sou · H9B357 · 2021-06-28 00:00:00 — Även pass som utfärdats av länder utanför EU/EES föreslås kunna användas vid identitetskontroll i samband med inflyttning till . Sådana pass innehåller i många fall ett lag- ringsmedium med biometriska uppgifter i enlighet med rekommendationer.54 Utredningen föreslår att två nya paragrafer införs, 26 a och 26 b §§, i folkbokföringslagen. Enligt den föreslagna regleringen ska den som ska lämna en anmälan om inflyttning från utlandet inställa sig person- ligen hos för identitetskontroll. Detsamma ska gälla i fråga om en anmälan av den som är avregistrerad som försvunnen och ska folkbokföras. Motsvarande bestämmelser föreslås föras in i lagen om identitetsnummer och samordningsnummer. Vid kontrollen är den som har ett pass, identitetskort, motsvarande handling (t.ex. främ- lingspass eller resedokument) eller uppehållstillståndskort skyldig att överlämna handlingen som ett led i identitetskontrollen. För att säkerställa handlingens äkthet och innehavarens identitet föreslår vi nu att ska ges möjlighet att jämföra de biomet- riska uppgifterna i ansiktsbilden och fingeravtrycken hos den som ska folkbokföras eller tilldelas identitetsnummer med de biometriska upp- gifter som finns lagrade i handlingens lagringsmedium. Syftet med kon- trollen är alltså att säkerställa handlingens äkthet och innehavarens identitet. På grund av det och eftersom de föreslagna regleringarna innebär att uppvisande av pass eller identitetskort krävs enligt lag, uppfylls de ovan redogjorda förutsättningar som uppställs i EU:s pass- och id-kortsförordningar för att de biometriska uppgifter som finns lagrade i pass och identitetskort ska kunna kontrolleras. 2017/18:35, Kontroll av biometriska kännetecken i resehandlingar, s. 10. Kontroll av biometriska uppgifter i uppehållstillståndskort Uppehållstillståndskort utfärdas till utländska medborgare som bevil- jas uppehållstillstånd i . Kortet har ett lagringsmedium (chip) där ett fotografi och två fingeravtryck sparas (9 kap. 8 a § utlännings- lagen). Bestämmelsen är införd i anledning av en EU-förordning om enhetlig utformning av uppehållstillstånd. Av den regleringen följer att de biometriska uppgifterna i uppehållstillståndskorten endast får användas för att kontrollera handlingens autenticitet och innehavarens identitet genom direkt tillgängliga kännetecken, när uppvisande av uppehållstillstånd krävs enligt nationell lagstiftning.55 Precis som för pass och identitetskort krävs alltså att det finns en bestämmelse i lag som säger att uppvisande av uppehållstillstånd krävs för att biometriska uppgifter i uppehållstillståndskortet ska få kontrolleras. Förslag om ökad möjlighet att kunna kontrollera de biometriska uppgifterna i uppehållstillståndskort har förts fram i andra samman- hang. ID-kortsutredning föreslås t.ex. att den myndighet som ska utfärda statliga identitetskort ska få kontrollera fingeravtryck och ansiktsbild som finns på uppehållstillståndskortet. Av 4 § första stycket folkbokföringslagen framgår att en utlänning som måste ha uppehållsrätt eller uppehållstillstånd för att få vistas i , får folkbokföras endast om detta villkor är uppfyllt eller om det finns synnerliga skäl för att han eller hon ändå ska folkbokföras. Bestämmelsen innebär inte i sig något krav på uppvisande av uppehålls- tillståndskort. Utredningen föreslår nu en ny bestämmelse i 26 b § andra stycket folkbokföringslagen och en motsvarande bestämmelse i lagen om identitetsnummer och samordningsnummer, som innebär att den som har ett uppehållstillståndskort är skyldig att överlämna handlingen vid en identitetskontroll i samband med folkbokföring eller tilldelning av identitetsnummer. Personer som beviljas tillfälligt uppehållstillstånd i på grund av skyddsbehov ska i regel alltid folkbokföras eftersom den lägsta utfärdandetiden för sådana tillstånd är 13 månader.56 En person som beviljas uppehållstillstånd av andra skäl än behov av skydd men inte förväntas vistas så länge i att folkbokföring ska ske, kan i stället tilldelas samordningsnummer eller, med våra förslag, under vissa förut- 55Artikel 4 tredje stycket rådets förordning (EG) nr 1030/2002 av om en enhetlig utformning av uppehållstillstånd för medborgare i tredjeland. 