sou · H7B314 · 2019-03-27 00:00:00 — Med detta tillägg för att öka säkerheten bedömer vi att kon- troll mot uppgifter även fortsättningsvis bör kunna användas som en metod för att styrka identiteten. Även vårt förslag i avsnitt 11.4.4 om att tillåta jämförelse med ansiktsbilder som är sparade i det register över id-kort som den utfärdande myndigheten ska föra hindrar personer att få id-kort för olika identiteter. Det för- slaget innebär således ytterligare en höjning av säkerheten i förfaran- det. För att en sökande ska få styrka sin identitet på detta sätt krävs inte att sökanden saknar möjlighet att identifiera sig på något av de andra sätt som angetts ovan. Det innebär att en sökande som har en godtagbar identitetshandling trots det skulle kunna välja att använda uppgifterna hos för att identifiera sig. Mot bakgrund av att vi menar att identifiering med hjälp av en statlig fysisk identitetshandling är det säkraste sättet att identifiera sig bör det emellertid vara huvudregeln även för personer som har beviljats uppehållstillstånd. Om sökanden saknar en identitetshandling finns det däremot inte någon anledning att kräva att sökanden använder sig av en intygs- givare även om det är möjligt. Som anges i den ovan nämnda pro- memorian bedöms säkerheten när det gäller identifiering med hjälp En enhetlig reglering av utfärdandeprocessen av uppgifter från motsvara den som gäller vid intygs- givning. Oavsett på vilket av dessa sätt identiteten styrks är sökanden dessutom enligt vårt förslag i avsnitt 11.6.1 skyldig att låta den ut- färdande myndigheten jämföra dennes fingeravtryck och ansiktsbild med de som finns i uppehållstillståndskortet. Det synes dessutom medföra stora svårigheter att bevisa att det inte finns någon som kan intyga uppgifterna. Det bör därför fortfarande vara möjligt för sök- anden att själv välja om identifiering ska göras genom en intygsgivare eller genom en jämförelse med uppgifterna som finns hos Migra- tionsverket. En bestämmelse som möjliggör identifiering genom användning av uppgifter hos bör därför införas i den nya regle- ringen. Enligt den nuvarande bestämmelsen i IdL ska sökanden ange om han eller hon vill styrka identiteten på detta sätt. Det är enligt vår uppfattning naturligt att sökanden oavsett på vilket sätt han eller hon avser att styrka sin identitet talar om det för den utfärdande myndigheten. Någon reglering i detta avseende synes dock inte nöd- vändig. Det finns slutligen i såväl som före- skrifter en möjlighet att styrka identiteten på annat sätt än de som nämns i avsnitten ovan. För nationellt identitetskort gäller att om sökanden inte kan styrka sin identitet på något av de ovan angivna sätten får myndigheten godta att identiteten styrks på något annat tillförlitligt sätt. När det gäller identitetskort för folkbokförda i anges i stället att sökanden får åberopa andra officiella hand- lingar utfärdade av myndigheter och organisationer. gör en sammanvägd bedömning av om de åberopade handlingarna styrker sökandens identitet och övriga personuppgifter. Enligt Skatte- verkets föreskrifter krävs det alltså att någon form av dokumentation visas upp. Den sammanvägda bedömningen kan dock förstärkas genom att en tillförlitlig person bekräftar sökandens identitet.11 Polis- myndighetens föreskrifter lämnar utrymme för att identiteten i ett enskilt fall kan styrkas genom en tillförlitlig intygsgivare som inte 11Skatteverkets ställningstagande Utfärda id-kort version . En enhetlig reglering av utfärdandeprocessen har den relation till sökanden som anges ovan i avsnittet om intygs- givare. Det kan också vara fråga om att ställa kontrollfrågor utifrån registeruppgifter. Bestämmelserna som möjliggör annan tillförlitlig identifiering är nödvändiga för att personer som både saknar identitetshandling och någon som kan vara intygsgivare ska kunna få identitetskort. Det kan t.ex. vara en äldre person som inte längre har några anhöriga kvar i livet. Vi ser