prop · H503254 · 2018-05-02 00:00:00 — Förbudet omfattar uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. Artikel 9.1 i förordningen omfattar nya kategorier av uppgifter jämfört med motsvarande bestämmelse dataskyddsdirektiv (artikel 8.1). Direktivets bestämmelse innefattar inte genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person eller uppgifter om en persons sexuella läggning. Artikel 8.1 i direktivet har genomförts i svensk rätt genom 13 § personuppgiftslagen, som är avsedd att ha samma innebörd som direktivets bestämmelse (prop. 1997/98:44 s. 124). Uppgifter om sexuell läggning har i svensk rätt ansetts ingå i begreppet sexualliv och införandet av det begreppet i förordningen innebär således inte någon egentlig utvidgning från svenskt perspektiv (prop. 2000/01:126 s. 31 och prop. 2007/08:95 s. 125–129). Tillägget av genetiska uppgifter och biometriska uppgifter för att entydigt identifiera en fysisk person utgör dock en utvidgning jämfört med den nuvarande ordningen. I rubriken till artikel 9 i dataskyddsförordningen anges att bestämmelsen avser behandling av särskilda kategorier av perso- nuppgifter. I skäl 10 och 51 omnämns dessa uppgifter i stället som känsliga respektive särskilt känsliga personuppgifter. I personuppgifts- lagen och andra författningar används benämningen känsliga person- uppgifter. Det begreppet är väl inarbetat, även på EU-nivå, och språkligt lättare att använda och förstå, inte minst i författningstext. Regeringen anser därför att begreppet känsliga personuppgifter bör användas som samlingsbenämning för sådana uppgifter som tillhör de särskilda kategorier av personuppgifter som anges i artikel 9 i dataskydds- förordningen (prop. 2017/18:105 s. 74 f.). Precis som dataskyddsdirektiv och personuppgiftslagen kompletteras förbudet i dataskyddsförordningen av ett antal undantag som gör det möjligt att behandla känsliga personuppgifter i vissa fall. Ett sådant undantag är om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse på grundval av unionsrätten eller medlems- staternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenlig med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades rättigheter och intressen (artikel ). Undantaget i artikel är visserligen direkt tillämpligt men det är möjligt för medlemsstaterna att införa mer specifika bestämmelser i nationell rätt. 2017/18:105 (s. 87) bedömer regeringen att det är ett viktigt allmänt intresse att myndigheternas ärendehandläggning kan ske på ett effektivt och rättssäkert sätt samt att ärendebegreppet i de allra flesta fall är förhållandevis tydligt och bör kunna användas som avgränsning. I propositionen föreslås bestämmelser om myndigheters behandling av känsliga personuppgifter som innebär att sådan behandling är tillåten (1) om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag, (2) om behandlingen är nödvändig för handläggningen av ett ärende, eller (3) i annat fall, om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet (3 kap. 3 § dataskyddslagen). Utlänningsdatalagens bestämmelser om känsliga personuppgifter är förenliga med dataskyddsförordningen Regeringen bedömer att den behandling av känsliga personuppgifter som möjliggörs genom utlänningsdatalagen är nödvändig av hänsyn till ett sådant viktigt allmänt intresse som avses i artikel i dataskydds- förordningen. I lagen finns särskilda bestämmelser som är ägnade att värna den enskildes personliga integritet, t.ex. ändamålsbegränsningar, behörighetsregler och regler om förbud mot att söka på bl.a. känsliga personuppgifter i databaser. Denna reglering uppfyller enligt regeringens mening dataskyddsförordningens krav på lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Det är alltså möjligt att behålla den nuvarande regleringen avseende känsliga personuppgifter i utlänningsdatalagen. Nuvarande reglering är särskilt utformad och anpassad till de aktuella myndigheternas verksamhet. Bestämmelserna om behandling av känsliga personuppgifter i utlänningsdatalagen bör därför behållas och utgöra en reglering som avviker från 3 kap. 3 § dataskyddslagen. Till skillnad från Datainspektionen anser regeringen att det inte behöver införas en hänvisning till artikel i dataskyddsförordningen i syfte att klargöra med vilket rättsligt stöd behandlingen av känsliga personuppgifter sker. Utlänningsdatalagens hänvisning till personuppgiftslagens bestäm- melse om känsliga personuppgifter, som kommer att upphävas, bör däremot ersättas med en hänvisning till artikel 9.1 i dataskyddsförord- ningen. Denna