Kommissionen välkomnar de ansträngningar som de nationella myndigheterna har gjort för att genomföra PNR-direktivet. Vid översynsperiodens utgång hade 24 av 26 medlemsstater underrättat kommissionen om att direktivet hade införlivats fullt ut. Av de två återstående medlemsstaterna har Slovenien anmält delvis införlivande och Spanien, som inte har anmält några införlivandeåtgärder, hänsköts till domstolen den 2 juli 2020 för underlåtenhet att genomföra direktivet. En övervägande majoritet av medlemsstaterna har inrättat fullt fungerande enheter för passagerarinformation, dvs. särskilda enheter som bär ansvaret för att samla in och behandla PNR-uppgifter. Dessa enheter för passagerarinformation har utvecklat ett gott samarbete med andra berörda nationella myndigheter och enheter för passagerarinformation i andra medlemsstater. Samtliga medlemsstater har utsett behöriga myndigheter som får begära och motta PNR-uppgifter från enheten för passagerarinformation endast i syfte att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet, exempelvis polis och andra myndigheter som bär ansvaret för att bekämpa brottslighet.

På global nivå antog Förenta nationerna (FN) i december 2017 säkerhetsrådets resolution 2396, enligt vilken alla FN-stater måste förbättra kapaciteten att samla in, behandla och analysera PNR-uppgifter och säkerställa att PNR-uppgifter används av och delas med alla behöriga nationella myndigheter. I syfte att stödja staternas arbete med att utveckla sådan kapacitet inledde Internationella civila luftfartsorganisationen (Icao) i mars 2019 processen för att utarbeta nya PNR-standarder. Icao-rådet antog dessa standarder den 23 juni 2020. De kommer att vara bindande för alla länder som är medlemmar i Icao, såvida de inte anmäler skiljaktigheter. Kommissionen har varit aktivt delaktig i denna process som observatör för EU för att säkerställa att standarderna är förenliga med EU:s rättsliga krav, så att de kan bidra till att förenkla överföringen av PNR-uppgifter.

I samband med denna översyn bör det noteras att Belgiens författningsdomstol har lämnat en begäran om förhandsavgörande till EU-domstolen om direktivets förenlighet med stadgan om de grundläggande rättigheterna och fördraget. Nyligen lämnade även Kölns distriktsdomstol in en begäran om förhandsavgörande rörande PNR-direktivet. Kommissionen har inkommit med synpunkter i det första ärendet och kommer att göra detsamma i det andra ett senare skede.

Användningen av PNR-uppgifter har varit en viktig del av EU:s internationella samarbete mot terrorism och grov brottslighet under nästan 20 år. I meddelandet från 2010 om en övergripande strategi fastställdes ett antal allmänna kriterier som skulle uppfyllas genom framtida bilaterala PNR-avtal, bland annat och i synnerhet ett antal principer och skyddsåtgärder för dataskydd. Dessa lade grunden till omförhandlingar av PNR-avtalen med Australien, Kanada och Förenta staterna, vilket ledde till att nya PNR-avtal slöts med Australien och Förenta staterna.

Under de senaste åren har ett allt större antal länder – ej begränsat till medlemsstaterna – och internationella organisationer tagit fasta på värdet av att använda PNR-uppgifter som ett verktyg för att bekämpa brott. Inrättandet av en PNR-mekanism och genomförandet av PNR-direktivet bör ses mot bakgrund av denna bredare internationella trend.

Under förberedelserna inför översynen samlade kommissionen in information och återkoppling via en rad olika källor och riktade samråd. Dessa omfattar resultaten av bedömningen av efterlevnaden av PNR-direktivet, vilken grundas på en analys av nationella införlivandeåtgärder, diskussioner med de nationella myndigheter som bär ansvaret för att genomföra direktivet samt med reseindustrin inom ramen för regelbundna möten och särskilda workshoppar, statistiska uppgifter som lämnats av medlemsstaterna i enlighet med artikel 20 i direktivet och besök i sex medlemsstater. I syfte att visa hur PNR-uppgifter används i praktiken för att bekämpa terrorism och grov brottslighet, när så är möjligt, hänvisas det i rapporten till verkliga exempel från nationella myndigheter som bygger på operativa erfarenheter.

