Förordningar om förhandsinformation om passagerare för gränskontroll och brottsbekämpning

Fakta-pm om EU-förslag 2022/23:FPM45 : COM(2022) 729

Regeringskansliet Faktapromemoria  2022/23:FPM45
Förordningar om förhandsinformation om passagerare för gränskontroll och brottsbekämpning	2022/23:FPM45
Justitiedepartementet
2022-01-30
Dokumentbeteckning
COM(2022) 729
Europaparlamentets och rådets förordning om insamling och överföring av förhandsinformation om passagerare (API) för att förbättra och underlätta yttre gränskontroller och om ändring av förordning (EU) 2019/817 och förordning (EU) 2018/1726 samt om upphävande av rådets direktiv 2004/82/EG
COM(2022) 731
Europaparlamentets och rådets förordning om insamling och överföring av förhandsinformation om passagerare för att förebygga, förhindra, upptäcka, utreda och lagföra terroristbrott och grov brottslighet och om ändring av förordning (EU) 2019/818

Sammanfattning

Kommissionen presenterade den 13 december 2022 två förslag till förordningar som ska ersätta direktivet om skyldighet för transportörer att lämna uppgifter om passagerare (API-direktivet). Syftet med förslagen är att ytterligare harmonisera insamlingen och behandlingen av passageraruppgifter som används i gränskontroll respektive brottsbekämpning. Syftet är också att modernisera API-lagstiftningen så att den överensstämmer med annan EU-lagstiftning samt internationella regelverk. Förslagen omfattar endast passageraruppgifter från flygtransportörer. Förslagen utvidgar insamlingen av API-uppgifter, till exempel genom att fler typer av uppgifter samlas in och att fler flygrutter omfattas av insamlingen. Uppgiftsinsamlingen föreslås automatiseras i högre grad. Bestämmelser om dataskydd uppdateras för att ligga i linje med EU:s övriga dataskyddslagstiftning. Regeringen välkomnar båda förslagen som bedöms kunna bidra till att effektivisera gränskontrollerna och stärka arbetet mot terrorism och grov brottslighet. Förslagen kommer att behandlas i rådet under Sveriges EU-ordförandeskap den 1 januari till och med den 30 juni 2023.

1                 Förslaget

1.1           Ärendets bakgrund

Rådets direktiv om skyldighet för transportörer att lämna uppgifter om passagerare (2004/82/EG) antogs 2004 och utvärderades senast under 2020. Direktivet syftar till att genom insamling av passageraruppgifter från flygtransportörer underlätta gränskontroller och motverka olaglig invandring. API-uppgifter får även användas i brottsbekämpande syfte. Direktivet har enligt kommissionen inte lett till en tillräckligt systematisk och harmoniserad insamling och användning av API. Det beror bland annat på att direktivet inte gör det obligatoriskt för medlemsstaterna att begära in API-uppgifter från flygtransportörerna. Syftet med översynen är att göra API-regelverket till ett mer effektivt verktyg både i gränskontrollarbetet och i det brottsbekämpande arbetet. Syftet är också att modernisera API-lagstiftningen så att den överensstämmer med andra EU-instrument, till exempel dataskyddslagstiftningen, samt internationella regelverk.

1.2           Förslagets innehåll

Övergripande

Förslagen presenteras i form av förordningar, vilket innebär att reglerna blir bindande och direkt tillämpliga i medlemsstaterna. Genom förslagen skapas tydligare regler för hur data ska samlas in, överföras och behandlas. Båda förslagen omfattar, liksom i gällande direktiv, endast flygtransportörer, något som dock inte ska hindra medlemsstaterna från att införa nationella regler för insamling från andra trafikslag. Räckvidden för API-systemet utvidgas så till vida att uppgifter ska samlas in inte bara för passagerare utan även för kabinpersonal samt att affärsflyg och charter inkluderas utöver reguljär trafik. Informationen som ska samlas in utgår från nuvarande direktiv, men några uppgifter adderas. Det handlar dels om uppgifter som ingår i resehandlingens maskinläsbara del, dels om uppgifter som flygtransportörerna samlar in i sin ordinarie verksamhet, såsom plats- och bagageinformation samt vissa uppgifter om flygningen. Listan över data som ska samlas in blir uttömmande.

