PNR-direktivet

PNR är en förkortning av det engelska begreppet Passenger Name Record och avser uppgifter som passagerare kan lämna vid bokning av flygresor och incheckning. Det kan t.ex. vara uppgifter om namn, resedatum, resväg, bagageinformation och betalningssätt. Frågor om PNR-uppgifter i brottsbekämpningen regleras i det s.k. PNR-direktivet (Europaparlamentets och rådets direktiv 2016/681 av den 27 april 2016 om användning av passageraruppgiftssamlingar [PNR-uppgifter] för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet). Syftet med PNRdirektivet är att bekämpa terrorism och annan grov brottslighet.

Enligt PNR-direktivet ska lufttrafikföretag överföra vissa uppgifter om passagerare som reser med flyg till eller från EU. Lufttrafikföretagen behöver bara föra över uppgifter om sina passagerare som de samlar in för sina egna kommersiella syften. Uppgifterna ska överföras till den berörda medlemsstatens enhet för passagerarinformation, som i sin tur ska göra en bedömning av passagerare före deras beräknade ankomst till eller avresa från medlemsstaten. Syftet är att identifiera personer som kan vara inblandade i terroristbrott eller annan grov brottslighet och därför behöver utredas ytterligare av behöriga myndigheter. Efter denna förhandsbedömning lagras uppgifterna, så att de behöriga myndigheterna i den berörda medlemsstaten eller myndigheterna i en annan medlemsstat vid behov ska kunna göra en senare bedömning. Medlemsstaterna får besluta att tillämpa direktivet även på flygningar inom EU.

Det svenska genomförandet av PNR-direktivet

PNR-direktivet har genomförts i svensk rätt framför allt genom lagen (2018:1180) om flygpassageraruppgifter i brottsbekämpningen. Lagen ska tillgodose behovet av tillgång till PNR-uppgifter i viss brottsbekämpande verksamhet och samtidigt skydda människor mot att deras personliga integritet kränks när uppgifterna behandlas. Enligt lagen ska det vid Polismyndigheten finnas en enhet för passagerarinformation som ska samla in PNR-uppgifter från lufttrafikföretag, bevara och i övrigt behandla uppgifterna samt överföra PNR-information till behöriga mottagare (1 kap.

• Sida 3
•  Original

3 (11)

4 §). Inför varje flygning som ankommer till eller avgår från Sverige, dvs. även flygningar inom EU, ska lufttrafikföretag överföra vissa PNR-uppgifter till enheten (2 kap. 1 §). Enheten ska sedan göra en förhandsbedömning av passagerare i syfte att välja ut personer som behöver utredas ytterligare av behöriga myndigheter eller Europol, på grund av att de kan vara inblandade i terroristbrottslighet eller annan allvarlig brottslighet (3 kap. 4 § 1). Vid en sådan bedömning får uppgifterna bl.a. jämföras med register eller andra uppgiftssamlingar som är relevanta för att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller annan allvarlig brottslighet (3 kap. 5 § 1). Enheten för passagerarinformation ska bevara PNR-uppgifter i fem år från det att de kommit in från ett lufttrafikföretag (3 kap. 9 §). Det ska finnas ett dataskyddsombud som den enskilde ska ha rätt att kontakta i alla frågor som rör behandling av hans eller hennes PNR-uppgifter (3 kap. 12 och 13 §§). Enligt förordningen (2018:1181) om flygpassageraruppgifter i brottsbekämpningen är de behöriga myndigheterna Polismyndigheten, Säkerhetspolisen, Ekobrottsmyndigheten, Tullverket och Försvarsmakten.

EU-domstolens dom om PNR-direktivet

Den 21 juni 2022 meddelade EU-domstolen dom i mål C-817/19, som rör PNR-direktivet. Belgisk författningsdomstol hade innan dess begärt ett förhandsavgörande och hade då ställt ett antal tolkningsfrågor, bl.a. i fråga om giltighet och tolkning av direktivet.

Vad gäller PNR-direktivets giltighet konstaterar domstolen inledningsvis att direktivet innebär betydande ingrepp i de rättigheter som garanteras i Europeiska unionens stadga om de grundläggande rättigheterna (EUstadgan). Domstolen pekar bl.a. på att direktivet syftar till att införa ett system för övervakning som är kontinuerligt, systematiskt och inte riktat, och som innefattar automatisk utvärdering av personuppgifter för samtliga personer som använder sig av lufttransporttjänster. Domstolen framhåller att medlemsstaternas möjlighet att motivera ett sådant ingrepp ska bedömas med hänsyn till hur allvarligt ingreppet är. Det ska också kontrolleras att betydelsen av det mål av allmänt samhällsintresse som eftersträvas med begränsningen står i proportion till hur allvarligt ingreppet är. Domstolen bedömer att den överföring, behandling och lagring av PNR-uppgifter som föreskrivs i direktivet kan anses vara begränsad till vad som är strikt nödvändigt för att bekämpa terroristbrott och annan grov brottslighet. Det förutsätter dock att de befogenheter som föreskrivs i direktivet tolkas restriktivt.