förändring innebär att även genetiska och biometriska uppgifter för att entydigt identifiera en fysisk person kommer att omfattas av reglerna om känsliga personuppgifter. Som nämns ovan bedöms dock sexuell läggning redan ingå i begreppet sexualliv. Biometriska uppgifter definieras i artikel 4.14 som personuppgifter som erhållits genom en särskild teknisk behandling som rör en fysisk persons fysiska, fysiologiska eller beteendemässiga kännetecken och som möjliggör eller bekräftar identifieringen av denna fysiska person. Som ett exempel anges ansiktsbilder. I skäl 51 i dataskyddsförordningen anges bl.a. att behandling av foton inte systematiskt bör anses utgöra behandling av känsliga personuppgifter, eftersom foton endast definieras som biometriska uppgifter när de behandlas med särskild teknik som möjliggör identifiering eller autentisering. dataskyddsdirektiv innehåller samma definition av begreppet biometriska uppgifter som dataskyddsförordningen. 2017/18:232 bedömer regeringen att fotografier och filmer som inte bearbetas tekniskt i syfte att åstadkomma identifiering faller utanför den definitionen. Om bilder däremot bearbetas i exempelvis ett ansiktsigenkänningsprogram så att det går att identifiera 2017/18:254 personer på bilderna omfattas de av definitionen (s. 86). Det saknas anledning att göra en annan bedömning av begreppet biometriska uppgifter i detta sammanhang. En ansiktsbild omfattas alltså av regleringen om känsliga personuppgifter endast om den behandlas med särskild teknik som möjliggör identifiering eller autentisering av en fysisk person. efterfrågar en analys av de aktuella myndigheternas behov av att behandla genetiska uppgifter. Som anges i promemorian är det svårt att förutse hur den tekniska utvecklingen kommer att förändra möjligheterna att behandla personuppgifter inom ramen för verksamhetssystemen. Regleringen i utlänningsdatalagen är tänkt att vara flexibel för att passa de olika myndigheterna och möjliggöra utveckling och effektivisering av deras verksamhet. Målsättningen är också att regelverket i så stor utsträckning som möjligt ska vara teknikneutralt. Regeringen bedömer därför att det inte framstår som ändamålsenligt att särreglera genetiska uppgifter i detta sammanhang. Beträffande synpunkterna från Datainspektionen och Förvaltningsrätten i bör det framhållas att bedömningen ovan – dvs. att regleringen avseende känsliga personuppgifter i utlänningsdatalagen är förenlig med dataskyddsförordningen – inkluderar samtliga kategorier av sådana personuppgifter som anges i dataskyddsförordningen. Det finns dock skäl att särskilt se över bestämmelserna om register över fingeravtryck och fotografier. Regeringen återkommer till detta nedan. har synpunkter på promemorians beskrivning av vad som kan anses utgöra en ansiktsbild som entydigt identifierar en person. Som anges ovan är det endast sådana ansiktsbilder som behandlas med särskild teknik som möjliggör identifiering eller autentisering av en fysisk person som omfattas av de särskilda bestämmelserna om känsliga personuppgifter. Särskilt om register över fingeravtryck och fotografier I begreppet biometriska uppgifter ingår bl.a. fingeravtryck och ansiktsbilder. Det finns därför skäl att särskilt se över bestämmelserna om register över fingeravtryck och fotografier. Av 14 § första stycket utlänningsdatalagen framgår att Migrations- verket får föra separata register över fingeravtryck och fotografier som tas med stöd av 9 kap. 8 § utlänningslagen. Enligt den bestämmelsen får eller fotografera en utlänning och, om utlänningen fyllt , ta hans eller hennes fingeravtryck om utlänningen inte kan styrka sin identitet när han eller hon kommer till , om utlänningen ansöker om uppehållstillstånd som flykting eller som annan skyddsbehövande eller om det finns grund att besluta om förvar. Av 14 § andra stycket utlänningsdatalagen följer att registrens uppgifter om fingeravtryck eller fotografier – med begränsning av de ändamål som annars gäller enligt 11 och 13 §§ – får användas endast i vissa särskilt utpekade verksamheter eller situationer. Dessa utgörs av prövning av vissa ansökningar om uppehållstillstånd, ärenden om avvisning eller utvisning, testverksamhet, för att kontrollera identiteten av en person på ett fotografi som kommit in till , eller för kontroll av fingeravtryck mot fingeravtrycks- och Av 2 § i förordningen framgår att register över fingeravtryck och fotografier endast får innehålla fingeravtryck och fotografier samt uppgifter om den registrerades