prop · H503234 · 2018-04-19 00:00:00 — Alla lufttrafikföretag ska bestämma vilket gemensamt protokoll och vilket dataformat de avser att använda för sina överföringar och underrätta enheten för passagerarinformation om detta. 3.En förteckning över gemensamma protokoll och understödda dataformat ska upprättas och vid behov anpassas av kommissionen genom genomförandeakter. Dessa genomförandeakter ska antas i enlighet med det granskningsförfarande som avses i artikel 17.2. 4.Punkt 1 ska tillämpas så länge som de gemensamma protokoll och understödda dataformat som avses i punkterna 2 och 3 inte finns tillgängliga. 5.Inom ett år från den dag då de gemensamma protokoll och understödda dataformat som avses i punkt 2 antas, ska medlemsstaterna vidta de tekniska åtgärder som krävs för att dessa gemensamma protokoll och dataformat ska kunna börja användas. L 119/146 Europeiska unionens officiella tidning 1.Kommissionen ska biträdas av en kommitté. Denna kommitté ska vara en kommitté i den mening som avses i och rådets förordning (EU) nr 182/2011. 2.När det hänvisas till denna punkt ska artikel 5 i förordning (EU) nr 182/2011 tillämpas. Om kommittén inte avger något yttrande, ska kommissionen inte anta utkastet till genomförandeakt och artikel 5.4 tredje stycket i förordning (EU) nr 182/2011 ska tillämpas. Medlemsstaterna ska sätta i kraft de bestämmelser i lagar och andra författningar som är nödvändiga för att följa detta direktiv . De ska genast underrätta kommissionen om detta. När en medlemsstat antar dessa bestämmelser ska de innehålla en hänvisning till detta direktiv eller åtföljas av en sådan hänvisning när de offentliggörs. Närmare föreskrifter om hur hänvisningen ska göras ska varje medlemsstat själv utfärda. Medlemsstaterna ska till kommissionen överlämna texterna till de centrala bestämmelser i nationell rätt som de antar inom det område som omfattas av detta direktiv. 1.På grundval av information som medlemsstaterna tillhandahållit, inbegripet de statistiska uppgifter som avses i artikel 20.2, ska kommissionen göra en översyn av samtliga delar av detta direktiv och överlämna till och lägga fram en rapport för och rådet. 2.Kommissionen ska, när den utför sin översyn, lägga särskild vikt vid a)efterlevnaden av de tillämpliga standarderna för skydd av personuppgifter, b)nödvändigheten och proportionaliteten i insamlingen och behandlingen av PNR-uppgifter för vart och ett av de syften som fastställs i detta direktiv, c)längden på den period som uppgifterna lagras, d)ändamålsenligheten i informationsutbytet mellan medlemsstaterna, och e)kvaliteten på bedömningarna, även med hänsyn till den statistik som samlats in i enlighet med artikel 20. 3.Den rapport som avses i punkt 1 ska också innefatta en översyn av nödvändigheten, proportionaliteten och ändamålsenligheten i att i detta direktivs tillämpningsområde inbegripa obligatorisk insamling och överföring av PNR-uppgifter avseende samtliga eller utvalda flygningar inom EU. Kommissionen ska beakta medlemsstaternas erfarenheter, särskilt de medlemsstater som tillämpar detta direktiv på flygningar inom EU i enlighet med artikel 2. Rapporten ska också beakta huruvida det är nödvändigt att låta ekonomiska aktörer som inte är trafikföretag, t.ex. resebyråer och researrangörer som tillhandahåller reserelaterade tjänster, inklusive bokning av flygningar, omfattas av detta direktivs tillämpningsområde. Europeiska unionens officiella tidning L 119/147 Mot bakgrund av den översyn som genomförs i enlighet med denna artikel, ska kommissionen om lämpligt lägga fram ett lagstiftningsförslag för och rådet i syfte att ändra detta direktiv. 1.Medlemsstaterna ska tillhandahålla kommissionen statistik om PNR-uppgifter som lämnats till enheterna för passagerarinformation. Sådan statistik får inte innehålla några personuppgifter. 