prop · H30328 · 2015-10-13 00:00:00 — En begränsning i möjligheten att söka i databasen finns i 14 § IdF, av vilken framgår att ansiktsbilden inte får användas vid sökning med hjälp av automatiserad behandling. Enligt 15 § IdF gäller bestämmelserna i personuppgiftslagen om rättelse och skadestånd vid behandling av personuppgifter enligt förordningen. I 16 § IdF anges vidare att uppgift om ett identitetskorts giltighet får lämnas ut genom direktåtkomst. med bestämmelsen i 3 a § IdF gällande möjligheten för en sökande att styrka sin identitet genom en jämförelse med uppgifter i ärendet om uppehållstillstånd infördes bestämmelser om uppgiftslämnande från till . Enligt 16 a § IdF ska på begäran av lämna de uppgifter som anges i 6 b § förordningen om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen och som behövs för handläggning av ansökan om identitetskort. De uppgifter som avses är uppgifter om namn, personnummer, längd, fotografi, underskrift, typ av resehandling, resehandlingens nummer och giltighetstid samt bevis om uppehållstillstånd. Enligt 6 b § förordningen om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen får ha direktåtkomst till de aktuella uppgifterna. Vid överklagande av beslut enligt förordningen om identitetskort för folkbokförda i gäller förvaltningslagen (1986:223). I 18 § IdF anges att bestämmelser om överklagande finns i 22 a § förvaltningslagen. Av den bestämmelsen framgår att beslut överklagas hos allmän förvaltningsdomstol. Om överklagande har skett med stöd av bestämmelsen krävs, enligt andra stycket, prövningstillstånd vid överklagande till kammarrätten. I 19 § IdF anges vidare att beslut enligt förordningen gäller omedel- Prop. 2015/16:28 bart, om inte något annat anges i beslutet. 7.2En reglering i lag bör införas Regeringens förslag: Vissa bestämmelser i förordningen om identitetskort för folkbokförda i om i huvudsak utfärdande, ansökan och återkallelse av identitetskort samt behandling av uppgifter i en databas tas in i en ny lag. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: Datainspektionen delar bedömningen att bestämmelserna om utfärdande, ansökan och återkallelse av identitetskort för folkbokförda i och om automatisk personuppgiftsbehandling i verksamheten med sådana id-kort bör tas in i en ny lag. Skälen för regeringens förslag: I avsnitt 4.1. har redogjorts för bestämmelsen om skydd för den personliga integriteten i 2 kap. 6 § andra stycket regeringsformen. Med anledning av bestämmelsen har gjorts en översyn av vissa förordningsbestämmelser för att bedöma om de måste eller bör tas in i lag. Möjligheten att utfärda identitetskort för folkbokförda i infördes mot bakgrund av att många utländska medborgare hade svårigheter att skaffa allmängiltig id-handling, eftersom de inte kunde styrka sin identitet enligt det dåvarande systemet med SIS-märkta identitetskort. Konsekvensen av dessa svårigheter kunde bli en bristande tillgång till viktiga samhällsfunktioner. I samband med en ansökan om identitetskort för folkbokförda i ska den sökande styrka sin identitet och lämna vissa uppgifter om sig själv, samt låta ta en bild i digitalt format av hans eller hennes ansikte. Identitetsuppgifter, fotografi och vissa andra uppgifter om de som ansöker om identitetskort lagras i en databas hos . De personuppgifter som behandlas i verksamheten med identitetskorten är i och för sig till övervägande del inte av särskilt integritetskänslig karaktär. Det ändamål med behandlingen som följer av förordningen om identitetskort för folkbokförda i är inte heller särskilt känsligt. Det rör sig dock om en ganska stor mängd uppgifter, däribland digitalt fotografi, om i huvudsakligen utländska medborgare som inte har möjlighet att få något annat identitetskort. Inkomna handlingar får också behandlas i databasen. Även om identiteten kan styrkas genom att låta göra en jämförelse av uppgifterna i id-kortsansökan med de uppgifter som avser det beviljade