därför ett behov av att behålla denna möjlighet. En be- stämmelse som innebär att myndigheten, om identiteten inte kan styrkas på annat sätt, får godta att identiteten styrks på något annat tillförlitligt sätt bör därför införas. Det innebär att den utfärdande myndigheten själv kan avgöra på vilket sätt identiteten kan styrkas i dessa fall, så längre identifieringen bedöms tillförlitlig. Bestämmel- sen bör dock tillämpas restriktivt. För att identiteten ska anses styrkt bör bedömningen ge ett mycket starkt stöd för att sökandens upp- gifter stämmer. Styrkande av identitet i samband med utlämnande av id-kort Det finns inte något författningsreglerat krav på att sökanden ska styrka sin identitet i samband med att en identitetshandling lämnas ut. En kontroll av att det är rätt person som hämtar ut handlingen görs dock regelmässigt både av och . Myndigheterna har infört egna rutiner för utlämnandet och det skil- jer sig åt hur kontrollen går till. Vid går kontrollen till på i stort sett samma sätt som vid ansökan. I första hand sker identifiering med en iden- titetshandling men även intygsgivning och annan tillförlitlig iden- tifiering kan bli aktuellt. kontrollerar i första hand den kvittens för ansökan som sökanden fick vid ansökningstillfället och gör en jämförelse mellan sökandens utseende och namnteckning på kvittensen och uppgifterna i ansökan. Vid behov kan ytterligare kon- troller göras. För att stärka säkerheten vid utfärdande av de statliga identitets- korten bör sökanden styrka sin identitet även när identitetshand- lingen lämnas ut på motsvarande sätt som krävs i samband med an- sökan. På så sätt ökar förutsättningarna för att det är rätt person som hämtar ut handlingen. Det innebär att sökanden som huvudregel ska En enhetlig reglering av utfärdandeprocessen visa upp en statlig fysisk identitetshandling. Om sökanden inte har en sådan handling kan de alternativa sätt som beskrivs ovan, som t.ex. intygsgivning, användas. Bestämmelser om att identiteten ska styr- kas även vid utlämnandet bör, på grund av dess centrala betydelse, införas i den nya lagen. För att, på sätt som anges i avsnitt 10.2.7, möjliggöra förändringar av utlämnandeförfarandet av skäl som är hänförliga till effektivitet eller tillgänglighet bör kravet dock inte vara ovillkorligt. Det bör därför anges att identiteten ska styrkas på begäran. På så sätt kan myndigheten framöver välja att lämna ut id- kort på andra sätt än . Detta under förutsättning att säkerheten i utlämnandet upprätthålls. 10.2.9Inlämning av ett tidigare utfärdat id-kort Utredningens förslag: Om ett statligt identitetskort har utfärdats för sökanden och det inte har förstörts, kommit bort eller makulerats, ska kortet ges in för makulering vid utlämnande av ett nytt identitetskort. Av 6 § IdF och 3 § fjärde stycket förordningen om nationellt iden- titetskort framgår att ett tidigare utfärdat id-kort ska lämnas in för makulering i samband med ansökan om det inte har förstörts, kom- mit bort eller makulerats. Detta gäller inte om kortet är giltigt eller om det finns andra särskilda skäl. Av 15 § IdF och 21 § förordningen om nationellt identitetskort följer att makulering ska ske när innehavaren ansöker om ett nytt id-kort eller, om innehava- ren har behov av det tidigare id-kortet , när det nya kortet lämnas ut. Det torde vara mer regel än undantag att sökandens gamla id-kort inte ges in för makulering förrän det nya kortet lämnas ut. Vanligen behöver sökanden det gamla id-kortet till dess att det nya lämnas ut. En regel som anger att det gamla id-kortet ska lämnas in vid ansökan ter sig därför mindre lämplig. bör i stället ges in för makulering när det nya kortet lämnas ut. För att minska antalet id-kort i omlopp menar vi att det finns anledning att makulera även ett id-kort vars giltighetstid har gått ut när det nya kortet lämnas ut. Visserligen är kortet inte längre gäll- ande. Det hindrar dock inte att det kan komma till användning i en