4 Utlevering av passasjerlisteopplysninger (PNR)
4.1 Bakgrunn
I 2016 vedtok EU direktiv (EU) 2016/681 om anvendelse av passasjerlisteopplysninger for å forebygge, oppdage, etterforske og rettsforfølge terrorhandlinger og alvorlig kriminalitet (PNR-direktivet). PNR-direktivet omfattes ikke av EØS-avtalen og faller heller ikke inn under Schengen-avtalen. Norge er således ikke bundet av direktivet.
Direktivet pålegger luftfartsselskaper å utlevere passasjeropplysninger som allerede er lagret som en del av reservasjonen eller innsjekkingsprosessen til en flyreise, såkalt PNR-informasjon. PNR er en forkortelse for den engelske betegnelsen passenger name record. Dette er opplysninger som luftfartsselskapene samler inn i kommersielt øyemed. PNR-opplysninger omfatter blant annet navn, adresse, telefonnummer, epostadresse, reiserute, navn på personer som reiser sammen, setenummer, bestillingshistorikk, betalingsinformasjon, bagasjeopplysninger, passnummer og nasjonalitet. Luftfartsselskapene skal ikke fremskaffe eller lagre nye opplysninger utover opplysningene som allerede er innhentet som ledd i deres ordinære drift.
Etter direktivet skal det opprettes en offentlig myndighet eller del av slik myndighet som skal opptre som Passasjerinformasjonsenhet (Passenger Information Unit, PIU). Enheten mottar passasjerinformasjonen fra luftfartsselskapene for analyse, søk og lagring med sikte på identifisering av passasjerer som kan være involvert i terrorhandlinger eller alvorlig kriminalitet, og som krever nærmere undersøkelse før avgang fra eller ankomst til et medlemsland. Enheten skal utveksle informasjon og analyseresultater med kompetente myndigheter i Norge, andre lands passasjerinformasjonsenheter og med Europol.
For behandling av PNR-opplysninger viser artikkel 13 i PNR-direktivet til Rådets rammebeslutning 2008/977/JIS av 27. november 2008 om vern av personopplysninger i forbindelse med politisamarbeid og rettslig samarbeid i straffesaker. Rammebeslutningen ble opphevet i 2016 og er erstattet av EU-direktivet (EU) 2016/680, som i Norge er gjennomført i politiregisterloven. PNR-direktivet inneholder i tillegg flere særlige bestemmelser om hvordan PNR-opplysninger skal behandles, herunder bestemmelser om formålsbegrensning, anonymisering og sletting.
Det fremgår av PNR-direktivets fortale punkt 36 at direktivet er utformet i samsvar med de grunnleggende rettigheter artikkel 7 og 8 i EUs charter. Det fremgår av charterets artikkel 52 nr. 3 at disse artiklene gjenspeiler de samme rettigheter for individet som er gitt i Den europeiske menneskerettskonvensjonen (EMK) art. 8.
4.2 Nasjonale og internasjonale rammer for lovgivningen
Grunnloven § 102 første ledd første punktum lyder: «Enhver har rett til respekt for sitt privatliv og familieliv, sitt hjem og sin kommunikasjon». Ordlyden synes ikke å gi rom for unntak, i motsetning til det som gjelder etter EMK artikkel 8, som formuleringen bygger på. Etter Rt. 2014 s. 1105 skal Grunnloven § 102 imidlertid leses slik at den gir adgang til unntak i lov, så lenge slike unntak fremmer et legitimt formål og er forholdsmessige. Dette er også gjentatt i Rt. 2015 s. 93.
Formuleringen i Grunnloven § 102, og unntakshjemmelen slik den er utpenslet i rettspraksis, tilsvarer EMK artikkel 8. Når forholdet til personvernet etter EMK artikkel 8 drøftes i denne proposisjonen, forutsettes det derfor at det samme vernet gjør seg gjeldende etter Grunnloven § 102.
EMK og FNs konvensjon om sivile og politiske rettigheter (SP) er gjort til del av norsk rett ved menneskerettsloven. Ved motstrid skal konvensjonsbestemmelsene gå foran annen norsk lov, jf. menneskerettsloven § 3.
