömning av PNR-informationen utförd av en person som tjänstgör vid enheten för passagerarinfor- mation. Granskningen ska ske för att t.ex., då en förhandsbedöm- ning gett flera träffar, rensa bort information om personer som vid en snabb bedömning kan avfärdas såsom ointressanta för vidare granskning. Enheten bör också tillse att överföring bara sker till den behöriga myndighet som kan antas ha anledning att göra en vidare kontroll. Tanken är alltså inte att alla träffar som uppkommer vid en förhandsgranskning utan vidare ska skickas till alla befintliga be- Även då PNR-information ska lämnas vidare efter en begäran från en behörig myndighet ska en granskning göras, t.ex. för att säkerställa att uppgifterna går till den begärande myn- digheten och att uppgifterna överensstämmer med vad begäran om- fattat. Överföring till andra medlemsstater Bestämmelsen reglerar överföring till enheter för passagerarinfor- mation i andra medlemsstater av sådan PNR-information som en- heten för passagerarinformation väljer ut vid en förhandsbedömning av passagerare. Den genomför artikel 9.1 i direktivet och behandlas i avsnitt 15.3.2. Resultatet av en förhandsbedömning av passagerare kan vara av intresse inte bara för behöriga nationella myndigheter utan även för en eller flera andra medlemsstater. Enligt bestämmelsen ska enheten för passagerarinformation därför självmant överföra resultatet av en förhandsbedömning till en motsvarande enhet i en annan medlems- stat. Bestämmelsen är formulerad som en uppgiftsskyldighet men en överföring ska dock endast ske om enheten bedömer att PNR- informationen är relevant och nödvändig för vidare granskning i den andra medlemsstaten för att där förebygga, förhindra, upptäcka, ut- reda eller lagföra terroristbrottslighet eller grov brottslighet. Det är först då det uppkommer en skyldighet att lämna PNR-informationen vidare. Det får därmed från fall till fall övervägas huruvida det är lämpligt att, utöver den överföring som ska ske till nationella be- höriga myndigheter, även överföra PNR-informationen till en viss annan medlemsstat. En typisk situation när en överföring enligt bestämmelsen kan blir aktuell är när enheten för passagerarinfor- mation har valt ut en viss person för vidare granskning inför dennes resa till en annan medlemsstat. Information om denne person ska då överföras till enheten för passagerarinformation i den medlemssta- ten, om det bedöms relevant och nödvändigt med en vidare gransk- ning där.