prop · H60337 · 2019-01-22 00:00:00 — Anpassning av lagen om passagerarregister till Regeringen överlämnar denna proposition till . I propositionen föreslår regeringen ändringar i lagen (2006:444) om passagerarregister och utlänningslagen (2005:716). EU:s dataskyddsförordning, som började tillämpas , är direkt tillämplig i . Förordningen kräver dock att svenska författningar anpassas för att säkerställa både att förordningen får ett effektivt genomslag och att svensk rätt inte strider mot förordningen. EU:s nya dataskyddsdirektiv genomförs i huvudsak genom brottsdatalagen (2018:1177) som trädde i kraft . Brottsdatalagen är generellt tillämplig inom det område som direktivet reglerar men subsidiär i förhållande till annan författning. I propositionen finns förslag till anpassningar av lagen om passagerarregister och utlänningslagen till EU:s dataskyddsreform. Vidare föreslår regeringen vissa ändringar som inte är en direkt följd av reformen, utan som bl.a. syftar till att göra regleringen mer ändamålsenlig. Lagändringarna föreslås träda i kraft . Förslag till riksdagsbeslut ................................................................. Förslag till lag om ändring i lagen (2006:444) om 2.2Förslag till lag om ändring i utlänningslagen (2005:716) .......................................................................... Ärendet och dess beredning ............................................................ Bestämmelser om behandling av personuppgifter .......................... EU:s dataskyddsreform – dataskyddsförordningen 4.2Nationell reglering anpassas till EU:s Lagen om passagerarregister bygger på API- 5 Anpassning av bestämmelserna i lagen om passagerarregister ....... 5.1Anpassning till både dataskyddsförordningen och 5.2Utrymmet för särskild reglering om personuppgiftsbehandling i lagen om Förhållandet till annan lagstiftning................................... Förhållandet till den generella Förhållandet till brottsdatalagen och lagen om polisens behandling av Inga hänvisningar i upplysningssyfte .............. 5.4Personuppgiftsansvar, ändamålet med registret och utlämnande av uppgifter ................................................... 5.7Elektroniskt utlämnande på annat sätt än genom Transportörers informationsskyldighet enligt utlänningslagen ....... Ikraftträdande- och övergångsbestämmelser................................... Konsekvenser av förslagen ............................................................. och rådets förordning (EU) 2016/679........................................................................... Rättelse till och rådets förordning (EU) 2016/679 ............................................. Anpassning av lagen om passagerarregister till EU:s dataskyddsreform (Ds 2018:12) .................................... Förteckning över remissinstanser .................................. Utdrag ur protokoll vid regeringssammanträde ... 158 1.Riksdagen antar regeringens förslag till lag om ändring i lagen (2006:444) om passagerarregister. 2.Riksdagen antar regeringens förslag till lag om ändring i utlänningslagen (2005:716). Regeringen har följande förslag till lagtext. 2.1Förslag till lag om ändring i lagen (2006:444) om passagerarregister Härigenom föreskrivs i fråga om lagen (2006:444) om passagerarregister dels att rubriken närmast före 8 § ska utgå, dels att nuvarande 7 § ska betecknas 8 § och nuvarande 8 § ska betecknas 7 §, dels att 2, 3, 6, den nya 7, den nya 8, 9 och 10 §§ och rubrikerna närmast före 2, 6 och 10 §§ ska ha följande lydelse, dels att det ska införas tre nya paragrafer, 2 a, 2 b och 11 §§, och närmast före 11 § en ny rubrik av följande lydelse. Förhållandet till annan reglering Om inget annat följer av denna lag eller föreskrifter som har meddelats med stöd av den, förordning (EU) 2016/679 av den om skydd för fysiska behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av 95/46/EG En registrerad person har inte rätt att motsätta sig sådan behandling som är tillåten enligt denna lag. Vid behandling av personuppgifter enligt denna lag gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning och föreskrifter som har meddelats i 1 Ändringen innebär bl.a. att andra stycket tas bort. anslutning till den lagen, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. När en behörig myndighet enligt 1 kap. 6 § brottsdatalagen (2018:1177)behandlar personuppgifter enligt denna lag för syften som faller inom tillämpningsområdetför brottsdatalagen gäller den lagen och föreskrifter som har meddelats i anslutning till den, om inte annat följer av denna lag eller föreskrifter som har meddelats i anslutning till lagen. I denna lag avses med personkontroll: kontroll av personer vid inresa i , : konventionen om tillämpning av av . De begrepp som i övrigt används i denna lag har samma betydelse som i personuppgiftslagen (1998:204). Utlämnande av uppgifter och Personuppgifter ur passagerarregistret ska lämnas ut på begäran av Säkerhetspolisen och för sådan verksamhet som avses i 4 §. föreskrifter om att uppgifter ur registret ska lämnas ut även till annan myndighet än dem som uppgifter ur registret ska lämnas ut anges i första stycket för sådan även till annan myndighet än dem verksamhet som avses i 4 §. som anges i första stycket för sådan verksamhet som avses i 4 §. Säkerhetspolisen får för sådan verksamhet som avses i 4 § ha direktåtkomst till personuppgifterna i passagerarregistret. 2Ändringen innebär att andra stycket tas bort. 3Senaste lydelse 2014:657. 4Senaste lydelse av tidigare 8 § 2014:657. Regeringen kan med stöd av8 kap. 7 § regeringsformen meddela föreskrifter om att uppgifter i registret får stå kvar till dess att någon annan myndighet, som behöver uppgifterna för att kunna verkställa personkontroller enligt 4 §, har slutfört kontrollerna. föreskrifter om att även annan myndighet får ha direktåtkomst till meddela föreskrifter om att även registret för sådan verksamhet som avses i 4 §. direktåtkomst till registret för sådan verksamhet som avses i 4 §. passagerarregistret får inte lämnas ut på medium för automatiserad elektroniskt på annat sätt än genom direktåtkomst om det inte är elektroniskt enligt första stycket. En uppgift i passagerarregistret ska gallras efter överföringen till . Om uppgifter i registret behövs för att , Säkerhetspolisen eller ska kunna verkställa personkontroller enligt 4 §, får uppgifterna i registret dock stå kvar till dess att myndighetens kontroller är slutförda. Regeringen får meddela föreskrifter om att uppgifter i registret får stå kvar till dess att någon annan myndighet, som behöver uppgifterna för att kunna verkställa personkontroller enligt 4 §, har slutfört kontrollerna. Vid behandling av personuppgifter enligt denna lag eller enligt föreskrifter som har meddelats med stöd av lagen gäller bestämmelsernai personuppgiftslagen (1998:204) om rättelse och skadestånd. Bestämmelsen om skadestånd i 7 kap. 1 § brottsdatalagen (2018:1177) ska tillämpas vid behandling av personuppgifter i strid med denna lag eller föreskrifter som har meddelats i anslutning till lagen. 5 Senaste lydelse 2014:657. Rätten att göra invändningar Artikel 21.1 i EU:s dataskyddsförordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen. 1.Denna lag träder i kraft . 2.Äldre föreskrifter om straff gäller fortfarande för överträdelser som har skett före ikraftträdandet. 2.2Förslag till lag om ändring i utlänningslagen (2005:716) Härigenom föreskrivs att 9 kap. 3 e § utlänningslagen (2005:716)1 ska upphöra att gälla vid utgången av . 