sou · H7B314 · 2019-03-27 00:00:00 — Personuppgifterna ska vara adekvata, relevanta och inte för omfatt- ande i förhållande till ändamålet samt korrekta och om nödvändigt uppdaterade. Behandlingen ska inte pågå än vad som är nödvändigt med hänsyn till ändamålet och det ska ske på ett säkert sätt. Även regleringen avseende den registrerades rättigheter och bestämmelserna om säkerhet för personuppgifter måste beaktas. Förhållandet till annan dataskyddsreglering I 10 § IdL finns en bestämmelse som upplyser om förhållandet till annan dataskyddsreglering. I bestämmelsen anges att lagen inne- håller kompletterande bestämmelser till EU:s dataskyddsförordning och att dataskyddslagen är subsidiär till IdL. Någon motsvarande bestämmelse finns inte i förordningen om nationellt identitetskort och behövs egentligen inte eftersom det som anges i bestämmelsen ändå gäller. Bestämmelser av det slaget finns trots det i många regist- erförfattningar som en upplysning till tillämparen om att det finns andra dataskyddsbestämmelser som är tillämpliga. Av tydlighetsskäl föreslår vi därför att en sådan bestämmelse förs in i den nya lagen. Bestämmelsen bör även omfatta behandling av personuppgifter i id- kortsverksamheten som sker utanför id-kortsregistret. Hänvisningar till EU-rättsakter kan göras antingen statiska eller dynamiska. En statisk hänvisning innebär att hänvisningen avser EU-rättsakten i en viss angiven lydelse. En dynamisk hänvisning innebär att hänvisningen avser EU-rättsakten i den vid varje tid- punkt gällande lydelsen. Eftersom dataskyddsförordningen är direkt En enhetlig reglering av utfärdandeprocessen tillämplig och syftet med hänvisningen endast är att upplysa om att förordningen gäller bör en dynamisk hänvisning göras. Hänvisningen kommer således att omfatta även eventuella framtida ändringar i data- skyddsförordningen. Känsliga personuppgifter och uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden får enligt 17 § andra stycket IdL inte användas som sökbegrepp. Med känsliga personuppgifter avses de uppgifter som anges i artikel 9 i dataskyddsförordningen, nämligen personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlem- skap i fackförening samt genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa och uppgifter om en fysisk persons sexualliv eller sexuella läggning. I data- skyddsförordningen benämns uppgifterna som särskilda kategorier av personuppgifter men den svenska lagstiftaren har valt att behålla det inarbetade begreppet känsliga personuppgifter, se t.ex. 3 kap. 1 § dataskyddslagen. Någon bestämmelse om sökförbud finns inte avseende registret över nationella identitetskort. Eftersom det i förordningen om na- tionellt identitetskort inte finns några bestämmelser om behandling av känsliga personuppgifter gäller bestämmelserna i 3 kap. 3 § data- skyddslagen för sådan behandling. Av första stycket i den bestäm- melsen följer att känsliga personuppgifter får behandlas av en myn- dighet om uppgifterna har lämnats till myndigheten och behand- lingen krävs enligt lag, om behandlingen är nödvändig för handlägg- ningen av ett ärende, eller i annat fall, om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otill- börligt intrång i den registrerades personliga integritet. Vid behand- ling av känsliga personuppgifter som sker enbart med stöd av be- stämmelsen i första stycket är det enligt andra stycket förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter. Behandlingen av känsliga personuppgifter i registret avseende nationella identitetskort omfattas således av ett liknande sökförbud som finns i IdL. En enhetlig reglering av utfärdandeprocessen Eftersom vi i avsnitt 10.3.3 föreslår att behandlingen av känsliga personuppgifter i id-kortsregistret ska omfattas av en uttrycklig be- stämmelse i den nya lagen kommer behandlingen av känsliga person- uppgifter inte att utföras med stöd av bestämmelsen i