Offentlige myndigheters behandling av informasjon om enkeltpersoner berører verdier som er beskyttet av EMK artikkel 8. I utgangspunktet vil myndighetenes oppbevaring av opplysninger om enkeltpersoner i seg selv kunne utgjøre et inngrep i rettighetene i artikkel 8. Etter artikkel 8 nr. 2 kan slike inngrep være tillatt, såfremt de har hjemmel i lov og er nødvendige i et demokratisk samfunn av hensyn til visse nærmere angitte formål. Blant disse er hensynet til forebygging eller bekjempelse av kriminalitet. Følgelig vil utgangspunktet være at PNR-opplysninger utlevert fra luftfartsselskap til PNR-enheten kan behandles dersom og så lenge det er nødvendig for å forebygge eller bekjempe kriminalitet.
Den europeiske menneskerettsdomstolen (EMD) har slått fast at et inngrep vil regnes som nødvendig i et demokratisk samfunn hvis det forfølger «a pressing social need» og det er forholdsmessig i henhold til inngrepets formål, jf. Breyer mot Tyskland 30. januar 2020 avsnitt 88. På samme sted slo domstolen også fast at:
«the fight against crime, and in particular agains organised crime and terrorism, which is one of the challenges faced by today’s European societies, upholding public safety and the protection of citizens constitute ‘pressing social needs’».
Hjemmelskravet («i samsvar med loven») innebærer at inngrepet må ha et rettslig grunnlag i nasjonal rett, som også må være tilstrekkelig presist. EMD har i tillegg slått fast at hjemmelsgrunnlaget må sikre nødvendige garantier mot vilkårlighet, jf. blant annet L.H. mot Latvia 29. april 2014 avsnitt 47. Hvilke garantier som er nødvendige må vurderes i lys av inngrepets art og omfang, jf. P.G. og J.H. mot Storbritannia 25. september 2001 avsnitt 46. Kravet om garantier henger tett sammen med kravet om forholdsmessighet, og disse kravene vurderes etter omstendighetene samlet, se for eksempel S. og Marper mot Storbritannia 4. desember 2008 avsnitt 99.
Det følger av praksis fra EMD at nasjonale myndigheter nyter en viss skjønnsmargin til selv å velge hvilke tiltak som er nødvendige for å forebygge og bekjempe kriminalitet. Departementet er ikke kjent med at EMD har behandlet saker om lovligheten av PNR-systemet eller lignende tiltak, men domstolen har derimot behandlet en rekke saker om skjult overvåking, herunder overvåking gjennomført av nasjonale sikkerhetstjenester, se blant annet Weber og Saravia mot Tyskland 29. juni 2006 og nylig avsagte Big Brother Watch and others mot Storbritannia og Centrum för rättvisa mot Sverige, begge avsagt 25. mai 2021. I Weber og Saravia mot Tyskland uttalte domstolen at nasjonale myndigheter nyter «a fairly wide margin of appreciation in choosing the means for achievieng the legitimate aim of protecting national security» (avsnitt 106). Denne linjen er tilsynelatende moderert noe i Big Brother Watch and others mot Storbritannia, hvor domstolen utaler at «the national authorities enjoy a certain margin of appreciation» (avsnitt 308).
4.3 Forslaget i høringsnotatet
Selv om Norge ikke er bundet av PNR-direktivet, foreslo departementet å legge til en ny bestemmelse i grenseloven § 16 a som etablerer en nasjonal løsning for innsamling og bruk av PNR-opplysninger. Løsningen legger også til rette for at Norge kan delta i EUs PNR-system. Det ble vist til at alle EU-stater og Storbritannia har implementert PNR-direktivet, som anses å være et viktig instrument i bekjempelsen av terrorhandlinger og annen alvorlig kriminalitet. Dersom Norge ikke deltar i EUs PNR-system, vil reisende fra utenfor Schengen kunne unngå registrering i systemet ved å reise til eller via Norge og videre inn i EU over indre Schengen-grense. Det ble vist til at det kan bli utfordrende for Norge som Schengen-land ikke å ha et system for PNR-registrering. Norske myndigheter har derfor anmodet EU-kommisjonen om at det startes forhandlinger mellom Norge og EU om en norsk tilknytning til PNR-direktivet. Kommisjonen har i februar 2020 gitt tilbakemelding og stilt seg positive til nærmere dialog. Forslaget i høringsnotatet ble derfor også utformet slik at det vil være i samsvar med PNR-direktivet.
