prop · H8035 · 2020-09-15 00:00:00 — Om inga integritetshöjande åtgärder vidtas skulle behandling av känsliga personuppgifter vid test och validering av ny teknik kunna innebära en hög risk för den enskildes personliga integritet. Under förutsättning att åtgärder vidtas för att säkerställa skyddet för personuppgifterna kan integritetsriskerna dock minimeras. Det kan i sammanhanget nämnas att Datainspektionen, i den planerade pilotstudien, bedömde att hade vidtagit de integritetshöjande åtgärder som kunde anses rimliga. I det följande föreslås att samma höga krav bör ställas på behandling av känsliga personuppgifter i testverksamhet som vid sådan behandling i skarp drift, bl.a. genom att behandling av känsliga personuppgifter bara tillåts om uppgifterna är absolut nödvändiga för syftet med behandlingen. Därutöver måste naturligtvis de krav som dataskyddsförordningen uppställer på bl.a. öppenhet, uppgiftsminimering, riktighet, proportionalitet och säkerhet uppfyllas även vid testverksamhet. Sammantaget anser regeringen att behandling av känsliga personuppgifter i testverksamhet bör tillåtas. Inte heller Datainspektionen invänder mot förslaget. Utlänningsdatalagen bör alltså ändras så att känsliga personuppgifter får behandlas i testverksamhet. Samma krav bör ställas på behandling av känsliga personuppgifter i testverksamhet som vid behandling av känsliga personuppgifter i övrigt I promemorian föreslås, i likhet med vad som gäller för de övriga ändamål som anges i 14 § utlänningsdatalagen, att bestämmelsen ska omfatta samtliga kategorier av känsliga personuppgifter. Justitiekanslern ifrågasätter om det är nödvändigt och ombudsmän efterfrågar en analys av om det finns behov av att helt slopa förbudet mot att behandla känsliga personuppgifter i testverksamhet. Vid behandling av känsliga personuppgifter i skarp drift finns det inga begränsningar när det gäller vilka slags uppgifter som får behandlas eller vilka myndigheter som får behandla uppgifterna (14 § första stycket 1 utlänningsdatalagen). Som nämnts föreslås nedan att samma höga krav ska gälla för behandling av känsliga personuppgifter i testverksamhet som uppställs vid behandling i skarp drift. Det kommer t.ex. bara vara tillåtet att behandla känsliga personuppgifter om det är absolut nödvändigt. Enligt regeringen talar detta för att det inte heller bör finnas några begränsningar när det gäller vilka kategorier av känsliga personuppgifter som får behandlas i testverksamhet eller vilka myndigheter som får behandla uppgifterna. Vidare har den tekniska utvecklingen förändrat förutsättningarna för att använda ny teknik, framför allt biometri. t.ex. utvecklats helt nya möjligheter att använda ansiktsigenkänning, vilket återspeglas i bl.a. EU-rättsakter som rör utlänningars inresa, utresa och vistelse i medlemsstaterna. Utvecklingen går fort och det är svårt att förutse vad som kommer att vara möjligt och vilka krav som då kommer att ställas på medlemsstaterna. Utlänningsdatalagens regler är tänkta att vara flexibla för att passa de olika myndigheternas verksamhet och för att möjliggöra utveckling och effektivisering av myndigheternas verksamhet och it-stöd. På grund av den snabba tekniska utvecklingen har målsättningen också varit att i så stor utsträckning som möjligt göra utlänningsdatalagen teknikneutral (prop. 2015/16:65 s. 37). Regeringen anser sammantaget att förbudet mot att behandla känsliga personuppgifter i testverksamhet bör slopas helt. Det innebär att samtliga kategorier av känsliga personuppgifter bör omfattas av bestämmelsen och att det inte bör finnas någon begränsning gällande vilka myndigheter som får behandla sådana uppgifter i testverksamhet. önskar ett förtydligande av vad som utgör behandling av biometriska uppgifter. Som nämns i avsnitt 4 definieras biometriska uppgifter i dataskyddsförordningen som personuppgifter som erhållits genom en särskild teknisk behandling som rör en persons fysiska, fysiologiska eller beteendemässiga kännetecken och som möjliggör eller bekräftar