prop · H90381 · 2021-12-16 00:00:00 — Artikel 40 reglerar förutsättningarna för att en medlemsstat i ett nationellt in- och utreseregister får lagra uppgifter som den medlemsstaten har fört in i in- och Ett sådant nationellt register finns inte i . svårt att se att det skulle finnas något behov av att inrätta ett sådant register Prop. 2021/22:81 när det EU-gemensamma systemet har börjat användas. heller något förslag om ett sådant register i denna proposition. Om ett sådant register ändå skulle inrättas begränsas lagringen i detta system av bestämmelserna i artikel 40. Lagring av biometriska uppgifter torde dock inte vara tillåten i ett nationellt in- och utresesystem. Utrymmet för att lagra de biometriska uppgifter som tas för kontroll vid in- och utresor i ett sådant system får alltså antas vara mycket begränsat. Sammanfattningsvis finns inga bestämmelser i in- och utreseför- ordningen som är tillämpliga på behandling av biometriska uppgifter efter att kontroll har genomförts. Efterföljande behandling regleras varken i gränskodexen eller VIS- Varken gränskodexen eller VIS-förordningen innehåller några uttryckliga bestämmelser om hur de biometriska uppgifter som tas vid in- och utrese- kontroll ska hanteras efter att kontrollen genomförts. innehåller visserligen bestämmelser om lagring av uppgifter från VIS i nationella register (artikel 30). Artikeln liknar artikel 28 i in- och utrese- förordningen så till vida att den reglerar lagring i nationella informations- system av uppgifter från ett EU-system (VIS). Artikel 30 i VIS-för- ordningen är alltså inte tillämplig när det gäller lagring av biometriska uppgifter som tagits av svenska myndigheter i syfte att genomföra en kontroll gentemot VIS. Det finns sammanfattningsvis inga bestämmelser i gränskodexen eller i VIS-förordningen som är tillämpliga vid behandling av biometriska uppgifter efter att de har tagits för de nu berörda syftena. De allmänna dataskyddsrättsliga bestämmelserna Bestämmelser om behandling av personuppgifter – såsom fotografier och fingeravtryck – finns i dataskyddsförordningen, som gäller vid bl.a. gräns- kontroll och utlänningskontroll i den mån verksamheten inte bedrivs i bestämmelser som gäller för all personuppgiftsbehandling som faller inom Bestämmelserna innebär bl.a. att personuppgifter inte får behandlas på ett sätt som är oförenligt med de ändamål för vilka de samlades in och inte får förvaras i en form som möjliggör identifiering av den registrerade än vad som är nödvändigt för de ändamål för vilka personuppgifterna behandlas (artikel 5.1 b och 5.1 e). Biometriska uppgifter räknas som känsliga personuppgifter om de behand- las i syfte att entydigt identifiera en person och de omgärdas därför av särskilda, mer restriktiva bestämmelser för behandlingen (artiklarna 4.14 I svensk rätt kompletteras dataskyddsförordningen av bl.a. utlännings- datalagen, som är en sektorspecifik registerlag som gäller inom bl.a. myndighetens och gränskontrollerande verksamhet och vid utlänningskontroll, i den mån verksamheten inte bedrivs i brotts- bekämpande syfte (2, 3 och 4 c §§ utlänningsdatalagen och 2017/18:232 s. 113). I 14 § utlänningsdatalagen finns särskilda bestämmelser som rör behandling av sådana känsliga personuppgifter som 2021/22:81 avses i artikel 9.1 i dataskyddsförordningen. Sådana uppgifter får behandlas endast för de ändamål som anges i 11 och 13 §§ utlänningsdatalagen, dvs. om det behövs för bl.a. kontroll av en utlänning i samband med in- eller utresa samt kontroll under vistelsen i , och endast om uppgifterna är absolut nödvändiga för syftet med behandlingen. (14 §). I 15 § utlänningsdatalagen finns också särskilda bestämmelser som rör möjlighet att föra separata register över de fingeravtryck och fotografier som tas med stöd av 9 kap. 8 § UtlL. Utöver kan även och bistå vid in- och utresekontroller (9 kap. 1 § UtlL). Bestämmelser som rör hantering av personuppgifter i detta avseende finns – utöver i dataskyddsförordningen – bl.a. i