Flygtransportörer kommer även fortsatt ansvara för datainsamlingen. För att öka uppgifternas tillförlitlighet föreslås att de i vissa delar ska samlas in på ett automatiserat sätt. En viktig nyhet är att transportörerna ska skicka API-uppgifter till en central router i stället för till en eller flera myndigheter i varje medlemsstat. Routern ska därefter distribuera uppgifterna till den eller de medlemsstater som ska ha dem. Routern kommer däremot varken lagra eller modifiera informationen. Enligt förslaget ska eu-LISA utveckla och förvalta routern. Bestämmelserna om dataskydd uppdateras med sådana begränsningar och skyddsåtgärder som krävs för att efterleva EU:s stadga om de grundläggande rättigheterna och för att anpassa API-regelverket till gällande dataskyddslagstiftning. Det föreslås regler om gallring av data och tydliga begränsningar av ändamålen med databehandlingen. Skyddsåtgärderna inkluderar regler om oberoende övervakning, loggning av databehandling och strikta regler om lagringstid.

Särskilt om gränsförslaget

Syftet med förslaget är att förbättra och effektivisera kontrollerna vid EU:s yttre gränser (i praktiken Schengens yttre gräns) och att motverka olaglig migration. Flygrutter för vilka API-uppgifter ska samlas in föreslås, liksom i gällande direktiv, vara sådana som ankommer till EU från tredjeland. Medlemsstaterna och transportörerna åläggs att spara API-uppgifterna i 48 timmar efter flygets avgång, varefter uppgifterna ska raderas permanent. Detta innebär en förlängning i förhållande till gällande direktiv där uppgifterna ska raderas 24 timmar efter översändandet respektive transportens ankomst.

Särskilt om brottsbekämpningsförslaget

Förslaget om användning av API-uppgifter i brottsbekämpande syfte utgör ett komplement till direktiv (2016/681) om användning av passageraruppgiftssamlingar (PNR-uppgifter) för att förebygga, förhindra,

upptäcka, utreda och lagföra terroristbrott och grov brottslighet. PNR-direktivet möjliggör användning av API-uppgifter tillsammans med PNR-uppgifter. Det nya förslaget preciserar vilka API-uppgifter som ska samlas in och anger att insamlingen ska ske på flygningar in och ut ur EU samt mellan medlemsstaterna. Uppgifterna ska skickas till den centrala routern som i sin tur vidarebefordrar uppgifterna till de enskilda medlemsstaterna. Såvitt gäller flygningar inom EU ska dock routern vidarebefordra uppgifter endast när flygningen på förhand har valts ut av medlemsstaten. Hur API-uppgifterna får användas och lagras samt hur de ska skyddas regleras huvudsakligen i PNR-direktivet.

1.3           Gällande svenska regler och förslagets effekt på dessa

Det gällande API-direktivet har genomförts i svensk rätt främst genom vissa bestämmelser i utlänningslagen (2005:716) och genom lagen (2006:444) om passagerarregister. I utlänningslagen finns bland annat. bestämmelser om en skyldighet för transportörer att samla in passageraruppgifter och överföra dem till Polismyndigheten.  I lagen om passagerarregister regleras behandlingen av de uppgifter som har överförts till Polismyndigheten. Dessutom finns bestämmelser i offentlighets- och sekretesslagen (2009:400) som också kan komma att påverkas av förslagen.

I lagen (2018:1180) om flygpassageraruppgifter i brottsbekämpningen finns bestämmelser om överföring av uppgifter om passagerare som har lämnats vid bokning av en flygresa och vid incheckning (PNR-uppgifter) och om behandlingen av PNR-uppgifter för att bekämpa terrorism och annan allvarlig brottslighet. Även denna reglering kan komma att påverkas av förslagen.

1.4           Budgetära konsekvenser / Konsekvensanalys

Konsekvensanalys

Kommissionen har presenterat en konsekvensanalys (SWD(2022) 422 final) och en sammanfattning av konsekvensanalysen (SWD(2022) 423 final). I analysen har kommissionen övervägt olika handlingsalternativ vad gäller omfattningen av insamlingen av API till stöd för kontrollerna vid Schengens externa gränser. Här har kommissionen landat i att insamlingen, liksom hittills, bör omfatta alla inkommande flygningar från tredjeländer, men inte utgående flygningar. Vidare har kommissionen analyserat alternativ vad gäller omfattningen av API-insamling till stöd för brottsbekämpning. I denna del har kommissionen föredragit alternativet att samla API från alla ut- och ingående flygningar som korsar EU:s yttre gräns men även från ett urval av flygningar mellan EU-medlemsstater. Slutligen har olika alternativ övervägts beträffande API-uppgifternas tillförlitlighet och sättet att samla in uppgifterna på. Här har kommissionen dragit slutsatsen att insamlingen bör ske på ett helt automatiserat sätt. Kommissionen har inte presenterat någon jämställdhetsanalys av förslagen.