56Regler om uppehållstillstånd framgår av 5 kap. utlänningslagen. Uppehållstillståndskort utfärdas med andra ord innan en person folkbokförs vilket också gör det möjligt att kontrollera uppehållstillståndskortet i samband med folkbokföring. Genom en sådan kontroll säkerställs att det är den person som bevil- jats uppehållstillstånd som folkbokförs eller tilldelas identitetsnum- mer. Kontrollen syftar inte till annat än att kontrollera handlingens autenticitet och innehavarens identitet. Med våra föreslagna lagänd- ringar framgår kravet på uppvisande av uppehållstillståndskortet av lag. Åtgärden står enligt vår bedömning därför inte i strid med EU-förord- ningen om enhetlig utformning av uppehållstillstånd. 7.6.2Barn och fysiskt förhindrade bör inte omfattas av kontrollen Utredningens förslag: Kontroll av fingeravtryck ska inte utföras på barn eller på personer som är permanent fysiskt förhindrade att lämna fingeravtryck. En särskild fråga är hur gammal en person måste vara för att kontroll av biometriska uppgifter i handlingar ska kunna ske. Förenta nationer- nas konvention om barnets rättigheter () inkorpo- rerades i svensk rätt och gäller därmed som lag. Av konventionen följer bl.a. att barnets bästa är det som i första hand ska beaktas vid alla åtgärder som rör barn och att barn ska skyddas från godtyckliga eller olagliga ingripanden i sitt privat- och familjeliv (artik- larna 3 och 16). Det finns ingen gemensam nedre åldersgräns för när finger- avtryck får tas av barn. När det gäller fotografering finns ingen ålders- gräns alls. Fingeravtryck enligt 9 kap. 8 § utlänningslagen får tas på barn från 14 år.57 Vid ansökan om visering är åldersgränsen 12 år.58 Vid en motsvarar åldersgränsen i och rådets förordning (EU) nr 603/2013 av om inrättande av Eurodac för jämförelse av fingeravtryck för en effektiv tillämp- ning av förordning (EU) nr 604/2013 om kriterier och mekanismer för att avgöra vilken medlemsstat som är ansvarig för att pröva en ansökan om internationellt skydd som en tredjelandsmedborgare eller en statslös person har lämnat in i någon medlemsstat och för när medlemsstaternas brottsbekämpande myndigheter begär jämförelser med Eurodacuppgifter för brottsbekämpande ändamål, samt om ändring av förordning (EU) nr 1077/2011 om inrät- tande av en Europeisk byrå för den operativa förvaltningen av stora it-system inom området frihet, säkerhet och rättvisa (omarbetning) (artiklarna 9.1 och 14.1). 58Artikel 13.7 i och rådets förordning [EG] nr 810/2009 av om införande av en gemenskapskodex om viseringar (viseringskodex). ansökan om uppehållstillstånd, är åldersgränsen enligt 9 kap. 8 a § utlänningslagen däremot . Samma åldersgräns gäller enligt 9 kap. 8 a § utlänningslagen när uppehållstillståndskort ska utfärdas av annan anledning än att en utlänning ansöker om uppehållstillstånd. Sexårs- gränsen gäller även vid ansökan om svenska pass, främlingspass och resedokument59. , dåvarande Datainspektionen, påta- lade i yttrande över promemorian Ökad säkerhet för vissa identitets- och uppehållshandlingar – anpassning av svensk rätt till en ny EU- förordning (Ds 2020:22) bl.a. att biometriska uppgifter såsom finger- avtryck, särskilt när det gäller fingeravtryck från barn, är mycket käns- liga och att insamling av sådana uppgifter alltid ska föregås av en nog- grann bedömning av om behandlingen är nödvändig enligt artikel EU:s dataskyddsförordning och 3 kap. 3 § lag (2018:218) med kom- pletterande bestämmelser till EU:s dataskyddsförordning. Integritets- skyddsmyndigheten ifrågasatte även om den ålder som anges i 2 § pass- förordningen (1979:664) för lämnande av fingeravtryck () är för- enlig med . Inom EU pågår förhandlingar om