Justitsministeriet jm@jm.dk STRANDGADE 56 DK-1401 KØBENHAVN K TEL. +45 32 69 88 88 FAX +45 32 69 88 00 CENTER@HUMANRIGHTS.DK WWW.MENNESKERET.DK WWW.HUMANRIGHTS.DK DATO 26. april 2011 J.NR. 540.10/25078/SWG Høring over forslag til Europa-Parlamentets og Rådets direktiv om anvendelse af passagerlisteoplysninger til at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet 1. Indledning Ved e-mail af 22. marts 2011 har Justitsministeriet anmodet om at modtage Institut for Menneskerettigheders eventuelle bemærkninger til udkast til forslag til Europa- Parlamentets og Rådets direktiv om anvendelse af passagerlisteoplysninger til at forebygge, opdage, efterforske og retsforfølge terrorhandlinger og grov kriminalitet. Direktivforslaget er udarbejdet i forlængelse af Kommissionens forslag af 6. november 2007 til rammeafgørelse om anvendelse af passagerlister (PNR-oplysninger) med henblik på retshåndhævelse, som blev forhandlet i Rådet, men bortfaldt med Lissabon-traktatens ikrafttræden den 1. december 2009. Instituttet havde i sin tid ikke ressourcer til at afgive bemærkninger til forslaget til rammeafgørelse. Direktivforslaget er omfattet af Danmarks forbehold vedrørende retlige og indre anliggender, og Danmark deltager således ikke i vedtagelsen af direktivet, som ikke vil være bindende for eller finde anvendelse i Danmark. Direktivforslaget rejser spørgsmål i forhold til beskyttelsen af privatlivets fred, herunder persondatabeskyttelse. Det bemærkes, at luftfartsselskaber med indførelsen af 148 a i luftfartsloven i 2006 blev pålagt at registrere og opbevare oplysninger om passagerer og besætningsmedlemmer på luftfartøjer, der ankommer til eller afgår fra Danmark, i et år og udlevere disse til PET til brug for forebyggelse og efterforskning af overtrædelse af straffelovens kapitel 12 og INSTITUT FOR MENNESKERETTIGHEDER ER OPRETTET VED LOV AF 6.6.2002 OM ETABLERING AF DANSK CENTER FOR INTERNATIONALE STUDIER OG MENNESKERETTIGHEDER. INSTITUTTET ER ETABLERET SOM NATIONAL MENNESKERETTIGHEDSINSTITUTION I HENHOLD TIL FN'S PARIS PRINCIPPER. INSTITUTTET VIDEREFØRER DE AKTIVITETER, DER SIDEN 1987 BLEV VARETAGET AF DET DANSKE CENTER FOR MENNESKERETTIGHEDER. INSTITUTTET VARETAGER FORSKNING, INFORMATION, UNDERVISNING, DOKUMENTATION OG INTERNATIONALE PROGRAMMER.
