IT-Politisk Forening har i april 2015 fremsendt et høringssvar til dette lovforslag om et dansk PNR-system. I denne henvendelse til Retsudvalget vil vi fremkomme med et par supplerende bemærkninger, som primært vedrører forholdet til Charter om Grundlæggende Rettigheder og de igangværende forhandlinger om et PNR-direktiv i EU.

Det danske PNR-lovforslag og Charter om Grundlæggende Rettigheder

Ifølge lovbemærkningerne afsnit 9 er en dansk (national) PNR-lov efter Justitsministeriets opfattelse omfattet af Charter om Grundlæggende Rettigheder.

EU-domstolen har i 2014 og 2015 afsagt to domme, hvis præmisser berører indsamling af oplysninger om en hel befolkning med henblik på retshåndhævelse. Det er især præmis 58 og 59 i dommen om logningsdirektivet (sagerne C-293/12 og C-594/12) og præmis 93-94 i den nylige Safe Harbour dom (sag C-362/14).

Disse sager omhandler primært elektronisk kommunikation, og EU-domstolen kan naturligvis have et andet syn på indsamling og videregivelse af PNR-oplysninger.

Inden længe vil EU-domstolen imidlertid komme med en udtalelse i en sag, som direkte omhandler PNR. I forbindelse med ratifikation af PNR-aftalen mellem Canada og EU har Europaparlamentet bedt om en udtalelse fra EU-domstolen (Udtalelse 1/15). Det første spørgsmål i Udtalelse 1/15 er om denne aftale med Canada (og dermed indsamling af PNR-oplysninger om alle flyrejsende) er forenelig med retten til privatliv og persondata­beskyttelse (artikel 7 og 8) i Charter om Grundlæggende Rettigheder.

Er den påtænkte aftale forenelig med traktaternes bestemmelser (artikel 16 TEUF) og Den Europæiske Unions charter om grundlæggende rettigheder (artikel 7 og 8 samt artikel 52, stk. 1) for så vidt angår fysiske personers ret til beskyttelse af personoplysninger?

Præmisserne i udtalelsen fra EU-domstolen kan meget vel have direkte relevans for lovforslaget om det danske PNR-system (L 23), især hvis EU-domstolen finder, at indsamling af PNR-oplysninger om alle flyrejsende er i strid med artikel 7 og 8, eller hvis indsamlingen og den videre behandling af PNR-oplysningerne skal betinges af specifikke retsgarantier som L 23 ikke opfylder.

Overførsel af PNR-oplysninger til Forsvarets Efterretningstjeneste

Det danske lovforslag giver mulighed for at Forsvarets Efterretningstjeneste (FE) kan få generel adgang til de indsamlede PNR-oplysninger. IT-Politisk Forening påpegede dette i høringssvaret fra april. Dommen om Safe Harbour C-362/14, især præmis 93 og 95, giver os anledning til at fremkomme med yderligere bemærkninger til dette punkt.

Når FE kan få generel adgang til de PNR-oplysninger, som Skat efter lovforslaget skal indsamle, skyldes det i første gang at oplysningerne kan overføres til PET efter det meget svage kriterium i PET-lovens § 3, altså medmindre det på forhånd kan udelukkes, at oplysningerne har relevans for tjenesten.

Efter PET-lovens § 10, stk. 1 kan PET videregive oplysninger til FE, hvis videregivelsen kan have betydning for varetagelsen af tjenesternes opgaver. Kriteriet for videregivelse er det samme som i PET-lovens § 3 (”medmindre det på forhånd kan udelukkes at oplysningerne er relevante”).

I handlingsplanen ”Et stærkt værn mod terror” af 19. februar 2015 indgår oprettelse af en fælles IT-platform, der skal lette dataudvekslingen mellem PET og FE. Hverken PET-loven eller FE-loven har bestemmelser, som er til hinder for, at de indsamlede PNR-oplysninger kan indgå i denne IT-platform og således være umiddelbart tilgængelige for FE.

De indsamlede PNR-oplysninger vil omfatte såvel danske borgere som europæiske borgere, der ikke i FE-lovens forstand er “i Danmark hjemmehørende fysiske personer” (i det følgende benævnt ”ikke-danske borgere” af sproglige årsager). Hvis PNR-oplysningerne overføres til FE, er der imidlertid forskellige rettigheder for de to grupper af personer.

FE har meget få begrænsninger på videregivelse af oplysninger til udenlandske myndigheder, herunder National Security Agency (NSA) i USA, når der er tale om ikke-danske borgere. Ikke-danske borgere er heller ikke omfattet af den indirekte indsigtsret og klageadgangen til Tilsynet med Efterretningstjenesterne i FE-lovens § 10.

I præmis 95 i Safe Harbour dommen C-362/14 (citeret nedenfor) er retten til indsigt og berigtigelse en del af det væsentligste indhold af den grundlæggende ret til en effektiv domstolsbeskyttelse, jf. artikel 47 i Charteret.

