prop · H503234 · 2018-04-19 00:00:00 — Ett företag definieras i förordningen som en fysisk eller juridisk person, oavsett om verksamheten bedrivs i vinstsyfte eller inte. kan enligt förordningen även avses ett officiellt organ, oavsett om det har självständig status som juridisk person eller inte. Den kommersiella luftfarten för transport av passagerare brukar delas in i reguljärflyg och charterflyg. Med reguljärflyg avses luftfart som regelbundet trafikerar vissa flyglinjer. Vid en reguljärflygning köper passagerarna en plats, flygstol, på ett flygplan i linjetrafik. Med charter- flyg avses i stället oregelbunden luftfart under en viss säsong. En charter- flygning innebär vanligtvis att ett helt flygplan hyrs och används som en del av en paketresa. Ett flygplan kan dock chartras även för att utföra en enstaka flygresa. Det finns även så kallad taxiflygning, som innebär att hela flygplan eller helikoptrar hyrs ut tillfälligt. Med taxiflyg avses i detta sammanhang icke regelbunden luftfart med mindre luftfartyg, som är typgodkänt för befordran av högst tio passagerare. Destinationen väljs av den som beställt transporten. För att få utföra lufttransporter mot betalning åt allmänheten krävs enligt 7 kap. 1 § luftfartslagen (2010:500) drifttillstånd oavsett om det handlar om reguljärflyg, charterflyg eller taxiflyg. Beträffande luftfart inom EU krävs det utöver ett drifttillstånd en operativ licens enligt EU:s lufttrafikförordning. PNR-direktivets definition av ett lufttrafikföretag innefattar alla företag som utför lufttransport av passagerare mot betalning eller hyra så länge de har den angivna licensen. I begreppet företag innefattas, på samma sätt som enligt EU:s lufttrafikförordning, både fysiska och juridiska personer samt officiella organ. Enligt EU:s lufttrafikförordning undantas från kravet på operativ licens endast lufttrafik som utförs med icke-motordrivna luftfartyg och ultralätta motordrivna luftfartyg samt lokala flygningar. Alla övriga företag som utför lufttransporter mot betalning eller hyra inom unionen ska således ha en operativ licens och träffas därmed av PNR- Således omfattas charterflygningarna av direktivets definition, även i de fall charterbolagen äger sina egna flygplan. omfattas av direktivets definition och träffas rent definitionsmässigt av direktivets överföringsskyldighet när de mot ersättning eller hyra utför lufttransporter med hjälp av mindre flyg eller helikopter över ett lands PNR-direktivets definition av begreppet lufttrafikföretag bör införas i den nya lagen. I kravet på en giltig operativ licens ligger även ett krav på att lufttrafikföretaget har ett giltigt drifttillstånd. således krav på såväl ett giltigt operativt tillstånd som ett drifttillstånd. Genom tillägget ”eller motsvarande” innefattas även sådana utländska lufttrafikföretag som inte har en operativ licens utfärdad i ett land inom EU men som har en motsvarande licens från ett tredjeland. tivets definition bör det även framgå att licensen ska ge rätt att bedriva passagerarflygtrafik, dvs. ge rätt att mot betalning eller hyra utföra luft- transporter av passagerare. PNR-uppgifter definieras enligt artikel 3.5 i direktivet som en samman- ställning av för resan nödvändiga uppgifter om varje enskild passagerare som gör det möjligt för det lufttrafikföretag som sköter bokningen och andra deltagande lufttrafikföretag att behandla och kontrollera reserva- tionen för varje resa. Definitionen synes syfta till en systematisk behand- ling av uppgifter om passagerare via ett reservationssystem, ett avgångs- kontrollsystem som används för att checka in passagerare på flygningar eller likvärdiga system med liknande uppgifter. Av artikel 8.3 b framgår vidare att lufttrafikföretagen ska ha tillgång till en gate som passagerarna ska passera på vägen till flygplanet, varefter den andra omgången PNR- uppgifter ska överföras. Tanken bakom PNR-direktivet synes således vara att PNR-uppgifterna ska överföras från större aktörer, som