sou · H9B357 · 2021-06-28 00:00:00 — 2Europaparlamentets och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning) och och rådets direktiv (EU) 2016/680 av om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföl- jder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut / 977/RIF. bilder eller fingeravtrycksuppgifter. I 1 kap. 6 § brottsdata- lagen (2018:1177) definieras biometriska uppgifter som personupp- gifter som rör en persons fysiska, fysiologiska eller beteendemässiga kännetecken, som tagits fram genom särskild teknisk behandling och som möjliggör eller bekräftar unik identifiering av personen. har begreppet biometriska data använts i stället för biometriska upp- gifter. Någon skillnad mellan uttrycken finns inte.3 Biometrisk teknik kan användas på i huvudsak två sätt: Statistisk analys av insamlade biometriska uppgifter från en individ gör det möjligt att med hög sannolikhet verifiera att en individ verkligen är den han eller hon utger sig för att vara. I tek- niska lösningar kallas detta förfarande ofta för autentisering. Ett exempel är den fingeravtrycksläsare som finns i många mobil- telefoner och surfplattor, där jämförelse av biometriska uppgifter ersätter eller kompletterar en annan form av autentisering, t.ex. en pinkod. När rätt individ placerar sitt finger på fingeravtrycks- avläsaren läses specifika delar av användarens fingeravtryck av. Dessa utgör sedan en inläst representation av individens finger vil- ken jämförs med information som finns lagrad i telefonen . Om sannolikheten är tillräckligt hög att de är identiska så låses telefonen upp. Biometriska analysmetoder gör det möjligt att identi- fiera enskilda individer. Exempelvis har polisen länge använt finger- avtryck från brottsplatser på detta sätt. Efter att ha säkrat ett finger- avtryck från en oidentifierad person vid en brottsplats, jämförs avtrycket med de fingeravtryck som finns insamlade och sparade i fingeravtrycksregister. På så sätt kan en specifik person knytas till brottsplatsen. Metoden baseras på mätning av fysiska karaktärsdrag eller beteenden för att hitta särskiljande egenskaper hos olika individer. Exempel på fysiska egenskaper som kan mätas är fingeravtryck, ansiktsbilder, iris, näthinna, ögonbotten och hand- och fingergeometri. Även vissa bete- endemässiga kännetecken som tangentbordsrytm, signaturbiometri 3Passdatalagen – en ny lag som kompletterar EU:s dataskyddsförordning (Ds 2019:5), s. 142 f. och 151. och gångstil kan användas.4 Utifrån biometriska underlag går det alltså att på teknisk väg få fram mätdata, biometriska uppgifter.5 Biometriska uppgifter kan sparas i ett lagringsmedium med elektro- nisk minnesenhet (ett chip) på en handling. Det är då möjligt att jäm- föra fingeravtryck eller ansiktsbild på den person som visar upp hand- lingen, exempelvis ett pass, mot de lagrade biometriska uppgifterna på handlingen.6 Biometriska uppgifter kan även sparas i ett register och på så sätt skapa en referensmall av uppgifter för jämförelser.7 Användningen av biometriska uppgifter i identitetshandlingar och i register anses som ett effektivt sätt att motverka missbruk av identitets- handlingar och försvårar förfalskning av handlingar.8 7.2.2Biometriska uppgifter lagras i vissa handlingar Pass utfärdas enligt 2 och 4 §§ passlagen (1978:302) till svenska med- borgare av passmyndighet (inom riket ). Pass är en sådan identitetshandling som har biometriska uppgifter lagrade i ett lagringsmedium (chip) i själva handlingen. Däremot lagras inga biometriska uppgifter från pass i register. Den som ansöker om pass är skyldig att låta sig fotograferas och lämna fingeravtryck digitalt. Det kontrolleras under handläggningen att de digitala bilderna duger som underlag för biometrisk jämförelse. Bilderna sparas sedan i passets lagringsmedium. När passet har lämnats ut eller passansökan återkallats eller avslagits, förstörs fingeravtrycken och de biometriska uppgifter som