prop · H503234 · 2018-04-19 00:00:00 — Detsamma ska gälla om en positiv träff sänts vidare till behöriga myndigheter men dessa hinner återrapportera att träffarna inte föranlett vidare misstankar innan träffarna har hunnit raderas av enheten för passagerarinformation. Även denna fråga kan regleras i förordning. PNR-direktivet innehåller inga uttryckliga bestämmelser om hur länge PNR-information som har översänts från andra medlemsstaters enheter för passagerarinformation till vår motsvarande enhet får bevaras. Som har angetts tidigare får enheten för passagerarinformation i dessa fall ses som en förmedlare av PNR-information. Den PNR-information som överförs till enheten från andra medlemsstaters motsvarande enheter ska således sändas vidare till de behöriga myndigheterna för att användas där, se avsnitt 9.5.5. Tanken är alltså inte att dessa uppgifter ska bevaras hos enheten. De PNR-uppgifter som har översänts till vår nationella enhet för passagerarinformation från andra medlemsstaters motsvarande enheter kan således inte anses omfattas av de lagringsbestämmelser som finns i artikel 12. Enligt regeringens mening bör det därför regleras i förordning hur länge PNR-information som har översänts från andra med- lemsstater till enheten för passagerarinformation får bevaras. PNR-uppgifter som inte omfattas av lagen eller som utgör känsliga personuppgifter ska Regeringens förslag: PNR-uppgifter som inte anges i bilagan till lagen eller som utgör känsliga personuppgifter ska för- störas om de kommer in till enheten för passagerarinformation. Utredningens förslag överensstämmer delvis med regeringens. ningen föreslår att förstöring av PNR-uppgifter som inte omfattas av lagen ska regleras i förordning. Remissinstanserna: framhåller att det saknas såväl reella som realistiska möjligheter att efterleva förbudet mot behandling av känsliga personuppgifter, dels utifrån den stora mängd uppgifter som kommer att översändas till enheten, dels med anledning av svårigheterna att identifiera vad som är känsliga personuppgifter. framhåller vidare att myndighetens kostnadsansvar för behandling av känsliga personuppgifter kan bli mycket stort eftersom enskilda enligt lagförslaget har rätt till radering, rättelse och skadestånd samt att till- synsmyndigheten föreslås få rätt att ta ut sanktionsavgifter vid be- handling av känsliga personuppgifter. Även Hovrätten för Nedre ser att det kan uppstå problem med hur kravet på omedelbar radering av känsliga personuppgifter ska efterlevas. betonar vikten av en noggrann granskning av uppgifterna som ingår i allmänna anmärkningar i punkten 12 i bilagan till lagen för att inte käns- liga personuppgifter ska behandlas av misstag. Skälen för regeringens förslag: Av artikel 6.1 i PNR-direktivet fram- går att enheten för passagerarinformation ska radera över- förda uppgifter som avser andra uppgifter än de som framgår av direk- tivets bilaga 1. Som framgått tidigare finns det även i artikel 13.4 i direk- tivet ett förbud mot behandling av PNR-uppgifter som avslöjar en persons ras eller etniska ursprung, politiska åsikter, religion eller filo- sofiska övertygelse, fackföreningstillhörighet, hälsotillstånd, sexualliv eller sexuella läggning. En bestämmelse med denna innebörd har före- slagits i den nya lagens inledande bestämmelser, se avsnitt 7.10. heten för passagerarinformation mottar sådana känsliga PNR-uppgifter ska uppgifterna enligt samma artikel raderas. inte några närmare anvisningar kring hur raderingen ska gå till. således upp till varje medlemsstat att finna lämpliga lösningar för att uppfylla denna skyldighet. Förutom när det gäller överföring av känsliga personuppgifter finns det inget förbud mot att lufttrafikföretagen överför andra PNR-uppgifter än de som framgår av bilagan till lagen. kan därför komma att motta andra PNR-uppgifter än de som ska över- föras enligt den nya lagen. Trots att det finns ett förbud mot behandling av känsliga personuppgifter går det inte heller att