prop · H503234 · 2018-04-19 00:00:00 — anser att det är otydligt när uppgifter kan lämnas ut till Europol och undrar om inte enheten för passagerarinformation också ska kunna lämna ut PNR-information från förhandsbedömningar även utan en föregående begäran från Europol. Även Lagrådet anser att frågan Som framgått ovan finns redan en uppgiftsskyldighet För att tydliggöra att enheten för passagerar- information, utöver överföring av information på begäran, även ska kunna överföra PNR-information till Europol utan en föregående begäran bör det dock framgå av lagen att enheten för passagerarinformation även får överföra PNR-information till Europol för vidare granskning där av PNR-information beträffande passagerare som har valts ut vid en för- handsbedömning. På samma sätt som vid överföring till andra behöriga mottagare ska en person som tjänstgör vid enheten för passagerar- information före överföringen bedöma om PNR-informationen är relevant för vidare granskning av Europol. Vid bedömningen ska eventuell information om personer som kan avfärdas som ointressanta för vidare granskning rensas bort. Hur uppgifterna får behandlas av Europol och hur en eventuell vidarebefordran av uppgifter därifrån får gå till samt dataskyddsfrågor som har med detta att göra regleras av Europol- förordningen. I artikel 10 anges inte närmare i vilken form de efterfrågade upp- gifterna ska tillhandahållas. För det fall de begärda PNR-uppgifterna är äldre än kommer de uppgifter som kan användas för att identifiera passagerare att vara behörighetsbegränsade. För att utlämnande av fullständiga uppgifter i sådant fall ska få ske krävs att de förutsättningar som anges i artikel 12.3 är uppfyllda. Det finns inte något undantag i den bestämmelsen för det fall uppgifterna ska tillhanda- hållas Europol. Bestämmelsen är därför tillämplig även på sådana upp- gifter som ska överföras dit. Denna fråga behandlas närmare i av- snitt 10.5. Regeringens förslag: Tredjeland ska definieras som en stat som inte är en medlemsstat. Utredningens förslag överensstämmer med regeringens. Remissinstanserna har inga synpunkter på förslaget. Skälen för regeringens förslag: PNR-direktivet innehåller inte någon definition av tredjeland. Med tredjeland avses i EU-sammanhang vanligtvis ett land som inte är medlem i unionen. Som har angetts är dock inte bundet av PNR-direktivet. En definition av begreppet tredjeland är därför nödvändig i den nya lagen. Utgångspunkten för en sådan definition bör vara hur begreppet medlemsstat definieras. Som framgått av avsnitt 10.2.1 föreslås att en medlemsstat ska definieras som en stat som är medlem i EU och har antagit direktivet. Stater som inte är medlemsstater enligt direktivet ska betraktas som tredjeländer. Definitionen av tredjeland bör därför vara en stat som inte är en medlemsstat. 10.4.2Förutsättningar för överföring till tredjeland Regeringens förslag: får besvara en begäran och överföra PNR-information till en myndighet i ett tredjeland som är behörig att bedriva verksamhet för att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller annan allvarlig brottslighet under förutsättning att –överföringen omfattas av ett beslut om adekvat skyddsnivå, till- räckliga skyddsåtgärder eller ett undantag för särskilda situationer enligt brottsdatalagen, –överföringen är nödvändig för att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller annan allvarlig brotts- lighet, och –tredjelandet har godtagit att uppgifterna får vidareöverföras till ett annat tredjeland endast om det är absolut nödvändigt för att före- bygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller annan allvarlig brottslighet och efter det att ett uttryckligt medgivande till vidareöverföringen har inhämtats från enheten för passagerarinformation. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: efterfrågar dels ett förtydli- gande av om uppgifter endast kan lämnas ut till tredjeland i de fall den påstådda brottsligheten omfattas av direktivets definitioner av terrorist- brottslighet eller annan allvarlig brottslighet, dels en närmare analys av hur en sådan prövning i sådana fall ska gå till i praktiken. anser att bestämmelsen kan formuleras på ett enklare sätt. Övriga remissinstanser har inga synpunkter på förslaget. Skälen för regeringens förslag Förutsättningar för överföring till tredjeland Överföringar från enheten för passagerarinformation till tredjeland be- handlas i artikel 11 i PNR-direktivet. Av artikel 11.1 framgår att en med- lemsstat får överföra PNR-uppgifter och resultatet av behandling av sådana uppgifter som lagras av enheten för passagerarinformation till ett tredjeland efter en bedömning i det enskilda fallet och endast under förut- sättning att –de villkor som fastställs i artikel 13 i rambeslut /977/RIF (data- skyddsrambeslutet) är uppfyllda, –överföringen är nödvändig för direktivets syften enligt artikel 1.2, dvs. för att förebygga, förhindra, upptäcka, utreda och lagföra terro- ristbrott och grov brottslighet, –det berörda tredjelandet godtar att överföra uppgifterna till ett annat tredjeland endast om det är strikt nödvändigt för direktivets ändamål enligt artikel 1.2 och endast efter uttryckligt samtycke av medlems- staten, och –samma villkor för överföring till en annan medlemsstat som anges i artikel 9.2 är uppfyllda. Överföring får bara ske till en behörig myndighet Enligt artikel 11.3 i PNR-direktivet får överföringar endast ske till en be- hörig myndighet i tredjeland. Det är således enligt direktivet inte möjligt att överföra PNR-information till internationella organisationer, vilket är möjligt enligt den föreslagna brottsdatalagen. Med en behörig myndighet avses i brottsdatalagen en myndighet som har till uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder eller upprätthålla allmän ordning och säkerhet, när den behandlar personuppgifter för ett sådant syfte (1 kap. 6 §). Med en behörig myndighet enligt PNR-direktivet bör dock i det här sammanhanget avses en myndighet som i tredjelandet är behörig att bedriva verksamhet för att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller annan allvarlig brottslighet. Det bör av den nya lagen framgå att överföringar endast får ske till en sådan myndighet i ett tredjeland. Grundläggande villkor ska vara uppfyllda PNR-direktivet innehåller inte några grundläggande bestämmelser med allmänna principer för överföring av personuppgifter till tredjeland. I stället anges i artikel 11.1 a i direktivet att en överföring får ske till ett tredjeland bl.a. om de villkor som fastställs i artikel 13 i dataskydds- rambeslutet är uppfyllda. Dataskyddsrambeslutet upphävs emellertid i samband med genomförandet av det nya dataskyddsdirektivet. PNR- direktivets hänvisningar till dataskyddsrambeslutet får därför läsas som hänvisningar till det nya dataskyddsdirektivet. Bestämmelser om överföring till tredjeland i det nya dataskydds- direktivet föreslås genomföras i brottsdatalagen och tillhörande förord- ning. Brottsdatalagen innehåller således de grundläggande bestämmel- serna för överföring av personuppgifter till tredjeland inom det brotts- bekämpande området. De grundläggande förutsättningarna framgår av 8 kap. 1 § första stycket 3 brottsdatalagen. Bestämmelsen hänvisar till 3, 4 och 5 §§ i samma kapitel, som anger att överföringen ska omfattas av ett beslut om adekvat skyddsnivå, av tillräckliga skyddsåtgärder eller av ett undantag för särskilda situationer för att uppgifterna ska få överföras till ett tredjeland. Dessa bestämmelser är alltså tillämpliga även vid överföring av PNR-information. För att tydliggöra det bör i den nya lagen göras en hänvisning till 8 kap. 1 § första stycket 3 brottsdatalagen. Av bestämmelsen bör uttryckligen framgå att överföringen ska omfattas av ett beslut om adekvat skyddsnivå, tillräckliga skyddsåtgärder eller ett undantag för särskilda situationer. Det framgår därmed tydligare vilka