tagits fram ur dem. Ansiktsbilden sparas i passregistret. Varken ansiktsbilden eller de biometriska uppgifter som kan tas fram ur den får användas vid sökning med hjälp av automatiserad behandling, exempelvis för att kontrollera om sökanden redan har ett pass under annan identitet (5 a–6 b §§ passlagen).9 En ökad användning av vissa av 4Hur står det till med den personliga integriteten? – en kartläggning av (SOU 2016:41), s. 583 ff. 5Passdatalagen – en ny lag som kompletterar EU:s dataskyddsförordning (Ds 2019:5), s. 143 som hänvisar till prop. 2017/18:232, Brottsdatalag, s. 86, s. 150 f. och 435 samt prop. 2018/19:163, Ny lag om säkerhetspolisens behandling av personuppgifter, s. 213 f. 6Passdatalagen – en ny lag som kompletterar EU:s dataskyddsförordning (Ds 2019:5), s. 69 f. 7A.a., s. 141 f. 8Ett säkert statligt – med e-legitimation betänkande års ID-kortsutredning (SOU 2019:14), s. 24 och Passdatalagen – en ny lag som kompletterar EU:s dataskyddsför- ordning (Ds 2019:5), s. 146. 9Passdatalagen – en ny lag som kompletterar EU:s dataskyddsförordning (Ds 2019:5), s. 144 f. de biometriska uppgifter som samlas in vid en passansökan har före- slagits i en promemoria om en ny passdatalag (se avsnitt 7.3.3). En annan identitetshandling med biometriska uppgifter lagrade i själva handlingen är nationella identitetskort som utfärdas av Polismyndig- heten enligt förordningen (2005:661) om nationellt identitetskort och utomlands av de utlandsmyndigheter som fullgör uppgifter som pass- myndigheter. De nationella identitetskorten utfärdas endast till svenska medborgare och kan användas vid resa inom hela EU. En ansiktsbild tas och sparas i ett lagringsmedium på kortet, men de biometriska data som tas fram ur bilden ska förstöras när kortet lämnats ut eller ansökan återkallats eller avslagits. En kopia av ansiktsbilden spa- ras i det register över nationella identitetskort som ska föra (14 §). Ansiktsbilden och de biometriska data som kan tas fram ur bilden får inte användas vid sökning med hjälp av automatiserad behandling. Genomför en myndighet en kontroll av om kortinnehava- rens ansikte motsvarar ansiktsbilden i lagringsmediet ska den ansikts- bild och de biometriska data som tagits fram för ändamålet förstöras (18 §).10 I propositionen Ökad säkerhet för vissa identitets- och uppehålls- handlingar (prop. 2020/21:120), föreslås vissa anpassningar av svensk rätt i förhållande till och rådets förordning (EU) 2019/1157 om säkrare identitetskort för unionsmedborgare och uppe- hållshandlingar som utfärdas till unionsmedborgare och deras familje- medlemmar när de utövar rätten till fri rörlighet. Förslagen innebär bl.a. att enskilda inför utfärdande av nationellt identitetskort, uppe- hållskort eller permanent uppehållskort ska vara skyldiga att låta sig fotograferas och, med vissa undantag, lämna fingeravtryck. Det före- slås också att den som har ett nationellt identitetskort, ett uppehålls- kort eller ett permanent uppehållskort i vissa situationer ska vara skyl- dig att på nytt låta sig fotograferas och lämna fingeravtryck för kontroll av att fotografiet och fingeravtrycken motsvarar de uppgif- ter som finns sparade i kortet (se avsnitt 7.3.5). I betänkandet Ett säkert statligt – med e-legitimation (SOU 2019:14) föreslås att 10Ett säkert statligt – med e-legitimation betänkande års ID-kortsutredning (SOU 2019:14), s. 113–115. förordningen om nationellt identitetskort ska upphävas och ersättas av ett nytt regelverk om statliga identitetskort (se avsnitt 7.3.2). Det finns andra handlingar, utöver pass och nationellt identitets- kort, som är allmänt accepterade som bevis på innehavarens identitet. Det är identitetskort som utfärdar enligt lagen (2015:899) om identitetskort för folkbokförda i , körkort som Transport- styrelsen utfärdar enligt körkortslagen (1998:488) och så kallade SIS- märkta identitetskort som tillverkas av en licensierad tillverkare och utfärdas av en