• Sida 4
•  Original

4 (11)

Domstolens övergripande slutsats är alltså att direktivet är giltigt med hänsyn till att det ska tolkas restriktivt och på ett sätt som är förenligt med EUstadgan. Domen innehåller ett flertal klargöranden kring hur denna tolkning ska göras.

Ett av domens mest betydelsefulla klargöranden gäller möjligheten att tillämpa direktivet på flygningar inom EU. Domstolen konstaterar att en utvidgad tillämpning av direktivet som omfattar alla flygningar inom EU måste kunna bli föremål för effektiv kontroll av en domstol eller av en oberoende förvaltningsmyndighet. Endast när en medlemsstat bedömer att det finns tillräckligt konkreta omständigheter i form av ett verkligt och aktuellt eller förutsebart terrorhot får medlemsstaten föreskriva att direktivet ska tillämpas på alla flygningar inom EU från eller till den berörda medlemsstaten under en viss tidsperiod. Denna tidsperiod ska enligt domstolen begränsas till vad som är strikt nödvändigt, men den kan förlängas. Vidare konstaterar domstolen att om det inte finns något sådant terroristhot får tillämpningen av direktivet inte utsträckas till alla flygningar inom EU utan måste begränsas till vissa flyglinjer, resmönster eller flygplatser där det enligt medlemsstatens bedömning finns indikationer som kan motivera en sådan tillämpning. Det ska också regelbundet omprövas om det fortfarande är strikt nödvändigt att tillämpa direktivet på de flygningar inom EU som har valts ut.

Domen behandlar även frågor om vilken information som får samlas in, vilka brott som direktivet kan tillämpas på och vilka databaser som får användas för jämförelser vid förhandsbedömningar. Vidare finns klargöranden om hur kontrollerna ska utföras efter att man har fått en träff och om hur förhandsbedömningarna ska gå till. Domstolen gör också uttalanden om information till berörda enskilda och om eventuella överklaganden från enskilda.

I domen behandlas också bl.a. frågan om lagringstid för PNR-uppgifter. Enligt domstolen går den generella lagringen av sådana uppgifter under en inledande sexmånadersperiod inte principiellt utöver vad som är strikt nödvändigt. Efter denna period krävs dock objektiva omständigheter som visar att det finns en risk för terroristbrott eller annan grov brottslighet som har ett åtminstone indirekt objektivt samband med dessa passagerares flygresor. Domstolen bedömer också att PNR-direktivet utgör hinder för en

• Sida 5
•  Original

5 (11)

nationell lagstiftning som föreskriver en generell lagringstid på fem år tillämplig på alla flygpassagerare utan åtskillnad.

^{Den svenska regleringen behöver ses över}EU-domstolens dom innehåller alltså ett flertal uttalanden om hur PNRdirektivet ska tolkas och medför att den svenska regleringen som genomför direktivet behöver ses över.

De brottsbekämpande myndigheterna behöver ha tillgång till ändamålsenliga och effektiva verktyg för att kunna förebygga, förhindra och upptäcka brottslig verksamhet och utreda och lagföra brott. Då terroristbrott och annan grov brottslighet ofta innefattar gränsöverskridande moment är tillgången till PNR-uppgifter från flygtrafik ett viktigt verktyg i brottsbekämpningen.

Det kan noteras att Polismyndigheten i en hemställan till Justitiedepartementet (Ju2024/02188) betonat vikten av PNR-uppgifter för att identifiera och agera mot kriminella aktörer som kartläggs eller eftersöks av myndigheten. Uppgifterna används även för att hindra att efterlysta individer lämnar landet och för att gripa misstänkta när de anländer hit samt för att barn som riskerar att bli offer för t.ex. bortgifte eller könsstympning ska kunna upptäckas och omhändertas innan de förs bort.

