prop · H503234 · 2018-04-19 00:00:00 — Lag om flygpassageraruppgifter i brottsbekämpningen Regeringens proposition 2017/18:234 Lag om flygpassageraruppgifter i Regeringen överlämnar denna proposition till . I syfte att bekämpa terrorism och annan allvarlig brottslighet har myn- digheter i flera länder i allt större utsträckning börjat samla in och analy- sera PNR-uppgifter. PNR är en förkortning av den engelska benäm- ningen och avser uppgifter som passagerare lämnar vid bokning av flygresor och vid incheckning, t.ex. namn, rese- datum, resväg, bagageinformation och betalningssätt. PNR-direktivet utgör ett unionsgemensamt regelverk för insamling och användning av PNR-uppgifter i viss brottsbekämpande verksamhet. För att genomföra PNR-direktivet i svensk rätt föreslår regeringen en lag om flygpassageraruppgifter i brottsbekämpningen. Lagen innehåller bestämmelser om lufttrafikföretags skyldigheter att överföra PNR- uppgifter till enheten för passagerarinformation och om behandling av PNR-uppgifter i verksamhet för att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller annan allvarlig brottslighet. Lagen ska både tillgodose behovet av tillgång till PNR-uppgifter i sådan verksamhet och skydda människor mot att deras personliga integritet kränks vid behandlingen av uppgifterna. mation föreslås vara placerad vid . Den nya lagen föreslås träda i kraft . Förslag till riksdagsbeslut ................................................................. Förslag till lag om flygpassageraruppgifter i Förslag till lag om ändring i polislagen (1984:387) 2.3Förslag till lag om ändring i lagen (1996:701) om befogenheter vid gräns mot ett annat land inom Europeiska unionen ............................... 2.4Förslag till lag om ändring i polisdatalagen (2010:361) ........................................................................ Förslag till lag om ändring i tullagen (2016:253) ............. 2.6Förslag till lag om ändring i tullbrottsdatalagen (2017:447) ........................................................................ Ärendet och dess beredning ............................................................ Dagens reglering och användning av PNR-uppgifter i En ny lag om flygpassageraruppgifter i brottsbekämpningen ......... En ny lag och en kompletterande förordning ................... Terroristbrottslighet och annan allvarlig brottslighet ....... Lagens förhållande till annan dataskyddsreglering .......... 7.6PNR-direktivets förhållande till den nuvarande regleringen om inhämtande av Vissa uttryck ska definieras.............................................. 7.8En enhet för passagerarinformation vid Tillåten behandling av PNR-information ......................... Förbud mot behandling av känsliga personuppgifter ....... 8 Lufttrafikföretagens skyldigheter.................................................... 8.1Överföring av PNR-uppgifter till enheten för Vilka PNR-uppgifter ska överföras? Överföringar ska ske .............................. Uppgifterna ska överföras elektroniskt............................. Anlitande av personuppgiftsbiträde.................................. Information till passagerare.............................................. 9 Behandling av PNR-information vid enheten för En databas för PNR-uppgifter ......................................... Behandling av PNR-information ska ske i ......... 9.3Personuppgiftsansvar vid enheten för 9.5Tillåtna ändamål för behandling av PNR-uppgifter Överföring till behöriga mottagare och Utformning av kriterier................................... Behandling av PNR-information från Tillgången till PNR-information bör begränsas............... Förbud mot direktåtkomst ............................................... Tid som PNR-uppgifterna ska bevaras ............................ Tid för bevarande ........................................... PNR-uppgifter som inte omfattas av lagen eller som utgör känsliga personuppgifter Behörighetsbegränsning av vissa PNR-uppgifter ............ 10 Överföring av PNR-information från enheten för 10.1Överföring av PNR-information till behöriga Överföring till andra medlemsstater ................................ Definition av medlemsstat .............................. Överföring av PNR-information till enheter för passagerarinformation i andra Överföring på begäran av en behörig myndighet i en annan medlemsstat ................. Överföring för att avvärja en specifik och Enhetens inhämtande av PNR-uppgifter från andra medlemsstaters motsvarande Överföring till Europol .................................................... Överföring till tredjeland ................................................. Definition av tredjeland .................................. Förutsättningar för överföring till information som överförts till tredjeland ........ Överföring av PNR-information som enheten har fått från en annan Överföring av behörighetsbegränsade PNR - uppgifter i sin fullständiga form ..................................................... När får PNR-uppgifter som är behörighetsbegränsade överföras i sin fullständiga form?.......................................... Vem ska lämna tillstånd till att få ta del av fullständiga PNR-uppgifter?.......................... 11 Behöriga myndigheters behandling av PNR-information ............. Bevarande och förstöring av PNR - information .............. Förstöring av känsliga personuppgifter .......................... Behandling av PNR - information för annan Behöriga myndigheters möjlighet att begära PNR - information från andra medlemsstater ............................ Rätt till information, rättelse, radering eller begränsning av behandlingen av personuppgifter .......... Rätt till skadestånd ......................................................... När ska sanktionsavgift få användas? Ansvarig myndighet och förfarandet vid Överträdelser av personuppgiftsansvarig myndighet 15.1Behövs det några nya bestämmelser om sekretess till skydd för PNR-information? Behövs det nya sekretessbrytande bestämmelser? 18.1Förslaget till lag om flygpassageraruppgifter i Förslaget till lag om ändring i polislagen (1984:387) .... Förslaget till lag om ändring i lagen (1996:701) om befogenheter vid gräns mot ett annat land inom Europeiska unionen ............................. Förslaget till lag om ändring i polisdatalagen (2010:361) ..................................................................... Förslaget till lag om ändring i tullagen (2016:253) ....... 18.6Förslaget till lag om ändring i tullbrottsdatalagen (2017:447) ..................................................................... Rättelse till PNR-direktivet ........................................... Sammanfattning av betänkandet Lag om flygpassageraruppgifter i brottsbekämpningen (SOU Förteckning över remissinstanserna .............................. Utdrag ur protokoll vid regeringssammanträde ....... 1 Förslag till riksdagsbeslut Regeringen föreslår att antar regeringens förslag till 1.lag om flygpassageraruppgifter i brottsbekämpningen, 2.förslag till lag om ändring i polislagen (1984:387), 3.förslag till lag om ändring i lagen (1996:701) om befo- genheter vid gräns mot ett annat land inom Europeiska unionen, 4.förslag till lag om ändring i polisdatalagen (2010:361), 5.förslag till lag om ändring i tullagen (2016:253), 6.förslag till lag om ändring i tullbrottsdatalagen (2017:447). Regeringen har följande förslag till lagtext. 2.1Förslag till lag om flygpassageraruppgifter i brottsbekämpningen Härigenom föreskrivs1 följande. 1 § Denna lag genomför och rådets direktiv (EU) 2016/681 av om användning av passageraruppgifts- samlingar (PNR-uppgifter) för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet, här benämnt PNR- direktivet. Med PNR-uppgifter avses i lagen uppgifter om varje enskild passagerare som har lämnats vid bokning av en flygresa och vid incheck- ning. Lagen innehåller bestämmelser om lufttrafikföretags överföring av PNR-uppgifter till enheten för passagerarinformation och om behandling av PNR-uppgifter i verksamhet för att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller annan allvarlig brottslighet. Med terroristbrottslighet avses i lagen brott enligt artiklarna 3–12 och 14 i och rådets direktiv (EU) 2017/541 av om bekämpande av terrorism, om ersättande av rådets ram- beslut /475/RIF och om ändring av rådets beslut /671/RIF. Med annan allvarlig brottslighet avses i lagen de brott som anges i bilaga II till PNR-direktivet och för vilka det i eller andra med- lemsstater är föreskrivet fängelse . 2 § Syftet med lagen är att tillgodose behovet av tillgång till PNR- uppgifter i verksamhet för att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller annan allvarlig brottslighet och att skydda människor mot att deras personliga integritet kränks vid behand- lingen av uppgifterna om dem. 1 Jfr och rådets direktiv (EU) 2016/681 av om användning av passageraruppgiftssamlingar (PNR-uppgifter) för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet, i den ursprungliga Andra uttryck i lagen 3 § I lagen används följande uttryck med nedan angiven betydelse. otillgängliga för en användare som saknar särskild behörighet för att få tillgång till uppgifterna. En behörig myndighet i , en enhet för passagerarinformation i en annan medlemsstat, en myn- dighet