Senast publicerat 31-07-2025 17:23

Statsrådets U-skrivelse U 4/2025 rd Statsrådets skrivelse till riksdagen om ett avtal mellan Europeiska unionen och Konungariket Norge om överföring och användning av passageraruppgiftssamlingar (PNR-uppgifter) i syfte att förebygga och bekämpa terrorism och annan grov brottslighet (PNR-avtalet mellan EU och Norge)

I enlighet med 96 § 2 mom. i grundlagen översänds till riksdagen en promemoria om ett avtal mellan Europeiska unionen och Norge om överföring och användning av passageraruppgiftssamlingar (PNR-uppgifter) i syfte att förebygga och bekämpa terrorism och annan grov brottslighet (PNR-avtalet mellan EU och Norge). 

Helsingfors den 13 mars 2025 
Justitieminister 
Leena 
Meri 
 
Specialsakkunnig 
Amanda 
Mäkelä 
 

PROMEMORIAJUSTITIEMINISTERIET13.3.2025EU/1082/2023AVTAL MELLAN EUROPEISKA UNIONEN OCH KONUNGARIKET NORGE OM ÖVERFÖRING OCH ANVÄNDNING AV PASSAGERARUPPGIFTSSAMLINGAR (PNR-UPPGIFTER) I SYFTE ATT FÖREBYGGA OCH BEKÄMPA TERRORISM OCH ANNAN GROV BROTTSLIGHET (PNR-AVTALET MELLAN EU OCH NORGE)

1  Bakgrund och syfte

Den 4 mars 2024 antog Europeiska unionens råd ett beslut om att bemyndiga kommissionen att inleda avtalsförhandlingar mellan EU och Konungariket Norge (nedan Norge) om överföring och användning av passageraruppgiftssamlingar (passenger name record, PNR-uppgifter) i syfte att förebygga och bekämpa terrorism och annan grov internationell brottslighet (se E 45/2023 rd). Med PNR-uppgifter avses sådana personuppgifter om flygpassagerare som lufttrafikföretag behöver för hantering av bokningar. 

PNR-uppgifterna är ett viktigt verktyg i bekämpningen av terrorism och annan grov internationell brottslighet. Syftet med PNR-avtalen är att reglera överföring och användning av PNR-uppgifter endast för att förebygga och bekämpa terrorism och annan grov internationell brottslighet så att de villkor i fråga om skydd av personuppgifter som anges i avtalet uppfylls fullt ut. Avtalet ska skapa den rättsliga grund som behövs för att lufttrafikföretagen ska kunna överföra PNR-uppgifter. Avtalet ska ange hur PNR-uppgifter kan överföras till Norge och behandlas i Norge. Dessutom ska avtalet innehålla bestämmelser om utbytet av PNR-uppgifter mellan myndigheterna i EU:s medlemsstater och Norge samt Europol och Eurojust. Avtalet med sina bifogade dokument ska vara rättsligt bindande för alla parter. 

För närvarande har EU tre internationella avtal med tredjeländer om utlämnande av PNR-uppgifter. Avtal har ingåtts med Förenta staterna, Australien och Storbritannien. Ett PNR-avtal mellan EU och Kanada undertecknades hösten 2024 och väntar för närvarande på parlamentets godkännande. Rådet har dessutom bemyndigat kommissionen att inleda förhandlingar om PNR-avtal med Mexiko, Japan, Schweiz och Island. Innehållet i PNR-avtalet mellan EU och Norge kommer antagligen att i hög grad överensstämma med tidigare PNR-avtal som EU ingått med tredjeländer och som har beaktat unionsrätten i enlighet med EU-domstolens tolkning. Eftersom Norge hör till Europeiska ekonomiska samarbetsområdet (EES) och är part i Schengenkonventionen och eftersom landet tillämpar EU:s dataskyddsbestämmelser är det dock inte nödvändigt att i avtalet inkludera bestämmelser som helt motsvarar det som EU-domstolen kräver. 

