720/2026

Reglugerð um upplýsingaskyldu flytjenda, söfnun, vinnslu, miðlun og varðveislu upplýsinga um farþega og áhöfn.

1. gr. Gildissvið.

Reglugerð þessi gildir um afhendingu og vinnslu upplýsinga um farþega og áhöfn millilandafara.

2. gr. Skipulag.

Ríkislögreglustjóri og tollyfirvöld starfrækja farþegaupplýsingadeild. Deildin skal annast söfnun, vinnslu, miðlun og varðveislu upplýsinga um farþega og áhöfn í gegnum rafrænt móttökukerfi. Ríkislögreglustjóri skal reka kerfið og bera ábyrgð á því en að öðru leyti skulu hlutverk og skyldur embættanna skilgreindar í samstarfssamningi.

3. gr. Orðskýringar.

Merking orða og hugtaka í reglugerðinni er sem hér segir:

1. Lögbært yfirvald: Opinbert yfirvald sem ber ábyrgð á eða er falið það hlutverk að lögum að koma í veg fyrir, koma upp um, rannsaka eða saksækja fyrir refsiverð brot.
2. Farþegaupplýsingadeild: Sameiginleg deild lögreglu og tollyfirvalda.
3. Framkvæmdahópur: Framkvæmdahópur um farþegaupplýsingadeild, skipaður fulltrúum ríkislögreglustjóra og tollyfirvalda.
4. Millilandafar: Hvers konar farartæki sem fer til eða frá landinu, meðal annars, en takmarkast ekki við, loftfar, hvort heldur sem um er að ræða áætlunarflug, fragtflutninga eða einkaflug. Hvers kyns skip og bátar, flutningaskip, ferjur, skemmtiferðaskip, seglskútur og önnur farartæki á sjó.
5. Upplýsingar um farþega og áhöfn: Upplýsingar sem finna má í farþegabókunargögnum (PNR) og ferðaskilríkjum farþega og áhafna (API).
6. Alvarleg brot: Brot sem að lögum varða að minnsta kosti þriggja ára fangelsi.
7. Móttökukerfi: Rafrænt kerfi sem móttekur og geymir API- og PNR-upplýsingar.

4. gr. Afhendingarskylda.

Skylda til að afhenda upplýsingar skv. 5. og 6. gr. hvílir á eftirfarandi aðilum:

1. Fyrirtækjum sem annast flutning farþega og/eða vöru til og frá landinu,
2. stjórnendum millilandafara sem ferðast til og frá landinu,
3. eigendum millilandafara og
4. umráðamönnum millilandafara.

Afhendingarskyldan er óháð gerð þess fars sem nýtt er í millilandaferðum.

Upplýsingarnar skulu afhentar farþegaupplýsingadeild í rafrænt móttökukerfi deildarinnar á því formi og sniði sem deildin ákveður.

Í sérstökum tilvikum skal, með samþykki farþegaupplýsingadeildar, afhenda upplýsingarnar rafrænt með öðrum hætti en í gegnum rafrænt móttökukerfi eða skriflega.

5. gr. Afhending API-upplýsinga.

Afhendingarskyldum aðilum skv. 4. gr. er skylt að afhenda API-upplýsingar fyrir hverja ferð til eða frá landinu þar sem far mun fara yfir ytri landamæri Schengen-svæðisins í öllum eftirfarandi tilvikum:

1. Strax eftir að dyr fars hafa lokast (það er eftir að farþegar hafa stigið um borð í þeim tilgangi að ferðast og ekki er lengur mögulegt fyrir farþega að fara um borð eða frá borði).
2. Samkvæmt beiðni.

Afhendingarskyldar API-upplýsingar eru eftirfarandi:

1. Tegund, auðkennisnúmer, útgáfuland eða útgáfuaðili og gildistími ferðaskilríkis.
2. Þjóðerni, fullt nafn, kyn og fæðingardagur farþega.
3. Brottfarar- og komutími fars ásamt flutningskóða.

6. gr. Afhending PNR-upplýsinga.

Afhendingarskyldum aðilum skv. 4. gr. er skylt að afhenda PNR-upplýsingar fyrir hverja ferð til eða frá landinu í öllum eftirfarandi tilvikum:

1. 24-48 klukkustundum fyrir áætlaða brottför.
2. Strax eftir að dyr fars hafa lokast (það er eftir að farþegar hafa stigið um borð í þeim tilgangi að ferðast og ekki er lengur mögulegt fyrir farþega að fara um borð eða frá borði).
3. Samkvæmt beiðni þegar talið er að gögnin séu nauðsynleg í þeim tilgangi sem kveðið er á um í 3. mgr. 10. gr.

Aðeins eru afhendingarskyldar þær upplýsingar sem safnað er af hálfu afhendingarskyldra aðila sem hluti af daglegum rekstri þeirra.