dataskydds- lagen. Därmed kommer inte heller sökförbudet i dataskyddslagen att gälla. Sökförbudet avseende känsliga personuppgifter som finns i IdL bör därför föras in i den nya lagen och omfatta även behand- lingen av känsliga personuppgifter avseende identitetskort med funk- tion som resehandling. I avsnitt 11.4.4 föreslår vi dock ett undantag för viss sökning avseende biometriska uppgifter som tas fram ur an- siktsbilder. behandlar i enlighet med vad som anges i pro- memorian Passdatalag17 inte uppgifter om lagöverträdelser i verk- samheten avseende nationella identitetskort. Myndigheten har inte heller något behov av att behandla sådana uppgifter när det gäller nationella identitetskort. Det finns därför inte heller något egentligt behov av att begränsa behandlingen av sådana uppgifter. En bestäm- melse som förbjuder sökning med hjälp av uppgifter om lagöver- trädelser finns dock när det gäller identitetskort för folkbokförda i . Av uppgifter från framgår att det inte hör till vanligheterna att sådana uppgifter behandlas men att det inte kan uteslutas att det uppstår ett sådant behov. Sökbegräns- ningen avseende uppgifter om lagöverträdelser bör därför föras in i den nya lagen. För att undvika onödig särreglering bör den omfatta både identitetskort med och utan funktion som resehandling. Direktåtkomst till uppgift om giltighet av identitetskort Uppgift om giltigheten av ett identitetskort för folkbokförda i får enligt 16 § IdL lämnas ut genom direktåtkomst. Någon motsva- rande bestämmelse finns inte beträffande nationella identitetskort. Det innebär dock inte att direktåtkomst inte är tillåten utan endast att en bedömning av en sådan åtkomst måste göras av den person- uppgiftsansvarige bl.a. med beaktande av tillämpliga dataskyddsbestäm- melser.18 17Ds 2015:44 s. 228. 18Jfr SOU 2012:90 s. 210 ff. En enhetlig reglering av utfärdandeprocessen Vi bedömer att det är lämpligt att föra in bestämmelsen om direkt- åtkomst i den nya lagen och låta den omfatta både identitetskort med och utan funktion som resehandling. Med en sådan bestämmelse underlättas utvecklingen av e-tjänster för kontroll av giltighet. Ge- nom sådana kontrollmöjligheter kan missbruket av identitetshand- lingar motverkas. Utlämnande genom direktåtkomst anses typiskt sett vara en integritetskänslig åtgärd. Direktåtkomsten är dock i detta fall be- gränsad till att endast avse uppgift om giltigheten av ett id-kort. En åtkomst som endast avser sådana uppgifter är inte av särskilt integ- ritetskänslig karaktär. Integritetsriskerna för den enskilde är således försumbara. Det kan dessutom hävdas att syftet med åtkomsten är just att minska det integritetsintrång det innebär att någon använder ett id-kort som tillhör en annan person. Enligt 22 kap. 1 § OSL och 6 § OSF gäller sekretess för uppgift om en enskilds personliga förhållanden i id-kortsregistren, om det av särskild anledning kan antas att den enskilde eller någon närstå- ende till honom eller henne lider men om uppgiften röjs. En uppgift om ett identitetskorts giltighet torde inte omfattas av sekretess en- ligt bestämmelsen. Varken dataskyddsregleringen eller sekretessregleringen bör där- för utgöra något hinder mot en bestämmelse om direktåtkomst som även omfattar identitetskort med funktion som resehandling. En bestämmelse om direktåtkomst till uppgift om id-korts giltighet bör därför föras in i den nya lagen. Ingen rätt att invända mot behandlingen Av 18 § IdL följer att artikel 21.1 i EU:s dataskyddsförordning om rätten att göra invändningar mot behandling av personuppgifter inte gäller vid behandling som är tillåten enligt IdL eller föreskrifter som har meddelats i anslutning till lagen. Någon motsvarande bestäm- melse finns inte i förordningen om nationellt identitetskort. När personuppgiftslagen gällde ansågs det i vissa fall behövas en uttrycklig bestämmelse om att den registrerade inte hade rätt att motsätta