prop · H503234 · 2018-04-19 00:00:00 — Av den nya lagen bör det framgå att enheten för passagerarinformation får behandla PNR-uppgifter för att kunna överföra PNR-information till samtliga mottagare som enligt direktivet är behöriga att motta sådan information. Detta kan lösas genom att det i lagen hänvisas till behöriga mottagare och tredjeland. De närmare förutsättningarna för när över- föring får ske bör dock inte framgå av ändamålsbestämmelsen utan i andra bestämmelser i lagen, vilka behandlas i avsnitt 10. Regeringens förslag: PNR-uppgifter ska få användas för att upp- datera eller skapa nya kriterier som ska användas vid förhands- bedömningar. Utredningens förslag överensstämmer i sak med regeringens förslag. Remissinstanserna har inga synpunkter på förslaget. Skälen för regeringens förslag: När enheten för passagerar- information utför förhandsbedömningar får den behandla PNR-uppgifter i enlighet med på förhand fastställda kriterier, se nedan i avsnitt 9.5.4. Dessa fastställda kriterier ska enligt artikel 6.4 i PNR-direktivet regel- bundet ses över av enheterna för passagerarinformation i samarbete med behöriga myndigheter. Av artikel 6.2 c i direktivet framgår att PNR- uppgifter som har samlats in från lufttrafikföretagen och finns lagrade i databasen vid enheten för passagerarinformation även får användas för att uppdatera och skapa nya kriterier som ska användas vid förhands- bedömningar i syfte att identifiera personer som kan vara delaktiga i terroristbrott eller grov brottslighet. Uppgifterna får således även använ- das för att uppdatera riskprofilerna eller skapa nya sådana. Det är därmed möjligt för enhetens personal att gå igenom de PNR-uppgifter som finns samlade i databasen för att leta efter mönster som kan indikera att personer kan vara av intresse för vidare kontroller. PNR-uppgifterna kan på detta sätt användas för att förbättra urvalet av de passagerare som kan komma att vara intressanta för vidare granskning. Även denna ändamåls- bestämmelse bör föras in i den nya lagen. Det bör av bestämmelsen framgå att PNR-uppgifter får analyseras för att uppdatera eller skapa nya kriterier som ska användas vid förhandsbedömningar. 9.5.4Tillåten behandling vid förhandsbedömningar Regeringens förslag: PNR-uppgifter ska vid förhandsbedömningar dels få jämföras med register eller andra uppgiftssamlingar, dels få behandlas enligt på förhand utformade och fastställda kriterier. Regeringens bedömning: Att kriterierna ska fastställas och regel- bundet ses över av enheten för passagerarinformation i samarbete med behöriga myndigheter bör regleras i förordning. Utredningens förslag och bedömning överensstämmer i sak med regeringens. Remissinstanserna: Datainspektionen anser att den föreslagna be- stämmelsen, mot bakgrund av bestämmelsen i 2 kap. 6 § regerings- formen och kravet på lagreglering för sådana myndighetsregister, är för allmänt hållen och att det bör specificeras i lag vilka slags register som uppgifterna i PNR-databasen ska kunna jämföras mot. Även Hovrätten för Nedre och anser att det bör tydliggöras vilka register eller andra uppgiftssamlingar som enheten för passagerarinformation ska ha tillgång till eller vilka jäm- förelser som får göras. Skälen för regeringens förslag och bedömning Jämförelser med register eller andra uppgiftssamlingar I artikel 6.3 i direktivet anges att enheten för passagerarinformation vid förhandsbedömningar får jämföra PNR-uppgifter dels med uppgifter i relevanta databaser, dels med på förhand fastställda kriterier. Direktivet anger inte vilka databaser som får användas vid förhandsbedömningarna. I artikel 6.3 a anges i stället att databaserna ska vara relevanta för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet och att det inkluderar databaser över personer eller föremål som är eftersökta eller finns uppförda på en spärrlista. jämförelserna ska göras i enlighet med unionsbestämmelser eller inter- nationella eller nationella