Propositionens bakgrund och centrala innehåll

Lagförslagen i propositionen syftar till att genomföra Europaparlamentets och rådets direktiv av den 27 april 2016 (EU) 2016/681 om användning av passageraruppgiftssamlingar (PNR-uppgifter) för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet (PNR-direktivet). Tidsfristen för att genomföra direktivet gick ut den 25 maj 2018, så genomförandet är försenat. Utskottet ser det därför som viktigt att lagförslagen om genomförandet nu behandlas i riksdagen. Utskottet tillstyrker lagförslagen, men med följande kommentarer och ändringsförslag. 

Propositionen verkställer också FN:s säkerhetsråds resolution om bekämpning av terrorism och s.k. utländska stridande, som ålägger de behöriga myndigheterna i FN:s medlemsstater att samla in PNR-uppgifter av lufttrafikföretag, utnyttja uppgifterna för brottsbekämpning och utbyta uppgifter sinsemellan och mellan medlemsstaterna för att identifiera och förebygga terroristbrott och resor i samband med dem. 

Av propositionsmotiven framgår att lagförslagen ursprungligen var tänkta att ingå i en proposition med förslag till ny lag om behandling av personuppgifter i polisens verksamhet (RP 242/2018 rd). Den propositionen har behandlats av utskottet samtidigt som den nu aktuella propositionen. Utskottet har likaså behandlat propositioner med förslag till lag om behandling av personuppgifter vid Gränsbevakningsväsendet (RP 241/2018 rd) och lag om behandling av personuppgifter inom Tullen (RP 259/2018 rd). Utskottet konstaterar att lagförslag 1 i den nu aktuella propositionen har åtskilliga beröringspunkter med lagstiftningen i de nämnda propositionerna. På det sätt som framgår av detaljmotiveringen nedan föreslår utskottet att man ska ta hänsyn till detta i lagförslagets innehåll. 

Enligt PNR-direktivet är lufttrafikföretag skyldiga att, i syfte att bekämpa sådan terrorism och grov brottslighet som avses i direktivet, överföra bestämda PNR-uppgifter till de enheter för passagerarinformation som medlemsstaterna inrättat eller utsett. Passagerarregistret innehåller uppgifter om behandling och kontroll av uppgifter om passagerarnas bokningar. 

Utskottet konstaterar i det här sammanhanget att alla PTG-myndigheter också i nuläget har rätt att för skötseln av sina egna brottsbekämpningsuppgifter få uppgifter ur register som gäller passagerare genom teknisk anslutning eller som en datamängd. De gällande bestämmelserna omfattar alla trafikformer. PNR-direktivets skyldighet att lämna passageraruppgifter till myndigheterna är alltså i det avseendet inte någon nyhet. Nu uppställs det dock mer exakta skyldigheter i fråga om utlämnandet av flygpassageraruppgifter. De föreslagna ändringarna ska inte begränsa myndigheternas rätt att få uppgifter med stöd av annan lagstiftning. Utskottet hänvisar här dock till direktivets skäl 33, enligt vilket direktivet inte påverkar medlemsstaternas möjligheter att i enlighet med nationell rätt tillhandahålla ett system för insamling och behandling av PNR-uppgifter från ekonomiska aktörer som inte är transportörer, t.ex. resebyråer och researrangörer som tillhandahåller reserelaterade tjänster, inklusive bokning av flygningar, för vilka de samlar in och behandlar PNR-uppgifter, eller från andra transportföretag än de som anges i detta direktiv, förutsatt att sådan nationell rätt är förenlig med unionsrätten. 