Denna rapport är ett svar på kommissionens skyldighet enligt artikel 19 i PNR-direktivet att göra en översyn senast den 25 maj 2020 av samtliga delar av direktivet och att lägga fram den rapporten för Europaparlamentet och rådet. I denna rapport beskrivs PNR-direktivets allmänna ram, och kommissionens slutsatser från översynen av direktivets tillämpning två år efter dess införlivandetidsfrist presenteras. Såsom krävs enligt artikel 19 i direktivet omfattar översynen samtliga delar av direktivet, och särskild vikt har lagts vid efterlevnaden av de tillämpliga standarderna för skydd av personuppgifter, nödvändigheten och proportionaliteten i insamlingen och behandlingen av PNR-uppgifter för vart och ett av de syften som fastställs i direktivet, längden på den period som uppgifterna lagras, ändamålsenligheten i informationsutbytet mellan medlemsstaterna och kvaliteten på bedömningarna, även med hänsyn till den statistik som samlats in i enlighet med artikel 20.Rapporten innehåller även en preliminär analys av om det är nödvändigt, proportionerligt och ändamålsenligt att utvidga den obligatoriska insamlingen och överföringen av PNR-uppgifter till flygningar inom EU och om det är nödvändigt att låta ekonomiska aktörer som inte är trafikföretag omfattas av direktivets tillämpningsområde. I översynen beskrivs vidare de främsta frågor och utmaningar som uppkommit i samband med genomförandet och den praktiska tillämpningen av direktivet.

Enligt artikel 20 i PNR-direktivet måste medlemsstaterna åtminstone samla in statistik om det totala antalet passagerare vars PNR-uppgifter samlats in och utbytts och antalet passagerare som identifierats för ytterligare undersökning. Analysen av denna information visar att det enbart är en mycket liten andel passagerares uppgifter som överförs till behöriga myndigheter för ytterligare undersökning. Den tillgängliga statistiken visar således att PNR-systemen generellt sett fungerar i linje med målet att identifiera högriskpassagerare utan att inkräkta på flödena av passagerare med ärligt uppsåt.

Kvaliteten på bedömningarna, även med hänsyn till den statistik som samlats in i enlighet med artikel 20

Domstolen undersökte tidsfristerna för lagring av PNR-uppgifter i sitt yttrande 1/15 om det planerade avtalet mellan EU och Kanada om PNR-uppgifter och, för att bemöta revisionsrättens farhågor, förhandlade kommissionen fram ett nytt utkast till avtal med Kanada. I detta avseende är det viktigt att notera att kommissionen anser att de faktiska och rättsliga omständigheterna när det gäller PNR-direktivet skiljer sig åt från dem som granskades av EU-domstolen i det ärendet. PNR-direktivet syftar tydligt till att trygga säkerheten i unionen och dess område utan inre gränser, där medlemsstaterna delar ansvaret för den allmänna säkerheten. Till skillnad från förslaget till avtal med Kanada berör direktivet dessutom inte överföring av uppgifter till tredjeland, utan medlemsstaternas insamling av uppgifter om passagerare som reser till och från EU. I detta avseende innebär PNR-direktivets karaktär som sekundärrätt att det tillämpas under överinseende av de nationella domstolarna i medlemsstaterna och, i sista instans, EU-domstolen. Vidare gäller nationella lagar som genomför brottsbekämpningsdirektivet även den behandling av uppgifter som föreskrivs i PNR-direktivet, inbegripet eventuell efterföljande behandling som genomförs av behöriga myndigheter.

Först och främst har behovet av att lagra uppgifterna i fem år sin grund i att PNR är ett analytiskt verktyg som både syftar till att identifiera kända hot och att upptäcka okända risker. Researrangemang som registreras som PNR-uppgifter används för att identifiera specifika beteendemönster och göra kopplingar mellan kända och okända personer. Identifieringen av sådana mönster och kopplingar kräver per definition att det är möjligt att göra en långsiktig analys. För att göra en sådan analys är det nödvändigt att en tillräckligt stor uppgiftsmängd finns tillgänglig för enheten för passagerarinformation under en sådan relativt lång period. Sådana uppgifter kan sedan överföras till de behöriga myndigheterna endast som svar på ”vederbörligen motiverade” ansökningar, från fall till fall, inom ramen för brottsutredningar.

Det är nödvändigt att lagra alla passagerares PNR-uppgifter under en period på fem år för att uppnå målen, dvs. att trygga säkerheten och skydda personers liv och säkerhet genom att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet.

Enligt PNR-direktivet rör behandling av PNR-uppgifter samtliga passagerare på flygningar som ankommer till eller avgår från EU. Bedömningen visar att en sådan bred omfattning är absolut nödvändig för att uppnå direktivets mål. När det gäller de uppgifter som samlas in återspeglar kategorierna i bilaga I de standarder man kommit överens om på internationell nivå, i synnerhet inom Icao. Nationella myndigheter har bekräftat att möjligheten att samla in sådana kategorier av PNR-uppgifter motsvarar vad som är absolut nödvändigt för att uppnå målen.