namn, person- eller samordningsnummer, födelsetid, kön, medborgarskap eller annan I 3 § finns föreskrifter om gallring av uppgifter i registren över fingeravtryck och fotografier. Syftet med register över fingeravtryck och fotografier är att underlätta identifikation av de som söker Utredning av identitet är av betydelse för handläggning av ärenden både vad gäller prövning av asylskäl, fastställande av ansvarig medlemsstat enligt EU-förordningar och för att underlätta vid eventuell återresa eller svenskt medborgarskap. Fingeravtryckskontroller är en viktig del av det arbetet. använder sig även vid behov av automatiserade fotojämförelser som ett komplement till andra undersökningar när det gäller att knyta inkomna fotografier till en identitet. handläggningstiderna i asylprocessen kan kortas, identiteten på fler personer kan fastställas och arbetet med återresor kan effektiviseras. Skälet till den särreglering som gäller beträffande register över fingeravtryck och fotografier är de speciella rutiner som gäller för denna behandling och den konstruktion som valts för Vid tillkomsten av utlänningsdatalagen regeringen bl.a. på att register över fingeravtryck är avskilda från verkets ärendehanteringssystem och andra datasystem och att fingeravtryck är personuppgifter av ett speciellt slag eftersom de kräver användning av speciell teknik för att kunna behandlas. fotografier framhöll regeringen även att en säkrare identitetsanalys av inkomna fotografier gynnar enskildas integritet, genom att risken för oklarheter och missförstånd om enskildas identitet minskar (prop. 2015/16:65 s. 72 ff.). Det är av stor vikt för verksamhet att det finns möjlighet till en effektiv behandling av personuppgifter i form av fingeravtryck och fotografier. Gällande regler är anpassade för att möjliggöra ett effektivt användande av de aktuella registren och föregicks av noggranna överväganden avseende bl.a. integritetsskydds- Ansiktsbilder i register omfattas av regleringen om känsliga personuppgifter om de behandlas med särskild teknik som möjliggör identifiering och autentisering av en fysisk person. bedömer att den personuppgiftsbehandling som regleras i 14 § utlänningsdatalagen är nödvändig av hänsyn till ett viktigt allmänt intresse och att förutsättningarna även i övrigt för att tillämpa undantaget i artikel i dataskyddsförordningen är uppfyllda. inte några ändringar i 14 § utlänningsdatalagen med anledning av Det förhållandet att fingeravtryck och ansiktsbilder kommer att ingå i kategorin känsliga personuppgifter innebär däremot att det krävs redaktionella ändringar i utlänningsdatalagen. behandling av känsliga personuppgifter bör kompletteras med en upplysning om att känsliga personuppgifter även får behandlas med stöd 2017/18:254 av den bestämmelse som reglerar rätt att föra register över fingeravtryck och fotografier. Detta innebär att uppgifter i form av fingeravtryck och fotografier som förekommer i det registret alltjämt får användas enligt de nuvarande förutsättningarna. För att utlännings- datalagens bestämmelser om känsliga personuppgifter ska ha en logisk inbördes ordning bör även paragraferna byta plats med varandra. Det innebär att redaktionella ändringar även måste göras i 20 § som reglerar uppgiftsskyldighet gentemot andra myndigheter. Regeringens bedömning: Bestämmelsen i utlänningsdatalagen om tillgång till personuppgifter är förenlig med dataskyddsförordningen och kan behållas. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna: anser att bestämmelsen i 16 § utlänningsdatalagen bör utgå då den saknar självständig betydelse och innebär ett otillåtet införlivande av dataskyddsförordningen. I övrigt yttrar sig inte någon av remissinstanserna särskilt över bedömningen. Skälen för regeringens bedömning: Enligt 16 § utlänningsdatalagen ska tillgången till personuppgifter begränsas till det varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. Regeringen eller den myndighet som regeringen bestämmer kan meddela närmare föreskrifter om tillgången till personuppgifter. Enligt artikel 24.1 i dataskyddsförordningen ska den personuppgiftsansvarige, med beaktande av bl.a. behandlingens art, omfattning, ändamål och riskerna, genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med förordningen. Enligt artikel 25.2 ska den personuppgiftsansvarige också genomföra lämpliga tekniska och organisatoriska åtgärder för att, i standardfallet, säkerställa att endast personuppgifter som är nödvändiga för varje specifikt ändamål med behandlingen behandlas. Den