Afhendingarskyldir aðilar skv. 4. gr. geta, í stað þess að afhenda upplýsingar í samræmi við 2. tölul. 1. mgr., afhent PNR-upplýsingar jafnóðum þannig að afhentar upplýsingar í samræmi við 1. tölul. 1. mgr. uppfærist í hvert skipti sem breyting verður á þeim.

7. gr. Varðveisla upplýsinga.

API-upplýsingar skv. 5. gr. skulu geymdar í rafrænu móttökukerfi farþegaupplýsingadeildar. Upplýsingarnar má geyma í allt að 24 tíma frá móttöku þeirra og skal þeim þá eytt varanlega. Þó er heimilt að geyma upplýsingarnar lengur verði þær unnar áfram í löggæslu- og/eða landamæratilgangi, fer þá um vinnsluna eftir lögum um vinnslu persónuupplýsinga í löggæslutilgangi, eða eftir atvikum lögum um persónuvernd og vinnslu persónuupplýsinga. API-upplýsingum sem hafa verið unnar áfram skal eytt úr rafrænu móttökukerfi til samræmis við ákvarðaðan hámarksgeymslutíma skv. 2. mgr.

PNR-upplýsingar skv. 6. gr. skulu geymdar í rafrænu móttökukerfi farþegaupplýsingadeildar. PNR-upplýsingar skal ekki varðveita lengur en þörf krefur miðað við tilgang vinnslu. Hámarksgeymslutími upplýsinganna skal ákveðinn, og endurmetinn, á 24 mánaða fresti og skal sú ákvörðun byggjast á fyrirliggjandi greiningargögnum. Farþegaupplýsingadeild ber ábyrgð á að framkvæma greininguna og skal framkvæmdahópur taka ákvörðun um hámarksgeymslutíma PNR-upplýsinga. PNR-upplýsingar má þó aldrei geyma í lengri tíma en í fimm ár frá móttöku þeirra.

Eftir sex mánuði frá móttöku PNR-upplýsinga skulu dulkóðaðir þeir hlutar þeirra sem varpað geta ljósi á persónuauðkenni. Eftir að sex mánaða tímabilinu lýkur er aðeins heimilt að afkóða viðkomandi upplýsingar vegna beiðna skv. 2. tölul. 1. mgr. 11. gr. og að uppfylltum skilyrðum 1. mgr. 12. gr.

PNR-upplýsingum skal eytt varanlega að loknum ákvörðuðum geymslutíma skv. 2. mgr. Þetta gildir þó ekki um PNR-upplýsingar sem miðlað hefur verið til lögbærra yfirvalda í tengslum við mál til að koma í veg fyrir, koma upp um, rannsaka eða saksækja fyrir refsiverð brot.

Viðkvæmum persónuupplýsingum, sbr. 2. tölul. 1. mgr. 11. gr., sem mótteknar eru sem hluti af PNR-upplýsingum, skal eytt varanlega við móttöku.

8. gr. Farþegaupplýsingadeild.

Farþegaupplýsingadeild ber ábyrgð á söfnun, vinnslu og miðlun farþegaupplýsinga. Starfsemi deildarinnar skal fara fram í afmörkuðu og aðgangsstýrðu rými.

Stjórnanda farþegaupplýsingadeildar er heimilt, að fengnu samþykki ríkislögreglustjóra og ríkisskattstjóra, að fela öðrum lögbærum yfirvöldum ákveðna verkþætti og stuðning við verkefni deildarinnar. Slíkt samstarf skal byggjast á skriflegum samningi á milli farþegadeildar og viðkomandi yfirvalds þar sem tilgreindum starfsmönnum eru falin skilgreind hlutverk. Stjórnandi farþegaupplýsingadeildar skal taka ákvarðanir um veitingu aðgangs til samræmis við verklagsreglur og að undangengnu samráði við yfirmenn tilgreindra starfsmanna. Við störf sín tengd vinnslu farþegaupplýsinga skulu starfsmennirnir fara að fyrirmælum stjórnanda farþegaupplýsingadeildar og haga störfum sínum í samræmi við reglur ríkislögreglustjóra um meðferð trúnaðarupplýsinga.

Farþegaupplýsingadeild fer með og ber ábyrgð á alþjóðlegu samstarfi á sviði farþegaupplýsinga og skal hún vera tengiliður íslenskra yfirvalda við flytjendur, erlend löggæsluyfirvöld og alþjóðastofnanir.

Framkvæmdahópur setur verklagsreglur um starfsemi deildarinnar.

9. gr. Aðgangsstýring og öryggi gagna.