att revidera Eurodac-förordningen och att ändra delar av Viseringskodexen. Det föreslås bl.a. att åldersgränsen för fingeravtrycksupptagning ska sän- kas till . I förslaget till en reviderad Eurodac-förordning pekar kommissionen på behovet av att skydda och identifiera ensamma barn. Kommissionen konstaterar i förslaget att Eurodac historiskt sett alltid samlat in fingeravtryck på barn , vilket kan möjliggöra identifiering av ett ensamkommande barn när en asylansökan har gjorts inom EU. Med tanke på den uppenbara ökningen av smuggling av barn under denna ålder till och inom EU anser emellertid kom- missionen att det finns ett ökat behov av att samla in biometriska upp- gifter i Eurodac om yngre barn, vilket kan underlätta identifiering av dessa personer och fastställande av familjeband eller anknytning till förmyndare i en annan medlemsstat. Angående frågan om vilken mini- miålder som är lämplig tar kommissionen fasta på att barns fingerav- tryck enligt en studie kan användas för automatiserad sökning vid ålder.60 592 § passförordningen (1979:664) och 12 § föreskrifter om främlingspass och resedokument [MIGRFS 03/2017]). 60COM (2016) 272 Förslag till och rådets förordning om inrättande av Eurodac för jämförelse av fingeravtryck för en effektiv tillämpning av [förordning (EU) För att minska risken för att barns identiteter utnyttjas av andra i bedrägligt syfte, är det viktigt att även kunna kontrollera och jämföra barns fingeravtryck med biometriska uppgifter i handlingar. Principen om barnets bästa talar starkt för att möjligheten för att i samband med folkbokföring eller tilldelning av identitetsnummer kunna kontrollera både ansiktsbild och fingeravtryck ska gälla även i förhållande till barn . Det är även en fördel om åldersgränsen är samstämmig med den som gäller för pass och uppehållstillstånd. Samma åldersgräns föreslås även gälla för nationella identitetskort. Principen om barnets bästa ska vara central även vid tillvägagångs- sättet vilket innebär att åtgärden bör genomföras på ett barnvänligt och barnanpassat sätt av särskilt utsedd personal. Barnet ska även infor- meras om åtgärden på ett för barn anpassat sätt. 7.6.3Hur kan kontrollen gå till? I syfte att exemplifiera hur hanteringen av biometri skulle kunna se ut har till utredningen tagit fram en preliminär beskriv- ning för att åskådliggöra den tänkta praktiska processen vid en anmä- lan om flyttning till . Steg 1, information om att flytta till •Ett interaktivt stöd för informationssökning möter den som funde- rar över att flytta till . Det innebär att det finns språkanpass- ning och möjligheter för dialog via olika lösningar för en personlig service. I den inkluderas tydliga uppgifter om vad biometriska upp- gifter är, hur de används och vad de används till för att skapa förstå- else, förutsägbarhet och möjlighet till frågor om oklarheter uppstår. nr 604/2013 om kriterier och mekanismer för att avgöra vilken medlemsstat som är ansvarig för att pröva en ansökan om internationellt skydd som en tredjelandsmedborgare eller en statslös person har lämnat in i någon medlemsstat] , för identifiering av tredjelandsmedborgare eller statslösa personer som vistas olagligt, och för när medlemsstaternas brottsbekämpande myndigheter och Europol begär jämförelser med Eurodacuppgifter för brottsbekämpande ändamål (omarbetning), Motiveringen, p. Steg 2, anmälan om flytt till och digitala handlingar •Som inflyttande till kan processen startas upp via ett besök på ett servicekontor, men ser gärna att processen i de fall det är möjligt, förbereds digitalt för att en enskild ska få information och en möjlighet att kunna lämna så kompletta uppgifter som möjligt redan från början. •En digital tjänst möjliggör att lämna uppgifter och bifoga filer exem- pelvis innehållande handlingar. Tjänsten är en inloggningsbar tjänst med olika nivåer av inloggning. ske på olika sätt. Med sådana lösningar kan olika nivåer av information visas och hämtas upp, men som