prop · H503234 · 2018-04-19 00:00:00 — Skälen för regeringens förslag: Enligt artikel 13.1 i PNR-direktivet ska medlemsstaterna föreskriva att alla passagerare har samma rätt till skydd av sina personuppgifter, rätt till åtkomst, rättelse, radering och begränsning samt rätt till ersättning och tillgång till rättsmedel som fast- ställs i unionsrätten och nationell rätt och för genomförande av artiklarna 17, 18, 19 och 20 i dataskyddsrambeslutet. Enligt PNR-direktivet ska således de angivna artiklarna i dataskyddsrambeslutet tillämpas även vid sådan personuppgiftsbehandling som omfattas av direktivet. Som har angetts tidigare får PNR-direktivets hänvisningar till dataskydds- rambeslutet läsas som hänvisningar till det nya dataskyddsdirektivet, som föreslås genomföras i brottsdatalagen. En viktig aspekt av personuppgiftsskyddet är enskildas rätt att få veta hur deras personuppgifter behandlas. Information om den person- uppgiftsbehandling som pågår är en förutsättning för att någon ska kunna kontrollera om behandlingen är författningsenlig och i övrigt kunna bevaka sina intressen. Det nya dataskyddsdirektivets bestämmelser om enskildas rätt till information föreslås genomföras i 4 kap. 1–7 §§ brotts- datalagen och i den tillhörande förordningen. I 4 kap. 12 § brottsdata- lagen finns en bestämmelse om avgifter för informationen. Samtliga angivna bestämmelser är allmänt formulerade och kan tillämpas även för behandlingen av PNR-uppgifter. Brottsdatalagen kommer att gälla utöver den nya lagen för behandling som utförs vid enheten för passagerar- information. Särskilda bestämmelser om enskildas rätt till information behöver därför inte införas i den nya lagen. Skyldigheten kan dock begränsas av bl.a. bestämmelserna i offentlighets- och sekretesslagen. En bestämmelse om att lufttrafikföretagen ska informera passagerarna om överföringen av PNR-uppgifter till enheten för passagerarinformation och om syftet med överföringen har föreslagits i avsnitt 8.7. Brottsdatalagen innehåller bestämmelser om den registrerades rätt till rättelse, radering och begränsning av behandling av personuppgifter i 4 kap. 9–11 §§. Bestämmelserna i 4 kap. 9 och 11 §§ är formulerade på ett sådant allmängiltigt sätt att de även blir tillämpliga vid person- uppgiftsbehandling enligt den nya lagen, för det fall inget annat anges. Någon hänvisning till dessa bestämmelser behöver därför inte föras in i den nya lagen. I 4 kap. 10 § brottsdatalagen anges att den registrerade har rätt till radering eller begränsning av personuppgifter om uppgifterna har be- handlats i strid med vissa angivna bestämmelser i brottsdatalagen. En registrerad bör dock också ha rätt till radering eller begränsning av be- handling av personuppgifter vid överträdelser av vissa centrala be- stämmelser i den nya lagen. En sådan rätt bör finnas när personuppgifter har behandlats i strid med bestämmelserna om för vilka syften PNR- information får behandlas, förbud mot behandling av känsliga person- uppgifter och förpliktelsen att förstöra PNR-uppgifterna slutligt . Det föreslås därför att det i den nya lagen införs en bestämmelse som anger att 4 kap. 10 § brottsdatalagen ska tillämpas vid behandling i strid med de angivna bestämmelserna. I 7 kap. 2 § brottsdatalagen föreskrivs att beslut enligt 4 kap. 10 § brottsdatalagen kan överklagas till allmän förvaltningsdomstol. Förslagen genomför enligt regeringens mening PNR-direktivets krav på rätt till rättelse, radering eller begränsning av PNR-uppgifter. synpunkter om att den enskilde på grund av sekretess i vissa fall inte har insyn i uppgifterna medför inte någon annan bedömning. Regeringens förslag: Om personuppgifter har behandlats i strid med bestämmelser i den nya lagen eller föreskrifter som har meddelats i anslutning till den ska den personuppgiftsansvarige ersätta den regi- strerade i enlighet med brottsdatalagens bestämmelse om skadestånd. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna har inte några synpunkter på förslaget. Skälen för regeringens förslag: Enligt 7 kap. 1 § i förslaget till brottsdatalag ska den personuppgiftsansvarige ersätta den registrerade för den skada och kränkning av den personliga integriteten som orsakats av behandling av personuppgifter i strid med brottsdatalagen, eller före- skrifter som har meddelats i anslutning till den. Bestämmelsen om skadestånd enligt brottsdatalagen kommer att gälla om personuppgifter behandlas i strid med den lagen eller föreskrifter som har meddelats i anslutning till den. För att bestämmelsen i brottsdata- lagen även ska vara tillämplig vid behandling av personuppgifter i strid med den nya lagen eller med föreskrifter som har meddelats med stöd av lagen behöver en hänvisning till bestämmelsen föras in i den nya lagen. En sådan hänvisning föreslås därför. I artikel 82 i dataskyddsförord- ningen och 7 kap. 1 § lagen med kompletterande bestämmelser till EU:s dataskyddsförordning finns bestämmelser om rätt till skadestånd som ska tillämpas vid lufttrafikföretagens behandling av personuppgifter. Någon hänvisning till dessa bestämmelser är inte nödvändig. Regeringens förslag: Tillsynen över den nya lagens personuppgifts- behandling ska utföras av tillsynsmyndigheten enligt brottsdatalagen och i enlighet med bestämmelserna om tillsyn i den lagen. Utredningens förslag överensstämmer i sak med regeringens förslag. Remissinstanserna: Statens inspektion för försvarsunderrättelseverk- samheten (Siun) önskar att det klargörs hur Siun:s granskande uppgift av lagen (2007:258) om behandling av personuppgifter i Försvarsmaktens försvarsunderrättelseverksamhet och militära säkerhetstjänst förhåller sig till utredningens förslag. Datainspektionen konstaterar att den tillsyns- myndighet som ska utses kommer att få ytterligare arbetsuppgifter och ökade kostnader vilket kräver ytterligare behov av resurser. behandlas i avsnitt 16. Skälen för regeringens förslag: I artikel 15.1 i PNR-direktivet anges att varje medlemsstat ska föreskriva att den nationella tillsynsmyndighet som avses i artikel 25 i dataskyddsrambeslutet ska ansvara för att ge rikt- linjer för och övervaka tillämpningen av de nationella bestämmelser som Vid tillsynen ska artikel 25 i dataskyddsrambeslutet Eftersom direktivets hänvisningar till rambeslutet ska läsas som hänvisningar till det nya dataskyddsdirektivet, ska således samma myndighet som ska utöva tillsyn enligt det nya dataskyddsdirektivet vara tillsynsmyndighet även enligt PNR-direktivet. Datainspektionen utövar tillsyn över all personuppgiftsbehand- ling, om inte ansvaret uttryckligen har anförtrotts någon annan myndig- () utövar viss tillsyn över de brottsbekämpande myndigheterna. Nämnden utövar tillsyn över användning av hemliga tvångsmedel och kvalificerade skyddsidentiteter och därmed sammanhängande verksamhet. Nämnden utövar också tillsyn över Säkerhetspolisens och behandling av person- uppgifter enligt polisdatalagen (2010:361). SIN utövar således tillsyn över den brottsbekämpande verksamheten. och Justitiekanslern utövar tillsyn över hur lagar och andra föreskrifter tillämpas i offentlig verksamhet. omfattar därmed även behandlingen av personuppgifter och skyddet av enskildas integritet vid sådan behandling. I propositionen Brottsdatalag föreslås att Datainspektionen ska utses till svensk nationell tillsynsmyndighet enligt dataskyddsdirektivet. föreslås vidare att tillsynen över personuppgifts- behandling inom dataskyddsdirektivets område även fortsättningsvis ska utföras både av Datainspektionen och SIN. alltså att vara nationell tillsynsmyndighet enligt dataskyddsdirektivet och är därmed den myndighet som även ska vara tillsynsmyndighet enligt den nya lagen. Vid tillsynen ska, enligt PNR-direktivet, bestämmelserna om tillsyn i rambeslutet tillämpas, vilket alltså får tolkas som det nya dataskydds- De aktuella bestämmelserna i brottsdatalagen reglerar tillsyn över den lagens tillämpningsområde. härav och då den nya lagen inte bara kommer att tillämpas av person- uppgiftsansvariga