bestämmelser som är tillämpliga på sådana databaser. Direktivet innehåller således en generell begränsning av vilka typer av uppgiftssamlingar PNR-uppgifterna kan jämföras med. Med- lemsstaterna får dock själva bestämma vilka databaser som ska användas. Artikeln är inte tvingande utan ger endast medlemsstaterna en möjlighet att söka mot relevanta databaser. kommer att få del av PNR-uppgifter från miljontals flygresor. För att enheten utifrån dessa uppgifter ska kunna välja ut personer som kan vara intressanta för vidare utredning bör den ha tillgång till vissa hjälpmedel. Regeringen anser att det är av stor vikt för PNR-uppgifternas användning att de kan jämföras med uppgifter i andra relevanta databaser. En bestämmelse motsvarande artikel 6.3 a i direktivet bör därför införas i den nya lagen. Utredningen har föreslagit att det av den nya lagen ska framgå att PNR-uppgifter vid förhandsbedömningar får jämföras med sådana regis- ter eller andra uppgiftssamlingar som är relevanta för direktivets syften, dvs. för att förebygga, förhindra, upptäcka, utreda eller lagföra terrorist- brottslighet eller grov brottslighet. Utredningen har dock inte ansett att det är nödvändigt att i den nya lagen reglera vilka register eller uppgifts- samlingar som PNR-uppgifterna får jämföras med. Datainspektionen har haft synpunkter på utredningens bedömning och anser att det av lagen bör framgå vilka register eller andra uppgiftssamlingar som PNR- uppgifterna ska kunna jämföras med, eller att regeringen bör bemyndigas att utifrån regleringen i lag närmare peka ut de särskilda register som ska kunna komma ifråga för jämförelse. Även Hovrätten för Nedre och har framfört att det bör tydliggöras vilka register som avses. Det kan bli aktuellt att jämföra PNR-uppgifter med både internationella och nationella databaser. Som exempel kan nämnas , där bl.a. efterlysta för brott registreras, databas över kända inter- nationella brottslingar och misstankeregistret. Vilka register och upp- giftssamlingar som finns kan dock variera . Regeringen delar därför utredningens uppfattning att det inte är lämpligt att i den nya lagen peka ut exakt med vilka register eller uppgiftssamlingar jämförelser ska få ske. Regeringen anser inte heller att det finns skäl att bemyndiga regeringen att peka ut specifika uppgiftssamlingar. Vilka jämförelser som är möjliga kommer, eftersom det inte föreslås någon särreglering i den nya lagen, att begränsas av vilken behandling som är tillåten enligt polisdatalagen och brottsdatalagen samt annan lagstiftning där Polis- myndighetens tillgång till registret eller uppgiftssamlingen regleras. Möjligheterna till jämförelse med register och andra uppgiftssamlingar bör dessutom, i enlighet med utredningens förslag, begränsas till register eller andra uppgiftssamlingar som är relevanta för direktivets syften, dvs. för att förebygga, förhindra, upptäcka, utreda eller lagföra terrorist- brottslighet eller annan allvarlig brottslighet. Eftersom de aktuella upp- giftssamlingarna normalt utgör register och inte databaser bör uttrycket ”register eller andra uppgiftssamlingar” användas i lagtexten i stället för databaser Jämförelser med på förhand fastställda kriterier Vid förhandsbedömningarna får enheten för passagerarinformation enligt artikel 6.3 b i PNR-direktivet även behandla PNR-uppgifter i enlighet med på förhand fastställda kriterier. Med detta avses vad som i polisiära sammanhang kallas för profilering. Med en profil menas en icke person- anknuten företeelse som kan avse uppgifter om t.ex. avreseort, resrutt, betalningssätt, bokningsrutin och bagage. Vissa mönster och beteenden i resandeflödet utgör riskprofiler som kan ge anledning att kontrollera en viss person. En analys av PNR-uppgifter kan exempelvis ge indikationer på de vanligaste rutterna för människohandel och narkotikahandel, vilket är information som sedan kan användas som bedömningskriterier. I artikel 6.4 i direktivet anges