sou · H3B373 · 2015-08-03 00:00:00 — Regleringen om tagande av fingeravtryck finns som sagt numera i 9 kap. 8 c § UtlL. Av 9 kap. 1 § UtlL följer att ansvarar för kontrollen enligt kodexen om Schengengränserna samt att och är skyldiga att hjälpa Polismyn- digheten vid kontrollen. får efter överenskommelse med hjälpa till vid kontrollen. ska medverka i kontrollverksamhet genom att utöva kontroll av sjötrafiken. Fingeravtryckskontrollerna sker dels vid yttre gräns där verifie- ring sker att den person som lämnar fingeravtrycken är den som sökt aktuell visering, dels vid en fördjupad inresekontroll eller inre utlänningskontroll där identifiering sker av den kontrollerade per- sonens fingeravtryck. I praktiken är det vanligtvis som ensam utför fingeravtryckskontrollerna, dock med undantag för de kontroller (endast verifiering) som sker till sjöss. Dessa utförs av Kustbevak- ningen. Det är alltså sällan som i praktiken tar hjälp av i andra fall än vad nu nämnts eller av och på sätt som 9 kap. 1 § UtlL möjliggör. Vid fingeravtryckskontrollerna använder särskil- da fingeravtrycksläsare som automatiskt tar fingeravtryck, kontrol- lerar dem och sedan raderar dem. De fingeravtryck och biometriska data som tas fram i samband med kontrollerna förstörs alltså automa- tiskt efter genomförda kontroller. Skadeståndsskyldighet efter kontroller av Schengenviseringar in motsvarande fingeravtrycksläsare som har köpt, medan och inte har några egna fingeravtrycksläsare för detta ändamål. har dock egna fingeravtrycksläsare som skulle kunna byggas om för detta ändamål om behov uppkommer. Myndigheterna använder alltså inte någon gemensam utrustning för fingeravtryckskontroller enligt 9 kap. 8 § UtlL. När det gäller frågan om skadestånd för det fall uppgifter skulle behandlas i strid med den föreslagna bestämmelsen om förstörings- skyldighet uttalades i propositionen att det är tveksamt om person- uppgiftslagen är tillämplig, eftersom skadeståndsbestämmelsen i den lagen är formulerad på ett sådant sätt att den endast gäller vid behand- ling av personuppgifter i strid med bestämmelserna i personupp- giftslagen (se prop. 2014/15:32 s. 27). Vidare uttalades att det då i stället återstår att falla tillbaka på de allmänna bestämmelserna om skadestånd i skadeståndslagen (1972:207). 11.2.2Skadeståndsskyldighet vid olaglig personuppgiftsbehandling Om det förekommit en olaglig behandling av personuppgifter be- träffande en enskild och denna behandling kränkt honom eller henne, kan ersättningsskyldighet uppkomma. I skadeståndslagen finns allmänna bestämmelser om skadestånd som kan bli tillämpliga i sådana fall, men det finns även specialbestämmelser om skadestånd i 48 § PUL och i olika registerförfattningar, se exempelvis 2 kap. 2 § polisdatalagen (2010:361, PDL), 15 § förordningen (2001:720) om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen (utlänningsdataförordningen) och 2 kap. 2 § kustbevakningsdatalagen (2012:145). Sistnämnda bestäm- melser hänvisar dock till skadeståndsbestämmelsen i personuppgifts- lagen. Enligt 48 § PUL är den personuppgiftsansvarige skyldig att ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med lagen har orsakat. Ersättningsskyldigheten kan dock jämkas, om det är skäligt och om den personuppgiftsansvarige visar att felet inte be- rodde på honom eller henne. Specialbestämmelserna om skadestånd har företräde framför bestämmelserna i skadeståndslagen. I den utsträckning en ersätt- Skadeståndsskyldighet efter kontroller av Schengenviseringar ningsfråga inte berörs i specialbestämmelserna tillämpas de allmänna reglerna i skadeståndslagen (se prop. 1997/98:44 s. 143 f.). Exempel på sådana frågor kan vara frågor om hur ersättningen för en per- sonskada eller sakskada ska beräknas (se 5 kap. skadeståndslagen) och om ansvaret när det finns flera skadeståndsskyldiga (se 6 kap. 3 § skadeståndslagen). I den utsträckning en olaglig behandling ingår