prop · H503234 · 2018-04-19 00:00:00 — insamlingen av PNR-uppgifter och överföringen av dessa uppgifter till enheten för passagerarinformation samt om sina rättigheter i egenskap av Vem som ska lämna denna information till passagerarna Informationen skulle således kunna lämnas såväl av lufttrafik- företagen som av enheten för passagerarinformation. angett att den mest praktiska och önskvärda lösningen är att information- en lämnas av lufttrafikföretagen. Lufttrafikföretagens personuppgiftsbehandling kommer efter den 25 att regleras av dataskyddsförordningen. Enskildas rätt till in- formation regleras i artiklarna 12–14 i förordningen. serna ska lufttrafikföretagen, om informationen samlas in från den regi- strerade, lämna viss information till den registrerade, bl.a. vilka mottagare eller kategorier av mottagare som ska ta del av personuppgifterna. följer det redan av dataskyddsförordningen att lufttrafikföretagen ska informera sina passagerare om att de insamlade PNR-uppgifterna kommer att överföras till enheten för passagerarinformation. lufttrafikföretagen inte har samlat in uppgifterna från den registrerade själv, utan erhållit dem från en researrangör eller resebyrå, gäller dock inte informationsskyldigheten eftersom utlämnande av uppgifterna följer av en författningsreglerad skyldighet (se artikel 14.5 c i förordningen). Regeringen delar kommissionens uppfattning att den mest praktiska lösningen är att lufttrafikföretagen åläggs en skyldighet att informera sina passagerare, oavsett om de själva samlat in uppgifterna eller om de er- hållit dem från en researrangör eller resebyrå. liknande information till sina resenärer inför resor till länder som kräver tillgång till PNR-uppgifter. lämnas tillsammans med övrig information som lufttrafikföretagen ska lämna till sina passagerare enligt dataskyddsförordningen. har framhållit att den enskilde, genom att kontakta ett lufttrafikföretag via nätet eller göra en bokning på annat sätt, inte kan anses ha samtyckt till att information om honom eller henne samlas in nyttjas av lufttrafikföretaget. hållit att den registrerade innan den kan samtycka till att personupp- gifterna behandlas genom att vidarebefordras till andra aktörer tydligt måste ha informerats om detta. För överföringen av uppgifterna till enheten för passagerarinformation krävs inget samtycke från den enskilde eftersom behandlingen är nöd- vändig för att fullgöra en rättslig förpliktelse som åvilar lufttrafikföre- tagen (artikel 6.1 c dataskyddsförordningen). När det gäller lufttrafik- företagens insamling av uppgifterna förutsätter regeringen att lufttrafik- företagen efter följer dataskyddsförordningens be- stämmelser och att insamlingen av uppgifterna vilar på en rättslig grund enligt artikel 6.1 i förordningen. Den enskildes rätt till information följer, som framgått ovan, redan av dataskyddsförordningen. Eftersom förordningen inte ställer krav på in- formation för det fall lufttrafikföretagen har erhållit PNR-informationen från resebyråer eller researrangörer anser regeringen att lufttrafik- företagen även i den nya lagen bör åläggas att informera passagerarna om överföringen av PNR-uppgifter till enheten för passagerarinformation. Skyldigheten gäller därmed oavsett om PNR-uppgifterna samlats in direkt från passagerare eller via en resebyrå eller en researrangör. Eftersom endast en upplysning om att PNR-uppgifterna kommer att över- föras till enheten för passagerarinformation kan vara svår att förstå för den enskilde resenären bör lufttrafikföretagen även informera om skälen till överföringen. Ett åläggande att lämna denna information påverkar inte lufttrafikföretagens övriga informationsskyldighet enligt dataskydds- förordningen och får i enlighet med artikel 6.2 och 6.3 i data- skyddsförordningen anses utgöra en sådan tillåten nationell bestämmelse som säkerställer en laglig och rättvis behandling. Det medför inte heller någon inskränkning i skyldighet att i egenskap av personuppgiftsansvarig lämna information om den personuppgifts- behandling som kommer att ske vid enheten för passagerarinformation. 