Det ble også vist til at forslaget tar sikte på å følge opp anbefalinger om flypassasjerinformasjon (PNR-informasjon) i FNs sikkerhetsrådsresolusjon 2396, som ble vedtatt 21. desember 2017. Der anbefales det blant annet etablering av systemer for innsamling av PNR-informasjon slik at kompetente nasjonale myndigheter kan analysere disse for å forebygge, oppdage og etterforske terrorisme.
Departementet foreslo å plassere utleveringshjemmelen for PNR-opplysninger i ny § 16 a i grenseloven. Utlevering av PNR-opplysninger dekkes av formålet med grenseloven, som er å sikre grensetilsyn og grensekontroll samt bidra til å bekjempe grensekryssende kriminalitet, jf. grenseloven § 1.
Forslaget til ny § 16 a gjenspeiler i det vesentlige innholdet i PNR-direktivets artikkel 8 om luftfartsselskapers forpliktelser vedrørende videresending av opplysninger. Etter forslaget pålegges luftfartsselskapene å utlevere passasjerinformasjon i elektronisk form før hver flyvning til den nasjonale PNR-enheten. Ordningen innebærer at luftfartsselskapene utleverer passasjerinformasjonen automatisk, en såkalt push-ordning. For at ordningen skal bli effektiv, må alle luftfartsselskaper med tillatelse til å utføre ervervsmessig transport av passasjerer til og fra Norge omfattes. Forpliktelsen omfatter alle flyvninger til eller fra utlandet til Norge, herunder passasjerer i transitt.
Etter forslaget gjelder plikten til å utlevere informasjon kun i samme omfang som selskapet har innsamlet informasjon som ledd i sin virksomhet. Selskapene kan derfor ikke pålegges å samle inn informasjon utelukkende for å videresende dette til PNR-enheten. Foruten de kategorier som kan videresendes etter API-direktivet, se nærmere omtale i punkt 6.2.2, med hjemmel i utlendingsloven § 20, jf. grenseloven § 16, omfattes 17 kategorier opplysninger. En uttømmende liste over hvilke opplysninger som skal videresendes dersom de er innsamlet, ble foreslått inntatt i politiregisterforskriften ny § 60-5.
Dersom et luftfartsselskap deler flyruten med andre luftfartsselskaper, skal luftfartsselskapet som utfører den enkelte flyvning etter forslaget overføre PNR-opplysningene for samtlige passasjerer.
Det er nødvendig med faste tidsintervaller for når luftfartsselskapene skal utlevere passasjerinformasjonen. Tidsintervallene ble satt under hensyn til at myndighetene skal kunne planlegge og om nødvendig iverksette relevante tiltak for å oppfylle formålet med ordningen. Departementet foreslo å lovfeste at opplysningene skal overføres 24-48 timer før avgang og umiddelbart etter avgang. I unntakstilfeller kan det imidlertid være behov for å avvike fra de utleveringstidspunktene som vanligvis benyttes. Opplysningene bør derfor kunne utleveres etter en konkret anmodning fra PNR-enheten dersom det er nødvendig for å avverge en konkret og reell trussel i forbindelse med terrorhandlinger eller alvorlig kriminalitet.
Det ble videre foreslått å lovfeste at Kongen gir forskrift om behandlingen av PNR-opplysninger. Forslaget om forskriftshjemmel ble supplert med forslag om et nytt kapittel 60 i politiregisterforskriften med nærmere regler om behandlingen av PNR-opplysningene, herunder om formål, hjemmelsgrunnlag, behandlingsansvar, opplysningskategorier som kan registreres, tilgang, utlevering, informasjonsplikt, innsyn, retting, sletting, maskering, klageadgang, informasjonssikkerhet, internkontroll og sporing. Forslaget er laget etter mønster fra de øvrige kapitlene i politiregisterforskriften del 11.