godkänd utfärdare enligt vissa standarder.11 Dessa hand- lingar innehåller inte några biometriska uppgifter och det finns inga biometriska uppgifter som lagras i något register kopplat till dem. utfärdar bevis om uppehållstillstånd i form av uppe- hållstillståndskort12. Ett sådant kort är inte någon rese- eller identitets- handling, utan enbart ett bevis på att innehavaren har uppehållstill- stånd i . Uppehållstillståndskort utfärdas för uppehållstillstånd som är giltiga i och gäller normalt som uppe- hållstillståndet, dock högst . I 9 kap. 8 a och 8 b §§ utlänningslagen (2005:716) finns bestämmel- ser om fotografering och upptagning av fingeravtryck för lagring i lagringsmedium (chip) i uppehållstillståndskortet och för att kunna kontrollera att innehavaren av kortet är samma person som kortet har utfärdats för. När utlänningen har fotograferats och lämnat fingerav- tryck med stöd av 9 kap. 8 a § utlänningslagen sparas ett fotografi och två fingeravtryck i uppehållstillståndskortets lagringsmedium. Finger- avtryck som inte sparats ska, liksom de biometriska data som tas fram ur fingeravtrycken och ur fotot, förstöras när uppehåll- stillståndskortet har lämnats ut eller ärendet om uppehållstillstånd har avgjorts utan att utlänningen har beviljats uppehållstillstånd.13 Finger- 11Ett säkert statligt – med e-legitimation betänkande års ID-kortsutredning (SOU 2019:14), s. 107. 12Bestämmelser om uppehållstillståndskort finns i rådets förordning (EG) nr 1030/2002 av om en enhetlig utformning av uppehållstillstånd för medborgare i tredjeland, i 4 kap. 19 a och 22 §§ och 5 kap. 3 § utlänningsförordningen och i föreskrifter om uppehållstillståndskort (MIGRFS 06/2011). 13Klarlagd identitet – Om utlänningars rätt att vistas i , inre utlänningskontroller och missbruk av identitetshandlingar (SOU 2017:93), s. 91 f. avtryck för lagring i ett chip i uppehållstillståndskort tas bara på perso- ner som har fyllt sex år.14 Fingeravtryck och de biometriska uppgifter som tas fram ur finger- avtrycken och ur fotot lagras alltså, vid en ansökan enligt 9 kap. 8 a § utlänningslagen, bara i kortet och sparas ingen annanstans. Varje gång en person behöver ett nytt uppehållstillståndskort behöver personen bli fotograferad och lämna fingeravtryck på nytt. 7.2.3Biometriska uppgifter är sökbara i vissa register Möjligheten att ta fingeravtryck och att fotografera en person regle- ras i en rad olika författningar. Bestämmelser om att fotografera en utlänning och/eller ta dennes fingeravtryck, utan att det finns någon koppling till brottslig verksam- het, finns i 9 kap. 8–8 c §§ utlänningslagen, i och rådets förordning (EG) nr 810/2009 av (viserings- kodexen) och i och rådets förordning (EU) nr 603/2013 av (Eurodacförordningen). Vissa tillämp- ningsföreskrifter finns i utlänningsförordningen (2006:97). Migrations- verket eller får fotografera en utlänning och ta den- nes fingeravtryck om 1.han eller hon inte kan styrka sin identitet när han eller hon kommer till , 2.han eller hon ansöker om uppehållstillstånd som flykting, alterna- tivt skyddsbehövande eller övrig skyddsbehövande, eller 3.det finns grund för att besluta om förvar. Om personen i fråga söker asyl, det vill säga ansöker om uppehålls- tillstånd som flykting eller alternativt skyddsbehövande, ska finger- avtryck tas enligt artikel 9 i Eurodacförordningen.15 I propositionen Vissa identitetsfrågor inom utlänningsrätten (prop. 2020/21:159) före- slås att detta även ska få ske om utlänningen vid inre utlänningskon- troll enligt 9 kap. 9 § utlänningslagen inte kan visa sin rätt att vistas i . 