som ett led i ett sådant brott som avses i 2 kap. 3 § skadeståndslagen, kan ideellt skade- stånd för lidande respektive ersättning för kränkning utgå enligt både skadeståndslagen och specialbestämmelser om skadestånd. En- bart den omständigheten att flera bestämmelser kan vara tillämpliga innebär dock inte att kränkningen ersätts med ett högre belopp. En olaglig personuppgiftsbehandling kan i vissa fall utgöra en kränkning av bestämmelser i konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (Europa- konventionen). Staten kan även då ha en skyldighet att utge skade- stånd på grund av överträdelsen av konventionen. Vid personuppgiftsbehandling är det alltid den personuppgifts- ansvarige som är ytterst ansvarig för behandlingen gentemot den registrerade. Det är även den personuppgiftsansvarige som kan bli skadeståndsskyldig vid en olaglig behandling av personuppgifter. Normalt är den personuppgiftsansvarige den juridiska person eller den myndighet som behandlar personuppgifter i sin verksamhet och som bestämmer vilka uppgifter som ska behandlas och vad upp- gifterna ska användas till (se SOU 1997:39 s. 333 f.). I fråga om myndigheter regleras ofta vem som är personuppgiftsansvarig i olika registerförfattningar, se exempelvis 2 kap. 4 § PDL, 2 § utlännings- dataförordningen och 2 kap. 4 § kustbevakningsdatalagen. Utredningens förslag: Bestämmelserna i 9 kap. 8 c § UtlL ska kompletteras med en regel om att det är den myndighet som har utfört aktuella fingeravtryckskontroller som är ansvarig för att fingeravtrycken och biometriska data förstörs på föreskrivet sätt och att skadestånd kan utgå om förstöringsskyldigheten försum- mas. Skadeståndsskyldighet efter kontroller av Schengenviseringar Ny lagstiftning har alltså införts som innebär att en utlänning är skyldig att låta vissa angivna myndighetspersoner ta hans eller hennes fingeravtryck för kontroll av identiteten och av en Schengenviserings äkthet (9 kap. 8 c § UtlL). Av regleringen följer också att de finger- avtryck och de biometriska data som tagits fram vid kontrollen ska förstöras när en kontroll har genomförts. Någon lagring av kontrollunderlaget får alltså inte ske. De fingeravtrycksläsare som används för att ta aktuella fingeravtryck är konstruerade på så sätt att de fingeravtryck och bio- metriska data som tagits fram i samband med kontrollen automa- tiskt förstörs efter genomförd kontroll. Den använda tekniken inne- bär alltså att fingeravtryck och biometriska data i praktiken inte ska kunna lagras. Det kan dock enligt utredningen inte helt uteslutas att tekniken kan fallera eller att någon fingeravtrycksläsare används som inte är utrustad med en automatisk förstöringsfunktion. Upp- gifterna kan då finnas kvar efter kontroll. I sådana fall bör det – i likhet med vad som vanligtvis gäller i andra fall när olaglig behand- ling av den registrerades uppgifter förekommit – finnas en rätt för den enskilde till skadestånd för den skada och kränkning som upp- står. Denna rätt till skadestånd kommer kanske sällan att aktualiseras, eftersom den som lämnat fingeravtryck ofta inte torde känna till om fingeravtrycken och biometriska data finns kvar efter kontrollen. En rätt till skadestånd bör enligt utredningen ändå finnas. Frågan är då vilka möjligheter en enskild har till skadestånd, om inte fingeravtryck och de biometriska data som tagits fram i sam- band med kontrollen förstörs. 