I Finland utgörs den i direktivet avsedda enheten för passagerarinformation av en enhet som bildats inom den PTG-kriminalunderrättelsestruktur som avses i 5 § i lagen om samarbete mellan polisen, Tullen och Gränsbevakningsväsendet (687/2009). Enheterna för passagerarinformation analyserar uppgifterna enligt på förhand fastställda kriterier och jämför dem med uppgifter i nationella och internationella databaser som är väsentliga med tanke på bekämpningen av terroristbrott och grov brottslighet. Målet är att identifiera personer som de nationella brottsbekämpande myndigheterna eller Europol behöver utreda ytterligare på grund av att dessa personer kan vara inblandade i sådana terroristbrott eller sådan grov brottslighet som definieras i PNR-direktivet. 

Om ytterligare undersökningar visar sig vara nödvändiga överför enheten för passagerarinformation uppgifterna till de behöriga myndigheterna i den egna medlemsstaten eller till enheten för passagerarinformation i en annan EU-medlemsstat. Behöriga myndigheter i Finland är polisen, Tullen och Gränsbevakningsväsendet. Även Europol har rätt att begära enskilda uppgifter inom ramen för sina arbetsuppgifter och sina befogenheter. PNR-uppgifter får endast i enskilda fall lämnas till tredjeländer. I PNR-direktivet uppställs särskilda villkor för överlåtelse av uppgifter utöver de allmänna villkor som anges i dataskyddsdirektivet (direktiv EU 2016/680 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF)). Utöver det som föreskrivs i lagförslag 1 ska också lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten tillämpas på behandlingen av PNR-uppgifter. Den lagen utgör en allmän lag, som kompletteras av den nu föreslagna speciallagen. 

PNR-uppgifterna ska lagras vid enheten för passagerarinformation under en period på fem år. Sex månader efter att uppgifterna överförts till enheten för passagerarinformation ska uppgifterna avidentifieras genom maskering av sådana uppgifter som kan användas för att omedelbart identifiera de passagerare som uppgifterna avser. När denna period på sex månader gått ut får enskilda PNR-uppgifter, inklusive maskerade uppgifter, lämnas ut endast på grundval av en motiverad begäran från polisen, Tullen, gränsbevakningsväsendet eller Europol och ett samtycke från en polisman som hör till befälet. 

Behandling av PNR-uppgifter

Förvaltningsutskottet konstaterar att PNR-direktivet förutsätter att ett register inrättas för lagring av PNR-uppgifterna, och till denna del ger inte direktivet medlemsstaterna något handlingsutrymme. I Finland ska registret enligt förslaget föras av Polisstyrelsen, som ska utnämna ett sådant dataskyddsombud som avses i direktivet. Dataskyddsombudet ansvarar för övervakningen av behandlingen av PNR-uppgifter och genomförandet av åtgärder i anslutning till dataskydd vid enheten för passagerarinformation. 

I sitt utlåtande (GrUU 29/2018 rd) anser grundlagsutskottet att lagförslagen kan behandlas i vanlig lagstiftningsordning. Grundlagsutskottet anser att syftet bakom propositionen är godtagbart. Särskilt bekämpning av terrorism och allvarliga brott kan betraktas som ett sådant tungt vägande intresse att det i sig kan anses finnas ett godtagbart syfte för behandling av personuppgifter och inskränkningar i skyddet för privatlivet. 

Enligt artikel 6.3 a i PNR-direktivet får enheten för passagerarinformation jämföra PNR-uppgifter med uppgifter i databaser som är relevanta för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet, inklusive databaser över personer eller föremål som är eftersökta eller finns uppförda på en spärrlista. Jämförelser ska göras i enlighet med unionsbestämmelser eller internationella eller nationella bestämmelser som är tillämpliga på sådana databaser. Direktivet ger således den nationella lagstiftaren handlingsutrymme när det gäller vilka databaser som ska betraktas som sådana databaser enligt direktivet som PNR-uppgifterna ska jämföras med. Av grundlagsutskottets utlåtande framgår att det nationella handlingsutrymmet klargjorts tillräckligt väl i propositionen. Förvaltningsutskottet ser det som viktigt att enheten för passagerarinformation kan göra tillräckligt omfattande jämförelser av erhållna PNR-uppgifter mot olika bakgrundsregister, under de förutsättningar som anges i direktivet. Utskottet understryker att EU:s reviderade dataskyddslagstiftning är av stor betydelse för behandlingen av personuppgifter. 