miniminivå så innebär det att det finns möj- lighet att påbörja en ansökan, komma tillbaka och komplettera, justera etc. innan den skickas in till myndigheten. Vidare finns möj- lighet att ha dialog med i tjänsten. •I samband med att ärendet skickas in kan ett besök på service- kontor bokas in. Ett personligt besök syftar till att identi- fiera personen, granska dokument och bekräfta att personen finns i . Folkbokföringsverksamheten kan även påbörja en för- granskning och dialog kring ärendet och i förekommande fall kom- municera i ärendet för att förbereda den inflyttande och service- handläggaren för vad som kan behöva kompletteras eller granskas ytterligare. Steg 3, personlig inställelse på servicekontor Medborgarnas fysiska besök hos sker via servicekon- toren som drivs i Statens servicecenters regi. De hanterar bl.a. anmälan om flyttning till och utfärdande av id-kort på uppdrag av . •Vid det personliga besöket på ett servicekontor hämtar service- handläggaren upp aktuell anmälan om flyttning till med aktuella underlag (om sådant material finns tillgängligt). I samband med detta inhämtar biometriska uppgifter från den enskilde i form av en digital ansiktsbild (fotografi) och fingerav- tryck. •De uppgifter som finns tillgängliga i identitetshandlingen kontrol- leras, både den synliga bilden, den digitala bilden och de fingerav- tryck som finns lagrade i chipet i handlingen. Uppgifterna grans- kas och jämförs med maskinellt stöd. –Analysen av biometriska uppgifter sker genom att ett antal punkter i ansiktet och/eller på fingeravtrycket jämförs. Skatte- verket överväger en teknisk lösning som innebär att uppgifterna och funktionaliteten med maskinell analys sker via en central server som stödjer den lokala upptagningen av bio- metriska kännetecken. Det bedöms ha de främsta fördelarna utifrån både ett säkerhets- och förvaltningsperspektiv. –All data som används för jämförelseanalys hanteras i cache- minnet, vilket innebär att ingen lagring sker som medför möj- lighet till vidare loggning och återskapning efter gallring. –Utveckling eller inköp av en tjänst för sådan behandling före- gås av en konsekvensbedömning av hur nya personuppgifter behandlas vilket innebär att en tillförlitlig analys ur rättsligt och tekniskt perspektiv sker i syfte att minimera integritetsin- trång och säkerställa den registrerades rättigheter och trygghet. •Servicehandläggaren kvalitetssäkrar underlaget inför maskinell ana- lys och dokumenterar resultatet av granskningen via en funktion/ klarmarkering innan underlaget gallras och resultatet tillförs ären- det som en handling. •Folkbokföringshandläggaren utvärderar resultatet av granskningen i samband med sin handläggning av ärendet. 7.6.4Bestämmelser bör framgå av lag Utredningens bedömning: Skyldigheten att låta sig fotograferas och lämna fingeravtryck bör regleras i lag. bör få med- dela föreskrifter om det praktiska genomförandet av identitets- kontrollen och därmed även kontroll av biometriska uppgifter. Att ta någons fingeravtryck (till skillnad från att fotografera någon) räknas som ett sådant påtvingat kroppsligt ingrepp som omfattas av skyddet i 2 kap. 6 § första stycket regeringsformen (se avsnitt 7.5.2). Skyddet mot påtvingade kroppsliga ingrepp är inte absolut utan får enligt 2 kap. 20 § regeringsformen i vissa fall begränsas genom lag. Begränsningar får enligt 2 kap. 21 § samma lag, göras endast för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle och får aldrig gå utöver vad som är nödvändigt med hänsyn till det ända- mål som har föranlett dem. För den som inte är svensk medborgare får, enligt 2 kap. 25 § regeringsformen, skyddet mot påtvingade kropps- liga ingrepp begränsas genom lag utan att de förutsättningar som anges i 2 kap. 21 § regeringsformen är uppfyllda. Ett skydd mot integritetsintrång av olika slag följer även av Europa- konventionen. Enligt artikel 8 i har var och en rätt till respekt för sitt privat- och familjeliv. Det inbegriper