11.3.2Behovet av särskilda bestämmelser om skadestånd m.m. Regleringen i 9 kap. 8 c § UtlL innebär att , Tull- verket, och åläggs en viss person- uppgiftsbehandling, bland annat genom skyldigheten att förstöra tagna fingeravtryck och biometriska data som tagits fram i samband med fingeravtryckskontroller. Skadeståndsskyldighet efter kontroller av Schengenviseringar Om fingeravtrycken eller de biometriska data inte förstörs som föreskrivs, anser utredningen att en utgångspunkt bör vara att den enskilde ska ha rätt till skäligt skadestånd. Denna rätt till skade- stånd bör motsvara den rätt som en registrerad har vid brott mot personuppgiftslagen enligt 48 § PUL. Någon rätt till skadestånd för ideell skada enligt skadeståndslagen torde nämligen normalt inte före- ligga, eftersom en sådan rätt förutsätter att ett integritetskränkande brott begåtts. Utredningen anser således att det är rimligt att en enskild bör ha samma möjligheter att få skadestånd om någon förstöring inte sker enligt 9 kap. 8 c § UtlL som när någon enskild utsätts för en olaglig behandling enligt personuppgiftslagen. Av intresse är därför om de bestämmelser om personuppgiftsbehandling för berörda myndig- heter som finns ger enskilda denna möjlighet till skadestånd om förstöringsskyldigheten enligt 9 kap. 8 c § UtlL inte iakttas. De myndigheter som medverkar i kontrollerna enligt 9 kap. 8 c § UtlL är alltså , , och . Regler om personuppgiftsbehandling för dessa myndigheter finns i olika författningar. Den verksamhet som myn- digheterna är ålagda att utföra enligt 9 kap. 8 c § UtlL avser utlän- ningskontroll utan samband med brottsbekämpning. Det innebär att varken polisdatalagen eller lagen (2005:787) om behandling av personuppgifter i brottsbekämpande verksamhet är tillämpliga på den personuppgiftsbehandling som föreskrivs i 9 kap. 8 c § UtlL. Inte heller lär nuvarande utlänningsdataförordning vara tillämplig, eftersom personuppgiftsbehandlingen inte utförs i något verksamhetsregister (se 3 § utlänningsdataförordningen). Andra för- fattningar som reglerar här aktuella myndigheters personuppgifts- behandling torde dock i och för sig kunna vara tillämpliga på per- sonuppgiftsbehandlingen. Ett exempel är kustbevakningsdatalagen som reglerar personuppgiftsbehandling hos . I denna lag finns en hänvisning till 48 § PUL. Hänvisningen till 48 § PUL innebär dock att den personuppgiftsansvarige ska ersätta den registrerade bara för sådan skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med kust- bevakningsdatalagen och föreskrifter som har meddelats i anslut- ning till den lagen (se 2 kap. 2 § kustbevakningsdatalagen). Om förstöringsskyldigheten enligt 9 kap. 8 c § UtlL försummas, torde alltså något skadestånd inte kunna utgå med stöd av kustbevak- Skadeståndsskyldighet efter kontroller av Schengenviseringar ningsdatalagen och 48 § PUL. Motsvarande gäller i den utsträckning som personuppgiftslagen skulle vara tillämplig på här aktuell be- handling. Skadestånd enligt personuppgiftslagen kan nämligen bara utgå vid behandling av personuppgifter i strid med bestämmelserna i personuppgiftslagen. Det sagda innebär att det fordras någon författningsreglering om den enskilde ska kunna få skadestånd enligt 48 § PUL i de fall då fingeravtryck och biometriska data inte förstörs i enlighet med 9 kap. 8 c § UtlL. Det finns då enligt utredningen i huvudsak två alternativ att välja mellan. Det ena alternativet är att göra ändringar i tillämpliga författningar som reglerar aktuella myndigheters personuppgifts- behandling samt att utforma den nya utlänningsdatalagen på sådant sätt att skadestånd kan utgå enligt 48 § PUL om förstöringsskyl- digheten inte iakttas. Det andra alternativet är att i 9 kap. 8 c § UtlL föra in en bestämmelse om att 48 § PUL gäller på motsvarande sätt, om inte fingeravtryck och biometriska data förstörs som föreskrivs i 9 kap. 8 c § UtlL. För det första alternativet talar att regler som rör personupp- giftsbehandling i första hand bör finnas i författningar som reglerar myndigheters personuppgiftsbehandling inte i verksamhetsregle- rande författningar, dock förutsatt att det finns någon lämplig för- fattning. Fördelen med det andra alternativet är att en reglering i 9 kap. 8 c § UtlL blir tydligare. Både för tillämparna och de enskilda som berörs är detta en klar fördel. Utredningen förordar bland annat mot denna bakgrund det sistnämnda alternativet. En särskild fråga är om