4.4 Høringsinstansenes syn
Politidirektoratet, Riksadvokaten, Politietssikkerhetstjeneste, Kripos, Økokrim, Politietsutlendingsenhet, Østpolitidistrikt og Oslopolitidistrikt støtter forslaget.
Politiets sikkerhetstjeneste påpeker samtidig at det er behov for et ytterligere tredje push av data mellom 24-48 timer før avgang og avgang (når dørene lukkes). Dette begrunnes med muligheten til å iverksette tiltak mot personer som reiser til eller fra Norge, og som booker billett senere enn 24 timer før avgang. Tolldirektoratet påpeker det samme.
Tolldirektoratet anbefaler at PNR-opplysninger også skal kunne mottas fra andre operatører enn kommersielle flyselskaper, og viser til at PNR-direktivet ikke er til hinder for dette.
Norges institusjon for menneskerettigheter (NIM) påpeker at forslaget reiser spørsmål i relasjon til retten til privatliv etter Grunnloven § 102, EMK artikkel 8 og SP artikkel 17. NIM bemerker at tiltaket samlet vil utgjøre en generell og udifferensiert bulkinnsamling av opplysninger, som i seg selv anses som et inngrep i retten til privatliv etter EMK artikkel 8. NIM mener departementet med fordel kunne gjort grundigere rede for hvorfor forslaget er nødvendig og forholdsmessig, og stiller spørsmål ved om PNR-systemet faktisk bidrar til å oppnå formålet om å bekjempe terrorisme og annen alvorlig kriminalitet, utover de allerede eksisterende systemene myndighetene har tilgjengelig. NIM påpeker også at grunnlaget for PNR-enhetens innhenting av passasjeropplysninger, som foreslås hjemlet i grenseloven, henger uløselig sammen med videre lagring, søk og utlevering av disse opplysningene, som foreslås regulert i forskrift, og at i saker om overvåking er det gjennomgående at EMD vurderer forholdsmessighetskravet og lovkravet i tett sammenheng. I den sammenheng har NIM flere merknader knyttet til de foreslåtte bestemmelsene i forskriften, herunder forslagene om regulering av søk og sammenligning av opplysninger, utlevering, notifikasjon, tilgang til effektive rettsmidler og kontroll. NIM viser til at disse forholdene vil være sentrale i vurderingen av om tiltaket er forholdsmessig etter EMK artikkel 8.
NIM, Datatilsynet og Tekna bemerker at PNR-direktivets forhold til EUs charter om grunnleggende rettigheter er løftet for EU-domstolen, og at departementet bør avklare hvordan Norges eventuelle tilknytning til PNR-systemet vil påvirkes dersom EU-domstolen slår fast at forslaget ikke er i tråd med charteret. Datatilsynet viser også til at EDPB (European Data Protection Board) i brev til EU-kommisjonen 22. januar 2021 konkluderer med at en generell og udifferensiert innsamling av opplysninger om flypassasjerer ikke er i tråd med EU-retten.
Datatilsynet og Tekna mener at en generell og udifferensiert innsamling av alle norske borgeres flypassasjerinformasjon, med 5 års lagringstid, ikke lar seg begrunne uten et grundig dokumentert behov, og at mengden opplysninger som samles inn og lagres ikke er proporsjonal med nytteverdien av tiltaket. På den bakgrunn ber Datatilsynet om at det bestemmes at opplysningene som innhentes kun kan brukes til grensekontroll.
Datatilsynet mener videre at grunnlaget for behandlingen av de innhentede opplysningene er for svakt og uklart formulert og gjør det vanskelig for den enkelte å forutberegne sin rettsstilling. I likhet med NIM har Datatilsynet også innvendinger mot sikkerhetsmekanismene som er foreslått inntatt i politiregisterforskriften, herunder at lagringstiden begrenses til det som er absolutt nødvendig, og at det etableres en ordning for uavhengig forhåndskontroll.
Datatilsynet viser videre til personvernforordningen artikkel 36 nr. 4, som bestemmer at medlemsstatene skal rådføre seg med tilsynsmyndigheten ved utarbeiding av forslag til lovgivning som skal vedtas av et nasjonalt parlament, og anfører at dette innebærer at slik forhåndskonsultasjon må gjennomføres før lovforslaget sendes på ordinær høring. I følge Datatilsynet er dette en plikt, og en eventuell unnlatelse vil kunne innebære et brudd på personvernforordningen og dermed også Norges EØS-rettslige forpliktelser.
4.5 Departementets vurdering
Departementet deler høringsinstansenes vurdering av at den foreslåtte plikten om utlevering av PNR-opplysninger reiser spørsmål i relasjon til retten til privatliv etter Grunnloven §102 og EMK artikkel 8. Selv om opplysningene som vil bli registrert om den enkelte ikke er av sensitiv art, utgjør innsamlingen som helhet et omfattende inngrep i retten til privatliv. For at inngrepet skal være forholdsmessig, er det derfor av sentral betydning at tiltaket er nødvendig for å oppnå formålet.
Etter departementets vurdering vil utlevering av PNR-opplysninger kunne spille en avgjørende rolle på flere stadier under etterforskingen og avdekningen av terrorhandlinger og alvorlig kriminalitet. I lys av høringsinstansenes merknader ser departementet imidlertid at spørsmålet fortjener en bredere omtale enn i høringsnotatet, herunder en nærmere beskrivelse av hvordan PNR-opplysningene kan benyttes, og hvorfor tiltaket er nødvendig.
PNR-opplysningene vil gi politiet et viktig supplement til dagens regler om reiseregistrering. Behandlingen av opplysningene vil gjøre det mulig for politiet å avdekke kriminelles reisemønstre, og detaljer blant opplysningene kan spille en avgjørende rolle i etterforskingen av alvorlig kriminalitet. Opplysningene kan sette politiet i stand til å kartlegge personers inn- og utreiser, herunder reiser foretatt sammen med andre og opplysninger om betaling for reisene mv. Opplysningene er relevante i eksempelvis saker om narkotika-, våpen- eller menneskesmugling, idet opplysningene kan bidra til å identifisere gjerningspersoner, medvirkende gjerningspersoner og bakmenn. PNR-opplysningene vil med andre ord kunne få avgjørende betydning for etterforsking og bevisførsel i saker om grenseoverskridende kriminalitet. På samme måte vil opplysningene bidra til at Tolletaten får opplysninger om reisemønstre som kan tilsi at det er fare for alvorlig kriminalitet knyttet til ulovlig vareførsel over grensene. Når politiet på forhånd gis informasjon om at mistenkte har planer om å fly på et bestemt tidspunkt, vil PNR-opplysningene også kunne anvendes til å iverksette observasjon av den mistenkte, samt sikre identifikasjon av hittil ukjente medvirkere og andre gjerningspersoner. PNR-opplysninger vil på den måten kunne tjene som et verktøy for å bekjempe organisert kriminalitet. På samme måte vil Tolletaten kunne vurdere om en bestemt person må stanses for kontroll.
Etter PNR-direktivet artikkel 19 skal Kommisjonen fremlegge en rapport om gjennomføringen av direktivet. Kommisjonen la frem sin rapport 24. juli 2020. På bakgrunn av at 24 av 26 medlemsland hadde sørget for fullverdig gjennomføring av direktivet, konkluderte Kommisjonen blant annet med at «PNR has proven to be effective in achieving its aims» (punkt 3.3. første avsnitt). På samme sted uttalte Kommisjonen også at:
«Without claiming to be exhaustive, Member States have provided the Commission with qualitative evidence that illustrates how the comparison of PNR data against databases and pre-determined criteria has contributed to the identification of potential terrorists or persons involved in other serious criminal activities, such as drug trafficking, cybercrime, human trafficking, child sexual abuse, child abduction and participation in organised criminal groups. In some instances, the use of PNR data has resulted in the arrest of persons previously unknown to the police services, or allowed for the further examination by the competent authorities of passengers who would not have been checked otherwise. The assessment of passengers prior to their departure or arrival has also helped to prevent crimes from being committed. National authorities highlight that these results could not have been achieved without the processing of PNR data, e.g. by using exclusively other tools such as Advance Passenger Information».