lagen (2001:185) om behandling av uppgifter i verksamhet. Motsvarande bestämmelser som rör finns bl.a. i kustbevakningsdatalagen (2019:429). Även dessa författningar har setts över och anpassats till dataskyddsförordningen, bl.a. i fråga om hur känsliga personuppgifter får behandlas (prop. 2017/18:95 s. 63 f. och prop. 2018/19:65 s. 79 f.). Det behövs inga kompletterande bestämmelser för efterföljande behandling av uppgifter som tas vid in- och utresekontroller direkt med stöd av EU-förordningarna För de biometriska uppgifter som tas i samband med in- och utresekontroller direkt med stöd av in- och utreseförordningen och gränskodexen finns det alltså ett befintligt dataskyddsrättsligt regelverk som reglerar hur dessa uppgifter får behandlas efter kontrollerna. Utrymmet för att lagra sådana biometriska uppgifter i enlighet med det befintliga regelverket får bedömas som begränsat. I många fall innebär regelverket alltså att uppgifterna måste förstöras efter att kontrollerna har genomförts. Den begränsade möjlighet till fortsatt behandling som det dataskyddsrättsliga regelverket i vissa fall kan ge utrymme för – för särskilt angivna ändamål och om det är absolut nödvändigt för syftet med behandlingen – bedöms vara proportionell i förhållande till det behov av fortsatt behandling som kan finnas och skyddet för den personliga integriteten. Något behov att av tydlighetsskäl införa någon bestämmelse om att uppgifterna ska förstöras efter att en kontroll har genomförts finns alltså inte (jfr avsnitt 6.1). Frågan är om det då finns något annat skäl för att införa kompletterande nationella regler. har nationell reglering införts även med hänvisning till vikten av enhetlighet eller överskådlighet i regelverket, jfr avsnitt 6.1 och 6.2. De skäl som utvecklas i avsnitt 6.2 talar mot att införa nationella regler när det finns tydliga och bindande EU-regler. Det kan särskilt framhållas att regleringen kan bli svåröverskådlig om det införs bestämmelser endast avseende den efterföljande behandlingen när den övriga regleringen finns i EU-förordningar. Inte heller när det gäller andra unionsrättsliga bestämmelser som innebär att biometriska uppgifter ska tas vid en kontroll – som inte har medfört kompletterande bestämmelser i svensk rätt – har det införts särskilda bestämmelser om att uppgifterna ska förstöras efter kontrollen. Exempel på det är artiklarna 19, 21 och 22 i VIS- förordningen. De bestämmelser i utlänningslagen som uttryckligen reglerar att uppgifter ska förstöras efter att en kontroll genomförts har dessutom i huvudsak införts i tiden innan dataskyddsförordningen började tillämpas. Mot denna bakgrund bör det inte införas särskilda bestämmelser om den efterföljande behandlingen av de biometriska uppgifter som tagits vid in- och utresekontroll i enlighet med artikel 23.2 och 23.4 i in- och utreseförordningen eller i enlighet med artikel 8.3 a i och i i gränskodexen. Bestämmelsen i 9 kap. 8 d § tredje stycket om en skyldighet att förstöra sådana biometriska uppgifter som tagits med stöd av paragrafens första stycke i enlighet med artikel 18 i VIS-förordningen bör tas bort, eftersom bestämmelsen i paragrafens första stycke om en skyldighet för den som har en Schengenvisering att lämna fingeravtryck i enlighet med artikel 18 i VIS-förordningen föreslås tas bort (se avsnitt 6.6). Som framgår nedan anser Lagrådet att 9 kap. 8 d § tredje stycket bör vara kvar. Behovet av anpassningar av regelverket vid användning av självbetjäningssystem och när det gäller behandling av de biometriska uppgifter som tas i identifieringssyfte För de biometriska uppgifter som tas vid användning av ett självbetjäningssystem föreslås en kompletterande svensk bestämmelse om en skyldighet att lämna uppgifterna (se avsnitt 6.4). På motsvarande sätt som för efterbehandling av de uppgifter som tas vid in- och utresekontroller bedöms det saknas behov av en kompletterande svensk bestämmelse om efterbehandling av uppgifterna. Dessutom tas vid användningen av