skyldigheten gäller mängden insamlade personuppgifter, behandlingens omfattning, tiden för dess lagring och deras tillgänglighet. Enligt artikel 32 i dataskyddsförordningen har den personuppgiftsansvarige vidare en skyldighet att se till att en lämplig säkerhetsnivå för behandlingen av personuppgifter upprätthålls. Detta ska ske bl.a. genom lämpliga tekniska och organisatoriska åtgärder. Den personuppgiftsansvariges skyldigheter i denna del återfinns även i de allmänna principer för personuppgiftsbehandling som framgår av artikel 5.1 f i dataskyddsförordningen. Även om skyldigheten för personuppgiftsansvariga att på olika sätt begränsa tillgången till personuppgifter kan sägas följa av dataskydds- förordningen delar regeringen promemorians bedömning att bestämmelsen i 16 § utlänningsdatalagen utgör ett sådant specifikt krav på personuppgiftsbehandling som enligt artikel 6.2 får fastställas i nationell rätt. Till skillnad från anser regeringen därför att bestämmelsen kan och bör behållas. Regeringens förslag: Det ska vara förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga Detsamma ska gälla för uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Undantag ska göras för sökningar i register över fotografier och fingeravtryck samt för sökningar som gäller beslut om Promemorians förslag och bedömning överensstämmer i sak med I promemorian föreslås en annan lagteknisk utformning av sökförbudet. Remissinstanserna: anser att den föreslagna utformningen av sökbegränsningen omöjliggör ett effektivt sökande efter uppgifter som är centrala för asylprocessen och efterfrågar en utformning av regelverket kring sökbegränsningar som möjliggör behandling av känsliga personuppgifter i avidentifierad statistik. integritetsskyddsnämnden ifrågasätter utformningen av det föreslagna sökförbudet och anser att dess ordalydelse i praktiken förhindrar all användning av sökbegrepp, vilket bl.a. kan omöjliggöra en effektiv registervård och tillsyn. Skälen för regeringens förslag: En vanligt förekommande skyddsåtgärd i registerförfattningar är sökbegränsningar. datalagen finns regler om sådana begränsningar i 17 och 18 §§. innebär att det inte är tillåtet att som sökbegrepp använda uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, hälsa eller sexualliv. Vidare är det inte tillåtet att som sökbegrepp använda personuppgifter som direkt pekar ut den registrerade vid återsökning av information som rör förhållanden i andra länder. Det är inte heller tillåtet att som sökbegrepp använda sådana uppgifter om lagöverträdelser m.m. som anges i 21 § personuppgiftslagen, dock med undantag för beslut om De uppgifter som avses i 21 § personuppgiftslagen, som motsvarar artikel 8.5 dataskyddsdirektiv, innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa Bestämmelserna om sökbegränsningar har införts för att minimera riskerna för att känsliga personuppgifter missbrukas och för att upprätthålla integritetsskyddet. Dataskyddsförordningen innehåller inte någon begränsning av vilka typer eller former av sökbegränsningar som kan införas i nationell rätt. Regeringen bedömer att det är angeläget att behålla det skydd som de nuvarande sökbegränsningarna innebär för den enskildes integritet. finns därför inte skäl att göra några ändringar avseende vilka kategorier av personuppgifter som ska omfattas av sökförbudet. Det finns inte heller skäl att ändra förbudet mot att använda personuppgifter som direkt pekar ut den registrerade vid återsökning av information som rör förhållanden i för fram finns det dock skäl att se över utformningen av sökförbudet. 2017/18:254 Myndigheterna pekar på att den föreslagna utformningen av sökförbudet omöjliggör såväl ett effektivt sökande av centrala uppgifter som en effektiv registervård och tillsyn. 2017/18:105 och i prop. 2017/18:232 föreslås en sökbegränsning som utgår ifrån syftet med sökningen. Enligt förslagen ska det vara förbjudet att utföra sökningar i syfte att få fram ett personurval grundat på känsliga personuppgifter. En sådan utformning innebär inte större möjligheter att använda känsliga personuppgifter som sökbegrepp vid sådana sökningar som det tidigare sökförbudet varit avsett att hindra, såsom kartläggning av personer på grundval av etnicitet. Däremot skulle en sökbegränsning som utformats utifrån syftet med sökningen inte hindra sökningar som görs för andra ändamål, t.ex. i syfte att utöva tillsyn, för att ta fram verksamhetsstatistik eller för registervård, dvs. då syftet med sökningen inte är att identifiera ett urval av