Samlet mener departementet at de nevnte bruksområdene viser at utlevering av PNR-opplysninger er et nyttig verktøy i politiets, PSTs og Tolletatens arbeid for å avdekke og bekjempe terrorvirksomhet og alvorlig kriminalitet, og at tiltaket derved oppfyller kravet til nødvendighet som følger av EMK artikkel 8. Kommisjonens konklusjoner underbygger dette.
Nødvendigheten av inngrepet taler for at tiltaket er forholdsmessig. I forholdsmessighetsvurderingen er det imidlertid også av sentral betydning at videre bruk av opplysningene er forbeholdt saker om terrorhandlinger og alvorlig kriminalitet, og at behandlingen vil være strengt begrenset gjennom sikkerhetsmekanismene som vil bli gitt i politiregisterforskriften, herunder regler om tilgang, taushetsplikt, utlevering, informasjonsplikt, innsyn, retting, sletting og maskering. Departementet viser til at det i høringsnotatet blant annet ble foreslått at det bare er tjenestepersonene i PNR-enheten som gis tilgang til opplysningene i registeret, og at alle opplysningene skal underlegges taushetsplikt. Departementet viser også til forslaget om avidentifisering i form av maskering av nærmere angitte opplysningskategorier etter seks måneder. I tillegg følger det av PNR-direktivet artikkel 12 at opplysningene som hovedregel skal oppbevares i fem år og deretter slettes, og at det med sletting menes tilintetgjøring. Sikkerhetsmekanismene vil bli regulert i politiregisterforskriften, og høringsinnspillene om forskriftsreguleringen vil bli vurdert nærmere i det videre arbeidet med utformingen av forskriftsbestemmelsene.
Dersom Norge slutter seg til EUs PNR-system, vil de innsamlede opplysningene kunne utveksles med Europol, til PNR-enheter og kompetente myndigheter i de andre medlemslandene, og til tredjeland på nærmere angitte vilkår. I høringsnotatet ble det foreslått å presisere i politiregisterforskriften når og hvordan slik utveksling kan foregå, etter mønster fra PNR-direktivet artikkel 6 nr. 2 bokstav b og artikkel 9, 10 og 11. Behovet for forsterket internasjonalt samarbeid om deling av PNR-opplysninger, og norsk tilknytning til en slik ordning, underbygges av utviklingen innenfor terrorisme og alvorlig kriminalitet. Både terrorisme og alvorlig kriminalitet kjennetegnes i dag av global rekkevidde. Internasjonalt samarbeid er sentralt for å forebygge og håndtere slik aktivitet. Interpol og Europol er sentrale fora for samarbeid mellom landenes politimyndigheter. Utfordringen kan eksemplifiseres ved de siste års utvikling der fremmedkrigere, herunder med barn, reiser fra Norge for å delta i terrorvirksomhet, men også når fremmedkrigere reiser tilbake til sine hjemland. Det er i Norges interesse å bli varslet om at terrorister eller kriminelle er på vei til Norge. Tilsvarende forventes det at Norge gjør det som er mulig for å forhindre at terrorister og kriminelle reiser fra Norge til andre land for å begå straffbare handlinger, noe deltakelse i EUs PNR-system vil legge til rette for.
I trusselvurderingene til Politiets sikkerhetstjeneste og Etterretningstjenesten omtales utfordringene knyttet til terrorister henholdsvis i Norge, i Europa og globalt. Internasjonalt finnes det flere eksempler på at voldelige ekstremister fra ett land har reist inn i et annet land for å begå terror. Politiets trusselvurdering for 2021 viser til at internasjonale kriminelle gjenger over tid har vist intensjon om å etablere seg i Norge. Trusselvurderingen viser også til andre utviklingstrekk som i tiden fremover vil utfordre sikkerheten på grensen. Å legge til rette for at norske myndigheter kan forebygge, oppdage, etterforske og rettsforfølge terrorhandlinger og alvorlig kriminalitet når aktører som har slike intensjoner krysser grensene, krever en rekke tiltak. Innsamling og bruk av PNR-opplysninger, og et internasjonalt samarbeid innenfor rammen av PNR-direktivet, er etter departementets vurdering et sentralt virkemiddel for å bidra til dette.