att förhandsbedömningen av passagerare i enlighet med på förhand fastställda kriterier ska utföras på ett icke- diskriminerande sätt. De på förhand fastställda kriterierna måste vara riktade, proportionella och specifika. Medlemsstaterna ska se till att kri- terierna fastställs och regelbundet ses över av enheterna för passagerar- information i samarbete med behöriga myndigheter. Dessa på förhand fastställda kriterier får dessutom under inga omständigheter vara base- rade på känsliga personuppgifter. Inte heller direktivets bestämmelse om de på förhand fastställda krite- rierna i artikel 6.3 b är tvingande. Det utgör således en frivillig möjlighet för medlemsstaterna att använda sig av profilering. Om en profilering sker ska dock bestämmelserna i artikel 6.4 vara uppfyllda. Möjligheten till profilering är enligt regeringens mening av sådan vikt för PNR- uppgifternas användning att det bör möjliggöras i lagen. Av lagen bör framgå att PNR-uppgifter får behandlas i enlighet med på förhand utfor- made och fastställda kriterier i samband med förhandsbedömningar av passagerare. Vidare bör det anges att dessa kriterier ska vara riktade, proportionella och avgränsade och inte grunda sig på känsliga person- uppgifter. Det kan i förordning eller myndighetsföreskrifter regleras att krite- rierna ska fastställas och regelbundet ses över av enheten för passagerar- information i samarbete med behöriga myndigheter. Behandling av PNR-information från andra Regeringens förslag: ska endast få behandla PNR-information som har mottagits från motsvarande enheter i andra medlemsstater i syfte att vidarebefordra den till be- Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna har inte några synpunkter på förslaget. Skälen för regeringens förslag: En enhet för passagerarinformation som vid en förhandsbedömning av passagerare har identifierat en person som är av intresse kan i vissa fall överföra informationen om personen inte bara till en myndighet som har utsetts till behörig i det egna landet, utan även till en motsvarande enhet i en annan medlemsstat. artikel 9.1 i direktivet och behandlas närmare i avsnitt 10.2.2. i kommer således inte bara att behandla PNR-uppgifter som har kommit in från lufttrafikföretagen till den egna databasen, utan kommer därutöver också att motta och be- handla PNR-information från andra medlemsstaters enheter för passa- gerarinformation. Enligt artikel 9.1 ska den mottagande enheten överföra de mottagna uppgifterna till sina behöriga myndigheter. kommer vidare att motta PNR-information från andra medlemsstaters enheter för passagerarinformation som svar på sådana förfrågningar som enheten har ställt till den andra enheten (artikel 9.2). Det framgår dock inte av direktivet vad enheten ska göra med denna information. Enligt regeringens bedömning bör enheten för passagerarinformation i dessa fall uppfattas som en förmedlare av PNR- information. PNR-information som har hämtats in med stöd av be- stämmelserna i lagen ska således inte bevaras hos enheten, i vart fall inte . Denna fråga behandlas vidare i avsnitt 9.8.1. PNR- information som mottagits från andra medlemsstater kan därmed inte användas för att enheten för passagerarinformation ska kunna verifiera sin egen databas eller finslipa sina kriterier etc. Den behandling som ska ske av PNR-information som har mottagits från andra medlemsstaters motsvarande enheter ska syfta till att uppgif- terna ska föras vidare till behöriga myndigheter för användning i verk- samhet för att förebygga, förhindra, upptäcka, utreda eller lagföra terro- ristbrottslighet eller annan allvarlig brottslighet. För det fall det kan kon- stateras att den mottagna informationen inte avser terroristbrottslighet eller annan allvarlig brottslighet får informationen inte sändas vidare till be- höriga myndigheter, se avsnitt 7.9. Hur enheten i övrigt ska gå till väga vid överlämnandet av PNR-information till behöriga myndigheter be- handlas i avsnitt 10.1. 