prop · H8035 · 2020-09-15 00:00:00 — Regeringens proposition 2020/21:5 Behandling av känsliga personuppgifter i Regeringen överlämnar denna proposition till . Regeringen föreslår att känsliga personuppgifter ska få behandlas i testverksamhet enligt utlänningsdatalagen om uppgifterna är absolut nödvändiga för syftet med behandlingen. Förslaget innebär att , och utlandsmyndigheterna i sin verksamhet enligt utlännings- och medborgarskapslagstiftningen kan få behandla känsliga personuppgifter för att t.ex. kontrollera att befintliga itsystem fungerar på ett effektivt och rättssäkert sätt eller pröva och utveckla ny teknik för att kunna delta i det internationella samarbetet. Lagändringen föreslås träda i kraft . Förslag till riksdagsbeslut ................................................................. Förslag till lag om ändring i utlänningsdatalagen (2016:27) ............ Ärendet och dess beredning .............................................................. Nuvarande bestämmelser om behandling av känsliga Känsliga personuppgifter ska få användas i testverksamhet ........... Ikraftträdande- och övergångsbestämmelser................................... Sammanfattning av promemorian Behandling av känsliga personuppgifter i testverksamhet ....................... Förteckning över remissinstanserna ................................. Utdrag ur protokoll vid regeringssammanträde antar regeringens förslag till lag om ändring i utlänningsdatalagen (2016:27). 2Förslag till lag om ändring i utlänningsdatalagen (2016:27) Härigenom föreskrivs att 14 § utlänningsdatalagen (2016:27) ska ha följande lydelse. Personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) får endast behandlas 1. för de ändamål som anges i 1. för de ändamål som anges i 11 § 1–4 och 6 samt 13 § om 11 och 13 §§ om uppgifterna är uppgifterna är absolut nödvändiga absolut nödvändiga för syftet med för syftet med behandlingen, eller 2.i löpande text för det ändamål som anges i 12 § 2, om uppgifterna är absolut nödvändiga för att fullgöra arbetsuppgifter i sådan verksamhet som anges i 2 §. Första stycket hindrar inte att känsliga personuppgifter behandlas med stöd av 15 §. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela 1.ytterligare föreskrifter om inskränkningar av möjligheten att behandla känsliga personuppgifter, och 2.föreskrifter om gallring. Denna lag träder i kraft . 1Senaste lydelse 2018:1611. Ärendet och dess beredning Flera EU-rättsakter som rör utlänningars inresa, utresa och vistelse i medlemsstaterna innehåller bestämmelser som möjliggör eller kräver behandling av känsliga personuppgifter, t.ex. biometriska uppgifter i samband med gränskontroll. För att kunna genomföra kontroller krävs inte sällan att tekniska system först utvecklas och testas. Enligt utlänningsdatalagen (2016:27) – som reglerar behandling av personuppgifter i , och utlandsmyndigheternas verksamhet enligt utlännings- och medborgarskapslagstiftningen – är det förbjudet att behandla känsliga personuppgifter i testverksamhet. Det innebär att det inte finns rättsligt stöd för berörda myndigheter att utveckla och testa nödvändig teknik. Datainspektionen bedömde , inom ramen för ett förhandssamråd om en planerad pilotstudie med biometrisk ansiktsverifiering vid , att det finns ett uppenbart behov för att kunna behandla känsliga personuppgifter i testverksamhet men konstaterade att det saknas lagstöd för det i utlänningsdatalagen. Det har inom utarbetats en promemoria som behandlar frågan om känsliga personuppgifter bör få användas i testverksamhet i sådan behandling som sker med stöd av utlänningsdatalagen. En sammanfattning av promemorian finns i bilaga 1 och promemorians lagförslag finns i bilaga 2. Promemorian har remissbehandlats. En förteckning över remissinstanserna finns i bilaga 3. Promemorian och remissyttrandena finns tillgängliga i (Ju2020/00975/L7). Regeringen beslutade att inhämta Lagrådets yttrande över lagförslaget i bilaga 4. Lagrådets yttrande finns i bilaga 5. Lagrådet lämnade förslaget utan erinran. I förhållande till lagrådsremissen föreslås att ikraftträdandet tidigareläggs med en månad. Denna ändring är författningstekniskt och även i övrigt av sådan beskaffenhet att Lagrådets hörande skulle sakna betydelse. Regeringen har därför inte inhämtat Lagrådets yttrande över förslaget. 