sou · H7B314 · 2019-03-27 00:00:00 — 12 § Om en sökande som har beviljats uppehållstillstånd i styrker sin identitet på annat sätt än genom en sådan identitetshandling som avses i 11 §, får den utfärdande myndigheten kontrollera att de fingeravtryck och den ansiktsbild som tas vid ansökningstillfället mot- svarar de fingeravtryck och den ansiktsbild som finns lagrade i sökan- dens uppehållstillståndskort. I paragrafen regleras möjligheten att kontrollera sökandens finger- avtryck och ansiktsbild mot de fingeravtryck och den ansiktsbild som finns i sökandens uppehållstillståndskort. Övervägandena finns i avsnitt 11.6.1. Bestämmelsen är tillämplig när en person som har beviljats uppe- hållstillstånd i ansöker om ett statligt identitetskort. Den gäller i de fall då personen inte styrker sin identitet med en iden- titetshandling som innehåller fingeravtryck och ansiktsbild i ett lag- ringsmedium, oavsett vad det beror på att personen inte kan styrka sin identitet på detta sätt. Genom en sådan jämförelse kan det säker- ställas att det är samma person som uppehållstillståndskortet är utfärdat för som ansöker om id-kortet. 13 § Den utfärdande myndigheten får, under de förutsättningar som anges i 6 kap. 10 § andra stycket och 37 § andra stycket passlagen (1978:302), jämföra den ansiktsbild som tas vid ansökningstillfället och de biometriska uppgifter som tas fram ur denna med ansiktsbilder och biometriska uppgifter som finns i det register som ska föras enligt 6 kap. 5 § och i passregistret enligt 35 § passlagen (1978:302). Paragrafen medger att den utfärdande myndigheten får göra en sök- ning i registren för att utröna om en bild av sökandens ansikte finns iid-kortsregistret eller passregistret. Övervägandena finns i av- snitt 11.4.4. Bestämmelsen kompletteras av regler som finns intagna i 6 kap. 10 § och 37 § passlagen om undantag från de sökförbud som normalt gäller i registren för ansiktsbilder och biometriska uppgifter som tas fram ur dessa. Genom att sökandens ansikte jämförs med samtliga ansiktsbilder i registren kan det förhindras att samma person kan skaffa sig flera identitetshandlingar med olika identiteter. 1 § Ett statligt identitetskort ska lämnas ut till sökanden personligen. Om ansökan har gjorts genom bud i enlighet med 3 kap. 4 § får det stat- liga identitetskortet lämnas ut till budet personligen. I paragrafen föreskrivs ett krav på personlig inställelse vid utlämnande av det statliga identitetskortet. Övervägandena finns i avsnitt 10.2.7. Paragrafen motsvarar vad som tidigare gällt enligt 9 § IdF och 6 § första meningen förordningen om nationellt identitetskort. Den per- sonliga inställelsen vid utlämnandet är, liksom vid ansökan, väsentlig för säkerheten i utfärdandet. Genom att sökanden inställer sig per- sonligen förhindras att id-kortet lämnas ut till fel person. Det är ock- så en förutsättning för att den utfärdande myndigheten ska kunna göra de kontroller av sökandens identitet som regleras i 3 §. Kravet på personlig inställelse är dock inte undantagslöst. Om ansökan har gjorts genom bud på grund av att sökanden till följd av sjukdom, funktionsnedsättning eller hög ålder inte kan ta sig till den utfärdande myndigheten får samma bud även hämta ut det färdiga id-kortet. 2 § Om ett statligt identitetskort ska lämnas ut av en utfärdande myn- dighet utom riket, får myndigheten medge att det görs hos ett ombud för myndigheten. Paragrafen medger att utlandsmyndigheterna får låta ett ombud lämna ut det statliga identitetskortet. Övervägandena finns i avsnitt 10.2.7. Bestämmelsen motsvarar vad som tidigare gällt enligt 6 § andra meningen förordningen om nationellt identitetskort. 