13. Bestemmelsen er imidlertid endnu ikke trådt i kraft. Instituttet afgav i sin tid høringssvar i forbindelse med lovforslaget herom. 2. Menneskerettens beskyttelse Offentlige myndigheders indsamling, behandling og opbevaring af personoplysninger udgør indgreb i retten til respekt for privatlivet som blandt andet er beskyttet i Den Europæiske Menneskerettighedskonvention (EMRK) artikel 8, der har følgende ordlyd: Artikel 8. Stk. 1. Enhver har ret til respekt for sit privatliv og familieliv, sit hjem og sin korrespondance. Stk. 2. Ingen offentlig myndighed må gøre indgreb i udøvelsen af denne ret, medmindre det sker i overensstemmelse med loven og er nødvendigt i et demokratisk samfund af hensyn til den nationale sikkerhed, den offentlige tryghed eller landets økonomiske velfærd, for at forebygge uro eller forbrydelse, for at beskytte sundheden eller sædeligheden eller for at beskytte rettigheder og friheder. Retten til respekt for privatlivet beskyttet i artikel 8, stk. 1, er ikke absolut. Efter artikel 8, stk. 2, kan der lovligt gøres indgreb i retten, hvis der er lovhjemmel hertil, og indgrebet er begrundet i et anerkendelsesværdigt hensyn samt nødvendigt, herunder proportionalt. Særligt med hensyn til kravet om lovhjemmel indebærer dette, at de nationale regler, som udgør hjemmelsgrundlaget, skal være forenelige med retsstatsprincippet ( the rule of law ). Dette princip betyder, at retsreglerne skal være tilgængelige samt så tilstrækkeligt klare og præcise, at retstilstanden bliver forudsigelig. 1 Endvidere skal loven forfølge et legitimt formål og indeholde tilstrækkelige og effektive retssikkerhedsgarantier, som kan udgøre et værn mod misbrug og vilkårlig udnyttelse af en indgrebsmulighed. Med hensyn til kravet om anerkendelsesværdigt formål er der i EMRK artikel 8, stk. 2, tale om en udtømmende opregning af legitime formål, der som udgangspunkt skal fortolkes indskrænkende. 2 De opregnede formål er dog formuleret så bredt, at de i praksis vil kunne dække de fleste tilfælde, hvor en stat kan have behov for at foretage indgreb i beskyttede rettigheder. Kravet om proportionalitet indebærer, at indgrebets intensitet skal stå i et rimeligt forhold til det angivne formål, og i den forbindelse er det af betydning, om de anvendte midler er 1 Se herved fra Den Europæiske Menneskerettighedsdomstol (EMD) f.eks. Sunday Times mod Storbritanien, EMD s dom af 26. april 1979, 49, og Camenzind mod Schweiz, EMD s dom af 16. december 1997, 39 2 Se herved f.eks. Sidiropoulos m.fl. mod Grækenland, EMD s dom af 10. juli 1998, 38 2
rimelige og egnede til at opnå formålet. 3 Ved vurderingen af, om et indgreb er proportionalt, har staten en vis skønsmargin. Størrelsen af denne skønsmargin afhænger blandt andet af karakteren af de rettigheder og aktiviteter, der gøres indgreb i, indgrebets intensitet, karakteren af de formål, der søges varetaget med indgrebet, samt om der er tale om et område, hvor der er en vis ensartethed i retstilstanden mellem staterne. Særligt med hensyn til offentlige myndigheders behandling af personoplysninger i politimæssig sammenhæng kan særligt to domme fra Den Europæiske Menneskerettighedsdomstol (EMD) fremhæves. I dommen Amann mod Schweiz, dom af 16. februar 2000, var klager blevet kontaktet telefonisk af en person fra en ambassade, der ønskede at købe et produkt, som klager reklamerede for. Telefonsamtalen blev aflyttet af anklagemyndigheden, som udfyldte et kartotekskort, der indgik i et register, hvoraf det fremgik, at klager havde haft kontakt med den pågældende ambassade, og at han gjorde forskellige forretninger med et bestemt selskab. EMD fastslog, at de pågældende oplysninger udgjorde data vedrørende klagers privatliv, og at artikel 8 derfor var anvendelig. EMD udtalte endvidere, at myndighedernes opbevaring af oplysninger vedrørende en persons privatliv udgør indgreb i artikel 8 s forstand, og at det i den forbindelse er uden betydning, om de pågældende oplysninger efterfølgende