normalt samlar in PNR-uppgifter från sina passagerare för operativa och kommersiella ändamål, systematiskt behandlar dem i reservationssystem, avgångs- kontrollsystem eller likvärdiga system samt själva eller genom en mellan- man sköter ombordstigningen på flygplanen genom en gate. mare ringa in de lufttrafikföretag som ska åläggas en grundläggande skyldighet att överföra PNR-uppgifter enligt lagförslaget bör således ett tillägg göras till definitionen av ett lufttrafikföretag. innebära att lufttrafikföretaget i sin verksamhet ska samla in och be- handla PNR-uppgifter i ett elektroniskt system. Genom en sådan skriv- ning faller de lufttrafikföretag som saknar sådana system för behandling av PNR-uppgifter utanför överföringsskyldigheten. De lufttrafikföretag som utför charterflygningar innehar i många fall endast en mindre mängd PNR-uppgifter. De uppgifter som de innehar behandlas dock oftast systematiskt i företagens datorsystem. av PNR-uppgifter får därmed anses ingå som en normal del i dessa företags Ombordstigningen på flygplanen sker, i de flesta fall, genom en gate och hanteras elektroniskt på samma sätt som för reguljär- Några problem med hänsyn till direktivets överförings- tidpunkter föreligger därför i normalfallet inte. fattas således de lufttrafikföretag som utför charterflygningar av direkti- De lufttrafikföretag som utför taxiflygningar saknar emellertid i många fall ett system för behandling av PNR-uppgifter i den mening som avses i De namnuppgifter som samlas in för att uppfylla kravet på innehav av passagerarlistor antecknas i vissa fall endast manuellt eller med hjälp av excelblad. Någon sådan datoriserad behandling och kontroll av reservationer som avses i direktivet förekommer generellt inte. På mindre flygplatser saknas dessutom gater och incheckningen sker därför manuellt. Den i direktivet angivna skyldigheten att överföra PNR- uppgifter efter det att gatens dörrar har stängts synes därmed svår att uppfylla. De mindre taxiflygföretag som inte behandlar PNR- uppgifter på det sätt som avses i direktivet omfattas således inte av överfö- ringsskyldigheten. För dessa aktörer får efterfrågade passageraruppgifter i stället begäras in med stöd av gällande bestämmelser för transport- företag i polislagen (1984:387), tullagen (2016:253) och lagen (1996:701) om befogenhet vid gräns mot ett annat land inom Europeiska unionen, som det finns anledning att behålla för sådan lufttrafik som utförs av företag som inte kommer att omfattas av skyldigheter enligt den nya lagen, se avsnitt 7.6. Vilka PNR-uppgifter ska överföras? Regeringens förslag: De PNR-uppgifter som ska överföras ska framgå av en bilaga till den nya lagen. Uppgifterna ska dock endast överföras i de fall lufttrafikföretagen samlar in uppgifterna som en del av sin normala verksamhet. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna har inga synpunkter på förslaget. Skälen för regeringens förslag PNR-uppgifter som omfattas av direktivet Enligt artikel 8.1 i PNR-direktivet ska lufttrafikföretag till enheten för passagerarinformation överföra de PNR-uppgifter som återfinns i bilaga I till direktivet, förutsatt att de redan samlar in sådana uppgifter som en del av sin normala affärsverksamhet. Direktivet ålägger alltså inte lufttrafik- företag att inhämta ytterligare uppgifter eller några uppgifter alls om sina passagerare och medför inte någon skyldighet för passagerare att till- handahålla några uppgifter utöver dem som redan tillhandahålls luft- Vad direktivet handlar om är således att redan insamlade uppgifter ska lämnas ut för ny användning i brottsbekämpande syfte. det fall företaget inte samlar in PNR-uppgifter , kan överförings- skyldigheten dock inträda i samband med att företaget påbörjar en sådan Förteckningen i bilaga I har enligt skäl 15 i PNR-direktivet till syfte att återspegla de offentliga myndigheternas legitima krav på att kunna före- bygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brotts- lighet och därigenom förbättra