utesluta att känsliga personuppgifter kan komma att överföras till enheten för passagerar- information. Känsliga personuppgifter kan t.ex. förekomma i de all- männa anmärkningarna enligt punkten 12 i bilagan till lagen, som är ett fritextfält för kommunikation mellan t.ex. resebokare och flyg- bolagspersonal. Det kan här finnas uppgifter om t.ex. specialkost, behov av assistans, medicinska behov och andra hälsouppgifter. En lösning för att minimera risken att känsliga personuppgifter överförs till enheten för passagerarinformation hade kunnat vara att inte ålägga lufttrafikföretagen att överföra uppgifter enligt punkten 12 i bilagan till direktivet. Uppgifter som enligt direktivet ska överföras av lufttrafikföretagen skulle dock därmed helt tas bort. En sådan lösning kan därför inte anses vara förenlig med direktivet. Regeringen har förståelse för bl.a. uppfattning att det kan vara svårt att i den stora mängd uppgifter som kommer in till enheten för passagerarinformation sortera ut eventuella känsliga person- uppgifter. Direktivets bestämmelser om radering av känsliga personupp- gifter samt de uppgifter som inte omfattas av bilagan till direktivet måste dock genomföras i den nya regleringen. Det innebär att de tekniska lös- ningar som tas fram måste utformas så att enheten för passagerar- information på bästa sätt kan tillgodose direktivet och dess krav på rade- ring. Som Justitiekanslern har anfört är det viktigt att undvika att käns- liga personuppgifter överförs till enheten för passagerarinformation. Till skillnad från utredningen anser regeringen att såväl skyldigheten att för- störa känsliga personuppgifter som andra uppgifter som inte omfattas av lagen bör regleras i lag. 9.9Behörighetsbegränsning av vissa PNR- uppgifter Regeringens förslag: Vissa PNR-uppgifter som kan användas för att direkt identifiera en person ska behörighetsbegränsas efter mottagandet från lufttrafikföretagen. Begreppet behörighets- begränsade PNR-uppgifter ska definieras. Regeringens bedömning: Det bör i förordning införas bestämmel- ser som begränsar tillgången till behörighetsbegränsade uppgifter. Utredningens förslag och bedömning överensstämmer i huvudsak med regeringens. Utredningen föreslår att avidentifieringen av upp- gifterna benämns maskering och att begreppen maskering, maskerade och avmaskerade PNR-uppgifter definieras i lagen. Remissinstanserna: anser att bestämmelserna om maskering kan förtydligas. Datainspektionen efterfrågar ett förtydligande gällande offentlighetsprincipen och förhållandet till uppgifter som har maskerats men fortfarande finns lagrade hos enheten för passagerar- information. Övriga remissinstanser har inga synpunkter på förslaget. Skälen för regeringens förslag och bedömning: Enligt direktivets artikel 12.2 ska PNR-uppgifterna i PNR-databasen avidentifieras genom maskering efter en inledande sexmånadersperiod. Det innebär, enligt direktivets definition i artikel 3.10, att de uppgifter som kan användas för att identifiera den registrerade görs osynliga för användare. Syftet med maskeringen är enligt direktivets skäl 25 att en oproportioner- lig användning av uppgifterna ska undvikas. De uppgifter som ska avidentifieras är enligt arti- kel 12.2: –namn, inklusive namn på andra passagerare i PNR samt antal passa- gerare i PNR som reser tillsammans, –adress och kontaktuppgifter, –alla former av betalningsinformation, inbegripet faktureringsadress om denna innehåller uppgift som kan användas för att identifiera den passagerare som passageraruppgiftssamlingar avser eller andra personer, –uppgifter om bonusprogram, –allmänna anmärkningar, om dessa innehåller uppgifter som kan an- vändas för att identifiera den passagerare som per- sonuppgiftssamlingar avser, och –alla API-uppgifter som samlats in. Artikel 12.2 bör genomföras genom en motsvarande bestämmelse i den nya lagen. I den svenska översättningen av direktivet används begreppet avidentifiering genom maskering för att beskriva att uppgifterna