14A.a., s. 43 f. 15Klarlagd identitet – Om utlänningars rätt att vistas i , inre utlänningskontroller och missbruk av identitetshandlingar (SOU 2017:93), s. 42–44. Enligt 15 § utlänningsdatalagen (2016:27) får föra separata register över de fotografier och fingeravtryck som tas med stöd av 9 kap. 8 § utlänningslagen. Av bestämmelsen framgår också i vilka syften uppgifterna får användas. I 2 och 3 §§ utlänningsdata- förordningen (2016:30) anges vilka uppgifter som får behandlas i register över fotografier och fingeravtryck. Där finns också föreskrifter om gallring. för med stöd av nämnda bestämmelser separata register över fingeravtryck och fotogra- fier som tas med stöd av 9 kap. 8 § utlänningslagen. Fotografier lagras i den centrala utlänningsdatabasen () hos Migrationsver- ket. CUD innehåller samtliga enheters ärendehan- tering av bl.a. tillståndsärenden, medborgarskapsärenden, diarieföring, asylprövningar, flyktingmottagning, bidragshantering och kommun- placeringar.16 Fingeravtryck lagras i ett särskilt register. Både Migra- tionsverkets fingeravtrycksregister och fingerav- trycksregister är lokaliserade hos och lagras i ett automatiserat identifieringssystem för fingeravtryck (AFIS). Regist- ren är tekniskt separerade från varandra och finger- avtryck lagras i vad som kallas för B-filen, medan fingeravtryck lagras i den så kallade A-filen.17 I 28 kap. (1942:740) och förordningen (1992:824) om fingeravtryck m.m. (fingeravtrycksförordningen) finns regler om i vilka situationer bl.a. får ta fingeravtryck och dna i den brottsbekämpande verksamheten. Även 19 § första stycket lagen (1991:572) om särskild utlänningskontroll innehåller bestämmelser om fingeravtryck och kroppsbesiktning. Bestämmelser om fotogra- fering och tagande av fingeravtryck och andra liknande åtgärder inom ramen för en förundersökning finns i 28 kap. 14 § . Vad syftet med de åtgärder som riktar sig mot frihetsberövade ska vara regleras i fingeravtrycksförordningen. Åtgärder som att ta fingerav- tryck eller fotografi av annan än den som är misstänkt får bara ske i syfte att utreda brott på vilket fängelse kan följa. Fingeravtryck och fotografi får enligt 19 § lagen om särskild utlänningskontroll tas av en utlänning för att utreda om utlänningen eller en organisation eller grupp som han eller hon tillhör eller verkar för planlägger eller för- bereder terroristbrott enligt 2 § lagen (2003:148) om straff för terrorist- brott. Genom en hänvisning i 5 § lagen om särskild utlänningskon- 2015/16:65 Utlänningsdatalag, s. 29. 17A.a., s. 71 f. troll gäller 9 kap. 8 § utlänningslagen även för de utlänningar som om- fattas av regleringen i lagen om särskild utlänningskontroll. Att ta fingeravtryck av anhållna och häktade syftar till att skapa underlag för det fingeravtrycks- och signalementsregister som Polis- myndigheten får föra enligt 5 kap. 11 § lagen (2018:1693) om polisens behandling av personuppgifter inom brottsdatalagens område. I 5 kap. 12–16 §§ samma lag regleras närmare i vilken utsträckning polisen får behandla uppgifter om bl.a. fingeravtryck och fotografier, vilka uppgifter som får bevaras i registret och när gallring ska ske. Polis- myndighetens fingeravtrycks- och signalementsregister används inte enbart i brottsutredande verksamhet utan kan också användas för att identifiera okända personer och för att kontrollera avtryck som tagits av i anslutning till asylärenden.18 I sammanhanget kan även Schengens informationssystem (SIS) nämnas. antogs tre nya EU-förordningar om SIS. Förordningarna ersätter EU:s nuvarande regelverk om SIS och innebär att en ny version av systemet ska tas i drift vid ett datum som kommissionen ska fastställa . I förhål- lande till den tidigare regleringen innebär förordningarna bl.a. att SIS kommer att kunna användas för fler ändamål än tidigare, att fler uppgif- ter kan registreras i SIS och att fingeravtryck i högre utsträckning ska kunna användas för att identifiera personer. De ändrade bestäm- melserna om fotografier och fingeravtryck i SIS har föranlett en ny paragraf, 9 kap. 8 f §, i utlänningslagen. Enligt den nya bestämmelsen är en utlänning vid en kontroll enligt 1 eller 9 § samma lag skyldig att låta en polisman, en särskilt förordnad passkontrollant eller en tjänsteman vid , eller Migrations- verket fotografera honom eller henne och ta hans eller hennes finger- avtryck för att genom en sökning i Schengens informationssystem identifiera utlänningen om identiteten inte kan fastställas på annat sätt. Efter att kontrollen har genomförts ska det fotografi och de fingeravtryck som har tagits för kontrollen förstöras. 