prop · H503234 · 2018-04-19 00:00:00 — Enligt regeringens bedömning kommer en eventuell kost- nadsökning i dessa delar endast att bli marginell. Förslagen innebär vidare att arbete med PNR-uppgifter kommer att förenklas eftersom myndigheten inte längre på egen hand behöver administrera insamlandet av PNR-uppgifter från sådana luft- trafikföretag som omfattas av den nya lagen. Detta kan komma att leda till minskade kostnader för i denna del. Som angetts ovan kommer dock sannolikt volymen av PNR-uppgifter som ska kontrolleras att öka på ett sådant sätt att det inte kommer att bli fråga om någon generell kostnadsminskning. En ökad användning av PNR-uppgifter i brottsbekämpningen skulle kunna leda till att kostnaderna ökar inom vissa sektorer av rättsväsendet. Om t.ex. polisen blir effektivare kan det leda till en ökad arbetsbörda med krav på ökade resurser för åklagare och domstolar. Förslaget att sanktionsbeslut ska kunna överklagas till allmän förvaltningsdomstol kan också innebära en viss ökad belastning för domstolarna. Enligt regeringens bedömning kommer dock dessa fall att bli få. Bedömningen är att förslagen i sig inte kommer att medföra så många tillkommande ärenden att det på grund av detta finns behov av några resurs- förstärkningar för rättsväsendet. När ny lagstiftning införs krävs det normalt utbildningsinsatser. Kost- naderna för utbildning bör rymmas inom befintliga ramar. Ny lagstift- ning kräver normalt också nya interna föreskrifter och styrande doku- ment. Det får anses ingå i de normala uppgifterna för myndigheterna. Den tillsynsmyndighet som ska utses enligt det nya dataskydds- direktivet kommer att få ytterligare arbetsuppgifter och därmed ökade kostnader då den även ska övervaka behandlingen av PNR-uppgifter vid bl.a. enheten för passagerarinformation. Till skillnad från Dataskydds- inspektionen anser regeringen att tillsynsmyndighetens kostnader får antas kunna rymmas inom ramen för befintliga anslag. För allmänheten innebär den föreslagna regleringen att PNR-uppgifter kommer att överföras och behandlas vid enheten för passagerar- information. PNR-uppgifter har även tidigare använts av brottsbe- kämpande myndigheter. Förslagen innebär dock att uppgifter om samt- liga utrikesresenärer ska samlas in och behandlas. Den föreslagna regle- ringen kan därmed sägas påverka resenärernas integritet. Eftersom det endast är de PNR-uppgifter som ger träff vid en automa- tiserad behandling som kommer att läsas av tjänstemän vid enheten för passagerarinformation kommer PNR-uppgifter från det stora flertalet resenärer aldrig att granskas av en fysisk person. Behandlingen kan även väntas innebära att ett färre antal oskyldiga personer väljs ut för fysisk kontroll på en flygplats. Regleringen innehåller stränga krav på hur de överförda PNR- uppgifterna får behandlas hos enheten för passagerarinformation och hos de behöriga myndigheter som senare tar del av uppgifterna. PNR- uppgifterna får som huvudregel endast behandlas i syfte att bekämpa terroristbrottslighet eller annan allvarlig brottslighet. PNR-uppgifter som avslöjar känsliga personuppgifter får inte behandlas över huvud taget. Vidare får och ska PNR-informationen endast överföras till behöriga myndigheter, andra medlemsstater, Europol och tredjeländer när vissa förutsättningar är uppfyllda. Regleringen ställer också krav på att PNR- uppgifterna behandlas på ett säkert sätt och ger enskilda rätt till informa- tion om behandlingen, att kräva rättelse av felaktig behandling och att begära skadestånd och överklaga beslut vid felaktig behandling. Enskilda kommer också ha rätt att vända sig till ett dataskyddsombud vid enheten för passagerarinformation för att få råd och information om behandlingen av PNR-uppgifterna. Förslagen ger således ett tillfredsställande skydd för enskildas personliga integritet vid enheten för passagerarinformations och de behöriga myndigheternas behandling av deras PNR-uppgifter. Förslagen innebär