görs osynliga för användaren. Eftersom uppgifterna under vissa förut- sättningar ska kunna tas fram igen är inte tanken att kopplingen mellan PNR-uppgifterna och den fysiska personen ska brytas. Med avidenti- fiering avses i andra sammanhang att kopplingen mellan uppgifterna och en fysik person har raderats. Begreppet avidentifiering bör därför inte an- vändas i författningstexten. Utredningen har föreslagit att begreppet maskering ska användas. Regeringen anser dock att begreppet behörig- hetsbegränsade personuppgifter i stället bör användas eftersom begreppet på ett bra sätt avspeglar att uppgifterna fortfarande finns kvar i databasen men är otillgängliga för en användare som saknar särskild behörighet till uppgifterna. Bestämmelsen blir därmed tydligare, vilket har efterfrågats av . Av lagen bör framgå att vissa PNR-uppgifter ska behörighetsbegränsas efter mottagandet från lufttrafikföre- tagen om de kan användas för att identifiera en person. Begreppet behö- righetsbegränsade uppgifter bör i lagen definieras som personuppgifter som gjorts otillgängliga för en användare som saknar särskild behörighet för tillgång till uppgifterna. Med anledning av Datainspektionens begäran om förtydligande gällande offentlighetsprincipen och förhållandet till uppgifter som har behörighetsbegränsats kan det påpekas att utlämnande med stöd av tryck- frihetsförordningen inte kan begränsas på grund av de bestämmelser om behörighetsbegränsning som föreslås för att genomföra direktivet. Enligt direktivets skäl 25 bör åtkomst till maskerade uppgifter endast beviljas under mycket strikta och begränsade villkor för att säkerställa högsta möjliga nivå av dataskydd. Som ett komplement till bestämmel- serna om behörighetsbegränsning bör det därför införas bestämmelser som ställer krav på att åtkomst till sådana uppgifter ska vara särskilt be- gränsad. Sådana bestämmelser bör tas in i förordning. Regeringens förslag: ska utse ett dataskydds- ombud för enheten för passagerarinformation. ska ansvara för att fullgöra de uppgifter som anges i brottsdatalagen och ha tillgång till alla uppgifter som behandlas vid enheten. enskild ska ha rätt att kontakta ombudet i alla frågor som rör behand- ling av hans eller hennes PNR-uppgifter enligt den nya lagen. dataskyddsombudet anser att den personuppgiftsansvarige bryter mot bestämmelser för behandling av PNR-uppgifter, ska han eller hon anmäla det till tillsynsmyndigheten. Regeringens bedömning: Att den personuppgiftsansvarige ska till- handahålla nödvändiga resurser för att dataskyddsombudet ska kunna utföra sina uppgifter bör regleras i förordning. Utredningens förslag och bedömning överensstämmer delvis med Utredningen föreslår att dataskyddsombudet ska ansvara för genomförandet av relevanta skyddsåtgärder. någon bestämmelse om tillhandahållande av nödvändiga resurser för håller att det är den personuppgiftsansvarige, och inte enheten för passa- gerarinformation, som kan bryta mot bestämmelserna om behandling av Nämnden föreslår därför en justerad utformning av be- Övriga remissinstanser har inga synpunkter på förslaget. Skälen för regeringens förslag och bedömning: gerarinformation ska, enligt artikel 5.1 i PNR-direktivet, utse ett data- skyddsombud som ska ansvara för övervakningen av behandlingen av PNR-uppgifter och för genomförandet av relevanta skyddsåtgärder. artikel 5.2 anges att medlemsstaterna ska förse dataskyddsombuden med de resurser som de behöver för att utföra sina uppgifter på ett effektivt och oberoende sätt. Vidare ska medlemsstaterna, enligt artikel 5.3, se till att en registrerad har rätt att kontakta dataskyddsombudet, i egenskap av enda kontaktpunkt, i alla frågor som rör behandlingen av den regi- Även i andra artiklar i direktivet finns be- stämmelser som rör dataskyddsombudet. I artikel 6.7 anges att medlems- staterna ska se till att dataskyddsombudet har åtkomst till alla uppgifter som enheten för passagerarinformation behandlar. det anser att behandlingen av