prop · H503234 · 2018-04-19 00:00:00 — I propositionen föreslås att direktivet i huvudsak ska genomföras genom en ny ramlag, brottsdatalagen. Enligt förslaget ska lagen vara generellt tillämplig inom det område som direktivet reglerar. Lagen ska vara sub- sidiär till annan lagstiftning. Den föreslagna lagen ska tillämpas av myndigheter som har till uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straff- rättsliga påföljder vid behandling av personuppgifter. Lagen ska också gälla för personuppgiftsbehandling vid upprätthållande av allmän ordning och säkerhet. Myndigheter som har sådana arbetsuppgifter betecknas som behöriga myndigheter. Lagen ska även tillämpas av andra aktörer som har fått i uppgift att utöva myndighet för något av de nämnda syftena. De myndigheter som bedriver verksamhet inom brottsdatalagens tillämpningsområde har i allmänhet särskilda registerförfattningar som reglerar personuppgiftsbehandlingen. I lagrådsremissen Brottsdatalag – kompletterande lagstiftning föreslås de anpassningar som krävs i berörda registerförfattningar. 7En ny lag om flygpassageraruppgifter i brottsbekämpningen 7.1En ny lag och en kompletterande förordning Regeringens förslag: PNR-direktivet ska i huvudsak genomföras ge- nom en ny lag. Lagen ska benämnas lagen om flygpassageraruppgifter i brottsbekämpningen. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Majoriteten av remissinstanserna är positiva eller har i huvudsak inget att invända mot förslaget. , Säker- hetspolisen, och välkomnar genom- förandet av PNR-direktivet och anser att det kommer att bidra till att öka effektiviteten i de brottsutredande myndigheternas arbete och stärka förmågan att bekämpa terrorism och annan allvarlig brottslighet. är positiv till förslaget. Hovrätten för Nedre bedömer att inhämtande av PNR-uppgifter kan vara ett bra verktyg i den brottsbekämpande verksamheten, förutsatt att kravet på skydd för uppgifterna och de enskildas integritet efterlevs. Även , som är positivt inställt till införandet, lyfter fram vikten av att den personliga integriteten upprätthålls och att det måste finnas en vaksamhet mot den inskränkning av rätten till privatliv och dataskydd som lagringen kan innebära. menar att förslaget är väl övervägt och balanserar integritetsskyddsaspekter på ett bra sätt. avstyrker förslaget och anser att en förutsättning för att direktivet ska kunna genomföras i svensk rätt är att de rättssäkerhets- garantier som pekat på i sitt yttrande över EU:s avtal om överföring av PNR-uppgifter till beaktas. Även Polismyndig- heten, Säkerhetspolisen och framhåller vikten av att yttrande analyseras i det fortsatta lagstiftningsarbetet. ifrågasätter om regleringen är förenlig med Europeiska unionens stadga om de grundläggande rättigheterna och be- stämmelserna om rätt till respekt för privatliv och skydd för person- uppgifter. Förbundet anser vidare att regleringen innebär en inskränkning av den personliga integriteten och rörelsefriheten som skyddas av 2 kap. 6 och 8 §§ regeringsformen (RF). föreslår att över- föringsskyldigheten ska utökas genom att resebyråer och researrangörer åläggs att överföra samtliga PNR-uppgifter som de samlar in som ett led i sin normala verksamhet till lufttrafikföretagen. Om så inte sker anser att det endast kommer att finnas ytterst begränsade PNR-uppgifter att tillgå rörande merparten av samtliga flygpassagerare vilket kraftigt begränsar enhetens möjlighet att vara framgångsrik i sina tilltänkta arbetsuppgifter och står i motsats till PNR-direktivets primära syfte att ge bättre verktyg mot terrorism och annan allvarlig brottslighet. Säkerhetspolisen delar synpunkter. anser att det är angeläget att ett arbete inleds för att se över hur också resebyråer och researrangörer kan åläggas en skyldighet att via lufttrafikföretagen lämna PNR-uppgifter till den nationella enheten för Även , , TULL- KUST och anser att det finns skäl att fortsatt utvidgat ansvar