Kommissionen har distribuerat ett utkast till PNR-avtal med Norge. Utkastet behandlades i rådets arbetsgrupp för informationsutbyte (IXIM) den 24 februari 2025. Kommissionen meddelade vid mötet att den har för avsikt att färdigställa innehållet i avtalet med Norge i början av mars. Därefter ska kommissionen ta fram rekommendationer till rådsbeslut om godkännande och undertecknande av avtalet. Kommissionens mål är att avtalet undertecknas senast i maj. Ingående av avtalet kräver dessutom Europaparlamentets godkännande. 

Senast kommissionen informerade IXIM-arbetsgruppen om hur förhandlingarna framskrider var den 13 november 2024. Kommissionen kommer inom en snar framtid att informera även parlamentet om hur avtalsförhandlingarna framskrider. 

2  Förslagets huvudsakliga innehåll

2.1  Om PNR-avtalet mellan EU och Norge

PNR-avtalet mellan EU och Norge ska förutom skapa den rättsliga grunden även beakta EU:s rättsliga ramar för skyddet av personuppgifter och PNR-uppgifter, det vill säga den allmänna dataskyddsförordningen (EU) 2016/679, det så kallade dataskyddsdirektivet för brottsbekämpning (EU) 2016/680 och PNR-direktivet (EU) 2016/681. I förhandlingarna har kommissionen beaktat förutom unionens sekundärrätt även Europeiska unionens fördrag och stadgan om de grundläggande rättigheterna såsom dessa tolkats av unionens domstol i rättspraxis som rör PNR-ärenden, särskilt domstolens yttrande 1/15, som gäller PNR-avtalet mellan EU och Kanada. Även EU-domstolens tolkning av PNR-direktivet i juni 2022 (mål C-817/19, nedan PNR-domen) har beaktats. I avtalsförhandlingarna har man dessutom beaktat de standarder och den rekommenderade praxis om PNR-uppgifter som Internationella civila luftfartsorganisationen ICAO har antagit och som fastställer skyddsåtgärder på en hög nivå för dataskyddet och främjar skyddsnivån på internationell nivå.  

Norge är ett EES-land, och eftersom den allmänna dataskyddsförordningen med anpassningar har inkluderats i en bilaga till EES-avtalet tillämpas den allmänna dataskyddsförordningen med anpassningar även i Norge. Norge är dessutom part i Schengenkonventionen och har som en del av genomförandet av Schengenregelverket antagit och genomfört även dataskyddsdirektivet för brottsbekämpning (EU) 2016/680. Denna genomförandereglering tillämpas på de brottsbekämpande myndigheternas behandling av personuppgifter i syfte att förebygga, förhindra, utreda, avslöja och lagföra brott eller verkställa straffrättsliga påföljder. Regleringen tillämpas även på den behandling av personuppgifter som avses i det avtal som nu håller på att förhandlas fram. 

Eftersom PNR-direktivet inte är bindande för Norge måste avtalet beakta PNR-direktivets ramvillkor avseende internationella dataöverföringar. Genom avtalet måste man således se till att Norge säkerställer en sådan skyddsnivå för personuppgifter som i huvudsak motsvarar den skyddsnivå som säkerställs inom unionen. Skyddsnivån säkerställs genom att man i avtalet inkluderar lämpliga skyddsåtgärder för behandlingen av PNR-uppgifter, så att parterna lagligen kan ta emot och behandla PNR-uppgifter på ett sätt som säkerställer både säkerheten för individer som rör sig inom det gemensamma området utan inre gränskontroller och skyddet av dessa individers personuppgifter. 

2.2  Om innehållet i utkastet till avtal

Kommissionen har förhandlat fram ett utkast till PNR-avtal mellan EU och Norge på grundval av ett rådsbeslut och de förhandlingsdirektiv som bifogats detta beslut (ST/5388/2024/INIT, ST 5388 2024 ADD 1). 