9Behandling av PNR-information vid enheten för passagerarinformation 9.1En databas för PNR-uppgifter Regeringens förslag: PNR-uppgifter som har överförts från lufttrafik- företag ska bevaras i en databas vid enheten för passagerar- information. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna yttrar sig inte särskilt i denna fråga. Skälen för regeringens förslag: Medlemsstaterna ska enligt artikel 12.1 i direktivet se till att PNR-uppgifter som lämnas av lufttrafikföretag till enheten för passagerarinformation lagras i en databas. Det bör framgå av den nya lagen att det vid enheten för passagerar- information ska finnas en datoriserad uppgiftssamling där PNR-uppgifter som har överförts från lufttrafikföretagen ska bevaras. Bestämmelsen bör vara utformad nära direktivets ordalydelse. 9.2Behandling av PNR-information ska ske i Regeringens förslag: behandling av PNR-information ska ske i . Utredningens förslag överensstämmer inte med regeringens. Utred- ningen föreslår att enheten för passagerarinformations behandling av PNR-information inte får ske utanför medlemsstaternas territorium. Remissinstanserna: anser att det kan finnas anledning att på ett tydligare sätt genomföra direktivets krav på säkerhetsbestämmelser i artikel 6.8. Övriga remissinstanser har inte några synpunkter på försla- get. Skälen för regeringens förslag: Enligt artikel 6.8 i PNR-direktivet ska lagring, behandling och analys av PNR-uppgifter vid enheten för passagerarinformation uteslutande utföras på en eller flera säkra platser på en medlemsstats territorium. Av skäl 13 i direktivet framgår att medlemsstater gemensamt får inrätta en enhet för passagerarinformation. I lagrådsremissen föreslår regeringen att enheten för passagerar- informations behandling av PNR-information ska ske på en medlemsstats territorium, dvs. inte nödvändigtvis i . Enligt Lagrådet kan det ifrågasättas om genomförandet är förenligt med vad som föreskrivs i artikel 6.8. Lagrådet menar att ordalydelsen i artikeln snarare ger stöd för att PNR-information ska behandlas i den medlemsstat där den aktuella enheten för passagerarinformation är belägen. Lagrådet förordar därför att enheten för passagerarinformations behandling av PNR-information begränsas till behandling i . Regeringen instämmer i att direktivet kan utläsas på det sätt som Lagrådet menar och delar bedömningen att enhetens behandling av PNR-information bör begränsas till svenskt territorium. Bestämmelsen bör därför ändras i enlighet med Lagrådets förslag. Med tanke på att de generella säkerhetsbestämmelserna i 3 kap. brottsdatalagen och registerförfattningarna kommer att gälla utöver den nya lagen, är det enligt regeringens mening inte nödvändigt att särskilt föreskriva att hanteringen även ska ske på säkra platser. Det framgår redan av de generella bestämmelserna. Regeringen delar därför inte Tull- verkets uppfattning att direktivets krav på säkerhetsbestämmelser be- höver genomföras på ett tydligare sätt. 9.3Personuppgiftsansvar vid enheten för passagerarinformation Regeringens förslag: ska vara personuppgifts- ansvarig för den behandling av personuppgifter som utförs vid enheten för passagerarinformation. Utredningens förslag överensstämmer med regeringens. Remissinstanserna har inte några synpunkter på förslaget. Skälen för regeringens förslag: PNR-direktivet innehåller inte några särskilda bestämmelser om personuppgiftsansvar. Däremot innehåller direk- tivet en rad skyldigheter för de nationella enheterna för passagerar- information när det gäller krav på behandling av personuppgifter. Den svenska enheten för passagerarinformation kommer att inrättas vid och ingå som en organisatorisk enhet i den myn- digheten. Personuppgiftsansvaret för den behandling av personuppgifter som enheten utför enligt den nya lagen bör därför ligga på