alla berörda myndigheter bör kunna bli skadeståndsskyldiga vid försummad förstöring eller om detta ansvar bör läggas bara på en myndighet. Det vore exempelvis tänkbart att låta ha detta ansvar ensam. har nämligen enligt 9 kap. 1 § UtlL ålagts huvudansvaret för aktuella kontroller och synes även i prak- tiken vara den myndighet som genomför kontrollerna (dock med undantag för kontrollerna till sjöss). En ordning med bara en ansvarig i detta avseende borde även medföra att oklarheter i ett visst fall om vem som är skadeståndsskyldig kan undvikas. Sådana oklarheter kan kanske uppstå om flera myndigheter biträder vid kontrollerna. Skadeståndsskyldighet efter kontroller av Schengenviseringar Utredningen anser dock att övervägande skäl talar för att det bör vara den myndighet som har utfört kontrollen som ska vara an- svarig för att uppgifterna förstörs. En sådan reglering utgår från de faktiska förhållandena om vilken myndighet som utfört eller under- låtit viss behandling. Regleringen innebär alltså att ingen myndighet åläggs ansvar för en annan myndighets verksamhet. En sådan ord- ning synes vara den normala utgångspunkten vid reglering av personuppgiftsansvar, se SOU 2015:39 s. 331. Både regleringen i den nuvarande utlänningsdataförordningen och de nya författningarna som utredningen föreslår på området utgår även från denna princip. En ny regel bör således enligt utredningen föras in i 9 kap. 8 c § UtlL. I den bör föreskrivas att 48 § PUL gäller på motsvarande sätt, om den myndighet som har utfört kontrollen av fingeravtryck inte förstör fingeravtrycken och biometriska data som föreskrivs i 9 kap. 8 c § UtlL. Enligt utredningens direktiv ska utredningen bedöma de kostnader och konsekvenser som utredningens förslag kan komma att med- föra. Om utredningens förslag förväntas leda till kostnadsökningar för det allmänna, ska utredningen föreslå hur dessa ska finansieras. För utredningen gäller härutöver bestämmelserna i kommittéför- ordningen (1998:1474), där 14–15 a §§ är av särskilt intresse. Om förslagen i ett betänkande påverkar kostnaderna eller intäk- terna för staten, kommuner, landsting, företag eller andra enskilda, ska enligt 14 § kommittéförordningen en beräkning av dessa kon- sekvenser redovisas i betänkandet. Om förslagen innebär samhälls- ekonomiska konsekvenser i övrigt, ska dessa redovisas. När det gäller kostnadsökningar och intäktsminskningar för staten, kommuner eller landsting, ska kommittén föreslå en finansiering. Om förslagen i ett betänkande har betydelse för den kommunala självstyrelsen, ska enligt 15 § kommittéförordningen konsekvenserna i det avseendet anges i betänkandet. Detsamma gäller när ett förslag har betydelse för brottsligheten och det brottsförebyggande arbetet, för sysselsättning och offentlig service i olika delar av landet, för små företags arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt i förhållande till större företags, för jämställdheten mellan kvinnor och män eller för möjligheterna att nå de integrationspoli- tiska målen. Om ett betänkande innehåller förslag till nya eller ändrade regler, ska enligt 15 a § kommittéförordningen förslagens kostnadsmässiga och andra konsekvenser anges i betänkandet. Konsekvenserna ska anges på ett sätt som motsvarar de krav på innehållet i konsekvens- utredningar som finns i 6 och 7 §§ förordningen (2007:1244) om konsekvensutredning vid regelgivning. I avsnitten nedan redogör utredningen för sin bedömning av de konsekvenser i dessa avseenden som utredningens förslag kan antas medföra. Utredningens bedömning: Genom förslagen till en utlännings- datalag och en anslutande förordning skapas förutsättningar för , , Säkerhetspolisen och ut- landsmyndigheterna att bedriva sin verksamhet enligt utlännings- och medborgarskapslagstiftningen effektivt och med moderna och ändamålsenliga it-system. har regleringen anpassats till behovet av ett integritetsskydd för de risker