i vissa fall en rätt till skydd mot att bli fotograferad.61 Likaså får det antas att fingeravtryckstagning omfattas av skyddet.62 Inskränkningar i skyddet godtas bara om de har stöd i lag och i ett demokratiskt sam- hälle är nödvändiga med hänsyn till vissa uppräknade ändamål, där- ibland statens säkerhet, den allmänna säkerheten eller förebyggande av oordning eller brott. Fördelarna med att göra biometriska kontroller vid folkbokföring och tilldelning av identitetsnummer måste vägas mot integritetsin- trånget som förfarandet kan medföra. Det är fråga om en jämförelse mellan sökandens ansikte och fingeravtryck och de uppgifter som finns lagrade i handlingen. Det föreslagna förfarandet innebär en skyldig- het för den som ska registreras att på begäran låta sig fotograferas och få sina fingeravtryck tagna. Syftet är endast att kontrollera sökan- dens identitet och den åberopade handlingens äkthet och inga uppgif- ter ska sparas eller lagras i register för framtida sökningar. Det rör sig alltså endast om tillfällig behandling av uppgifter i en handling som sökanden på begäran ska överlämna för kontroll. Ändamålet att minska fel i folkbokföringsdatabasen anknyter till statens säkerhet, den allmänna säkerheten och förebyggande av oord- ning och brott, och är godtagbart i ett demokratiskt samhälle. I av- snitt 7.5.1 har svårigheter att på annat sätt säkerställa sökandens identitet redovisats. Att möjliggöra en biometrikontroll i samband med folkbokföring och tilldelning av identitetsnummer skulle dessutom innebära ett förbättrat skydd för människor som annars riskerar att utsättas för t.ex. identitetskapning. 61Danelius, Hans, Mänskliga rättigheter i europeisk praxis, 5 uppl., 2015, s. 377. 2014/15:32, EU:s gränskodex, s. 26. Verifieringen blir betydligt säkrare om inte bara fotografi utan även fingeravtryck får tas och jämföras. Åtgärden att kontrollera biomet- riska uppgifter från såväl ansiktsbild som fingeravtryck i handlingar kan därför inte anses gå utöver vad som är nödvändigt med hänsyn till ändamålet och står därför inte i strid med vare sig regeringsformen eller . Skyldigheten att låta sig fotograferas och lämna fingeravtryck bör regleras i lag. Vi föreslår därför en ny bestäm- melse i 26 c § folkbokföringslagen. Vi föreslår i avsnitt 6.6. en bestämmelse i 16 § folkbokförings- förordningen som innebär att ska få meddela föreskrifter om hur identitetskontrollen och därmed även kontroll av biometriska uppgifter ska utföras rent praktiskt. En motsvarande bestämmelse föreslås i avsnitt 13.2.5 föras in i 13 § förordningen om identitetsnum- mer och samordningsnummer. 7.7Behandling av personuppgifter och bestämmelser om sekretess Utredningens förslag: Den automatiserade behandling av person- uppgifter som förslagen innebär ska ske i folkbokföringsdata- basen. Ansiktsbild, fingeravtryck och de biometriska uppgifter som tas fram ur dessa ska därför få behandlas i folkbokföringsdata- basen. När kontrollen har genomförts ska uppgifterna förstöras. Utredningens bedömning: Den föreslagna personuppgiftsbe- handlingen är förenlig med dataskyddslagstiftningen. De biometriska uppgifter som tas fram i samband med kontrol- len når inte stadiet av allmän handling varför frågan om sekretess inte aktualiseras. Den rättsliga grunden för behandlingen För att personuppgifter överhuvudtaget ska få behandlas krävs att behandlingen vilar på åtminstone någon av de rättsliga grunder, a–f, som framgår av artikel 6.1 dataskyddsförordningen. I sammanhanget bör särskilt den rättsliga grund som anges i artikel 6.1 e; behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning nämnas. Uppräkningen i artikel 6.1 är uttömmande. Om ingen av de grun- der som anges där är tillämplig är behandlingen inte laglig och får där- med inte utföras. De rättsliga grunderna är i viss mån överlappande. Flera rättsliga grunder kan därför vara tillämpliga avseende en och samma behandling. För att en behandling av personuppgifter ska