sou · H5B357 · 2017-06-22 00:00:00 — En stor skillnad mellan de båda direktiven är vidare direktivens olika lagringstider för de överförda uppgifterna. Enligt API-direktivet ska de överförda uppgifterna raderas från det tillfälliga registret efter översändandet såvida inte uppgifterna behövs för att de myndigheter som ansvarar för genomförandet av personkon- trollerna vid de yttre gränserna ska kunna utföra sina lagstadgade uppgifter. I lagen om passagerarregister anges således att en uppgift i passagerarregistret ska gallras efter överföringen PNR-direktivets förhållande till API-direktivet och dess genomförande i svensk rätt Om uppgifter i registret behövs för att Polis- myndigheten, Säkerhetspolisen eller ska kunna verkställa personkontroller, får uppgifterna i registret dock stå kvar till dess att myndighetens kontroller är slutförda. I PNR-direktivet ska upp- gifterna lagras i en databas vid enheten för passagerarinformation . Det gäller även för de uppgifter som kan användas för att identifiera de personer som PNR- uppgifterna avser och som ska maskeras, se avsnitt 13.3. 14.6.1Hur PNR-direktivet påverkar det svenska genomförandet av API-direktivet Vår bedömning: PNR-direktivet varken ersätter eller påverkar API-direktivet eller dess genomförande i . Direktiven och deras respektive genomföranden kommer därför att vara parallellt tillämpliga. Genomförandet av PNR-direktivet innebär att en ny möjlighet för behöriga myndigheter att ta del av API-uppgifter införs i svensk rätt. Överföringen av API-uppgifter enligt PNR-direktivet kommer att avse lufttrafikföretags resor till och från . Således kommer API-uppgifter efter PNR-direktivets genomförande att överföras inför långt fler resor än vad som varit möjligt, även om det åtminstone torde vara resor till och från tredjeland som det i praktiken kommer att handla om eftersom det är vid sådana resor som API-uppgifter samlas in av lufttrafikföretagen. Över- föringen av uppgifterna kommer också, om de finns tillgängliga, att ske vid ytterligare två tillfällen inför varje resa (dels 24–före avgång, dels efter det att gatens dörrar har stängts) jämfört med vad som följer av API-direktivet (senast vid slutet av incheckningen). Vidare ska överföringen av uppgifterna enligt PNR- direktivet ske inför varje flygresa och inte endast på begäran. Således kan införandet av PNR-direktivet sägas ha en stor betydelse för an- vändningen av API-uppgifter i den brottsbekämpande verksamheten. För de API-uppgifter som har inhämtas med stöd av PNR- direktivet ska enligt artikel 8.2 det direktivets bestämmelser i övrigt SOU 2017:57 PNR-direktivets förhållande till API-direktivet och dess genomförande i svensk rätt De API-uppgifter som överförs från lufttrafikföre- tagen med stöd av de bestämmelser som genomför PNR-direktivet ska således behandlas enligt det direktivets bestämmelser och på- verkas inte av hur API-direktivet är genomfört i svensk rätt. Vår bedömning är mot denna bakgrund att PNR-direktivets be- stämmelser om att API-uppgifter ska överföras inte kan förstås på det sättet att de ska gälla i stället för API-direktivets bestämmelser i något avseende. PNR-direktivets genomförande i svensk rätt inne- bär således inte något helt eller delvis ersättande av API-direktivet eller dess genomförande i . Direktiven och deras respektive genomföranden kommer därför framöver att få tillämpas parallellt. I rättslig mening påverkar PNR-direktivet därmed inte i sig genomförandet av API-direktivet i svensk rätt. Detta medför, enligt vår mening, att transportörernas skyldigheter att på begäran lämna API-uppgifter bör vara kvar i utlänningslagen. Vidare bör reglering- en av behandling av API-uppgifterna enligt API- direktivet inte inordnas i den reglering av PNR- och API-uppgifter som genomför PNR-direktivet, dvs. den nya lag som vi föreslår. Där- emot kommer PNR-direktivets genomförande att få betydelse för hur API-uppgifterna framöver kan komma att hanteras i