grundläggande villkor som ska vara uppfyllda för att en överföring ska få ske, vilket tillmötesgår syn- punkt om att bestämmelsen kan formuleras på ett enklare sätt. Överföringen ska vara nödvändig för direktivets syften Av artikel 11.1 b i PNR-direktivet framgår att en överföring av PNR- information till tredjeland endast får ske om det är nödvändigt för direk- tivets syften enligt artikel 1.2. Således krävs att en överföring till tredje- land är nödvändig för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott eller grov brottslighet. Uppgifter kan således endast lämnas ut till ett tredjeland i de fall brottsligheten omfattas av direktivets definitioner av grov brottslighet eller terroristbrottslighet. Bestämmelsen kommer att bli tillämplig i stället för bestämmelsen i 8 kap. 1 § 1 brotts- datalagen enligt vilken mer allmängiltiga ändamål ska vara uppfyllda för att en överföring ska få ske. har efterfrågat ett förtydligande av hur prövningen av om brottsligheten omfattas av direktivets syften ska gå till. får i dessa fall, utifrån begäran från tredje- landet, göra en bedömning av om överföringen är nödvändig för att före- bygga, förhindra, upptäcka, utreda och lagföra terroristbrottslighet eller annan allvarlig brottslighet. Hur en sådan bedömning ska gå till får av- göras från fall till fall. I sammanhanget kan konstateras att bestämmelsen inte innebär en skyldighet att lämna ut PNR-information till ett tredje- land. När det gäller tredjeland så finns inte någon förteckning över vilka myndigheter som är behöriga, på samma sätt som för behöriga myndig- heter i medlemsstater (jfr artikel 7.1 i PNR-direktivet). får därför göra en bedömning i det enskilda fallet om den begärande myndigheten i det tredjelandet är behörig att bedriva verksamhet för att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller annan allvarlig brottslighet. Villkor för vidareöverföring från ett tredjeland Artikel 11.1 c i PNR-direktivet behandlar frågan om vidareöverföring från ett tredjeland till ett annat tredjeland. Enligt bestämmelsen ska ett tredjeland som vill motta PNR-information godta att de överförda upp- gifterna endast får föras vidare till ett annat tredjeland om det är strikt nödvändigt för PNR-direktivets ändamål och efter uttryckligt samtycke av medlemsstaten. I brottsdatalagen finns inga motsvarande krav för att en överföring ska få ske till tredjeland. En bestämmelse som motsvarar artikel 11.1 c i PNR-direktivet bör därför införas i den nya lagen. Medgivandet bör enligt regeringen lämnas av enheten för passagerar- information. Förutsättningarna för överföring till en annan medlemsstat ska vara uppfyllda Enligt artikel 11.1 d i PNR-direktivet ska även de villkor som fastställs i artikel 9.2 vara uppfyllda vid en överföring av PNR-information till ett tredjeland. Bestämmelsen bör tolkas på så sätt att det krävs att tredje- landet motiverar sin begäran och att förutsättningarna för att överföra fullständiga PNR-uppgifter efter att de har behörighetsbegränsats enligt artikel 9.2 är uppfyllda. Det innebär att om överföringen avser PNR- uppgifter som är äldre än och därmed är behörighets- begränsade, får fullständiga PNR-uppgifter endast överföras om även de bestämmelser som genomför artikel 12.3 är uppfyllda, se avsnitt 10.5. Utredningen har föreslagit att det i den nu aktuella bestämmelsen ska göras en hänvisning till bestämmelsen om överföring av fullständiga uppgifter som har varit behörighetsbegränsade. Den bestämmelsen omfattar överföring till tredjeländer och regeringen anser inte att en sådan hänvisning är nödvändig. 