18Berg, , Lagkommentar till 5 kap. 11 § lagen om polisens behandling av personuppgifter inom brottsdatalagens området, Karnov . 7.3Användning av biometriska uppgifter har diskuterats i andra utredningar Vilka risker och möjligheter som är förenade med användning av bio- metriska uppgifter och teknik har behandlats i betänkandet Hur står det till med den personliga integriteten? – en kartläggning av . bedömning är att använd- ningen av tekniker som involverar många och detaljerade biometriska uppgifter innebär en påtaglig risk för den personliga integriteten. anser kommittén att det måste beaktas att biometriska tek- niker kan medföra stora fördelar genom att exempelvis göra identi- fieringsförfaranden säkrare i kombination med andra metoder.19 Andra utredningar har framfört behov av att minska antalet god- kända svenska identitetshandlingar och att förse sådana handlingar med biometriska uppgifter. Det har även föreslagits utökad använd- ning av biometriska uppgifter i samband med passansökningar och vid inre och yttre utlänningskontroll (se närmare avsnitten 7.3.2–7.3.5). Dessa förslag handlar främst om att kunna använda biometriska uppgifter vid kontroll av gränsövergångar och för att kontrollera om en sökande av en identitetshandling förekommer i registret . Förslagen handlar om att förse en svensk identitetshandling och tillhörande register med biometriska uppgifter. Införskaffande av sådana identitetshandlingar sker efter att en person har blivit folk- bokförd eller tilldelats samordningsnummer. Förslagen innebär där- för inte i sig att kontrollen av en persons identitet innan tilldelning av person- eller samordningsnummer kommer att förbättras. Det kan noteras att förslaget om att minska antalet godkända svenska identitetshandlingar genom att bl.a. ta bort körkortet som identitets- handling, i någon mån kan ha betydelse för systemet med samordnings- nummer eftersom Transportstyrelsen kan begära att personen tilldelas samordningsnummer vid en ansökan om körkortstillstånd och ett senare utfärdat körkort räknas som en giltig id-hand- ling. Även om förslagen inte är av direkt betydelse för att stärka iden- titetskontrollen inför tilldelning av person- eller samordningsnummer, så innehåller de relevanta överväganden avseende möjligheter och 19Hur står det till med den personliga integriteten? (SOU 2016:41), s. 115 f. och s. 583–589. risker med att använda biometriska uppgifter, vilka åldersgränser som ska gälla och vilka avvägningar som krävs på grund av att det rör sig om känsliga personuppgifter. 7.3.2Förslag om ett säkert identitetskort och ökad användning av biometriska uppgifter Både Brå och har pekat på vissa problem förknippade med det stora antal av olika typer av identitetshand- lingar som godtas i Sverige.20 Mot bakgrund av kritiken tillsattes ID-kortsutredning. Utredningen föreslår i betänkandet Ett säkert statligt – med e-legitimation (SOU 2019:14) att endast pass och ett statligt identitetskort ska godtas som fysiska identitets- handlingar i de situationer som kräver en säker identifiering. Vidare ska enligt förslaget en statlig e-legitimation på högsta tillitsnivå liksom biometriska uppgifter i form av fingeravtryck och ansiktsbild finnas i ett lagringsmedium (vanligen chip) på det statliga identitetskortet.21 I betänkandet anges att det inte har ingått i utredningens uppdrag att säkerställa att grunddata i folkbokföringen är korrekta, men att vissa förslag kan få positiva effekter även i det avseendet. Det utveck- las dock inte närmare vilka effekter som avses.22 Utredningen före- slår att ansiktsbilden och de biometriska uppgifter