praktiken. Som har angetts kommer en översyn av API-direktivet att genomföras . Det är inte känt vad denna översyn kan komma att innebära. Detta förhållande utgör ännu ett skäl till att inte i detta läge genomföra några förändringar gällande API-direktivets genomförande i svensk rätt. 14.6.2Är en samordnad hantering av PNR- och API-uppgifter möjlig? Vår bedömning: En samordnad hantering av PNR- och API- uppgifter vid enheten för passagerarinformation är möjlig även avseende API-uppgifter som behandlas enligt lagen om passage- rarregister. Det kräver dock att API-uppgifter som behandlas en- ligt lagen om passagerarregister hålls isär från de API-uppgifter som överförs från lufttrafikföretagen enligt den nya lagen, att det alltid står klart för vilket syfte och enligt vilket regelverk API- uppgifter behandlas samt att det säkerställs att regelverkens olik- heter i fråga om t.ex. tillgång till uppgifterna följs. PNR-direktivets förhållande till API-direktivet och dess genomförande i svensk rätt En gemensam hantering av de PNR- och API-uppgifter som över- förs med stöd av bestämmelserna i är självklart möjlig och dessutom nödvändig för att det direktivets bestämmelser ska kunna efterlevas. Frågan vi ställer oss är hur behandlingen av dessa uppgifter ska förhålla sig till behandlingen av de API-uppgifter som hämtas in med stöd av de bestämmelser som genomför API-direk- tivet. Vi har förstått att det i projektet med att inrätta den i PNR- direktivet avsedda enheten för passagerarinformation planeras att enheten ska behandla samtliga inkomna API-uppgifter, dvs. även sådana som samlas in enligt de bestämmelser som genomför API- direktivet. En sådan samordnad hantering har naturligen stora för- delar, bl.a. då tillgängliga kunskaps- och materiella resurser kan samlas på samma ställe. En samordnad hantering av de olika passagerarupp- gifterna skulle därmed utgöra den mest effektiva lösningen, inte bara ur kostnadssynpunkt. Som vi har förstått saken behandlas också API- och PNR-uppgifter gemensamt i flera andra länder. Som tidigare angetts framgår det även av regeringens skrivelse Förebygga, förhindra, försvåra – den svenska strategin mot terrorism (skr. 2014/15:146) att det svenska systemet för hantering av PNR-uppgifter bör sam- ordnas med systemet för API-uppgifter, eftersom de tillsammans kan vara ett användbart verktyg i terrorismbekämpningen. Enligt vad som framgått ovan finns det dock stora skillnader mellan API- och PNR-direktivet. API-uppgifter överförs enligt de båda direktiven inför olika sorts resor och vid olika antal tillfällen per resa. API-uppgifterna får enligt de båda direktiven också lagras och användas på olika sätt. PNR-direktivet innehåller klart fler be- stämmelser och begränsningar kring hur de överförda PNR- och API-uppgifterna får bearbetas. Det direktivet innehåller också helt andra krav på egenkontroll, tillsyn och dataskydd. PNR-direktivet syftar, som har angetts, till att skydda den allmänna säkerheten genom att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller grov brottslighet, dvs. viss slags brottslighet. API-direktivet däremot syftar till att förbättra gränskontrollerna och bekämpa olaglig invandring. I detta ligger, som framgått ovan, dels brottsbekämpning avseende gränsöverskri- dande brottslighet, dels migrationskontroll som inte utgör brotts- bekämpning. Detta medför en rad komplikationer för en samordnad behandling av uppgifter som samlas in med stöd av de båda direk- tiven. I de fall syftet med en behandling av API-uppgifter är kopplat SOU 2017:57 PNR-direktivets förhållande till API-direktivet och dess genomförande i svensk rätt till att bekämpa olaglig invandring, och inte avser brottsbekämpning av något slag eller avser bekämpning av annan brottslighet än sådan som omfattas av PNR-direktivets definitioner av grov brottslighet eller terrorism, faller den behandlingen således utanför ändamålet med PNR-direktivet. Uppgifterna i den databas som avses i