vissa uppgifter inte har varit lagenlig, ska dataskyddsombudet hänskjuta ärendet till den nationella tillsynsmyndig- Enligt artikel 11.4 ska dataskyddsombudet informeras varje gång en medlemsstat överför PNR-uppgifter till ett tredjeland enligt artikel 11. I artikel 11.2 anges dessutom att överföringar utan förhandssamtycke av den medlemsstat från vilken uppgifterna hämtades ska genomgå efter- Vidare ska dataskyddsombudet, enligt artikel 12.3, infor- meras och genomföra en efterhandsutvärdering när en annan nationell myndighet än en rättslig sådan har lämnat tillstånd till utlämnande av Någon definition av begreppet dataskyddsombud finns inte i PNR- Termen används dock i det nya dataskyddsdirektivet och i den I 1 kap. 6 § brottsdatalagen definieras ett dataskyddsombud som den som utses av den personuppgiftsansvarige för att självständigt kontrollera att personuppgifter behandlas författnings- enligt och på ett korrekt sätt. Enligt 3 kap. 13 § brottsdatalagen ska den personuppgiftsansvarige utse ett eller flera dataskyddsombud och anmäla till tillsynsmyndigheten när dataskyddsombud utses och entledigas. skyddsombudets uppgifter framgår av 3 kap. 14 § brottsdatalagen. I PNR-direktivet anges att enheten för passagerarinformation ska utse ett eget dataskyddsombud. En skyldighet för att utse ett dataskyddsombud vid enheten för passagerarinformation bör därför föras in i den nya lagen. Det bör dock inte finnas något hinder mot att ombudet har sin anställning utanför enheten. Skyldigheten att anmäla till tillsynsmyndigheten när dataskyddsombud utses och entledigas bör också åligga den personuppgiftsansvarige, dvs. går dock av brottsdatalagen och behöver inte regleras särskilt i den nya I lagrådsremissen föreslår regeringen att dataskyddsombudet vid en- heten för passagerarinformation, utöver de uppgifter som anges i 3 kap. 14 § brottsdatalagen, ska ansvara för genomförandet av relevanta Lagrådet anser att det under den fortsatta beredningen behöver klargöras vad som avses med bestämmelsen. Lagrådets synpunkt kan det konstateras att det rätteligen bör vara över- vakningen av genomförandet av relevanta skyddsåtgärder som ingår i dataskyddsombudets uppgifter, förutom övervakningen av behandlingen Dessa uppgifter får anses ingå i ombudets uppgifter enligt 3 kap. 14 § brottsdatalagen. Det är därför enligt regeringens upp- fattning tillräckligt med en hänvisning till 3 kap. 14 § brottsdatalagen i den nya lagen. Uppgiften att vara kontaktpunkt för enskilda enligt artikel 5.3 i direk- tivet motsvarar i huvudsak bestämmelsen i 3 kap. 14 § 4 brottsdatalagen. I PNR-direktivet framhålls dock att registrerade ska ha rätt att kontakta dataskyddsombudet i egenskap av kontaktpunkt i alla frågor som rör behandlingen av den registrerades PNR-uppgifter. Enskilda bör alltså ha en möjlighet att få hjälp eller information av dataskyddsombudet vid enheten även om behandlingen i det särskilda fallet helt eller delvis utförts av ett lufttrafikföretag, en behörig myndighet eller av utländska mottagare, bara det har varit fråga om en tillämpning av den nya lagen. Detta bör uttryckas genom en bestämmelse i den nya lagen som gäller utöver 3 kap. 14 § 4 brottsdatalagen. Om en enskild har invändningar mot t.ex. ett lufttrafikföretags insamling av PNR-uppgifter får han eller hon däremot vända sig till det aktuella lufttrafikföretaget. Att den personuppgiftsansvarige ska tillhandahålla nödvändiga resurser för att dataskyddsombudet ska kunna utföra sina uppgifter (jfr artikel 5.2 i PNR-direktivet) kan regleras i förordning. Enligt artikel 6.7 i PNR-direktivet ska dataskyddsombudet ha åtkomst till alla uppgifter som enheten för passagerarinformation behandlar. föreslagna bestämmelsen i 3 kap. 7 § innebär att den som fullgör upp- gifter enligt lagen har rätt att få tillgång till den PNR-information som han eller hon behöver för att fullgöra sina arbetsuppgifter. ombudets kontinuerliga tillgång till uppgifter som behandlas vid enheten för