3 § Innan det statliga identitetskortet lämnas ut är sökanden skyldig att på begäran styrka sin identitet med en statlig fysisk identitetshand- ling eller på något av de sätt som anges i föreskrifter om undantag vid ansökan som meddelats med stöd av 3 kap. 7 §. Om det statliga iden- titetskortet lämnas ut till ett bud ska både budets och sökandens identitet styrkas på något av dessa sätt. Sökanden är även skyldig att på begäran lämna fingeravtryck och låta en bild i digitalt format tas av ansiktet för kontroll av om dessa motsvarar de fingeravtryck och den ansiktsbild som finns lagrade på det identitetskort som ska lämnas ut. Paragrafen reglerar de kontroller som den utfärdande myndigheten kan göra innan det statliga identitetskortet lämnas ut. Övervägan- dena finns i avsnitt 10.2.7, 10.2.8 och 11.6.1. I första stycket införs en bestämmelse om att sökanden på begäran ska styrka sin identitet innan id-kortet lämnas ut. Detta ska som huvudregel ske med en statlig fysisk identitetshandling. Någon mot- svarande bestämmelse har inte tidigare funnits i lag eller förordning. Som anges i kommentaren till 3 kap. 6 § måste den utfärdande myn- digheten göra en noggrann kontroll av handlingen. Av första stycket framgår också att de föreskrifter om undantag från huvudregeln om att identiteten i samband med ansökan ska styrkas med en statlig fysisk identitetshandling som kan meddelas av regeringen eller den myndighet regeringen bestämmer gäller även vid utlämnandet. Även ett bud ska som huvudregel styrka sin identitet med en stat- lig fysisk identitetshandling. Budet ska även ha med sig en sådan hand- ling tillhörande sökanden i samband med att id-kortet hämtas ut. Av andra stycket följer att sökanden även är skyldig att på begäran lämna fingeravtryck och låta en bild i digitalt format tas av ansiktet. Den utfärdande myndigheten kan jämföra dessa med de fingeravtryck och den ansiktsbild som finns lagrade i det identitetskort som ska lämnas ut. Genom en sådan kontroll säkerställs att det är rätt person som hämtar ut id-kortet. Bestämmelserna i första och andra styckena innebär inte något absolut krav på att sökanden måste styrka sin identitet, lämna finger- avtryck eller låta utfärdaren ta en ansiktsbild. Detta krävs bara om den utfärdande myndigheten begär det. Myndigheten kan välja att helt utesluta kontrollen eller, om det bedöms lämpligt, endast kon- trollera antingen sökandens identitetshandling, fingeravtryck eller ansiktsbild. Bestämmelsen lämnar alltså utrymme för ett mer flexi- belt utlämnande som också kan baseras på en bedömning av risken i det enskilda fallet. Om id-kortet lämnas ut till ett bud krävs dock att både budets och sökandens identitet styrks genom något av de föreskrivna sätten. Skälet till skillnaden är att det i detta fall det inte finns någon person som ansiktsbilden på det kort som lämnas ut kan jämföras emot. 4 § Om ett statligt identitetskort har utfärdats för sökanden och det inte har förstörts, kommit bort eller makulerats, ska kortet ges in för makulering när det nya kortet lämnas ut. I paragrafen uppställs krav på att ett tidigare utfärdat statligt identi- tetskort ska lämnas in för makulering. Övervägandena finns i av- snitt 10.2.9. gällde enligt 6 § IdF och 3 § fjärde stycket förordningen om nationellt identitetskort att det gamla id-kortet som huvudregel skulle lämnas in i samband ansökan. I 15 § IdF och 21 § förordning- en om nationellt identitetskort angavs dock att makulering i stället kunde ske när det nya id-kortet lämnades ut om innehavaren hade behov av det gamla kortet . Bestämmelsen om att det gamla id-kortet ska lämnas in först då det nya lämnas ut införs mot bakgrund av att sökanden kan antas ha stort behov av det gamla id-kortet till dess att det nya lämnas ut, eftersom det kan för- väntas att det i normalfallet är den enda identitetshandling med generell räckvidd som sökanden har. En annan skillnad jämfört med den tidigare regleringen är att även id-kort vars giltighetstid har gått ut ska lämnas in för makulering. På så sätt syns det tydligare att kortet inte längre gäller. Ett tidigare utfärdat statligt identitetskort ska lämnas in oavsett vilken typ av kort som utfärdats tidigare. Det innebär att om ansökan gäller ett id-kort med funktion