identifieringen av denna fysiska person, såsom ansiktsbilder eller fingeravtrycksuppgifter (artikel 4.14). Definitionen av biometriska uppgifter är unionsrättslig och uttolkas ytterst av . Det är inte möjligt för regeringen att närmare slå fast vad som faller inom definitionen av biometriska uppgifter. Det är i stället en fråga för rättstillämparen att ta ställning till i det enskilda fallet. Regeringen har tidigare dock bedömt att fotografier och filmer som inte bearbetas tekniskt i syfte att åstadkomma identifiering faller utanför definitionen. Om de däremot bearbetas i exempelvis ett ansiktsigenkänningsprogram så att det går att identifiera personer på bilden eller filmen omfattas de av definitionen (jfr prop. 2017/18:232 s. 86 och prop. 2017/18:254 s. 33 f.). Regeringen gör ingen annan bedömning . I promemorian föreslås att det ska krävas att uppgifterna är absolut nödvändiga för syftet med behandlingen för att känsliga personuppgifter ska få behandlas i testverksamhet. Enligt vore det värdefullt med ytterligare vägledning när det gäller bedömningen av vad som är absolut nödvändigt. anser att begreppet är olämpligt eftersom det lämnar ett brett tolkningsutrymme för de tillämpande myndigheterna. får behandling av känsliga personuppgifter endast ske om behandlingen är absolut nödvändig. Regleringen i utlänningsdatalagen bör enligt regeringen vara enhetlig. Det är därför inte lämpligt att använda ett annat rekvisit för behandling känsliga personuppgifter i testverksamhet. Genom kravet på att uppgifterna ska vara absolut nödvändiga tydliggörs att behandlingen av känsliga personuppgifter ska ske med försiktighet och att behovet ska prövas noga i det enskilda fallet. En sådan prövning ska inte bara göras när uppgiften samlas in eller behandlas utan även vid senare behandling av den redan insamlade uppgiften (prop. 2015/16:65 s. 81). I testverksamhet kan behandling av känsliga personuppgifter normalt inte anses vara absolut nödvändig om det är möjligt att nå ett rättssäkert och tillförlitligt resultat genom att använda 2020/21:5 alternativa och mindre integritetskänsliga tillvägagångssätt, t.ex. fiktiva eller avidentifierade uppgifter. Andra bestämmelser till skydd för den personliga integriteten Utlänningsdatalagen innehåller även andra bestämmelser som är ägnade att värna den enskildes personliga integritet, t.ex. behörighetsregler och regler om förbud mot att söka på bl.a. känsliga personuppgifter i databaser. I propositionen Anpassning av utlänningsdatalagen till EU:s dataskyddsförordning bedömde regeringen att den nuvarande regleringen uppfyllde dataskyddsförordningens krav på lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen och att utlänningsdatalagens bestämmelser om känsliga personuppgifter var förenliga med dataskyddsförordningen (prop. 2017/18:254 s. 33). Det saknas skäl att nu göra en annan bedömning. Den personuppgiftsbehandling som möjliggörs genom förslaget uppfyller alltså de krav som uppställs i artikel i dataskyddsförordningen. Förslaget ligger också i linje med annan lagstiftning, t.ex. lagen om polisens behandling av personuppgifter inom brottsdatalagens område. Som nämnts måste naturligtvis de krav som dataskyddsförordningen ställer på bl.a. öppenhet, uppgiftsminimering, riktighet, proportionalitet och säkerhet uppfyllas även vid testverksamhet. En myndighet som önskar behandla känsliga personuppgifter med stöd av den föreslagna bestämmelsen är i vissa fall också skyldig att samråda med Datainspektionen före behandling (artikel 36.1 i dataskyddsförordningen). efterfrågar ett klargörande gällande tillämpningsområdet för den föreslagna bestämmelsen med hänsyn till testverksamhet som kommer att genomföras i inom ramen för det europeiska samarbetet. Förslaget innebär ingen ändring av tillämpningsområdet i förhållande till . Avgörande för om utlänningsdatalagen är tillämplig i ett enskilt fall är således om det är fråga om behandling av personuppgifter som , eller utlandsmyndigheterna vidtar i sådan verksamhet som