den inre säkerheten i EU, som grundläggande rättigheter skyddas, särskilt rätten till privatlivet och rätten till skydd av personuppgifter. Vid framtagandet av förteckningen har Europeiska unionens stadga, konvention av 1981 om skydd för enskilda vid automatisk databehandling av person- uppgifter (dataskyddskonventionen) samt Europeiska konventionen den 4 angående skydd för de mänskliga rättigheterna och de grundläggande friheterna () beaktats. vidare att förteckningen inte är avsedd att grundas på en persons ras eller etniska ursprung, religion eller övertygelse, politiska eller annan åskådning, medlemskap i fackförening, hälsotillstånd, sexualliv eller De i förteckningen angivna PNR-uppgifterna ska endast omfatta sådan information om passagerarens bokning och resrutt som gör det möjligt för de behöriga myndigheterna att identifiera flygpassagerare som utgör ett hot mot den inre säkerheten. Förteckningen över PNR-uppgifter i bilagan omfattar 19 punkter. räkningen innefattar exempelvis datum för bokning/utfärdande av biljett, namn, adress och kontaktuppgifter. enligt punkt 1 avser en kod innehållande siffror och bokstäver som är specifik för en särskild resenärs resa. Koden är detsamma som ett boknings- eller reservationsnummer. Med delade PNR-uppgifter enligt punkt 11 avses en uppgift om att det har funnits ytterligare resenärer med samma lokaliseringskod. När delade PNR-uppgifter finns har alltså inledningsvis två passagerare eller fler haft en gemensam bok- ning, men en eller flera har gjort ombokningar. Vid en ombokning får de utvalda passagerarna en ny lokaliseringskod. I punkt 12 i bilagan anges allmänna anmärkningar, vilket utgör ett fritextsfält för kommunikation mellan t.ex. resebokare och flygbolagspersonal. I detta fält kan t.ex. anges uppgifter om ensamresande barn , cykel med ombord, specialkost, funktionshinder m.m. Uppgifterna om barn som reser utan vuxet sällskap är här särskilt angivna eftersom de kan ha betydelse vid utredningar om människosmuggling. I rådets direktiv /82/EG av om skyldighet för transportörer att lämna uppgifter om passagerare (API-direktivet) regle- ras transportörers skyldighet att på begäran förse nationella myndigheter med passageraruppgifter inför resor från länder som inte tillhör EU och inte heller har träffat avtal om samarbete enligt API-uppgifter avser främst sådan information som finns på passets maskinläsbara del, t.ex. typ av identitetshandling, identitetshandlingens nummer, utfärdandeland och sista giltighetsdag. punkten 18 framgår att API-uppgifter omfattas av de uppgifter som ska överföras till enheterna. Att använda PNR-uppgifter tillsammans med API-uppgifter anges i skäl 9 i PNR-direktivet tillföra ett mervärde, genom att det hjälper medlemsstaterna att kontrollera en individs identitet, vilket ökar PNR-uppgifternas betydelse för brottsbekämpningen och minimerar risken för att man kontrollerar och utreder oskyldiga personer. artikel 8.2 anges därför att om lufttrafikföretagen har samlat in sådana API-uppgifter om passagerare som förtecknas i punkten 18 i bilagan, men inte lagrar denna information med hjälp av samma tekniska metoder som för andra PNR-uppgifter, ska medlemsstaterna vidta nödvändiga åtgärder för att säkerställa att lufttrafikföretagen överför även dessa uppgifter till enheten för passagerarinformation i de medlemsstater som avses i Direktivets samtliga bestämmelser är därmed tillämpliga även vid överföring av dessa uppgifter. Utredningen har kommit fram till att PNR-direktivet varken ersätter eller påverkar API-direktivet eller dess genomförande i och att direktiven därför kommer att vara parallellt tillämpliga. Regeringen delar denna bedömning. De PNR-uppgifter som ska överföras bör framgå av en bilaga till lagen Det bör av den nya lagen framgå vilka PNR-uppgifter som omfattas av lufttrafikföretagens överföringsskyldighet. Vidare bör det av lagen framgå att PNR-uppgifterna endast ska överföras i de fall lufttrafikföretagen samlar in