som resehandling ska ett tidigare utfärdat kort utan sådan funktion lämnas in och vice versa. En och samma person kan alltså bara inneha ett statligt identitetskort i taget oavsett om det har funktion som resehandling eller inte. 1 § Ett statligt identitetskort ska återkallas om 1.det fanns hinder mot att utfärda identitetskortet vid tiden för ut- färdandet och hindret fortfarande består, 2.någon väsentlig uppgift som framgår av identitetskortet är felaktig eller inte längre gäller, 3.någon annan än den som identitetskortet är utställt på förfogar över kortet, eller 4.identitetskortet är trasigt, utslitet eller obehörigen ändrat. Paragrafen reglerar grunderna för återkallelse av det statliga identi- tetskortet. Övervägandena finns i avsnitt 10.2.10. Paragrafen motsvarar delvis 6 § IdL och 9 § förordningen om nationellt identitetskort. Vad som anges i andra punkten om att en väsentlig uppgift som framgår av identitetskortet är felaktig eller inte längre gäller har tidigare endast gällt identitetskort för folkbokförda i . Bestämmelsen omfattar både rena felskrivningar och änd- ringar av personuppgifter, t.ex. om personer har bytt namn eller fått nytt personnummer efter att id-kortet utfärdats. När det gäller identitetskort med funktion som resehandling utgör svenskt med- borgarskap en sådan väsentlig uppgift som avses i bestämmelsen. En ändring beträffande medborgarskapet omfattas därför av den åter- kallelsegrunden. Den särskilda återkallelsegrunden beträffande med- borgarskap som tidigare gällt för nationellt identitetskort förs därför inte in i den nya lagen. Fjärde punkten är ny. Bestämmelsen införs eftersom trasiga, ut- slitna eller obehörigen ändrade id-kort av säkerhetsskäl inte bör gälla som identitetshandlingar. 2 § Om ett statligt identitetskort återkallas enligt 1 § upphör även den statliga e-legitimationen att gälla. Utan att det påverkar giltigheten av identitetskortet ska e-legitima- tionen återkallas om det är nödvändigt av säkerhetsskäl. En återkallelse av e-legitimationen kan, om det är lämpligt med hänsyn till omständigheterna, begränsas till viss bestämd tid, dock högst . Återkallelsen ska hävas så snart de omständigheter som påkallat återkallelsen har upphört. I paragrafen regleras återkallelse av den statliga e-legitimationen. Övervägandena finns i avsnitt 12.15. Om ett statligt identitetskort återkallas på någon av de grunder som anges i 1 § ska enligt första stycket inte heller den statliga e-legi- timationen längre gälla. Det är alltså inte möjligt att ha kvar e-legi- timationen om id-kortet återkallas. Den statliga e-legitimationen kan också återkallas utan att giltig- heten av det fysiska id-kortet påverkas. Det följer av andra stycket att så kan ske om det är nödvändigt av säkerhetsskäl. Det kan avse situa- tioner där bedräglig användning av e-legitimationen rör ett stort antal användare, men det kan också vara fråga om att en enskild e-legiti- mation används på ett sätt som gör att misstanke om bedräglig an- vändning uppstår. En återkallelse på grund av säkerhetsskäl kan enligt tredje stycket begränsas till att gälla , dock högst . Tillfällig åter- kallelse kan användas om det uppstår misstanke om bedräglig an- vändning av e-legitimationen som påkallar ett mycket skyndsamt agerande innan en fullständig utredning kunnat göras. Av 25 § första stycket 3 förvaltningslagen framgår att en myndighets beslut får med- delas utan föregående kommunikation med parten om ett väsentligt allmänt eller enskilt intresse kräver det. Ett beslut om tillfällig återkallelse bör därför ofta kunna fattas utan att parten under- rättas i förväg. En tillfällig återkallelse ska hävas så snart de omständigheter som påkallat återkallelsen har upphört. Det kan efter en mer utförlig utred- ning visa sig att säkerhetsbristen inte var så allvarlig som inlednings- vis befarats. Det kan också vara fråga om en brist som har åtgärdats. Om säkerhetsbristen inte kan åtgärdas ska i stället e-legitimationen återkallas permanent. En statlig e-legitimation som har återkallats eller upphört att gälla enligt paragrafen ska inte längre kunna användas och ska därför spär- ras elektroniskt. Vid en tillfällig återkallelse måste den utfärdande myndigheten dock se till att spärren inte görs permanent. Om en innehavare inte längre vill använda den statliga e-legitimationen, t.ex. för att det inte känns säkert efter att en tillfällig återkallelse hävts, ska också e-legitimationen upphöra att gälla och spärras. 