sou · H3B373 · 2015-08-03 00:00:00 — Om träff erhållits mot annan identitet i B-filen eller mot A-filen, upprättar NFC ett skriftligt sakkunnigutlåtande i vilket namn, nationalitet, födelsetid och upptagningsort ingår. Handläggare på ansvarar för att ta kontakt med för närmare uppföljning i ärendet. En sådan kon- takt kan exempelvis innebära att informeras om att någon som har återreseförbud förefaller försöka komma in i landet under annan identitet. Filerna med fingeravtryck sparas i B-filen i AFIS genom Polis- myndighetens biträde. Fingeravtryck som tas med stöd av 9 kap. 8 § UtlL söks även bland annat mot Eurodac. Eurodac har dock ingen koppling till AFIS utan alla sökningar i Eurodac utförs av ID-enheten på Migrations- verket. Eurodac är ett informationssystem som innehåller finger- En ny lag om behandling av personuppgifter… avtryck på alla personer som sökt asyl i ett EU-land, se Eurodacförordningen ((EU) nr 603/2013) som även behandlas över- siktligt i avsnitten 4.3.3, 6.5 och 7.4. Syftet med fingeravtryckskontrollerna mot det nationella finger- avtrycksregistret (A- och B-filen) och Eurodac är dels att fastställa ansvarig medlemsstat enligt EU-förordningar, exempelvis Dublin- förordningen ((EU) nr 604/2013), dels att fastställa den sökandes identitet. Fastställande av den sökandes identitet är av betydelse för handläggning av ärenden både vad gäller pröv- ningen av asylskäl och för att underlätta vid eventuell återresa eller svenskt medborgarskap. Fingeravtryckskontrollerna görs alltså för att kontrollera om sökanden redan finns registrerad under samma eller annan identitet. Avslutningsvis kan även nämnas att Rådets beslut /615/RIF av om ett fördjupat gränsöverskridande samarbete, särskilt för bekämpning av terrorism och gränsöverskridande brotts- lighet (Prümrådsbeslutet) innebär att vissa utländska myndigheter ska ges rätt att göra automatiska sökningar i fingeravtrycksregister för jämförelse av fingeravtrycksuppgifter i vissa fall. Denna rätt omfattar emellertid inte sökning i Migrations- verkets fingeravtrycksregister och berörs därför inte ytterligare här. De fingeravtrycksuppgifter som lämnar till Polis- myndigheten för registrering i fingeravtrycks- register (B-filen) torde normalt omfattas av sekretess. Den sekretess- bestämmelse som i första hand är tillämplig är 37 kap. 1 § OSL. Reglerna om sekretess hos redovisas närmare i avsnitt 7.15.2, varför det hänvisas dit. För att uppgifterna ska kunna lämnas till fordras det därför något sekretess- undantag eller någon sekretessbrytande bestämmelse. Det finns inte något undantag från sekretessen eller någon särskilt sekretessbrytan- de bestämmelse som tar sikte på just det här aktuella utlämnandet. Det får därför antas att utlämnandet sker med stöd av general- klausulen i 10 kap. 27 § OSL, som medger att en sekretessbelagd uppgift lämnas till en annan myndighet om det är uppenbart att intresset av att uppgiften lämnas har företräde framför det intresse som sekretessen ska skydda. Eventuellt kan utlämnandet grunda sig på 10 kap. 2 § OSL, som innebär att sekretess inte hindrar att en myndighet lämnar ut uppgifter till bland annat andra myndigheter, En ny lag om behandling av personuppgifter… om det är nödvändigt för att myndigheten ska kunna fullgöra sin verksamhet. 7.10.2Särskilt om jämförelser av fotografier får löpande in ett stort antal underrättelser, tips och identitetshandlingar från myndigheter och privatpersoner rörande olika personer, se bland annat under- rättelseskyldighet i 6 kap. 14 § och 7 kap. 2 och 3 §§ UtlF. I många av dessa handlingar finns, förutom alfanumeriska data rörande de personer som avses, även ibland kopior på identitetshandlingar med fotografier. Fotografier utgör personuppgifter, se 1 § nuvarande utlännings- dataförordningen och 3 § PUL. I 5 kap. 1–4 §§ OSL finns de grundläggande bestämmelserna om myndigheternas skyldighet att registrera allmänna handlingar. Av be- stämmelserna följer bland annat att allmänna