Av översynen framgår flera faktorer som bekräftar nödvändigheten av och proportionaliteten i insamlingen och behandlingen av PNR-uppgifter för de syften som fastställs i direktivet. Under den begränsade tidsperioden sedan tidsfristen för införlivandet har PNR-direktivet visat sig uppnå målen på ett effektivt sätt. Dessa mål är av allmänt intresse, närmare bestämt att skydda den allmänna säkerheten genom att säkerställa att grov brottslighet och terrorism förebyggs, förhindras, upptäcks, utreds och lagförs inom unionens område utan inre gränser.

Såvida dataskyddsåtgärderna i direktivet genomförts korrekt – vilket är fallet i de flesta medlemsstaterna – garanterar de proportionaliteten i behandlingen av PNR-uppgifter och syftar till att förhindra missbruk från nationella myndigheters och andra aktörers sida. Ändamålsbegränsningen säkerställer att uppgifterna enbart behandlas för att bekämpa terrorism och grov brottslighet. Förbudet mot att samla in och behandla känsliga uppgifter utgör en viktig skyddsåtgärd som säkerställer att passageraruppgiftssamlingar inte kommer att användas på ett diskriminerande sätt. Faktumet att medlemsstaterna för loggar över behandlingen, såsom krävs enligt direktivet, ökar insynen och gör det möjligt att kontrollera att uppgiftsbehandlingen är laglig på ett effektivt sätt. Dataskyddsombud kan kontrollera att uppgiftsbehandlingen är laglig på ett oberoende sätt, i synnerhet när de inte tillhör personalen vid enheten för passagerarinformation och inte är underordnade chefen för enheten för passagerarinformation. Dataskyddsombudens närvaro vid enheterna för passagerarinformation säkerställer dessutom att ett dataskyddsperspektiv beaktas inom ramen för dessa enheters dagliga verksamhet.

I detta sammanhang bör det dock noteras att den statistik som lämnats till kommissionen inte är helt standardiserad och därför inte går att använda till strikt kvantitativ analys. På samma sätt är det även nödvändigt att påminna om att PNR-uppgifter i de flesta utredningar utgör ett verktyg eller bevismaterial bland andra, och att det ofta inte är möjligt att isolera och kvantifiera resultat som specifikt uppnåtts med hjälp av enbart PNR. I denna analys har kommissionen minskat dessa svårigheter genom att samla in olika typer av bevis, i syfte att upprätta en solid faktabas inför översynen. Kommissionen kommer också att fortsätta sitt nära samarbete med medlemsstaterna för att förbättra kvaliteten på de statistiska uppgifter som samlas in enligt direktivet.

Återkoppling från medlemsstaterna om den möjliga utvidgningen av skyldigheterna och användningen av uppgifter enligt PNR-direktivet

Samtliga medlemsstater förutom en har utvidgat insamlingen av PNR-uppgifter till flygningar inom EU. Nationella myndigheter betraktar insamlingen av PNR-uppgifter för flygningar inom EU (och i synnerhet inom Schengen) som ett viktigt brottsbekämpningsverktyg för att följa kända misstänkta personers rörelser och för att identifiera misstänkta resmönster när det gäller okända personer som kan vara inblandade i brottslig verksamhet eller terroristverksamhet och reser inom Schengenområdet. I och med att medlemsstaterna i praktiken redan samlar in PNR-uppgifter om flygningar inom EU anser inte kommissionen att det är nödvändigt att göra det obligatoriskt att samla in PNR-uppgifter om flygningar inom EU i detta skede.

Översynen har visat att medlemsstaterna, ur operativ synvinkel, skulle betrakta information från ekonomiska aktörer som inte är trafikföretag som ett oumbärligt mervärde. Med tanke på det antal bokningar som görs av researrangörer och resebyråer samlas en betydande del av passagerarinformationen för närvarande inte in, och behandlas således inte av enheterna för passagerarinformation. Detta medför en betydande säkerhetsbrist. Kommissionen är medveten om denna utmaning. All eventuell utvidgning av skyldigheten att samla in PNR-uppgifter till ekonomiska aktörer som inte är trafikföretag kräver dock en grundlig bedömning av den rättsliga, tekniska och ekonomiska effekten av sådan insamling, däribland en kontroll med avseende på de grundläggande rättigheterna, i synnerhet mot bakgrund av den bristande standardiseringen av dataformat.

Översynen har även visat att vissa medlemsstater samlar in PNR-uppgifter från andra transportslag, såsom sjötransport, järnvägstransport och vägtransport, på grundval av den nationella lagstiftningen. Trots det operativa värdet av att samla in sådana uppgifter ger detta upphov till betydande rättsliga, praktiska och operativa frågor. Innan kommissionen vidtar några åtgärder för att utvidga skyldigheten att samla in PNR-uppgifter enligt direktivet kommer den att genomföra en grundlig konsekvensbedömning, vilket även rekommenderas i rådets slutsatser från december 2019 om en utvidgning av användningen av PNR-uppgifter till andra transportslag än flyg.