till att avse annan aktör än flygbolagen skulle motverka syftet med direktivet och leda till ökade risker för felaktig information då det är flygbolagen som har den senaste uppdaterade informationen. skyldigheten inte bör utvidgas och framhåller att det medför krav på investeringar i nya system om charterbolag åläggs att överföra ytterligare föreslår att den nya lagen ska heta lagen om flygpassagerarinformation i brottsbekämpningen. Skälen för regeringens förslag En ny reglering i lag PNR-direktivet innehåller flera nyheter i jämförelse med gällande svensk Genom direktivet åläggs lufttrafikföretag att överföra PNR- uppgifter till en enhet för passagerarinformation på flygresor utanför EU. Medlemsstaterna kan även på frivillig grund tillämpa direktivet på flyg- resor inom EU. Lufttrafikföretag är endast skyldiga att på begäran lämna över vissa uppgifter om sina passagerare till den efterfrågande Dagens uppgiftsskyldighet omfattar även färre uppgifter än vad som ska överföras enligt direktivet. för svensk rätt nya företeelser som en databas för PNR-uppgifter och en enhet för passagerarinformation som ska bearbeta uppgifterna. analys och utbyte av PNR-uppgifter på det sätt som föreskrivs i direktivet förekommer inte i . PNR-direktivet innebär att det införs ett nytt system för behandling av PNR-uppgifter. För att ska upp- fylla sina skyldigheter enligt direktivet behöver det därför införas helt nya Enligt 2 kap. 6 § andra stycket RF är var och en skyddad gentemot det allmänna mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskil- des personliga förhållanden. Inskränkningar av detta skydd kan enligt 2 kap. 20 och 21 §§ RF enbart göras genom lag och bara för att till- godose ändamål som är godtagbara i ett demokratiskt samhälle. arbetena till 2 kap. 6 § andra stycket RF framhåller regeringen att flera omständigheter ska vägas in vid bedömningen av vad som kan anses vara ett betydande intrång, bl.a. uppgifternas karaktär och omfattning. känsligare uppgifterna är, desto mer ingripande måste det allmännas han- tering av uppgifterna normalt anses vara. Vid bedömningen av intrångets karaktär är också ändamålet med behandlingen och omfattningen av utlämnandet av uppgifter till andra som sker utan stöd av offentlighetsprincipen av betydelse. En hantering som syftar till att ut- reda brott kan normalt anses vara mer känslig än t.ex. en behandling som uteslutande görs för att ge en myndighet underlag för förbättringar av kvaliteten i handläggningen. Avgörande för om en åtgärd ska anses inne- bära övervakning eller kartläggning är inte dess huvudsakliga syfte utan vilken effekt åtgärden har. Vad som avses med övervakning respektive kartläggning får bedömas med utgångspunkt från vad som enligt normalt språkbruk läggs i dessa begrepp (prop. 2009/10:80 s. 183–185 och 250). Den nya regleringen som genomför PNR-direktivet medför att en stor mängd PNR-uppgifter kommer att bevaras i en databas vid enheten för passagerarinformation . Uppgiftssamlingen kommer att vara omfattande och potentiellt kunna möjliggöra en ökad kartläggning av individers flygresor till och från . I den nya lagen finns det visserligen bestämmelser till skydd för enskildas personliga integritet, bl.a. ett förbud mot behandling av s.k. känsliga personuppgifter, bestämmelser om att uppgifterna ska behörighetsbegränsas och om begränsningar i tillgången till informationen. De upp- gifter som samlas in, t.ex. namn, resedatum, resväg, bagageinformation och betalningssätt kan vidare, sedda var för sig, inte anses vara av sär- skilt integritetskänslig karaktär. Sammantaget kan dock uppgifterna ut- visa t.ex. passagerarnas resvanor, rörelsemönster och resesällskap. Det är vidare fråga om användning av personuppgifter för andra ändamål än de uppgifterna samlades in för och för användning i brottsbekämpande verksamhet. Mot denna bakgrund gör regeringen bedömningen att regle- ringen omfattas av regeringsformens