4Nuvarande bestämmelser om behandling av känsliga personuppgifter Grundläggande reglering om skydd av den personliga integriteten Enligt 2 kap. 6 § andra stycket regeringsformen är var och en – utöver vad som anges i första stycket i paragrafen – skyddad gentemot det allmänna mot betydande intrång i den personliga integriteten, om det sker utan samtycke och innebär övervakning eller kartläggning av den enskildes personliga förhållanden. Inskränkningar i detta skydd får endast göras genom lag och bara för att tillgodose ändamål som är godtagbara i ett 2020/21:5 demokratiskt samhälle (2 kap. 20 och 21 §§ regeringsformen). För andra än svenska medborgare får skyddet dock begränsas genom lag utan de särskilda krav som följer av 2 kap. 21 § regeringsformen (2 kap. 25 § första stycket 3 regeringsformen). Grundlagsskyddet omfattar enbart betydande intrång i den personliga integriteten. I förarbetena till bestämmelsen framhålls att det är naturligt att det läggs stor vikt vid uppgifternas karaktär vid bedömningen av hur ingripande intrånget kan anses vara i samband med insamling, lagring och bearbetning eller utlämnande av uppgifter om enskildas personliga förhållanden. Ju känsligare uppgifterna är, desto mer ingripande anses det allmännas hantering av uppgifterna normalt vara. Även hantering av ett fåtal uppgifter kan med andra ord innebära ett betydande intrång i den personliga integriteten om uppgifterna är av mycket känslig karaktär. Vid bedömningen av intrångets karaktär är det också naturligt att stor vikt läggs vid ändamålet med behandlingen. En hantering som syftar till att utreda brott kan enligt förarbetena normalt anses vara mer känslig än t.ex. en hantering som uteslutande sker för att ge en myndighet underlag för förbättringar av kvaliteten i handläggningen. Mängden uppgifter kan också vara en betydelsefull faktor i sammanhanget (prop. 2009/10:80 s. 183). Genom lagen (1994:1219) om den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna gäller och vissa av dess tilläggsprotokoll som lag i . Av 2 kap. 19 § regeringsformen följer att lag och annan föreskrift inte får meddelas i strid med åtaganden på grund av . Enligt artikel 8 i konventionen har var och en rätt till respekt för sitt privat- och familjeliv, sitt hem och sin korrespondens. Inskränkningar i dessa rättigheter får endast göras med stöd av lag och om det i ett demokratiskt samhälle är nödvändigt för vissa i artikeln uppräknade ändamål, bl.a. hänsyn till den allmänna säkerheten och förebyggande av oordning och brott. Artikel 8 skyddar bl.a. mot felaktig behandling av personuppgifter (se exempelvis m.fl. mot , Ansökan 62332/00, dom ). Även Europeiska unionens stadga om de grundläggande rättigheterna innehåller bestämmelser om behandling av personuppgifter. Dataskyddsförordningens bestämmelser om känsliga personuppgifter Behandling av personuppgifter som sker i , och utlandsmyndigheternas verksamhet enligt utlännings- och medborgarskapslagstiftningen omfattas av och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning, här benämnd dataskyddsförordningen). För att behandling av personuppgifter ska vara laglig enligt dataskyddsförordningen måste minst ett av de villkor som anges i artikel 6.1 a–f i förordningen vara uppfyllt. Dessa villkor utgör