uppehållstillståndet, kan identiteten styrkas även på andra sätt, genom försäkran från intygsgivare eller åberopande av officiella dokument. Enligt en särskild bestämmelse i förordningen får inkomna handlingar innehålla känsliga personuppgifter. Vid en sammantagen bedömning av regleringen av utfärdandet av identitetskorten och den behandling av personuppgifter som sker anser regeringen att det är lämpligt att införa en viss reglering i lag. 2015/16:28 struktur kan innefatta en lagreglering av de mest centrala kriterierna för att utfärda ett identitetskort, vissa krav i samband med ansökan, grunder för återkallelse samt grundläggande bestämmelser om den databas som förs i verksamheten med id-korten. Den nya lagen är inte avsedd att åstadkomma någon ändring i sak jämfört med den nuvarande regleringen i förordningen om identitetskort för folkbokförda i . De bestämmelser som inte tas in i lagen blir kvar i förordningen. 7.3Bestämmelser om ansökan, utfärdande och återkallelse av identitetskort som tas in i den nya lagen Regeringens förslag: Av den nya lagen ska det framgå att ett identitetskort ska kunna utfärdas på ansökan av en person som har fyllt och som är folkbokförd i landet enligt folkbokföringslagen. I lagen ska det också anges att den sökande är skyldig att låta den utfärdande myndigheten ta en bild i digitalt format av sökandens ansikte eller, om det finns synnerliga skäl, ge in ett välliknande fotografi samt att styrka sin identitet och övriga personuppgifter. Det ska av lagen också framgå att en sökande som har uppehållstillstånd i ska, om inte särskilda skäl talar mot det, anses ha styrkt sin identitet om de uppgifter som lämnas i ansökan om identitetskort stämmer överens med vad som har registrerats i fråga om uppehållstillståndet. Vilka uppgifter det är som ska stämma överens bör närmare anges i förordning. Sökanden ska ange om han eller hon vill styrka identiteten på detta sätt. Av lagen ska det också framgå att en ansökan om identitetskort ska avslås om de grundläggande förutsättningarna för att utfärda ett identitetskort inte är uppfyllda eller om det som har föreskrivits i fråga om ansökan inte har iakttagits och sökanden inte har följt en uppmaning att avhjälpa bristen. Bestämmelserna som reglerar när återkallelse av identitetskort ska ske tas in i lag. I lagen ska det upplysas om att regeringen eller den myndighet som regeringen bestämmer med stöd av 8 kap. 7 § regeringsformen kan meddela ytterligare föreskrifter om ansökan och utfärdande av identitetskort samt om förfarandet vid återkallelse av identitetskort. Promemorians förslag överensstämmer i huvudsak med regeringens. Promemorians bestämmelse som upplyser om att regeringen eller den myndighet regeringen bestämmer kan meddela ytterligare föreskrifter har dock getts en något annan utformning. Remissinstanserna: Kammarrätten i anför beträffande bestämmelsen som upplyser om föreskrifter på lägre nivå att det kan vara önskvärt med ett förtydligande av vilken normgivningskompetens som ska användas. anser att det finns en viss osäkerhet om vad som omfattas av föreskriftsrätten och anser att bestämmelsen behöver förtydligas. Skälen för regeringens förslag: Bestämmelserna om vem som kan få identitetskort och att den sökande måste styrka sin identitet är centrala bestämmelser i regleringen av identitetskorten för folkbokförda i och tas därför in i den nya lagen. Det kan även vara lämpligt att kravet på att låta den utfärdande myndigheten ta ett digitalt fotografi anges i lag. Möjligheten att styrka sin identitet genom en jämförelse med uppgifter som har registrerats i fråga om uppehållstillståndet är för vissa av stor betydelse för möjligheten att erhålla ett identitetskort. Detta förfarande bör därför ges stöd i lag. Detaljerade bestämmelser om vilka uppgifter det rör sig om bör närmare regleras i förordning. Även bestämmelsen som ger skyldighet att lämna dessa uppgifter till kräver enligt regeringens mening