2.Statistiken ska åtminstone omfatta följande: a)Det totala antalet passagerare vars PNR-uppgifter samlats in och utbytts. b)Antalet passagerare som identifierats för ytterligare undersökning. Förhållande till andra instrument 1.Medlemsstaterna får fortsätta att sinsemellan tillämpa de bilaterala eller multilaterala avtal eller ordningar som är i kraft på utbyte av uppgifter mellan behöriga myndigheter, förutsatt att dessa avtal eller ordningar är förenliga med detta direktiv. 2.Detta direktiv påverkar inte tillämpligheten av direktiv /46/EG på lufttrafikföretags behandling av personuppgifter. 3.Detta direktiv påverkar inte medlemsstaternas eller unionens eventuella skyldigheter och åtaganden enligt bilaterala eller multilaterala avtal med tredjeländer. Detta direktiv träder i kraft den tjugonde dagen efter det att det har offentliggjorts i Europeiska unionens officiella tidning. Detta direktiv riktar sig till medlemsstaterna i enlighet med fördragen. L 119/148 Europeiska unionens officiella tidning PNR-uppgifter som samlas in av lufttrafikföretag 2.Datum för bokning/utfärdande av biljett. 3.Planerat/planerade resdatum. 5.Adress och kontaktuppgifter (telefonnummer och e-postadress). 6.Alla former av betalningsinformation, inbegripet faktureringsadress. 7.Hela resrutten för aktuell passageraruppgiftssamling. 8.Uppgifter om bonusprogram. 9.Resebyrå/resebyråtjänsteman. 10.Passagerarens resestatus, inbegripet resebekräftelser, incheckningsstatus, no show (passagerare som inte infinner sig) eller go show (passagerare utan bokning). 12.Allmänna anmärkningar (inklusive alla tillgängliga uppgifter om ensamkommande barn , såsom namn och kön, ålder, språkkunskaper, namn och kontaktuppgifter för den person som följer barnet till incheckning för avresan och denna persons förhållande till barnet, namn och kontaktuppgifter för den person som hämtar barnet vid ankomsten och denna persons förhållande till barnet, flygplatsanställd som ledsagar barnet vid avresan respektive ankomsten). 13.Biljettinformation, inbegripet biljettnummer, datum för utfärdande av biljetten, enkelbiljetter och automatisk biljettprisuppgift. 14.Platsnummer och annan platsinformation. 15.Information om gemensam linjebeteckning. 17.Antal medresenärer i PNR-uppgifterna samt deras namn. 18.Eventuell förhandsinformation (API) som samlats in (inklusive typ av identitetshandling, identitetshandlingens nummer, utfärdandeland och sista giltighetsdag, efternamn, förnamn, kön, födelsedatum, lufttrafikföretag, flygnummer, utresedatum, ankomstdatum, avresehamn, ankomsthamn, avresetid och ankomsttid). 19.Alla ändringar som gjorts av de PNR-uppgifter som anges i punkterna 1–18. Europeiska unionens officiella tidning L 119/149 Förteckning över brott enligt artikel 3.9 1.Deltagande i en kriminell organisation. 3.Sexuellt utnyttjande av barn samt barnpornografi. 4.Olaglig handel med narkotika och psykotropa ämnen. 5.Olaglig handel med vapen, ammunition och sprängämnen. 7.Bedrägeri, inbegripet riktat mot unionens finansiella intressen. 8.Penningtvätt och penningförfalskning, inklusive förfalskning av euron. 9.It-brottslighet/cyberbrottslighet. 10.Miljöbrott, inbegripet olaglig handel med hotade djurarter och hotade växtarter och växtsorter. 11.Hjälp till olovlig inresa och olovlig vistelse. 12.Mord, grov misshandel. 13.Olaglig handel med mänskliga organ och vävnader. 14.Människorov, olaga frihetsberövande och tagande av gisslan. 15.Organiserad stöld och väpnat rån. 16.Olaglig handel med kulturföremål, inbegripet antikviteter och konstverk. 17.Varumärkesförfalskning och piratkopiering. 18.Förfalskning av administrativa dokument och handel med sådana förfalskningar. 19.Olaglig handel med hormonsubstanser och andra tillväxtsubstanser. 20.Olaglig handel med nukleära och radioaktiva ämnen. 22.Brott som omfattas av den internationella brottmålsdomstolens behörighet. 23.Kapning av flygplan eller fartyg. 