Enligt utkastet ska kapitel I (Allmänna bestämmelser) i avtalet fastställa avtalets syfte och tillämpningsområde (artikel 1) samt definitioner (artikel 2). Enligt utkastet är syftet med avtalet att möjliggöra överföring av lufttrafikföretagens passageraruppgiftssamlingar (PNR-uppgifter) från unionen till Norge och att fastställa regler för och villkor under vilka Norge kan behandla PNR-uppgifter. Syftet är också att förbättra det polisiära och rättsliga samarbetet mellan unionen och Norge när det gäller PNR-uppgifterna. Enligt utkastet omfattar avtalets tillämpningsområde lufttrafikföretag som utför passagerarflygningar mellan unionen och Norge, lufttrafikföretag som är registrerade i unionen eller lagrar uppgifter där och lufttrafikföretag som utför flygningar till eller från Norge. Artikel 2 fastställer viktiga definitioner som motsvarar dem som anges i artikel 3 i PNR-direktivet. 

Kapitel II i avtalsutkastet innehåller bestämmelser om överföring av PNR-uppgifter. Artikel 3 gäller metoden och takten för överföringar av PNR-uppgifter. Artikeln kräver att Norge säkerställer att lufttrafikföretagen överför PNR-uppgifterna till Norges enhet för passagerarinformation (nedan Norges PIU) så att de krävda PNR-uppgifterna överförs till databasen hos den myndighet som begärt uppgifterna uteslutande med sändmetoden (push method), vilket innebär att lufttrafikföretagen själva överför PNR-uppgifterna till den behöriga myndigheten i tredjelandet i enlighet med PNR-avtalet (jämfört med direktåtkomstmetoden, pull method, där myndigheten i tredjelandet ges tillgång till lufttrafikföretagets bokningssystem för att den ska få uppgifterna). I artikeln föreskrivs närmare om att Norge inte får kräva att lufttrafikföretag utlämnar överflödiga PNR-uppgifter och om att alla eventuella överflödiga uppgifter som lämnats av lufttrafikföretaget ska raderas. I artikeln föreskrivs också exakt om hur och inom vilken tidsfrist lufttrafikföretagen måste tillhandahålla PNR-uppgifterna samt om det undantag som kan medges på grund av en särskild omständighet när det är fråga om att bekämpa ett särskilt hot. I avtalet föreskrivs dessutom om ett eventuellt idrifttagande av en API-PNR-router (artikel 4) och om villkoren för användningen av denna. Enligt avtalet kan Norge ta i drift en API-PNR-router i enlighet med Europaparlamentets och rådets förordning (EU) 2025/13 (nedan API för brottsbekämpning). Norge har uttryckt intresse för att använda routern. 

Kapitel III i avtalsutkastet innehåller bestämmelser om behandlingen av PNR-uppgifter och om skyddsåtgärder i samband med behandlingen. Bestämmelser om de syften som PNR-uppgifterna får användas för (artikel 5) utgör en väsentlig del av avtalet. Enligt utkastet får PNR-uppgifter behandlas endast i syfte att förebygga, förhindra, avslöja, utreda och lagföra terroristbrott eller grov brottslighet. Artikel 6 i avtalsutkastet innehåller närmare bestämmelser om villkoren för behandlingen av PNR-uppgifter. Enligt dessa får Norges PIU behandla PNR-uppgifter endast när den bedömer passagerare före deras planerade ankomst till eller avresa från Norge för att identifiera personer som kräver ytterligare utredning (realtidsbedömning), när den gör sökningar i PNR-registret för att svara på förfrågningar om uppgifter från behöriga myndigheter och när den analyserar PNR-uppgifter för att uppdatera, testa eller skapa de bedömningskriterier som avses i artikel 7. Artikel 7 föreskriver närmare om villkoren för realtidsbedömningen. Enligt artikeln får PNR-uppgifter jämföras endast med databaser som har uppgifter om personer eller föremål som eftersöks eller är föremål för en varning, och i enlighet med fördefinierade kriterier. Norge ska se till att de databaser som det hänvisas till i artikeln och de fördefinierade kriterierna är icke-diskriminerande, tillförlitliga och uppdaterade. Norge ska se till att träffar i samband med behandling av PNR-uppgifter ska granskas individuellt med icke-automatiska metoder. De villkor som inkluderats i avtalsutkastet motsvarar det som föreskrivs i PNR-direktivet om behandling av PNR-uppgifter och det som EU-domstolen har krävt som lämpliga skyddsåtgärder i PNR-avtal. 