1Senaste lydelse av 9 kap. 3 e § 2006:447. Ärendet och dess beredning Europeiska unionen har enats om en genomgripande dataskyddsreform som ska vara genomförd . och rådets förordning (EU) 2016/679 av 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här kallad dataskyddsförordningen, dels och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut /977/RIF, här kallat Dataskyddsförordningen och en rättelse till den finns i svensk lydelse i bilagorna 1 och 2. I har promemorian Anpassning av lagen om passagerarregister till EU:s dataskyddsreform tagits fram (Ds 2018:12). promemorian behandlas även en begäran från om att få (Ju2017/02018/L7). En sammanfattning av promemorian finns i bilaga 3 och promemorians lagförslag finns i bilaga 4. remissinstanserna finns i bilaga 5. finns tillgängliga i (dnr Ju2018/02809/L7). Några remissinstanser har synpunkter och förslag när det gäller lagen om passagerarregister i frågor som inte har samband med anpassningen till EU:s dataskyddsreform och som inte heller i övrigt behandlas i promemorian. som efterfrågar ändringar i offentlighets- och sekretesslagen (2009:400) och att passagerarregistret även bör innehålla uppgift om kön samt som anser att det bör tillsättas en utredning i syfte att säkerställa en generell rätt att ta del av allmänna handlingar i elektronisk form. Dessa frågor behandlas inte i propositionen. Regeringen beslutade att inhämta Lagrådets yttrande över de lagförslag som finns i bilaga 6. Lagrådets yttrande finns i bilaga 7. Lagrådets förslag behandlas i avsnitt 5.6 och 5.7 och i författningskommentaren. Regeringen följer Lagrådets förslag. I förhållande till lagrådsremissen görs också några redaktionella ändringar. Bestämmelser om behandling av 4.1EU:s dataskyddsreform – dataskyddsförordningen och dataskyddsdirektivet Europeiska unionens nya dataskyddsreglering består huvudsakligen av två rättsliga instrument. Det ena är dataskyddsförordningen och det andra är Reformen innebär att reglerna om personuppgiftsbehandling kommer att finnas i två parallella regelverk. Dataskyddsförordningen utgör grunden för generell personuppgiftsbehandling inom EU. Det huvudsakliga syftet med förordningen är bl.a. att säkerställa en enhetlig skyddsnivå över hela unionen och att undvika avvikelser som hindrar den fria rörligheten av personuppgifter inom den inre marknaden. Förordningen är direkt tillämplig i alla EU:s medlemsstater men förutsätter och möjliggör kompletterande och specificerade nationella bestämmelser av olika slag. Dataskyddsdirektivet, som ska vara genomfört i nationell rätt senast den , innehåller bestämmelser om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder. Även sådan personuppgiftsbehandling som utförs av behöriga myndigheter för att skydda mot, förebygga och förhindra hot mot den allmänna säkerheten ingår i tillämpningsområdet. Syftet med direktivet är att skydda fysiska personers grundläggande rättigheter och friheter, särskilt deras rätt till skydd av personuppgifter, samt att säkerställa att det utbyte av personuppgifter som krävs inom unionen mellan behöriga myndigheter varken begränsas eller förbjuds av skäl som rör skyddet för fysiska personer med avseende på behandlingen av personuppgifter. Sådan behandling av personuppgifter som omfattas av det nya dataskyddsdirektivet är undantagen från dataskyddsförordningens tillämpningsområde (artikel 2.2 d i dataskyddsförordningen). 4.2Nationell reglering anpassas till EU:s dataskyddsreform I propositionen Ny dataskyddslag föreslår regeringen att personuppgiftslagen (1998:204) ska upphävas och att en ny lag med dataskyddslagen (2018:218), ska införas (prop. 2017/18:105). antogs av och trädde i kraft . Personuppgiftslagen upphörde att gälla . innehåller bestämmelser som kompletterar dataskyddsförordningen på ett generellt plan i svensk rätt. Enligt övergångsbestämmelserna till lagen 5) gäller personuppgiftslagen fortfarande i den utsträckning som det i 2018/19:37 en annan lag eller en förordning finns bestämmelser som innehåller hänvisningar till den lagen. Dataskyddslagen är subsidiär i förhållande till annan lag eller förordning, vilket möjliggör avvikande bestämmelser i sektorsspecifika registerförfattningar. I propositionen Brottsdatalag föreslår regeringen att det nya dataskyddsdirektivet ska genomföras i svensk rätt huvudsakligen genom en ny ramlag, brottsdatalagen (prop. 2017/18:232). Förslaget antogs av och trädde i kraft . Lagen är generellt tillämplig inom det område som direktivet reglerar men subsidiär i förhållande till annan lag eller förordning. 