Den svenska regleringen som genomför PNR-direktivet har varit verkningsfull. Likafullt innebär EU-domstolens avgörande att anpassningar av den svenska regleringen kan behöva göras. Författningsändringar kan exempelvis komma att krävas utifrån vad domstolen uttalat om förutsättningarna för insamling av flygpassageraruppgifter på flygningar inom EU, samt hur ett beslut om sådan insamling ska omprövas alternativt kunna kontrolleras av domstol eller oberoende förvaltningsmyndighet. Det kan även krävas författningsändringar i fråga om exempelvis lagringstid. Utredningsarbetet bör inriktas mot att upprätthålla de brottsbekämpande myndigheternas tillgång till ändamålsenliga och effektiva verktyg, samtidigt som skyddet för enskildas personliga integritet säkerställs. Av det nämnda följer att regleringen bör förändras endast i den utsträckning det är nödvändigt.

• Sida 6
•  Original

6 (11)

Utredaren ska därför

• analysera hur den svenska regleringen förhåller sig till EU-domstolens

dom när det gäller flygpassageraruppgifter i brottsbekämpningen

• föreslå förändringar av regelverket som innebär att brottsbekämpande

myndigheters tillgång till flygpassageraruppgifter upprätthålls i möjligaste mån samtidigt som skyddet för enskildas personliga integritet säkerställs

• lämna förslag på de författningsändringar och andra åtgärder som

bedöms nödvändiga.

Uppdraget att överväga en trafikslagsneutral lagstiftning

Inhämtning av passageraruppgifter från andra transportföretag än lufttrafikföretag

PNR-direktivet påverkar inte medlemsstaternas möjligheter att tillhandahålla system för insamling och behandling av PNR-uppgifter från andra transportföretag än lufttrafikföretag, förutsatt att sådan nationell rätt är förenlig med unionsrätten (se skäl 33). När PNR-direktivet genomfördes valde Sverige att behålla sådan befintlig lagstiftning, med den ändringen att lufttrafikföretag som omfattas av PNR-direktivet undantogs från den (se prop. 2017/18:234 s. 45 f.).

Möjligheten att i brottsbekämpande syfte begära in tillgängliga passageraruppgifter från andra transportföretag regleras för Polismyndigheten i 25 och 26 §§polislagen (1984:387) och för Tullverket i 7 kap.12 och 13 §§tullbefogenhetslagen (2024:710). Av 25 § polislagen följer att ett transportföretag som befordrar bl.a. passagerare till eller från Sverige är skyldigt att på begäran av Polismyndigheten skyndsamt lämna de aktuella uppgifter om ankommande och avgående transporter som företaget har tillgång till. Skyldigheten att lämna uppgifter om passagerare omfattar namn, resrutt, bagage och medpassagerare samt sättet för betalning och bokning. I 26 § anges att transportföretag får lämna uppgifter enligt 25 § på så sätt att de görs läsbara genom terminalåtkomst. Transportföretagen har dock ingen skyldighet att samla in och lämna uppgifter till Polismyndigheten som de inte har. Exempelvis är obokade biljetter vanligt förekommande vid gränspendling över Öresund och vid lokal busstrafik mellan Haparanda och Torneå, varför tillgången till passageraruppgifter, som t.ex. namn, från sådan trafik kan antas vara relativt begränsad. Regleringen för Tullverket

• Sida 7
•  Original

7 (11)

överensstämmer i stort med den för Polismyndigheten, men har bl.a. moderniserats språkligt i samband med att tullbefogenhetslagen infördes. I samband med det har även transportföretags skyldigheter att lämna uppgifter till Tullverket utökats till att omfatta även passagerares födelsedatum, nationalitet, e-postadress och mobiltelefonnummer, i den mån transportföretag har sådan information.

En PNR-lagstiftning som omfattar fler trafikslag bör övervägas

Möjligheten för Polismyndigheten och Tullverket att i den brottsbekämpande verksamheten få del av passageraruppgifter även från andra transportföretag än lufttrafikföretag utgör ett viktigt komplement till PNR-lagstiftningen. Samtidigt går det inte att bortse från att regleringen i polislagen och tullbefogenhetslagen medför att myndigheterna får en mer begränsad tillgång till passageraruppgifter från t.ex. färje- och tågtrafik till och från Sverige än från flygtrafik. Polismyndigheten och Tullverket behöver nämligen begära in passageraruppgifter från aktuellt transportföretag, vilket skiljer sig från PNR-regleringen där lufttrafikföretagen under givna förutsättningar på ett systematiskt och närmast automatiserat sätt för över aktuella uppgifter till enheten för passagerarinformation. I förhållande till PNR-lagstiftningen rör det sig även om en mer begränsad typ av uppgifter som myndigheterna kan begära in, särskilt vad gäller Polismyndigheten. I båda fallen gäller dock att transportörerna endast behöver föra över uppgifter som de redan väljer att samla in av kommersiella skäl.