PNR- direktivet får inte användas i detta syfte. I de fall API-uppgifter ska användas i syfte att bekämpa olaglig invandring utan anknytning till sådan brottslighet som anges i PNR-direktivet, kan alltså de bestäm- melser som genomför det direktivet inte tillämpas. I stället får API- uppgifterna i sådant fall begäras in med stöd av de bestämmelser som genomför API-direktivet och behandlas i passagerarregistret för API-uppgifter. Är syftet med behandlingen däremot att utföra en gränskontroll i brottsförebyggande syfte, torde bestämmelserna i vara tillämpliga, men endast för det fall behandling- en avser att förebygga, förhindra, upptäcka, utreda eller lagföra sådan terroristbrottslighet eller sådan grov brottslighet som avses i PNR- direktivet. Är det fråga om annan eller lindrigare brottslighet får även här API-uppgifter i stället begäras in och behandlas med stöd av de bestämmelser som genomför API-direktivet. Det kan te sig svårt att inom samma enhet hantera passagerar- uppgifter som inhämtas enligt bestämmelserna i två direktiv med så pass olika bestämmelser och delvis olika syften och tillämpnings- områden. PNR-direktivet innebär inrättandet av databaser i medlemsstater- na för brottsbekämpande ändamål med uppgifter om EU-medbor- gares och andra personers flygresor till och från samt, på grund av medlemsstaternas särskilda åtagande, även deras flygresor inom EU. Direktivet antogs efter en mångårig process där integritets- riskerna med dessa databaser och utbytet av PNR-uppgifter mellan medlemsstaterna ledde till omfattande politiska diskussioner. De detaljerade bestämmelserna i om hur och för vad PNR-uppgifterna får lagras, användas och överföras till andra m.m. måste ses mot denna bakgrund. Det är därför av största vikt att genomförandet av PNR-direktivet sker på ett sätt som inger för- troende för att PNR-uppgifterna inte används på ett sätt som står i strid med de ovillkorliga begränsningar som direktivet föreskriver. Detta gäller även de API-uppgifter som ska samlas in med stöd av direktivet. PNR-direktivets förhållande till API-direktivet och dess genomförande i svensk rätt Med hänsyn till det ovanstående kan det alltså synas svårt att hantera API-uppgifter inhämtade enligt de bestämmelser som genom- för API-direktivet samordnat med de PNR- och API-uppgifter som överförs enligt PNR-direktivets genomförande. Det skulle i och för sig kunna anses tala emot att det sker en sådan samordning inom enheten för passagerarinformation som planeras i Polismyndig- hetens tekniska och organisatoriska genomförande av PNR-direk- tivet. finns det dock uppenbara rättsliga och praktiska beröringspunkter mellan de båda direktiven. Till det kommer att effektivitetsvinsterna med en samordning torde vara mycket stora. Vi bedömer därför, i likhet med , att en sådan sam- ordning som planeras – och som innebär att även passagerar- registret med API-uppgifter enligt API-direktivet hanteras inom enheten för passagerarinformation – kan vara möjlig både rättsligt och förtroendemässigt. För att en samordnad hantering inom en- heten ska kunna vara genomförbar fordras dock att enheten och dess hantering av uppgifterna lever upp till vissa krav. För det första behöver det säkerställas att de API-uppgifter som hämtas in med stöd av de bestämmelser som genomför API-direk- tivet i rättslig och användningsmässig mening hålls isär från de upp- gifter som överförs enligt de bestämmelser som genomför PNR- direktivet. De uppgifter som hämtas in med stöd av PNR-direktivet ska enligt det direktivet föras över av lufttrafikföretagen till en data- bas vid enheten för passagerarinformation, inte till flera. För de in- komna uppgifterna gäller också, som framkommit ovan, olika bestäm- melser om bl.a. gallring. Det är alltså inte möjligt att behandla alla API-uppgifter inkomna enligt bestämmelserna i de båda direktiven på samma sätt. De tekniska lösningarna måste därför klara av att behandla mottagna API-uppgifter på dessa