4.3Lagen om passagerarregister bygger på API- direktivet Europeiska unionens råd antog direktiv /82/EG om skyldighet för transportörer att lämna uppgifter om passagerare, det s.k. API-direktivet. I direktivet regleras flygtransportörers skyldighet att översända förhandsinformation om passagerare (API-uppgifter) till behöriga nationella myndigheter. Syftet med direktivet är att förbättra gränskontrollerna och att bekämpa olaglig invandring. Direktivet utgör också ett led i kampen mot terrorism. API-direktivets bestämmelser om transportörers uppgiftsskyldighet har iSverige genomförts genom bestämmelserna i 9 kap. 3 a–f §§ utlänningslagen (2005:716). Bestämmelserna innebär att en transportör som luftvägen transporterar passagerare till direkt från en stat som inte tillhör Europeiska unionen och inte heller har slutit avtal om samarbete enligt med konventionsstaterna, på begäran av ska överföra uppgifter om de ankommande passagerarna så snart incheckningen avslutats. Informationen ska föras över till som ska spara uppgifterna i ett passagerarregister. Uppgiftsskyldigheten omfattar bl.a. namn, födelsedatum, medborgarskap, avgångs- och ankomsttid för transporten samt det totala antalet passagerare vid transporten. Lagen om passagerarregister (2006:444) är en registerförfattning som reglerar hur API-uppgifterna som har förts över till får behandlas. Lagen innehåller bl.a. bestämmelser om ändamålet med behandlingen, utlämnande av uppgifter, direktåtkomst, rättelse och skadestånd. Lagen gäller utöver personuppgiftslagen. Om bestämmelserna i lagen om passagerarregister avviker från bestämmelserna i personuppgiftslagen ska alltså bestämmelserna i lagen om passagerarregister tillämpas. Anpassning av bestämmelserna i lagen 5.1Anpassning till både dataskyddsförordningen och brottsdatalagen Regeringens bedömning: Behandlingen av personuppgifter enligt lagen om passagerarregister faller inom både dataskyddsförordningens och brottsdatalagens tillämpningsområde. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: Endast ett fåtal remissinstanser yttrar sig i denna anser att den gränskontrollerande verksamheten är brottsbekämpande och att den därför enbart omfattas av dataskyddsdirektivets och brottsdatalagens tillämpningsområde. Datainspektionen anser att det tydligare bör framgå när passagerarregistret förs för syften som faller inom brottsdatalagens respektive Enligt kan oklarheten kring vilket regelverk som gäller för personuppgiftsbehandlingen riskera att undergräva de registrerades rättigheter. föreslår därför att behandlingen enligt lagen om passagerarregister renodlas på så sätt att lagen endast används för migrationskontroll så att endast dataskyddsförordningen är tillämplig och att de brottsbekämpande ändamål för vilka vill behandla passageraruppgifter kan tillgodoses av lagen (2018:1180) om flygpassageraruppgifter i brottsbekämpningen. Transportstyrelsen efterfrågar vägledning i hur bedömningen ska göras av vilket regelverk som är tillämpligt. Skälen för regeringens bedömning Vilket regelverk är tillämpligt? Vid en anpassning av lagen om passagerarregister till EU:s dataskyddsreform är en inledande fråga vilket regelverk som är tillämpligt, dataskyddsförordningen eller brottsdatalagen? Brottsdatalagen gäller enligt 1 kap. 