situation där kontrollen av kortet inte görs med den noggrannhet En enhetlig reglering av utfärdandeprocessen Om kortet däremot makuleras syns det tydligt att det inte längre gäller. Vi menar därför att det inte längre bör göras undan- tag från makulering när det gäller id-kort som är giltiga. Bestämmelser om detta bör föras in i den nya lagen och förordning- en om statliga identitetshandlingar. Utredningens förslag: Ett statligt identitetskort ska återkallas 1.om någon väsentlig uppgift som framgår av identitetskortet är felaktig eller inte längre gäller, 2.om det är trasigt, utslitet eller obehörigen ändrat, 3.om det fanns hinder mot att utfärda det vid tiden för utfärdan- det och hindret består, eller 4.om någon annan än den som identitetskortet är utställt på för- fogar över det. För såväl nationellt identitetskort som identitetskort för folkbok- förda i gäller att id-kortet ska återkallas om det fanns hinder mot att utfärda det vid tiden för utfärdandet och hindret består eller om någon annan än den som id-kortet är utställt på förfogar över det (9 § förordningen om nationellt identitetskort och 6 § IdL). Dessa grunder för återkallelse bör föras in i den nya regleringen. Ett nationellt identitetskort ska vidare återkallas om innehavaren har förlorat eller efter ansökan befriats från sitt svenska medborgar- skap. För identitetskort för folkbokförda i gäller i stället att det ska återkallas om någon väsentlig uppgift som framgår av id-kor- tet är felaktig eller inte längre gäller. I den utredning som föregick införandet av identitetskort för folkbokförda i angavs att det inte var lämpligt att en person som byter namn eller personnummer har ett id-kort som inte utvisar rätt personuppgifter och att det var viktigt att det gick att lita på id-kortet.12 Av det skälet föreslogs be- stämmelsen om återkallelse på grund av att någon väsentlig uppgift är felaktig. Samma skäl gör sig enligt vår uppfattning gällande när det gäller det identitetskort som har funktion som resehandling. 12SOU 2007:100 s. 113 f. En enhetlig reglering av utfärdandeprocessen ett kort som kan användas vid resa bör därför återkallas om någon väsentlig uppgift som framgår av identitetskortet är felaktig eller inte längre gäller. Svenskt medborgarskap är en förutsättning för att ett sådant identitetskort ska kunna utfärdas och är således en väsentlig uppgift som framgår av id-kortet. Även en ändring beträffande med- borgarskapet omfattas därmed av den återkallelsegrunden. Någon särskild återkallelsegrund beträffande medborgarskap när det gäller identitetskort med funktion som resehandling är därför inte nöd- vändig. För pass finns det, utöver bestämmelser om återkallelse, även en bestämmelse i 27 § passförordningen om att pass under vissa förut- sättningar kan dras in. Indragning kan ske om passet är förslitet, tra- sigt eller obehörigen ändrat eller om det innehåller en uppenbar fel- skrivning. Innehavaren är i ett sådant fall berättigad att utan avgift få ett nytt pass med det indragna passets återstående giltighetstid. Av säkerhetsskäl bör inte heller trasiga, utslitna eller obehörigen ändrade id-kort gälla som identitetshandlingar. Vi anser dock inte att det är rimligt att i alla sådana fall låta innehavaren få ett nytt id-kort utan avgift. Han eller hon kan ju själv vara ansvarig för att kortet har ändrats, gått sönder eller slitits ut. Innehavaren bör därför ansöka om ett nytt id-kort och betala ansökningsavgift på vanligt sätt. Om id-kortet gått sönder på grund av fabrikationsfel eller liknande får frågan om vem som slutligen ska stå kostnaden för det nya kortet hanteras som ett skadeståndsärende. Vi gör därför den bedömningen att ett statligt identitetskort bör återkallas om det är trasigt, utslitet eller obehörigen ändrat. som innehåller uppenbara felskrivningar omfattas som regel av den grund för återkallelse som föreslagits ovan, dvs. att en väsentlig uppgift som framgår av identitetskortet är