Artikel 8 i avtalsutkastet förbjuder, i enlighet med EU-domstolens krav, uttryckligen behandling av uppgifter som hör till särskilda kategorier av personuppgifter. Med uppgifter som hör till särskilda kategorier av personuppgifter avses personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening samt genetiska uppgifter, biometriska uppgifter för att unikt identifiera en fysisk person eller uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. Artikeln föreskriver vidare att till den del som PNR-uppgifter som mottagits av Norges PIU enligt detta avtal innehåller ovannämnda uppgifter som kan anses känsliga ska Norges PIU radera dessa uppgifter omedelbart. 

Det avtalsutkast som distribuerats av kommissionen innehåller också bestämmelser om säkerheten och integriteten vid behandling av PNR-uppgifter (artikel 9). Artikeln innehåller diverse krav relaterade till datasäkerhet och integritet och bestämmelser om skyldigheten för Norges PIU att rapportera personuppgiftsincidenter till den nationella dataskyddsmyndigheten. Vidare innehåller avtalet bestämmelser om loggföring och dokumentationsskyldighet i fråga om loggar (artikel 10). 

Kapitel IV i avtalsutkastet innehåller exakta bestämmelser om lagring och utlämnande av PNR-uppgifter. Avtalets bestämmelser om lagring och maskering av PNR-uppgifter är i linje med PNR-direktivet och beaktar EU-domstolens krav. Enligt artikel 11 i avtalet ska Norge säkerställa att PNR-uppgifterna lagras endast om det finns en direkt eller indirekt objektiv koppling mellan de lagrade PNR-uppgifterna och minst ett av de användningsändamål som avses i artikel 5. Sådana uppgifter får lagras i högst fem år. Artikeln föreskriver vidare att Norges PIU får lagra PNR-uppgifterna för alla flygpassagerare under en period som anges i den nationella lagstiftningen men perioden får inte vara längre än vad som är absolut nödvändigt. Efter denna period får Norges PIU lagra PNR-uppgifter endast för sådana passagerare för vilka det finns objektiva bevis på att det föreligger risk för terroristbrott eller grov brottslighet. PNR-uppgifterna måste raderas eller anonymiseras efter att de lagringsperioder som nämns ovan har löpt ut. Avtalet möjliggör att PNR-uppgifter lagras en längre tid än den femårsperiod som nämns i artikeln, om PNR-uppgifterna behövs för översyn, utredning, verkställighetsåtgärder, rättegång, åtal eller verkställighet av påföljder. Artikel 12 föreskriver om avidentifiering av PNR-uppgifter genom maskering av sådana uppgifter som kan användas för att omedelbart identifiera de passagerare som PNR-uppgifterna gäller. Enligt avtalsutkastet får Norges PIU lämna ut uppgifterna i fråga endast för de användningsändamål som anges i avtalet (artikel 5) och i enlighet med villkoren för utlämnande av uppgifterna (artikel 13 och 14). 