ett självbetjäningssystem motsvarande biometriska uppgifter upp som vid en ordinarie gränskontroll och det har i fråga om sådana uppgifter inte bedömts att det behövs några nationella kompletterande bestämmelser. Det framstår som mindre lämpligt att ha olika regleringar i fråga om hanteringen av de uppgifter som tas vid användning av ett självbetjäningssystem och av de uppgifter som tas vid en ordinarie gränskontroll. Mot denna bakgrund bör det inte införas några särskilda bestämmelser om den efterföljande behandlingen av de biometriska uppgifter som tas när ett sådant system används. För de biometriska uppgifter som tas i identifieringssyfte föreslås en kompletterande svensk bestämmelse om en skyldighet att lämna uppgifterna (se avsnitt 6.7). Där föreslås således att det i 9 kap. 8 d § första stycket UtlL införs en kompletterande bestämmelse om en skyldighet för en utlänning att vid in- eller utresekontroll enligt artikel 8.3 i i gränskodexen lämna fingeravtryck och låta sig bli fotograferad för kontroll i enlighet med artikel 27 i in- och utreseförordningen. Även på dessa biometriska uppgifter är det befintliga dataskyddsrättsliga regelverket tillämpligt. I linje med bedömningen ovan avseende efterbehandling av de uppgifter som tas vid in- och utresekontroll bör det inte införas någon särskild bestämmelse om den efterföljande behandlingen av de biometriska uppgifter som tagits i identifieringssyfte vid en in- eller utresekontroll i enlighet med artikel 8.3 i i gränskodexen och 27 i in- och utreseförordningen. I 9 kap. 8 d § finns en bestämmelse som reglerar skyldigheten att vid in- och utresekontroll enligt artikel 8.3 i gränskodexen i identifieringssyfte lämna fingeravtryck för kontroll i enlighet med artikel 20 i VIS-förordningen (se avsnitt 6.7). I paragrafens tredje stycke 2021/22:81 finns en bestämmelse som innebär att när en kontroll i enlighet med artikel 20 i VIS-förordningen har genomförts, ska de fingeravtryck som tagits för kontrollen förstöras. Det gäller också de biometriska data som tagits fram i samband med kontrollen. I lagrådsremissen konstateras att det befintliga dataskyddsrättsliga regelverket är tillämpligt även för de uppgifter som tas i identifieringssyfte i enlighet med artikel 20 i VIS-förordningen. Det föreslås där, i linje med bedömningen i fråga om efterbehandling av de uppgifter som tagits vid in- och utresekontroller, att bestämmelsen i tredje stycket i 8 d § om förstörelse av fingeravtryck och biometriska data som tagits upp för kontroll i enlighet med artikel 20 i VIS-förordningen ska tas bort. Lagrådet konstaterar att bestämmelser motsvarande den i 9 kap. 8 d § tredje stycket behålls i 8 a och 8 c §§ samt att en reglering motsvarande den som föreslås borttagen i 8 d § tredje stycket införs i 8 h §. Lagrådet anser att detta förhållningssätt är inkonsekvent och kommer att väcka frågor hos rättstillämparen. Frågan om det finns behov av särskilda regler om förstörelse av biometriska uppgifter bör enligt Lagrådet i stället behandlas samlat och till dess så sker synes det vara att föredra att tredje stycket i 8 d § får vara kvar. Regeringen instämmer i Lagrådets synpunkt att regleringen i utlänningslagen bör vara konsekvent. kan konstateras att en konsekvent reglering inte kommer att uppnås även om Lagrådets synpunkt följs. Som framgår ovan kommer varken paragrafen om upptagande av biometriska uppgifter vid användning av självbetjäningssystem eller bestämmelsen om upptagande av biometriska uppgifter vid in- eller utresekontroll för kontroll i enlighet med artikel 27 i in- och utreseförordningen att innehålla någon särskild regel om förstörelse av biometriska uppgifter. Regeringens avsikt har varit att genom detta lagstiftningsärende inleda en successiv översyn av utlänningslagens reglering om efterbehandling av biometriska uppgifter. Med hänsyn till vad Lagrådet anför finns det dock i detta lagstiftningsärende inte tillräckliga skäl för att ta bort den aktuella bestämmelsen. Mot denna