Budgetära konsekvenser

De båda förslagen kommer att innebära budgetära konsekvenser för eu-LISA, för medlemsstaternas behöriga myndigheter och för flygtransportörerna. För eu-LISA uppskattas ett behov av ca 45 miljoner euro (varav 33 miljoner under innevarande fleråriga finansiella ramverk) för att bygga upp routern och 9 miljoner euro per år från 2029 för driften av routern. Det uppskattas att eu-LISA behöver tillsätta ca 27 nya tjänster för att kunna utföra de uppgifter som åläggs myndigheten i de båda förordningarna.

För medlemsstaterna uppskattas ett behov av ca 27 miljoner euro (varav 8 miljoner under innevarande fleråriga finansiella ramverk) för att uppgradera nationella system och utrustning för gränskontrollmyndigheterna samt upp till 5 miljoner euro per år från 2028 för att underhålla systemen. Dessa kostnader bedöms kunna bli föremål för ersättning ur Fonden för inre säkerhet. Polismyndigheten uppskattar kostnaderna för att uppgradera nationella IT-system för att utöka insamlingen av API-uppgifter i enlighet med kommissionens förslag till ca 5,5 miljoner kronor. Finansiering av eventuella merkostnader för staten ska ske i linje med de principer om neutralitet för statens budget som riksdagen beslutat om (prop. 1994/95:40, bet. 1994/95:FiU5, rskr. 1994/95:67).

Kostnader för flygtransportörerna uppstår som en följd av att tekniska system behöver uppgraderas och att större volymer data behöver överföras jämfört med nuvarande direktiv. De totala engångskostnaderna för flygtransportörerna beräknas till 125 miljoner euro och därtill kommer årliga löpande kostnader om 25,4 miljoner euro. Samtidigt beräknas att införandet av routern ska leda till årliga besparingar på 7,6 miljoner euro. Dessutom uppskattar kommissionen att sanktionsavgifter i princip kommer att upphöra som ett resultat av att automatiserad insamling av API-uppgifter leder till högre datakvalitet. Besparingen beräknas uppgå till upp mot 80 miljoner euro per år, vilket innebär att ovan nämnda engångskostnader delvis kompenseras.

2                 Ståndpunkter

2.1           Preliminär svensk ståndpunkt

En översyn av API-direktivet är nödvändig av flera skäl och regeringen välkomnar därför kommissionens två förslag. Förordningarna bedöms kunna leda till ett effektivare gränskontrollarbete och till att irreguljär migration kan motverkas på ett bättre sätt. Regeringen ser särskilt positivt på att API-systemet får en tydligare roll även i arbetet mot terrorism och grov brottslighet. Målen bör uppnås genom att utvidga insamlingen av API-uppgifter. Det är också viktigt att förbättra de insamlade uppgifternas tillförlitlighet genom att i högre grad använda moderna tekniska lösningar. Regeringen anser, i likhet med kommissionen, att det är viktigt att förslagen beaktar relevant praxis från EU-domstolen (bland annat PNR-domen, C-817/19). Utifrån det ser regeringen preliminärt positivt på förslaget om att skapa en central router till stöd för insamling och vidare distribution av API-uppgifter. Regeringen ser positivt på att API-regelverket anpassas till gällande dataskyddslagstiftning. Regeringen anser slutligen att eventuella nya uppgifter och åtaganden som innebär kostnader ska finansieras genom omprioriteringar av medel inom beslutade ramar i den fleråriga budgetramen (MFF).

2.2           Medlemsstaternas ståndpunkter

Medlemsstaternas ståndpunkter är inte kända i detalj, men det finns ett allmänt stöd för översynen av API-direktivet. Medlemsstaterna stödjer generellt en utökad insamling av API-uppgifter och att API-systemet får en tydligare roll i brottsbekämpningen. Inrättandet av en router stöds i huvudsak. Några medlemsstater har kritiserat att förslagen endast omfattar flygtransportörer och inte övriga trafikslag. Vissa medlemsstater har framfört önskemål om att tidsfristen för genomförandet bör kortas ned.

2.3           Institutionernas ståndpunkter

Institutionernas ståndpunkter är inte kända.