som omfattas av brottsdatalagens tillämpningsområde utan också av t.ex. lufttrafikföretag och Försvarsmakten, bör i den nya lagen införas en allmän bestämmelse som anger att tillsyn över person- uppgiftsbehandling enligt lagen ska utföras av tillsynsmyndigheten enligt brottsdatalagen och i enlighet med den lagens bestämmelser om tillsyn. Därmed regleras att tillsynsmyndigheten enligt brottsdatalagen ska ha tillsyn över all behandling av personuppgifter enligt den nya lagen. Bestämmelsen blir således tillämplig såväl för den behandling av person- uppgifter enligt lagen som sker vid lufttrafikföretagen som vid enheten för passagerarinformation och de behöriga myndigheterna, oavsett vilken tillsynsmyndighet som i övrigt har tillsynsansvaret för den myndigheten. Det får nämligen anses vara en rimlig ordning att samma tillsyns- myndighet har tillsyn över hela lagens tillämpning, vilket också är den ordning som föreskrivs i artikel 15.1 i PNR-direktivet. utesluter emellertid inte att även andra myndigheter kan bedriva tillsyn i enlighet med bestämmelser i andra författningar, t.ex. påverkas alltså varken Siun:s eller SIN:s tillsynsansvar av detta förslag. I PNR-direktivet pekas vissa särskilda uppgifter ut som tillsyns- myndigheten ska utföra. Myndigheten ska, enligt artikel 15.3, hantera klagomål från enskilda och kontrollera att uppgiftsbehandlingen är laglig. Vidare ska tillsynsmyndigheten genomföra utredningar, inspektioner och revision i enlighet med nationell rätt. gifter omfattas enligt regeringens mening av 5 kap. 2 § brottsdatalagen. det nya dataskyddsdirektivet anges inte särskilt att revision ska utföras och det föreslås således inga bestämmelser om detta i brottsdatalagen. Hänvisningen i PNR-direktivet till att revision ska utföras i enlighet med nationell rätt får dock enligt regeringens mening anses innebära att det inte finns någon skyldighet för medlemsstaterna att införa en ny tillsyns- uppgift i nationell rätt. De tillsynsuppgifter som regleras i brottsdatalagen får därför anses vara tillräckliga för att uppfylla PNR-direktivets krav i denna del. ska vidare, enligt artikel 15.4 i PNR-direktivet, på begäran ge registrerade råd om hur de kan utöva sina rättigheter. Detta får anses omfattas av den allmänna serviceskyldigheten i förvaltnings- lagen (2017:900) och bör inte kräva några lagstiftningsåtgärder. De till- synsuppgifter som anges i brottsdatalagen kan således tillämpas på personuppgiftsbehandling som sker med stöd av den nya lagen och några bestämmelser om detta behöver inte föras in i den nya lagen. I PNR-direktivet anges att tillsynsmyndigheten ska utföra sina upp- gifter i syfte att skydda grundläggande rättigheter i samband med be- handling av personuppgifter. Även enligt 5 kap. 1 § brottsdatalagen ska tillsynen ske i detta syfte. Enligt den bestämmelsen ska tillsynen också ske i syfte att underlätta det fria flödet av personuppgifter. Enligt regeringens mening kommer inte tillsynens dubbla syften enligt brottsdatalagen att medföra en lägre skyddsnivå för personuppgifterna. Bestämmelsen i brottsdatalagen uppfyller därmed PNR-direktivets krav. Regeringens förslag: Administrativ sanktionsavgift ska användas som enda sanktionsform mot lufttrafikföretagen. Utredningens förslag överensstämmer med regeringens. Remissinstanserna har inga synpunkter på förslaget. Skälen för regeringens förslag: PNR-direktivet innehåller krav på att medlemsstaterna ska införa bestämmelser om sanktioner. I artikel 14 anges bl.a. att medlemsstaterna ska fastställa bestämmelser om sanktioner, in- klusive ekonomiska sådana, mot lufttrafikföretag som inte översänder uppgifter i enlighet med artikel 8 eller som inte översänder uppgifterna i det fastställda formatet. Vidare anges i artikel 14 att sanktionerna ska vara effektiva, proportionella och avskräckande. PNR-direktivet pekar inte ut vilka sanktioner som ska införas mot lufttrafikföretagen utöver att de ska inkludera ekonomiska sanktioner. De sanktionsverktyg som