Polismyndigheten har i sin hemställan till Justitiedepartementet pekat på att skillnaden mellan de två regelverken leder till svårigheter i det brottsbekämpande arbetet. Bland annat kan kriminella anpassa resor för att försvåra upptäckt, t.ex. genom att helt eller delvis resa till eller från Sverige med andra färdmedel än flyg.

I kampen mot den organiserade brottsligheten är det avgörande att de brottsbekämpande myndigheterna har rätt förutsättningar att bedriva ett effektivt brottsbekämpande arbete. Passageraruppgifter från persontransporter till och från Sverige är en viktig del i det arbetet. Det finns därför skäl att se över hur Polismyndighetens och Tullverkets tillgång till passageraruppgifter från färje-, buss- och järnvägstrafik kan förbättras.

Ett alternativ är att låta den svenska PNR-regleringen omfatta även andra trafikslag än lufttrafik. Att på detta sätt utgå från det etablerade PNR-

• Sida 8
•  Original

8 (11)

systemet för lufttrafikföretag och bygga vidare på det med fler trafikslag kan antas ha flera fördelar. Ett sammanhållet system för inhämtande av passageraruppgifter från samtliga transportföretag skulle t.ex. kunna leda till effektivitets- och säkerhetsvinster vid hanteringen av sådana uppgifter.

Som redogörs för ovan har även Säkerhetspolisen, Ekobrottsmyndigheten och Försvarsmakten möjlighet att enligt nuvarande PNR-regelverk begära uppgifter från enheten för passageraruppgifter. Uppdraget att överväga om PNR-regelverket ska göras trafikslagsneutralt bör omfatta motsvarande möjligheter för nämnda myndigheter.

En PNR-lagstiftning som omfattar fler trafikslag aktualiserar frågor om hur ett sådant regelverk ska förhålla sig till nuvarande regler för Polismyndigheten och Tullverket när det gäller möjligheten att inhämta passageraruppgifter från andra transportföretag. Utredaren ska därför i sitt övervägande om en trafikslagsneutral PNR-lagstiftning särskilt beakta frågan om förhållandet till befintlig lagstiftning. Det ska i sammanhanget särskilt framhållas att transportföretags uppgiftsskyldighet enligt polislagen och tullbefogenhetslagen inte enbart omfattar uppgifter om passagerare utan även t.ex. varor. Det kan vidare även vid en trafikslagsneutral PNRlagstiftning finnas behov av en reglering för Polismyndigheten och Tullverket som säkerställer att myndigheterna kan inhämta passageraruppgifter i de fall PNR-regleringen inte är tillämplig, t.ex. för att brottet inte omfattas av PNR-direktivets förteckning över brott som anses utgöra allvarlig brottslighet. Ett sådant behov kan också finnas om utredaren bedömer att endast vissa ytterligare trafikslag ska omfattas av PNRregelverket, men att andra trafikslag även framöver ska falla utanför.

Vid översynen av aktuella bestämmelser i polislagen ska utredaren särskilt beakta att dessa även reglerar Säkerhetspolisens möjligheter att inhämta passageraruppgifter från transportföretag, inklusive uppgifter från lufttrafikföretag i verksamhet som rör nationell säkerhet. Det är viktigt att eventuella förslag om såväl PNR-regleringen som aktuella bestämmelser i polislagen säkerställer Säkerhetspolisens tillgång till passageraruppgifter i verksamheter som rör nationell säkerhet.

I Sverige förekommer gränsöverskridande arbetspendling med tåg, buss och till viss del även med färja. Ett krav på att transportörer inom dessa trafikslag på ett mer systematiskt sätt ska tillgängliggöra passageraruppgifter de har

• Sida 9
•  Original

9 (11)

tillgång till kan innebära en ökad administration och kostnader, bl.a. för investeringar i it-system. Utredaren ska därför analysera och jämföra skillnader i förutsättningarna att överföra passageraruppgifter mellan olika trafikslag och typer av resor. Fördelar med att ställa nya typer av krav på transportföretag inom fler trafikslag bör vägas mot nackdelar i form av minskad lönsamhet i berörda företag som i förlängningen kan innebära försämrad tillgänglighet på kommunikationer till och från Sverige.