Regleringen om behandling av PNR-uppgifter i 7 § i lagförslag 1 möjliggör enligt grundlagsutskottet en omfattande och automatiserad jämförelse av PNR-uppgifterna mot uppgifter i andra myndighetsregister. Passageraruppgifterna verkar inte i sig innehålla några sådana känsliga uppgifter att det skulle krävas ett särskilt skydd mot missbruk för personuppgifterna i systemet. Användningen av personuppgifterna måste ändå vara behövlig också enligt dataskyddsdirektivet. Enligt grundlagsutskottet bör förvaltningsutskottet i fråga om varje register enligt 7 § som innehåller uppgifter som enheten för passagerarinformation genom automatiserade metoder får jämföra med PNR-uppgifter noga utreda och bedöma om utnyttjandet är nödvändigt. 

Förvaltningsutskottet understryker att PNR-uppgifter som insamlats i enlighet med direktivet får, enligt artikel 1.2 i direktivet, behandlas endast i syfte att förebygga, avslöja, utreda och lagföra terroristbrott och grov brottslighet. Bestämmelser om behandling av PNR-uppgifter finns i artikel 6 i direktivet. Motsvarande bestämmelser föreslås i 7 § i lagförslag 1. Enheten för passagerarinformation får behandla PNR-uppgifter före passagerarnas beräknade ankomst eller avresa i enlighet med förhandsbestämda bedömningskriterier och för att uppdatera kriterierna eller fastställa nya kriterier. Utskottet föreslår på de grunder som anges nedan i detaljmotiven att ordalydelsen i 7 § 1 mom. preciseras så att det bättre motsvarar bestämmelserna om behandling av uppgifter i artikel 6 i direktivet. 

I propositionen (7 § 3 mom. i lagförslag 1) föreslås det att enheten för passagerarinformation i samband med behandlingen av PNR-uppgifter genom automatiserade metoder får jämföra PNR-uppgifter med de uppgifter som avses i de bestämmelser i lagen om behandling av personuppgifter i polisens verksamhet (punkt 1—3), lagen om behandling av personuppgifter vid Gränsbevakningsväsendet (punkt 4) och lagen om behandling av personuppgifter inom Tullen till vilka det hänvisas i respektive punkt. Propositioner om ändring av dessa lagar behandlas som bäst av riksdagen. Utskottet föreslår på det sätt som framgår av detaljmotiven att hänvisningarna till de lagbestämmelserna uppdateras så att de hänvisar till bestämmelserna i de nya lagar som behandlas av utskottet. 

Utskottet konstaterar att de databaser som avses i 7 § 3 mom. 1—5, 10 och 11 punkten har inrättats för skötseln av PTR-myndigheternas grundläggande uppdrag. Ett väsentligt element i detta uppdrag är polisens, Gränsbevakningsväsendets och Tullens brottsbekämpning. Med hänsyn till syftet med propositionen och direktiv ser utskottet det som nödvändigt att PNR-uppgifter kan jämföras med dessa databaser på det sätt som föreslagits. 

I 7 § 3 mom. 7—9 nämns också fordonstrafikregistret, farkostregistret och befolkningsdatasystemet, och i 6 punkten utlänningsregistret. Utskottet ser det som viktigt att också innehållet i dessa register kan utnyttjas för att förebygga sådana brott som avses i direktivet. Utskottet vill likväl fästa uppmärksamheten vid att i synnerhet jämförelse av PNR-uppgifter mot de nämnda förvaltningsregistren innebär en utvidgning av informationsanvändningen jämfört med nuläget. De här databaserna har inte inrättats för brottsbekämpning. Det kan alltså anses att det ursprungliga ändamålet med behandlingen ändras. Utskottet konstaterar också att ett annat ändamål än det ursprungliga inte får bli det huvudsakliga ändamålet eller ett viktigt ändamål med registret. 