olika sätt och utifrån förutsättningarna i respektive direktiv. För det andra är det av största vikt att det i alla lägen står klart enligt vilket syfte API-uppgifter behandlas. Behandlingens ändamål är av stor betydelse för enhetens fortsatta behandling av uppgifter- na och har relevans för frågor om gallring, sekretess m.m. Det är även av stor betydelse för utflödet till den brottsbekämpande verk- samheten att det står klart vilket regelverk som är styrande för upp- gifterna. För det fall syftet med behandlingen är kopplat till att be- kämpa olaglig invandring som ett led i migrationskontroll, kan uppgifterna i PNR-databasen vid enheten för passagerarinfor- SOU 2017:57 PNR-direktivets förhållande till API-direktivet och dess genomförande i svensk rätt mation inte användas. Inte heller kan uppgifterna i den databasen användas när syftet med behandlingen är att utföra en gränskontroll avseende annan eller lindrigare brottslighet än den som avses i PNR- direktivet. I sådana fall får i stället passagerarregistret innehållandes endast API-uppgifter användas. För det tredje krävs ett säkerställande av att extern tillgång, dvs. åtkomst från operativa delar av eller direktåt- komst för Säkerhetspolisen och eventuellt även , endast är möjlig till det passagerarregister som genomför API-direktivet. Som har angetts tidigare är det vår bedömning att direktåtkomst inte bör få förekomma till de uppgifter som har överförts med stöd av PNR-direktivet. Även av denna anledning är det således av stor vikt att de API-uppgifter som samlas in enligt de bestämmelser som genomför API-direktivet inte sammanblandas med de API-uppgifter som samlas in med stöd av PNR-direktivet. För att säkerställa att användandet av uppgifterna från respek- tive inhämtning endast används på de sätt som direktiven medger krävs alltså en bra riggad organisation, god kunskap i dessa frågor hos befattningshavarna vid enheten för passagerarinformation och en närvarande rättslig kompetens. Vidare kommer en tät intern kontroll och extern tillsyn att vara nödvändig. I övrigt vill vi understryka att det ovan sagda handlar om rätts- liga gränser och begränsningar för behandlingen och användningen av de olika uppgiftsslagen inom enheten för passagerarinformation samt för vidareanvändningen av uppgifterna. De informations- tekniska systemen måste tekniskt och logiskt klara av att hantera de krav som ställs upp, särskilt i de bestämmelser som genomför PNR- direktivet. Så länge detta sker, är frågor om hur de informations- tekniska systemen anordnas eller fungerar inte något som bör bli föremål för författningsreglering. 15Enhetens överföring och utbyte av PNR-information Det är ett centralt syfte med PNR-direktivet att varje nationell enhet för passagerarinformation ska fungera som en nod vid vilken massan av PNR-uppgifter som lufttrafikföretagen överför tas emot, lagras och analyseras översiktligt. Endast sådan PNR-information som bedömts vara av intresse för att bekämpa terroristbrottslighet eller grov brottslighet ska därefter nå ut till behöriga myndigheter i det egna landet för vidare analys och åtgärder. Vidare är systemet upp- byggt så att de nationella enheterna ansvarar för det internationella utbytet av PNR-uppgifter. Direktivets reglering av under vilka för- utsättningar PNR-uppgifter ska eller får överföras – självmant eller på begäran – är omfattande och detaljerad. Reglerna gäller visavi samtliga behöriga mottagare av PNR-uppgifter från den nationella enheten, dvs. det egna landets behöriga myndigheter (artikel 7), andra medlemsstaters nationella enheter för passagerarinformation och myndigheter som har utsetts som behöriga i dessa stater (artikel 9) samt Europol (artikel 10). I detta avsnitt behandlas genomförandet av direktivet vad gäller den svenska enhetens överföring av PNR- uppgifter till dessa mottagare. I avsnitt 17 behandlas enhetens överföring av PNR-information till tredjeländer. Direktivets bestämmelser om utbyte