PNR-direktivet tillåter enbart behandling av PNR-uppgifter för att bekämpa terrorism och grov brottslighet, men flera medlemsstater har även påpekat att användningen av PNR-uppgifter skulle kunna utgöra ett värdefullt verktyg för att skydda folkhälsan och förhindra spridning av infektionssjukdomar. Det skulle t.ex. kunna användas för att underlätta kontaktspårning av personer som har suttit i närheten av en smittad passagerare. Denna fråga har hamnat än mer i fokus sedan covid-19-pandemin bröt ut, och fler medlemsstater anger att det är nödvändigt att tillåta användning av PNR-uppgifter för att hantera sådana hälsorelaterade kriser.

3.4.Centrala operativa utmaningar

Kommissionen bedömer de utmaningar som medlemsstaterna rapporterar utifrån de begränsade erfarenheter som gjorts i samband med tillämpningen av PNR-direktivet under de två första år som det har tillämpats. Ytterligare åtgärder, såsom obligatorisk insamling av passagerares födelsedatum från lufttrafikföretagens sida, kan krävas för att förbättra uppgifternas kvalitet. Det är viktigt för att möjliggöra ännu mer riktad och effektiv databehandling. Förbättringar av uppgifternas kvalitet, liksom en noggrann omprövning av vilka ändamål som PNR-uppgifterna kan användas för, kan likaså krävas för att bättre anpassa PNR-direktivet till andra EU-instrument för samarbete på brottsbekämpningsområdet. Sådana eventuella ändringar av direktivet kommer att kräva en grundlig konsekvensbedömning, däribland av inverkan på de grundläggande rättigheterna.

För att undvika att lufttrafikföretag ställs inför situationer där olika länders lagstiftning står i strid med varandra och hindrar dem från att överföra PNR-uppgifter till och från medlemsstaterna kommer det att vara nödvändigt att fortsätta att behandla olika sätt att tillåta överföring av PNR-uppgifter till tredjeländer, i enlighet med EU:s krav, inom ramen för kommissionens externa PNR-politik.

4.Slutsatser

Kommissionens bedömning av de första två år som direktivet har tillämpas är generellt sett positiv. Den huvudsakliga slutsatsen från översynen är att direktivet på ett positivt sätt bidrar till dess främsta mål, dvs. att säkerställa att det inrättas ändamålsenliga PNR-system i medlemsstaterna som ett instrument för att bekämpa terrorism och grov brottslighet. Kommissionen har lämnat stöd till medlemsstaterna under genomförandeprocessen genom att samordna regelbundna möten, främja samarbetet mellan nationella myndigheter och tillhandahålla ekonomiskt stöd. Samtidigt har kommissionen inte tvekat inför att inleda överträdelseförfaranden mot medlemsstater som har underlåtit att införliva direktivet i tid.

Kommissionen kommer att fortsätta att samarbete på nära håll med medlemsstaterna för att se till att alla de frågor och utmaningar som identifieras ovan behandlas på lämpligt sätt, så att EU:s PNR-mekanism blir än mer effektiv samtidigt som fullständig respekt för de grundläggande rättigheterna säkerställs. Kommissionens övervakning av genomförandet av PNR-direktivet kommer att fortsätta efter det att denna översyn har slutförts. Denna rapport, som inte bör betraktas som en slutgiltig bedömning av de nationella införlivandeåtgärdernas förenlighet, kommer att underlätta dialogen med medlemsstaterna om eventuella avvikelser från direktivets krav. I detta sammanhang kommer man också att bedöma behovet av att inleda överträdelseförfaranden för bristfälligt genomförande.

Kommissionen anser att det i detta skede inte bör föreslås några ändringar av PNR-direktivet. Efter en första period då fokus legat på att uppnå ett fullständigt införlivande är det nu dags att fokusera på att se till att direktivet har genomförts korrekt. Vissa av de frågor som har uppkommit när det gäller den praktiska tillämpningen av PNR-direktivet, såsom beskrivs ovan, kommer dessutom att kräva ytterligare bedömningar. Detta gäller till exempel för de aspekter som rör en eventuell utvidgning av direktivets tillämpningsområde. Vid sådana bedömningar bör det också tas hänsyn till de underlag som finns från den pågående utvärderingen av direktivet om förhandsinformation om passagerare. Beslutet om att föreslå en översyn av PNR-direktivet kommer också att baseras på resultatet av de begäranden om förhandsavgörande som för närvarande lämnas in till domstolen.