handlingar som huvud- regel ska registreras så snart de har kommit in till eller upprättats hos en myndighet. Registreringsskyldigheten gäller dock inte för handlingar som inte omfattas av sekretess, om de hålls ordnade så att det utan svårighet kan fastställas om de har kommit in eller upprättats. Registrerings- skyldigheten gäller inte heller en allmän handling, om det är uppen- bart att den är av ringa betydelse för myndighetens verksamhet. Av ovan nämnda bestämmelser i offentlighets- och sekretesslagen följer även att åtminstone följande uppgifter ska antecknas vid registrering av allmänna handlingar, nämligen 1) datum då hand- lingen kom in eller upprättades, 2) diarienummer eller annan beteck- ning handlingen fått vid registreringen, 3) i förekommande fall upp- gifter om handlingens avsändare eller mottagare och 4) i korthet vad handlingen rör. Myndigheternas skyldighet att registrera allmänna handlingar ska fylla den funktionen att allmänheten därigenom kan få vetskap om vilka handlingar som finns hos en myndighet. Kraven på hur registreringen ska ordnas är dock inte särskilt höga. Myndigheterna har en betydande frihet att ordna registreringen efter vad som är lämpligast för den enskilda myndigheten. Den metod som tillämpas bör dock användas konsekvent. En ny lag om behandling av personuppgifter… I många fall kan endast efter mycket arbete eller i vissa fall inte alls koppla inkomna underrättelser, fotografier och tips till någon fysisk person som finns registrerad hos verket med hjälp av tillgänglig alfanumeriska data. Det finns olika förklaringar till detta. Bland annat kan personerna ha använt sig av falska identiteter vid asylansökan eller kan namnet, födelsedata, medborgar- skap m.m. vara felaktigt angivet. I de fall någon koppling inte kan göras läggs handlingarna i det allmänna diariet. För att öka effektiviteten vid registreringen av aktuella hand- lingar hos har verket i testmiljö tagit fram ett foto- jämförelseprogram, som är tänkt att användas som ett komplement till de alfanumeriska sökningarna. Det har vid genomförda tester framkommit att träffrekvensen vid de automatiserade fotojämförel- serna är hög, även om de har långt ifrån samma träffsäkerhet som fingeravtryckskontroller. Genom jämförelseprogrammet generas en lista med 20–50 kandidater att välja manuellt ifrån. Vid en eventuell träff görs sedan en fotojämförelse med sakkunnigutlåtande där två identiteter kan kopplas samman. Med hjälp av fotojämförelsepro- grammet kan alltså ytterligare handlingar, till exempel fotografier, kopplas till fysiska personer med befintliga dossier hos verket. Mot denna bakgrund har i framställan till , dnr Ju 2014/3918/L7, efterfrågat ett rättsligt stöd i utlänningsdataförordningen för att få göra auto- matiserade jämförelser av foton för att kunna uppfylla skyldigheten att kunna diarieföra en inkommen handling under rätt ärende. har härvid uppgett att verket anser att använ- dande av fotojämförelser medför att skulle kunna utföra skyldigheten att diarieföra en inkommen allmän handling på ett bättre sätt än vad verket gör och att identitetsarbetet skulle bli effektivare. Detta medför enligt även att hand- läggningstiderna i asylprocessen skulle kunna förkortas, eftersom fler uppenbart ogrundade asylansökningar skulle kunna upptäckas, identiteten på fler personer skulle kunna fastställas och arbetet med återresor skulle kunna effektiviseras. Vidare skulle enligt verket färre alias- och dubbeldossier behöva skapas och fler personer skulle även kunna registreras som konstaterat utresta. har enligt uppgift inte någon avsikt att lagra de sökta fotografierna i någon särskild databas. En ny lag om behandling av personuppgifter… fotografier som inte gett någon träff ska därför precis som registreras i det allmänna diariet efter sökning. Utredningen har fått i uppdrag att överväga denna fråga. Utredningens förslag: fingeravtrycks- och fotografiregister ska särregleras i förhållande till övrig