Om det skulle finnas skäl mot en trafikslagsneutral PNR-lagstiftning kan det i stället finnas anledning att se över 25 och 26 §§polislagen och 7 kap.12 och 13 §§tullbefogenhetslagen. Särskilt kan det finnas skäl att se över de bestämmelser som gäller för Polismyndigheten, vars reglering i stort är oförändrad sedan bestämmelserna infördes 1998. Detta gäller oavsett utredarens överväganden i frågan om trafikslagsneutralitet. Vid en sådan översyn ska utredaren även se över de bestämmelser som reglerar Polismyndighetens och Tullverkets hantering av de uppgifter som inhämtats med stöd av polislagen och tullbefogenhetslagen (se exempelvis 2 kap. 13 och 14 §§ lagen [2018:1693] om polisens behandling av personuppgifter inom brottsdatalagens område och 2 kap. 10–12 §§ lagen [2018:1694] om Tullverkets behandling av personuppgifter inom brottsdatalagens område). Det innefattar att överväga utökade möjligheter att dela passageraruppgifter till andra myndigheter, t.ex. Försvarsmakten.

En analys av frågan om huruvida PNR-regleringen ska göras trafikslagsneutral och om det finns skäl att ändra aktuella bestämmelser i polislagen och tullbefogenhetslagen kräver också överväganden i frågan om enskildas integritet. Även frågor om personuppgiftshantering, som t.ex. lagringstid, behöver analyseras. I den mån utredaren finner det lämpligt kan det i nämnda frågor finnas anledning att göra jämförelser med andra EUländer som har trafikslagsneutrala PNR-system, såsom Belgien.

Utredaren ska därför

• analysera och ta ställning till för- och nackdelar med en trafikslagsneutral

PNR-reglering

• bedöma på vilket sätt en trafikslagsneutral PNR-reglering skulle kräva

förändringar av de bestämmelser som i dagsläget gör det möjligt för Polismyndigheten och Tullverket att inhämta passageraruppgifter från andra transportföretag än lufttrafikföretag

• Sida 10
•  Original

10 (11)

• analysera risken för minskad lönsamhet i berörda transportföretag och

ökade priser för berörda resenärer

• analysera om det finns behov av en revidering av befintliga regler i

polislagen och tullbefogenhetslagen, särskilt för det fall ett trafikslagsneutralt PNR-system framstår som mindre lämpligt

• särskilt överväga hur eventuella förslag när det gäller PNR-regleringen

och polislagen och annan berörd lagstiftning påverkar Säkerhetspolisens tillgång till passageraruppgifter i verksamhet som rör nationell säkerhet

• lämna förslag på de författningsändringar och andra åtgärder som

bedöms lämpliga.

Övriga frågor

De förslag som utredaren lämnar kan aktualisera frågor om t.ex. sekretess och det övriga dataskyddsregelverket. Utredaren ska lämna nödvändiga förslag även i de delarna. Om utredaren bedömer att det är ändamålsenligt och ryms inom tiden för uppdraget får utredaren ta upp och lämna förslag också i andra frågor som aktualiseras med anledning av uppdraget.

Konsekvensbeskrivningar

Utredaren ska redovisa en konsekvensbeskrivning för de förslag som lämnas i enlighet med kommittéförordningen (1998:1474) och förordningen (2024:183) om konsekvensutredningar. Utredaren ska lägga särskild vikt vid att beskriva förslagens betydelse för möjligheten att förebygga, förhindra, upptäcka, utreda och lagföra brott. Utredaren ska även redovisa förslagens konsekvenser för den personliga integriteten. Utredaren ska vidare bedöma förslagens konsekvenser för transportföretag, resenärer och gränsregioner. Om förslagen kan förväntas leda till kostnadsökningar för det allmänna, ska utredaren föreslå hur dessa ska finansieras.

Kontakter och redovisning av uppdraget

Under uppdraget ska utredaren inhämta synpunkter och upplysningar från Polismyndigheten, Säkerhetspolisen, Tullverket, Ekobrottsmyndigheten, Försvarsmakten, Transportstyrelsen, Integritetsskyddsmyndigheten, Domstolsverket och Åklagarmyndigheten, samt andra statliga myndigheter som kan vara berörda av aktuella frågor. Utredaren ska även inhämta synpunkter och upplysningar från transportföretag, branschorganisationer och andra aktörer som kan beröras av förslagen.

• Sida 11
•  Original

11 (11)

Utredaren ska hålla sig informerad om och beakta relevant arbete som pågår inom Regeringskansliet, utredningsväsendet och EU. Utredaren ska särskilt följa det arbete som pågår i EU när det gäller regleringen av API-uppgifter och EU-kommissionens studier om insamling av passageraruppgifter från sjö- och landtransport.

Uppdraget ska redovisas senast den 14 april 2026.

(Justitiedepartementet)