felaktig. Någon särskild återkallelsegrund i det avseendet bedöms därför inte behövas. Utredningens förslag: Beslut enligt lagen får överklagas till all- män förvaltningsdomstol. Prövningstillstånd krävs vid överkla- gande till kammarrätten. En enhetlig reglering av utfärdandeprocessen I 22 § förordningen om nationellt identitetskort finns det en hänvisning till 40 § förvaltningslagen (2017:900). En sådan hänvis- ning fanns även i 18 § i den tidigare gällande förordningen om iden- titetskort för folkbokförda i . I samband med att den regle- ringen togs in i lag uttalade regeringen att eftersom en lagreglering infördes borde det i stället framgå direkt av lagen att beslut enligt lagen får överklagas till allmän förvaltningsdomstol och att det krävs prövningstillstånd vid överklagande till kammarrätten. Det är därför lämpligt att föra in en bestämmelse i den nya lagen som motsvarar 19 § IdL och låta den omfatta överklaganden av beslut avseende båda typerna av id-kort. Bestämmelsen bör föreskriva att beslut enligt lagen får överklagas till allmän förvaltningsdomstol och att pröv- ningstillstånd krävs vid överklagande till kammarrätten. 10.3Behandling av personuppgifter i id-kortsverksamheten Utredningens förslag: ska föra och vara per- sonuppgiftsansvarig för ett id-kortsregister. Innehållet i följande bestämmelser som endast gäller för identitetskort för folk- bokförda i förs i princip oförändrat in i den nya regler- ingen och kommer därmed att omfatta både identitetskort med och utan funktion som resehandling. •Bestämmelsen om lagens förhållande till annan dataskydds- reglering. •Bestämmelsen om att känsliga personuppgifter och uppgifter om lagöverträdelser m.m. inte får användas som sökbegrepp. •Bestämmelsen om att uppgift om giltigheten av ett statligt iden- titetskort får lämnas ut genom direktåtkomst. •Bestämmelsen som anger att rätten att göra invändningar mot behandling av personuppgifter inte gäller. En enhetlig reglering av utfärdandeprocessen Bestämmelserna om förhållandet till annan dataskyddsreglering och begränsning av rätten att göra invändningar ska även omfatta sådan behandling av personuppgifter i id-kortsverksamheten som sker utanför id-kortsregistret. ska enligt 14 § förordningen om nationellt iden- titetskort med hjälp av automatiserad behandling föra och vara per- sonuppgiftsansvarig för ett register över nationella identitetskort. En liknande bestämmelse finns i 8 § IdL som anger att med hjälp av automatiserad behandling ska föra en databas med en sam- ling uppgifter om identitetskort för folkbokförda i . Olika begrepp används alltså i de olika författningarna när det gäller den samling med uppgifter om identitetskorten som den utfärdande myndigheten ska behandla. Begreppet register har ibland kritiserats eftersom det för tankarna till på visst sätt organiserade eller systematiserade samlingar av upp- gifter, vilket är ett helt relevant sätt att se på alla samlingar av uppgifter i elektronisk form. Det finns dock enligt förarbetsutta- landen flera elektroniska samlingar av personuppgifter som fortfar- ande måste ses som register i ordets egentliga bemärkelse. Det gäller samlingar då uppgifter förs in på ett systematiserat sätt efter vissa kriterier och är sökbara endast med särskilda sökord. Det kan därför finnas anledning att inte helt frångå registerbegreppet. Som exempel på register i mer traditionell mening har nämnts misstankeregistret och belastningsregistret.13 Registreringen av nationella identitetskort förs i resehandlings- systemet (RES). RES är ett kombinerat system som består av dels ett ärendehanteringssystem, dels uppgifter om utfärdade nationella iden- titetskort.14 RES innehåller alltså två olika uppgiftssamlingar när det gäller identitetskorten. Behandlingen av personuppgifter i ärendehanteringssystemet re- gleras inte i förordningen om nationella identitetskort, utan det är endast uppgifterna om utfärdade id-kort som regleras. 