25.Handel med stulna fordon. Europeiska unionens officiella tidning L 313/59 Rättelse till och rådets direktiv (EU) 2016/681 av om användning av passageraruppgiftssamlingar (PNR-uppgifter) för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet (Europeiska unionens officiella tidning 119 av ) 1.Sidan 138, artikel 3.9 I stället för: ”9. grov brottslighet: brott som förtecknas i bilaga II vilka bestraffas med fängelse eller annan frihetsberövande åtgärd enligt en medlemsstats nationella rätt,” ska det stå: ”9. grov brottslighet: brott som förtecknas i bilaga II som kan leda till fängelse eller annan frihetsberövande åtgärd enligt en medlemsstats nationella rätt,”. 2.Sidan 148, bilaga I, punkt 18 I stället för: ”18. … (inklusive typ av identitetshandling, identitetshandlingens nummer, utfärdandeland och sista giltighetsdag, efternamn, förnamn, …” ska det stå: ”18. … (inklusive typ av identitetshandling, identitetshandlingens nummer, utfärdandeland och sista giltighetsdag, nationalitet, efternamn, förnamn, …”. Sammanfattning av betänkandet Lag om flyg- passageraruppgifter i brottsbekämpningen (SOU 2017:57) antog och rådet direktiv (EU) 2016/681 om användning av passageraruppgiftssamlingar (PNR- uppgifter) för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet (nedan kallat PNR-direktivet). PNR är en förkortning av den engelska benämningen . Det som åsyftas är uppgifter som passagerare lämnar vid beställning och bokning av flygresor samt vid incheckning. Uppgifterna kan till exempel avse namn, resedatum, resväg, bagageinformation och betalningssätt. Lufttrafikföretagen samlar in och behandlar sådana uppgifter om sina passagerare för sina egna operativa och kommersiella syften. PNR-uppgifter är också av intresse i det brottsbekämpande arbetet. Uppgifterna kan t.ex. användas för att sålla ut tidigare okända passagerare som skulle kunna vara intressanta för myndigheterna att kontrollera. PNR-uppgifterna kan även användas i samband med brottsutredningar eller för att analysera och fastställa misstänkta rese- och beteendemönster. Myndigheter världen över har i allt större utsträckning börjat samla in från lufttrafikföretag och analysera dem bekämpa terrorism och grov brottslighet. myndigheten, Säkerhetspolisen och begära in vissa PNR-direktivet utgör ett unionsgemensamt regelverk för insamling och användning av PNR-uppgifter i viss brottsbekämpande verksamhet. Utredningens övergripande uppdrag är att lämna förslag till de lagändringar som krävs för att genomföra PNR-direktivet i svensk rätt. En ny lag om flygpassageraruppgifter i brottsbekämpningen Vi föreslår att PNR-direktivet i huvudsak ska genomföras i en ny lag, lagen om flygpassageraruppgifter i brottsbekämpningen. innehåller bestämmelser om lufttrafikföretags överföring av PNR- uppgifter till enheten för passagerarinformation och om behandlingen av PNR-uppgifter i verksamhet för att förebygga, förhindra, upp-täcka, utreda eller lagföra terroristbrottslighet eller grov brottslighet. Syftet med lagen är att tillgodose behovet av tillgång till PNR-upp-gifter i sådan verksamhet och att skydda människor mot att deras personliga integritet kränks vid behandling av uppgifter om dem. Lagen, liksom det bakomliggande PNR-direktivet, innehåller såväl verksamhetsreglering som dataskyddsreglering. I sistnämnt avseende har vi bedömt det som lämpligast att anpassa författningsförslaget så långt möjligt till den dataskyddsreform som kommer att genomföras under Bestämmelserna i lagen kommer att gälla utöver eller i stället för de generella bestämmelserna i dataskyddsförordningen, den nya ramlag, brottsdatalagen, som föreslås genomföra det nya dataskyddsdirektivet (SOU 2017:29) och annan särreglering för dataskydd som gäller eller kommer att gälla för berörda myndigheter. Lagen kompletteras med en förordning, som genomför vissa de- taljbestämmelser i direktivet. Otillåten behandling av PNR-information Lagen innehåller en portalbestämmelse som anger att PNR-uppgifter som överförts från lufttrafikföretag eller resultatet av en enhet för passagerarinformations behandling av sådana uppgifter, dvs. PNR- information, inte får behandlas för andra syften än att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller grov brottslighet. Terroristbrottslighet definieras i lagen som de brott enligt nationell rätt i eller andra medlemsstater som avses i artiklarna 1–4 i rådets rambeslut /475/RIF av om bekämpande av terrorism. Med grov brottslighet avses de brott som anges i en förteckning i bilaga II till PNR-direktivet och för vilka det i nationell rätt i eller andra medlemsstater är föreskrivet fängelse . Lagen innehåller också ett generellt förbud mot behandling av PNR- uppgifter som utgör känsliga personuppgifter. För det fall enheten för passagerarinformation eller en behörig myndighet mottar sådana uppgifter ska dessa genast raderas. En enhet för passagerarinformation Det ska enligt lagen finnas en enhet för passagerarinformation inom . Denna enhet har till övergripande uppgift att samla in PNR-uppgifter från lufttrafikföretag, lagra och behandla dessa uppgifter och överföra PNR-information till behöriga svenska myndigheter. Enheten ska också ansvara för utbytet av PNR-information inom EU. PNR-uppgifter som behandlas av enheten ska inte vara direkt tillgängliga för behöriga myndigheter eller för övriga som arbetar inom . Direktåtkomst till PNR-information som behandlas vid enheten ska därför inte tillåtas. Inom enheten ska tillgången till PNR- information begränsas genom särskilda behörighetsbestämmelser. PNR-uppgifter ska enligt lagen överföras från lufttrafikföretag som har en giltig operativ licens eller motsvarande som ger rätt att mot vederlag utföra lufttransporter av passagerare, och som i sin normala verksamhet samlar och hanterar PNR-uppgifter i reservationssystem. Som utgångspunkt utesluts från överföringsskyldighet flertalet mindre lufttrafikföretag som utför taxiflygningar från mindre flygstationer som saknar system för avgångskontroll av passagerare. PNR-uppgifterna ska överföras elektroniskt till enheten för passa- gerarinformation. Vilka PNR-uppgifter som ska överföras framgår av en bilaga till lagen. Även s.k. API-uppgifter (se om dessa slags uppgifter nedan) ingår bland de PNR-uppgifter som ska överföras. Uppgifterna i bilagan ska dock endast överföras i de fall lufttrafikföretagen samlar in dem som en del av sin normala verksamhet. Lagen ålägger alltså inte lufttrafikföretagen att hämta in ytterligare PNR-uppgifter om sina passagerare utan endast att överföra sådana uppgifter som de redan har tillgång till. PNR-uppgifterna ska normalt överföras inför varje flygning ankommande till eller avgående från . Den första överföringen ska ske 24–före flygningens avgång och den andra överföringen efter det att gatens dörrar har stängts. Överföringsskyldigheten omfattar såväl flygningar inom EU som flygningar till eller från tredjeland. Ett lufttrafikföretag som inte har överfört PNR-uppgifter i enlighet med bestämmelserna i lagen eller föreskrifter som utfärdats i anslutning till lagen ska betala en sanktionsavgift. Sanktionsavgiften ska för varje flygning som har utförts utan att lufttrafikföretaget har fullgjort sin överföringsskyldighet bestämmas till och högst . Sanktionsavgiften får sättas ned helt eller delvis om överträdelsen är ursäktlig eller om det annars med hänsyn till omständigheterna skulle vara oskäligt att ta ut avgiften. Lufttrafikföretag ska informera passagerare om överföringen av PNR- uppgifter till enheten för passagerarinformation och om skälen till överföringen. Behandling av PNR-uppgifter vid enheten för passagerarinformation De PNR-uppgifter som har överförts till enheten för passagerar- information från lufttrafikföretag ska lagras i en särskild databas vid enheten . Därefter ska de raderas. ska PNR-uppgifterna i databasen maskeras, vilket innebär att tillgängliga uppgifter som direkt kan hänföras till en fysisk person ska göras osynliga för en användare som saknar särskild behörighet för tillgång till uppgifterna. PNR-uppgifter som har överförts till enheten för passagerarinformation från lufttrafikföretag får endast behandlas för följande ändamål. •Förhandsbedömning: Uppgifterna får behandlas för att enheten ska kunna göra en bedömning av passagerare före deras beräknade ankomst till eller avresa från , för att välja ut personer som behöver utredas ytterligare av behöriga myndigheter eller Europol (användning i realtid). Vid en sådan förhandsbedömning av passagerare får PNR-uppgifterna jämföras dels med uppgifter i relevanta register eller andra uppgiftssamlingar, dels med på förhand fastställda kriterier. •Besvara förfrågningar: Lagrade uppgifter får behandlas för att enheten för passagerarinformation ska kunna fullgöra sina uppgifter enligt lagen om att på begäran överföra PNR-information till behöriga mottagare (reaktiv användning). •Utforma urvalskriterier: Uppgifterna får analyseras för att enheten ska kunna uppdatera eller skapa nya kriterier som ska användas vid förhandsbedömningar av passagerare. kommer även att få del av PNR- information som har överförts till enheten från motsvarande enheter i andra medlemsstater. Sådan information får endast behandlas för att vidarebefordras till behöriga myndigheter. är personuppgiftsansvarig för den behandling av personuppgifter som utförs vid enheten för passagerarinformation. ska utse ett dataskyddsombud för enheten för passagerarinformation. Ombudets uppgifter framgår av lagen. Överföring av PNR-information från enheten för passagerarinformation ska fungera som en nod vid vilken massan av PNR-uppgifter som lufttrafikföretagen överför tas emot, lagras och analyseras översiktligt. Endast sådan PNR-information som bedömts vara av intresse för att bekämpa terroristbrottslighet eller grov brottslighet ska därefter nå ut till behöriga myndigheter i det egna landet för vidare analys och åtgärder. Regeringen har utsett , Säkerhetspolisen, , och Försvarsmakten såsom behöriga att ta emot och begära ut PNR-uppgifter från enheten för Ytterligare myndigheter kan komma att utses Enligt lagen ska enheten i enskilda fall överföra resultatet av sina förhandsbedömningar till en eller flera behöriga myndigheter så att de kan utföra en vidare granskning av PNR-informationen. överföra PNR-information till behöriga myndigheter som svar på sär- skilda förfrågningar från en behörig myndighet. vidarebefordra PNR-information som har mottagits från andra med- lemsstaters enheter för passagerarinformation till behöriga myndigheter. En befattningshavare vid enheten ska alltid ha gjort en bedömning av PNR-informationen innan den lämnas från enheten. ska enligt lagen även överföra PNR- information till motsvarande enheter i andra medlemsstater. om enheten vid en förhandsbedömning bedömt att viss information även är relevant och nödvändig för en annan medlemsstat. även ske till andra medlemsstater som svar på en begäran från den Vidare kan överföringar av PNR-information ske till Lagen innehåller också bestämmelser om att enheten för passa- gerarinformation under vissa förutsättningar får överföra PNR- information till tredjeland. Överföring av avmaskerade PNR-uppgifter, dvs. uppgifter där personuppgifter tidigare genomgått en maskering, får bara ske om vissa närmare förutsättningar är uppfyllda. Om förundersökning pågår ska en begäran från en behörig myndighet om att få tillgång till avmaskerade PNR-uppgifter ha beslutats av allmän åklagare. I alla andra fall krävs att myndighetschef har godkänt utlämnandet. Rikspolischefen ska med vissa begränsningar kunna delegera beslutanderätten. Behöriga myndigheters behandling av PNR-information Det finns i lagen särskilda bestämmelser om behandling av PNR- information vid de behöriga myndigheterna. Bland annat anges att ett resultat av enheten för passagerarinformations förhandsbedömning av passagerare genast ska gallras av behöriga myndigheter om det visar sig sakna betydelse för något av de syften som anges i lagens portalbestämmelse. Vidare finns ett undantag från lagens portal- bestämmelse om otillåten behandling av PNR-information. Om det har kommit fram uppgifter om annat slags brott än terroristbrottslighet