att enskilda kommer att beröras i den utsträckning flygbiljetter blir dyrare. Som angetts ovan förväntas dock biljettpriserna öka endast i försumbar omfattning. Förslagen får inte några konsekvenser för kommuner eller landsting generellt eller för den kommunala självstyrelsen. Förslagen bedöms inte heller innebära några konsekvenser för jämställdheten eller miljön. Regeringens förslag: Författningsförslagen ska träda i kraft den Utredningens förslag överensstämmer inte med regeringens. ningen föreslår att den nya lagen ska träda i kraft . Remissinstanserna: Ingen remissinstans invänder mot förslaget. Skälen för regeringens förslag: Enligt artikel 18 i PNR-direktivet ska medlemsstaterna sätta i kraft de bestämmelser i lagar och andra författningar som är nödvändiga för att följa direktivet. kommer dataskyddsförordningen att börja tillämpas. Den lagstiftning som regeringen nu föreslår bör träda i kraft så snart Med hänsyn till att det i den nya lagen finns hänvisningar till brottsdatalagens bestämmelser bör dock lagen lämpligen träda i kraft tidigast när brottsdatalagen börjar gälla. Den tidigaste möjliga tidpunkten för ikraftträdande är därför . Något behov av övergångsbestämmelser har inte identifierats. 18.1Förslaget till lag om flygpassageraruppgifter i brottsbekämpningen I paragrafen anges lagens innehåll och att den genomför PNR-direktivet. Paragrafen genomför, tillsammans med 5 §, artiklarna 1, 3.8 och 3.9 i PNR-direktivet. Definitionen av PNR-uppgifter motsvarar artikel 3.5 i direktivet. Paragrafen behandlas i avsnitt 7.2 och 7.3. I första stycket tydliggörs att lagen genomför PNR-direktivet. Av första stycket framgår vidare vad som avses med PNR-uppgifter enligt lagen. Med PNR-uppgifter avses uppgifter om varje enskild passagerare som har lämnats vid bokning av en flygresa och vid incheckning. Uppgifterna består av t.ex. namn, resedatum, resväg, bagageinformation och betal- ningssätt. Andra stycket innehåller en sammanfattande beskrivning av lagens inne- håll. I ordet behandling inbegrips bl.a. insamling, användning, bevarande och medlemsstaternas inbördes utbyte av PNR-uppgifter. PNR-uppgifter får användas för att förebygga, förhindra, upptäcka eller utreda terrorist- brottslighet eller annan allvarlig brottslighet. Med terroristbrottslighet avses i lagen enligt tredje stycket brott enligt artiklarna 3–12 och 14 i terrorismdirektivet. Med annan allvarlig brottslighet avses enligt fjärde stycket sådana brott i eller andra medlemsstater som har sin mot- svarighet i bilaga II till direktivet och för vilka det är föreskrivet fängelse . Bedömningen är hänförlig till straffskalan för ett brott och inte till en straffvärdebedömning. Kravet innebär enligt svensk rätt att brott i flera fall måste bedömas som grova för att de ska omfattas av direktivets tillämpningsområde även om de i och för sig omfattas av bilagan. Inom det svenska tillämpningsområdet faller t.ex. mord och dråp, grov och synnerligen grov misshandel, människorov, människohandel, olaga frihetsberövande, våldtäkt och sabotage. PNR-uppgifter får behand- las både i underrättelseverksamhet och i förundersökning. Paragrafen anger lagens övergripande syfte. Paragrafen behandlas i av- snitt 7.4. Lagen har dubbla syften. Det ena syftet är att ge behöriga myndigheter tillgång till PNR-uppgifter för användning i viss brottsbekämpning. Det andra syftet är att värna de registrerades integritet vid insamlingen och vidarebehandlingen av PNR-uppgifterna. Andra uttryck i lagen I paragrafen definieras vissa uttryck som används i lagen. genomför artiklarna 3 och 7.2 i PNR-direktivet. Behörighetsbegränsade PNR-uppgifter definieras inte i PNR-direktivet. Uttrycket behandlas i avsnitt 9.9. Med behörighetsbegränsade PNR-uppgifter avses sådana personuppgifter som har gjorts otillgängliga för en användare som saknar särskild behörig- het för att få tillgång till uppgifterna. Behörig mottagare definieras inte i PNR-direktivet. Med