den rättsliga grunden för behandlingen. Av särskilt intresse för myndigheters verksamhet är artikel 6.1 c som gäller när behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige och artikel 6.1 e som gäller när behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. De rättsliga grunderna i artikel 6.1 c och e ska vara fastställda i enlighet med unionsrätten eller den nationella rätten för att kunna läggas till grund för personuppgiftsbehandling (artikel 6.3 första stycket). Vidare ska syftet med behandlingen fastställas i den rättsliga grunden eller, i fråga om behandling enligt artikel 6.1 e, vara nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning (artikel 6.3 andra stycket). Dataskyddsförordningen innehåller ett principiellt förbud mot att behandla vissa särskilda kategorier av personuppgifter (artikel 9.1). Förbudet omfattar uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning. I svensk rätt betecknas sådana personuppgifter som känsliga personuppgifter (se t.ex. 14 § första stycket utlänningsdatalagen). Förbudet i dataskyddsförordningen mot behandling av känsliga personuppgifter kompletteras av ett antal undantag som gör det möjligt att behandla sådana personuppgifter i vissa fall. Ett sådant undantag är om behandlingen är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen (artikel ). Utlänningsdatalagen är en registerförfattning som kompletterar dataskyddsförordningen (4 a §). Lagen innehåller bestämmelser om , och utlandsmyndigheternas behandling av personuppgifter i deras verksamhet enligt utlännings- och medborgarskapslagstiftningen. Syftet med lagen är att ge myndigheterna möjlighet att behandla personuppgifter på ett ändamålsenligt sätt och att skydda människor mot att deras personliga integritet kränks vid sådan behandling (1 §). Lagen gäller bl.a. behandling av personuppgifter i myndigheternas verksamhet som rör utlänningars inresa och vistelse i och utresa eller avlägsnande från (2 § 1 och 2 samt 3 §). Utlänningsdatalagen gäller dock inte all personuppgiftsbehandling som myndigheterna utför inom migrationsrättsområdet. Enligt 5 och 6 §§ är t.ex. vissa EU-rättsakter undantagna från lagens tillämpningsområde: och rådets förordning (EG) nr 810/2009 av om införande av en gemenskapskodex om viseringar (viseringskodex), och rådets förordning (EU) nr 603/2013 av om inrättande av Eurodac för jämförelse av fingeravtryck för en effektiv tillämpning av förordning (EU) nr 604/2013 om kriterier och mekanismer för att avgöra vilken medlemsstat som är ansvarig för att pröva en ansökan om internationellt skydd som en tredjelandsmedborgare 2020/21:5 eller en statslös person har lämnat in i någon medlemsstat och för när medlemsstaternas brottsbekämpande myndigheter begär jämförelser med Eurodacuppgifter för brottsbekämpande ändamål, samt om ändring av förordning (EU) nr 1077/2011 om inrättande av en Europeisk byrå för den operativa förvaltningen av stora it-system inom området frihet, säkerhet och rättvisa (omarbetning, här benämnd Eurodacförordningen) och – bortsett från rätt till ersättning – och rådets förordning (EG) nr 767/2008 av om informationssystemet för viseringar (VIS) och utbytet mellan medlemsstaterna av uppgifter om viseringar för kortare vistelse (VIS-förordningen). I 11 och 12 §§ utlänningsdatalagen anges för vilka primära ändamål som myndigheterna får behandla personuppgifter. Personuppgifter får behandlas bl.a. om det behövs för att kontrollera en utlänning i samband med inresa och utresa samt för kontroll under vistelsen i (11 § 2). Personuppgifter får även behandlas om det behövs för att utföra testverksamhet (11 § 5). I förarbetena till utlänningsdatalagen uppgav regeringen att myndigheter som bedriver verksamhet enligt utlännings- och medborgarskapslagstiftningen ofta har ett behov