bestämmelse om integritetsskydd. Direktivet ska därmed genomföras i svensk rätt huvudsakligen genom lag. Ändamålet med den nya lagen är att både trygga den allmänna sä- kerheten genom att tillgodose behovet av tillgång till PNR-uppgifter i verksamhet för att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller annan allvarlig brottslighet och att skydda män- niskor mot att deras personliga integritet kränks vid behandlingen av uppgifterna. Lagförslagen beaktar därmed såväl de behöriga mottagarnas behov av tillgång till PNR-information som behovet av att skydda en- skildas personliga integritet. Den nya regleringen får därför anses vara godtagbar och inte gå utöver vad som är nödvändigt. Frågan är då hur regleringen lämpligen bör struktureras rent lagtekniskt. PNR-direktivet innehåller såväl verksamhets- som dataskyddsreglering. Till verksamhetsregleringen hör sådana bestämmelser som anger vad som ska göras med PNR-uppgifterna, bl.a. att de ska sändas från luft- trafikföretagen till nationella enheter för passagerarinformation, att de ska bevaras av enheterna och i vissa fall överföras vidare till behöriga mottagare m.m. Till dataskyddsregleringen hör sådana bes- tämmelser som sätter gränser för vad behöriga myndigheter får göra med uppgifterna eller som anger vissa rättigheter för enskilda registrerade m.m., dvs. bestämmelser som syftar till att ge skydd för personuppgifter vid den personuppgiftsbehandling som systemet med användning av PNR-uppgifter inom brottsbekämpningen för med sig. är bes- tämmelsernas utformning dock sådan att de olika typerna av reglering är sammanvävda och svåra att särskilja. Direktivet är vidare omfattande och komplext eftersom det bl.a. berör helt olika slags aktörer, såsom kommer- siellt verksamma flygbolag och brottsbekämpande myndigheter. Det finns olika tänkbara sätt att helt eller delvis inarbeta PNR- direktivet i redan gällande lagstiftning. En möjlighet vore att inarbeta verksamhetsregleringen i t.ex. polislagen (1984:387) och lagen (2017:496) om internationellt polisiärt samarbete. Dataskyddsregleringen skulle kunna tas in i polisdatalagen (2010:361) och andra registerförfatt- ningar som gäller för de behöriga myndigheter som kommer att få motta PNR-uppgifter. Regleringen av lufttrafikföretagens skyldigheter skulle kunna tas in i luftfartslagen (2010:500) eller lagen (2010:510) om luft- transporter. En sådan uppsplittrad lagteknisk lösning skulle dock vara komplicerad, oöverskådlig och kräva korshänvisningar som skulle göra tillämpningen besvärlig. För att skapa en överskådlig reglering av om- rådet för PNR-uppgifter bör i stället direktivets bestämmelser samlas i en ny lag. Lagen bör kompletteras av en förordning De bestämmelser som är av central betydelse för integritetsskyddet kommer att ges i lagform. Direktivet innehåller i vissa artiklar mycket detaljerade bestämmelser i fråga om exempelvis hanteringen av PNR- Sådana bestämmelser bör i vissa fall kunna regleras i förord- Regeringen delar utredningens bedömning att det är nödvändigt att komplettera den nya lagen med en förordning. genomförandet bör ske genom förordning kommer att behandlas löpande De föreskrifter regeringen meddelar får inte inne- bära ett betydande intrång i den personliga integriteten (2 kap. 6 § andra stycket RF). Eftersom den nya lagen kommer att innehålla såväl verksamhets- som dataskyddsreglering bör lagens namn inte ge intrycket av att enbart vara en reglering av det ena eller det andra slaget. Utredningen har föreslagit att den nya lagen ska heta lagen om flyg- passageraruppgifter i brottsbekämpningen. lagen om flygpassagerarinformation i brottsbekämpningen. med anledning av att den nya lagen även reglerar användning av andra uppgifter än PNR-uppgifter. Det är riktigt, som påpekat, att lagen reglerar be- handling av andra uppgifter än PNR-uppgifter. med utredningen om att den föreslagna benämningen, lagen om flyg- passageraruppgifter i