Polismyndig- heten. Frågan är om detta behöver regleras särskilt. För personuppgiftsbehandling vid enheten för passagerarinformation kommer brottsdatalagen och polisdatalagen (2010:361) att bli tillämplig, för det fall inte annat anges i den nya lagen. Av polisdatalagen framgår att är personuppgifts- ansvarig för den personuppgiftsbehandling som utförs vid myndigheten. Det är därför inte nödvändigt att i den nya lagen ange att det är Polis- myndigheten som har personuppgiftsansvaret för enhetens person- uppgiftsbehandling. Eftersom frågan förtjänar tydlighet anser dock rege- ringen att det i den nya lagen bör införas en bestämmelse om Polis- myndighetens personuppgiftsansvar. Bestämmelsen är således av upp- lysande karaktär och förtydligar att det är som ansva- rar för den behandling av personuppgifter som utförs vid enheten för passagerarinformation. Efter att PNR-uppgifterna har överförts från enheten för passagerar- information till olika behöriga myndigheter kommer respektive myndig- het att ansvara för de överförda personuppgifterna och dess fortsatta be- handling av dem. Någon särskild reglering av personuppgiftsansvaret hos de behöriga myndigheterna behöver inte tas in i den nya lagen. Lufttrafikföretagen har ansvaret för de uppgifter som de samlar in och behandlar i sin verksamhet. Lufttrafikföretagens personuppgiftsansvar framgår av dataskyddsförordningen. Det förhållandet att lufttrafikföre- tagen åläggs en skyldighet att översända redan insamlade uppgifter till enheten för passagerarinformation medför inget behov av en särskild reglering av personuppgiftsansvaret eftersom bestämmelserna i data- skyddsförordningen kommer att omfatta även den behandlingen av upp- gifterna. För det fall att ett lufttrafikföretag anlitar en systemleverantör för överföringen till enheten för passagerarinformation uppträder denne, i fråga om överföringen, som ett personuppgiftsbiträde som behandlar personuppgifter för det personuppgiftsansvariga lufttrafikföretagets räk- ning. Ansvaret för att överföringen till enheten för passagerarinformation sker på ett säkert sätt ligger således hos lufttrafikföretagen. givetvis inget ansvar för den hanteringen som sker efter att enheten för passagerarinformation har mottagit uppgifterna. Regeringens bedömning: Bestämmelserna i brottsdatalagen om per- sonuppgiftsincidenter bör i sin helhet tillämpas på personuppgifts- incidenter vid enheten för passagerarinformation. incidenter behöver därför inte regleras särskilt i den nya lagen. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna har inte några synpunkter på förslaget. Skälen för regeringens bedömning: Enligt artikel 13.8 i PNR- direktivet ska enheten för passagerarinformation utan onödigt dröjsmål informera den registrerade och den nationella tillsynsmyndigheten om en personuppgiftsincident kan antas medföra ett avsevärt hot mot skyddet av den registrerades personuppgifter eller negativt påverka dennes integritet. Bestämmelsen har sin motsvarighet i 3 kap. 9 § och 10 § första stycket i förslaget till brottsdatalag vilka kommer att gälla för eventuella person- uppgiftsincidenter vid enheten för passagerarinformation i den mån det inte införs avvikande bestämmelser i den nya lagen. I 3 kap. 9 § brottsdatalagen föreskrivs att en personuppgiftsincident ska anmälas till tillsynsmyndigheten senast efter det att den per- sonuppgiftsansvarige har fått kännedom om incidenten, utom i de fall incidenten ska rapporteras enligt säkerhetsskyddslagen (1996:627) eller föreskrifter som har meddelats i anslutning till den lagen. undantag finns inte angivet i PNR-direktivet. dock inte av unionsrätten. Det finns därför inte något hinder mot att ha ett motsvande undantag vid genomförandet av PNR-direktivet. Om en personuppgiftsincident som ska anmälas enligt 3 kap. 9 § första stycket brottsdatalagen har medfört eller kan medföra risk för otillbörligt intrång i registrerades personliga integritet ska den personuppgifts- ansvarige