person- uppgiftsbehandling i lagen. Ändamålet för fingeravtrycks- och fotografiregistren anges i lagen. Regeringen meddelar närmare bestämmelser om registrens innehåll och gallring. Särskilda sek- retessbrytande bestämmelser föreslås i vissa fall. register för fingeravtryck och fotografier Som framgår av avsnitt 6.4.5 är utgångspunkten att utlänningsdata- lagen ska vara teknikneutral och att lagen ska reglera all helt eller delvis automatiserad behandling av personuppgifter och uppgifter i register. När det gäller behandling av automatiserade upp- gifter är målsättningen således att undvika särreglering av vissa per- sonuppgiftssamlingar eller viss typ av personuppgiftsbehandling. Som anförts kan det trots denna utgångspunkt i vissa fall finnas skäl att införa särbestämmelser för vissa personuppgiftssamlingar. I förarbetena till polisdatalagen konstateras att det kan finnas viss behandling av personuppgifter som av olika skäl inte bör inord- nas under de generella bestämmelserna och att det är nödvändigt att i några fall ha särskilda bestämmelser om vissa register (se prop. 2009/10:85 s. 229). Detta gäller enligt propositionen dels register över DNA-profiler, dels fingeravtrycks- eller signalementsregister. Detsamma bör enligt propositionen gälla för behandling av uppgifter om misstänkt penningtvätt och misstänkt finansiering av terrorism i penningtvättsregister. Vidare finns det enligt propositionen skäl att särreglera viss behandling av uppgifter i det internationella polis- samarbetet. Vidare bör det allmänna spaningsregistret enligt proposi- tionen regleras för sig i en särskild lag. Skälen till särreglering varierar. När det gäller fingeravtrycks- och signalementsregistret motiveras En ny lag om behandling av personuppgifter… särregleringen av att det rör sig om ett speciellt slag av uppgifter som kräver teknisk lösning för att kunna behandlas. Enligt utredningens bedömning finns det skäl som talar för att fingeravtrycksregister och fotografiregister bör särregleras även i den nya lagen. Som framgår ovan registreras de fingeravtryck som samlas in av i B-filen i det . har personuppgiftsansvaret för den behandling av personuppgifter som utförs i B-filen, men det är som handhar, förvaltar och underhåller registret genom en överens- kommelse med . Det nationella fingeravtrycks- registret, dvs. både A- och B-filen, är placerat i och har ingen möjlighet att utan biträde från komma åt uppgifterna i B-filen. Migrations- verket har inte någon möjlighet att kontrollera vilka uppgifter som tillförs, raderas eller används i registret. Uppgifterna i Migrations- verkets register över fingeravtryck är alltså avskilda från Migrations- verkets ärendehanteringssystem och andra datasystem hos verket. Vidare är fingeravtrycksregistret utformat som ett traditionellt re- gister. Endast vissa i förordningen specificerade uppgifter får föras in i registret och uppgifterna får endast användas för ett avgränsat ändamål. Slutligen gör sig det argument som anförs för särbehand- ling av polisens fingeravtrycks- och signalementsregister gällande även när det gäller fingeravtrycksregister. Finger- avtryck utgör ett speciellt slag av uppgifter som kräver teknisk lös- ning för att kunna behandlas. Sammanfattningsvis bedömer utredningen att övervägande skäl talar för att fingeravtrycksregister bör särregle- ras i den utlänningsdatalag som utredningen föreslår. Utredningen gör även motsvarande bedömning av fotografi- register, även om detta förs av verket i CUD. Tillräckliga skäl att införa en teknikoberoende benäm- ning, till exempel biometri, i stället för fingeravtryck saknas. De särskilda bestämmelserna som gäller för register över fingeravtryck och fotografier enligt nuvarande utlän- ningsdataförordningen bör alltjämt gälla även i den reglering som utredningen föreslår. I utredningens förslag till utlänningsdatalag bör det alltså anges för vilka ändamål personuppgifter får behandlas i register över fingeravtryck och fotografier. En ny