benyttes af myndighederne eller ej. EMD udtalte endvidere, at det ikke var dens opgave at vurdere, om der var tale om følsomme oplysninger eller ej, eller om opbevaringen på nogen måde havde været til gene for klager. Det var tilstrækkeligt, at data vedrørende et individs privatliv var blevet opbevaret af en offentlig myndighed, og udfyldelsen og opbevaringen af det pågældende kartotekskort udgjorde derfor et indgreb. EMD fastslog endvidere, at indgrebet ikke opfyldte legalitetskravet, og at artikel 8 var krænket. I dommen Leander mod Sverige, dom af 26. marts 1987, var klager blevet bortvist fra sit arbejde på et offentligt flådemuseum i en militær sikkerhedszone under henvisning til, at klager ikke bestod myndighedernes sikkerhedstjek. I forbindelse med sikkerhedstjekket havde den ansættende myndighed indhentet oplysninger om klager fra et hemmeligt politiregister. Klager kunne ikke få oplyst, hvilke oplysninger der var registreret om klager i registeret, og havde ikke mulighed for at berigtige oplysningerne. Registreringen, opbevaringen og videregivelsen af oplysningerne om klager og nægtelsen af at lade klager berigtige oplysningerne udgjorde et indgreb i klagers privatliv, jf. EMRK artikel 8. EMD fandt imidlertid, at staten i den konkrete sag, herunder især med hensyn til valg af midler med henblik på at beskytte statens sikkerhed, havde en vid skønsmargin. EMD fastslog, at der ikke forelå en krænkelse af artikel 8 og lagde blandt andet vægt på, at de 3 Se herved f.eks. Blecic mod Kroatin, EMD s dom af 29. juli 2004, 67 3
relevante regler var udformet med henblik på at reducere virkningerne af sikkerhedstjek til et uundgåeligt minimum, samt at der var kontrol med brugen af det hemmelige politiregister, idet såvel det nationale parlament som uafhængige institutioner foretog en direkte og regelmæssig kontrol. Med hensyn til prøvelse af indgreb i privatlivets fred følger det endvidere af EMRK artikel 13, at enhver, der har fået krænket en rettighed, som er beskyttet af EMRK, skal have adgang til effektive retsmidler. Herved sikres der borgeren adgang til en uafhængig og upartisk prøvelse af et indgrebs lovlighed. Ved siden af beskyttelsen af privatlivets fred i EMRK har Europarådets Konvention om beskyttelse af det enkelte menneske i forbindelse med elektronisk databehandling af personoplysninger (1981) endvidere til formål at sikre særligt retten til privatlivets fred i forbindelse med elektronisk databehandling af personoplysninger, jf. herved konventionens artikel 1. Det fremgår af konventionens artikel 5, at personoplysninger som behandles elektronisk skal a) indsamles og behandles rimeligt og lovligt, b) lagres til nærmere bestemte og lovlige formål og må ikke anvendes på en måde, som er uforenelig med disse formål, c) være relevante og tilstrækkelige og ikke omfatte mere end, hvad der kræves til opfyldelsen af de formål, de er lagret til, d) være nøjagtige og om nødvendigt føres ajour, og e) opbevares i en form, som ikke muliggør identifikation af de registrerede personer længere end nødvendigt til det formål, de er lagret til. Endvidere fremgår det af konventionens artikel 8, at enhver skal have mulighed for a) at få kendskab til tilstedeværelsen af et elektronisk register med personoplysninger og dets hovedformål, samt hvem den registeransvarlige er, dennes faste bopæl eller hovedforretningssted, b) med passende mellemrum og uden unødig forsinkelse eller omkostning at få bekræftet, om der i det elektroniske register er lagret personoplysninger vedrørende den pågældende selv, samt til at blive underrettet om disse data i en forståelig form, c) at få rettet, henholdsvis slettet, disse oplysninger, hvis de er blevet behandlet i strid med de bestemmelser i national lovgivning, der omhandler de i artikel 5 og 6 anførte grundlæggende principper, og d) klageadgang, hvis anmodning om bekræftelse, underretning, rettelse eller sletning, som anført i litra b og c ikke imødekommes. I Den Europæiske Unions charter om grundlæggende rettigheder (EU-chartret) er privatlivets fred beskyttet i artikel 7, hvorefter enhver har ret til respekt for sit privatliv og familieliv, sit hjem og sin kommunikation. Endvidere beskytter artikel 8 særskilt personoplysninger og bestemmer blandt andet, at personoplysninger skal behandles 4