bakgrund föreslår regeringen att bestämmelsen i 9 kap. 8 d § tredje stycket om förstörande av de biometriska uppgifter som tagits vid en in- eller utresekontroll i enlighet med artikel 20 i VIS-förordningen inte tas bort. Efterföljande behandling av biometriska uppgifter som tagits vid en inre Regeringens förslag: Det fotografi och de fingeravtryck som har tagits vid en inre utlänningskontroll, för kontroll i enlighet med artiklarna 26 och 27 i in- och utreseförordningen, ska förstöras när kon- trollen har genomförts om det framkommer att utlänningen har rätt att De biometriska uppgifter som tagits för detta syfte och som inte ska förstöras ska få lagras i register över fotografier och fingeravtryck. Promemorians förslag överensstämmer med regeringens. Remissinstanserna tillstyrker eller har inga invändningar mot förslaget. Skälen för regeringens förslag Biometriska uppgifter som tas vid en inre utlänningskontroll bör förstöras om utlänningen har rätt att vistas i I avsnitt 6.5 föreslås en bestämmelse om skyldighet att vid en inre utlänningskontroll lämna biometriska uppgifter för att en kontroll i enlighet med artiklarna 26 och 27 i in- och utreseförordningen ska kunna genomföras. Som närmare utvecklas i avsnitt 6.10 innehåller in- och utreseförordningen inte någon reglering av hur biometriska uppgifter som tas för kontroll ska behandlas efter kontrollen. Som också redovisas i det avsnittet finns det dock ett allmänt dataskyddsrättsligt regelverk som gäller för sådan efterföljande behandling. Frågan är om bestämmelsen som föreslås i avsnitt 6.5 ändå bör kompletteras med en bestämmelse om efterföljande behandling av de biometriska uppgifterna. Om det vid kontrollen framkommer att utlänningen har rätt att vistas i , saknas det skäl att spara de biometriska uppgifter som har tagits. Det kan t.ex. förekomma att utlänningar som inte är registrerade i in- och utresesystemet men som vistas lagligt i , t.ex. eftersom de har uppehållstillstånd eller nationell visering, blir föremål för en kontroll i enlighet med artiklarna 26 och 27 i in- och utreseförordningen. I sådana fall bör uppgifterna inte få sparas utan i stället förstöras direkt efter kontrollen, inte minst med hänsyn till integritetsaspekter. Inriktningen bör i och för sig vara att inte införa kompletterande nationella bestämmelser om efterföljande behandling när det redan finns ett tillräckligt tydligt regelverk (jfr avsnitt 6.10). är det angeläget att regleringen i utlänningslagen om den efterföljande behandlingen av biometriska uppgifter som tas vid en inre utlänningskontroll är enhetlig. I utlänningslagen har införts en bestämmelse om att och , under vissa förutsättningar, får fotografera och även ta fingeravtryck av en utlänning vid en inre utlänningskontroll. I bestämmelsen anges att det fotografi och de fingeravtryck som har tagits ska förstöras om det framkommer att utlänningen har rätt att vistas i (9 kap. 8 § UtlL). Det bör därför undvikas att det i en av paragraferna om inre utlänningskontroll finns en bestämmelse om efterbehandling av personuppgifter men inte i den andra. En bestämmelse som anger att de biometriska uppgifter som har tagits i nu aktuell situation ska förstöras om det framkommer att utlänningen har rätt att vistas i bör därför införas. Bestämmelsen bör placeras i anslutning till den nya bestämmelsen om skyldighet att lämna biometriska uppgifter vid en inre utlänningskontroll i 9 kap. UtlL. Biometriska uppgifter som inte ska förstöras bör få lagras i register Om det vid en kontroll i enlighet med artiklarna 26 och 27 i in- och utreseförordningen av biometriska uppgifter som tagits vid en inre utlänningskontroll i stället framkommer att utlänningen saknar rätt att vistas i landet är situationen annorlunda. Möjligheten att spara och jämföra sådana biometriska uppgifter är ett viktigt verktyg för att motverka att personer som inte har rätt att vistas i ändå fortsätter att uppehålla sig här, vilket är angeläget för upprätthållandet av den inre säkerheten. Det ligger också i linje med in- och utreseförordningens syften. 