3 kap. Behandling av PNR-information vid enheten för passagerarinformation

PNR-uppgifter som har överförts från ett lufttrafikföretag ska bevaras i en databas vid enheten för passagerarinformation.

Enheten för passagerarinformation ska behandla PNR-informationen i Sverige.

Polismyndigheten är personuppgiftsansvarig för den behandling av personuppgifter som utförs vid enheten för passagerarinformation.

Enheten för passagerarinformation får, om inte 1 kap. 6 § är tillämplig, endast behandla PNR-uppgifter som har överförts från ett lufttrafikföretag för att 1. göra en förhandsbedömning av passagerare före deras beräknade ankomst till eller avresa från Sverige i syfte att välja ut personer som behöver utredas ytterligare av behöriga myndigheter eller Europol, på grund av att dessa personer kan vara inblandade i terroristbrottslighet eller annan allvarlig brottslighet, 2. fullgöra sina uppgifter att överföra PNR-information till behöriga mottagare eller tredjeländer, eller 3. göra analyser för att uppdatera eller skapa nya kriterier som ska användas vid förhandsbedömningar.

Vid en förhandsbedömning får PNR-uppgifter 1. jämföras med register eller andra uppgiftssamlingar som är relevanta för att förebygga, förhindra, upptäcka, utreda eller lagföra terroristbrottslighet eller annan allvarlig brottslighet, och 2. behandlas enligt på förhand utformade och fastställda kriterier som är riktade, proportionella och avgränsade och som inte grundas på sådana känsliga personuppgifter som avses i 1 kap. 7 §.

Om enheten för passagerarinformation har mottagit PNR-information från motsvarande enheter i andra medlemsstater får enheten bara behandla informationen för att vidarebefordra den till behöriga myndigheter.

Endast den som tjänstgör vid enheten för passagerarinformation och den som fullgör uppgifter enligt lagen får ha tillgång till PNR-information som behandlas vid enheten. Tillgången ska begränsas till vad han eller hon behöver för att kunna fullgöra sina arbetsuppgifter.

Direktåtkomst till PNR-information som behandlas vid enheten för passagerarinformation får inte medges.

PNR-uppgifter som behandlas vid enheten för passagerarinformation ska bevaras i fem år från det att de kommit in från ett lufttrafikföretag. Därefter ska de förstöras.

PNR-uppgifter som inte anges i bilagan till lagen eller som utgör sådana känsliga personuppgifter som avses i 1 kap. 7 § ska omedelbart förstöras om de kommer in till enheten för passagerarinformation.

Följande PNR-uppgifter ska behörighetsbegränsas sex månader efter att de har kommit in från ett lufttrafikföretag om de kan användas för att identifiera en person: 1. namn på passagerare, 2. antal passagerare som reser tillsammans, 3. adress och kontaktuppgifter, 4. alla former av betalningsinformation, inklusive faktureringsadress, 5. uppgifter om bonusprogram, 6. allmänna anmärkningar, och 7. uppgifter enligt punkt 18 i bilagan till lagen.

Polismyndigheten ska utse ett dataskyddsombud för enheten för passagerarinformation. Dataskyddsombudet ska ha tillgång till alla uppgifter som behandlas vid enheten.

Dataskyddsombudet vid enheten för passagerarinformation ansvarar för att fullgöra de uppgifter som anges i 3 kap. 14 § brottsdatalagen (2018:177). En enskild ska ha rätt att kontakta dataskyddsombudet i alla frågor som rör behandling av hans eller hennes PNR-uppgifter enligt denna lag.

Om dataskyddsombudet vid enheten för passagerarinformation anser att den personuppgiftsansvarige bryter mot bestämmelser för behandling av PNR-uppgifter, ska han eller hon anmäla det till tillsynsmyndigheten.

Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om enheten för passagerarinformations behandling av PNR-information och dataskyddsombudets uppgifter.