Utkastet innehåller bestämmelser om utlämnande av PNR-uppgifter i Norge (artikel 13) samt till länder utanför Norge och EU (artikel 14). Bestämmelserna om utlämnande av PNR-uppgifter uppfyller kraven i PNR-direktivet. Norges PIU får lämna ut PNR-uppgifter till nationella behöriga myndigheter endast om utlämnandet är nödvändigt för att förebygga, förhindra, avslöja, utreda eller lagföra terroristbrott eller grov brottslighet, och endast minsta möjliga mängd PNR-uppgifter får utlämnas (minimeringsprincipen). Uppgifter får lämnas till behöriga myndigheter endast i enskilda fall. Avtalsutkastet kräver vidare att den mottagande behöriga myndigheten säkerställer en skyddsnivå som motsvarar den som krävs i detta avtal. För utlämnande av uppgifter krävs dessutom alltid ett förhandstillstånd från antingen en rättslig myndighet eller ett annat oberoende organ. Norges PIU får dock i motiverade brådskande situationer lämna ut PNR-uppgifter utan förhandstillstånd. I sådana situationer måste Norge dock skyndsamt göra en efterhandsbedömning av om PNR-uppgifterna har lämnats ut i enlighet med minimeringsprincipen. Genom avtalet säkerställs också att den behöriga myndighet som tagit emot uppgifter inte kan lämna ut uppgifterna till en annan myndighet utan uttryckligt tillstånd från Norges PIU. Ovannämnda ramvillkor gäller även när uppgifter utlämnas till länder utanför Norge och EU, med den skillnaden att det mottagande tredjelandet till vars behöriga myndighet PNR-uppgifterna utlämnas ska säkerställa en sådan adekvat dataskyddsnivå som avses i EU-lagstiftningen. Enligt avtalet kan Norges PIU dock utlämna PNR-uppgifter till ett sådant annat land, om den anser att det är nödvändig för att bekämpa eller utreda ett allvarligt och omedelbart hot mot den allmänna säkerheten och om detta land ger en skriftlig försäkran, genom ett arrangemang, ett avtal eller ett annat arrangemang, om att uppgifterna kommer att skyddas i enlighet med de garantier som anges i detta avtal. Artikel 15 innehåller även bestämmelser om utbyte av PNR-uppgifter, resultat av behandling av sådana uppgifter och analysdata baserad på PNR-uppgifter mellan Norges PIU och passagerarinformationsenheterna i EU:s medlemsstater, Europol och Eurojust, på eget initiativ eller på begäran. 

Kapitel V i avtalsutkastet föreskriver om skydd av personuppgifter och tillhörande skyddsåtgärder i enlighet med vad som krävs av EU-domstolen. Artikel 16 kräver att samma rättigheter och skyldigheter som de som anges i dataskyddsdirektivet för brottsbekämpning ska tillämpas på behandling av PNR-uppgifter. Artikeln kräver också att behandlingen av personuppgifter vid Norges PIU övervakas av den nationella behöriga myndighet (dataskyddsmyndigheten) som avses i dataskyddsdirektivet för brottsbekämpning. I artikel 17 föreskrivs om öppenhet och information till passagerare. Enligt artikeln ska Norge se till att dess behöriga myndighet på sin webbplats tillhandahåller information om hur PNR-uppgifter behandlas och på vad behandlingen grundar sig, på ett sätt som överensstämmer med PNR-direktivet. Enligt avtalet ska Norge också samarbeta till exempel med flygresebranschen för att främja öppenhet, särskilt när det gäller passagerarnas rätt att få information om behandlingen av PNR-uppgifter, att begära rättelse av uppgifter och att begära omprövning. 

Kapitel VI i avtalsutkastet innehåller slutbestämmelser, bland annat om anmälningsskyldighet (artikel 18), avtalets ikraftträdande (artikel 19), tvistlösning och upphävande av tillämpningen av avtalet (artikel 20), uppsägning av avtalet (artikel 21), eventuella ändringar av avtalet (artikel 22), översyn och utvärdering av avtalet och avtalets territoriella tillämpningsområde (artikel 24). Avtalet ska upprättas på EU:s alla officiella språk, och alla språkversioner ska vara lika giltiga. Vid eventuella skillnader mellan språkversionerna ska den engelska versionen vara giltig. 

Bilagan till avtalet ska innehålla en förteckning över de PNR-uppgifter som avses i avtalet. Bilagans innehåll är helt identiskt med innehållet i bilaga I till PNR-direktivet. 