inte lagform och bör lämpligen vara kvar i förordningen. I förordning bör också, med stöd av restkompetensen, kunna meddelas ytterligare föreskrifter om ansökan och utfärdande av identitetskort. Eftersom dessa frågor regleras även i lagen bör upplysas om att sådana ytterligare föreskrifter kan meddelas på lägre nivå. Bestämmelser på lägre nivå kan förstås även ges som verkställighetsföreskrifter. I förordningen om identitetskort för folkbokförda i finns bestämmelser om krav på personlig inställelse, skriftlig ansökan och undertecknande, skriftligt medgivande från vårdnadshavare, makulering, avgifter och giltighetstid. Dessa bestämmelser bör enligt regeringens mening vara kvar i förordningen. Vilken myndighet som utfärdar identitetskort, , bör också lämpligen beslutas av regeringen. Bestämmelserna om i vilka fall återkallelse ska ske bör lämpligen tas in i lagen. I förordningen om identitetskort för folkbokförda i finns dock vissa bestämmelser om förfarandet vid återkallelse av identitetskort, t.ex. rörande skyldigheten att överlämna ett återkallat identitetskort till och makulering av identitetskort. Lagrådet framhåller dessa förordningsbestämmelser och anser att det finns skäl att överväga vilken räckvidd bestämmelserna som upplyser om föreskrifter på lägre nivå bör ha. Lagrådet anser också att det finns skäl att överväga om upplysningsbestämmelserna kan samordnas i en paragraf. I lagen ges vissa upplysningar om att regeringen eller den myndighet som regeringen bestämmelser kan meddela ytterligare föreskrifter i en fråga som har reglerats i lagen. Regeringen gör bedömningen att det av tydlighetsskäl bör upplysas i lagen om att regeringen eller den myndighet som regeringen bestämmer kan meddela föreskrifter om förfarandet vid återkallelse av identitetskort. Regeringen anser vidare att regleringen blir tydligast om upplysningsbestämmelserna ges i anslutning till de frågor som behandlas i lagen. 2015/16:28 7.4 Bestämmelser om databasen som tas in i den Regeringens förslag: I den nya lagen ska det anges att personuppgiftslagen är tillämplig vid behandling av personuppgifter i databasen med uppgifter om identitetskort för folkbokförda i om inte annat följer av lagen eller föreskrifter som har meddelats i anslutning till lagen. Promemorians förslag överensstämmer med regeringens. Remissinstanserna har inte några synpunkter. Skälen för regeringens förslag: Eftersom den behandling som sker i identitetskortsdatabasen är automatiserad omfattas den av regleringen i personuppgiftslagen. Den lagen är dock subsidiär i förhållande till andra författningar. I de delar bestämmelserna angående personuppgiftsbehandling i den nya lagen eller den förordning som kompletterar den nya lagen avviker från bestämmelserna i personuppgiftslagen är det bestämmelserna i den nya lagen och förordningen som ska tillämpas. I övrigt är personuppgiftslagen tillämplig. Det innebär bl.a. att 9 § PUL, som innehåller grundläggande krav på den personuppgiftsansvariges behandling av personuppgifter, liksom bestämmelserna i 30–32 §§ om säkerheten vid behandling av personuppgifter är tillämpliga. Förhållandet till personuppgiftslagen bör framgå uttryckligen av den nya lagen. Det bör därför anges att personuppgiftslagen är tillämplig vid behandling av personuppgifter i databasen med uppgifter om identitetskort för folkbokförda i om inte annat följer av lagen eller av föreskrifter som har meddelas i anslutning till lagen. Bestämmelsen innebär endast ett förtydligande av vad som gäller vid sådan behandling i databasen som regleras i förordningen om identitetskort för folkbokförda i och innebär därför ingen förändring i sak. Regeringens förslag: Personuppgifter får behandlas i databasen om det behövs i den utfärdande myndighetens verksamhet för utfärdande av identitetskort. Personuppgifter som behandlas för det ändamålet får också behandlas för att fullgöra ett uppgiftsutlämnande som sker i överensstämmelse med