6 kap. Behandling av personuppgifter Förhållandet till annan reglering 1 § Detta kapitel kompletterar och rådets förord- ning (EU) 2016/679 av om skydd för fysiska per- soner med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), här benämnd EU:s dataskyddsförord- ning. Vid behandling av personuppgifter enligt detta kapitel gäller lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsför- ordning och föreskrifter som har meddelats i anslutning till den lagen, om inte annat följer av detta kapitel eller föreskrifter som har meddelats i anslutning till kapitlet. I paragrafen tydliggörs förhållandet mellan bestämmelserna i kapitlet och bestämmelserna i annan svensk dataskyddsreglering respektive i dataskyddsförordningen. Övervägandena finns i avsnitt 10.3.1. Bestämmelsen motsvarar 10 § IdL och är en upplysning till tillämp- aren om att det finns andra dataskyddsbestämmelser som är tillämp- liga. I första stycket anges att bestämmelserna i kapitlet kompletterar EU:s dataskyddsförordning. Dataskyddsförordningen är direkt till- lämplig i varje medlemsstat. Det innebär att den automatiskt är en del av den svenska rättsordningen. I vissa avseenden förutsätter eller tillåter dataskyddsförordningen emellertid att medlemsstaterna inför bestämmelser som kompletterar förordningen, antingen i form av preciseringar eller i form av undantag. Kapitlet innehåller bestämmel- ser som kompletterar dataskyddsförordningen när det gäller id-korts- registret och annan behandling av personuppgifter. Hänvisningen till dataskyddsförordningen är dynamisk, dvs. avser förordningen i dess gällande lydelse. I andra stycket upplyses om att dataskyddslagen och föreskrifter som har meddelats i anslutning till den lagen gäller vid behandling av personuppgifter enligt detta kapitel. Detta gäller dock endast om inte något annat följer av kapitlet eller av föreskrifter som har med- delats i anslutning till kapitlet. 2 § Den myndighet som för register över statliga identitetskort och stat- liga e-legitimationer är personuppgiftsansvarig för behandling av per- sonuppgifter i registret. De utfärdande myndigheterna är personuppgiftsansvariga för den be- handling av personuppgifter som respektive myndighet i övrigt utför i verksamheten med statliga identitetskort och statliga e-legitimationer. Paragrafen innehåller bestämmelser om personuppgiftsansvar. Över- vägandena finns i avsnitt 10.3.1 och 11.4.4. Av första stycket framgår att den myndighet som enligt 5 § för register över statliga identitetskort och statliga e-legitimationer är personuppgiftsansvarig för behandlingen av personuppgifter i registret. Vilken myndighet som ska föra register och därmed ha personupp- giftsansvaret bestäms av regeringen. Personuppgiftsansvaret innebär ett ansvar för att behandlingen stämmer överens med dataskydds- förordningen och de kompletterande bestämmelser till denna som finns i nationell rätt, dvs. i den generella regleringen i dataskydds- lagen, i denna lag och i föreskrifter som meddelats med stöd av dessa lagar. I andra stycket anges att de utfärdande myndigheterna i övrigt är personuppgiftsansvariga för den behandling av personuppgifter som respektive myndighet utför. Varje utfärdande myndighet ansvarar alltså själv för den behandling av personuppgifter som sker inom ra- men för myndighetens verksamhet. Bestämmelsen gäller bl.a. för be- handlingen av fingeravtryck eftersom den inte sker i id-kortsregistret. 