mellan medlemsstaterna inne- bär även att den svenska enheten för passagerarinformation kommer att kunna begära och få ta emot PNR-information från andra med- lemsstater. I detta avsnitt behandlas även vidarebefordringen av sådan PNR-information och den reglering som vi bedömer behövs för att genomföra direktivet i dessa avseenden. Slutligen finns en bestämmelse som innebär att behöriga svenska myndigheter i undantagsfall kan vända sig direkt till andra medlems- Enhetens överföring och utbyte av PNR-information stater med en begäran om överföring av PNR-uppgifter. Den bes- tämmelsen kommer att behandlas i avsnitt 16.1. till behöriga nationella myndigheter Vårt förslag: En behörig myndighet definieras i lagen som en sådan av regeringen utsedd myndighet som har behörighet att behandla PNR-information i verksamhet för att förebygga, för- hindra, upptäcka, utreda eller lagföra terroristbrottslighet eller grov brottslighet. Av direktivets artikel 7.1 framgår att varje medlemsstat ska utse de myndigheter som ska vara behöriga att begära eller ta emot PNR- information från enheten för passagerarinformation. Dessa myndig- heter ska ansvara för den vidare granskningen av informationen samt för att vidta lämpliga åtgärder för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott eller grov brottslighet. De myn- digheter som utses ska därmed, som får anses framgå av artikel 7.2, vara sådana myndigheter som är behöriga att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller grov brotts- lighet. Varje medlemsstat ska enligt artikel 7.3 meddela kommissionen vilka myndigheter som har utsetts. Det ingår inte i vårt uppdrag att föreslå vilka myndigheter som ska anses behöriga enligt PNR-direktivet. Regeringen har utsett , , , Eko- brottsmyndigheten och Försvarsmakten som behöriga myndigheter. Utpekandet av de behöriga myndigheterna får enligt artikel 7.3 när som helst ändras. Ytterligare behöriga myndigheter kan således kom- ma att utses . Det är en lämplig ordning att regeringen avgör vilka brottsbekäm- pande myndigheter som ska vara behöriga enligt direktivet. Av vårt lagförslag bör emellertid framgå vilka myndigheter som regeringen Enhetens överföring och utbyte av PNR-information över huvud taget kan ge behörighet att begära eller ta emot PNR- uppgifter och som därmed är skyldiga att behandla dessa uppgifter på det sätt som anges i direktivet. Detta kan åstadkommas genom att det i lagen förs in en definition av begreppet behörig myndighet som inte räknar upp olika myndigheter men som avgränsar vad för slags myndighet som kan komma i fråga och hur den utses som be- hörig enligt direktivet. En definition av detta slag har den fördelen att den inte behöver ändras om nya myndigheter skulle utses som behöriga. Genom att definiera begreppet undviks också att en upp- räkning av de behöriga myndigheterna behöver införas i lagens olika bestämmelser. Enligt vårt förslag ska med en behörig myndighet avses en sådan av regeringen utsedd myndighet som har behörighet att behandla PNR-information i sin verksamhet med att förebygga, förhindra, upptäcka, utreda eller lagföra sådan terroristbrottslighet eller sådan grov brottslighet som omfattas av lagens definition av dessa begrepp. Endast en sådan av regering utsedd myndighet ska ha befogenhet att motta PNR-information från en enhet för passagerarinformation. Att det ska vara fråga om en svensk myndighet behöver inte särskilt anges. 