uppgifterna som en del av sin normala verksamhet. En förteckning över de PNR-uppgifter som omfattas kan föras in i en bilaga till lagen. En hänvisning endast till den bilaga till direktivet där PNR-uppgifterna framgår bedöms inte som lämplig med hänsyn till att den svenska versionen av bilagan har rättats och i övrigt innehåller vissa oklarheter i översättningen. Det föreslås därför att det till lagen fogas en bilaga som listar de PNR-uppgifter som anges i bilaga I till direktivet. Regeringens förslag: PNR-uppgifterna ska som huvudregel överföras . Det första tillfället ska vara 24–före flyg- ningens avgång och det andra tillfället efter att gatens dörrar har stängts. Den andra överföringen ska få begränsas till uppdateringar och kompletteringar av de uppgifter som överfördes vid det första tillfället. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna har inga synpunkter i denna del. Skälen för regeringens förslag: Av artikel 8.3 i PNR-direktivet framgår att lufttrafikföretagen ska överföra sina PNR-uppgifter . Det första tillfället då en överföring ska ske är 24–före flygningens planerade avgång. Det andra tillfället är efter det att gatens dörrar har stängts. Den sista överföringen av uppgifter anses vara av avgörande betydelse för brottsbekämpningen eftersom t.ex. narkotikakurirer ofta bokar sina resor sent, alternativt bokar om dem. Enligt artikel 8.4 ska medlemsstaterna tillåta lufttrafikföretagen att begränsa den sista överföringen till uppdateringar av de överföringar som har gjorts . Direktivets bestämmelser om överföringstidpunkter bör föras in i den nya lagen. Den tidsram om 24–som anges i direktivet bör bibehållas i den svenska regleringen. Den andra överföringstidpunkten kan i lagen, på samma sätt som i direktivet, avgränsas till när gatens dörrar har stängts, dvs. när passagerarna har stigit ombord på planet inför avgång och passagerare inte längre tillåts stiga ombord eller gå av. Tid- punkten för överföringen borde därmed vara tillräckligt definierad. Vidare bör det av lagen framgå att den andra överföringen får begränsas till uppdateringar eller kompletteringar av de uppgifter som överfördes vid det första tillfället. En andra överföring ska således alltid omfatta även nytillkomna PNR-uppgifter, t.ex. avseende passagerare som bokat flygresan före avgång. Regeringens förslag: Lufttrafikföretag ska på begäran av enheten för passagerarinformation överföra PNR-uppgifter även vid andra tid- punkter än enligt huvudregeln, om enheten bedömer att det i ett enskilt fall är nödvändigt med tillgång till PNR-uppgifter för att avvärja en specifik och faktisk fara med anknytning till terroristbrottslighet eller annan allvarlig brottslighet. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna har inga synpunkter på förslaget. Skälen för regeringens förslag: I vissa situationer kan lufttrafikföre- tag behöva överföra PNR-uppgifter även än de som angetts ovan. I artikel 8.5 i PNR-direktivet anges att i situationer där åtkomst till PNR-uppgifter är nödvändig för att reagera på ett specifikt och faktiskt hot med anknytning till terroristbrott eller grov brottslighet, ska lufttrafikföretag på begäran av en enhet för passagerarinformation överföra PNR-uppgifter än de som anges i artikel 8.3. En sådan begäran kan exempelvis bli aktuell då omständigheterna medför att tillgång till PNR-uppgifter avseende en viss person eller en viss flygresa är nödvändig för att reagera på en särskild risk för sådan brottslighet som avses i direktivet. Enligt direktivet ska en sådan extra överföring ske efter en bedömning i det enskilda fallet. En bedömning huruvida det i ett enskilt fall är nöd- vändigt med tillgång till PNR-uppgifter bör göras av enheten för pas- sagerarinformation, eventuellt efter framställan av en behörig myndighet. Det är ju enheten för passagerarinformation och de behöriga myndighet- erna som har bäst kunskap i en sådan fråga och som har tillgång till de, troligen sekretessbelagda, uppgifter som bedömningen