brottsbekämpningen, fångar kärnan i regleringen, nämligen att sådana uppgifter ska bli tillgängliga för användning inom den brottsbekämpande verksamheten. Regeringen anser därför att lagen ska benämnas lagen om flygpassageraruppgifter i brottsbekämpningen. yttrande över EU:s avtal om överföring av PNR- Ett antal länder utanför EU har särskilda system för inhämtande och analys av PNR-uppgifter. antog lagstiftning som innebär att lufttrafikföretag med trafik till, från eller genom dess territorium ska tillhandahålla de amerikanska att göra samma sak. Flera länder har följt i deras fotspår. ingick EU avtal som reglerar överföringen av PNR-uppgifter från lufttrafikföretag till , och . Avtalen har därefter omförhandlats. De senaste avtalen med och har godkänts av och trädde i kraft . Avtalet med förlängdes genom ett beslut i rådet 2014. parlamentet anhängiggjorde därefter ett mål i med en begäran om att domstolen skulle uttala sig bl.a. i frågan om avtalet är förenligt med fördraget om Europeiska unionen och Europeiska unionens stadga om de grundläggande rättigheterna vad gäller fysiska personers rätt till skydd av personuppgifter. förklarade i ett yttrande (yttrande 1/15) att det planerade avtalet inte får ingås i dess nuvarande form eftersom flera av bestämmelserna i avtalet ansågs vara oförenliga med de grund- läggande rättigheter som erkänns av unionen. Domstolen fann att över- föringen av PNR-uppgifter mellan unionen och samt det planerade avtalets regler avseende lagring, användning och eventuellt senare överföring av uppgifterna till kanadensiska, europeiska eller ut- ländska myndigheter utgör ett ingrepp i den grundläggande rätten till respekt för privatlivet och rätten till skydd för personuppgifter. ansågs dock vara motiverade av ett mål av allmänt samhällsintresse (att garantera den allmänna säkerheten inom ramen för bekämpningen av terroristbrott och allvarlig gränsöverskridande brottslighet) och över- föringen av PNR-uppgifter till och deras senare behandling an- sågs vara ägnade att säkerställa uppnåendet av detta mål. frågan om ingreppen ansågs vara nödvändiga fann domstolen att vissa av bestämmelserna i avtalet inte var begränsade till vad som är strängt nöd- vändigt och att de inte föreskriver tydliga och precisa regler. ansåg därför sammanfattningsvis att det planerade avtalet inte kan ingås i sin nuvarande form utan måste specificeras på ett antal punkter för att vara förenligt med de grundläggande rättigheterna. har i sitt remissvar framfört att en förutsättning för att PNR-direktivet ska kunna genomföras i svensk rätt är att de rätts- säkerhetsgarantier som pekat på i sitt yttrande uppfylls. Även , och har framhållit vikten av att yttrande analyseras i det fortsatta yttrande rör ett avtal mellan EU och ett tredjeland. talet innehåller visserligen bestämmelser som liknar de som finns i PNR- direktivet, bestämmelserna är dock inte likalydande och skiljer sig åt i Flera av de krav som domstolen ställer är även specifika för avtal med tredjeland, som inte har samma dataskyddsreglering som finns inom EU, och kan därför inte direkt jämföras med motsvarande be- stämmelser i PNR-direktivet. I vissa fall, t.ex. när det gäller känsliga personuppgifter, uppfyller dessutom PNR-direktivet de krav som domstolen ställer på . PNR-direktivets giltighet har inte varit föremål för Utgångspunkten måste vara att lagstiftarna vid antagandet av direktivet säkerställt att det uppfyller alla krav enligt , inklusive respekten för grundläggande rättigheter. yttrande bör därför inte påverka PNR-direktivets genomförande i svensk rätt. Insamling av PNR-uppgifter från resebyråer och researrangörer Medlemsstaterna har i en deklaration som antogs som PNR- direktivet angett att de, i enlighet med sin nationella lagstiftning och med förbehåll för parlamentsbehandling i vissa medlemsstater, åtar sig att utvidga insamlingen av PNR-uppgifter till att omfatta även aktörer som inte är