Utskottet understryker att en systematisk och effektiv behandling av PNR-uppgifter kan avslöja och identifiera personer och nätverk vars kopplingar till terrorism eller grov brottslighet inte annars kan avslöjas. Enligt utredning kan registeruppgifter om fordon, farkoster eller utlänningar vara av väsentlig betydelse för avslöjandet av brottslighet. Vid jämförelse av PNR-uppgifter mot uppgifter i andra databaser övervägs det inte om förundersökning ska inledas, och det är inte på förhand känt i vilken databas det kan finnas väsentlig information som leder till ett avslöjande. Enheten för passagerarinformation analyserar de uppgifter den fått för att se om det i det enskilda fallet finns grunder för att överföra uppgifterna till behöriga myndigheter för ytterligare undersökningar. Behandlingen av uppgifter är begränsad till identifiering av personer som kan vara delaktiga i terroristbrott eller grov brottslighet. Utskottet understryker att automatiska träffar i samband med sådan behandling av PNR-uppgifter som avses i 7 mom. 4 punkten ska granskas individuellt. 

Bestämmelserna om behandling av uppgifter måste tillämpas med hänsyn till kraven på nödvändighet, proportionalitet, jämlikhet och icke-diskriminering. Utskottet konstaterar att PNR-uppgifterna i princip inte innehåller information som kan hänföras till de särskilda kategorier av personuppgifter som avses i EU:s dataskyddslagstiftning. Om trafikföretaget lämnar sådana uppgifter till enheten för passagerarinformation, ska uppgifterna utplånas omedelbart, enligt 12 § 3 mom. i lagförslaget. Utskottet föreslår att det till 7 § i lagförslag 1 fogas ett nytt 6 mom., där det i linje med direktivet föreskrivs att enheten för passagerarinformation inte får behandla uppgifter som hör till en särskild kategori av personuppgifter. Av detaljmotiven framgår också att utskottet anser att en inskränkning av rätten till insyn enligt 24 § i lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten är tillräcklig också för resultaten av behandlingen av PNR-uppgifter. 

Under utskottets sakkunnigutfrågning aktualiserades behovet av att jämföra PNR-uppgifterna inte bara med de föreslagna databaserna utan också med det register (penningtvättsregistret) för förhindrande, avslöjande och utredning av penningtvätt och av finansiering av terrorism som avses i 3 § i lagen om centralen för utredning av penningtvätt (445/2017). Enligt utredning konstaterar kommissionen i en egen analys att analysen av PNR-uppgifter kan ge en klarare bild av hur de kriminellas förfaringssätt utvecklas, exempelvis vad gäller smugglingsrutter för narkotika och penningtvätt. Penningtvättsregistret är av central betydelse för förhindrandet av finansiering av penningtvätt och terrorism. Utskottet ser det som viktigt att utreda om det finns anledning att tillåta att PNR-uppgifter jämförs också mot uppgifter i penningtvättsregistret. 

Bedömningskriterierna

Enligt artikel 6.3 a i direktivet kan enheten för passagerarinformation vid bedömningen av passagerare behandla PNR-uppgifter i enlighet med bestämda kriterier. Enheten för passagerarinformation fastställer enligt 7 § 2 mom. kriterierna för bedömning och analys och ser över dem regelbundet tillsammans med de behöriga myndigheterna. 

Grundlagsutskottet ansåg att förvaltningsutskottet bör precisera regleringen om kriterierna för bedömning och analys. Förvaltningsutskottet bör, enligt grundlagsutskottet, av orsaker som hänför sig till 12 § 2 mom. och 21 § i grundlagen också noga granska hur de föreslagna kriterierna och algoritmerna i de automatiserade metoder som eventuellt tillämpar dem förhåller sig till lagen om offentlighet i myndigheternas verksamhet och vid behov precisera regleringen. 