vilar på. Det är således inte upp till lufttrafikföretagen att bestämma om en överföring av PNR-uppgifter ska ske i dessa fall, utan överföringen ska ske när en sådan begäran kommer in från enheten för passagerarinformation. Detta bör framgå av regleringen. Således föreslås att det i den nya lagen anges att ytterligare överföringar ska ske när det i ett enskilt fall är nödvändigt med tillgång till PNR-uppgifter för att avvärja en specifik och faktisk fara med anknytning till terroristbrottslighet eller annan allvarlig brotts- lighet. Uppgifterna ska överföras elektroniskt Regeringens förslag: Lufttrafikföretag ska överföra PNR-uppgifterna får inte medges direktåtkomst till Regeringens bedömning: Närmare bestämmelser om lufttrafikföre- tagens överföring av PNR-uppgifter till enheten för passagerar- information bör meddelas i förordning. Utredningens förslag och bedömning överensstämmer i sak med re- Remissinstanserna: Svenska Flygbranschen ser problem för det fall kommissionen kommer att tillåta användning av flera olika dataprotokoll och format vilket kan försvåra överföringen av informationen. Skälen för regeringens förslag och bedömning Lufttrafikföretagen ska överföra uppgifterna elektroniskt All överföring av PNR-uppgifter från lufttrafikföretag till enheter för passagerarinformation inom ramen för PNR-direktivet ska enligt artikel 8.3 ske på elektronisk väg. Av artikeln framgår också att över- föringarna ska ske genom användning av de gemensamma protokoll och understödda dataformat som kommer att antas av kommissionen. eventuella tekniska problem får överföringarna ske på något annat sätt som säkerställer ett lämpligt dataskydd (artiklarna 8.3 och 16.1). I artikel 16.2 finns närmare bestämmelser om formen för över- Här framgår att kommissionen ska anta en förteckning över godkända gemensamma protokoll och understödda dataformat som ska användas vid överföring av PNR-uppgifter. Alla lufttrafikföretag ska be- stämma vilket gemensamt protokoll och vilket dataformat i förteck- ningen som de avser att använda för sina överföringar och underrätta en- heterna för passagerarinformation om detta. Kommissionen har i genomförandebeslut (EU) 2017/759 av den 28 om gemensamma protokoll och dataformat som ska användas av lufttrafikföretag när PNR-uppgifter överförs till enheterna för passa- gerarinformation antagit en sådan förteckning över gemensamma proto- koll och understödda format. Förteckningen kan senare komma att ändras (artikel 16.3). I genomförandebeslutet anges att mindre lufttrafikföretag, som inte tillhandahåller flygförbindelser i enlighet med en särskild och offentlig tidtabell och som inte har den nödvändiga infrastrukturen för att använda de gemensamma protokollen och understödda formaten, ska undantas från skyldigheten att använda dessa format och protokoll. sådant lufttrafikföretag ska i stället överföra sina uppgifter på något annat elektroniskt sätt som tillhandahåller tillräckliga garantier med avseende på de tekniska säkerhetsåtgärderna, och som ska överenskommas mellan lufttrafikföretaget och den berörda medlemsstaten. från den dag då kommissionen har antagit gemensamma protokoll och understödda dataformat ska all överföring av PNR-uppgifter från luft- trafikföretag till enheter för passagerarinformation inom ramen för direktivet ske enligt de gemensamma protokollen och understödda dataformaten (artikel 16.2). de tekniska åtgärder som krävs för att dessa gemensamma protokoll och dataformat ska kunna börja användas (artikel 16.5). ska de gemensamma protokollen användas för alla överföringar, så att PNR-uppgifternas säkerhet under överföringen tryggas och uppgifterna överförs i ett understött format, för att säkerställa att det kan läsas av alla En användning av de av kommissionen utsedda data- protokollen och formaten bör därmed inte försvåra överföringen av informationen som Svenska Flygbranschen befarar. Av lagen bör framgå att överföringarna ska ske elektroniskt. mare formerna för överföringarna