2021/22:81 uppgifter är även avgörande för att kunna upptäcka personer som uppträder under olika identiteter. Enligt gällande ordning har rätt att föra separata register över fingeravtryck och fotografier som tas med stöd av 9 kap. 8 § UtlL (15 § utlänningsdatalagen). Förutom fingeravtryck och fotografier får registren innehålla uppgift om bl.a. namn och andra identifieringsuppgifter (2 § utlänningsdataförordningen [2016:30]). Bestämmelser om gallring av uppgifterna i registren finns i utlänningsdataförordningen. Enligt 15 § första stycket får dock endast fotografier och fingeravtryck som tas med stöd av 9 kap. 8 § UtlL föras in i registren. För att det ska vara möjligt att spara de biometriska uppgifter som tas vid en inre utlänningskontroll, i de fall utlänningen saknar rätt att vistas i , bör uppgifterna i dessa fall få föras in i register över fotografier och fingeravtryck. Som regeringen har konstaterat tidigare är den rättsliga grunden för den personuppgiftsbehandling som får utföras enligt utlänningsdatalagen fastställd i den nationella rätten på ett sådant sätt som krävs enligt dataskyddsförordningen (se prop. 2017/18:254 s. 15 f.). Biometriska uppgifter räknas som känsliga personuppgifter om de behandlas i syfte att entydigt identifiera en person och de omgärdas därför av särskilda, mer restriktiva bestämmelser för behandlingen (artiklarna 4.14 och 9.1 i dataskyddsförordningen). Regeringen har tidigare gjort bedömningen att personuppgiftsbehandlingen enligt 15 § utlänningsdatalagen är nödvändig av hänsyn till ett viktigt allmänt intresse och att förutsättningarna även i övrigt för att tillämpa undantaget i artikel är uppfyllda (se om den bedömningen prop. 2017/18:254 s. 35; jfr även prop. 2020/21:159 s. 22). Regeringen gör samma bedömning avseende den nu aktuella personuppgiftsbehandlingen. Det bör mot denna bakgrund göras ett tillägg i 15 § första stycket utlänningsdatalagen med den innebörden att får föra separata register över de fingeravtryck och fotografier som tas vid en inre utlänningskontroll för att en kontroll i enlighet med artiklarna 26 och 27 i in- och utreseförordningen ska kunna genomföras, och som inte ska förstöras efter kontrollen. Regeringen avser att återkomma till frågan om gallring av dessa uppgifter i förordning. Fotografier eller fingeravtryck i register får användas vid kontroll Om en utlännings rätt att vistas i inte kan utredas genom en kontroll mot in- och utresesystemet eller på annat sätt, bör det vid en inre utlänningskontroll finnas möjlighet att även göra sökningar mot register med fotografier och fingeravtryck. Detta bör kunna ske genom att de biometriska uppgifter som redan har tagits används för sökningen. Den saken behöver vara reglerad i lag. Det har införts en bestämmelse i 15 § utlänningsdatalagen som innebär att uppgifter om fotografier eller fingeravtryck i register får användas vid kontroll av utlänningar under vistelsen i . Det innebär att kontroller mot både in- och utresesystemet och mot register får göras vid en inre utlänningskontroll. Det finns alltså redan lagstöd för att göra de sökningar mot register med fotografier och fingeravtryck som är aktuella. 2021/22:81 författningsändringar i detta avseende behövs därför inte. 7Övriga frågor om dataskydd och personuppgiftsansvar Regeringens förslag: In- och utreseförordningen ska undantas från tillämpningsområdet för lagen om polisens behandling av personuppgifter inom brottsdatalagens område och utlänningsdatalagen. Promemorians förslag överensstämmer med regeringens. Remissinstanserna: De flesta remissinstanserna tillstyrker eller har inga invändningar mot förslaget. vill att det tydliggörs om all behandling av personuppgifter som sker vid gränskontroll och gränsförvaltning enligt in- och utreseförordningen och som inte rör förfaranden och villkor för åtkomst till in- och utresesystemet för brottsbekämpande ändamål faller inom