passagerarinformation är emellertid så pass central för att lagligheten i behandlingen ska kunna kontrolleras, att frågan bör regleras särskilt i den nya lagen. En bestämmelse som anger att dataskyddsombudet ska ges tillgång till alla uppgifter som behandlas vid enheten bör därför in- föras. I artikel 6.7 anges vidare att dataskyddsombudet ska hänskjuta en fråga till tillsynsmyndigheten om denne anser att behandlingen av vissa upp- gifter inte har varit lagenlig. Frågan bör regleras i den nya lagen. har framhållit är det den personuppgiftsansvarige, och inte enheten för passagerarinformation, som kan bryta mot bestämmelserna om behandling av PNR-uppgifter. Bestämmelsen bör därför, som föreslagits av nämnden, omformuleras så att det framgår att dataskyddsombudet vid enheten för passagerar- information ska anmäla till tillsynsmyndigheten om han eller hon bedömer att den personuppgiftsansvarige bryter mot bestämmelser om behandling av PNR-uppgifter. 10Överföring av PNR-information från enheten för passagerarinformation 10.1Överföring av PNR-information till behöriga myndigheter i Regeringens förslag: ska överföra PNR-information till en eller flera behöriga myndigheter för att 1.en vidare granskning ska göras av PNR-information beträffande passagerare som har valts ut vid en förhandsbedömning, 2.besvara en begäran från en behörig myndighet om att ta del av PNR-information, om det av begäran framgår att PNR- informationen ska användas i syfte att förebygga, förhindra, upp- täcka, utreda eller lagföra terroristbrottslighet eller annan allvarlig brottslighet, eller 3.vidarebefordra PNR-information som har mottagits från en mot- svarande enhet i en annan medlemsstat. En befattningshavare vid enheten ska före överföring enligt punkt 1 bedöma om PNR-informationen är relevant för vidare granskning av den behöriga myndigheten. Begreppet behörig myndighet ska definieras i den nya lagen. Utredningens förslag överensstämmer i huvudsak med regeringens. Remissinstanserna: ifråga- sätter om Försvarsmakten kan vara en behörig myndighet enligt PNR- direktivet. Hovrätten för Nedre anser att det av legalitetsskäl och för att undvika tillämpningsproblem är av vikt att det tydliggörs vilken nivå som krävs på brottsmisstanken och grunden för begäran om att få ut uppgifter från enheten för passagerarinformation, för att begäran ska anses vara tillräckligt motiverad. Skälen för regeringens förslag Definition av behörig myndighet Av direktivets artikel 7.1 framgår att varje medlemsstat ska utse de myndigheter som ska vara behöriga att begära eller ta emot PNR- information från enheten för passagerarinformation. De behöriga myndig- heterna ska ansvara för den vidare granskningen av informationen och för att vidta lämpliga åtgärder för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrottslighet eller annan allvarlig brottslighet. Regeringen utsåg , , , och Försvarsmakten till behöriga myndigheter och meddelade kommissionen vilka myndigheter som har utsetts. Utpekandet av de behöriga myndigheterna får enligt artikel 7.3 när som helst ändras. Ytterligare behöriga myndig- heter kan således komma att utses . För att undvika att lagen behöver ändras för det fall nya myndigheter behöver utses som behöriga eller om någon myndighet behöver tas bort bör de behöriga myndigheterna inte framgå direkt av lagen. Regeringen bör i stället avgöra vilka brottsbekämpande myndigheter som ska vara behöriga enligt direktivet. Vilka myndigheter som kan utses bör be- gränsas genom en definition av begreppet behörig myndighet i den nya lagen. Av definitionen bör framgå att en behörig myndighet är en myndighet utsedd av regeringen som har behörighet att behandla PNR- information i verksamhet för att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller annan allvarlig brottslighet. har ifrågasatt om Försvars- makten kan vara en behörig myndighet enligt PNR-direktivet. Enligt artikel 7.2 ska de behöriga myndigheterna vara behöriga