3 § Personuppgifter får behandlas om det är nödvändigt för den ut- färdande myndighetens verksamhet för utfärdande av statligt identitets- kort och statlig e-legitimation. Personuppgifter som behandlas enligt första stycket får även behandlas 1.om det är nödvändigt för utfärdande av pass, 2.av om det är nödvändigt för gränskontroll, 3.av om det är nödvändigt för att förebygga, för- hindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott eller upprätthålla allmän ordning och säkerhet, 4.om det är nödvändigt för att fullgöra uppgiftsutlämnande som sker i överensstämmelse med lag eller förordning, och 5.för andra ändamål, under förutsättning att uppgifterna inte be- handlas på ett sätt som är oförenligt med det ändamål för vilket upp- gifterna samlades in. I paragrafen anges de ändamål för vilka personuppgifter får behand- las. Ändamålsbestämmelsen omfattar all behandling av personupp- gifter i id-kortsverksamheten och inte endast den som sker i id-korts- registret. Övervägandena finns i avsnitt 10.3.2 och 12.16. Det huvudsakliga ändamålet med behandlingen är naturligtvis som framgår enligt första stycket att den är nödvändig i den utfärd- ande myndighetens verksamhet för utfärdande av statligt identitets- kort och statlig e-legitimation. Detta är de primära ändamålen. Per- sonuppgifter får både samlas in och vidarebehandlas för dessa ända- mål. Bestämmelsen motsvarar i sak vad som tidigare gällt för både identitetskort för folkbokförda i och för nationellt identi- tetskort enligt 12 § första stycket IdL respektive 15 § förordningen om nationellt identitetskort. Att behandlingen ska vara nödvändig för ändamålet innebär inte ett krav på att behandlingsåtgärden ska vara oundgänglig för ända- målet. Det unionsrättsliga begreppet nödvändig har inte en så strikt innebörd. Behandlingen kan anses nödvändig, och därmed tillåten, om behandlingen leder till effektivitetsvinster. Att behandlingen skulle kunna ske manuellt, dvs. utan tekniska hjälpmedel, medför därför normalt inte att automatisk behandling inte anses nödvändig. I andra stycket regleras de sekundära ändamålen. Endast sådana uppgifter som redan har samlats in för de ändamål som anges i första stycket får behandlas för dessa ändamål. Det är alltså inte tillåtet att samla in personuppgifter för dessa ändamål. Personuppgifter, som får behandlas i id-kortsverksamheten, får enligt första punkten även behandlas om det är nödvändigt för att ut- färda pass. Bestämmelsen klargör att uppgifterna som finns i id-korts- verksamheten även får behandlas om det behövs för att utfärda pass. Det kan exempelvis vara nödvändigt att kontrollera uppgifter i id- kortsregistret i syfte att se till att inte samma person innehar flera identitetshandlingar med olika identiteter och att sökanden inte an- söker om att få ett pass med en annan persons identitet. De personuppgifter som har samlats in i id-kortsverksamheten får även enligt andra punkten vidarebehandlas av om det är nödvändigt för gränskontroll. Med gränskontroll avses kontroll av svenska och utländska medborgare som passerar gränser eller Schengengränserna. har enligt 5 a § passlagen och 9 kap. 1 § utlänningslagen huvudansvaret för sådan kontroll. Bestämmelsen tydliggör att får behandla de personuppgifter som finns i id-kortsverksamheten om det är nödvändigt för gränskontroll. biträds i gränskon- trollverksamheten av , och Migrations- Dessa myndigheters behov av att kunna ta del av person- uppgifter i id-kortsregistret tillgodoses emellertid framför allt av den sekundära ändamålsbestämmelsen om uppgiftslämnande som sker i överensstämmelse med lag eller förordning, se nedan. Personuppgifter som behandlas i id-kortsverksamheten får enligt tredje punkten även behandlas av om det är nöd- vändigt för att förebygga, förhindra eller upptäcka brottslig verk- samhet, utreda eller lagföra brott eller upprätthålla allmän ordning och säkerhet. Ändamålen motsvarar 1 kap. 1 § lagen om polisens be- handling av