lufttrafikföretag. Som exempel anges i deklarationen resebyråer och researrangörer som tillhandahåller reserelaterade tjänster. Någon tidsgräns för när detta ska vara genomfört i nationell lagstiftning anges inte i deklarationen. Kommissionen ska utföra en översyn av PNR-direktivet. Vid denna översyn ska det beaktas huruvida det är nödvändigt att låta resebyråer och researrangörer omfattas av direktivets tillämpningsområde (artikel 19.3). Mot bakgrund av över- synen ska kommissionen, om det är lämpligt, lägga fram ett lagstiftnings- förslag i syfte att ändra direktivet (artikel 19.4). Resebyråer och researrangörer omfattas redan av systemet med in- samling av PNR-uppgifter eftersom de överför PNR-uppgifter till luft- trafikföretagen för vidareöverföring till enheten för passagerar- information. I vissa fall överförs dock ett mindre antal uppgifter. Flera myndigheter, däribland , Säkerhetspolisen, Åklagar- myndigheten, och har betonat betydel- sen av att all PNR-information samlas in och är därför angelägna om att regleringen även ålägger resebyråer och researrangörer skyldighet att överföra PNR-uppgifter. Utredningens bedömning är emellertid att frågan om överföring av PNR-uppgifter från resebyråer och rese- arrangörer bör behandlas på samma sätt inom samtliga medlemsstater och att det därför inte är lämpligt att föreslå en svensk reglering för researrangörer och resebyråer. Några förslag på reglering i den delen lämnas därför inte. Det finns mot den bakgrunden inget berednings- underlag för att inom ramen för detta lagstiftningsärende utvidga insamlingen av PNR-uppgifter till att omfatta även resebyråer och researrangörer. Regeringen avser dock att noggrant följa frågan. Regeringens förslag: Den nya lagen ska innehålla bestämmelser om lufttrafikföretags överföring av PNR-uppgifter till enheten för passagerarinformation och bestämmelser om behandling av PNR- uppgifter i verksamhet för att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller annan allvarlig brottslighet. Med PNR-uppgifter ska avses uppgifter om varje enskild passagerare som har lämnats vid bokning av en flygresa och vid incheckning. I lagen ska det anges att den genomför PNR-direktivet. Utredningens förslag överensstämmer i sak med regeringens. Utred- ningen föreslår att begreppet flygpassageraruppgifter ska användas syno- nymt med begreppet PNR-uppgifter samt att begreppet grov brottslighet ska användas i stället för allvarlig brottslighet. Remissinstanserna: ställer sig frågan om inte termen flygpassageraruppgifter kan utgå medan Hovrätten för Nedre anser att begreppet flygpassageraruppgifter bör användas ge- nomgående i stället för PNR-uppgifter. Förvaltningsrätten i föreslår att begreppet flygpassageraruppgifter används i 1 kap 1 § i den föreslagna lagen i stället för förkortningen PNR-uppgifter. Övriga re- missinstanser har inga synpunkter på förslaget. Skälen för regeringens förslag Vad avses med PNR-uppgifter? Med passageraruppgiftssamlingar eller PNR-uppgifter avses enligt arti- kel 3.5 i PNR-direktivet en sammanställning av för resan nödvändiga uppgifter om varje enskild passagerare som gör det möjligt för det luft- trafikföretag som sköter bokningen och andra deltagande lufttrafikföretag att behandla och kontrollera reservationen för varje resa som bokas av en person eller för en persons räkning, oavsett om uppgifterna finns i reservationssystemet, i avgångskontrollsystemet som används för att checka in passagerare på flygningar eller i likvärdiga system med mot- svarande uppgifter. I utredningen likställs begreppet flygpassageraruppgifter med PNR- uppgifter. Utredningen använder dock i huvudsak begreppet PNR- uppgifter i den nya lagen. Hovrätten för Nedre menar att det eventuellt skulle underlätta för personer som inte är insatta i direktivets begrepp om termen flygpassageraruppgifter användes genomgående i stället för PNR-uppgifter. Förvaltningsrätten i föreslår att begreppet