sig den behandling som reglerades i en viss registerförfatt- ning. Bestämmelsen i 12 § andra stycket personuppgiftslagen som stadgade att den registrerade inte hade rätt att motsätta sig sådan En enhetlig reglering av utfärdandeprocessen behandling som skedde på annan grund än samtycke och som var tillåten enligt personuppgiftslagen ansågs nämligen svår att hänvisa till när det gällde behandling som skedde med stöd av en register- författning. I många registerförfattningar har det därför även innan dataskyddsförordningen började tillämpas tagits in bestämmelser om att den registrerade inte hade rätt att invända. I andra fall har en sådan bestämmelse ansett obehövlig eftersom det har ansetts följa direkt av ändamålsbestämmelserna att behandling utan samtycke var tillåten.19 Till en början fanns det inte heller någon reglering avse- ende den registrerades inställning när det gäller registret över iden- titetskort för folkbokförda i . Den ursprungliga bestämmel- sen om att den registrerade inte har rätt att motsätta sig behandling tillkom i samband med att bestämmelserna infördes i lag. I förarbe- tena uttalade regeringen att någon uttrycklig bestämmelse om att den registrerade inte kan invända mot behandlingen av personupp- gifter i registret egentligen inte behövdes men att en sådan bestäm- melse trots det infördes i klargörande syfte.20 Det finns inte skäl att tro att bedömningen i denna fråga skulle skilja sig beroende på om det är fråga om registret över nationella identitetskort eller registret över identitetskort för folkbokförda i . Det kan också noteras att en bestämmelse om att den regi- strerade inte kan motsätta sig behandling som sker i registret över nationella identitetskort har föreslagits i promemorian Passdatalag.21 Rätten att göra invändningar regleras numera i artikel 21 i data- skyddsförordningen. Vid behandling av personuppgifter som sker för att utföra en uppgift av allmänt intresse, som ett led i myndig- hetsutövning eller efter en intresseavvägning (dvs. behandling enligt artikel 6.1 e eller f i dataskyddsförordningen) ska den registrerade enligt artikel 21.1 ha rätt att när som helst, av skäl som hänför sig till hans eller hennes specifika situation, göra invändningar mot behand- lingen. Den personuppgiftsansvarige får då inte längre behandla per- sonuppgifterna, såvida denne inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intres- sen, rättigheter och friheter eller om det sker för fastställande, utöv- ande eller försvar av rättsliga anspråk. Begränsningar i rätten att göra 19Se t.ex. prop. 2000/01:33 s. 346 och prop. 2015/16:65 s. 46. 2015/16:28 s. 64 f. 21Ds 2015:44 s. 224. En enhetlig reglering av utfärdandeprocessen invändningar får dock göras under de förutsättningar som anges i artikel 23. Som anges ovan behandlas personuppgifterna i registren på den grunden att det är nödvändigt för att utföra en uppgift av allmänt intresse enligt artikel 6.1 e i dataskyddsförordningen. Rätten att göra invändningar enligt artikel 21.1 gäller vid sådan behandling. Begränsningar av rätten att göra invändningar får enligt artikel 23.1 göras i syfte att säkerställa bl.a. ett viktigt mål av generellt allmänt intresse för medlemsstaten. Det krävs också att begränsningen upp- fyller krav på nödvändighet och proportionalitet. Vidare måste lag- stiftningen enligt artikel 23.2 innehålla specifika bestämmelser om bl.a. ändamål, kategorier av uppgifter, omfattningen av begränsning- en, skyddsåtgärder, personuppgiftsansvar, lagringstid, riskerna för de registrerades rättigheter och friheter samt rätten att bli informe- rad om begränsningen, när så är relevant. I det lagstiftningsärende där bl.a. lagstiftningen beträffande iden- titetskort för folkbokförda i sågs över med anledning av dataskyddsförordningen anförde regeringen att det är av stor bety- delse att personuppgifter får behandlas oberoende av den registrera- des