som har utsetts som behörig i en annan medlemsstat eller En myndighet utsedd av reger- ingen som har behörighet att be- handla PNR-information i verk- samhet för att förebygga, för- hindra, upptäcka, utreda eller lag- annan allvarlig brottslighet. Ett företag som har giltig operativ licens eller motsvarande som ger rätt att mot ersättning utföra lufttransporter av passagerare, och som i sin normala verksamhet samlar in och behandlar PNR- uppgifter i ett elektroniskt system för hantering av reservationer. En stat som är medlem i Euro- peiska unionen och har antagit Alla personer, förutom besätt- teras eller ska transporteras med ett flygplan och som finns upptagna i PNR-uppgifter och resultatet av en behandling av sådana uppgifter. En stat som inte är en medlemsstat. 4 § Det ska vid finnas en enhet för passagerar- information. Enheten ska ansvara för att 1.samla in PNR-uppgifter från lufttrafikföretag, bevara och i övrigt be- handla uppgifterna, och 2.överföra PNR-information till behöriga mottagare och tredjeländer. Tillåten behandling av PNR-information 5 § PNR-information får endast behandlas i syfte att förebygga, för- hindra, upptäcka, utreda eller lagföra terroristbrottslighet eller annan allvarlig brottslighet, om inte annat anges i 6 § eller 5 kap. 3 §. 6 § Lagens bestämmelser om behandling av personuppgifter gäller inte för behöriga myndigheter i verksamhet som rör nationell säkerhet. får behandla PNR-information när det är nödvändigt för att tillhandahålla uppgifter som behövs för sådan verksamhet. Förbud mot behandling av känsliga personuppgifter 7 § PNR-uppgifter som utgör sådana personuppgifter som avslöjar ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening eller som rör hälsa, sexualliv eller sexuell läggning får inte behandlas enligt lagen. 2 kap. Lufttrafikföretagens skyldigheter Överföring av PNR-uppgifter till enheten för passagerarinformation 1 § Lufttrafikföretag ska till enheten för passagerarinformation inför varje flygning som ankommer till eller avgår från överföra sådana PNR-uppgifter som anges i bilagan till lagen. PNR-uppgifterna ska endast överföras i de fall lufttrafikföretagen samlar in uppgifterna som en del av sin normala verksamhet. Om flygningens linjebeteckning delas med ett eller flera andra luft- trafikföretag, ska det lufttrafikföretag som utför flygningen överföra PNR-uppgifter om samtliga passagerare. 2§ PNR-uppgifterna ska överföras 1.24–före flygningens avgång, och 2.omedelbart efter det att gatens dörrar har stängts. Den andra överföringen får begränsas till uppdateringar och kom- pletteringar av de uppgifter som överfördes vid det första tillfället. 3 § Lufttrafikföretag ska på begäran av enheten för passagerar- information överföra PNR-uppgifter även än de som anges i 2 §, om enheten bedömer att det i ett enskilt fall är nödvändigt med tillgång till PNR-uppgifter för att avvärja en specifik och faktisk fara med anknytning till terroristbrottslighet eller annan allvarlig brotts- lighet. 4 § Lufttrafikföretag ska överföra PNR-uppgifterna elektroniskt. får inte medges direktåtkomst till PNR- uppgifter som behandlas vid lufttrafikföretagen. 5 § Lufttrafikföretag som är skyldiga att överföra PNR-uppgifter får anlita ett personuppgiftsbiträde för att utföra överföringen. 6 § Lufttrafikföretag ska informera passagerare om överföringen av PNR-uppgifter till enheten för passagerarinformation och om skälen till överföringen. Rätt att meddela föreskrifter 7 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om lufttrafik- företagens överföring av PNR-uppgifter till enheten för passagerar- information. 3 kap. Behandling av PNR-information vid enheten för passagerarinformation 1 § PNR-uppgifter som har överförts från ett lufttrafikföretag ska bevaras i en databas vid enheten för passagerarinformation. 2 § ska behandla PNR-informationen i . 3 § är personuppgiftsansvarig för den behandling av personuppgifter som utförs vid enheten för passagerarinformation. Tillåtna ändamål för behandling av PNR-uppgifter 4 § får, om inte 1 kap. 6 § är tillämp- lig, endast behandla PNR-uppgifter som har överförts från ett lufttrafik- företag för att 1.göra en förhandsbedömning av passagerare före deras beräknade ankomst till eller avresa från i syfte att välja ut personer som behöver utredas ytterligare av behöriga myndigheter eller Europol, på grund av att dessa personer kan vara inblandade i terroristbrottslighet eller annan allvarlig brottslighet, 2.fullgöra sina uppgifter att överföra PNR-information till behöriga mottagare eller tredjeländer, eller 3.göra analyser för att uppdatera eller skapa nya kriterier som ska användas vid förhandsbedömningar. 