flygpassageraruppgifter används i 1 kap 1 § i lagförslaget i stället för förkortningen PNR-uppgifter eftersom definitionen av för- kortningen ges först i en senare bestämmelse medan anser att begreppet flygpassageraruppgift helt kan utgå. Regeringen delar visserligen domstolarnas uppfattning att begreppet flygpassageraruppgifter är mer lättförståeligt än begreppet PNR- uppgifter. PNR () är emellertid ett vedertaget begrepp inom luftfartsområdet som används såväl nationellt som inter- nationellt. Begreppet PNR är också enklare att använda vid utformningen av lagen. PNR-uppgifter bör därför användas genomgående i författ- ningstexten. Med PNR-uppgifter bör enligt den nya lagen avses uppgifter om varje enskild passagerare som har lämnats vid bokning av en flygresa och vid incheckning. Den nya lagens innehåll Artikel 1 i PNR-direktivet har rubriken syfte och tillämpningsområde. Artikeln innehåller dels en sammanfattande beskrivning av direktivets innehåll, dels ett initialt klargörande av den mest centrala begränsningen av för vilka syften insamlade uppgifter får behandlas enligt direktivet. När det gäller PNR-direktivets innehåll framgår av punkten a i artikel 1.1 att direktivet innehåller bestämmelser om lufttrafikföretags överföring av PNR-uppgifter om passagerare på flygningar utanför EU. framgår att direktivet också innehåller bestämmelser om behandlingen av de uppgifterna. I den behandling av PNR-uppgifter som omfattas av direktivet inbegrips enligt artikeln medlemsstaternas insamling, använd- ning, lagring och inbördes utbyte av dessa uppgifter. De PNR-uppgifter som samlas in i enlighet med direktivet får enligt artikel 1.2 endast be- handlas på det sätt som anges i direktivets artikel 6.2 a, b och c och endast i syfte att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet. Att informationen får inhämtas även för lagföringssyfte får anses inne- bära en specialreglering i förhållande till vad som annars gäller vid in- hämtande av bevisning i brottmål, t.ex. enligt och rådets direktiv /41/EU av om en europeisk utred- ningsorder på det straffrättsliga området. En enhet för passagerar- information eller, i undantagsfall, en behörig myndighet i en annan med- lemsstat kan alltså begära ut PNR-uppgifter direkt från den svenska en- heten för passagerarinformation även om syftet är att dessa ska användas som bevisning i ett brottmål. Den nya lagen om flygpassageraruppgifter är relativt omfattande och kommer att innehålla såväl verksamhets- som dataskyddsreglering. För att underlätta för tillämparen finns det därför enligt regeringens uppfatt- ning anledning att redogöra för lagens innehåll i en inledande be- stämmelse. Av bestämmelsen bör framgå att lagen innehåller bestämmel- ser om lufttrafikföretags överföring av PNR-uppgifter till enheten för passagerarinformation och bestämmelser om behandlingen av PNR- uppgifter i stort. Av PNR-direktivet framgår att PNR-uppgifter får behandlas i verk- samhet för att förebygga, förhindra, upptäcka, utreda och lagföra terro- ristbrott och grov brottslighet. Eftersom direktivet inte endast omfattar terroristbrott utan även brott med anknytning till en terroristgrupp och brott med anknytning till terroristverksamhet bör begreppet terrorist- brottslighet användas i stället för terroristbrott. För att tydliggöra att direktivet inte omfattar samtliga brott som kan betraktas som grov brotts- lighet bör vidare begreppet allvarlig brottslighet användas i stället för grov brottslighet. Till skillnad från den svenska översättningen av PNR-direktivet bör ordet ”eller” användas i uttrycken ”utreda eller lagföra” och ”terrorist- brottslighet eller annan allvarlig brottslighet” i stället för ordet ”och” som används på motsvaranden ställen i den svenska översättningen, vilket torde vara en felöversättning. Det är alltså inte nödvändigt att alla de angivna syftena är uppfyllda för att uppgifterna ska få be- handlas i ett enskilt fall.