individer. Enligt regeringen är en sådan lagteknisk utformning att föredra även i utlänningsdatalagen. Det bör alltså vara förbjudet för myndigheterna att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Som anges ovan bör samma kategorier av personuppgifter som omfattas av sökförbudet. Utöver sådana känsliga personuppgifter som avses i artikel 9.1 dataskyddsförordningen omfattas alltså även personuppgifter som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihets- berövanden. Detta bör framgå direkt av lagtexten. Att bestämmelsen om sökbegränsningar kommer att hänvisa till data- skyddsförordningens bestämmelse om känsliga personuppgifter innebär att även genetiska och biometriska uppgifter omfattas. För att inte omöjliggöra nödvändiga sökningar i register över fotografier och fingeravtryck bör det göras ett undantag från sökförbudet för detta. Även det nuvarande undantaget för uppgifter om beslut om förvar bör finnas kvar. Regeringens förslag: Den personuppgiftsansvariges skyldighet att informera den registrerade om en personuppgiftsincident enligt dataskyddsförordningen ska inte gälla sådana uppgifter som den personuppgiftsansvarige inte får lämna ut till den registrerade enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av författning. Promemorians förslag överensstämmer i sak med regeringens. Promemorian föreslår en annan lagteknisk utformning av bestämmelsen. Remissinstanserna: Datainspektionen framför att det föreslagna undantaget från skyldigheten att informera om en personuppgiftsincident kan göras med stöd av både artikel 23.1 e och f i dataskydds- I övrigt yttrar sig ingen remissinstans särskilt över personuppgiftsansvarige att anmäla personuppgiftsincidenter till tillsynsmyndigheten. Med personuppgiftsincident avses enligt artikel 4.12 en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats. Om personuppgiftsincidenten sannolikt leder till en hög risk för fysiska personers rättigheter och friheter ska den personuppgifts- ansvarige enligt artikel 34.1 utan onödigt dröjsmål informera den registrerade om personuppgiftsincidenten. Sådan information krävs dock inte om (a) den personuppgiftsansvarige har genomfört lämpliga tekniska och organisatoriska skyddsåtgärder, (b) den personuppgiftsansvarige har vidtagit ytterligare åtgärder som säkerställer att det inte längre kommer att uppstå en hög risk för de registrerades rättigheter och friheter, eller (c) det skulle inbegripa en oproportionell ansträngning. I det sistnämnda fallet ska i stället allmänheten informeras eller en liknande åtgärd vidtas genom vilken de registrerade informeras på ett lika effektivt sätt (artikel 34.3). De direkt tillämpliga undantagen i dataskyddsförordningen omfattar inte situationen att de uppgifter som ska lämnas till den registrerade omfattas av sekretess eller tystnadsplikt. Dataskyddsförordningen ger emellertid en möjlighet att i nationell rätt föreskriva begränsningar av skyldigheten att informera den registrerade om en personuppgiftsincident (artikel 23). Det finns därför anledning att överväga om en sådan begränsning bör införas i utlänningsdatalagen. Dataskyddsförordningens bestämmelse om information till den registrerade vid en personuppgiftsincident skulle kunna innebära att den registrerade får information om att hans eller hennes personuppgifter behandlas av , eller utlands- myndigheterna, trots att det råder sekretess om detta förhållande gentemot den registrerade själv. Ett exempel på en sådan situation skulle kunna vara att A söker asyl i och uppger som skyddsskäl att hon eller han är förföljd av sin make, . söker även B asyl i , ovetandes om att även A sökt asyl här. Vid en incident som rör person A:s ärende skulle B, utan ett undantag för sekretess, ha rätt att få information om incidenten och därmed indirekt också om att A befinner sig i landet. Mot denna bakgrund bedömer regeringen att den person- uppgiftsansvariges skyldighet att informera den registrerade om en personuppgiftsincident inte bör gälla sådana uppgifter som den personuppgiftsansvarige inte får lämna ut till den registrerade enligt lag eller annan författning eller enligt beslut som har meddelats med stöd av författning. En sådan begränsning av den personuppgiftsansvariges skyldigheter bedöms möjlig eftersom den sker i syfte att säkerställa skyddet för den registrerade eller andras rättigheter och friheter i enlighet med artikel 23.1 i och, som Datainspektionen påpekar, för att säkerställa ett viktigt mål av generellt allmänt intresse i enlighet med artikel 23.1 e.