lag om behandling av personuppgifter… framgår nedan anser utredningen dock att dessa bör kompletteras bland annat rörande önskan att få jämföra foto- grafier vid registrering av inkomna fotografier. Vidare behövs det enligt utredningen inte längre någon föreskrift motsvarande den i nuvarande utlänningsdataförordning att uppgifter ur registren över fingeravtryck och fotografier får lämnas ut på medium för auto- matisk databehandling endast om det följer av lag eller förordning, se avsnitt 7.14.2. Regeringen bör ges möjlighet att meddela närmare föreskrifter om vilka uppgifter som får behandlas och om gallring. Den omständigheten att får föra ett fingerav- trycksregister och att är personuppgiftsbiträde åt verket innebär att utlämnandet av fingeravtrycksuppgifterna till för registrering i B-filen är en tillåten behandling. De uppgifter som lämnar ut torde normalt vara sekretessbelagda hos verket enligt i vart fall 37 kap. 1 § OSL. För att uppgifterna ska få lämnas till för registrering måste därför något undantag från huvudregeln om sekretess mellan myndigheter finnas. Enligt utredningen bör ett sådant undantag före- skrivas som en skyldighet för att lämna uppgifterna till , se 10 kap. 28 § OSL. Den sekretessbrytande bestämmelsen kan lämpligen tas in i en ny paragraf i utlänningslagen. Utredningen vill avslutningsvis ta upp en fråga som visserligen ligger utanför direktiven men som enligt utredningen bör uppmärk- sammas i fortsättningen. Den organisatoriska konstruktionen med att låta handha, förvalta och underhålla Migra- tionsverkets fingeravtrycksregister utan att har någon tillgång till sitt eget register väcker en del frågor. Migrations- verket torde i praktiken inte kunna ha någon insyn i vilka uppgifter som tillförs, raderas eller används i registret. Man kan då fråga sig om det över huvud taget är möjligt för att kon- trollera att följer givna instruktioner från verket och att genomför de säkerhetsåtgärder som måste vidtas (30 § andra stycket och 31 § andra stycket PUL). En annan fråga som den organisatoriska konstruktionen reser är hur fram- ställningar hos enligt tryckfrihetsförordningen om utbekommande av uppgifter ur registret hanteras av verket. Register- uppgifterna torde knappast utgöra allmänna handlingar hos , eftersom de inte kan anses förvarade hos verket. Man kan enligt utredningen inte heller påstå att En ny lag om behandling av personuppgifter… förvarar uppgifterna endast som ett led i teknisk bearbetning eller teknisk lagring enligt 2 kap. 6 § tredje stycket och 10 § första stycket TF med tanke på det sätt som disponerar över uppgifterna. Här kan också tilläggas den ovan beskrivna problema- tiken med avtal mellan statliga myndigheter om personuppgifts- biträde, se SOU 2015:39 s. 359 f. Sannolikt är det tekniska skäl som har föranlett den organisatoriska lösningen, men de rättsliga kon- sekvenserna av den bör enligt utredningen övervägas närmare. Särskilt om önskade jämförelser av fotografier får, som ovan nämnts, regelbundet in allmänna handlingar med fotografier i olika sammanhang, vilka verket har en skyldighet att registrera enligt offentlighets- och sekretesslagen. I många fall behöver lägga ner ett omfattande arbete för att handlingarna med hjälp av tillgänglig alfanumeriska data ska kunna registreras och kopplas till en fysisk person som redan är registrerad hos verket. I andra fall kan någon sådan koppling inte göras. För att öka effektiviteten vid registreringen av aktuella hand- lingar har , som tidigare nämnts, i testmiljö tagit fram ett fotojämförelseprogram som ett komplement till de alfanume- riska sökningarna. Om ett fotografi endast registreras i allmänna diarium utan någon närmare information om vem fotografiet före- ställer, är det enligt utredningens bedömning tveksamt om fotografiet över huvud taget kan få någon praktisk betydelse i Migrations- verkets verksamhet. Utredningen delar således verkets uppfattning om att det är viktigt att inkomna fotografier om