eller grov brottslighet, s.k. överskottsinformation, i samband med en behörig myndighets insats som görs till följd av behandling av PNR-information, får uppgifterna användas för att förhindra, utreda eller lagföra det brottet. Direktivets krav på generella dataskyddsbestämmelser och rättigheter för enskilda omfattas i stor utsträckning av annan tillämplig dataskyddsreglering och behöver, med något undantag, inte särskilt regleras i den nya lagen. Tillsyn över personuppgiftsbehandling enligt lagen ska utföras av tillsynsmyndigheten enligt den föreslagna brottsdatalagen och i enlighet med bestämmelserna om tillsyn i den lagen. Sanktionsavgift får tas ut av personuppgiftsansvariga myndigheter vid överträdelser av vissa grundläggande bestämmelser i lagen som har till syfte att skydda enskildas integritet. Vid bestämmande av sanktionsavgiftens storlek och i handläggningsfrågor ska sanktions- avgiftssystemet i den föreslagna brottsdatalagen och den tillhörande förordningen tillämpas. Befintlig sekretesslagstiftning bedöms ge ett tillfredsställande skydd för PNR-informationen såväl vid enheten för passagerarinformation som vid behöriga myndigheter. Någon ny eller ändrad sekretessreglering är inte motiverad. Inte heller behövs det någon särskild bestämmelse om sekretessgenombrott. PNR-direktivets förhållande till API-direktivet API-uppgifter (Advance Passenger Information) avser främst sådan information som finns på passets maskinläsbara del, såsom namn, födelsedatum, nationalitet och passnummer. verifierbar information och används därför huvudsakligen som ett verktyg för identifiering. I rådets direktiv /82/EG av 2004 om skyldighet för transportörer att lämna uppgifter om passagerare (nedan kallat API-direktivet) regleras transportörers ansvar för att på begäran förse nationella myndigheter med sådana passageraruppgifter inför resor från länder utanför . genomfört främst genom vissa bestämmelser i utlänningslagen (2005:716) samt genom lagen (2006:444) om passagerarregister. Enligt PNR-direktivet ska lufttrafikföretagen överföra såväl PNR- som API-uppgifter till enheterna för passagerarinformation. överföra API-uppgifter följer således inte bara av API-direktivet utan även av PNR-direktivet. Det ingår i vårt uppdrag att analysera om och i så fall hur PNR-direktivet påverkar det svenska genomförandet av API- direktivet samt att föreslå hur systemet med flygpassageraruppgifter ska möjliggöra hantering av både PNR-uppgifter och API-uppgifter. Enligt vår bedömning varken ersätter eller påverkar PNR-direktivet API-direktivet eller dess genomförande i . respektive genomföranden kommer därför att vara parallellt tillämpliga. Vi har vidare funnit att en samordnad hantering av PNR- och API- uppgifter vid enheten för passagerarinformation är möjlig även avseende API-uppgifter som behandlas enligt lagen om passagerarregister. kräver dock att API-uppgifter som behandlas enligt lagen om passagerarregister hålls isär från de API-uppgifter som överförs från lufttrafikföretagen enligt den nya lagen, att det alltid står klart för vilket syfte och enligt vilket regelverk API-uppgifter behandlas samt att det säkerställs att regelverkens olikheter i fråga om t.ex. tillgång till PNR-direktivets betydelse för den nuvarande regleringen Genomförandet av direktivet får också en effekt på den nuvarande regleringen. Vi föreslår därför att det i polislagen (1984:387), tullagen (2016:253) och lagen (1996:701) om befogenhet vid gräns mot ett annat land inom Europeiska unionen (inre- gränslagen) förs in bestämmelser som innebär att transportföretags skyldigheter enligt de lagarna att överföra bokningsuppgifter till Polis- myndigheten, Säkerhetspolisen och inte ska gälla när lagen om flygpassageraruppgifter i brottsbekämpningen är tillämplig. Medlemsstaterna har i en deklaration som antogs som PNR- direktivet, angett att de, i enlighet med sin nationella lagstiftning och med förbehåll för parlamentsbehandling i vissa medlemsstater, åtar sig att