räknas upp i, när det gäller och utlandsmyndigheterna, 2 § eller, när det gäller , 3 § och som inte omfattas av något av de undantag som listas i lagen, t.ex. avseende vissa EU-rättsakter (se avsnitt 4). Regeringens förslag: Lagändringen ska träda i kraft . Regeringens bedömning: Det finns inte något behov av övergångsbestämmelser. Promemorians förslag och bedömning överensstämmer delvis med regeringens. I promemorian föreslås ett senare ikraftträdande. Remissinstanserna: anser att lagändringen bör träda Prop. 2020/21:5 i kraft . I övrigt yttrar sig ingen remissinstans särskilt i Skälen för regeringens förslag och bedömning: I promemorian föreslås att lagändringarna ska träda i kraft . Enligt blir detta , bl.a. i förhållande till den tidsplan som tagits fram inom det europeiska samarbetet. anser att lagändringen i stället bör träda i kraft och påpekar att även med ett sådant ikraftträdande kan planerade förberedelser komma att behöva bedrivas . Även regeringen anser att lagändringen bör träda i kraft . Ett tidigare ikraftträdande än bedöms dock inte vara möjligt. Det finns inte något behov av övergångsbestämmelser. Regeringens bedömning: Förslaget innebär inga ökade kostnader. Promemorians bedömning överensstämmer med regeringens. Remissinstanserna yttrar sig inte särskilt i denna del. Skälen för regeringens bedömning: Genom förslaget undanröjs förbudet för , och utlandsmyndigheterna att behandla känsliga personuppgifter i testverksamhet. Det innebär att myndigheterna, om det är absolut nödvändigt, kan få behandla sådana personuppgifter för att t.ex. kontrollera att befintliga itsystem fungerar på ett effektivt och rättssäkert sätt och pröva och utveckla ny teknik. Om förslaget inte genomförs blir möjligheterna till kontroll och utveckling av tekniska system begränsad. skulle t.ex. inte kunna införa de tekniska system som krävs enligt det europeiska samarbetet. Förslaget innebär i sig inga ökade kostnader, vare sig för det allmänna eller för enskilda. Förslaget bedöms inte heller ha någon påverkan på jämställdheten mellan kvinnor och män eller få några sociala eller miljömässiga konsekvenser. När det gäller den personliga integriteten innebär förslaget att känsliga personuppgifter får användas i fler situationer än . Konsekvenserna beskrivs i avsnitt 5. Förslaget till lag om ändring i utlänningsdatalagen (2016:27) Personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) får endast behandlas 1.för de ändamål som anges i 11 och 13 §§ om uppgifterna är absolut nödvändiga för syftet med behandlingen, eller 2.i löpande text för det ändamål som anges i 12 § 2, om uppgifterna är absolut nödvändiga för att fullgöra arbetsuppgifter i sådan verksamhet som anges i 2 §. Första stycket hindrar inte att känsliga personuppgifter behandlas med stöd av 15 §. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela 1.ytterligare föreskrifter om inskränkningar av möjligheten att behandla känsliga personuppgifter, och 2.föreskrifter om gallring. Paragrafen reglerar behandling av känsliga personuppgifter. Övervägandena finns i avsnitt 5. Ändringen i första stycket 1 innebär att känsliga personuppgifter får behandlas i testverksamhet om uppgifterna är absolut nödvändiga för syftet med behandlingen. Genom ändringen får myndigheterna möjlighet att använda känsliga personuppgifter t.ex. för att kontrollera att befintliga tekniska system fungerar eller för att pröva och utveckla nya tekniska system. Att behandlingen av de känsliga personuppgifterna ska vara absolut nödvändig innebär att behandlingen bör ske med försiktighet och aldrig slentrianmässigt. Det innebär däremot inte att känsliga personuppgifter endast får behandlas i undantagsfall. Verksamheten på utlännings- och medborgarskapsområdet kräver inte sällan att känsliga personuppgifter kan behandlas. Genom kravet på absolut nödvändighet markeras dock att behandling ska ske med restriktivitet och att behovet av att behandla sådana uppgifter ska prövas noga i det enskilda fallet. En sådan prövning ska inte