som är förknippade med sådan personuppgiftsbehandling. Förslagen innebär en flexibel reglering som ger aktuella myndigheter möjlighet att fortlöpan- de utveckla och anpassa sina system för automatiserad behand- ling utan att det krävs ändringar i regelverket. På kortare sikt kan vissa utbildnings- och omställningskostnader uppstå för aktuella myndigheter. Sådana kostnader bör dock rymmas inom ordinarie anslag. Förslaget att bör medges direktåtkomst till vissa personuppgifter i beskattningsdatabas, utsöknings- och indrivningsdatabas och För- säkringskassans och socialförsäkringsdata- bas medför också initialt något ökade kostnader för berörda myndigheter; även dessa bör dock rymmas inom befintliga an- slagsramar. bör förslagen att leda till ekonomiska bespar- ingar. Några sådana ekonomiska kostnadsökningar eller övriga konsekvenser som avses i 14–15 a §§ kommittéförordningen (1998:1474) finns inte. 12.2.1Förslaget till utlänningsdatalag m.m. Utredningen har utarbetat ett förslag till en lag om behandling av personuppgifter i verksamhet enligt utlännings- och medborgar- skapslagstiftningen (utlänningsdatalagen) och en anslutande förord- ning (utlänningsdataförordningen) som föreslås ersätta den nu gällan- de förordningen (2001:720) om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Syftet med författningsförslagen är att införa en modern, ända- målsenlig och teknikoberoende lag för , Polis- myndighetens, Säkerhetspolisens och utlandsmyndigheternas per- sonuppgiftsbehandling för att myndigheternas verksamhet enligt utlännings- och medborgarlagstiftningen ska kunna bedrivas så effek- tivt som möjligt. Härvid har behovet av skydd mot de risker som personuppgiftsbehandlingen kan medföra för att enskildas person- liga integritet kränks beaktats. Bestämmelserna om den personliga integriteten i 2 kap. 6 § andra stycket regeringsformen (RF) innebär att utredningen ansett det nödvändigt att reglera de grundläggande bestämmelserna som rör skyddet mot intrång i den personliga integriteten i lag. Komplette- rande bestämmelser har dock tagits in i författningar på lägre nivå. Utlänningsdatalagen föreslås alltså vara tillämplig vid behandlingen av personuppgifter som utförs av , Polismyndig- heten, Säkerhetspolisen och utlandsmyndigheterna. Regleringen berör dock även vissa andra myndigheter, nämligen , Försäk- ringskassan och , som alltjämt föreslås ha direktåtkomst till vissa personuppgifter hos . Utredningen gör bedömningen att författningsförslagen inte kom- mer att innebära några större merkostnader för , , Säkerhetspolisen och utlandsmyndigheterna. De befintliga it-systemen kan enligt utredningens bedömning behållas. Eftersom förslagen är teknikoberoende kan även it-systemen ut- vecklas och ändras utan att lagstiftningen behöver ändras. De krav som regleringen ställer bör dock kunna uppfyllas genom en anpass- ning av de befintliga systemen och genom utbildning, information och instruktioner till personalen. Även förslaget om krav på avskiljan- de, som kan antas medföra vissa merkostnader för , borde enligt utredningens bedömning inte vara mer omfattande än att det får anses utgöra en del av det ordinarie utvecklingsarbetet. Mot denna bakgrund gör utredningen bedömningen att förslagen inte medför några förändringar i förutsättningarna för myndigheter- nas verksamhet som får sådana kostnadsmässiga konsekvenser som avses i 14 § kommittéförordningen och som inte ryms inom myn- digheternas ordinarie budgetramar. Inte heller har förslagen några sådana konsekvenser som avses i 15 § eller som ska redovisas enligt 15 a § kommittéförordningen. Några särskilda åtgärder behöver inte vidtas inför ikraftträdande och det finns inte heller några behov av speciella informationsinsatser. Utredningens förslag innebär att får registrera iden- titetsuppgifter, speciell kompetens och avvikelser rörande andra offentliga biträden än advokater och biträdande