normalt står till buds för staten är straff och sanktionsavgifter samt vite, förbud och återkallelse av tillstånd. Böter, företagsbot, sanktionsavgifter och vite är olika former av ekonomiska Såväl böter som företagsbot förutsätter en kriminalisering. Generellt kan konstateras att kriminalisering inte är det enda och inte heller alltid det mest effektiva medlet för att motverka oönskade beteenden. De all- männas resurser för brottsbekämpning bör rimligen koncentreras på sådana förfaranden som kan leda till påtaglig skada eller fara och som inte kan hanteras på annat sätt (jfr prop. 1994/95:23 s. 54 ff.) Straff- sanktioner ska således användas i sista hand och endast om det inte finns någon annan sanktion som är tillräckligt effektiv. Någon straffbe- stämmelse bör därför inte införas i den nya lagen. Administrativa sanktionsavgifter används allt oftare och finns inom en rad områden. Sanktionsavgifter har bl.a. den fördelen att de medför ett enkelt och snabbt beivrande av överträdelser eftersom beslut om avgiften kan fattas av en myndighet. Användning av vite innebär ett mer om- ständligt förfarande, eftersom det först måste föreläggas och sedan över- trädas för att kunna dömas ut. Det finns givetvis även nackdelar med sanktionsavgifter. Om avgiften är satt för lågt kan verksamhetsutövaren se avgiften enbart som en kost- nad som det går att kalkylera med. Såväl i propositionen Ny dataskyddslag som i propositionen Brotts- datalag föreslås att sanktionsavgifter ska användas vid överträdelser av dataskyddsförordningen och brottsdatalagens bestämmelser om person- uppgiftsbehandling. Även enligt rådets direktiv /82/EG av om skyldighet för transportörer att lämna uppgifter om passagerare (API-direktivet), som är genomfört i bl.a. utlänningslagen, kan en underlåtenhet att överföra s.k. API-uppgifter medföra en skyl- dighet för lufttrafikföretagen att betala en sanktionsavgift. En enhetlig utformning av regelverken på liknande rättsområden bör eftersträvas. Regeringen anser därför att administrativ sanktionsavgift bör användas som ekonomisk sanktionsform mot lufttrafikföretagen. Förutom ekonomiska sanktioner finns det andra sanktionsformer som skulle kunna användas mot lufttrafikföretagen, t.ex. återtagande av luft- trafikföretagets operativa licens eller avgångsförbud. Några sådana sank- tioner tillämpas dock inte vid liknande situationer i svensk rätt. Ekono- miska sanktioner får vidare anses vara tillräckliga för att förmå luft- trafikföretagen att fullgöra sin överföringsskyldighet. Några andra än ekonomiska sanktioner bör därför inte införas. 14.1.2När ska sanktionsavgift få användas? Regeringens förslag: En sanktionsavgift ska tas ut av lufttrafikföretag som inte överför PNR-uppgifter i enlighet med bestämmelserna i den nya lagen eller föreskrifter som har meddelats i anslutning till den. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna Svenska Flygbranschen (SFB) anser att det inte ska utgå någon sanktionsavgift om lufttrafikföretag använder fel format för överföringen av uppgifterna. Skälen för regeringens förslag: Enligt artikel 14 i PNR-direktivet ska sanktioner träffa de lufttrafikföretag som inte översänder uppgifter i enlighet med artikel 8 eller som inte överför uppgifterna i det fastställda I artikel 8.3 anges att lufttrafikföretagen som huvudregel ska överföra PNR-uppgifterna elektroniskt med användning av de gemen- samma protokoll och understödda dataformat som har antagits av kommissionen. Enligt direktivet ska medlemsstaterna vidta de åtgärder som krävs för att säkerställa att de sanktioner som införs också genomförs. Det finns inga generella förfaranderegler för handläggningen av sanktionsavgifter. Regeringen har dock meddelat riktlinjer för hur sanktionsavgifter ska utformas och användas (se prop. 1981/82:142 s. 24 f.). Sådana riktlinjer följer även av internationella åtaganden. Vid utformningen av sanktions- avgiftssystemet bör hänsyn tas till hur sådana avgifter utformats inom andra rättsområden. Vidare