Förvaltningsutskottet framhåller att lagförslagen kräver att bedömningskriterierna är riktade, proportionella och tydliga, så att myndigheterna inte i onödan behandlar personuppgifter över de registrerade. Kriterierna får inte grunda sig på uppgifter om en persons ras, etniska ursprung, politiska åskådning, religiösa eller filosofiska övertygelse, medlemskap i fackförbund, hälsotillstånd, sexualliv eller sexuella läggning. De får alltså inte stå i strid med diskrimineringsförbudet. Denna avgränsning baserar sig på 6 § i grundlagen och på skyldigheten enligt artikel 11.3 i PNR-direktivet att förvissa sig om att profilering inte leder till diskriminering. Grundlagsutskottet anser de föreslagna bestämmelserna vara ändamålsenliga till denna del. 

Lufttrafikföretagen ska lämna PNR-uppgifter över samtliga passagerare till enheten för passagerarinformation. De flesta av passagerarna berörs självfallet inte av några brottsmisstankar. Enligt propositionsmotiven är avsikten att som bedömningskriterier skapa modeller för resebeteendet och med hjälp av dessa analysera avvikande beteenden. Som avvikande kan nämnas till exempel kontantbetalning för bokningar som gjorts i sista minuten eller att en passagerare saknar bagage. Enligt direktivet bär bedömningskriterierna fastställas så att så få oskyldiga människor som möjligt identifieras felaktigt av systemet. Utskottet bedömer att utarbetandet av kriterier och tillsynen över verksamheten kommer att kräva stora utvecklingsinsatser. 

Utskottet konstaterar att handlingar som innehåller information om polisens, Gränsbevakningsväsendets och Tullens taktiska och tekniska metoder och planer är sekretessbelagda med stöd av 24 § 1 mom. 5 punkten i lagen om offentlighet i myndigheternas verksamhet, om utlämnandet av uppgifter ur en sådan handling skulle äventyra förebyggande och utredning av brott eller upprätthållandet av allmän ordning och säkerhet. Enligt inkommen utredning utgör reglerna för val av objekt och kriterierna för analys och bedömning sådana taktiska och tekniska metoder och planer som avses i offentlighetslagen och ska därmed sekretessbeläggas. 

Utskottet föreslår att också 7 § 2 mom. i lagförslag 1 förtydligas. Ändringen framgår närmare av detaljmotiveringen. 

Påföljdsavgift

Medlemsstaterna ska enligt artikel 14 i direktivet fastställa regler om sanktioner för överträdelse av bestämmelser som antagits enligt direktivet. Sanktionerna ska vara effektiva, proportionella och avskräckande. För att skyldigheten ska fullgöras föreslås en påföljdsavgift, som till sin karaktär är en administrativ straffpåföljd. Utskottet anser att påföljden är tillräckligt effektiv och avskräckande. 

Lufttrafikföretag som bryter mot den föreskrivna skyldigheten att överföra PNR-uppgifter ska påföras en fast påföljdsavgift på 3 000 euro. Påförandet av avgiften sker dock inte automatiskt, så det är inte frågan om strikt ansvar. Utskottet framhåller att det vid bedömningen av om påföljdsavgift ska påföras måste beaktas om ett fel har inträffat vid överföringen av PNR-uppgifter till följd av ouppmärksamhet som med beaktande av omständigheterna är ursäktlig eller om det med hänsyn till omständigheterna skulle vara oskäligt att påföra en avgift. 

Administrativ börda och myndigheternas resurser

Utskottet ser det som viktigt att det för överföringen av PNR-uppgifter utarbetas så enhetliga förfaranden som möjligt, så att flygbolagen inte påförs onödig administrativa börda till följd av uppgiftsöverföringen. Vidare konstaterar utskottet PNR-myndigheterna och dataombudsmannens byrå tillförsäkras tillräckliga resurser för skötseln av sina uppgifter.