enligt 3 kap 10 § första stycket brottsdatalagen underrätta den registrerade om incidenten. I brottsdatalagen finns alltså bestämmelser om rapportering av person- uppgiftsincidenter till både tillsynsmyndigheten och den registrerade. Regeringen anser att bestämmelserna i brottsdatalagen lever upp till kraven i PNR-direktivet. I 3 kap. 10 § andra och tredje styckena och 11 § brottsdatalagen regleras vissa undantag från underrättelseskyldigheten, t.ex. om den personuppgiftsansvarige har tillämpat lämpliga tekniska och organisatoriska skyddsåtgärder, har säkerställt att det inte längre finns risk för otillbörligt intrång i den personliga integriteten eller om den personuppgiftsansvarige skulle behöva göra oproportionerliga ansträng- ningar för att underrätta alla berörda. heter till dessa undantag. Undantagen och deras genomförande i brotts- datalagen är emellertid resultatet av rimliga och nödvändiga avvägningar. Om inte samma undantag skulle gälla för enheten för passagerarinformation skulle enheten åläggas orimliga krav som inte står i proportion till enskildas behov av information. Undantagen i brottsdatalagen bör därför vara tillämp- liga även för sådana personuppgiftsincidenter som kan komma att uppstå vid enheten för passagerarinformation. Särskilda bestämmelser om person- uppgiftsincidenter behöver således inte införas i den nya lagen. 9.5Tillåtna ändamål för behandling av PNR- uppgifter från lufttrafikföretag Regeringens förslag: ska endast få behandla PNR-uppgifter som har överförts från lufttrafikföretag för vissa särskilda ändamål. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna: Nästan alla remissinstanser tillstyrker förslaget eller lämnar det utan erinran. föreslår att ordet ändamål i bestämmelsen och rubriken till bestämmelsen byts ut till rättsliga grunder i likhet med brottsdatalagens utformning. Skälen för regeringens förslag Tillåtna ändamål för behandlingen I artikel 6.2 i PNR-direktivet finns bestämmelser om vad enheten för passagerarinformation får göra med de insamlade PNR-uppgifterna. Av bestämmelsen framgår att enheten endast får behandla PNR-uppgifterna för följande tre ändamål: –Göra en bedömning av passagerare före deras beräknade ankomst till eller avresa från den berörda medlemsstaten, för att identifiera perso- ner som de behöriga myndigheterna och i förekommande fall Europol behöver utreda ytterligare, på grund av att dessa personer kan vara inblandade i terroristbrott eller grov brottslighet. –I enskilda fall, besvara en vederbörligen motiverad förfrågan som bygger på tillräckliga skäl från de behöriga myndigheterna om att tillhandahålla och behandla PNR-uppgifter i specifika fall i syfte att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott eller grov brottslighet och tillhandahålla de behöriga myndigheterna eller, när så är lämpligt, Europol resultaten av sådan behandling. –Analysera PNR-uppgifter för att uppdatera och skapa nya kriterier som ska användas vid de bedömningar som genomförs enligt arti- kel 6.3 b, i syfte att identifiera personer som kan vara delaktiga i terroristbrott eller grov brottslighet. Av artiklarna 9 och 11 i PNR-direktivet framgår att PNR-uppgifterna även får lämnas ut till andra medlemsstater och tredjeländer. I den nya lagen bör regleras för vilka ändamål PNR-uppgifter som har mottagits från lufttrafikföretagen får behandlas. Artikel 6.2 bör genom- föras genom en bestämmelse som på ett enkelt sätt beskriver för vilka ändamål enheten får behandla PNR-uppgifter och som dessutom inklu- derar behandling för sådana ändamål som anges i artiklarna 9 och 11. har föreslagit att bestämmel- sen ska benämnas rättslig grund i stället för tillåtna ändamål. till ny brottsdatalag skiljer man på bestämmelser om rättslig grund och bestämmelser om ändamål. Bestämmelser om ändamål är bestämmelser som är tillräckligt specificerade för att ge ledning för bedömningen av vilka uppgifter som är adekvata och relevanta för behandlingen