behörig mottagare avses behöriga myndigheter i , behöriga myndigheter i andra medlemsstater, enheter för passagerarinformation i andra medlemsstater eller Europol. Mottagare i tredjeland omfattas inte av Definitionen, som genomför artikel 7.2 i PNR-direktivet, behandlas i En behörig myndighet är enligt definitionen en myndighet som har ut- setts av regeringen och som har behörighet att behandla PNR- information i verksamhet för att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller annan allvarlig brottslighet. Myndigheter som är behöriga har rätt att ta emot PNR-information från enheten för passagerarinformation, antingen efter enhetens förhandsbe- dömning eller efter en begäran enligt lagens bestämmelser. Definitionen motsvarar delvis definitionen i artikel 3.1 och 3.6 i PNR- Uttrycket behandlas i avsnitt 8.1. avses sådana företag som har en giltig operativ licens utfärdad enligt bestämmelserna i och rådets förordning (EG) nr 1008/2008 av om gemen- samma regler för tillhandahållande av lufttrafik i gemenskapen och som ger rätt att mot betalning utföra lufttransporter av passagerare. sådana lufttrafikföretag som har en motsvarande licens utfärdad i en stat utanför EU innefattas. För att omfattas av överföringsskyldigheten enligt lagen fordras därutöver att lufttrafikföretagen i sin normala verksamhet samlar in och behandlar PNR-uppgifter systematiskt i någon form av elektroniskt system för hantering av reservationer. Det har ingen betydelse om systemet tillhör lufttrafikföretaget eller om PNR-uppgifterna samlas in och behandlas i ett system som tillhandahålls av en tredje part. Definitionen har ingen motsvarighet i PNR-direktivet. Uttrycket behandlas i avsnitt 10.2.1. Med medlemsstat avses en stat som är medlem i EU och har antagit PNR-direktivet, vilket gäller samtliga medlemsstater förutom . Definitionen motsvarar definitionen i artikel 3.4 i PNR-direktivet. Ut- trycket behandlas i avsnitt 7.8. Med passagerare avses alla personer som finns upptagna i passagerar- förteckningen och därmed transporteras eller kommer att transporteras med ett flygplan med lufttrafikföretagets godkännande. Besättningsmed- lemmar omfattas dock inte. Anställda som reser med flygplanet utan att tjänstgöra ombord transporteras med lufttrafikföretagets godkännande och ska stå med på passagerarlistan. De omfattas därmed av direktivets definition av passagerare. Definitionen har ingen motsvarighet i PNR-direktivet. Uttrycket behandlas i avsnitt 7.8. Med PNR-information avses såväl PNR-uppgifter som det resultat som framkommer när PNR-uppgifter behandlas vid en enhet för passagerar- information och jämförs med uppgifter i relevanta register eller andra upp- giftssamlingar eller behandlas enligt på förhand fastställda kriterier. Definitionen har ingen motsvarighet i PNR-direktivet. Uttrycket behandlas i avsnitt 10.4.1. Definitionen täcker alla stater som inte är medlemsstater i lagens mening och utgår alltså från hur uttrycket medlemsstat är definierat. En medlemsstat definieras i lagen som en stat som är medlem i EU och har antagit direktivet. är således i lagens mening ett tredjeland. Paragrafen reglerar var enheten för passagerarinformation ska vara placerad och vilka enhetens övergripande arbetsuppgifter är. genomför artikel 4.1 och 4.2 i PNR-direktivet och behandlas i avsnitt 7.8. I bestämmelsen slås fast att den nationella enheten för passagerar- information ska vara en enhet vid . Vidare anges att en- hetens övergripande uppgifter är att samla in, bevara och i övrigt behandla PNR-uppgifter samt att överföra PNR-information till behöriga mottagare och tredjeländer. Tillåten behandling av PNR-information Paragrafen reglerar för vilka syften PNR-information får behandlas och genomför artiklarna 1.2 och 7.4 samt delvis artiklarna 9.2 och 10.2 i PNR-direktivet. Paragrafen behandlas i avsnitt 7.9. I paragrafen föreskrivs att PNR-information endast får behandlas i syfte att förebygga, förhindra, upptäcka, utreda