vara tillåten enligt artikel 6.1 b–f måste den vara nödvändig i förhållande till den rättsliga grunden, t.ex. nödvändig för att utföra en uppgift av allmänt intresse. Kravet på nödvändighet är emellertid inte så strikt som ordalydelsen ger uttryck för.63 För behandling som är nödvändig för att fullgöra en rättslig förplik- telse (artikel 6.1 c), som ett led i myndighetsutövning eller för att utföra en uppgift av allmänt intresse (artikel 6.1 e) måste det även finnas ett annat stöd i rättsordningen än det som ges i dataskyddsförord- ningen. I artikel 6.3 första stycket i dataskyddsförordningen anges det nämligen att den grund för behandlingen som avses i artikel 6.1 c och e ska fastställas i enlighet med unionsrätten eller en medlems- stats nationella rätt som den personuppgiftsansvarige omfattas av.64 Allmänna krav för personuppgiftsbehandling Utöver det grundläggande kravet på att all behandling måste vara lag- lig, i betydelsen att någon av de rättsliga grunder som anges i artikel 6.1 i dataskyddsförordningen är tillämplig, omgärdas varje behandling av personuppgifter också av andra krav. I artikel 5.1 i dataskyddsför- ordningen anges vilka allmänna krav som gäller för all personuppgifts- behandling. Den första principen som läggs fast i artikel 5.1 är att per- sonuppgifter ska behandlas på ett lagligt, korrekt och öppet sätt i 2017/18:105, Ny dataskyddslag, s. 46 f. 64A.a., s. 49. förhållande till den registrerade. Vidare anges i artikel 5.1 att per- sonuppgifterna ska samlas in för särskilda, uttryckligt angivna och berättigade ändamål och att de inte senare får behandlas på ett sätt som är oförenligt med dessa ändamål. Ett tydligt angivet ändamål är som regel en förutsättning för att man ska kunna bedöma om en viss behandling är laglig, dvs. om den är nödvändig i något av de samman- hang som räknas upp i artikel 6.1 b–f. Kopplingen mellan den rättsliga grunden och kravet på särskilda, uttryckligt angivna och berättigade ändamål förstärks genom artikel 6.3 andra stycket där det framgår att syftet med behandlingen, i fråga om behandling som grundar sig på en rättslig förpliktelse, ska framgå av förpliktelsen. Vad gäller behand- ling som sker i myndighetsutövning och för att utföra uppgifter av allmänt intresse anges i stället att syftet med behandlingen ska vara nödvändigt för att utföra uppgiften eller myndighetsutövningen. Vidare ska uppgifterna enligt artikel 5.1 bl.a. vara adekvata och korrekta (accurate) och får inte förvaras än vad som är nöd- vändigt. Uppgifterna måste också behandlas på ett sätt som säkerställer lämplig säkerhet.65 Artiklarna 5 och 6 i dataskyddsförordningen är grundläggande och kumulativa. Dels måste någon av de rättsliga grunder som anges i arti- kel 6.1 vara tillämplig, dels måste samtliga principer i artikel 5.1 följas.66 Biometriska uppgifter för att entydigt identifiera en fysisk person räk- nas som sådana känsliga uppgifter som omfattas av artikel 9.1 data- skyddsförordningen. Huvudregeln enligt artikeln är att känsliga per- sonuppgifter inte får behandlas. Som regel är det alltså förbjudet att t.ex. samla in, lagra, läsa och lämna ut känsliga personuppgifter. I artikel 9.2 finns ett flertal undantag från huvudregeln. Känsliga upp- gifter får, enligt artikel , behandlas om en behandling är nödvän- dig av hänsyn till ett viktigt allmänt intresse. Enligt förarbetena till dataskyddslagen torde det stå klart att verksamhet som innefattar myndighetsutövning utgör ett viktigt allmänt intresse. Även utanför området för myndighetsutövning anses att svenska myndigheter kan bedriva den verksamhet som tydligt faller inom ramen för deras befo- 2017/18:105, Ny dataskyddslag, s. 47 f. 66A.a., s. 48. genheter på ett korrekt, rättssäkert och effektivt sätt utgöra ett viktigt allmänt intresse.67 Behandlingen av känsliga personuppgifter som är nödvändig av hänsyn till ett viktigt allmänt intresse måste för att vara tillåten ske på grundval av eller tillämplig nationell rätt.