3  Förslagets rättsliga grund och förhållande till proportionalitets- och subsidiaritetsprinciperna

Förhandlingarna om avtalet förs på Europeiska unionens vägnar i ett förfarande enligt artikel 218 i fördraget om Europeiska unionens funktionssätt (EUF-fördraget). Den materiella rättsliga grunden för avtalet kan fastställas exakt först när den slutliga avtalstexten är klar. Den materiella rättsliga grunden kan vara artikel 16.2 (skydd av personuppgifter) och artikel 87.2 a (polissamarbete) i EUF-fördraget, så som EU-domstolen har ansett i sitt yttrande 1/15.  

Om de ovannämnda artiklarna används som materiell rättslig grund, fattar rådet besluten om undertecknande och ingående av avtalet på unionens vägnar med kvalificerad majoritet i enlighet med artiklarna 218.5, 218.6 och 218.8 i EUF-fördraget. Rådets beslut om undertecknande av avtalet kräver inte samråd med eller godkännande av Europaparlamentet. Enligt de materiella rättsliga grunder som anges ovan kräver dock rådets beslut om ingående av avtalet godkännande av parlamentet, eftersom avtalet ingås på ett område där man enligt artikel 218.6 i EUF-fördraget ska tillämpa det ordinarie lagstiftningsförfarandet. 

4  Förslagets konsekvenser

Ett eventuellt avtal skulle som en del av unionsrätten bli bindande även för Finland, och det krävs inte något separat ikraftsättande. 

Det avtal som är under förhandling bedöms inte ha några konsekvenser för den offentliga ekonomin. 

Det kan ha ekonomiska konsekvenser för de flygbolag som omfattas av avtalets tillämpningsområde. 

5  Förslagets förhållande till grundlagen och till de grundläggande fri- och rättigheterna och de mänskliga rättigheterna

Det föreslagna avtalet är betydelsefullt med avseende på skyddet för personuppgifter och privatliv enligt 10 § 1 mom. i grundlagen. Det är också betydelsefullt med avseende på privatlivet, som skyddas i artikel 7 i Europeiska unionens stadga om de grundläggande rättigheterna, och med avseende på skyddet av personuppgifter enligt artikel 8 í stadgan. 

Överföring av personuppgifter från EU till ett tredjeland kräver förutom att det finns en allmän rättslig grund för behandlingen även att bestämmelserna i unionslagstiftningen om internationella dataöverföringar följs. Syftet med dessa bestämmelser är att se till att den skyddsnivå för fysiska personers personuppgifter som unionslagstiftningen säkerställer inte äventyras. Syftet med avtalet är att för lufttrafikföretagen skapa en rättslig grund för överföring av PNR-uppgifter och att säkerställa en lämplig nivå på skyddet av personuppgifter när sådana uppgifter överförs till Norge. Säkerställandet av en lämplig nivå på skyddet av personuppgifter vid utlämnande av PNR-uppgifter kräver att man beaktar ramvillkoren i dataskyddsdirektivet för brottsbekämpning och i PNR-direktivet. Enligt artikel 11 i PNR-direktivet får PNR-uppgifter och resultaten av behandling av sådana uppgifter överföras till ett tredjeland endast i enskilda fall och under förutsättning att de villkor för internationella överföringar som anges i artikel 35 i dataskyddsdirektivet för brottsbekämpning är uppfyllda och att överföringen av uppgifter är nödvändig för att förebygga, förhindra, utreda, avslöja eller lagföra terroristbrott eller grov brottslighet. Enligt artikel 35 i dataskyddsdirektivet för brottsbekämpning kan överföringar av personuppgifter till tredjeländer göras bland annat om kommissionen har antagit ett beslut om adekvat skyddsnivå i enlighet med artikel 36 i detta direktiv eller om lämpliga skyddsåtgärder för personuppgifter har vidtagits (eller föreligger) enligt artikel 37. Eftersom det för Norges del inte finns något beslut om adekvat skyddsnivå måste PNR-avtalet mellan EU och Norge sörja för de lämpliga skyddsåtgärder som avses i artikel 37 i dataskyddsdirektivet för brottsbekämpning.  