5 § Vid en förhandsbedömning får PNR-uppgifter 1. jämföras med register eller andra uppgiftssamlingar som är relevanta för att förebygga, förhindra, upptäcka, utreda eller lagföra terrorist- brottslighet eller annan allvarlig brottslighet, och 2. behandlas enligt på förhand utformade och fastställda kriterier som är riktade, proportionella och avgränsade och som inte grundas på sådana känsliga personuppgifter som avses i 1 kap. 7 §. 6 § Om enheten för passagerarinformation har mottagit PNR-information från motsvarande enheter i andra medlemsstater får enheten bara behandla informationen för att vidarebefordra den till behöriga myndig- heter. 7 § Endast den som tjänstgör vid enheten för passagerarinformation och den som fullgör uppgifter enligt lagen får ha tillgång till PNR- information som behandlas vid enheten. Tillgången ska begränsas till vad han eller hon behöver för att kunna fullgöra sina arbetsuppgifter. 8 § Direktåtkomst till PNR-information som behandlas vid enheten för passagerarinformation får inte medges. Tid som PNR-uppgifter ska bevaras 9 § PNR-uppgifter som behandlas vid enheten för passagerarinformation ska bevaras från det att de kommit in från ett lufttrafikföretag. Därefter ska de förstöras. 10 § PNR-uppgifter som inte anges i bilagan till lagen eller som utgör sådana känsliga personuppgifter som avses i 1 kap. 7 § ska förstöras om de kommer in till enheten för passagerarinformation. 11 § Följande PNR-uppgifter ska behörighetsbegränsas efter att de har kommit in från ett lufttrafikföretag om de kan användas för att identifiera en person: 1.namn på passagerare, 2.antal passagerare som reser tillsammans, 3.adress och kontaktuppgifter, 4.alla former av betalningsinformation, inklusive faktureringsadress, 5.uppgifter om bonusprogram, 6.allmänna anmärkningar, och 7.uppgifter enligt punkt 18 i bilagan till lagen. 12 § ska utse ett dataskyddsombud för enheten för passagerarinformation. Dataskyddsombudet ska ha tillgång till alla uppgifter som behandlas vid enheten. 13 § Dataskyddsombudet vid enheten för passagerarinformation ansvarar för att fullgöra de uppgifter som anges i 3 kap. 14 § brottsdatalagen (2018:000). En enskild ska ha rätt att kontakta dataskyddsombudet i alla frågor som rör behandling av hans eller hennes PNR-uppgifter enligt denna lag. 14 § Om dataskyddsombudet vid enheten för passagerarinformation anser att den personuppgiftsansvarige bryter mot bestämmelser för behandling av PNR-uppgifter, ska han eller hon anmäla det till tillsyns- myndigheten. Rätt att meddela föreskrifter 15 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om enheten för passagerarinformations behandling av PNR-information och data- skyddsombudets uppgifter. Överföring av PNR-information från enheten för passagerarinformation Överföring till behöriga myndigheter 1 § ska överföra PNR-information till en eller flera behöriga myndigheter för att 1.en vidare granskning ska göras av PNR-information beträffande passagerare som har valts ut vid en förhandsbedömning, 2.besvara en begäran från en behörig myndighet om att ta del av PNR- information, eller 3.vidarebefordra PNR-information som har mottagits från en mot- svarande enhet i en annan medlemsstat. En befattningshavare vid enheten ska före överföring enligt första stycket 1 bedöma om PNR-informationen är relevant för vidare gransk- ning av den behöriga myndigheten. Överföring till andra medlemsstater 2 § ska överföra PNR-information till en motsvarande enhet i en annan medlemsstat för att 1.en vidare granskning ska göras av PNR-information beträffande passagerare som har valts ut vid en förhandsbedömning, eller 2.besvara en begäran från enheten i den andra medlemsstaten om att ta del av PNR-information. En befattningshavare vid enheten ska före överföring enligt första stycket 1 bedöma om PNR-informationen är relevant för vidare gransk- ning i den andra medlemsstaten. 3 § När det i ett enskilt brådskande fall är absolut nödvändigt ska enheten för passagerarinformation besvara en begäran från en myndighet som har utsetts som behörig i en annan medlemsstat och överföra PNR- information direkt till den myndigheten. 4 § När det i ett enskilt fall är nödvändigt med tillgång till PNR-uppgifter för att avvärja en specifik och faktisk fara med anknytning till terrorist- brottslighet eller annan allvarlig brottslighet, ska enheten för passagerar- information på begäran av en motsvarande enhet i en annan medlemsstat inhämta PNR-uppgifter än de som anges i 2 kap. 2 § och överföra dessa till den enhet som har begärt dem. 5 § ska överföra PNR-information till Europol för att 1.en vidare granskning ska göras av PNR-information beträffande passagerare som har valts ut vid en förhandsbedömning, eller 2.besvara en begäran från Europol om att ta del av PNR-information. En befattningshavare vid enheten ska före överföring enligt första stycket 1 bedöma om PNR-informationen är relevant för vidare gransk- ning av Europol. 