av att kunna använda personuppgifter i testverksamhet. Testverksamheten kan t.ex. handla om att kontrollera att befintliga it-system fungerar på ett effektivt och rättssäkert sätt eller att pröva ny teknik i syfte att kunna delta i det internationella samarbetet (prop. 2015/16:65 s. 64 och 117). I propositionen Anpassning av utlänningsdatalagen till EU:s dataskyddsförordning bedömde regeringen att den behandling av personuppgifter som får utföras enligt utlänningsdatalagen är tillåten enligt artikel 6.1 och 6.3 i dataskyddsförordningen (prop. 2017/18:254 s. 14 f.). Utlänningsdatalagens bestämmelser om känsliga personuppgifter Känsliga personuppgifter förekommer i stor utsträckning i den verksamhet som bedrivs på utlännings- och medborgarskapsområdet. Behandling av känsliga personuppgifter regleras i bl.a. 14 § utlänningsdatalagen. Enligt paragrafen får känsliga personuppgifter behandlas för samtliga primära ändamål i 11 § utom testverksamhet (14 § första stycket 1). Känsliga personuppgifter får endast behandlas om det är absolut nödvändigt för syftet med behandlingen. Bestämmelserna om känsliga personuppgifter i 14 § hindrar inte att sådana personuppgifter behandlas med stöd av 15 § (14 § andra stycket). Enligt den paragrafen får föra separata register över fingeravtryck och fotografier som tas med stöd av 9 kap. 8 § utlänningslagen (2005:716). Den sistnämnda paragrafen reglerar möjligheten att ta fotografi och fingeravtryck bl.a. om en utlänning inte kan styrka sin identitet när han eller hon kommer till . Uppgifter om fingeravtryck eller fotografier i registren får användas i testverksamhet (15 § andra stycket 3 utlänningsdatalagen). I propositionen Anpassning av utlänningsdatalagen till EU:s dataskyddsförordning bedömde regeringen att den behandling av känsliga personuppgifter som möjliggörs genom utlänningsdatalagen uppfyller de krav som ställs i artikel i dataskyddsförordningen för att få behandla känsliga personuppgifter (prop. 2017/18:254 s. 30 f.). EU-rättsliga krav på kontroll av biometriska uppgifter Flera EU-rättsakter som rör utlänningars inresa, utresa och vistelse i medlemsstaterna innehåller bestämmelser som möjliggör eller kräver behandling av biometriska uppgifter, t.ex. och rådets förordning (EU) 2016/399 av om en unionskodex om gränspassage för personer (kodex om Schengengränserna) (kodifiering, här benämnd gränskodexen). Biometriska uppgifter definieras som personuppgifter som erhållits genom en särskild teknisk behandling som rör en persons fysiska, fysiologiska eller beteendemässiga kännetecken och som möjliggör eller bekräftar identifieringen av denna fysiska person, såsom ansiktsbilder eller fingeravtrycksuppgifter (artikel 4.14 i dataskyddsförordningen). I skäl 51 i dataskyddsförordningen anges bl.a. att behandling av foton inte systematiskt bör anses utgöra behandling av känsliga personuppgifter eftersom foton endast definieras som biometriska uppgifter när de behandlas med särskild teknik som möjliggör identifiering eller autentisering av en fysisk person. Regeringen har bedömt att fotografier och filmer som inte bearbetas tekniskt i syfte att åstadkomma identifiering faller utanför definitionen av biometriska uppgifter. Om de däremot bearbetas i exempelvis ett ansiktsigenkänningsprogram så att det går att identifiera personer på bilden eller filmen omfattas de av definitionen (prop. 2017/18:232 s. 86 och prop. 2017/18:254 s. 33 f.). I utlänningslagen används genomgående begreppen fotografier och fotografering även för ansiktsbilder. Syftet är att skapa enhetlighet inom utlänningslagen (prop. 2010/11:123 s. 13). trädde en ny EU-förordning i kraft om inrättande av ett in- och utresesystem för tredjelandsmedborgare som passerar unionens yttre gränser; och rådets förordning (EU) 2017/2226 av om inrättande