eller lagföra terrorist- brottslighet eller annan allvarlig brottslighet. Det har ingen betydelse om PNR-uppgifterna har överförts till enheten för passagerarinformation från ett lufttrafikföretag eller från en annan medlemsstats motsvarande enhet. Det har inte heller någon betydelse om uppgifterna behandlas vid enheten för passagerarinformation eller vid en behörig myndighet. PNR- uppgifter som har samlats in i enlighet med PNR-direktivet får inte behandlas för andra syften än de som anges i bestämmelsen. Undantag gäller i verksamhet som rör nationell säkerhet enligt 6 § och för be- handling av PNR-information för annan brottslighet hos behöriga myndigheter enligt 5 kap. 3 §. I paragrafen regleras ett undantag för verksamhet som rör nationell säkerhet. Den behandlas i avsnitt 7.5. I paragrafens första stycke regleras att lagens bestämmelser om be- handling av personuppgifter inte ska gälla för behöriga myndigheter i verksamhet som rör nationell säkerhet. Bestämmelsen innebär att be- höriga myndigheter i verksamhet som rör nationell säkerhet ska tillämpa bestämmelser i respektive registerförfattning i stället för bestämmelser om behandling av personuppgifter i den nya lagen. För att ge enheten för passagerarinformation ett stöd för att kunna lämna ut PNR-information som behövs för verksamhet som rör nationell säkerhet framgår av andra stycket att enheten för passagerarinformation får behandla PNR-information när det är nödvändigt för att tillhandahålla uppgifter som behövs för sådan verksamhet. Det kan t.ex. handla om att förebygga högmålsbrott och brott mot säkerhet i 18 eller 19 kap. som inte faller in under definitionen av terrorist- brottslighet eller annan allvarlig brottslighet och därmed faller utanför den nya lagens tillämpningsområde. Förbud mot behandling av känsliga personuppgifter Paragrafen innehåller ett förbud mot behandling av känsliga person- uppgifter. Paragrafen genomför artikel 13.4 i PNR-direktivet och be- handlas i avsnitt 7.10. Genom paragrafen förbjuds behandling av PNR-uppgifter som utgör känsliga personuppgifter. Med känsliga personuppgifter avses sådana uppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning. För det fall enheten för passagerar- information mottar sådana uppgifter ska dessa förstöras, se 3 kap. 10 §. Inte heller en behörig myndighet får behandla PNR-uppgifter som utgör känsliga personuppgifter. För det fall en sådan myndighet av misstag skulle motta sådana uppgifter ska de förstöras, se 5 kap. 2 §. Förbudet mot behandling av PNR-uppgifter som utgör känsliga person- uppgifter tar sikte på personuppgifter där det av uppgiften i sig själv direkt framgår att det är fråga om en känslig personuppgift. Det krävs alltså inte att en mottagare av uppgifterna gör några närmare analyser och be- dömningar av uppgifterna och jämför med andra tillgängliga uppgifter för att avgöra huruvida en PNR-uppgift indirekt utgör en känslig person- uppgift. Känsliga personuppgifter kan t.ex. komma att ingå bland de allmänna anmärkningarna (punkt 12 i bilagan till lagen), som utgör ett fritextfält för kommunikation mellan t.ex. resebokare och flyg- bolagspersonal. Här kan finnas uppgifter om t.ex. specialkost, behov av assistans, medicinska behov och andra hälsouppgifter. Dessa uppgifter kan avslöja en persons religion eller hälsotillstånd och får i sådana fall inte behandlas enligt direktivet. Även andra PNR-uppgifter kan avslöja käns- liga personuppgifter. 