2.4           Remissinstansernas ståndpunkter

Förslagen har inte remitterats.

3                 Förslagets förutsättningar

3.1           Rättslig grund och beslutsförfarande

Gränsförslaget

Den föreslagna rättsliga grunden är artikel 77.2 b och d samt artikel 79.2 c i Fördraget om Europeiska unionens funktionssätt. Det innebär en rättslig grund inom området gränskontroll och invandring.

Brottsbekämpningsförslaget

Den föreslagna rättsliga grunden är artikel 82.1 d och artikel 87.2 a i Fördraget om Europeiska unionens funktionssätt. Det innebär en rättslig grund inom området samarbete mellan rättsliga myndigheter inom ramen för lagföring och verkställighet av beslut samt inom området polissamarbete, närmare bestämt insamling, lagring, behandling, analys och utbyte av information.

Båda förslagen behandlas i enlighet med det ordinarie lagstiftningsförfarandet. Beslut i rådet fattas med kvalificerad majoritet.

3.2           Subsidiaritets- och proportionalitetsprincipen

Subsidiaritet

Vad gäller gränsförslaget hänvisar kommissionen till att fördraget om Europeiska unionens funktionssätt ger EU rätt att utveckla gemensamma bestämmelser för gränskontroll. Behovet av gemensamma regler för insamling och överföring av API är kopplat till upprättandet av Schengenområdet och reglerna om förflyttningar över de yttre gränserna. Effektiva gränskontroller kräver en enhetlig strategi inom hela Schengenområdet, vilket inkluderar möjligheterna till förhandskontroller av passagerare genom API-uppgifter.

Brottsbekämpande myndigheter behöver effektiva verktyg för att bekämpa terrorism och grov brottslighet. PNR-uppgifter har enligt kommissionen visat sig vara till stor hjälp för att stärka EU:s inre säkerhet. Det gällande API-direktivet är en del av Schengenregelverket och omfattar inte insamling av API-uppgifter från flygningar inom EU. Kommissionen anser att det finns ett behov av att införa gemensamma regler för insamling av API-uppgifter på flygningar inom EU till stöd för PNR-systemet och det brottsbekämpande arbetet. Gemensamma regler skulle även säkerställa att grundläggande rättigheter, till exempel skydd av personuppgifter, skyddas på ett harmoniserat sätt.

Regeringen har inga invändningar mot kommissionens argumentation i fråga om subsidiaritetsprincipen.

Proportionalitet

Kommissionen menar att gränsförslaget kommer att stärka gränskontrollerna och arbetet mot irreguljär migration utan att gå utöver vad som är nödvändigt för att uppnå dessa mål. Exempelvis begränsar förslaget insamlingen av API-uppgifter till inkommande flygningar. Brottsbekämpningsförslaget anses inte heller gå utöver vad som är nödvändigt för att uppnå målet om att stärka arbetet mot terrorism och grov brottslighet genom att möjliggöra gemensam behandling av PNR- och API-uppgifter. Förslaget har begränsats till de åtgärder som är strikt nödvändiga, till exempel att lägga fast gemensamma regler för hur medlemsstaterna får använda API-uppgifter i brottsbekämpande syfte, vilka uppgifter som ska samlas in samt hur insamling och överföring från resenärerna ska gå till. För att begränsa behandlingen av personuppgifter kommer medlemsstaterna endast ta emot API-uppgifter för ett urval av flygningar. I övrigt gäller de begränsningar och skyddsåtgärder som lagts fast i PNR-direktivet och som tolkats av EU-domstolen i dom C-817/19 i enlighet med stadgan om de grundläggande rättigheterna. Regeringen har inga invändningar mot kommissionens redogörelse för proportionaliteten beträffande de två förslagen.

4                 Övrigt

4.1           Fortsatt behandling av ärendet

Förhandlingen om förslagen inleddes den 11 januari 2023 i rådsarbetsgruppen för informationsutbyte på RIF-området (IXIM). Förslagen kommer därmed att behandlas under Sveriges EU-ordförandeskap den 1 januari till och med den 30 juni 2023.

4.2           Fackuttryck/termer

API – Advance Passenger Information, uppgifter som samlas in vid incheckning inför flygresa

PNR – Passenger Name Records, uppgifter som samlas in vid bokning av flygresa

eu-LISA – Europeiska byrån för den operativa förvaltningen av stora IT-system inom området frihet, säkerhet och rättvisa