2004/05:164 s. 60 f. 14Ds 2015:44 s. 90 och 98. En enhetlig reglering av utfärdandeprocessen ingå i vårt uppdrag att se över bestämmelserna i sistnämnda regle- ring. För den uppgiftssamlingen menar vi att det är mest lämpligt att använda begreppet register. Det är det begrepp som regeringen tidi- gare ansett bäst beskriver den uppgiftssamling som innehåller upp- gifter om utfärdade id-kort i verksamhet. Det är också det begrepp som används för motsvarande uppgiftssamling beträffande pass. finns också i RES. Vi kommer därför fortsättningsvis att benämna den uppgiftssamling som innehåller upp- gifter om utfärdade id-kort som id-kortsregistret. I id-kortsregistret kommer det, som framgår av avsnitt 12.16, även att finnas vissa upp- gifter om den statliga e-legitimationen. bör liksom vara registerförande myndig- het. Det är därför naturligt att myndigheten också är personupp- giftsansvarig för den behandling som sker i id-kortsregistret. Efter- som flera olika myndigheter är involverade i id-kortsverksamheten framstår det som lämpligt att tydliggöra detta i den nya lagen. Att bestämmelser om personuppgiftsansvar kan införas i nationell rätt, om ändamålen och medlen för behandlingen också bestäms av den nationella rätten, följer av artikel 4.7 i dataskyddsförordningen. Se vidare avsnitt 10.3.2. Att göra en total översyn av den behandling av personuppgifter som i övrigt görs i id-kortsverksamheten, i den delen av RES som innehåller ärendehanteringssystemet, kan däremot inte anses ingå i vårt uppdrag. Vi föreslår dock att några bestämmelser ska gälla även behandling utanför id-kortsregistret. I vårt uppdrag ingår inte heller att se över behandlingen av per- sonuppgifter inom passverksamheten. Ett sådant arbete pågår inom . Avsikten är att i en promemoria lägga fram ett förslag om en ny lag som ska reglera personuppgiftsbehandlingen inom passverksamheten, passdatalagen. Om både detta förslag och vårt förslag genomförs kommer alltså och de andra passmyndigheterna att få tillämpa olika bestämmelser om be- handling av personuppgifter i två mycket närliggande verksamheter. Om bestämmelserna är liknande kommer det sannolikt inte att inne- bära några svårigheter. Det kan emellertid finnas fördelar med att senare föra samman regleringen i en gemensam författning som gäller för behandling av personuppgifter i både pass- och id-kortsverksam- heten. Ett alternativ kan då vara föra in den reglering vi föreslår beträffande id-kortsregistret i passdatalagen och anpassa den så att En enhetlig reglering av utfärdandeprocessen den kan gälla även för behandlingen av personuppgifter i verksam- heten med statliga identitetskort. Rättslig grund för behandling av personuppgifter För att personuppgifter ska få behandlas i id-kortsregistret måste det enligt dataskyddsförordningen finnas en rättslig grund för behand- lingen. För behandling som utförs av myndigheter är det framför allt de rättsliga grunderna som anges i artikel 6.1 c och e i dataskydds- förordningen som är aktuella. Där anges att behandling får utföras om den är nödvändig för att fullgöra en rättslig förpliktelse (arti- kel 6.1 c) eller för utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.1 e). När det gäller behandling som sker med stöd av dessa grunder måste grunden för behandlingen enligt artikel 6.3 i dataskyddsförordningen fastställas i nationell rätt eller EU-rätt. En rättslig förpliktelse kan enligt 2 kap. 1 § dataskyddslagen följa av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning. Vidare måste syf- tet med behandling som grundar sig på en rättslig förpliktelse framgå av författningen, beslutet eller kollektivavtalet. Det ska alltså vara möjligt för såväl den personuppgiftsansvarige som den registrerade att förstå varför behandlingen av personuppgifterna ska ske. En uppgift av allmänt intresse kan enligt 2 kap. 2 § dataskydds- lagen följa av lag eller annan författning, av kollektivavtal eller av beslut som har meddelats med stöd