Tilsvarende opfylder en lovgivning, der ikke fastsætter nogen mulighed for retssubjektet til at gøre brug af retsmidler med henblik på at få adgang til personoplysninger, som vedrører den pågældende, eller til at få sådanne oplysninger berigtiget eller slettet, ikke det væsentligste indhold af den grundlæggende ret til en effektiv domstolsbeskyttelse, således som denne er sikret ved chartrets artikel 47. Chartrets artikel 47, stk. 1, opstiller således et krav om, at enhver, hvis rettigheder og friheder, som sikret af EU-retten, er blevet krænket, skal have adgang til effektive retsmidler for en domstol under overholdelse af de betingelser, der er fastsat i denne artikel.

Hvis PNR-oplysningerne overføres til FE, er det væsentligste indhold af den grundlæggende ret til effektiv domstolsbeskyttelse jf. Charteret artikel 47 ikke til stede for ikke-danske borgere.

IT-Politisk Forening er fuldt opmærksom på, at Charter om Grundlæggende Rettigheder ikke gælder for behandlingen af personoplysninger hos Forsvarets Efterretningstjeneste.

Men PNR-oplysningerne indsamles hos Skat efter en lovgivning som er omfattet af EU-retten og dermed Charter om Grundlæggende Rettigheder. Denne lovgivning giver mulighed for at oplysningerne kan videregives til FE på generel basis, hvorved i hvert fald ikke-danske borgere fuldstændigt fratages det væsentligste indhold af en grundlæggende ret, jf. præmis 95 ovenfor.

Ud fra præmisserne i Safe Harbour dommen, bør videregivelsen til Forsvarets Efterretningstjeneste, eller blot muligheden herfor, betragtes som en behandling af personoplysninger der er omfattet af direktiv 95/46 (persondatadirektivet) og Charter om Grundlæggende Rettigheder. De utilstrækkelige retsgarantier for ikke-danske borgere, når oplysningerne er videregivet til FE, er i den henseende direkte sammenlignelige med de manglende retsgarantier for europæiske borgere, hvis deres personoplysninger overføres til USA, hvor NSA har generel adgang til oplysningerne (jf. præmis 31 i Safe Harbour dommen C-312/14).

Forholdet til det kommende PNR-direktiv

Via den igangværende debat om folkeafstemningen om retsforbeholdet har IT-Politisk Forening fået det indtryk, at regeringen og formentlig også et flertal i Folketinget ønsker at tilvælge det kommende PNR-direktiv, hvis dette bliver vedtaget af EU, og hvis udfaldet af folkeafstemningen bliver et ja.

Folkeafstemningen afholdes som bekendt den 3. december, og en vedtagelse af et PNR-direktiv er rykket nærmere i forhold til situationen i foråret 2015, hvor nærværende lovforslag blev sendt i høring.

Europaparlamentets LIBE-udvalg har den 15. juli vedtaget en rapport om PNR-direktivet (Kirkhope rapporten), som ikke afviger fundamentalt fra Kommissionens forslag, og LIBE-udvalget har ligeledes vedtaget et mandat til at indgå i trilog-forhandlinger med Rådet med henblik på at indgå en endelig aftale om et PNR-direktiv. Det må forventes, at der kommer et resultat af disse forhandlinger inden for de kommende måneder.

På den baggrund undrer det IT-Politisk Forening, at det danske PNR-lovforslag blev genfremsat umiddelbart efter Folketingets åbning, og at der ud fra tidsplanen for lovforslaget (jf. L 23, bilag 3) er lagt op til en hurtig vedtagelse, muligvis inden den 3. december.

Hvis det bliver et ja ved folkeafstemningen, og hvis der efterfølgende kommer et PNR-direktiv som Folketinget ønsker at tilvælge, vil det utvivlsomt være nødvendigt at revidere den netop vedtagne lov om det danske PNR-system. Som Justitsministeren bemærker indledningsvist i besvarelsen af spørgsmål 209, REU alm. del 2014-15 (2. samling), er formålet med PNR-direktivet at harmonisere medlemstaternes lovgivning om videregivelse af PNR-oplysninger.

På flere afgørende punkter vil det fremsatte danske lovforslag (L 23) formentlig være i strid med det kommende PNR-direktiv. Det gælder for eksempel muligheden for videregivelse af PNR-oplysningerne til PET fra det nationale PNR-kontor som indsamler dem på et så generelt grundlag som PET-lovens § 3, opbevarings­perioderne hos Skat (2 år) og PET (op til 15 år), den ovenfor omtalte problemstilling omkring videregivelse til FE, samt de uafklarede spørgsmål om hvorvidt PNR-direktivet vil omfatte flyvninger inden for EU og medlemsstaternes muligheder for at behandle PNR-oplysninger i videre omfang end hvad direktivet kræver (herunder betragtning 28 i PNR-direktivforslaget).