10.4.3Användningsbegränsningar för PNR-information som överförts till tredjeland Regeringens förslag: I syfte att säkerställa att PNR-information inte används i strid med PNR-direktivet ska enheten för passagerar- information vid överföring av PNR-information till ett tredjeland ställa upp villkor som begränsar möjligheten att använda informa- tionen i strid med lagens syften. Regeringens bedömning: Närmare bestämmelser om sådana villkor och att dataskyddsombudet vid enheten för passagerar- information ska informeras om varje överföring av PNR-information till tredjeland bör regleras i förordning eller myndighetsföreskrifter. Utredningens bedömning överensstämmer delvis med regeringens förslag och bedömning. Utredningen föreslår att bestämmelsen som gäller villkor om användningsbegränsningar ska tas in i förordning. Remissinstanserna: anser att det inte finns till- räckliga garantier för att PNR-uppgifterna inte kommer att användas för andra ändamål än de som anges i lagförslaget och att det finns anledning att vara observant på hur uppgifterna kommer att behandlas utomlands. Övriga remissinstanser har inga synpunkter på bedömningen. Skälen för regeringens förslag och bedömning: Enligt artikel 11.3 i PNR-direktivet ska medlemsstaterna säkerställa att PNR-information översänds enligt PNR-direktivets bestämmelser om överföring till tredje- länder och att den överförda informationen är planerad att användas i överensstämmelse med direktivets syften och begränsningar. Vid en överföring till ett tredjeland fordras således att enheten för passagerar- information försäkrar sig om att den planerade användningen av informa- tionen inte kommer att strida mot lagens grundläggande bestämmelser, framför allt att informationen bara används för att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller annan allvarlig brottslighet. I 8 kap. 10 § brottsdatalagen anges att en svensk behörig myndighet får ställa upp villkor som begränsar mottagarens möjlighet att använda över- förda uppgifter. Det är dock inte obligatoriskt för en myndighet att ställa villkor. Enligt regeringens mening bör det, för ett korrekt genomförande av artikel 11.3 i PNR-direktivet, vara obligatoriskt för enheten att ställa upp villkor om användningsbegränsningar. En bestämmelse som anger att enheten för passagerarinformation vid överföring av PNR-information till ett tredjeland ska ställa upp villkor som begränsar möjligheten att använda informationen i strid med lagens syften bör därför införas. På detta sätt säkerställs, så långt som möjligt, att PNR-uppgifterna inte an- vänds för andra ändamål än de som anges i lagförslaget, vilket påpekat att det inte finns tillräckliga garantier för. Bestämmel- sen bör enligt regeringens mening tas in i lag. De närmare villkoren, som t.ex. kan avse för vilket eller vilka specifika syften den överförda infor- mationen får behandlas av mottagarlandet, begränsning av spridningen inom landet eller myndigheten samt under vilka förutsättningar informa- tionen får överföras vidare, kan regleras i förordning. Enligt artikel 11.4 i PNR-direktivet ska dataskyddsombudet vid en- heten för passagerarinformation informeras om varje överföring till tredjeland. Även detta kan regleras i förordning. 10.4.4Överföring av PNR-information som enheten har fått från en annan medlemsstat Regeringens förslag: Om enheten för passagerarinformation har fått PNR-information från en annan medlemsstat krävs enligt brottsdata- lagen ett medgivande från medlemsstaten till överföringen av informa- tionen. Om ett medgivande till överföringen på grund av tidsbrist inte kan inhämtas i förväg ska informationen ändå få överföras om det är absolut nödvändigt för att avvärja en specifik och faktisk fara med anknytning till terroristbrottslighet eller annan allvarlig brottslighet. Regeringens bedömning: En bestämmelse om att enheten för passagerarinformation utan dröjsmål ska informera den andra med- lemsstaten om att PNR-information har överförts till ett tredjeland utan förhandsmedgivande bör tas in i förordning. Det bör också regleras i förordning att en efterhandskontroll av överföringen ska utföras av dataskyddsombudet vid enheten för passagerarinformation. Utredningens förslag och bedömning överensstämmer i sak med regeringens. Remissinstanserna har inga synpunkter. Skälen för regeringens