rimeligt, til udtrykkeligt angivne formål og på grundlag af de berørte personers samtykke eller på et andet berettiget ved lov fastsat grundlag, samt at enhver har ret til adgang til indsamlede oplysninger, der vedrører den pågældende, og til berigtigelse heraf. Indgreb i de beskyttede rettigheder i artikel 7 og 8 kan alene ske i overensstemmelse med EUchartrets artikel 52, som også henviser til EMRK. Borgeres ret til beskyttelse af personoplysninger er endvidere reguleret ved EU s databeskyttelsesdirektiv (95/46/EF) af 24. oktober 1995, som er gennemført i Danmark ved persondataloven (lov nr. 429 af 31. maj 2000). Herudover kan nævnes, at privatlivets fred er beskyttet i artikel 17 i FN s Konvention om civile og politiske rettigheder, i artikel 22 i FN s Konvention om rettigheder for personer med handicap samt artikel 16 i FN s Konvention om barnets rettigheder. 3. Instituttets bemærkninger til direktivforslaget Med direktivforslaget pålægges luftfartsselskaber i forbindelse med internationale flyvninger til og fra medlemsstaterne at videregive oplysninger om de enkelte passagerers rejser (PNR-oplysninger) til nationale PNR-kontorer med henblik på disse kontorers behandling af oplysningerne til bekæmpelse af terrorhandlinger og grov kriminalitet. PNR-oplysningerne, som alene omfatter oplysninger, som luftfartselskaberne på eget initiativ som led i deres virksomhed har indsamlet, overføres elektronisk fra det enkelte luftfartselskab til de relevante PNR-kontorers databaser. PNR-oplysningerne opbevares hos PNR-kontorerne i 30 dage, hvorefter oplysningerne anonymiseres og derefter opbevares i yderligere fem år. De nationale PNR-kontorer kan udveksle PNRoplysninger internt, videregive PNR-oplysninger til nationale retshåndhævende myndigheder samt i begrænset omfang videregive PNR-oplysninger til tredjelande. Den foreslåede ordning om nationale PNR-kontorers indsamling og behandling af PNRoplysninger må antages at indebære indgreb i flypassagerers privatliv, jf. herved blandt andet EMRK artikel 8 og EU-chartrets artikel 7. Dette gælder uanset, om oplysningerne udgør følsomme personoplysninger eller almindelige ikke-følsommme personoplysninger, uanset om oplysningerne blot opbevares og ikke anvendes, og uanset om opbevaringen og en eventuel anvendelse heraf er til gene for personen bag oplysningerne, jf. herved Amann mod Schweiz, EMD s dom af 16. februar 2000 (omtalt ovenfor). For at et indgreb i privatlivets fred er lovligt, er det en forudsætning, at der er lovhjemmel hertil, og at indgrebet er begrundet i et anerkendelsesværdigt hensyn samt nødvendigt, herunder proportionalt, jf. herved EMRK artikel 8, stk. 2. Se også EU-chartrets artikel 52, der henviser til EMRK. 5
Særligt med hensyn til legalitetskravet er det instituttets opfattelse, at dette krav ved en eventuel aftale om implementering af direktivet i dansk ret vil være opfyldt, idet instituttet dog skal bemærke, at flere af direktivets og dermed eventuelle nationale bestemmelser efter instituttets opfattelse bør præciseres. Instituttet anbefaler således, at det præciseres, hvornår det må lægges til grund, at det er nødvendigt, at de kompetente myndigheder undersøger en given passager nærmere, jf. den foreslåede artikel 4, stk. 2, litra a), og hvornår det må lægges til grund, at det kræves, at de kompetente myndigheder undersøger en given passager nærmere, jf. den foreslåede artikel 4, stk. 2, litra b), samt hvori forskellen på de to anvendelsesområder består. Instituttet anbefaler, at det præciseres, om videregivelse af PNR-oplysninger fra et luftfartsselskab til et PNR-kontor forudsætter en konkret/generel anmodning herom fra det