2 § vid behandling av personuppgifter som utförs av behöriga myndigheter i syfte att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller verkställa straffrättsliga påföljder. Den gäller också vid behandling av personuppgifter som en behörig myndighet utför i syfte att upprätthålla allmän ordning och säkerhet. För att brottsdatalagen ska vara tillämplig krävs alltså dels att den som behandlar personuppgifter är en behörig myndighet, dels att behandlingen utförs för något av de syften som anges i lagen. Med behörig myndighet avses bl.a. en myndighet som har till uppgift att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa straffrättsliga påföljder, eller upprätthålla allmän ordning och säkerhet, när den behandlar personuppgifter för ett sådant syfte (1 kap. 6 § brottsdatalagen). 2018/19:37 Exempelvis är en behörig myndighet när den behandlar personuppgifter som omfattas av lagens tillämpningsområde. Personuppgiftsbehandling inom brottsdatalagens tillämpningsområde är undantagen från dataskyddsförordningens tillämpningsområde. Syftet med personuppgiftsbehandlingen enligt lagen om passagerarregister blir därför avgörande för vilket regelverk som är tillämpligt. API-direktivet syftar enligt artikel 1 till att förbättra gränskontrollerna och bekämpa olaglig invandring genom att transportörer översänder förhandsuppgifter om passagerare. Vidare anges i artikel 6 att personuppgifter ska översändas i syfte att underlätta verkställandet av personkontroller vid de yttre gränser som passeras när passagerarna reser in på en medlemsstats territorium för att mer effektivt kunna bekämpa den olagliga invandringen. I lagen om passagerarregister är syftet annorlunda uttryckt. Enligt 4 § ska passagerarregistret föras för att underlätta verkställandet av personkontroller vid gräns mot stater som inte tillhör EU och inte heller har träffat avtal om samarbete enligt med konventionsstaterna. Bedömningen av vilken reglering som är tillämplig på personuppgiftsbehandling enligt lagen bör därför ta sin utgångspunkt i syftet med personkontrollen. Personkontrollen kan ha flera syften Enligt 9 kap. 1 § utlänningslagen ansvarar för kontroll av personer enligt kodexen om Schengengränserna. och är skyldiga att hjälpa vid sådan kontroll och får efter överenskommelse hjälpa till vid kontrollen. anser att den gränskontrollerande verksamheten enbart faller under dataskyddsdirektivets och brottsdatalagens tillämpningsområde och att dataskyddsförordningen inte är tillämplig. Regeringen instämmer i att personkontrollen, som är en del av den svenska gränskontrollen, kan ha brottsbekämpande syften, t.ex. att förhindra gränsöverskridande brottslighet och att kontrollera om den inresande är efterlyst för brott. Kontrollen är också ett verktyg för att avvärja hot mot allmän ordning och säkerhet. Som anförs i promemorian syftar personkontrollen emellertid även till att kontrollera behörigheten för ickesvenska medborgare att resa in och vistas här i landet. Kontrollen inriktas då på att identitet, pass, visering och andra handlingar är i ordning. Att kontrollen innefattar såväl migrationskontroll som brottsbekämpning anfördes också i förarbetena som skäl för att passagerarregistret skulle regleras i en egen registerförfattning, och inte i den dåvarande polisdatalagen (1998:622) som främst innehöll bestämmelser om register för den brottsbekämpande verksamheten (prop. 2005/06:129 s. 48). Som anges ovan syftar API-direktivet både till att förbättra gränskontrollerna och bekämpa olaglig invandring. Eftersom lagen genomför API-direktivet finns det därför inte heller förutsättningar att, såsom föreslår, bara tillämpa lagen för migrationskontroll. I likhet med promemorian anser regeringen att det dubbla syftet innebär att behandling av personuppgifter enligt lagen om passagerarregister kan falla inom både