förslag och bedömning: I artikel 11.2 i PNR- direktivet regleras behandling av PNR-information som enheten för passagerarinformation har fått från andra medlemsstater. För att över- föring av sådan PNR-information ska få ske utan samtycke från medlemsstaten krävs enligt artikeln att överföringen är absolut nödvän- dig för att reagera på ett specifikt och faktiskt hot med anknytning till terroristbrott eller grov brottslighet i en medlemsstat eller ett tredjeland och att ett förhandssamtycke inte kan erhållas . Den myndighet som ansvarar för att ge samtycke i den ursprungliga medlemsstaten ska informeras utan dröjsmål och överföringen ska registreras och genomgå en efterhandskontroll. Enligt den föreslagna bestämmelsen i 8 kap. 2 § första stycket brotts- datalagen får personuppgifter som en svensk myndighet har fått från en annan medlemsstat överföras till ett tredjeland endast om den medlems- stat som har lämnat personuppgifterna har medgett att de överförs till tredjeland. Bestämmelsen är tillämplig även när enheten för passagerar- information överför PNR-uppgifter, vilket av tydlighetsskäl bör framgå av den nya lagen. I 8 kap. 2 § andra stycket brottsdatalagen finns ett undantag från denna huvudregel. Eftersom undantaget i artikel 11.2 i PNR-direktivet är snävare än undantaget i brottsdatalagen bör en be- stämmelse föras in i den nya lagen som ska gälla i stället för undantaget i brottsdatalagen. För att underlätta för tillämparen bör bestämmelsen genomföras på liknande sätt som den angivna bestämmelsen i brottsdata- lagen. Således bör det i den nya lagen anges att det krävs ett medgivande till överföringen enligt 8 kap. 2 § första stycket brottsdatalagen om enheten har fått informationen från en annan medlemsstat och att en överföring utan förhandsmedgivande endast får ske om det är absolut nödvändigt för att avvärja en specifik och faktisk fara med anknytning till terroristbrottslighet eller annan allvarlig brottslighet. Med uttrycket absolut nödvändigt markeras att undantaget ska tillämpas restriktivt och att det därmed kan bli fråga om överföring utan förhandssamtycke endast i undantagsfall. Bestämmelsen skulle exempelvis kunna tillämpas om överföringen är nödvändig för att avvärja ett terroristattentat i en medlemsstat eller ett tredjeland. Att faran inte förverkligas behöver dock inte innebära att överföringen har varit otillåten. Bedömningen måste göras med hänsyn till vad som är känt när prövningen görs. Enligt andra stycket i artikel 11.2 i PNR-direktivet ska den myndighet som ansvarar för att ge samtycke informeras om överföringen utan dröjsmål. En motsvarande bestämmelse bör tas in i förordning. Vidare ska enligt artikel 11.2 överföringar utan samtycke registreras och genomgå efterhandskontroll. Att överföringar till tredjeländer ska registreras anges även i artikel 13.5 c. Frågan har behandlats i samband med förslaget till genomförande av den artikeln, se avsnitt 9.8.1. Att dataskyddsombudet ska utföra en efterhandskontroll bör regleras i förordning. 10.5Överföring av behörighetsbegränsade PNR- uppgifter i sin fullständiga form 10.5.1När får PNR-uppgifter som är behörighets- begränsade överföras i sin fullständiga form? Regeringens förslag: PNR-uppgifter som har bevarats vid enheten för passagerarinformation och därför är behörig- hetsbegränsade får endast överföras i sin fullständiga form om det rimligen kan antas vara nödvändigt för att förebygga, förhindra, upp- täcka, utreda eller lagföra terroristbrottslighet eller annan allvarlig brottslighet. För överföring krävs tillstånd. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: Försvarsmakten anser att förfarandet är kom- plicerat och kan innebära fördröjning och anser att tillståndsprocessen bör ses över så att behöriga myndigheter får möjlighet att bedriva sitt arbete på ett effektivt och proaktivt sätt. Övriga remissinstanser har inga synpunkter på förslaget. Skälen för regeringens förslag Särskilda förutsättningar för överföring Enligt PNR-direktivets artikel 12.2 ska PNR-uppgifter vid enheten för passagerarinformation avidentifieras genom maskering efter en inledande sexmånadersperiod. Uppgifter som har bevarats vid enheten för passa- gerarinformation kommer därför att vara avidenti- fierade på ett sådant sätt att uppgifter som identifierar en person görs otillgängliga för användare som saknar särskild behörighet. kommer alltså att vara behörighetsbegränsade. Om någon som enligt direktivet har rätt att få ta del av PNR-uppgifter begär tillgång till upp- gifter kommer därmed, om uppgifterna är mer än , avidentifierade uppgifter att lämnas ut. Fullständiga PNR-uppgifter kan dock i vissa fall lämnas ut även efter den inledande sexmånaders- perioden. I artikel 12.3 anges att utlämnande av fullständiga PNR-uppgifter endast ska tillåtas efter utgången av om två förut- sättningar är uppfyllda. För det första ska ett utlämnande rimligen kunna antas vara nödvändigt för de ändamål som anges i artikel 6.2 b. Det innebär enligt regeringens mening att en motiverad begäran har ställts till enheten och att enheten har funnit att en överföring kan ske enligt bestämmelserna i 4 kap. 1– 9 §§ och att enheten har funnit att det rimligen kan antas vara nödvändigt att mottagaren får tillgång till fullständiga uppgifter, och inte bara behörighetsbegränsade PNR-uppgifter, för att förebygga, förhindra, upp- täcka, utreda eller lagföra terroristbrottslighet eller annan allvarlig brotts- lighet. För det andra krävs tillstånd från en rättslig myndighet alternativt en annan nationell myndighet som i enlighet med nationell rätt är behörig att kontrollera om villkoren för tillgång är uppfyllda. En sådan nationell myndighet får dock bara ge tillstånd under förutsättning att dataskydds- ombudet vid enheten för passagerarinformation informeras och genomför en efterhandsutvärdering. Regeringen har förståelse för Försvarsmaktens synpunkt att förfarandet med behörighetsbegränsning kan innebära fördröjning och därmed för- svåra för myndigheterna att arbeta effektivt och på ett proaktivt sätt när det gäller uppgifter som är äldre än . Bestämmelsen har dock en central funktion för integritetsskyddet i PNR-direktivet och måste genomföras av medlemsstaterna. Bestämmelsen är generellt formulerad och det framgår inte att den endast är tillämplig vid överföring till någon särskild mottagare. Att bestämmelsen är tillämplig på andra medlemsstaters enheter för passagerarinformation och behöriga myndigheter framgår av artiklarna 9.2 sista meningen och 9.3. I artikel 11.1 d framgår att samma villkor också gäller vid överföring till ett tredjeland. Av den nya lagen bör därför framgå att bestämmelsen är tillämplig på samtliga behöriga mottagare och tredjeländer. Det bör vidare framgå att det krävs tillstånd för över- föring av behörighetsbegränsade PNR-uppgifter i sin fullständiga form. Vilka som föreslås lämna detta tillstånd framgår nedan. 10.5.2Vem ska lämna tillstånd till att få ta del av fullständiga PNR-uppgifter? Regeringens förslag: Om en förundersökning pågår ska en begäran från en behörig myndighet om att få tillgång till fullständiga PNR- uppgifter ha beslutats av åklagare. I andra fall ska tillstånd till över- föringen lämnas av Regeringens bedömning: Närmare bestämmelser om att Polis- myndigheten ska informera dataskyddsombudet vid enheten för passagerarinformation om att myndigheten har beslutat att överföra behörighetsbegränsade PNR-uppgifter i sin fullständiga form och att dataskyddsombudet i efterhand ska göra en utvärdering av över- föringen bör regleras i förordning. Utredningens förslag och bedömning överensstämmer i huvudsak med regeringens. Utredningen föreslår bestämmelser i lag som reglerar möjligheten till delegation. Remissinstanserna: anser att en domstol eller oberoende förvaltningsmyndighet bör pröva frågor om överföring av fullständiga PNR-uppgifter som är behörighets- begränsade i stället för .