bara göras när uppgiften samlas in eller behandlas utan även vid senare behandling av redan insamlade uppgifter (jfr prop. 2015/16:65 s. 81 och 121). I testverksamhet kan behandling av känsliga personuppgifter normalt inte anses vara absolut nödvändig om det är möjligt att nå ett rättssäkert och tillförlitligt resultat genom att använda alternativa och mindre integritetskänsliga tillvägagångssätt, t.ex. fiktiva eller avidentifierade uppgifter. Sammanfattning av promemorian Behandling av känsliga personuppgifter i testverksamhet Enligt utlänningsdatalagen (2016:27) är det normalt förbjudet att behandla känsliga personuppgifter i testverksamhet. I promemorian föreslås att sådana personuppgifter ska få behandlas i testverksamhet om uppgifterna är absolut nödvändiga för syftet med behandlingen. Förslaget innebär att , och utlandsmyndigheterna kan få behandla känsliga personuppgifter för att t.ex. kontrollera att befintliga itsystem fungerar på ett effektivt och rättssäkert sätt eller pröva och utveckla ny teknik för att kunna delta i det internationella samarbetet. Lagändringen föreslås träda i kraft . 2020/21:5 Bilaga 1 2020/21:5 Bilaga 2 Förslag till lag om ändring i utlänningsdatalagen (2016:27) Härigenom föreskrivs att 14 § utlänningsdatalagen (2016:27) ska ha följande lydelse. Personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) får endast behandlas 1. för de ändamål som anges i 1. för de ändamål som anges i 11 § 1–4 och 6 samt 13 § om 11 och 13 §§ om uppgifterna är uppgifterna är absolut nödvändiga absolut nödvändiga för syftet med för syftet med behandlingen, eller 2.i löpande text för det ändamål som anges i 12 § 2, om uppgifterna är absolut nödvändiga för att fullgöra arbetsuppgifter i sådan verksamhet som anges i 2 §. Första stycket hindrar inte att känsliga personuppgifter behandlas med stöd av 15 §. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela 1.ytterligare föreskrifter om inskränkningar av möjligheten att behandla känsliga personuppgifter, och 2.föreskrifter om gallring. Denna lag träder i kraft . 1Senaste lydelse 2018:1611. 2020/21:5 Bilaga 3 Efter remiss har yttranden över promemorian Behandling av känsliga personuppgifter i testverksamhet kommit in från Datainspektionen, , Förvaltningsrätten i , Justitiekanslern, i , , , ombudsmän, , i , i , i , samt Säkerhetspolisen. Swedavia har erbjudits att lämna synpunkter men avstått. 2020/21:5 Bilaga 4 Förslag till lag om ändring i utlänningsdatalagen (2016:27) Härigenom föreskrivs att 14 § utlänningsdatalagen (2016:27) ska ha följande lydelse. Personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) får endast behandlas 1. för de ändamål som anges i 1. för de ändamål som anges i 11 § 1–4 och 6 samt 13 § om 11 och 13 §§ om uppgifterna är uppgifterna är absolut nödvändiga absolut nödvändiga för syftet med för syftet med behandlingen, eller 2.i löpande text för det ändamål som anges i 12 § 2, om uppgifterna är absolut nödvändiga för att fullgöra arbetsuppgifter i sådan verksamhet som anges i 2 §. Första stycket hindrar inte att känsliga personuppgifter behandlas med stöd av 15 §. Regeringen kan med stöd av 8 kap. 7 § regeringsformen meddela 1.ytterligare föreskrifter om inskränkningar av möjligheten att behandla känsliga personuppgifter, och 2.föreskrifter om gallring. Denna lag träder i kraft . 1Senaste lydelse 2018:1611. Utdrag ur protokoll vid sammanträde Närvarande: F.d. justitierådet samt justitieråden Behandling av känsliga personuppgifter i testverksamhet Enligt en lagrådsremiss har regeringen () beslutat inhämta Lagrådets yttrande över förslag till lag om ändring i utlänningsdatalagen (2016:27). Förslaget har inför Lagrådet föredragits av rättssakkunniga Lagrådet lämnar förslaget utan erinran. Utdrag ur protokoll vid regeringssammanträde Närvarande: statsminister , ordförande, och statsråden , , , , , , , , Shekarabi, Ygeman, , , , , , , , , , Regeringen beslutar proposition Behandling av känsliga personuppgifter i testverksamhet enligt utlänningsdatalagen