jurister, tolkar, översättare och språkanalytiker. Med avvikelser avses i huvudsak uppgifter om misskötsamhet, oskicklighet och inkompetens men även uppgifter om att en uppdragstagare har begått brott eller försatts i konkurs. Sådana avvikelser kan innebära att en uppdragstagare är olämplig för uppdrag. Förslaget, som syftar till att stärka rättssäkerheten för enskilda i asylprocessen, bör inte leda till några nya kostnader. Ett effektivare informationsutbyte vid handläggning av uppehållstillstånd för arbete och arbetstillstånd Utredningen föreslår att bör medges direktåtkomst till vissa personuppgifter i beskattningsdatabas, utsöknings- och indrivningsdatabas och För- säkringskassans och socialförsäkringsdata- bas. inhämtar en del av uppgifterna, som verket nu föreslås få direktåtkomst till. Det är endast ovan- nämnda myndigheter som berörs av förslaget. Enligt utredningen bör den föreslagna direktåtkomsten leda till ett effektivare informationsutbyte och därmed också ett effektivare utnyttjande av de berörda myndigheternas resurser. Förslagen möjlig- gör en förbättrad kontroll vid handläggning av uppehållstillstånd för arbete och arbetstillstånd. bör förslagen leda till eko- nomiska besparingar för de berörda myndigheterna genom att den administrativa arbetsbördan minskar. På kortare sikt är det dock troligt att förslaget kan leda till ökade kostnader främst för att utveckla it-systemen för aktuell direkt- åtkomst och behandling av uppgifter, men även för support och förvaltning. Det är svårt att beräkna dessa kostnader närmare. Skäl att frångå den beräkning som gjorts i promemorian Åtgärder mot missbruk av reglerna för arbetskraftsinvandring (Ds 2013:57) saknas även om begränsade kostnader även torde uppkomma för Skatte- verket, och . Utredning- en bedömer dock att de ökade kostnaderna för myndigheterna inte blir större än att de kan finansieras inom deras befintliga anslags- ramar. rätt att ta del av uppgifter från fingeravtrycksregister Utredningen föreslår att bör ha rätt att ta del av uppgifter från fingeravtrycksregister (A-filen i det automatiserade fingeravtrycksidentifieringssystemet, AFIS) vid kontroller av fingeravtryck som tagits med stöd av 9 kap. 8 § utlän- ningslagen (2005:716, UtlL). Förutom den registrerade är det Polis- myndigheten och som berörs av förslaget. Mot bakgrund av att i praktiken tar del av aktuella fingeravtryck, bör förslaget inte leda till några ökade kost- nader. Skadeståndsskyldighet efter kontroller av Schengenviseringar Utredningen föreslår en klargörande regel om att det är den myn- dighet som har utfört fingeravtryckskontrollen enligt 9 kap. 8 c § UtlL som är ansvarig för att uppgifterna förstörs på föreskrivet sätt och att skadestånd kan utgå om förstöringsskyldigheten försummas. Förslaget berör, förutom den registrerade, i huvudsak endast Polis- myndigheten, , och . I praktiken torde rätten till skadestånd enligt utredningen sällan aktualiseras. Eventuella kostnader för berörda myndigheter torde därför enligt utredningen vara försumbara. Utredningen gör, som angetts ovan, bedömningen att inte heller förslagen som rör de särskilda frågorna som utredningen haft i upp- drag att analysera medför sådana kostnadsmässiga konsekvenser som avses i 14 § kommittéförordningen och som inte ryms inom myndigheternas ordinarie budgetramar. Inte heller har förslagen några sådana konsekvenser som avses i 15 § eller som ska redovisas enligt 15 a § kommittéförordningen. Några särskilda åtgärder behöver inte vidtas inför ikraftträdande och det finns inte heller några behov av speciella informationsinsatser. 1 § Syftet med denna lag är att ge , , Säkerhetspolisen och utlandsmyndigheterna möjlighet att behandla per- sonuppgifter på ett ändamålsenligt sätt i verksamhet enligt utlännings- och medborgarskapslagstiftningen och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. I paragrafen anges det övergripande syftet med lagen.