pågældende PNR-kontor, eller om luftfartsselskabet er forpligtet til løbende at videregive PNR-oplysninger fra alle flyvninger til relevante PNRkontorer, uanset om luftfartsselskabet har modtaget en anmodning herom, jf. herved de foreslåede bestemmelser i artikel 2, litra f) og artikel 6, stk. 1, 2 og 4. Formålet med den foreslåede ordning er at bekæmpe terror og grov kriminalitet, hvilket må anses for et anerkendelsesværdigt dvs. sagligt og legitimt formål i overenstemmelse med EMRK artikel 8, stk. 2. Spørgsmålet er herefter, om ordningen kan anses for nødvendig, herunder proprotional i forhold til dette formål. Det er i den forbindelse blandt andet relevant at se på, hvilken type af oplysninger der er tale om og i hvilket omfang, der er adgang til at indsamle og behandle de pågældende oplysninger, og om der er kontrol med anvendelsen af oplysningerne, jf. herved blandt andet, Leander mod Sverige, EMD s dom af 26. marts 1987 (omtalt ovenfor), ligesom det er af betydning, i hvilken grad adgangen til at anvende de pågældende oplysninger er egnet til at nå formålet om at bekæmpe terror og grov kriminalitet. Det må på baggrund af de opregnede oplysninger i direktivets bilag sammenholdt med artikel 11, stk. 3, lægges til grund, at de oplysninger, som kan registreres og behandles, er almindelige ikke-følsomme personoplysninger. Endvidere må det på baggrund af det af Kommissionen oplyste om landeerfaringer med anvendelse af PNR-oplysninger (forslaget s. 6) antages, at anvendelse af sådanne 6
oplysninger har stor og i visse tilfælde afgørende betydning for bekæmpelse af navnlig narkotikakriminalitet, menneskehandel og terrorisme. Desuden kan PNR-kontorerne alene behandle PNR-oplysninger efter forudgående fastsatte vurderingskriterier med henblik på identificering af personer, der kan være involveret i en terrorhandling eller grov international kriminalitet, jf. herved den foreslåede artikel 4, stk. 2, litra a), sammenholdt med den forslåede artikel 4, stk. 3. Ved behandling af PNR-oplysninger efter den foreslåede artikel 4, stk. 2, litra b), med henblik på at identificere personer, der kan være involveret i terror eller grov kriminalitet, kan PNRkontorerne ikke behandle oplysningerne efter nærmere vurderingskriterier, men alene samkøre oplysningerne med oplysninger i relevante databaser om eftersøgte personer o.l. Det bemærkes, at vurderingskriterierne ikke må være baseret på en persons racemæssige eller etniske oprindelse, religiøse eller filosofiske overbevisning, politiske meninger, medlemskab af en fagforening eller den pågældendes sundhed eller seksualitet. Dette forbud er efter instituttets opfattelse ganske relevant og centralt med henblik på at forhindre, at behandling af PNR-oplysninger indebærer ulovlig profilering, jf. herved menneskerettens diskriminationsforbud. Herudover er der tale om en forholdsvis kort opbevaringsperiode på 30 dage af PNRoplysninger i fuldstændig form, efterfulgt af en opbevaringsperiode på fem år af oplysningerne i anonymiseret form, hvor der kun i særlige tilfælde er adgang til oplysningerne i fuldstændig form, jf. herved den foreslåede bestemmelse i artikel 9. Endvidere er der efter instituttets opfattelse fastsat relevante og tilstrækkelige databeskyttelsesmæssige garantier for passagererne, idet den enkelte passager skal have ret til indsigt i al behandling af oplysninger om dennes person, ret til at berigtige forkerte oplysninger, ret til at få unødvendige oplysninger slettet eller blokket, ret til erstatning for ulovlig behandling af oplysninger samt ret til klageadgang i overenstemmelse med bestemmelserne herom i Rådets rammeafgørelse om beskyttelse af personoplysninger i forbindelse med politisamarbejde og retligt samarbejde i kriminalsager (2008/977/RIA), som finder anvendelse, jf. herved den foreslåede bestemmelse i artikel 11, stk. 1. Desuden finder bestemmelserne i denne rammeafgørelse om fortrolighed i forbindelse med databehandling og datasikkerhed også anvendelse, jf. den foreslåede artikel 11, stk. 2. Luftfartsselskaberne skal informere passagerer ved disses reservation/køb af flybilletter om videregivelsen af PNR-oplysninger til PNR-kontorer samt de nærmere regler herom, 7