inställning i de aktuella verksamheterna. Behandlingen är en förutsättning för att myndigheterna ska kunna utföra sina uppgifter på ett korrekt, rättssäkert och effektivt sätt. Den personuppgifts- ansvariga myndigheten får närmast undantagslöst anses kunna på- visa skäl för fortsatt behandling som väger tyngre än den registre- rades intressen i det enskilda fallet. Under sådana förhållanden och för att fullt ut säkerställa förutsättningarna att behandla relevanta personuppgifter menade regeringen att den registrerade inte heller fortsättningsvis bör ha någon rätt att motsätta sig sådan personupp- giftsbehandling som är tillåten enligt lagen. En sådan begränsning ansågs utgöra en nödvändig och proportionell åtgärd i syfte att säker- ställa ett viktigt mål av generellt allmänt intresse. Lagstiftningen innehåller dessutom ett flertal olika integritetsskyddande bestäm- melser såsom ändamål med behandlingen och kategorier av uppgifter som får behandlas. Regleringen innebär en förhållandevis snäv ram för personuppgiftsbehandlingen och minimerar risken för kränkning av den registrerades rättigheter och friheter. Regeringen ansåg därför att lagstiftningen uppfyllde de krav på bl.a. skyddsåtgärder som upp- ställs i artikel 23.2 i dataskyddsförordningen.22 2017/18:95 s. 85 f. En enhetlig reglering av utfärdandeprocessen Det finns inte något skäl att göra en annan bedömning beträff- ande de identitetskort som kan användas som resehandling. Utöver de skäl som regeringen anförde kan tilläggas att det för ett säkert utfärdande av id-korten är av stor vikt att myndigheten kan kontroll- era att inte samma person innehar flera kort med olika identiteter och att en person inte ansöker om ett id-kort i en annan persons identitet. Det är därför viktigt att det finns ett register med uppgifter om utfärdade id-kort i vilket personuppgifter får behandlas obero- ende av den registrerades inställning. En bestämmelse om att be- handling av personuppgifter i registret får utföras även om den regi- strerade invänder mot behandlingen är därmed enligt vår bedömning förenlig med dataskyddsförordningen. En sådan bestämmelse bör därför föras in i den nya lagen om statliga identitetshandlingar och omfatta båda typerna av id-kort. Bestämmelsen bör även omfatta sådan behandling av personuppgifter i id-kortsverksamheten som sker utanför id-kortsregistret. Dataskyddsförordningen är direkt tillämplig. Undantaget moti- veras av behovet av balans mellan det skydd som dataskyddsför- ordningen ger den registrerade och verksamhetens behov. För att säkerställa att balansen består även vid en eventuell ändring av data- skyddsförordningen bör hänvisningen göras dynamisk. Den kom- mer därmed att avse förordningen i dess gällande lydelse. Utredningens förslag: Personuppgifter ska få behandlas om det är nödvändigt för den utfärdande myndighetens verksamhet för utfärdande av statligt identitetskort och statlig e-legitimation. Personuppgifter som har samlats in i utfärdandeverksamheten ska även få behandlas 1.om det är nödvändigt för utfärdande av pass, 2.av om det är nödvändigt för gränskontroll, 3.av om det är nödvändigt för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lag- föra brott eller upprätthålla allmän ordning och säkerhet, En enhetlig reglering av utfärdandeprocessen 4.om det är nödvändigt för att fullgöra uppgiftsutlämnande som sker i överensstämmelse med lag eller förordning, och 5.för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Ändamålsbestämmelserna ska även omfatta sådan behandling av personuppgifter i id-kortsverksamheten som sker utanför id-korts- registret. Beträffande identitetskort för folkbokförda i får person- uppgifter enligt 12 § IdL behandlas i databasen om det behövs i den utfärdande myndighetens utfärdandeverksamhet. När det gäller regist- ret över nationella identitetskort anges i 15 § förordningen om natio- nellt identitetskort att