av ett in- och utresesystem för registrering av in- och utreseuppgifter och av uppgifter om nekad inresa för tredjelandsmedborgare som passerar medlemsstaternas yttre gränser, om fastställande av villkoren för åtkomst till in- och utresesystemet för brottsbekämpande ändamål och om ändring av konventionen om tillämpning av och förordningarna (EG) nr 767/2008 och (EU) nr 1077/2011 (här benämnd EES-förordningen). trädde ändringar i gränskodexen i kraft; och rådets förordning (EU) 2017/2225 av om ändring av förordning (EU) 2016/399 vad gäller användningen av in- och utresesystemet. När förordningarna börjar tillämpas fullt ut kommer biometriska uppgifter att kunna användas för olika kontroller (se t.ex. artikel 23 och artikel 26 i EES-förordningen). Gränsmyndigheterna kommer bl.a. att kunna använda sig av ansiktsigenkänning och verifiering av fingeravtryck för att kontrollera tredjelandsmedborgares identitet i samband med gränskontroller. Vissa in- och utresekontroller kommer kunna genomföras via självbetjäningssystem som hanterar biometriska uppgifter. Det finns även bestämmelser som innebär att biometriska uppgifter kommer kunna användas för kontroll av utlänningars identitet inom medlemsstaternas territorium. In- och utresesystemet beräknas tas i drift . Känsliga personuppgifter ska få Regeringens förslag: Känsliga personuppgifter ska få behandlas i testverksamhet enligt utlänningsdatalagen om uppgifterna är absolut nödvändiga för syftet med behandlingen. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: Majoriteten av remissinstanserna tillstyrker eller har inte några synpunkter på förslaget, däribland Datainspektionen, , Kammarrätten i och Justitiekanslern anser att det finns ett tydligt behov av att kunna behandla biometriska uppgifter vid testverksamhet men ifrågasätter om det är nödvändigt att samtliga kategorier av känsliga personuppgifter omfattas. efterfrågar en analys av om det finns behov av att slopa förbudet mot att efterfrågar ett klargörande gällande tillämpnings- området för den föreslagna bestämmelsen med hänsyn till testverksamhet som kommer att genomföras i . ett klargörande av vad som utgör behandling av undrar särskilt om kontroller av hårdvara enbart för upptagning av fotografi eller fingeravtryck innebär behandling av känsliga personuppgifter. värdefullt med ytterligare vägledning när det gäller bedömningen av ”absolut nödvändiga”. förslaget och hänvisar till att promemorian saknar en närmare analys av integritetsriskerna och alternativa tillvägagångssätt, t.ex. användandet av anser också att begreppet ”absolut nödvändiga” är olämpligt. Skälen för regeringens förslag Det är nödvändigt att kunna behandla känsliga personuppgifter i Som nämnts kräver vissa EU-rättsakter som rör utlänningars inresa, utresa och vistelse i medlemsstaterna att känsliga personuppgifter kan behandlas. Utlänningsdatalagens nuvarande utformning innebär att Polis- myndigheten, och utlandsmyndigheterna har rättsligt stöd för att behandla känsliga personuppgifter om uppgifterna är absolut nödvändiga för att kontrollera en utlänning i samband med inresa och utresa eller under vistelsen i . Det är däremot förbjudet att behandla sådana uppgifter för att utföra sådan testverksamhet som är nödvändig för att kunna skapa och utveckla de tekniska system som ska användas vid I annan lagstiftning, t.ex. brottsdatalagen (2018:1177) och lagen (2018:1693) om polisens behandling av personuppgifter inom brottsdatalagens område, finns en möjlighet att behandla känsliga personuppgifter om det är absolut nödvändigt för ändamålet med Det finns alltså inget förbud mot att behandla känsliga personuppgifter i testverksamhet som sker för brottsbekämpande syften. Motsvarande begränsning saknas också när personuppgifter behandlas med stöd av vissa