att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller grov brottslighet. Det är inte nödvändigt att myndigheten har till uppgift att utföra samtliga dessa uppgifter utan det är tillräckligt att myndigheten utför någon av uppgifterna. Uppföljning av individer som reser in och ut ur är av mycket stor betydelse för flera verksamhetsområden kopplade till den militära säkerhetstjänst som Försvarsmakten bedriver. Försvarsmakten har t.ex. i uppgift att följa upp säkerhetshotande verk- samhet som i sig är brottslig, t.ex. terrorism, spionage och sabotage som är kopplad till individer som reser även om det inte är i brottsutredande syfte. Myndigheten uppfyller därmed kravet som ställs i artikel 7.2 på att ha verksamhetsuppgifter kopplade till att förebygga, upptäcka och förhindra t.ex. terrorism och sabotageverksamhet. I ett större perspektiv har Försvarsmakten i ett framtida eventuellt beredskapsläge även till uppgift att hävda territoriell integritet där uppgifter om vissa in- och utresande individer blir relevant. När får PNR-information överföras till behöriga myndigheter? ska enligt direktivet överföra PNR- information till behöriga nationella myndigheter i tre olika situationer. För det första ska en överföring ske av PNR-information beträffande personer som har valts ut vid en förhandsbedömning och som den be- höriga myndigheten behöver utreda ytterligare på grund av att dessa kan vara inblandade i terroristbrottslighet eller annan allvarlig brottslighet (jfr artikel 6.2 a och 6.6). För det andra ska PNR-information överföras för att besvara en förfrågan från en behörig myndighet (artikel 6.2 b). För det tredje ska enheten för passagerarinformation vidarebefordra sådan PNR- information som den har mottagit från andra medlemsstaters motsvaran- de enheter (artikel 9.1). Direktivets bestämmelser om förutsättningarna för när en överföring till de behöriga myndigheterna ska få ske bör genomföras i den nya lagen. Överföring efter en förhandsbedömning I artikel 6.5 och 6.6 i PNR-direktivet finns närmare bestämmelser om hur enheten för passagerarinformation ska gå till väga när en träff har upp- kommit i samband med en förhandsbedömning av en passagerare. Av artikel 6.5 framgår att alla träffar vid en förhandsbedömning måste ge- nomgå en individuell granskning med icke automatiska metoder innan uppgifterna får användas vidare. Detta innebär att en individuell be- dömning alltid måste göras innan PNR-information sänds vidare till be- höriga myndigheter och att PNR-information därmed inte per automatik kan föras vidare från enheten till en behörig myndighet. Vid gransk- ningen ska det avgöras om det finns anledning att agera vidare på upp- gifterna. Om så är fallet ska enheten, enligt artikel 6.6, översända PNR- uppgifterna eller resultaten av behandlingen av dessa uppgifter till be- höriga myndigheter i samma stat för vidare granskning. Av den nya lagen bör det framgå att enheten för passagerarinformation ska överföra PNR-information till en eller flera behöriga myndigheter för att en vidare granskning ska göras av PNR- information av passagerare som valts ut vid en förhandsbedömning. I lagen bör det även regleras att en befattningshavare vid enheten ska ha gjort en bedömning av PNR-informationen före överföringen till en behörig myndighet. Som Lagrådet påpekar bör det i lagen tydliggöras att befattningshavaren vid bedömningen ska granska att bara relevant information överförs och att en sådan bedömning endast ska göras när det gäller överföring av PNR-information som har valts ut vid en för- handsbedömning. Direktivet innehåller inte några närmare bestämmelser om vilka överväganden som bör göras vid bedömningen av om en träff i samband med en förhandsbedömning av passagerare ska överföras till behöriga myndigheter. Det uppställs således inte något krav på att en person ska finnas med i något eller några relevanta register eller andra uppgiftssamlingar för att informationen ska anses vara tillräckligt intressant för att föras vidare.