av lag eller annan författning. För myndighetsutövning gäller att denna ska ha stöd i lag eller annan författning. Regeringen har i förarbetena angett att all den verksam- het som en myndighet bedriver, inom ramen för sin befogenhet, är av allmänt intresse. Myndigheternas uppdrag och åligganden fram- går av författningar och regeringsbeslut, antagna i enlighet med regeringsformens bestämmelser om normgivningskompetens. De åtgärder som myndigheterna vidtar i syfte att utföra dessa uppdrag eller uppfylla dessa åligganden har därmed i sig en legal grund. Myn- dighetsutövning kan enligt RF aldrig utövas utan stöd i gällande rätt. Till skillnad från vad som gäller behandling som grundas på en rätts- lig förpliktelse behöver syftet med behandling som grundar sig på en uppgift av allmänt intresse eller myndighetsutövning inte framgå av En enhetlig reglering av utfärdandeprocessen Däremot måste syftet med behandlingen vara nödvän- digt för ändamålet. Kravet på att ändamålet ska vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i myndig- hetsutövning ger uttryck för det samband som måste finnas mellan behandlingen och uppgiften av allmänt intresse eller myndighetsut- övningen och innebär en spärr mot helt onödig behandling av per- sonuppgifter.15 Den författning eller det beslut som utgör den rättsliga grunden för behandling av personuppgifter måste också uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som efter- strävas. En översyn av regleringen avseende den databas med uppgifter om identitetskort för folkbokförda i som ska föras enligt IdL gjordes inför att dataskyddsförordningen skulle börja tillämpas . Översynen av IdL ingick i det lagstiftningsarbete som om- fattade författningar inom skatt, tull och exekution. I förarbetena uttalade regeringen att den behandling som avsågs i de aktuella för- fattningarna regelmässigt sker för att utföra en uppgift av allmänt intresse. I vissa fall är det fråga om att fullgöra rättsliga förpliktelser. Det kan t.ex., enligt förarbetena till den nya dataskyddslagen, vara fallet om en myndighet ges i uppdrag att föra ett visst register. För myndigheternas del innefattar uppgifterna dessutom ofta myndig- hetsutövning. Därutöver menade regeringen att grunderna i artikel 6.1 har sina motsvarigheter i det tidigare gällande dataskyddsdirektivet . Regeringens bedömning var därför att dataskyddsförord- ningen i de nu aktuella fallen inte innebär att utrymmet för tillåten behandling har blivit mindre. Den behandling av personuppgifter som får eller måste utföras enligt IdL bedömdes således ha rättslig grund enligt artikel 6.1 i dataskyddsförordningen.16 Någon motsvarande översyn har ännu inte gjorts beträffande registret över nationella identitetskort varför det saknas uttalanden om behandlingens stöd i dataskyddsförordningen. Uppgiften att utfärda id-kort är av allmänt intresse och för att kunna fullgöra den uppgiften på ett säkert sätt krävs att det finns ett register över utfärdade kort. Utfärdaren måste kunna kontrollera att inte samma person innehar flera kort med olika identiteter och att den sökande inte ansöker om att få ett kort med en annan persons 2017/18:105 s. 55–63. 2017/18:95 s. 44 och prop. 2017/18:105 s. 53. En enhetlig reglering av utfärdandeprocessen Den rättsliga grunden för behandlingen som avses i arti- kel 6.1 e är fastställd i författningarna avseende utfärdande av id-kort. Behandlingen i id-kortsregistret är helt nödvändig för att kunna upp- fylla det allmänna intresset. Även övriga krav enligt artikel 6 bedöms vara uppfyllda. Behandlingen har således stöd i dataskyddsförord- ningen. Vid behandlingen måste även övriga bestämmelser i dataskydds- förordningen och dataskyddslagen tillämpas. Hänsyn måste exem- pelvis tas till de allmänna principerna i artikel 5. Personuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt. De ska samlas in för särskilda uttryckligen angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål.