Utlämnande av flygpassageraruppgifter för brottsbekämpning

Genom denna lag genomförs Europaparlamentets och rådets direktiv (EU) 2016/681 om användning av passageraruppgiftssamlingar (PNR-uppgifter) för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet, nedan PNR-direktivet .

Utöver vad som föreskrivs i denna lag tillämpas lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten ( / ) på behandling av PNR-uppgifter.

Bestämmelser om polisens, Tullens och Gränsbevakningsväsendets rätt att få uppgifter om flygpassagerare finns även i lagen om behandling av personuppgifter i polisens verksamhet (761/2003), lagen om behandling av personuppgifter vid Gränsbevakningsväsendet (579/2005) och lagen om behandling av personuppgifter inom Tullen (639/2015).

I denna lag avses med

1) lufttrafikföretag ett lufttrafikföretag med giltig operativ licens eller motsvarande som ger företaget rätt att bedriva passagerarflygtrafik,

2) flygning utanför Europeiska unionen varje reguljär- eller icke-reguljär flygning som utförs av ett lufttrafikföretag, med avgång från ett tredjeland och planerad landning på en medlemsstats territorium eller flygning från en medlemsstats territorium med planerad landning i ett tredjeland, i båda fallen inklusive eventuella mellanlandningar på territorier i medlemsstater eller tredjeländer,

3) flygning inom Europeiska unionen varje reguljär- eller icke-reguljär flygning som utförs av ett lufttrafikföretag, med avgång från en medlemsstats territorium och planerad landning på en eller flera andra medlemsstaters territorium, utan eventuella mellanlandningar på tredjeländers territorier,

4) passagerare de personer, inbegripet personer i transfer eller transit förutom besättningsmedlemmar, som transporteras eller ska transporteras med ett luftfartyg med lufttrafikföretagets samtycke, vilket framgår av att personen finns med på passagerarförteckningen,

5) PNR-uppgifter en sammanställning av för resan behövliga uppgifter om varje enskild passagerare som gör det möjligt för det lufttrafikföretag som sköter bokningen och andra deltagande lufttrafikföretag att behandla och kontrollera reservationen för varje resa som bokas av en person eller för en persons räkning, oavsett om uppgifterna finns i reservationssystemet, det avgångskontrollsystem som används för att checka in passagerare på flygningar eller likvärdiga system,

6) terroristbrott brott som avses i 34 a kap. 1—5 § i strafflagen (39/1889),

7) grov brottslighet sådana former av brott som avses i bilaga II till PNR-direktivet och för vilka det föreskrivna maximistraffet är fängelse i minst tre år,

8) maskering att göra de uppgifter som kan användas för att omedelbart identifiera en passagerare osynliga för en användare,

9) behöriga myndigheter polisen, Tullen och Gränsbevakningsväsendet, samt

10) Europol den byrå som avses i artikel 1.1 i Europaparlamentets och rådets förordning (EU) 2016/794 om Europeiska unionens byrå för samarbete inom brottsbekämpning (Europol) och om ersättande och upphävande av rådets beslut 2009/371/RIF, 2009/934/RIF, 2009/935/RIF, 2009/936/RIF och 2009/968/RIF.

Ett lufttrafikföretag ska till den i 5 § avsedda enheten för passagerarinformation överföra PNR-uppgifter enligt 2 mom. för de ankommande och avgående flygningar utanför eller inom Europeiska unionen som de utför, till den del uppgifterna har samlats in som en del av den normala affärsverksamheten. I fråga om flygningar med gemensam linjebeteckning gäller skyldigheten det företag som utför flygningen. Om lufttrafikföretaget också har samlat in sådan förhandsinformation om passagerare som avses i punkt 18 i bilaga I till PNR-direktivet men som företaget inte bevarar med samma tekniska medel som andra PNR-uppgifter, ska även dessa uppgifter överföras. Lufttrafikföretaget ska överföra PNR-uppgifterna avgiftsfritt.

PNR-uppgifterna omfattar

1) PNR-uppgifternas lokaliseringskod,

2) datum för bokning/utfärdande av biljett,

3) planerat/planerade resdatum,

4) namn,

5) adress och kontaktuppgifter,

6) alla former av betalningsinformation,

7) hela resrutten för de aktuella PNR-uppgifterna,

8) uppgifter om bonusprogram,

9) resebyrå/resebyråtjänsteman,

10) passagerares resestatus, inbegripet resebekräftelser, incheckningsstatus, passagerare som inte infinner sig eller passagerare utan bokning,

11) delade PNR-uppgifter,

12) allmänna anmärkningar,

13) biljettinformation,

14) platsnummer och annan platsinformation,

15) information om gemensam linjebeteckning,

16) all bagageinformation,

17) antal medresenärer i PNR-uppgifterna och deras namn,

18) eventuell förhandsinformation som samlats in om passagerare, samt

19) alla tidigare ändringar av de PNR-uppgifter som avses i 1—18 punkten.

PNR-uppgifterna ska överföras 24 timmar före flygningens planerade ankomst- eller avgångstid och omedelbart efter det att gatens dörrar stängts, varvid överföringen av uppgifter också kan begränsas till uppdateringar av tidigare överförda uppgifter. Om uppgifterna behövs för att man ska kunna reagera på ett specifikt och faktiskt hot med anknytning till terroristbrott eller grov brottslighet, ska uppgifterna på begäran av enheten för passagerarinformation överföras även vid andra tidpunkter.

Överföring av PNR-uppgifter ska ske i enlighet med Europeiska kommissionens genomförandebeslut (EU) 2017/759 om gemensamma protokoll och dataformat som ska användas av lufttrafikföretag när PNR-uppgifter överförs till enheterna för passagerarinformation.

Den riksomfattande PTG-kriminalunderrättelseenhet som avses i 5 § i lagen om samarbete mellan polisen, Tullen och Gränsbevakningsväsendet (687/2009) är den enhet för passagerarinformation som avses i denna lag.

Enheten för passagerarinformation har till uppgift att ta emot PNR-uppgifter och att behandla dem i enlighet med denna lag.

Polisstyrelsen är personuppgiftsansvarig för det register vid enheten för passagerarinformation som innehåller PNR-uppgifter och ansvarar för utnämningen av ett dataskyddsombud. Dataskyddsombudet ansvarar för övervakningen av behandlingen av PNR-uppgifter och genomförandet av åtgärder i anslutning till dataskydd vid enheten för passagerarinformation.

Dataskyddsombudet har tillgång till de uppgifter som behandlas vid enheten för passagerarinformation. En registrerad har rätt att kontakta dataskyddsombudet i alla ärenden som gäller behandling av hans eller hennes PNR-uppgifter.

Enheten för passagerarinformation får behandla PNR-uppgifter för identifiering av personer som kan vara delaktiga i terroristbrott eller grov brottslighet, enligt följande:

1) före passagerarnas beräknade ankomst eller avresa,

2) på motiverad begäran, som bygger på tillräckliga observationer, från de behöriga myndigheterna, enheten för passagerarinformation i en annan medlemsstat eller Europol,

3) i enlighet med på förhand fastställda kriterier för bedömning och analys eller för att uppdatera kriterierna eller fastställa nya kriterier.

Enheten för passagerarinformation fastställer de i 1 mom. 3 punkten avsedda kriterierna för bedömning och analys och ser över dem regelbundet tillsammans med de behöriga myndigheterna. Bedömningskriterierna ska vara riktade, proportionella och tydliga. De får inte grunda sig på uppgifter om en persons ras, etniska ursprung, politiska åskådning, religiösa eller filosofiska övertygelse, medlemskap i fackförbund, hälsotillstånd, sexualliv eller sexuella läggning.

Enheten för passagerarinformation får i samband med den behandling som avses i 1 mom. genom automatiserade metoder jämföra PNR-uppgifter med uppgifter i följande databaser och register:

1) polisens informationssystem och personregister enligt 2—4 och 6 § i lagen om behandling av personuppgifter i polisens verksamhet,

2) skyddspolisens funktionella informationssystem enligt 5 § i lagen om behandling av personuppgifter i polisens verksamhet,

3) Schengens informationssystem enligt 32 § 2 punkten i lagen om behandling av personuppgifter i polisens verksamhet,

4) det undersöknings- och handräckningsregister som avses i 7 § och det register för övervakningsärenden som avses i 9 § samt Gränsbevakningsväsendets register över personer misstänkta för brott som avses i 11 § i lagen om behandling av personuppgifter vid Gränsbevakningsväsendet,

5) de informationssystem och personregister som avses i 3—7 § i lagen om behandling av personuppgifter inom Tullen,

6) utlänningsregistret enligt 2 § i lagen om utlänningsregistret (1270/1997),

7) fordonstrafikregistret enligt 1 § i lagen om fordonstrafikregistret (541/2003),

8) farkostregistret enligt 1 § i lagen om farkostregistret (424/2014),

9) befolkningsdatasystemet enligt 3 § i lagen om befolkningsdatasystemet och Befolkningsregistercentralens certifikattjänster (661/2009).

10) internationella kriminalpolisorganisationens (I.P.C.O. - Interpol) databaser, samt

11) de uppgifter som avses i 3 § 2 mom. i lagen om Europeiska unionens byrå för samarbete inom brottsbekämpning (214/2017),

Eventuella träffar i samband med sådan behandling av PNR-uppgifter som avses i 1 mom. 1 punkten ska granskas individuellt.

Jämförelse med uppgifter i skyddspolisens funktionella informationssystem enligt 3 mom. 2 punkten ska genomföras på ett sätt som tryggar dataskyddet i enlighet med vad som avtalas med skyddspolisen. Jämförelsen får genomföras endast av en tjänsteman som skyddspolisen har förordnat tjänsteman till enheten för passagerarinformation. Resultaten av jämförelsen och av behandlingen av uppgifterna får vidarebefordras endast med samtycke av skyddspolisen.

Enheten för passagerarinformation ska överföra PNR-uppgifter om personer som har identifierats genom den behandling av PNR-uppgifter som avses i 7 § 1 mom. 1 punkten eller resultaten av behandlingen av uppgifterna till de behöriga myndigheterna, så att de kan utreda personernas delaktighet i terroristbrott eller grov brottslighet.

Uppgifterna eller resultaten av behandlingen av uppgifterna får överföras till de behöriga myndigheterna även på behörig och motiverad begäran från dessa myndigheter för att förebygga, avslöja, utreda och lagföra terroristbrott och grov brottslighet.

De uppgifter som avses ovan i 1 och 2 mom. får överföras endast i enskilda fall.

De behöriga myndigheterna får använda de uppgifter som enheten för passagerarinformation har överfört även för att utreda, förebygga och avslöja brott och omständigheter som tyder på brott som har kommit fram i samband med behandlingen av uppgifterna samt för inriktning av verksamheten och stödjande av oskuldspresumtionen.

Enheten för passagerarinformation får begära PNR-uppgifter av en enhet för passagerarinformation i en annan medlemsstat för att förebygga, avslöja, utreda och lagföra terroristbrott och grov brottslighet. Begäran ska motiveras. Enheten för passagerarinformation ska till den behöriga myndigheten överföra de PNR-uppgifter eller resultat av behandlingen av uppgifterna som den har tagit emot av en enhet för passagerarinformation i en annan medlemsstat.

Enheten för passagerarinformation ska överföra uppgifterna om personer som den identifierat genom sådan behandling av PNR-uppgifter som avses i 7 § 1 mom. 1 punkten och genom tilläggsutredningar till motsvarande enheter för passagerarinformation i andra medlemsstater. De uppgifter som överförs ska omfatta alla relevanta och nödvändiga PNR-uppgifter eller resultat av behandlingen av uppgifterna om personer som identifierats genom behandlingen. Enheten för passagerarinformation får dessutom överföra PNR-uppgifter eller resultaten av behandlingen av uppgifterna till en enhet för passagerarinformation i en annan medlemsstat på dennes motiverade begäran.

De behöriga myndigheterna kan direkt av en enhet för passagerarinformation i en annan medlemsstat begära PNR-uppgifter när det behövs i nödfall för att förebygga, avslöja, utreda och lagföra terroristbrott och grov brottslighet. Begäran ska motiveras och information om den ska skickas till enheten för passagerarinformation. Under motsvarande förutsättningar får enheten för passagerarinformation överföra PNR-uppgifter till de behöriga myndigheterna i en annan medlemsstat på deras begäran.

Enheten för passagerarinformation får på motiverad begäran överföra PNR-uppgifter eller resultaten av tilläggsutredningar från behandlingen av uppgifterna till Europol för sådan behandling av uppgifter som avses i kapitel IV i den förordning som avses i 3 § 13 punkten i syfte att förebygga, avslöja och lagföra terroristbrott och grov brottslighet när överföringen av uppgifterna är behövlig för att målen för medlemsstaternas behöriga myndigheters brottsbekämpningssamarbete och ömsesidiga samarbete i enlighet med artikel 3 i den förordningen ska nås.

Enheten för passagerarinformation får överföra PNR-uppgifter och resultaten av behandlingen av uppgifterna till ett tredjeland endast i enskilda fall och förutsatt att

1) bestämmelserna i 41—43 § i lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten iakttas, och

2) överföringen behövs för att förebygga, avslöja, utreda och lagföra sådana terroristbrott och sådan grov brottslighet som avses i denna lag.

Enheten för passagerarinformation får ge tillstånd till ett tredjeland till vilket enheten har överfört PNR-uppgifter eller resultaten av behandlingen av uppgifterna att överföra uppgifterna vidare till ett annat tredjeland, om överföringen är nödvändig för bekämpning av terroristbrott och grov brottslighet.

Enheten för passagerarinformation får överföra PNR-uppgifter som den tagit emot från en enhet för passagerarinformation i en annan medlemsstat till ett tredjeland utan tillstånd av enheten för passagerarinformation i medlemsstaten i fråga endast om överföringen är av väsentlig betydelse för att man ska kunna reagera på ett i denna lag avsett specifikt och faktiskt hot med anknytning till terroristbrott eller grov brottslighet som riktar sig mot en medlemsstat eller ett tredjeland och tillstånd inte kan fås i tid. Enheten för passagerarinformation i medlemsstaten i fråga ska informeras om överföringen och överföringen ska registreras på behörigt sätt och kontrolleras i efterhand.

Innan PNR-uppgifter överförs till de behöriga myndigheterna i ett tredjeland ska enheten för passagerarinformation förvissa sig om att tredjelandets planerade användning av uppgifterna är förenlig med villkoren och skyddsåtgärderna enligt denna paragraf. Dataskyddsombudet vid enheten för passagerarinformation ska informeras om överföringen av uppgifterna.

Enheten för passagerarinformation ska utplåna PNR-uppgifter ur det register som avses i 6 § när fem år har förflutit från det att de överfördes till enheten för passagerarinformation. När sex månader har förflutit från det att uppgifterna överfördes till enheten för passagerarinformation ska följande PNR-uppgifter avskiljas från uppgifterna genom maskering:

1) namn, inklusive namn på andra passagerare i PNR-uppgifterna som reser tillsammans samt deras antal,

2) adress och andra kontaktuppgifter,

3) alla former av betalningsinformation, inbegripet faktureringsadress, om denna innehåller uppgifter som kan användas för att omedelbart identifiera den passagerare som PNR-uppgifterna avser, eller andra personer,

4) uppgifter om bonusprogram,

5) allmänna anmärkningar, och

6) eventuell förhandsinformation som har samlats in om passagerare.

Enheten för passagerarinformation ska utplåna resultaten av den behandling som avses i 7 § 1 mom. 1 punkten när de behöriga myndigheterna eller en enhet för passagerarinformation i en annan medlemsstat har informerats om en träff. Om resultatet efter tilläggsutredningar visar sig vara felaktigt får den felaktiga uppgiften, för att felaktiga träffar ska kunna undvikas i framtiden, bevaras till dess att uppgifterna har utplånats med stöd 1 mom. De behöriga myndigheter eller den enhet för passagerarinformation i en annan medlemsstat som resultaten av behandlingen lämnats ut till ska informeras om felaktiga resultat.

Om de PNR-uppgifter som ett lufttrafikföretag har överfört till enheten för passagerarinformation innehåller andra uppgifter än de som avses i 4 § 2 mom., eller uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförbund, hälsotillstånd, sexualliv eller sexuell läggning, ska uppgifterna utplånas omedelbart efter att de mottagits.

PNR-uppgifter från vilka de uppgifter som avses i 1 mom. har avskilts genom maskering får, inklusive de maskerade uppgifterna, lämnas ut endast genom ett beslut av chefen för enheten för passagerarinformation eller av en av denne förordnad person som hör till personalen vid enheten för passagerarinformation. Om det är fråga om en begäran från en enhet för passagerarinformation i en annan medlemsstat krävs det dessutom att utlämnandet av uppgifterna rimligen kan antas vara behövligt för bekämpning av terroristbrott eller grov brottslighet.

Med avvikelse från 23 § i lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten gäller rätten till insyn inte uppgifter om resultaten av behandlingen av PNR-uppgifter.

Dataombudsmannen kan på begäran av en registrerad kontrollera att de uppgifter som avses i 1 mom. är lagenliga.

Lufttrafikföretag som bryter mot skyldigheten enligt 4 § att överföra PNR-uppgifter ska påföras en påföljdsavgift. Avgiften är 3 000 euro för varje sådan flygning för vilken PNR-uppgifter inte har överförts eller för vilken uppenbart bristfälliga uppgifter överförts.

Påföljdsavgift påförs inte om ett fel har inträffat vid överföringen av PNR-uppgifter följd av ouppmärksamhet som med beaktande av omständigheterna är ursäktlig eller om det med hänsyn till omständigheterna skulle vara oskäligt att påföra en avgift.

Påföljdsavgift får inte påföras den som är misstänkt för samma gärning i en förundersökning eller åtalsprövning eller i ett brottmål som är anhängigt vid en domstol. Påföljdsavgift får inte heller påföras den som genom en lagakraftvunnen dom har dömts till straff för samma gärning eller som för brott mot 20 § i lagen om behandling av personuppgifter vid gränsbevakningsväsendet har påförts påföljdsavgift för transportör enligt 179 § i utlänningslagen (301/2004).

Innan en påföljdsavgift påförs ska lufttrafikföretaget ges tillfälle att skriftligen avge en förklaring inom en tid som inte får vara kortare än två veckor.

Påföljdsavgift påförs av chefen för centralkriminalpolisen eller av en tjänsteman som denne utsett. Påföljdsavgiften ska betalas till staten. Ett beslut om påförande av påföljdsavgift ska iakttas även om ändring har sökts, om inte besvärsmyndigheten bestämmer något annat. Avgiften ska påföras senast inom två år från lufttrafikföretagets i 14 § 1 mom. avsedda förseelse.

Påföljdsavgiften ska betalas inom en månad från delfåendet av beslutet. På en påföljdsavgift som förfallit till betalning och som inte har betalats senast på förfallodagen tas en dröjsmålsränta ut enligt den räntesats som avses i 4 § 1 mom. i räntelagen (633/1982).

Verkställigheten av påföljdsavgiften sköts av rättsregistercentralen. Rättsregistercentralen ska underrättas om ett beslut av en myndighet eller domstol genom vilket påföljdsavgiften har sänkts eller avlyfts. Rättsregistercentralen ska utan ansökan betala tillbaka en påföljdsavgift som betalats utan grund.

En påföljdsavgift som påförts med stöd av denna lag verkställs i den ordning som föreskrivs i lagen om verkställighet av böter (672/2002). Hörande av lufttrafikföretag, delgivning av beslut som gäller påförande av påföljdsavgift samt delgivning som gäller verkställigheten av beslut kan genomföras med vilken befälhavare som helst som är anställd hos lufttrafikföretaget i fråga, om inte trafikföretaget har någon utsedd representant i Finland.

Ett beslut om påföljdsavgift får överklagas genom besvär hos förvaltningsdomstolen på det sätt som anges i förvaltningsprocesslagen (586/1996). Över förvaltningsdomstolens beslut får besvär anföras endast om högsta förvaltningsdomstolen beviljar besvärstillstånd. Påföljdsavgiften preskriberas när fem år har förflutit från det att det lagakraftvunna beslutet fattades.

Denna lag träder i kraft den 20 .

För PTG-myndigheternas kriminalunderrättelse- och brottsanalysverksamhet finns en riksomfattande PTG-kriminalunderrättelseenhet, utöver vilken det kan inrättas regionala och lokala PTG-kriminalunderrättelseenheter. En PTG-kriminalunderrättelseenhet kan bestå av företrädare för PTG-myndigheterna som förordnas särskilt.

Denna lag träder i kraft den 20 .

I den ordning som föreskrivs i denna lag verkställs följande påföljder:

11) ordningsavgift enligt 8 kap. 1 § i lagen om förhindrande av penningtvätt och av finansiering av terrorism HYPERLINK "https://www.finlex.fi/fi/laki/smur/2017/20170444" \o "SMUR-Referenskort" (444/2017) och påföljdsavgift enligt 8 kap. 3 § i samma lag,

12) påföljdsavgift för lufttrafikföretag enligt 14 § i lagen om användning av flygpassageraruppgifter för bekämpning av terroristbrott och grov brottslighet ( / ).

Denna lag träder i kraft den 20 .