möjligt kan regi- streras och hänföras till en dossier som eventuellt redan finns beträffande den person som fotografiet avser. Ju fler inkomna all- männa handlingar med fotografier som kan hänföras till en befintlig dossier desto effektivare torde identitetsarbetet bli, vilket i sin tur kan leda till en förkortad asylprocess i vissa fall. Utredningen delar därför ståndpunkt att en ”korrekt” registrering av inkomna fotografier skulle kunna innebära effektivitetsvinster för verket. En ny lag om behandling av personuppgifter… testverksamhet visar enligt utredningen att fotojämförelserna har förhållandevis hög träffsäkerhet. Fotojäm- förelser kan därmed utgöra ett komplement till andra undersök- ningar när det gäller att knyta en identitet till ett ingivet fotografi. Goda skäl talar därför enligt utredningen för att bör få kunna jämföra ingivna fotografier med verkets register över fotografier om osäkerhet råder om identiteten på den person som finns på fotografiet. Sådana jämförelser kan inte utföra enligt dagens reglering. Frågan är då om det skulle kunna innebära några integritetsrisker för den enskilde om verket tillåts att jämföra inkomna fotografier mot verkets fotografiregister. Det är enligt utredningen svårt att se att jämförelserna skulle kunna innebära några kränkningar för den enskilde. I själva verket bör en säkrare identitetsanalys av inkomna fotografier gynna enskildas integritet, genom att risken för oklarheter och missförstånd om enskildas identitet minskar. Sammanfattningsvis menar utredningen att bör ges möjlighet att göra fotojämförelser av aktuellt slag, om det är oklart vilken identitet som en person på ett till verket ingivet fotografi har. Ett sådant ändamål bör därför finnas i den nya lagen. 7.11Personuppgifter som får behandlas 7.11.1Allmänt om tillåten behandling av personuppgifter Vissa registerförfattningar har en eller flera bestämmelser om inne- håll, dvs. en specifikation av vilka kategorier av uppgifter som får behandlas. I 4 § nuvarande utlänningsdataförordning anges vilka uppgifter som får behandlas i ett verksamhetsregister, exempelvis namn, personnummer, kön och vårdnadshavare. Denna teknik har ofta ansetts ha fördelar från integritetssynpunkt, eftersom det tydligt framgår vilka uppgifter som får behandlas. I en verksamhet där be- handlingen är mycket omfattande och varierande kan en sådan regle- ring dock vara begränsande. I många registerlagar från senare år har lagstiftaren därför valt att inte specificera vilka personuppgifter som får eller inte får behandlas i en viss verksamhet. I stället får ändamålsbestämmelserna styra vilka uppgifter som får behandlas. De personuppgifter som är nödvändiga för de ändamål för vilken En ny lag om behandling av personuppgifter… behandlingen utförs får behandlas. Så är exempelvis fallet i polis- datalagen och kustbevakningsdatalagen. Utredningens förslag: Alla personuppgifter som är nödvändiga för det ändamål för vilken behandlingen utförs får behandlas. Känsliga personuppgifter som anges i 13 § PUL får dock enbart behandlas i begränsad omfattning, se avsnitt 7.11.4. En fråga som utredningen har att ta ställning till är om det i den kommande utlänningsdatalagstiftningen bör specificeras vilka person- uppgifter som ska få behandlas för de i lagen angivna ändamålen eller om lagens ändamålsbestämmelser i stället bör styra vilka upp- gifter som får behandlas. Från ett integritetsskyddsperspektiv kan det, som ovan nämnts, vara en fördel med en reglering som specificerar de personuppgifter som får behandlas. En innehållsreglering kan fungera särskilt väl när det rör sig om personuppgiftsbehandling av ett register i tradi- tionell mening, dvs. att uppgifter förs in i en uppgiftssamling på ett systematiskt sätt enligt särskilda kriterier och att de är sökbara med särskilda sökord, koder eller liknande. Sådan reglering finns till exempel när det gäller fingeravtrycks- och signale- mentsregister, se 4 kap. 13 § PDL. Den ärendehantering som