9.6Tillgången till PNR-information bör begränsas Regeringens förslag: Bara den som tjänstgör vid enheten för passa- gerarinformation och den som fullgör uppgifter enligt lagen ska få tillgång till PNR-information som behandlas vid enheten. Tillgången till informationen ska begränsas till vad han eller hon behöver för att kunna fullgöra sina arbetsuppgifter. Regeringens bedömning: Närmare bestämmelser om tillgången till PNR-information bör meddelas i förordning eller myndighets- föreskrifter. Utredningens förslag och bedömning överensstämmer delvis med Utredningen föreslår inte att den som fullgör uppgifter enligt lagen ska få tillgång till PNR-information. Remissinstanserna har inga synpunkter på förslaget. Skälen för regeringens förslag och bedömning: Inom enheten för passagerarinformation kommer det att finnas personuppgifter om en- skilda som, för att PNR-direktivets krav på tillfredsställande integritets- skydd ska uppnås, inte bör vara allmänt tillgängliga inom Polismyndig- I 2 kap. 11 § polisdatalagen slås fast att tillgången till person- uppgifter inom ska begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. ska således organisera sin verksamhet på ett sådant sätt att obefogad spridning av personuppgifter motverkas. I bestämmelsens andra stycke finns en upplysning om att regeringen eller den myndighet som regeringen bestämmer har möjlighet att meddela närmare föreskrifter om förutsättningarna för tillgången till personuppgifter. Regeringen har i 3 § polisdataförordningen (2010:1155) föreskrivit att och Säkerhetspolisen får meddela närmare föreskrifter om tillgången till personuppgifter för sina respektive verksamhetsområden. Regleringen i polisdatalagen och polisdataförordningen skulle kunna anses vara tillräcklig för att begränsa tillgången till PNR-information till endast den som tjänstgör vid enheten för passagerarinformation. Regeringen anser emellertid att frågan om en begränsning av tillgången till PNR-information är av central betydelse för integritetsskyddet och att den bör regleras särskilt i den nya lagen. Dessutom kan även andra än de som arbetar vid enheten för passagerarinformation i vissa fall behöva ha tillgång till PNR-information som behandlas vid enheten, t.ex. den som ska pröva utlämnade av behörighetsbegränsade PNR-uppgifter i sin full- ständiga form. Av lagen bör därför framgå att även den som fullgör upp- gifter enligt lagen ska få tillgång till PNR-information som behandlas vid enheten. Det är också viktigt att det inte förekommer en onödigt bred åtkomst till PNR-informationen, alldeles oavsett om det är motiverat för verksam- hetens effektivitet och ändamålsenlighet eller inte. Det föreslås därför att det i den nya lagen också anges att tillgången till PNR-information ska begränsas till vad varje person behöver för att kunna fullgöra sina arbets- uppgifter. Närmare bestämmelser om tillgången, inom denna ram, bör dock kunna meddelas i förordning eller genom myndighetsföreskrifter. Regeringens förslag: Direktåtkomst till PNR-information som be- handlas vid enheten för passagerarinformation får inte medges. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: Försvarsmakten anser att det vore en fördel om myndigheten medges direktåtkomst till PNR-uppgifterna som behandlas vid enheten för passagerarinformation. Övriga myndigheter har inte ut- talat sig särskilt om förslaget. Skälen för regeringens förslag: Med direktåtkomst avses att en myn- dighet har getts direkt tillgång till någon annan myndighets register eller databas och på egen hand kan söka efter information, normalt utan att kunna påverka innehållet i registret eller databasen (se bl.a. prop. 2009/10:85 s. 168). I begreppet ligger också att den som är personupp- giftsansvarig för registret eller databasen inte har någon kontroll över vilka uppgifter som mottagaren vid ett visst söktillfälle tar del av. Försvarsmakten anser att det vore en fördel om de behöriga myndig- heterna