Vid bedömning av de lämpliga skyddsåtgärderna måste hänsyn tas till EU-domstolens yttrande 1/15 avgivet i juli 2017, enligt vilket det PNR-avtal som förhandlades fram mellan EU och Kanada inte var förenligt med EU:s stadga om de grundläggande rättigheterna. I sitt yttrande angav domstolen flera kriterier som ska vara uppfyllda för att ett avtal om överföring och behandling av PNR-uppgifter ska vara i linje med kraven i stadgan om de grundläggande rättigheterna. Domstolen uppmärksammade framför allt det faktum att det framförhandlade PNR-avtalet mellan EU och Kanada inte uteslöt överföring av känsliga uppgifter från EU till Kanada, och inte heller användning och lagring av dessa uppgifter. Vidare krävde domstolen bland annat att PNR-avtal på ett tydligt och precist sätt ska föreskriva om de PNR-uppgifter som ska överföras från EU till tredjeländer och innehålla bestämmelser om att flygpassagerarna ska informeras på ett ändamålsenligt sätt. Dessutom ska avtalen garantera att behandlingen av uppgifterna övervakas av en oberoende tillsynsmyndighet i tredjelandet. EU-domstolen har också krävt att de modeller och kriterier som används vid automatisk behandling av PNR-uppgifter ska vara specifika, tillförlitliga och icke-diskriminerande. Dessutom har domstolen fäst uppmärksamhet vid säkerställandet av rättsmedel och vid att flygpassagerare har tillgång till rättsmedel inför en domstol, oberoende av nationalitet, bosättningsort eller hemvist. EU-domstolen har också i en PNR-dom som den meddelat bekräftat krav relaterade till behandlingen av PNR-uppgifter. I denna dom slog domstolen fast att utlämnande av PNR-uppgifter i princip (utom i vederbörligen motiverade brådskande fall) kräver förhandskontroll av antingen en domstol eller en oberoende myndighet och att domstolen meddelar sitt avgörande eller myndigheten fattar sitt beslut efter det att behöriga myndigheter framställt en motiverad ansökan, bland annat inom ramen för ett förfarande för förebyggande, avslöjande eller lagföring av brott. I vederbörligen motiverade brådskande fall ska denna kontroll utföras vid första bästa tillfälle. I PNR-domen fästs också uppmärksamhet vid lagringstiderna för PNR-uppgifter. EU-domstolen har slagit fast att PNR-uppgifter får lagras i högst fem år men endast för flygpassagerare för vilka det kan påvisas att det föreligger objektiva omständigheter och risk för terroristbrott eller grov brottslighet med ett åtminstone indirekt objektivt samband med passagerarnas flygresa. För andra flygpassagerares del måste uppgifterna raderas eller anonymiseras efter att en lämplig lagringstid har löpt ut. PNR-direktivet och PNR-domen har ansett att högst sex månader är en lämplig lagringstid. 

Det avtalsutkast som distribuerats av kommissionen bedöms uppfylla kravet på lämpliga skyddsåtgärder enligt unionslagstiftningen och även ta hänsyn till den rättspraxis vid EU-domstolen som nämns ovan och de ramvillkor som anges i praxisen. Enligt utkastet ska avtalet precist ange hur lufttrafikföretagen ska tillhandahålla Norges PIU PNR-uppgifter och hur Norges PIU får behandla och vidarebefordra de PNR-uppgifter som de mottagit. Behandlingen av PNR-uppgifter ska vara strikt kopplad till förebyggande, förhindrande, avslöjande, utredning och lagföring av terroristbrott eller grov brottslighet. De behöriga myndigheternas behandling av personuppgifter ska övervakas av en dataskyddsmyndighet. Till skillnad från tidigare PNR-avtal mellan EU och tredjeländer innehåller det avtalsutkast som distribuerats av kommissionen inga uttryckliga bestämmelser om till exempel rättsmedel och registrerades rättigheter. Eftersom dataskyddsdirektivet för brottsbekämpning föreskriver om dessa frågor och Norge har genomfört detta direktiv, behövs inga separata bestämmelser. 