och för att kunna avgöra att inte för många uppgifter behandlas. Sådana be- stämmelser ska skiljas från bestämmelser om rättslig grund för behand- lingen som inte ger någon egentlig ledning för prövningen av vilka personuppgifter som får behandlas. Den nu föreslagna bestämmelsen är enligt regeringens mening en sådan tillräckligt specificerad bestämmelse som ger ledning i hur personuppgifterna får behandlas och är därmed en ändamålsbestämmelse och inte en rättslig grund. Bestämmelsen bör därför, som föreslagits av utredningen, benämnas tillåtna ändamål. Uppräkningen i bestämmelsen innebär att PNR-uppgifter som har överförts från ett lufttrafikföretag endast får behandlas för något av de angivna ändamålen. PNR-uppgifterna får också behandlas när det är nödvändigt för att tillhandahålla uppgifter som behövs för verksamhet som rör nationell säkerhet enligt 1 kap. 6 §. Paragrafen ersätter de ända- målsbestämmelser som anges i 2 kap. 7 och 8 §§ polisdatalagen och utesluter en tillämpning av 2 kap. 4 § brottsdatalagen om nya ändamål. Behandling är dock alltid tillåten för att uppfylla de syften som anges i 2 kap. tryckfrihetsförordningen om allmänna handlingars offentlighet. Vidare får PNR-uppgifterna alltid behandlas för att besvara en förfrågan från en enskild om huruvida dennes personuppgifter behandlas vid en- heten eller för att ge tillsynsmyndigheten tillgång till behandlade upp- gifter. Hur de olika ändamålen ska regleras i lagen behandlas nedan. Regeringens förslag: PNR-uppgifter ska få behandlas för att göra en förhandsbedömning av passagerare. Bedömningen ska göras före den beräknade ankomsten till eller avresan från i syfte att välja ut personer som behöver utredas ytterligare av behöriga myndigheter eller Europol, på grund av att de kan vara inblandade i terroristbrottslighet eller annan allvarlig brottslighet. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: anser att ordet utreda bör bytas ut mot ordet undersöka för att undvika oklarheter rörande för vilka ändamål förhandsbedömningar får göras. Övriga remissinstanser har inte några synpunkter på förslaget. Skälen för regeringens förslag: har enligt artikel 6.2 a i PNR-direktivet en möjlighet att använda de in- samlade PNR-uppgifterna för att göra en bedömning av passagerare före deras beräknade ankomst till eller avresa från den berörda medlems- staten. En sådan kontroll av PNR-uppgifter innebär en möjlighet för de behöriga myndigheterna att utifrån objektiva bedömningskriterier och tidigare erfarenheter göra en bedömning av personer som kan utgöra ett säkerhetshot. Syftet med en sådan användning är att övervaka eller gripa personer innan ett brott har begåtts. Uppgifterna kan även användas för att ingripa mot personer som har begått eller håller på att begå ett brott. PNR-uppgifterna kan således vara ett användbart verktyg för behöriga myndigheter i realtid och ger de behöriga myndigheterna möjlighet att identifiera personer som kanske inte har varit misstänkta för inblandning i terrorism eller annan allvarlig brottslighet, men som enligt en analys av uppgifterna kan vara involverade i sådan brottslighet och därför bör bli föremål för ytterligare utredning. En bestämmelse som i stort sett motsvarar ordalydelsen i artikel 6.2 a bör införas i den nya lagen. I likhet med utredningen anser regeringen dock att uttrycket välja ut bör användas i stället för direktivets uttryck identifiera. anser att direktivets begrepp utreda bör bytas ut mot begreppet undersöka, för att undvika oklarheter avseende för vilka ändamål förhandsbedömningar får göras och en förväxling med ordet utreda i 1 kap. 2 § i lagförslaget. På så sätt uppnås enligt myn- digheten även den distinktion som finns i den engelska språkversionen av PNR-direktivet, av vilket det enligt artikel 6.2 a framgår att förhands- bedömningen ska göras to identify persons who require further examin- ation medan ordet utreda motsvaras av ordet investigate i artikel 1.2. Regeringen