kan medges direktåtkomst till PNR-uppgifterna hos enheten för Som har framgått ovan får PNR-uppgifterna enligt artikel 6 i direktivet endast behandlas för vissa särskilda ändamål. Av dessa följer att behöriga myndigheter ska få tillgång till PNR- information först efter att enheten för passagerarinformation har be- handlat och överfört uppgifterna. Det får därför anses strida mot direk- tivet att ge de behöriga myndigheterna direktåtkomst till de uppgifter som behandlas vid enheten. Polisdatalagen kommer att vara tillämplig vid enhetens behandling av PNR-uppgifter och andra personuppgifter i den utsträckning den nya lagen inte innehåller avvikande bestämmelser. Med tanke på att 3 kap. 8 § polisdatalagen föreskriver att direktåtkomst får medges vissa av de myndigheter som är behöriga myndigheter enligt PNR-direktivet, behövs en uttrycklig bestämmelse i den nya lagen som förbjuder direktåtkomst till den PNR-information som behandlas vid enheten. En bestämmelse som förbjuder direktåtkomst till PNR-informationen bör därför införas i den nya lagen. 9.8Tid som PNR-uppgifterna ska bevaras Regeringens förslag: PNR-uppgifter som behandlas vid enheten för passagerarinformation ska bevaras från det att de har kommit in från ett lufttrafikföretag. Därefter ska uppgifterna förstöras. Regeringens bedömning: Det bör regleras i förordning att viss dokumentation ska bevaras, att loggning ska utföras och att loggarna ska bevaras . Även hur länge resultatet av förhands- bedömningar ska få bevaras bör tas in i förordning. Utredningens förslag och bedömning överensstämmer i sak med regeringens. Remissinstanserna framför inte några synpunkter på förslaget. Skälen för regeringens förslag och bedömning Av skäl 25 i PNR-direktivet framgår att lagringstiden för PNR-uppgifter bör vara tillräckligt lång dels för att stå i proportion till ändamålen att be- kämpa terroristbrott och grov brottslighet, dels för att möjliggöra att PNR-uppgifterna kan användas i samband med analyser och utredningar. Med dessa utgångspunkter fastställs tiden för lagring av PNR-uppgifter som lämnas till enheten för passagerarinformation i artikel 12.1 i direk- tivet till . Vid utgången av femårsperioden ska medlemsstaterna, enligt artikel 12.4 i direktivet, se till att PNR-uppgifterna slutgiltigt raderas. PNR-uppgifterna ska således bevaras i en databas vid enheten för passagerarinformation , varken längre eller . I skäl 30 till direktivet anges att direktivet inte påverkar tillämpningen av nationell rätt om principen om allmänhetens tillgång till allmänna handlingar. Något bärande intresse av insyn i PNR-uppgifterna som kommer att lagras i databasen vid enheten för passagerarinformation bör inte finnas. Utifrån de intressen som bär upp handlingsoffentligheten bör därför inte en längre tids bevarande än den i direktivet angivna tids- gränsen föreslås. Av den nya lagen bör, utöver att PNR-uppgifterna som behandlas vid enheten för passagerarinformation ska bevaras efter det att upp- gifterna kommit in till enheten, även framgå att uppgifterna efter femårs- perioden ska förstöras. Bestämmelsen medför att uppgifter successivt måste förstöras. Skyldigheten att bevara viss dokumentation och loggning Av PNR-direktivets skäl 37 framgår att all behandling av PNR-uppgifter bör loggas eller dokumenteras i syfte att kontrollera att den är laglig och för att möjliggöra självövervakning och säkerställande av uppgifternas integritet och en säker behandling. Artikel 13.5 i direktivet behandlar frågan om bevarande av dokumentation. I bestämmelsen anges att enheten för passagerarinformation ska bevara dokumentation om alla system och förfaranden för uppgiftsbehandling inom dess ansvarsområde. Dokumenta- tionen ska minst innehålla –namn och kontaktuppgifter för den organisatoriska enhet och den personal vid enheten för passagerarinformation som anförtrotts be- handlingen av PNR-uppgifter och de olika nivåerna av åtkomst- behörighet, –begäran