2 kap. Lufttrafikföretagens skyldigheter Överföring av PNR-uppgifter till enheten för passagerarinformation Paragrafen reglerar skyldigheten för lufttrafikföretag att överföra PNR- uppgifter till enheten för passagerarinformation. Paragrafen genomför artikel 8.1 i PNR-direktivet och medlemsstaternas överenskommelse om att tillämpa direktivet även på flygningar inom EU. Paragrafen behandlas i avsnitt 8.1 och 8.2. Första stycket innebär att lufttrafikföretagen ska överföra PNR- uppgifter inför varje flygning som ankommer till eller avgår från . Alla flygningar mellan och ett annat land omfattas, oavsett om det är fråga om ett annat EU-land eller ett land utanför EU, och även för det fall att det endast är fråga om en mellanlandning på svensk mark. Inrikes- flygningar omfattas däremot inte. Av bestämmelsen framgår också att lufttrafikföretagen inte ska överföra fler uppgifter än de som företagen redan samlar in i sin normala verksamhet. Lagen ålägger alltså inte luft- trafikföretagen att hämta in ytterligare PNR-uppgifter om sina passagerare utan de är endast skyldiga att överföra sådana uppgifter som de redan har Vilka uppgifter som ska överföras framgår av bilagan till lagen. I andra stycket regleras att om flera lufttrafikföretag samarbetar och har en gemensam linjebeteckning ska PNR-uppgifterna överföras av det lufttrafikföretag som utför själva flygningen. Paragrafen reglerar PNR-uppgifterna ska överföras. Paragrafen genomför delar av artikel 8.3 samt artikel 8.4 i PNR-direktivet. Den behandlas i avsnitt 8.3. I första stycket framgår att PNR-uppgifterna ska överföras vid två till- Det första tillfället är 24–före flygningens avgång och det andra tillfället är efter det att gatens dörrar har stängts, dvs. när passagerarna har stigit ombord på planet inför avgång och passagerare inte längre tillåts stiga ombord eller gå av. Av andra stycket framgår att den senare överföringen får begränsas till uppdateringar och kompletteringar av den information som överfördes vid det första tillfället. En sådan uppdatering kan avse såväl ändringar i tidi- gare lämnade PNR-uppgifter som tillkommande PNR-uppgifter, t.ex. avseende passagerare som har bokats in som flygets avgång. För det fall inga förändringar har skett sedan det första tillfället räcker det att lufttrafikföretaget meddelar enheten för passagerarinformation Paragrafen reglerar överföring av PNR-uppgifter än de som anges i 2 §. Paragrafen, som genomför artikel 8.5 i PNR- direktivet, behandlas i avsnitt 8.4. Av paragrafen framgår att lufttrafikföretag, utöver vad som anges i 2 §, är skyldiga att överföra PNR-uppgifter även om enheten bedömer att det i ett enskilt fall är nödvändigt med tillgång till PNR-uppgifter för att avvärja en specifik och faktisk fara med anknyt- ning till terroristbrottslighet eller annan allvarlig brottslighet. begäran kan bli aktuell då omständigheterna medför att tillgång till PNR- uppgifter avseende en viss person eller en viss flygresa är nödvändig för att reagera på en särskild risk för sådan brottslighet som avses i lagen. Det är enheten för passagerarinformation som, vanligtvis efter fram- från en behörig myndighet, ska bedöma huruvida det i ett enskilt fall är nödvändigt med tillgång till PNR-uppgifter än de som anges i 2 §. Det är således inte upp till lufttrafikföretagen att avgöra om en överföring av PNR-uppgifter ska ske i dessa fall utan över- föringen ska ske när en sådan begäran kommer in från enheten för Paragrafen reglerar på vilket sätt PNR-uppgifterna ska överföras till en- heten för passagerarinformation. Paragrafen genomför delar av artikel 8.1 och 8.3 i direktivet. Den behandlas i avsnitt 8.5. Första meningen i bestämmelsen anger att PNR-uppgifterna ska över- föras elektroniskt från lufttrafikföretagen till enheten för passagerar- Av andra meningen framgår att enheten för passagerar- information inte får medges direktåtkomst till lufttrafikföretagens PNR- uppgifter. Det är alltså inte tillåtet för enheten att via direktåtkomst ta del av PNR-uppgifter i lufttrafikföretagens elektroniska system. Paragrafen reglerar användandet av ett personuppgiftsbiträde vid över- föringen. Den behandlas i avsnitt 8.6. Enligt paragrafen har ett lufttrafikföretag möjlighet att låta t.ex. en systemleverantör av ett datoriserat bokningssystem överföra PNR- uppgifterna till enheten för passagerarinformation. Det är dock lufttrafik- företaget som har personuppgiftsansvaret för överföringen av