dataskyddsförordningens och brottsdatalagens Det finns därför behov av att se över vilka anpassningar av lagens bestämmelser som krävs i förhållande till båda regelverken. Några remissinstanser har synpunkter på att det inte alltid är tydligt vilket regelverk som är tillämpligt i olika situationer vid behandlingen av personuppgifter enligt lagen om passagerarregister. Enligt Datainspektionen bör det tydligare framgå när passagerarregistret förs för syften som faller inom brottsdatalagens respektive dataskyddsförordningens tillämpningsområde. anser att oklarheten kring vilket regelverk som gäller för personuppgiftsbehandlingen kan riskera att undergräva de registrerades rättigheter. Transportstyrelsen framhåller att även mottagande av uppgifterna, liksom transportörens insamlande och översändande, är att betrakta som personuppgiftsbehandling och att det i dessa skeenden kan vara svårt att avgöra syftet med behandlingen. Regeringen har förståelse för dessa synpunkter men anser att gränsdragningsfrågorna är oundvikliga. Vilket regelverk som ska tillämpas i det enskilda fallet beror nämligen på syftet med personuppgiftsbehandlingen. I det enskilda fallet blir det myndigheten och den handläggande tjänstemannen som får avgöra vilken lagstiftning som är tillämplig. Detta är ett resultat av den nya EU-regleringen på området som är svårt att undvika. I vissa fall kan samma personuppgiftsbehandling ha flera olika syften, varav det ena ligger inom brottsdatalagens tillämpningsområde och det andra utanför. Ett sådant exempel är just kontroll av pass och resehandlingar vid inresa till , som kan kontrolleras både med avseende på om personen har rätt att resa in i (innehav av giltigt pass, behov av visum och liknande) och mot bl.a. , som innehåller uppgifter om personer som är efterlysta för brott. Den behandling som görs med stöd av utlännings- och medborgarskapslagstiftningen omfattas av dataskyddsförordningens tillämpningsområde, medan brottsdatalagen ska tillämpas på den behandling som har ett brottsbekämpande syfte. Regelverken kan då vara tillämpliga parallellt. Sådana situationer bör alltså betraktas som olika behandlingar av personuppgifter som var och en måste ha stöd i och följa gällande regelverk (prop. 2017/18:232 s. 101). Svårigheterna med att avgöra vilket regelverk som ska tillämpas bör enligt regeringen inte överdrivas. är myndigheter vana att tillämpa olika regelverk –den numera upphävda personuppgiftslagen och myndighetsanknutna registerförfattningar – beroende på i vilken verksamhet personuppgifterna behandlas. Frågan om dubbla regleringar när det gäller personuppgiftsbehandling är således inte ny. I propositionen Brottsdatalag (prop. 2017/18:232) redovisar regeringen vissa principer som bör vara vägledande i gränsdragningen mellan dataskyddsförordningen och brottsdatalagen. Bland annat anges att personuppgiftsbehandling inom ramen för kontrollverksamhet, t.ex. gränskontrollverksamhet, ligger utanför brottsdatalagens tillämpningsområde i den mån den inte utförs i brottsbekämpande syfte. 2018/19:37 Det gäller även i de fall där kontrollen utförs av tjänstemän som också har brottsbekämpande uppgifter (s. 113). 5.2Utrymmet för särskild reglering om personuppgiftsbehandling i lagen om passagerarregister Regeringens bedömning: Dataskyddsförordningen och brottsdatalagen ger utrymme för en sådan särskild reglering om behandling av personuppgifter som finns i lagen om passagerarregister. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: efterfrågar ett resonemang om att dataskyddsförordningen och dataskyddsdirektivet syftar till att skydda vissa grundläggande rättigheter och att lagen om passagerarregister har karaktären av en undantagslagstiftning från dessa rättigheter. I övrigt yttrar sig ingen remissinstans särskilt över bedömningen. Skälen för regeringens bedömning