från behöriga myndigheter och enheter för passagerar- information i andra medlemsstater, och –begäran om och överföring av PNR-uppgifter till ett tredjeland. I bestämmelsen anges vidare att enheten för passagerarinformation på begäran ska göra all dokumentation tillgänglig för den nationella tillsyns- myndigheten. Av artikel 13.6 i direktivet framgår att medlemsstaterna ska se till att en- heten för passagerarinformation för loggar över behandling av PNR- uppgifter. Enligt bestämmelsen ska loggar föras över åtminstone insamling, läsning, utlämning och radering. Loggarna över läsning och utlämning ska särskilt visa ändamål, datum och tidpunkt för sådan behandling och i möjligaste mån identitetsuppgifter för den person som har läst eller lämnat ut PNR-uppgifterna samt identitetsuppgifter för de personer som har mot- tagit uppgifterna. Loggarna ska uteslutande användas för kontroll och själv- övervakning, för att säkerställa dataintegritet och datasäkerhet och för revision. ska på begäran göra loggarna tillgängliga för den nationella tillsynsmyndigheten. Av artikeln framgår vidare att loggarna ska bevaras . Enligt förslaget till brottsdatalag ska den personuppgiftsansvarige föra ett register över alla kategorier av verksamheter som den ansvarar för. Den information som ska bevaras är i många fall begränsad till kategorier av uppgifter. Enligt PNR-direktivet ska mer detaljerade uppgifter bevaras än de som anges i brottsdatalagen. Dessutom ska dokumentation bevaras om vissa faktiska enskilda behandlingar. Bestämmelser om bevarande av dokumentation behöver därför föras in i den nya regleringen. Vidare bör en bestämmelse som anger att ska se till att det utförs loggning över enheten för passagerarinformations personuppgiftsbe- Av bestämmelsen bör framgå att loggarna ska bevaras . Bestämmelserna kan tas in i förordning. Att dokumentationen och loggarna på begäran ska göras tillgängliga för tillsynsmyndigheten framgår av brottsdatalagen och behöver inte regleras särskilt i den nya lagen. Bevarande av resultatet av förhandsbedömningar Av artikel 12.5 i PNR-direktivet framgår att ett resultat från en förhands- bedömning av en passagerare endast får bevaras av enheten för passagerarinformation så länge som det krävs för att informera de behö- riga myndigheterna och enheterna för passagerarinformation i andra medlemsstater om träffen. Bestämmelsen skulle kunna tolkas som att en s.k. positiv träff från en förhandsbedömning bara får sparas tills den har sänts vidare till en eller flera behöriga myndigheter och eventuellt en enhet för passagerarinformation. Eftersom en behörig myndighet kan komma att återrapportera att även en annan behörig myndighet eller medlemsstat bör informeras om träffen bör dock en möjlighet finnas för enheten att behålla resultatet efter att en träff har skickats till en behörig myndighet för vidare granskning. Artikeln bör därför tolkas på så sätt att ett resultat ska förstöras så snart det inte längre behövs för att informera behöriga myndigheter och eventuellt andra medlemsstaters enheter för passagerarinformation om resultatet. Frågan kan regleras i förordning. Falska träffar får enligt artikel 12.5 andra meningen bevaras så länge de bakomliggande PNR-uppgifterna inte har raderats. Med en falsk träff avses resultatet av en förhandsbedömning som efter en individuell granskning inte bedöms behöva utredas närmare och därför inte har över- sänts till en behörig myndighet. Syftet med bestämmelsen är att undvika upprepning av samma felaktiga träff mot urvalskriterierna. Sparade upp- gifter om falska träffar kan nämligen medföra att oskyldiga personer inte blir kontrollerade på nytt vid en ny resa. De falska träffarna kan även användas för att förbättra urvalskriterierna. En reglering bör därför in- föras som innebär att falska träffar får bevaras som längst till dess att de bakomliggande PNR-uppgifterna har raderats, dvs. vid utgången av den femåriga bevarandetiden.