15.2.2Överföring av PNR-information till behöriga myndigheter Vårt förslag: ska i enskilda fall lämna PNR-information till en eller flera behöriga myndig- heter för att 1.en vidare granskning ska ske av PNR-information rörande passagerare som valts ut vid enhetens förhandsbedömning, 2.besvara en motiverad begäran från en behörig myndighet om att tillhandahålla och behandla PNR-uppgifter för att före- bygga, förhindra, upptäcka, utreda eller lagföra terroristbrotts- lighet eller grov brottslighet och tillhandahålla resultaten av sådan behandling, eller Enhetens överföring och utbyte av PNR-information 3.vidarebefordra PNR-information som har mottagits från en motsvarande enhet i en annan medlemsstat. En befattningshavare vid enheten ska ha gjort en bedömning av PNR-informationen innan den lämnas från enheten. I vilka situationer ska PNR-information överföras till behöriga myndigheter? ska enligt direktivet föra vidare PNR-information till behöriga nationella myndigheter i tre olika situationer. För det första ska en överföring ske av resultatet av en sådan förhandsbedömning som görs av passagerare före deras be- räknade ankomst till eller avresa från (artikel 6.2 a och 6.6). För det andra ska PNR-information överföras för att besvara en för- frågan från en behörig myndighet (artikel 6.2 b). För det tredje ska enheten för passagerarinformation vidarebefordra sådan PNR-infor- mation som den har mottagit från andra medlemsstaters motsvaran- de enheter eftersom en sådan enhet vid en förhandsbedömning har ansett att informationen är intressant för vidare granskning i (artikel 9.1). Enheten kan dock även motta PNR-information från andra länders motsvarande enheter såsom svar på sådana frågor som vår enhet har ställt på uppdrag av en behörig myndighet (artikel 9.2). Det anges inte uttryckligen i direktivet vad enheten ska göra med denna in- formation. Det får dock förutsättas att denna PNR-information ska överföras till den behöriga myndighet som ursprungligen har ställt frågan via den svenska enheten. Enligt vår mening bör det i författning klargöras i vilka situatio- ner enheten för passagerarinformation får överföra PNR-information till behöriga myndigheter. Med hänsyn till den grundläggande be- tydelsen som en sådan bestämmelse har för integritetsskyddet bör bestämmelsen införas på lagnivå. Vilka närmare förutsättningar som ska vara uppfyllda och vilka närmare överväganden enheten ska göra inför en överföring av PNR-information till behöriga myndig- heter behandlas nedan. Enhetens överföring och utbyte av PNR-information Närmare förutsättningar för att en överföring ska få ske I artikel 6.5 och 6.6 finns närmare bestämmelser om hur enheten för passagerarinformation ska gå till väga när en träff har uppkom- mit i samband med en förhandsbedömning av passagerare. Av arti- kel 6.5 framgår att sådana träffar alltid ska granskas individuellt med icke-automatiska metoder för att det ska gå att verifiera huruvida en behörig myndighet behöver vidta åtgärder i anledning av infor- mationen. Alla träffar som uppkommer vid jämförelser med uppgifter i register eller andra uppgiftssamlingar eller vid behandling i enlighet med på förhand fastställda kriterier måste alltså alltid genomgå en granskning innan uppgifterna får användas vidare. Vid denna gransk- ning ska avgöras huruvida det finns anledning att agera vidare på uppgifterna. Om så är fallet ska enheten, enligt artikel 6.6, översända PNR-uppgifterna beträffande personer som har identifierats eller resultaten av behandlingen av dessa uppgifter, till behöriga myndig- heter i samma stat för vidare granskning. Överföring till en behörig myndighet får enligt bestämmelsen dock endast ske i enskilda fall och vid automatisk behandling av PNR-uppgifter, som angetts ovan, efter en individuell och icke-automatisk granskning. När enheten för passagerarinformation mottar uppgifter från en annan medlemsstats motsvarande enhet efter en förhandsbedömning vid den enheten ska, enligt artikel 9.1, bestämmelsen i artikel 6.6 tillämpas. Således får även i dessa fall en överföring av PNR-infor- mation till en behörig myndighet endast ske i enskilda fall och efter en individuell och icke-automatisk granskning av uppgifterna. Hur enheten ska gå till väga när den ska besvara en särskild för- frågan framgår indirekt av artikel 6.2 b. Enligt bestämmelsen ska en sådan förfrågan endast besvaras i enskilda fall. För att enheten ska behandla en begäran krävs vidare att den är vederbörligen motiverad.