det ska ha till ändamål att ge information om sådana uppgifter som behövs i den utfärdande myndighetens utfär- dandeverksamhet. Bestämmelserna reglerar de primära ändamålen för behandlingen och syftar till att tillgodose behoven av att behand- la personuppgifter i de utfärdande myndigheternas id-kortsverksam- het, till skillnad från sekundära ändamål som i första hand syftar till att tillgodose behov utanför den verksamheten. Regleringen innebär att personuppgifter inte får samlas in för några andra ändamål. Ända- målsbestämmelserna såg från början likadana ut beträffande båda registren. Bestämmelsen avseende identitetskort för folkbokförda i ändrades dock i samband med att den fördes in i lag. I för- arbetena angavs att någon skillnad i sak inte var avsedd.23 Vi föreslår därför att den primära ändamålsbestämmelsen i den nya lagen for- muleras på det förenklade sätt som anges i IdL. Personuppgifter bör således få behandlas om det är nödvändigt för den utfärdande myn- dighetens verksamhet för utfärdande av statligt identitetskort. Uppgifter om de statliga identitetskorten kan också ha betydelse vid utfärdande av pass och vice versa. Om det exempelvis råder oklar- het kring en handlings äkthet eller en sökandes identitet vid ansökan om pass kan det finnas uppgifter i registret för id-kort som under- lättar kontrollen. För att få vetskap om att inte samma person inne- har flera identitetshandlingar med olika identiteter eller att den sök- ande inte ansöker om att få ett pass med en annan persons identitet 2015/16:28 s. 61. En enhetlig reglering av utfärdandeprocessen krävs kontroll i id-kortsregistret. Det bör därför även vara tillåtet att behandla personuppgifter om det är nödvändigt för passverksam- heten. Behovet av sådan behandling väger enligt vår bedömning tyng- re än den eventuella risk för integritetsintrång som en sådan behand- ling kan innebära för den enskilde. För att det inte ska råda någon oklarhet i fråga om sådan behandling är tillåten eller inte bör en be- stämmelse om behandling för det ändamålet införas. Eftersom det inte bör vara tillåtet att samla in uppgifter för andra ändamål än för id-kortsverksamheten bör bestämmelsen utformas som ett sekun- därt ändamål. Bestämmelsen bör därför ange att personuppgifter, som får behandlas i id-kortsverksamheten, även får behandlas om det är nödvändigt för att utfärda pass. I promemorian Passdatalag föreslogs att uppgifterna i registret över de nationella identitetskorten även skulle få behandlas vid gräns- kontroll. Förslaget motiverades med att det nationella identitets- kortet kan användas som en resehandling vid resor inom EU. Det fanns således ett behov av att i samband med sådan gränskontroll kunna kontrollera identitetsuppgifter och uppgifter om själva iden- titetskortet, t.ex. uppgifter om ett identitetskort är återkallat. Detta behov ansågs väga tyngre än den risk för integritetsintrång som en sådan behandling kan innebära för den enskilde.24 Det statliga iden- titetskortet med funktion som resehandling ska kunna användas vid resor inom EU och kontrolleras på samma sätt som det nationella identitetskortet. ansvarar enligt 5 a § passlagen och 9 kap. 1 § utlänningslagen (2005:716) för kontroll av personer som passerar gränser eller Schengengränserna. Den behandling som krävs i samband med gränskontroll ryms inte inom det primära ändamålet att utfärda id-kort. Behandlingen kan visserligen i och för sig anses vara förenlig med det primära ända- målet, eftersom det statliga identitetskortet med funktion som rese- handling utfärdas delvis för att kunna fungera som resehandling. För att undvika otydlighet i detta avseende menar vi dock att det bör införas en sekundär ändamålsbestämmelse som anger att de person- uppgifter som har samlats in för att de behövs i utfärdandeverksam- heten även får behandlas av om det är nödvändigt för gränskontroll. Behovet av att behandla personuppgifterna i syfte att utföra en effektiv gränskontroll får anses väga tyngre än den risk för integritetsintrång som behandlingen kan medföra. 