delar dock inte farhåga för oklarheter eller förväxling utan anser i likhet med utredningen att direktivets be- grepp utreda bör användas även i den nya lagen. Sammanfattningsvis bör det därför framgå av den nya lagen att enheten för passagerarinformation får göra en förhandsbedömning av passagerare före deras beräknade ankomst till eller avresa från i syfte att välja ut personer som behöver utredas ytterligare av behöriga myndig- heter eller Europol, på grund av att dessa personer kan vara inblandade i terroristbrottslighet eller annan allvarlig brottslighet. Eftersom syftet med behandlingen är att PNR-informationen ska utredas vidare av nationella behöriga myndigheter eller av Europol ska behandlingen inte ske för att finna personer som bör utredas vidare vid andra medlemsstaters enheter för passagerarinformation. För det fall enheten skulle finna att den fram- tagna informationen kan vara av intresse även för en annan medlemsstat ska dock informationen lämnas ut även till den medlemsstatens enhet för passagerarinformation. Se vidare avsnitt 10.2. 9.5.2Överföring till behöriga mottagare och tredjeland Regeringens förslag: PNR-uppgifter ska få behandlas för att enheten för passagerarinformation ska kunna fullgöra sina uppgifter att över- föra PNR-information till behöriga mottagare eller tredjeländer. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna yttrar sig inte särskilt över förslaget. Skälen för regeringens förslag: Enligt artikel 6.2 b i PNR-direktivet ska enheten för passagerarinformation tillhandahålla de behöriga myn- digheterna eller, när så lämpligt, Europol resultatet av behandlingen av PNR-uppgifterna, dvs. resultatet av förhandsbedömningen. Av artikel 9.1 framgår att enheten även får behandla PNR-uppgifter genom att på eget initiativ överföra relevanta och nödvändiga PNR-uppgifter eller resultatet av en eventuell behandling av dessa uppgifter till motsvarande enheter i PNR-uppgifter fyller dock inte bara behovet av att kunna användas i realtid för att förhindra brottslighet. Uppgifterna kan även behöva använ- das efter att ett brott har begåtts för att ta fram bevisning och, i före- kommande fall, hitta medbrottslingar och nysta upp kriminella nätverk. I brottsutredningar kan PNR-uppgifter användas exempelvis för att kart- lägga var en misstänkt har befunnit sig , vem personen har rest med och vem som har betalat för resan. Exempelvis kan kredit- kortsinformation som ingår bland PNR-uppgifterna göra det möjligt för de behöriga myndigheterna att identifiera och styrka kopplingar mellan en person och en känd brottsling eller ett kriminellt nätverk. Bevarade PNR- uppgifter kan även vara av intresse i underrättelseverksamhet eller annan verksamhet för att förebygga, förhindra eller upptäcka brottslig verksam- het. I artikel 6.2 b i direktivet anges därför att PNR-uppgifterna även får användas i enskilda fall för att besvara en vederbörligen motiverad för- frågan från en behörig myndighet om att tillhandahålla och behandla PNR-uppgifter i ett specifikt fall. Behöriga myndigheter kan alltså vända sig till enheten för passagerarinformation och begära att få ut PNR- uppgifter som kan vara av värde för dem i deras arbete. En förfrågan ska enligt direktivet bygga på tillräckliga skäl och vara ställd i syfte att före- bygga, förhindra, upptäcka, utreda eller lagföra terroristbrott eller grov brottslighet. Av andra bestämmelser i direktivet framgår att enheten för passa- gerarinformation under vissa förutsättningar även ska besvara för- frågningar från andra än behöriga myndigheter om att få ta del av sådana PNR-uppgifter som lagras vid enheten. Sådana förfrågningar kan komma från andra medlemsstaters enheter för passagerarinformation (artikel 9.2), myndigheter som har utsetts till behöriga i andra medlemsstater (artikel 9.3) och Europol (artikel 10.2). Enligt artikel 11 i direktivet får PNR- uppgifter även i vissa fall behandlas för att överföras till ett tredjeland.