6 § Överföring enligt 1 § första stycket 2, 2 § första stycket 2, 3 § och 5 § första stycket 2 får endast ske om det av begäran framgår att PNR- informationen ska användas i syfte att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller annan allvarlig brottslighet. 7 § får besvara en begäran och över- föra PNR-information till en myndighet i ett tredjeland som är behörig att bedriva verksamhet för att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller annan allvarlig brottslighet. PNR- information får överföras under förutsättning att 1.överföringen omfattas av ett beslut om adekvat skyddsnivå, till- räckliga skyddsåtgärder eller ett undantag för särskilda situationer enligt 8 kap. 1 § första stycket 3 brottsdatalagen (2018:000), 2.överföringen är nödvändig för att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller annan allvarlig brottslighet, och 3.tredjelandet har godtagit att uppgifterna får vidareöverföras till ett annat tredjeland endast om det är absolut nödvändigt för att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller annan allvarlig brottslighet och efter det att ett uttryckligt medgivande till vidareöverföringen har inhämtats från enheten för passagerarinformation. 8 § ska vid överföring av PNR- information till ett tredjeland ställa upp villkor som begränsar möjlig- heten att använda informationen i strid med lagens syften. 9 § Om enheten för passagerarinformation har fått PNR-information från en annan medlemsstat krävs ett medgivande från den medlemsstaten till överföringen enligt 8 kap. 2 § första stycket brottsdatalagen (2018:000). Om medgivande till överföringen på grund av tidsbrist inte kan hämtas in i förväg, får informationen ändå överföras om det är absolut nöd- vändigt för att avvärja en specifik och faktisk fara med anknytning till terroristbrottslighet eller annan allvarlig brottslighet. Rätt att meddela föreskrifter 10 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om upp- ställande av villkor vid överföring till tredjeland och om information till en annan medlemsstat när PNR-information har överförts utan förhands- medgivande. Överföring av behörighetsbegränsade PNR-uppgifter i sin fullständiga form 11 § PNR-uppgifter som är behörighetsbegränsade enligt 3 kap. 11 § får endast överföras i sin fullständiga form till behöriga mottagare eller ett tredjeland om det rimligen kan antas vara nödvändigt för att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller annan allvarlig brottslighet. Om en förundersökning pågår ska en begäran från en behörig myndig- het om att få tillgång till fullständiga PNR-uppgifter beslutas av en åklagare. I de fall som inte omfattas av andra stycket krävs att tillstånd till över- föringen har lämnats av . Behöriga myndigheters behandling av PNR- information 1 § En behörig myndighet som har mottagit PNR-information från enheten för passagerarinformation efter enhetens förhandsbedömning ska förstöra informationen om den visar sig sakna betydelse för att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslig- het eller annan allvarlig brottslighet. 2 § Om en behörig myndighet mottar PNR-uppgifter som utgör sådana känsliga personuppgifter som avses i 1 kap. 7 § ska uppgifterna omedel- bart förstöras. Behandling av PNR-information för annan brottslighet 3 § Om det har kommit fram uppgifter om ett annat brott än terrorist- brottslighet eller annan allvarlig brottslighet i samband med en brotts- bekämpande åtgärd som en behörig myndighet vidtar till följd av behandling av PNR-information, får informationen, utöver vad som anges i 1 kap. 5 §, användas för att förhindra, utreda eller lagföra brottet. 4 § Ett beslut som har rättsliga följder för en fysisk person eller annars i betydande grad påverkar honom eller henne får inte enbart grundas på en automatiserad behandling av PNR-uppgifter. Rätt att meddela föreskrifter 5 § Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om behöriga myndigheters inhämtande av PNR-information. 1 § En sanktionsavgift ska tas ut av ett lufttrafikföretag som inte har överfört PNR-uppgifter enligt bestämmelserna i denna lag eller före- skrifter som har meddelats i anslutning till lagen. 2 § Sanktionsavgiften ska för varje flygning som har utförts utan att lufttrafikföretaget har fullgjort sin överföringsskyldighet bestämmas till lägst och högst .