EU-rättsakter på migrationsområdet, t.ex. Eurodac- Förbudet att behandla känsliga personuppgifter i testverksamhet innebär ett hinder för berörda myndigheter att skapa och utveckla nya tekniska system som är nödvändiga för att kunna utföra kontroller som de är ålagda att utföra, t.ex. kontroll av biometriska uppgifter. kan behöva kontrolleras genom tester så att de fungerar på ett effektivt och När det gäller ansiktsigenkänning behöver programvaran exempelvis kunna tränas och valideras på verkliga förhållanden gällande förmågan att jämföra nytagna ansiktsbilder med befintliga ansiktsbilder i chip och på bild i olika länders resehandlingar. vid test och validering behöver återspegla verkliga förhållanden, t.ex. avseende glasögon, smink, frisyrer och huvudbonader. Det är alltså inte möjligt att utföra nödvändiga tester och validering av tekniken för ansiktsigenkänning utan ansiktsbilder. Testverksamheten är en nödvändig förutsättning för att ett sådant system ska kunna användas i skarpt läge på ett rättssäkert och icke-diskriminerande sätt. Det är till och med så att det kan diskuteras om det överhuvudtaget är tekniskt möjligt att ta tekniska system i drift utan en föregående testperiod. , inom ramen för ett förhandssamråd om en planerad pilotstudie med biometrisk ansiktsverifiering vid , bedömt att det finns ett uppenbart behov för att kunna behandla känsliga personuppgifter i testverksamhet men att det saknas lagstöd för det i utlänningsdatalagen. I promemorian föreslås att utlänningsdatalagen ändras så att känsliga personuppgifter får behandlas i testverksamhet. remissinstanserna är positiva till förslaget eller lämnar det utan hänvisning till att promemorian saknar en närmare analys av dels riskerna för enskildas personliga integritet, dels alternativa och mindre integritetskränkande tillvägagångssätt, t.ex. användandet av fiktiva pekar bl.a. på den bedömning Datainspektionen gjorde gällande testverksamhet inför införandet av Utlänningsdatautredning hade föreslagit att känsliga personuppgifter skulle få behandlas i testverksamhet (SOU 2015:73 s. 294 f.). Datainspektionen, som var remissinstans, ansåg att det saknades underlag för att bedöma behov av att kunna behandla känsliga personuppgifter i sådan verksamhet. instämde i Datainspektionens uppfattning att det inte fanns tillräckliga skäl att tillåta behandling av känsliga personuppgifter för testverksamhet och gick inte vidare med utredningens förslag (prop. 2015/16:65 s. 78 f.). påpekar är det viktigt att För att genomföra test och validering och nå tillförlitliga och rättssäkra resultat kan en relativt stor mängd känsliga personuppgifter behöva behandlas. Detta innebär ett integritetsintrång. ta ett system i drift utan testperiod riskerar dock att medföra onödiga och oproportionerliga ingrepp i enskildas personliga integritet eftersom systemet kan innehålla fel och brister. En sådan behandling av känsliga personuppgifter kan strida mot artikel i dataskyddsförordningen och de krav som ställs där om proportionalitet och lämpliga och särskilda 2020/21:5 åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen. Möjligheten att testa ny teknik bidrar alltså till att det kan införas träffsäkra, rättssäkra och effektiva system, där risken för olägenheter i form av felbedömningar till den enskildes nackdel minimeras som en hög säkerhetsnivå kan upprätthållas. Det intrång i enskildas personliga integritet som kan uppkomma när ett system är i skarp drift blir med andra ord mindre om systemet först kan testas. Som nämnts finns det situationer när det inte finns något alternativ till att använda verkliga personuppgifter för att testa och validera nödvändiga tekniska system, dvs. situationer där användandet av fiktiva uppgifter inte skulle ge ett tillförlitligt och rättssäkert resultat.