lag eller förordning. I övrigt gäller 9 § första stycket d och andra stycket personuppgiftslagen. Promemorians förslag överensstämmer i huvudsak med regeringens. Enligt promemorians förslag ska personuppgifter få behandlas i databasen för tillhandahållande av information om sådana uppgifter som behövs i den utfärdande myndighetens verksamhet för utfärdande av Remissinstanserna: (Advokat- samfundet) har synpunkter på förslaget. närmare bör utredas om det går att precisera bestämmelsen såvitt avser Prop. 2015/16:28 för vilka ändamål personuppgiftsbehandling ska få ske och anför att skyddet för den enskildes personliga integritet därigenom skulle tillvaratas bättre. Skälen för regeringens förslag: Enligt nuvarande bestämmelse i 11 § IdF ska databasen ha till ändamål att ge information om sådana uppgifter som behövs i verksamhet hos för utfärdande av identitetskort. I betänkande anfördes att ett register är nödvändigt för att det ska gå att kontrollera att ett uppvisat id-kort är giltigt och att säkerheten i systemet ökar om det förs register över id-kort som gäller. Det minimerar också risken att flera id-kort utfärdas till samma person. Ändamålet med registret skulle vara att ge information om sådana uppgifter som behövs för att id-kort ska kunna utfärdas och kontrolleras (SOU 2007:100 s. 111). Någon ändring i sak gällande det ändamål för vilka uppgifter får behandlas i databasen är inte avsedd. Regeringen bedömer att det i detta sammanhang inte har framkommit behov av att förändra ändamålsregleringen på det sätt som Lagrådet anser att det bör övervägas om bestämmelsen kan förenklas genom att det anges att personuppgifter får behandlas om det behövs i den utfärdande myndighetens verksamhet för utfärdande av identitetskort. Enligt regeringens mening bör det framgå av bestämmelsen att den omfattar behandling av uppgifter i en databas. I övrigt bedömer regeringen att den av Lagrådet formulerade lydelsen är lämplig. Regeringen anser att det finns skäl att i lagen göra vissa förtydliganden gällande när det är tillåtet att vidarebehandla uppgifter i databasen genom utlämnande till annan. I lag eller förordning finns i vissa fall bestämmelser om att en myndighet ska eller får lämna ut uppgifter. Enligt 6 kap. 5 § offentlighets- och sekretesslagen (2009:400), OSL, ska t.ex. en myndighet på begäran av en annan myndighet lämna ut en uppgift som den förfogar över, om inte uppgiften är sekretessbelagd eller det skulle hindra arbetets behöriga gång. För att undvika osäkerhet kring hur sådant utlämnande förhåller sig till den föreslagna lagen, bör i lagen anges att uppgifter får behandlas för att fullgöra ett uppgiftsutlämnande som sker i överensstämmelse med lag eller förordning. Av 9 § första stycket d och andra stycket PUL följer vidare att personuppgifterna får behandlas för andra ändamål än de ursprungliga, förutsatt att dessa ändamål inte är oförenliga med de ursprungliga. I lagen bör införas en upplysning om att detta gäller. Regeringens förslag: Känsliga personuppgifter som anges i 13 § PUL får behandlas i en handling som har lämnats i ett ärende. uppgifter får behandlas även i en handling som har upprättats i ett ärende, om de är nödvändiga för ärendets handläggning. En kopia av den ansiktsbild som identitetskortet har försetts med får behandlas i databasen. I lagen ska det upplysas om att regeringen eller den myndighet som regeringen bestämmer med stöd av 8 kap. 7 § regeringsformen kan 2015/16:28 meddela ytterligare föreskrifter om vilka uppgifter databasen ska eller får innehålla. Promemorians förslag överensstämmer med regeringens. I promemorians förslag gavs ingen upplysning i lagtexten om att regeringen kan meddela föreskrifter om vilka uppgifter databasen ska eller får innehålla. Remissinstanserna: Enligt () kan inte det förhållandet att det inte är möjligt för den handläggande myndigheten att påverka innehållet i de handlingar som kommer in till myndigheten anses utgöra skäl för att i denna verksamhet tillåta vidare behandling av vilka uppgifter som helst i en strukturerad databas. anser också att en uppräkning i lagtexten av vilka uppgifter som får behandlas i databasen skulle medföra ett bättre skydd för den enskilde mot att andra uppgifter än vad som är nödvändigt behandlas. påtalar också att 15 § i promemorians förslag, som gäller föreskrifter som kan meddelas av regering eller myndighet som regeringen bestämmer, inte rör frågan om vilka uppgifter som får behandlas. Skälen för regeringens förslag: I förordningen om identitetskort för folkbokförda i görs en uppräkning av uppgifter som databasen ska innehålla. Vilka uppgifter det rör sig om framgår av avsnitt 7.1.2. Vidare anges att inkomna och upprättade handingar får behandlas i databasen. Regeringen anser att en sådan detaljreglering i lag inte är lämplig eller nödvändig. Databasen över identitetskort för folkbokförda är inte av så känslig karaktär att det av den anledningen finns skäl att detaljreglera innehållet i lag. Den närmare regleringen av uppgifter som databasen ska och får innehålla bör dock i stället tas in i föreskrifter på lägre nivå. I några avseenden bör dock bestämmelser om innehållet ges i lag. I lagen bör anges när känsliga personuppgifter får behandlas. En handling som har inkommit i ett ärende får enligt förordningen om identitetskort för folkbokförda i innehålla känsliga personuppgifter som anges i 13 § PUL. En handling som har upprättats i ett ärende får innehålla sådana uppgifter om de är nödvändiga för ärendets handläggning. De känsliga personuppgifter som anges i 13 § PUL är uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening samt uppgifter som rör hälsa eller sexualliv. Enligt 13 § PUL är det i princip förbjudet att behandla dessa känsliga personuppgifter. Med anledning av vad anför kan sägas följande. För en effektiv ärendehantering bör det vara möjligt att hantera inkomna och upprättade handlingar i ärenden i databasen. Det är inte möjligt för den handläggande myndigheten att påverka innehållet i de handlingar som kommer in till myndigheten. En sådan handling bör enligt regeringens mening få behandlas i databasen även om den t.ex. innehåller uppgifter om etnicitet. För det fall att det är nödvändigt att beröra känsliga personuppgifter i en upprättad handling bör det också vara möjligt att behandla handlingen i databasen. integritetsskyddande åtgärd föreslår regeringen i avsnittet nedan att Prop. 2015/16:28 känsliga personuppgifter inte ska få användas som sökbegrepp. I förordningen om identitetskort för folkbokförda i anges också att inkomna och upprättade handlingar får innehålla uppgifter om lagöverträdelser m.m. som anges i 21 § PUL. I personuppgiftslagen finns inte något förbud för myndighet att behandla uppgifter om lagöverträdelser. Det är därför tillåtet för att behandla sådana uppgifter även utan särskild bestämmelse om detta i den nya lagen. Några skäl att införa en särskild bestämmelse om att sådan behandling får ske bedöms inte föreligga. Det finns ett behov av att i databasen behandla kopia av den ansiktsbild som identitetskortet har försetts med. Att fotografi ska tas i samband med ansökan föreslås regleras i lag. Även behandling av ansiktsbilden i databasen bör lämpligen regleras särskilt i lagen. I lagen ges en upplysning om att regeringen eller den myndighet som regeringen bestämmer kan meddela ytterligare föreskrifter om vilka uppgifter databasen ska eller får innehålla. 7.4.4Övriga bestämmelser om databasen som förs in i lagen Regeringens förslag: Bestämmelserna i förordningen om identitetskort för folkbokförda i om förbud mot att använda ansiktsbilden vid sökning, personuppgiftsansvar, rättelse och skadestånd samt om direktåtkomst till uppgifter om identitetskorts giltighet förs över till den nya lagen. I lagen ska det också anges att känsliga personuppgifter och uppgifter om lagöverträdelser inte får användas som sökbegrepp. Utformningen av bestämmelserna om personuppgiftsansvar samt rättelse och skadestånd justeras till följd av den nya lagregleringen. Promemorians förslag överensstämmer i huvudsak med regeringens. I promemorians förslag anges dock inte att känsliga personuppgifter och uppgifter om lagöverträdelser inte får användas som sökbegrepp. personuppgifter och uppgifter om lagöverträdelser som innefattar brott bör undantas från de uppgifter som får användas vid sökning med hjälp av automatiserad behandling. känsliga personuppgifter inte ska få användas som sökbegrepp. anser att det bör vara tillåtet använda bild som sökbegrepp för polisens brottsbekämpande verksamhet, då det kan behöva sökas efter en person som man har bild på men inte kunskap om vem det är. Skälen för regeringens förslag: Bestämmelsen som förbjuder att ansiktsbilden används vid sökning med hjälp av automatiserad behandling är av sådan integritetsskyddande karaktär att den bör tas in i Detta lagstiftningsärende syftar inte till att föreslå ändringar gällande vilken behandling av personuppgifter som är tillåten. Det är inte aktuellt att i detta sammanhang överväga frågan om fotografi såsom föreslagit, i vissa 2015/16:28 sökning. Datainspektionen och efterfrågar vissa begränsningar av tillåtna sökbegrepp. Enligt regeringens förslag ska känsliga personuppgifter i vissa fall få behandlas i en handling. Regeringen anser att det kan vara lämpligt, såsom vissa remissinstanser efterfrågar, att det anges i lagen att sådana uppgifter eller uppgifter om lagöverträdelser som avses i 21 § PUL inte får användas som sökbegrepp. Det är viktigt att det finns väl fungerande system för att kontrollera ett identitetskorts giltighet. Enligt 16 § IdF får uppgift om identitetskorts giltighet lämnas ut genom direktåtkomst. Utlämnande genom direktåtkomst anses typiskt sett vara en känslig åtgärd ur integritetssynpunkt. I detta fall är möjligheten till direktåtkomst begränsad till uppgift om identitetskorts giltighet, vilket talar för att direktåtkomsten inte är av särskilt integritetskänslig karaktär. Det är dock ändå lämpligt att reglera möjligheten att medge direktåtkomst i lag. Av lagen bör framgå att den utfärdande myndigheten är personuppgiftsansvarig för den personuppgiftsbehandling som myndigheten utför. Även tillämpligheten av bestämmelserna i personuppgiftslagen om rättelse och skadestånd bör slås fast i lagen. Bestämmelserna om personuppgiftsansvar och rättelse och skadestånd justeras till följd av att personuppgiftsbehandlingen ska regleras i lag. 7.4.5Den enskildes inställning till personuppgiftsbehandling Regeringens förslag: Det ska i lagen anges att behandling av personuppgifter som är tillåten enligt lagen ska få utföras även om den registrerade motsätter sig behandlingen. Promemorians förslag överensstämmer inte med regeringens. Promemorian innehåller inte någon motsvarande bestämmelse. Remissinstanserna: anser att man bör överväga att införa en bestämmelse innebärande att personuppgiftslagens reglering om samtycke inte gäller vid behandling av uppgifter enligt lagen om identitetskort. Skälen för regeringens förslag: Uppgifter behöver kunna behandlas i id-kortsdatabasen utan samtycke från de personer som uppgifterna rör. Regeringen anser inte att något uttryckligt klargörande av att detta gäller behöver tas in i lagen. Det får i stället anses följa av bestämmelserna om när uppgifter får behandlas. I artikel 14 a och rådets direktiv /95/46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet) föreskrivs att den enskilde i vissa fall ska garanteras en rätt att motsätta sig en personuppgiftsbehandling, om inte annat föreskrivs i nationell lagstiftning. Av 12 § PUL framgår att en registrerad, med vissa undantag, inte har rätt att motsätta sig sådan av personuppgifter som omfattas föreslagna lagen (4 §). Eftersom 12 § PUL rör behandling som är tillåten enligt personuppgiftslagen anser regeringen att det är lämpligt att Prop.