som tas fram ur den ska sparas i ett id-kortsregister, men endast få användas som sökbe- grepp vid ansökan om pass eller id-kort för att kontrollera om sökan- dens ansiktsbild finns i registret. Fingeravtryck och de biometriska uppgifter som tas fram ur dessa ska enligt förslaget inte få behandlas i id-kortsregistret och inte heller få användas som sökbegrepp.23 Sekre- tess ska gälla för ansiktsbilden och de biometriska uppgifter som tas fram och sparas i pass- och id-kortsregistren om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående lider men. Personlig inställelse anses av utredningen vara en central del i ett säkert utfärdande. Normalt ska enligt förslaget krav ställas på personlig inställelse både vid ansökan och vid utlämnande av id-kort. 20Brå (2016:9) Rapport i , s. 224 f. och Kvalificerad välfärdsbrotts- lighet – förebygga, förhindra, upptäcka och beivra (SOU 2017:37), s. 295–302. 21Ett säkert statligt – med e-legitimation betänkande års ID-kortsutredning (SOU 2019:14), s. 19–25. 22A.a., s. 89. 23A.a., s. 290. dock finnas möjlighet att ansöka genom bud för att göra kortet tillgäng- ligt för personer som på grund av sjukdom, funktionsnedsättning eller hög ålder saknar möjlighet att ta sig till utfärdande myndighet.24 Förslaget innebär att sökandens identitet ska styrkas med en stat- lig fysisk identitetshandling när ansökan görs. Saknar sökanden sådan kan identiteten i stället styrkas med pass från vissa europeiska länder, med hjälp av en intygsgivare eller i sista hand på något annat tillför- litligt sätt. En sökande som beviljats uppehållstånd kan enligt förslaget styrka sin identitet genom uppgifter som finns hos Migrationsver- ket. Enligt utredningen ska vidare den utfärdande myndigheten få kon- trollera fingeravtryck och ansiktsbild som finns på uppehållstillstånds- kortet. Jämförelsen bedöms höja säkerheten i förfarandet beträffande dessa personer och säkerställa att det är samma person som beviljats uppehållstillstånd som ansöker om id-kort. Med detta tillägg för att öka säkerheten bedömer utredningen att kontroll mot Migrations- verkets uppgifter även fortsättningsvis bör kunna användas som metod för att styrka identiteten. Utredningen anser att en bestämmelse som möjliggör identifiering genom användning av uppgifter hos Migrations- verket bör införas i den nya regleringen i likhet med rådande möjlig- Behandlingen av personuppgifter i det föreslagna id-kortsregistret anser utredningen innebär ett visst intrång i den enskildes personliga integritet, men inte så betydande att det omfattas av grundlagsskyd- det i 2 kap. 6 § andra stycket regeringsformen. Eftersom id-kortsregist- ret enligt förslaget ska innehålla uppgifter om ett stort antal personer och då vissa av uppgifterna är av mer integritetskänsligt slag, är det en- ligt utredningens bedömning ändå lämpligt att i huvudsak ta in bestäm- melserna om behandling av personuppgifter i lag. Den sammanhållna regleringen avseende identitetskorten föreslås därför införas i en ny lag som innehåller de mest centrala bestämmelserna. Mer detaljerade bestämmelser ska enligt förslaget föras in i en kompletterande förord- ning. Betänkandet har remissbehandlats och förslagen bereds inom . 24A.a., s. 22. 25A.a., s. 22, 239, 243–246 och 306–307. 7.3.3Förslag om en ny passdatalag och utökad användning av biometriska uppgifter i passregistret Frågan om att lagra biometriska uppgifter i identitetshandlingar och i register behandlas även i promemorian Passdatalag – en ny lag som kompletterar EU:s dataskyddsförordning (Ds 2019:5). Promemorian innehåller förslag på en särskild registerförfattning som preciserar hur får behandla personuppgifter i passverksam- heten. För passverksamhet finns inte någon registerförfattning. Den ansiktsbild som avses tas i samband med passansökan ska kunna jämföras biometriskt med bilderna i passregistret. Vissa biomet- riska uppgifter ska därför få lagras i passregistret.