Eingöngu starfsmenn farþegaupplýsingadeildar, og þeir sem hafa hlotið sérstaka aðgangsheimild á grundvelli samnings skv. 2. mgr. 8. gr., skulu hafa aðgang að upplýsingum í móttökukerfi farþegaupplýsinga skv. 3. mgr. 4. gr. Stjórnandi farþegaupplýsingadeildar skal taka ákvörðun um veitingu aðgangs að upplýsingum í móttökukerfi farþegaupplýsinga á grundvelli 2. mgr. 8. gr.

Við starfrækslu kerfisins skal tryggt að:

1. eingöngu starfsmenn lögbærra yfirvalda með tilskilda heimild skv. 1. mgr. hafi aðgang að kerfinu,
2. hlutverk og skyldur hvers starfsmanns sem hefur aðgang kerfinu séu skýrt skilgreind og aðgangur ekki rýmri en nauðsynlegt er til að hann geti sinnt skilgreindu hlutverki sínu við vinnslu og/eða miðlun farþegaupplýsinga,
3. starfsmenn skv. 1. tölul. hafi hlotið viðeigandi fræðslu og þjálfun,
4. upplýsingar séu aðeins unnar til samræmis við ákvæði reglugerðar þessarar,
5. aðgerðaskráning sé í samræmi við ákvæði 25. gr. laga um vinnslu persónuupplýsinga í löggæslutilgangi, nr. 75/2019, og 8. gr. reglugerðar um skrár lögreglu og vinnslu persónuupplýsinga í löggæslutilgangi, nr. 577/2020, og að aðgerðaskrám sé eytt varanlega eftir fimm ár,
6. upplýsingar séu dulkóðaðar og þeim eytt til samræmis við ákvæði 7. gr.,
7. gæsla og umbúnaður alls tækjabúnaðar sem notaður er við starfrækslu kerfisins sé öruggur og að óviðkomandi geti ekki fengið aðgang að þeim búnaði,
8. óviðkomandi fái ekki aðgang að upplýsingum sem skráðar eru í kerfið,
9. óviðkomandi geti ekki haft áhrif á skráningu í kerfið,
10. kerfið starfi greiðlega og sé aðgengilegt þeim sem við það starfa.

Hverjum þeim sem í starfi sínu fær vitneskju um atriði sem skráð eru í kerfið er skylt að gæta þess að skráðar upplýsingar berist ekki til óviðkomandi. Þagnarskylda helst þótt látið sé af starfi.

10. gr. Vinnslu- og miðlunarheimildir.

Farþegaupplýsingadeild er heimilt að vinna og miðla upplýsingum um farþega og áhöfn til annarra lögregluembætta, tollyfirvalda, Landhelgisgæslu Íslands og annarra stjórnvalda í þágu landamæravörslu, í löggæslutilgangi eða til að viðkomandi stjórnvald geti sinnt lögbundnu hlutverki sínu.

Farþegaupplýsingadeild er einnig heimilt að miðla upplýsingum um farþega og áhöfn til yfirvalda annarra landa sem og alþjóðlegra löggæslustofnana enda séu önnur skilyrði reglugerðar þessarar uppfyllt. Slík miðlun skal fara fram með öruggum hætti, til að mynda í gegnum gagnagrunna sem alþjóðlegar löggæslustofnanir hafa sett á stofn í þeim tilgangi að miðla upplýsingum með öruggum hætti.

Vinnsla og miðlum PNR-upplýsinga um flugfarþega er þó aðeins heimil þegar vinnslan og/eða miðlunin á sér stað í því skyni að koma í veg fyrir, koma upp um, rannsaka eða saksækja fyrir refsiverð brot sem varða að minnsta kosti þriggja ára fangelsi.

Um miðlun upplýsinga um farþega og áhöfn fer að öðru leyti eftir ákvæðum laga um persónuvernd og vinnslu persónuupplýsinga og III. kafla laga um vinnslu persónuupplýsinga í löggæslutilgangi, nr. 75/2019.

11. gr. Vinnsla PNR-upplýsinga.

Vinnsla farþegaupplýsingadeildar á PNR-upplýsingum flugfarþega er heimil í eftirfarandi tilvikum:

1. Við greiningar á farþegum, fyrir áætlaða komu þeirra til landsins eða brottför frá landinu, í því skyni að bera kennsl á einstaklinga sem talið er að gætu tengst hryðjuverkum eða öðrum alvarlegum brotum, skv. 3. mgr. 10. gr., og gætu af þeim sökum þarfnast frekari skoðunar af hálfu lögbærra yfirvalda (rauntímagreiningar). Slíkar greiningar er aðeins heimilt að framkvæma:

   1. með samkeyrslu við gagnagrunna um einstaklinga eða hluti sem eru eftirlýstir, eða undir eftirliti, í samræmi við tilgang reglugerðar þessarar, og í samræmi við reglur um viðkomandi gagnagrunna;
   2. með vinnslu á grundvelli fyrirframákveðinna viðmiða.
   Óheimilt er að byggja greiningu á farþegum út frá kynþætti einstaklings eða þjóðernislegum uppruna hans, stjórnmálaskoðunum, trúarbrögðum, lífsskoðunum, aðild að stéttarfélögum, heilsufarsupplýsingum, kynlífi hans eða kynhneigð.
   Hver jákvæð samsvörun, smellur, sem kemur upp við rauntímagreiningu skal yfirfarin handvirkt.