personuppgifter inom brottsdatalagens område. Vid den fortsatta behandlingen för dessa ändamål gäller den lagen och brotts- datalagen. Såväl för de myndigheter som bistår Polisen med gränskontroll, som för de myndigheter som jämte Polisen har ansvar för brotts- bekämpningen, finns behov att ta del av uppgifter i id-kortsregistret. Dessa myndigheter kan få del av uppgifterna med stöd av fjärde punkten som föreskriver att de får vidarebehandlas om det behövs för att fullgöra uppgiftslämnande som sker i överensstämmelse med lag eller förordning. Bestämmelsen motsvarar 12 § andra stycket IdL. Att uppgiftslämnandet ska ske i överensstämmelse med lag eller förordning innebär att det ska ske med stöd av bestämmelser som antingen påbjuder eller tillåter utlämnande. Bestämmelser om upp- giftslämnande finns t.ex. i 6 kap. 5 § OSL. I bestämmelsen finns en allmän skyldighet för en myndighet att på begäran av en annan myn- dighet lämna ut uppgifter som inte omfattas av sekretess, om det inte skulle hindra arbetets behöriga gång. I femte punkten erinras också om att den s.k. finalitetsprincipen därutöver gäller vid behandling av personuppgifter enligt lagen. Prin- cipen innebär att personuppgifter inte får behandlas på ett sätt som är oförenligt med de ändamål för vilka uppgifterna samlades in. Be- stämmelsen innebär att personuppgifter, som behandlas för de ända- mål som uttryckligen anges i paragrafen även får behandlas för andra ändamål när det inte strider mot finalitetsprincipen. Bestämmelsen är utformad i nära anslutning till artikel 5.1 b i dataskyddsförord- ningen och ska ges en tolkning som har stöd i förordningen. Det innebär bl.a. att behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ända- mål i enlighet med artikel 89.1 i förordningen inte ska anses vara oförenlig med insamlingsändamålen. Rätten att göra invändningar 4 § Artikel 21.1 i EU:s dataskyddsförordning om rätten att göra in- vändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen. Paragrafen innehåller en begränsning av den registrerades rätt att göra invändningar enligt artikel 21.1 i dataskyddsförordningen. Över- vägandena finns i avsnitt 10.3.1. Bestämmelsen innebär ett undantag från den rätt att invända mot behandling av personuppgifter som regleras i artikel 21.1 i data- skyddsförordningen. Enligt den artikeln ska den registrerade, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att när som helst göra invändningar mot behandling av personuppgifter. Den personuppgiftsansvarige får då inte längre behandla personupp- gifterna om denne inte kan påvisa tvingande berättigade skäl för be- handlingen som väger tyngre än den registrerades intressen. Med- lemsstaterna får emellertid, med stöd i artikel 23 i förordningen, under vissa förutsättningar införa undantag från denna bestämmelse. Åtgärden att ska utgöra en nödvändig och proportionell åtgärd i syfte att säkerställa den nationella säkerheten, försvaret eller den allmänna säkerheten. Vid sådan behandling av personuppgifter som är tillåten enligt lagen eller föreskrifter som har meddelats i anslutning till den gäller alltså inte rätten att göra invändningar enligt dataskyddsförordningen. Hänvisningen till dataskyddsförordningen är dynamisk, dvs. avser förordningen i dess gällande lydelse. Bestämmelsen omfattar all behandling av personuppgifter som är tillåten enligt lagen eller föreskrifter som meddelats i anslutning till den och inte endast den som sker i id-kortsregistret. Register över identitetskort och e-legitimationer Register som ska föras 5 § Den myndighet som regeringen bestämmer ska med hjälp av auto- matiserad behandling föra register över statliga identitetskort och stat- liga e-legitimationer. I paragrafen anges att ett register ska föras över statliga identitets- kort och statliga e-legitimationer, ett id-kortsregister, och innebär en delegation till regeringen att besluta om vilken myndighet som ska föra registret. Övervägandena finns i avsnitt 10.3.1.