sker hos är emellertid inte anpassad till register. Verket tillämpar ett dossiersystem, där all information om en person samlas i en dossier. Alla elektroniska dokument som hör till en person skrivs ut och läggs i dossiern. har för avsikt att övergå till elektroniska personakter, men än så länge sker ingen systematisk registrering av de uppgifter som kommer in om den enskilde på elektronisk väg. Den behandling av personuppgifter som sker i verksamhet enligt utlännings- och medborgarskapslagstiftningen är även omfattande och mångsidig. Det talar också för att en reglering med hänvisning endast till ändamålsbestämmelserna är att föredra. Att specificera exakt vilken kategori av uppgifter som ska få behandlas kan bli komplicerat, särskilt i en sådan reglering som utredningen förordar som ska omfatta all helt eller delvis automatiserad behandling (dvs. En ny lag om behandling av personuppgifter… SOU 2015:73 inte bara personuppgiftsbehandling i särskilda register). En regle- ring som specificerar vilka uppgifter som får behandlas torde också vara svår att tillämpa och det finns risk för att bestämmelserna behöver ändras ofta. Ett argument som kan framföras för en bestämmelse som specificerar vilka personuppgifter som får behandlas är att myndig- heternas behandling av personuppgifter annars kan komma att bli alltför vidlyftig. Myndigheternas behandling kommer dock att styras och även begränsas av både de särskilda ändamålen som anges i lagen och de grundläggande kraven på personuppgiftsbe- handling som följer av 9 § PUL, se avsnitt 7.9 och 7.7.3. Av den senare bestämmelsen följer bland annat att endast sådana uppgifter som är adekvata och relevanta i förhållande till ändamålet får behandlas. Därutöver gäller även till exempel 30 och 31 §§ samt 32 § första stycket PUL om säkerheten vid behandling, se avsnitt 7.7.7. I sammanhanget bör också beaktas att integritets- känsliga uppgifter i verksamheten skyddas av sekretess, som begränsar möjligheten till insyn och spridning. Utredningen bedömer således sammanfattningsvis att utlännings- datalagen inte bör innehålla bestämmelser som specificerar vilka personuppgifter som får eller inte får behandlas i verksamhet enligt utlännings- och medborgarskapslagstiftningen. I stället bör som ovan nämnts ändamålsbestämmelserna och de grundläggande bestämmel- serna i 9 § PUL som huvudregel styra vilka uppgifter som får be- handlas. För vissa typer av personuppgifter anser utredningen dock att det finns skäl att införa särskilda begränsande bestämmelser. Det gäller för personuppgifter som direkt pekar ut den registrerade vid behandling för ändamålet återsökning av avgöranden i vissa fall, se avsnitten 7.11.4 och 7.13.2. Vad gäller behandling av uppgifter om personnummer och sam- ordningsnummer hänvisas till 22 § PUL, se avsnitt 7.7.4. I sammanhanget bör även noteras att utredningen föreslår sär- bestämmelser för fingeravtrycks- och fotografi- register, som ska gälla utöver de allmänna bestämmelserna i den föreslagna lagen, se avsnitt 7.10. En ny lag om behandling av personuppgifter… 7.11.3Särskilt om känsliga personuppgifter Det är enligt 13 § PUL som huvudregel förbjudet att behandla käns- liga personuppgifter. Med känsliga personuppgifter avses uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa eller sexualliv. Det finns dock ett antal undantag från förbudet, se 14−20 §§ PUL. Det följer vidare av artikel 8.4 i dataskyddsdirektivet att med- lemsstaterna, under förutsättning att lämpliga skyddsåtgärder vidtas, av hänsyn till ett viktigt allmänt intresse kan besluta om andra undan- tag, antingen i sin nationella lagstiftning eller genom ett beslut av tillsynsmyndigheten. I svensk rätt har en sådan möjlighet införts i 20 § PUL. Enligt den bestämmelsen får regeringen, eller den myn- dighet som regeringen bestämmer, meddela föreskrifter om ytterligare undantag från förbudet att behandla känsliga personuppgifter, om det behövs med hänsyn till ett viktigt allmänt intresse.