bör de rättssäkerhetskrav som ställs på ett system med sanktionsavgift få genomslag. Det innebär att sanktions- avgiftssystemet bör regleras i lag och att det av lagen bör framgå när, hur och av vem en sanktionsavgift får tas ut. Systemet ska också vara förut- sägbart. Det ska även möta kravet på rimlig handläggningstid, domstols- prövning och en rättssäker process. Den nya lagen innehåller en bestämmelse om att lufttrafikföretag ska informera sina passagerare om överföringen av PNR-uppgifter till enheten för passagerarinformation och om skälen till överföringen. Denna informationsskyldighet följer inte av någon artikel i direktivet utan framgår endast av skälen till direktivet. Det kan därför ifrågasättas om det är lämpligt att införa sanktioner mot den som inte följer be- stämmelsen. Det kan visserligen ses som grundläggande att passagerarna informeras fullt ut om överföringen av PNR-uppgifter, för att de ska ha möjlighet att utöva sina rättigheter enligt direktivet. Sanktionsavgifter bör dock endast användas vid överträdelser av de bestämmelser om behandling av personuppgifter som anses viktigast för att värna enskildas integritet, som innehåller de grundläggande reglerna om hur personuppgifter får behandlas och som – om de inte efterlevs – riskerar att leda till allvarliga kränkningar av registrerades integritet. Eftersom informationsskyldigheten till viss del redan följer av data- skyddsförordningen kan det inte anses leda till någon allvarlig kränkning av enskildas personliga integritet att de inte också informeras om skälen till överföringen enligt den nya lagen. Det saknas därmed tillräckliga skäl att i lagen införa sanktioner mot lufttrafikföretag för utebliven informa- tion till passagerarna. För att knyta sanktionsavgiften till översändandet av PNR-uppgifterna bör det av den nya lagen framgå att en sanktionsavgift ska tas ut av luft- trafikföretag som inte överför uppgifter i enlighet med bestämmelserna i lagen eller föreskrifter som har meddelats i anslutning till den. Det innebär att sanktionsavgift kan utgå t.ex. om överföringar inte sker som anges i lagen eller om de överförs i ett annat format än de som godkänts av kommissionen. Lufttrafikföretaget ansvarar dock inte för att uppgifterna som överförs är korrekta. SFB anser att det inte ska utgå någon sanktionsavgift om fel format för överföringen av uppgifterna används. Bestämmelserna i artikel 8 måste emellertid genomföras av medlemsstaterna. Sanktionsavgifter bör där- med tas ut även vid sådana överträdelser. Eftersom PNR-uppgifterna ska överföras av det lufttrafikföretag som utför själva flygningen drabbar sanktionerna inte de lufttrafikföretag som endast delar linjebeteckning med det företag som utför flygningen. Bestämmelser om sanktionsavgift är oftast obligatoriska, dvs. utfor- made så att sanktionsavgift ska tas ut när förutsättningarna för det är upp- fyllda. Bestämmelsen om sanktionsavgift enligt brottsdatalagen har dock utformats på så sätt att det inte är obligatoriskt att besluta om sanktions- avgift. Anledningen till det är att det inte har ansetts rimligt att ålägga en myndighet sanktionsavgift för att någon i enstaka fall har behandlat en personuppgift felaktigt. För lufttrafikföretagens del ska sanktionsavgift tas ut för det fall ett lufttrafikföretag inte har överfört PNR-uppgifter enligt denna lag eller föreskrifter som har meddelats i anslutning till den. Det får därför i detta fall anses vara rimligt att bestämmelserna om sank- tionsavgift ska tas ut om förutsättningarna för det är uppfyllda. Bestämmelsen bör därför vara obligatorisk. bör dock ha möjlighet att i vissa fall helt eller delvis efterge sanktions- avgiften, se avsnitt 14.1.3. Huvudregeln är att sanktionsavgift bygger på strikt ansvar, dvs. att av- giften ska tas ut oberoende av om överträdelsen har varit uppsåtlig eller berott på oaktsamhet. Beträffande de aktuella överträdelserna finns det ett starkt stöd för en presumtion om att överträdelser inte kan förekomma annat än