24Ds 2015:44 s. 222. En enhetlig reglering av utfärdandeprocessen biträds i verksamheten med gränskontroll av , och , se 5 a § pass- lagen och 9 kap. 1 § utlänningslagen. Även dessa myndigheter kan vid gränskontrollen behöva ta del av de personuppgifter som finns i id-kortsregistret. Detta behov kan tillgodoses bl.a. genom den sekun- dära ändamålsbestämmelse vi föreslår nedan om behandling som är nödvändig för att fullgöra uppgiftsutlämnande som sker i överens- stämmelse med lag eller förordning. I promemorian Passdatalag föreslogs att personuppgifter som be- handlas i verksamheten avseende nationellt identitetskort skulle få behandlas i andra delar av verksamhet. I prome- angavs att fotografierna t.ex. behövs i samband med foto- konfrontationer och som ett led i spaningsarbete och att de används i dessa syften . I promemorian bedömdes därför Polis- myndigheten ha ett behov av att, i sin brottsförebyggande och brotts- bekämpande verksamhet samt vid myndighetens upprätthållande av den allmänna ordningen och säkerheten, kunna behandla sådana per- sonuppgifter som behandlas i verksamheten avseende nationella iden- titetskort. Behovet ansågs väga tyngre än den risk för integritetsin- trång som en sådan behandling kan innebära för den enskilde.25 Vi är också av uppfattningen att även i fram- tiden bör få använda sig av personuppgifter från id-kortsverksam- heten för att bekämpa och lagföra brott samt upprätthålla allmän ordning och säkerhet. Det är centrala samhällsintressen som kan för- väntas underlättas väsentligt om uppgifterna i id-kortregistret får an- vändas. Uppgifterna har naturligtvis störst värde vid utredning av identitetsrelaterad brottslighet, men även i utredningar som rör andra typer av brott är det väsentligt att identiteten på de inblandade kan fastställas. Personuppgifterna är ofta harmlösa, eller i vart fall inte av särskilt integritetskänsligt slag. När uppgifterna behandlas i Polismyndighe- tens brottsbekämpande verksamhet kommer de att omfattas av brotts- datalagen (2018:1177) och lagen (2018:1693) om polisens behand- ling av personuppgifter inom brottsdatalagens område. Regelverken innehåller bestämmelser som syftar till att skydda den enskildes personliga integritet. En enhetlig reglering av utfärdandeprocessen Mot bakgrund av ovanstående menar vi därför att de person- uppgifter som har samlats in för utfärdande av statligt identitetskort bör få behandlas av även när det är nödvändigt för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller upprätthålla allmän ordning och säkerhet. För att det inte ska vara oklart om en sådan behandling är förenlig med det ursprungliga ändamålet bör det införas en sekundär ända- målsbestämmelse som uttryckligen tillåter behandling för dessa ända- mål. Ändamålen i den sekundära bestämmelsen motsvarar vad som anges i 1 kap. 1 § lagen om polisens behandling av personuppgifter inom brottsdatalagens område, dvs. den lag som tillsammans med brottsdatalagen kommer att gälla för den fortsatta behandlingen av personuppgifterna. De behov av att ta del av uppgifter från id-kortsregistret som kan finnas hos andra brottsbekämpande myndigheter kan tillgodoses bl.a. genom den sekundära ändamålsbestämmelse vi föreslår nedan om behandling som är nödvändig för att fullgöra uppgiftsutlämnande som sker i överensstämmelse med lag eller förordning. När det gäller identitetskort för folkbokförda i anges i den nuvarande regleringen att personuppgifter som behandlas enligt det primära ändamålet också får behandlas om det behövs för att fullgöra uppgiftsutlämnande som sker i överensstämmelse med lag eller förordning. Sådana uppgifter får behandlas även för andra ända- mål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in (finalitetsprincipen).