2. Við afgreiðslu beiðna sem farþegaupplýsingadeild hafa borist frá lögbærum yfirvöldum, lögbærum yfirvöldum erlendra ríkja, eða alþjóðastofnunum, enda séu skilyrði 1. mgr. 12. gr. uppfyllt.
3. Við langtímagreiningar á farþegaupplýsingum þar sem niðurstöðurnar eru nýttar við greiningar í tengslum við ákvarðanir um hámarksgeymslutíma skv. 2. mgr. 7. gr., við gerð áhættumats, við uppfærslur og/eða prófanir á fyrirframákveðnum viðmiðum eða á gæðum gagna.

Til að tryggja gæði vinnslu gagna og niðurstaðna greininga skal farþegaupplýsingadeild hafa aðgang að gögnum úr brottfararskönnum, myndavélakerfum og öðrum tæknibúnaði eða kerfum í flugstöðvum landsins.

Um vinnslu persónuupplýsinga samkvæmt ákvæði þessu fer að öðru leyti eftir lögum um vinnslu persónuupplýsinga í löggæslutilgangi.

12. gr. Miðlun PNR-upplýsinga.

Farþegaupplýsingadeild er heimilt að miðla PNR-upplýsingum flugfarþega, eða niðurstöðum greininga á þeim, á grundvelli beiðna skv. 2. tölul. 1. mgr. 11. gr. enda séu eftirfarandi skilyrði uppfyllt:

1. miðlunin er talin nauðsynleg í því skyni að koma í veg fyrir, koma upp um, rannsaka eða saksækja fyrir refsiverð brot sem varða að minnsta kosti þriggja ára fangelsi,
2. aðeins lágmarksmagni nauðsynlegra farþegabókunargagna er miðlað,
3. lögmæti miðlunar hefur verið staðfest af hálfu fulltrúa innra eftirlits.

Farþegaupplýsingadeild er einnig heimilt að miðla PNR-upplýsingum flugfarþega á grundvelli jákvæðrar samsvörunar í kjölfar greiningar skv. 1. tölul. 1. mgr. 11. gr.

Þegar afgreiðsla beiðna skv. 1. mgr. þolir ekki bið er heimilt að víkja frá skilyrðinu um staðfestingu á lögmæti, sbr. 3. tölul. Í slíkum tilvikum skal staðfesting fara fram eins fljótt og unnt er og eigi síðar en þremur sólarhringum eftir að miðlun fer fram. Sé það niðurstaða fulltrúa að miðlun PNR-upplýsinga hafi ekki verið lögmæt skal upplýsa viðtakanda um þá niðurstöðu og skal upplýsingunum eytt án tafar.

Framkvæmdahópur setur nánari reglur um miðlun PNR-upplýsinga á grundvelli þessa ákvæðis, um miðlunina fer að öðru leyti eftir ákvæðum III. kafla laga um vinnslu persónuupplýsinga í löggæslutilgangi, nr. 75/2019.

13. gr. Eftirlit.

Framkvæmdahópur skal bera ábyrgð á innra eftirliti á starfsemi farþegaupplýsingadeildar. Innra eftirlit skal vera viðvarandi og kerfisbundið og miða að því að tryggja að:

1. eyðing gagna sé í samræmi við ákvæði 7. gr.,
2. aðgangsstýring og gagnaöryggi sé í samræmi við ákvæði 9. gr.,
3. miðlun og vinnsla upplýsinga sé í samræmi við ákvæði 10.-12. gr. Í því skyni skal framkvæmdahópur tilnefna fulltrúa sem falið er að staðfesta lögmæti miðlunar, sbr. 3. tölul. 1. mgr. 12. gr. Fulltrúinn skal vera með öllu óháður störfum farþegaupplýsingadeildar að því er varðar greiningar og vinnslu beiðna skv. 12. gr.

Ytra eftirlit með vinnslu persónuupplýsinga farþegaupplýsingadeildar er í höndum Persónuverndar.

14. gr. Gildistaka.

Reglugerð þessi, sem er sett samkvæmt heimild l-liðar 1. mgr. 23. gr. laga um landamæri, nr. 136/2022, öðlast þegar gildi. Frá sama tíma fellur úr gildi reglugerð um upplýsingagjöf um farþega og áhöfn, nr. 1072/2019.

B deild - Útgáfudagur: 25. júní 2026