kommer dock att skifta mellan lufttrafikföretagen och bero på vilket format och protokoll de kommer att välja för överföringarna och huruvida företagen är sådana att de enligt kommissionens beslut kan använda sig av någon annan form för över- föringen. Enligt direktivets artikel 14 ska sanktioner träffa de lufttrafik- företag som inte överför PNR-uppgifter i det fastställda formatet. Det behöver därför finnas närmare bestämmelser om formaten för över- föringarna. Vid eventuella tekniska problem ska vidare överföringarna enligt artikel 8.3 ske på något annat sätt som säkerställer ett lämpligt dataskydd. Dessa frågor kan enligt regeringens mening regleras i förord- ning eller myndighetsföreskrifter. En bestämmelse som upplyser om att regeringen eller den myndighet som regeringen bestämmer kan meddela sådana föreskrifter bör införas i den nya lagen. Direktåtkomst är inte tillåten Det finns enligt skäl 16 i PNR-direktivet två möjliga metoder för över- föring av PNR-uppgifter. Den ena metoden är direktåtkomst (även kallad pull-metoden) som innebär att de behöriga myndigheterna i den med- lemsstat som begär tillgång till PNR-uppgifter kan få direktåtkomst till lufttrafikföretagets bokningssystem för att hämta en kopia av de PNR- uppgifter som behövs. Den andra metoden är sändmetoden (även kallad push-metoden), som innebär att lufttrafikföretagen överför de begärda PNR-uppgifterna till den myndighet som har begärt dem. Sändmetoden gör det möjligt för lufttrafikföretagen att behålla kontroll över vilka upp- gifter som tillhandahålls. Den metoden anses därför ge en bättre skydds- nivå för uppgifterna (jfr skäl 16 i PNR-direktivet). Direktivet föreskriver att all överföring av PNR-uppgifter från lufttrafikföretagen ska ske enligt sändmetoden (artiklarna 3.7 och 8.1). Det bör av lagen framgå vilken metod som ska användas för över- föringarna. Detta görs lämpligast genom en bestämmelse som anger att enheten för passagerarinformation inte får medges direktåtkomst till lufttrafikföretagens PNR-uppgifter. Av en sådan bestämmelse framgår motsatsvis att sändmetoden ska användas för överföringarna. Regeringens förslag: Lufttrafikföretag som är skyldiga att överföra PNR-uppgifter får anlita ett personuppgiftsbiträde för att utföra över- föringen. Utredningens förslag överensstämmer i sak med regeringens. Remissinstanserna har inte några invändningar i denna del. Skälen för regeringens förslag: Den nya lagen kommer att ålägga vissa lufttrafikföretag att överföra PNR-uppgifter till enheten för passagerarinformation. Lufttrafikföretagen är personuppgiftsansvariga för att överföringarna till enheten för passagerarinformation sker på ett säkert sätt, se vidare avsnitt 9.3. Det finns dock inget i direktivet som hindrar att lufttrafikföretagen använder sig av mellanmän, s.k. person- uppgiftsbiträden, för att utföra själva överföringen. Det är således möjligt att överföringarna kommer att ske via systemleverantörer och datori- Detta bör av tydlighetsskäl framgå av lagen. Regeringens förslag: Lufttrafikföretag ska informera passagerarna om överföringen av PNR-uppgifter till enheten för passagerar- information och om skälen till överföringen. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: anser att den föreslagna be- stämmelsen är otillräcklig när det gäller kravet på information till den Övriga remissinstanser har inga synpunkter på förslaget. Skälen för regeringens förslag: En viktig aspekt av person- uppgiftsskyddet är enskildas rätt att få veta hur deras personuppgifter Information om den personuppgiftsbehandling som pågår är en förutsättning för att någon ska kunna kontrollera om behandlingen är författningsenlig och i övrigt kunna bevaka sina intressen. direktivets skäl 37 bör medlemsstaterna se till att passagerarna klart och tydligt informeras om insamlingen av PNR-uppgifterna och om sina Även i skäl 29 anges att medlemsstaterna bör se till att passa- gerare förses med korrekt, lättåtkomlig och lättbegriplig information om