uppgifterna. Det är även lufttrafikföretaget som riskerar sanktionsavgift om uppgifts- skyldigheten inte fullgörs. Paragrafen reglerar lufttrafikföretagens skyldighet att informera passa- gerare. Paragrafen motsvarar delar av PNR-direktivets skäl 29 och 37 och behandlas i avsnitt 8.7. Paragrafen innebär att lufttrafikföretag ska informera passagerare som berörs om att PNR-uppgifter överförs till enheten för passagerarin- formation och om skälen till överföringen. Informationen kan lämpligen lämnas tillsammans med övrig information som lufttrafikföretagen ska tillhandahålla enligt dataskyddsförordningen. Informationsskyldigheten gäller oavsett om lufttrafikföretaget själv har samlat in uppgifterna eller om det fått dem från en researrangör eller resebyrå. Vid samarbete mellan luft- trafikföretag ansvarar respektive lufttrafikföretag för att informera sina passagerare. Rätt att meddela föreskrifter I paragrafen, som behandlas i avsnitt 8.5, upplyses om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om lufttrafikföretagens överföring av PNR-uppgifter till enheten för passa- gerarinformation. kan meddelas om t.ex. formen för över- föringarna. 3 kap. Behandling av PNR-information vid enheten för passagerarinformation Paragrafen genomför delvis artikel 12.1 i PNR-direktivet och behandlas i avsnitt 9.1. Paragrafen föreskriver att det ska finnas en databas för PNR-uppgifter vid enheten för passagerarinformation. I databasen ska PNR-uppgifter som har överförts från lufttrafikföretagen bevaras. Paragrafen genomför artikel 6.8 i PNR-direktivet och behandlas i av- snitt 9.2. Paragrafen, som har utformats i enlighet med Lagrådets förslag, inne- bär att enheten för passagerarinformations behandling av PNR- information ska ske i . Paragrafen, som reglerar personuppgiftsansvar vid enheten för passa- gerarinformation, behandlas i avsnitt 9.3. Bestämmelsen är av upplysande karaktär och anger att det är Polismyn- digheten som är personuppgiftsansvarig för den behandling av person- uppgifter som utförs vid enheten för passagerarinformation. Det är såle- des som ska ansvara för att sådana skyldigheter som följer av bl.a. denna lag följs i den verksamhet som bedrivs vid enheten för passagerarinformation. Tillåtna ändamål för behandling av PNR-uppgifter Paragrafen innehåller de grundläggande ändamålen för vilka PNR- uppgifter som har överförts från lufttrafikföretag får behandlas vid enheten för passagerarinformation. Bestämmelsen genomför artikel 6.2 i PNR- direktivet och behandlas i avsnitt 9.5. Paragrafen ersätter de ändamålsbestämmelser som anges i 2 kap. 7 och 8 §§ polisdatalagen (2010:361). Den utesluter även en tillämpning av be- stämmelsen i 2 kap. 4 § brottsdatalagen om behandling av personupp- gifter för nya ändamål. Bestämmelsen innebär att PNR-uppgifter som har överförts från ett lufttrafikföretag endast får behandlas för något av de angivna ändamålen. PNR-uppgifterna får dock även behandlas när det är nödvändigt för att tillhandahålla uppgifter som behövs för verksamhet som rör nationell säkerhet enligt 1 kap. 6 §. Enligt första punkten får PNR-uppgifter behandlas för att göra en förhandsbedömning av passagerare innan de har anlänt till eller avrest från . En sådan bedömning av PNR-uppgifterna innebär en möjlighet att välja ut personer som enligt en analys av uppgifterna kan vara inblandade i terroristbrottslighet eller annan allvarlig brottslighet och därför bör bli föremål för ytterligare utredning av de behöriga myndig- heterna eller Europol. Syftet med behandlingen är att PNR-informationen ska analyseras vidare av nationella behöriga myndigheter eller av Europol, för ställningstagande till om den ger anledning till ytterligare åtgärder, t.ex. att en eller flera passagerare kontrolleras. Av andra punkten följer att enheten för passagerarinformation får be- handla PNR-uppgifter för att fullgöra sina uppgifter att överföra PNR- information till behöriga mottagare eller tredjeland.