som en följd av uppsåt eller oaktsamhet. Regeringen anser där- för att det inte finns anledning att frångå huvudregeln om strikt ansvar i den nya lagen. Skrivningar om att avgiftsskyldigheten bygger på strikt ansvar bör inte tas med i lagtexten. I motsats till vad som gäller för straff- bestämmelser finns det nämligen inte något formellt krav på uppsåt eller oaktsamhet för att besluta om sanktionsavgift. Det behöver därför inte i lagtext upplysas om att sanktionsavgift får tas ut även om en överträdelse inte har skett uppsåtligen eller av oaktsamhet. Regeringens förslag: Sanktionsavgiften ska uppgå till lägst och högst för varje flygning som har ut- förts utan att lufttrafikföretaget har fullgjort sin överföringsskyldighet. När sanktionsavgiftens storlek fastställs ska särskild hänsyn tas till antal passagerare på flygningen och om lufttrafikföretaget har begått en överträdelse. Sanktionsavgiften ska få sättas ned helt eller delvis om över- trädelsen är ursäktlig eller om det annars med hänsyn till omständig- heterna skulle vara oskäligt att ta ut avgiften. Utredningens förslag överensstämmer delvis med regeringens. Utredningen föreslår inte att det ska regleras i lag vilka omständigheter som särskilt ska beaktas när sanktionsavgiftens storlek bestäms. Remissinstanserna: Förvaltningsrätten i anser att det är oklart om samma omständigheter kan beaktas både när det gäller av- giftens storlek, där rimlig förklaring ska beaktas vid storlekens sättande, och nedsättning av avgiften, där det ska beaktas om överträdelsen varit Skälen för regeringens förslag: Ett effektivt sanktionsavgiftssystem innebär att en sanktionsavgift ska kunna påföras frekvent och efter det att överträdelsen ägt rum. För att uppfylla grundläggande rätts- säkerhetskrav krävs det också att systemet är förutsebart. system kan åstadkommas endast om det är enkelt att avgöra med vilket belopp som avgiften ska påföras vid varje enskilt tillfälle. Underlåtenhet att överföra API-uppgifter kan, enligt API-direktivet, medföra en sanktionsavgift om högst . med ledning av den sanktionsavgift på samma belopp som enligt utlänningslagen (2005:716) ska betalas av de transportörer som inte upp- fyller sin kontrollskyldighet enligt transportörsansvaret. På samma sätt som vid sanktionsavgift riktad mot transportörer bör sanktionsavgiften vid underlåtenhet att överföra PNR-uppgifter be- stämmas med ledning av vissa i lagen angivna belopp, och inte knytas till omsättningen av verksamheten, vinsten eller liknande kriterium. bör avgiftsnivåerna inte i alltför hög grad avvika från de nivåer som gäller vid underlåten överföring av API-uppgifter. föreskriver inte några särskilda nivåer för sanktionsavgifterna. sanktionsavgiften ska få en tillräckligt avskräckande effekt för alla luft- trafikföretag bör underlåten eller felaktig överföring av PNR-uppgifter sättas något högre än de som gäller vid underlåten överföring av API- Det föreslås därför att den högsta avgiften som kan användas bör uppgå till . För att ett spann ska kunna föreligga bör även ett lägsta belopp för avgiften införas i lagen. avgifterna ska vara avskräckande bör minimibeloppet inte sättas alltför lågt utan bör bestämmas till . för varje flygning som har utförts utan att lufttrafikföretaget har fullgjort sin överföringsskyldighet bestämmas till lägst och högst Lagrådet konstaterar att bestämmelsen inte ger någon vägledning i fråga om vilka omständigheter som ska beaktas när man bestämmer När storleken på sanktionsavgiften ska be- stämmas i det enskilda fallet bör hänsyn tas till alla relevanta omständig- Det är inte möjligt att i den nya lagen ange samtliga omständig- heter som kan behöva beaktas i enskilda fall. Det bör dock, som Lagrådet påpekar, tydliggöras vilka omständigheter som särskilt ska beaktas. omständigheter som är särskilt viktiga att beakta och som bör anges i den nya lagen är enligt regeringens uppfattning hur många passagerare som fanns med på flygningen och om lufttrafikföretaget har underlåtit