Etter departementets vurdering ligger det dermed innenfor norske myndigheters skjønnsmargin å lovfeste en plikt til utlevering av PNR-opplysninger med formål om bekjempelse av terrorhandlinger og annen alvorlig kriminalitet, så lenge lovbestemmelsen ledsages av rettssikkerhetsgarantier i forskrift. I vurderingen har departementet også lagt vekt på at det er av sentral betydning for det europeiske regelverket som helhet at Norge slutter seg til systemet. Hvis ikke vil Norge kunne fungere som et uheldig smutthull.
Som høringsinstansene påpeker, er spørsmålet om lovligheten av PNR-direktivet reist for EU-domstolen. Dersom utfallet av EU-domstolens avgjørelse blir negativt, legger vi til grunn at dette vil bli fulgt opp av EU. Norge vil i så fall måtte vurdere tilsvarende endringer i regelverket som EU. Inntil videre forholder departementet seg til at Kommisjonen og Rådets vurdering er at direktivet overholder de krav som følger av EUs charter om grunnleggende rettigheter.
For å imøtekomme bekymringene til PST og Tolletaten om mulige sikkerhetshull foreslår departementet å lovfeste at Kongen kan gi forskrift om overføring av passasjeropplysninger til andre tidspunkter enn de som følger av direktivet artikkel 8 nr. 5, og som ble foreslått i høringsnotatet. Som PST og Tolletaten bemerker kan det være behov for en tredje overføring for å gi myndighetene nok tid til å iverksette tiltak når reisen bestilles senere enn 24 timer før avgang. Overføring på dette tidspunktet vil ikke være prinsipielt annerledes enn de øvrige overføringene.
Departementet finner derimot ikke grunn til å etterkomme Tolldirektoratets forslag om at opplysninger også bør kunne mottas fra andre enn kommersielle operatører. Det vil være langt mer krevende praktisk og administrativt å pålegge andre enn de kommersielle operatørene å utlevere PNR-opplysninger, og en slik ordning er det heller ikke tatt høyde for i den planlagte infrastrukturen.
Til Datatilsynets anførsel om at opplysningene bare skal brukes til grensekontroll, samt at bruk til kriminalitetsbekjempelse skal underlegges en uavhengig forhåndskontroll, bemerker departementet at formålet med PNR-direktivet utelukkende er bekjempelse av terrorhandlinger og alvorlig kriminalitet. Direktivet stenger dermed for å bruke opplysningene til grensekontroll. Det vises for øvrig til at bruk av passasjeropplysninger til grensekontroll allerede er etablert gjennom API-direktivet, som er gjennomført i utlendingsloven § 20.
Departementet kan ikke se at det er aktuelt å vurdere uavhengig forhåndskontroll. PNR-direktivet legger ikke opp til slik forhåndskontroll for bruk av PNR-opplysningene. En slik forhåndskontroll er heller ikke vanlig når opplysninger ikke brukes til andre formål enn de er innhentet for.
Til Datatilsynets anførsel om forhåndskonsultasjon etter personvernforordningen artikkel 36 nr. 4, bemerker departementet at det er direktiv (EU) 2016/680, og ikke personvernforordningen, som kommer til anvendelse. Direktivet artikkel 28 nr. 2 har imidlertid tilsvarende ordlyd som personvernforordningen artikkel 36 nr. 4. Direktivet er gjennomført i politiregisterloven. I Prop. 99 L (2016–2017) punkt 4.5.1 ble det gjort rede for at den alminnelige høringsrunden er tilstrekkelig som forhåndskonsultasjon etter direktivet artikkel 28 nr. 2. Justiskomiteen stilte seg bak departementets vurdering i Innst. 416 L (2016–2017). Det samme følger også av Kongelig resolusjon 27. april 2018 nr. 8 punkt 4.4.2.3. Forslaget om utlevering av PNR-opplysninger har vært på høring, og Datatilsynet har avgitt høringssvar. Etter departementets vurdering er kravene etter direktivet artikkel 28 nr. 2 til forhåndskonsultasjon dermed oppfylt.
Etter dette opprettholder departementet forslaget, men foreslår at begrepet «transportør av luftfartøy» erstattes med begrepet «luftfartsselskap».