6  Ålands behörighet

Det bedöms att avtalsförslaget inte innehåller några bestämmelser som hör till Ålands behörighet. Avtalet gäller luftfarten och ordningsmaktens verksamhet för tryggande av statens säkerhet, vilka enligt 27 § 14 och 34 punkten i Ålands självstyrelselag (1144/1991) är angelägenheter som hör till rikets lagstiftningsbehörighet. 

7  Behandling av förslaget i Europeiska unionens institutioner och de övriga medlemsstaternas ståndpunkter

Avtalsutkastet har behandlats i rådets arbetsgrupp för informationsutbyte (IXIM) den 24 februari 2025. IXIM-arbetsgruppen har dessutom informerats om förhandlingarnas framskridande den 13 november 2024. Kommissionens utkast till beslut om att inleda förhandlingar och att bevilja förhandlingsmandat diskuterades i IXIM-arbetsgruppen den 5 oktober 2023. Utkasten presenterades också vid mötet i rådet för rättsliga och inrikes frågor den 25 oktober 2023. Den 4 mars 2024 antog rådet för rättsliga och inrikes frågor ett beslut om att bemyndiga kommissionen att inleda förhandlingar om ett avtal mellan EU och Norge. 

I Europaparlamentet är det utskottet för medborgerliga fri- och rättigheter samt rättsliga och inrikes frågor (LIBE) som är ansvarigt utskott. Kommissionen ansvarar för att Europaparlamentet omedelbart och fullständigt informeras i alla skeden av förfarandet, i enlighet med artikel 218.10 i EUF-fördraget. Ingåendet av avtalet kommer att kräva ett godkännande av Europaparlamentet, eftersom avtalet ingås på ett område där man enligt artikel 218.6 i EUF-fördraget ska tillämpa det ordinarie lagstiftningsförfarandet. Kommissionen kommer inom en snar framtid att informera utskottet om utkastet till avtal inom stängda dörrar. 

8  Nationell behandling av förslaget

Utkastet till avtal och U-skrivelsen om avtalet har behandlats genom ett skriftligt förfarande i sektionen för rättsliga och inrikes frågor (EU 7) 27.–28.2.2025. 

Den 6 november lämnades till riksdagen en utredning om det ursprungliga förhandlingsmandatet i en E-skrivelse (E 45/2023 rd). Riksdagens förvaltningsutskott och kommunikationsutskott instämde i statsrådets ståndpunkt. 

9  Statsrådets ståndpunkt

Statsrådet understöder EU:s mål om att ett PNR-avtal med Norge ska förhandlas fram. Statsrådet anser det vara viktigt att förhandlingarna om PNR-avtalet mellan EU och Norge slutförs så snart som möjligt. 

Statsrådet anser att det avtalsutkast som kommissionen distribuerat i huvudsak överensstämmer med de förhandlingsdirektiv som getts till kommissionen och med Finlands mål. Norge har genomfört EU:s dataskyddsdirektiv för brottsbekämpning. Därmed har en del av det som krävs i förhandlingsdirektiven, såsom rättsmedel, satts i kraft i Norge. Det har därför inte funnits något behov av att inkludera bestämmelser om dessa frågor i avtalsutkastet.  

Statsrådet anser att man i utkastet till avtal har uppnått en balans mellan att säkerställa medborgarnas säkerhet och att respektera de grundläggande rättigheterna och att det innehåller sådana skyddsgarantier som enligt statsrådet kan säkerställa avtalets förenlighet med de centrala artiklarna i EU:s stadga om de grundläggande rättigheterna. Utkastet till avtal respekterar de grundläggande rättigheterna och särskilt rätten till personlig integritet och skyddet av personuppgifter, och det ger flygbolagen den rättssäkerhet som de behöver i sin verksamhet. Statsrådet anser att det avtalsutkast som förhandlingarna resulterat i kan godkännas.