dataskyddsförordningens tillämpningsområde. Myndigheten efterfrågar även klargörande av hur förslaget ska förstås mot bakgrund av den möjlighet som finns enligt utlänningsdatalagen att genomföra testverksamhet för att möjliggöra genomförandet av bl.a. in- och utreseförordningen. Skälen för regeringens förslag Det allmänna dataskyddsrättsliga regelverket Dataskyddsförordningen utgör den generella regleringen för behandling av fysiska personers personuppgifter inom EU. Dataskyddsförordningen kompletteras av dataskyddslagen. Dataskyddsförordningen är inte tillämplig på den behandling av personuppgifter som myndigheter utför i syfte att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder (artikel 2.2 d). För personuppgiftsbehandling inom detta område gäller i stället EU:s dataskyddsdirektiv, som har genomförts i svensk rätt genom brottsdatalagen. Både dataskyddsförordningen och brottsdatalagen gäller vid behandling av personuppgifter som är helt eller delvis automatiserad och för annan behandling av personuppgifter som ingår i eller kommer att ingå i ett register (artikel 2.1 i dataskyddsförordningen och 1 kap. 3 § brottsdatalagen). Med personuppgifter avses varje upplysning om en identifierad eller identifierbar fysisk person (artikel 4.1 i dataskyddsförordningen och 1 kap. 6 § brottsdatalagen). Med behandling av personuppgifter avses en åtgärd eller att en kombination av åtgärder vidtas med personuppgifterna (artikel 4.2 i dataskyddsförordningen och 1 kap. 6 § brottsdatalagen). Att behandla personuppgifter kan alltså t.ex. handla om att registrera, samla in, ta fram, läsa och radera personuppgifter. In- och utreseförordningens förhållande till de allmänna dataskyddsreglerna Dataskyddsförordningen är tillämplig vid de nationella myndigheternas behandling av personuppgifter enligt in- och utreseförordningen, i den mån behandlingen inte sker för de ändamål som avses i artikel 1.2, dvs. i syfte att förebygga, förhindra, upptäcka och utreda terroristbrott eller andra grova brott. I dessa fall är i stället dataskyddsdirektivet – som alltså har genomförts i svensk rätt genom brottsdatalagen – tillämpligt (artikel 49.2 och 49.3 i in- och utreseförordningen). efterfrågar tydliggörande av om all behandling av personuppgifter som sker vid gränskontroll och gränsförvaltning enligt in- och utreseförordningen och som inte rör förfaranden och villkor för åtkomst till in- och utresesystemet för brottsbekämpande ändamål faller inom dataskyddsförordningens tillämpningsområde. Myndigheten menar att det unionsrättsliga regelverket vad gäller gränskontroll och gränsförvaltning innefattar gränsdragningsfrågor kring vilken behandling av personuppgifter som faller inom dataskyddsförordningens respektive dataskyddsdirektivets tillämpningsområde. Enligt myndigheten finns det, både i unionsrätten och nationell rätt, stöd för att anse att behandlingen av personuppgifter vid in- och utresekontroller alltid syftar till att förebygga brott och upprätthålla allmän ordning och inre säkerhet och därmed faller inom dataskyddsdirektivets tillämpningsområde. Behandling av personuppgifter enligt in- och utreseförordningen kan, vilket har redogjorts för ovan, omfattas antingen av dataskyddsförordningens eller brottsdatalagens tillämpningsområde (jfr prop. 2018/19:65 s. 132 f.). För att avgöra om brottsdatalagen eller dataskyddsförordningen är tillämplig för en viss typ av personuppgiftsbehandling måste det göras en bedömning av om behandlingen, helt eller delvis, faller inom det tillämpningsområde som anges i artikel 49.3. Det är alltså syftet med behandlingen av personuppgifter i det enskilda fallet som är avgörande för vilken rättsakt som är tillämplig. Regeringen anser inte att det är möjligt att, generellt, uttala sig om i vilket syfte den nu aktuella personuppgiftsbehandlingen sker. Därtill kan konstateras att vad som ryms inom det område som undantas från dataskyddsförordningens tillämpningsområde ytterst är en fråga för EU- domstolen att ta ställning till.