herunder om de databeskyttelsesmæssige garantier, jf. den forslåede bestemmelse i artikel 11, stk. 5. Endelig skal staten sikre, at en uafhængig national tilsynsmyndighed rådgiver om og fører tilsyn med anvendelsen af bestemmelser fastsat i national ret i medfør af direktivet, jf. den foreslåede bestemmelse i artikel 12, stk. 1. Der er således krav om etablering af uafhængig kontrol med behandlingen af PNR-oplysninger. Blandt andet til brug for denne kontrol skal al behandling af PNR-oplysninger registreres eller dokumenteres af PNRkontorerne og de nationale retshåndhævende myndigheder, jf. den foreslåede bestemmelse i artikel 11, stk. 4. På den baggrund må det efter instituttets opfattelse umiddelbart antages, at proportionalitetskravet er opfyldt, jf. EMRK artikel 8, stk. 2. Det må imidlertid formodes, at ordningen vil føre til indsamling af meget store mængder data vedrørende flypassagerer, hvoraf alene en meget lille andel vil være relevant for bekæmpelsen af terror og grov kriminalitet. Ordningen kan således medføre uretmæssig mistænkeliggørelse af et meget stort antal uskyldige mennesker, som ikke kan foretage en rejse uden at der sker en systematisk registrering, kortlægning og overvågning heraf. Dette element taler imod, at proportionalitetsprincippet kan anses for opfyldt. Endvidere er der med definitionen af begrebet grov kriminalitet, jf. forslagets artikel 2, litra h), åbnet op for at anvende PNR-oplysninger i forhold til en bred vifte af kriminalitet af mere eller mindre alvorlig karakter. Det må dog samtidig holdes for øje, at staten i forbindelse med foranstaltninger med henblik på beskyttelse af den nationale sikkerhed som udgangspunkt har en ganske vid skønsmargin, jf. blandt andet Leander mod Sverige, EMD s dom af 26. marts 1987 (omtalt ovenfor). Det er derfor instituttets opfattelse, at det på baggrund af en samlet vurdering af den foreslåede ordning og dennes virkninger set i forhold til formålet med ordningen må antages, at ordningen vil opfylde proportionalitetskravet og således ikke krænke retten til respekt for privatlivet, jf. herved blandt andet EMRK artikel 8 og EU-chartrets artikel 7, ligesom ordningen må antages at opfylde kravene til persondatabeskyttelse som de udtrykkeligt fremgår af blandt andet artikel 5 og 8 i Europarådets Konvention om beskyttelse af det enkelte menneske i forbindelse med elektronisk databehandling af personoplysninger samt EU-chartrets artikel 8. 8
Instituttet anbefaler dog, at Danmark ved en eventuel aftale om implementering af direktivet i dansk ret overvejer nøje, hvilke straffelovsovertrædelser der ud fra en proportionalitetsafvejning bør være omfattet af definitionen af begrebet grov kriminalitet, og som dermed vil kunne begrunde en anvendelse af PNRoplysninger, jf. herved den foreslåede bestemmelse i artikel 2, litra h). Instituttet anbefaler endvidere, at de databeskyttelsesmæssige garantier i direktivet om passagerers ret til indsigt, berigtigelse, klageadgang m.v. samt etableringen af uafhængig kontrol fastsættes udtrykkeligt i nationale regler i forbindelse med en eventuel aftale om implementering af direktivet i dansk ret. Instituttet anbefaler endelig, at en anvendelse af den foreslåede ordning overvåges med henblik på at fastslå det egentlige udbytte og virkningerne heraf i praksis. Det bemærkes, at det forhold, at den enkelte passager i forbindelse med reservation/køb af en flybillet skal informeres om videregivelsen af PNR-oplysninger til PNR-kontorer samt de nærmere regler herom, efter instituttets opfattelse ikke medfører, at passageren ved en gennemførelse af købet giver samtykke til databehandlingen og afkald på beskyttelse. Der henvises til sagsnr. 2011-305-1080. Med venlig hilsen Jonas Christoffersen Direktør 9