prop · H903217 · 2022-04-07 00:00:00 — Att ta någons fingeravtryck är ett sådant kroppsligt ingrepp som omfattas av skyddet i bestämmelsen. Att fotografera någon utgör däremot inte ett kroppsligt ingrepp i den mening som avses i bestämmelsen (se prop. 2017/18:35 s. 12 och prop. 2020/21:120 s. 16). Skyddet mot påtvingat kroppsligt ingrepp är inte absolut utan får enligt 2 kap. 20 § regeringsformen i vissa fall begränsas genom lag. Begränsningar får enligt 2 kap. 21 § samma lag göras endast för att tillgodose ändamål som är godtagbara i ett demokratiskt samhälle och får aldrig gå utöver vad som är nödvändigt med hänsyn till det ändamål som har föranlett dem. Ett skydd mot integritetsintrång av olika slag följer även av den europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna () och lag eller annan föreskrift får inte meddelas i strid med åtaganden på grund av (2 kap. 19 § regeringsformen). Enligt artikel 8.1 i har var och en rätt till respekt för sitt privat- och 2021/22:217 familjeliv. Det inbegriper i vissa fall en rätt till skydd mot att bli fotograferad (, Mänskliga rättigheter i europeisk praxis, 5 uppl., 2015, s. 377). Likaså får det antas att fingeravtryckstagning omfattas av skyddet (prop. 2014/15:32 s. 26 och prop. 2020/21:120 s. 17). 8.2 framgår att inskränkningar i skyddet godtas bara om de har stöd i lag och i ett demokratiskt samhälle är nödvändiga med hänsyn till vissa uppräknade ändamål, däribland statens säkerhet, den allmänna säkerheten eller förebyggande av oordning eller brott. En bestämmelse om rätt till respekt för privat- och familjelivet finns även i artikel 7 i Europeiska unionens stadga om de grundläggande rättigheterna (stadgan). Möjligheten till begränsningar påminner om motsvarande möjligheter i I sammanhanget kan även konvention om barnets rättigheter () inkorporerades i svensk rätt 2020, se lagen (2018:1197) om konvention om Av konventionen följer bl.a. att en bedömning av barnets bästa är det som i första hand ska beaktas vid alla åtgärder som rör barn och att barn ska skyddas från godtyckliga eller olagliga ingripanden i sitt privat- och familjeliv (artiklarna 3 och 16). dataskydd behöver beaktas. Sådana frågor behandlar regeringen nedan i Fördelarna med att göra biometriska kontroller vid folkbokföring måste vägas mot integritetsintrånget som förfarandet kan medföra. om en jämförelse mellan den enskildes ansikte och fingeravtryck och de uppgifter som finns lagrade i handlingen. innebär en skyldighet att på begäran låta sig fotograferas och få sina Syftet är endast att kontrollera den enskildes identitet och den åberopade handlingens äkthet. Som framgår av regeringens förslag i avsnitt 7.2 nedan ska inga uppgifter sparas eller lagras i register för framtida sökningar. Det rör sig alltså endast om tillfällig behandling av Ändamålet att minska fel i folkbokföringsdatabasen anknyter till statens säkerhet, den allmänna säkerheten och förebyggande av oordning och brott, och är godtagbart i ett demokratiskt samhälle. kontroll som regeringen här föreslår i samband med folkbokföring skulle dessutom innebära ett förbättrat skydd för människor som annars riskerar att utsättas för t.ex. identitetskapning. Verifieringen blir betydligt säkrare om inte bara fotografi utan även fingeravtryck får tas och jämföras. Åtgärden att kontrollera biometriska uppgifter från såväl ansiktsbild som fingeravtryck i handlingar bör sammantaget inte anses gå utöver vad som är nödvändigt med hänsyn till ändamålet och står därför inte i strid med vare sig regeringsformen eller Skyldigheten att låta sig fotograferas och lämna fingeravtryck bör dock mot denna bakgrund regleras i folkbokförings- Med hänsyn till syftet med den föreslagna kontrollen och eftersom de föreslagna regleringarna innebär att uppvisande av pass eller identitetskort krävs enligt lag, uppfylls förutsättningar som uppställs i artikel 4.3 i rådets förordning (EG) nr 2252/2004 av om standarder för säkerhetsdetaljer och biometriska kännetecken i pass och resehandlingar som utfärdas av medlemsstaterna (EU:s passförordning) respektive artikel 11.6 i EU:s id-kortsförordning. Den kontroll som Prop. 2021/22:217 föreslås avseende uppehållstillståndskort bedöms av samma skäl förenlig med artikel 4 andra stycket i rådets förordning (EG) nr 1030/2002 av om en enhetlig utformning av uppehållstillstånd för medborgare i tredjeland (EU-förordningen om enhetlig utformning av uppehållstillstånd), i dess ändrade lydelse enligt rådets förordning (EG) nr 380/2008. … och undantagen i förordning Det finns anledning att göra vissa undantag från skyldigheten att låta sig fotograferas och lämna fingeravtryck. Till skillnad från utredningen anser regeringen att dessa undantag bör regleras i förordning. Det kan t.ex. handla om att barn under en viss ålder och personer som har vissa fysiska hinder inte behöver lämna fingeravtryck. För att möjliggöra undantag behövs en bestämmelse om att regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om undantag från kravet på att låta ta ansiktsbild och fingeravtryck. Ytterligare föreskrifter om hur identitetskontrollen ska genomföras Regeringens förslag innebär att det i folkbokföringslagen införs en reglering om att ansiktsbild och fingeravtryck ska lämnas och kontrolleras mot handling. Vid behov kan ytterligare reglering ske på lägre föreskriftsnivå, genom verkställighetsföreskrifter. Som redan nämnts har utredningen föreslagit att det i förordning tas in ett bemyndigande för att meddela närmare föreskrifter avseende vilka handlingar som kan godtas som pass, identitetskort eller motsvarande handling liksom att också bör få meddela föreskrifter om hur identitetskontrollen ska utföras praktiskt. Sådana föreskrifter är inte av ett sådant slag att ett bemyndigande i lag krävs och övervägs därför inte närmare. Förslaget medför att två nya bestämmelser, 26 c och 30 a §§, införs i folkbokföringslagen. personuppgifter som förslagen om stärkt identitetskontroll innebär ska ske i folkbokföringsdatabasen. Ansiktsbild, fingeravtryck och de biometriska uppgifter som tas fram ur dessa ska därför få behandlas i Regeringens bedömning: Den behandling av personuppgifter som förslagen ger upphov till är förenlig med EU:s dataskyddsförordning, dataskyddslagen och de föreskrifter som har meddelats med stöd av den Bortsett från de ändringar som föreslås i lagen om behandling av personuppgifter i folkbokföringsverksamhet är den befintliga regleringen tillräcklig för den personuppgiftsbehandling som kan komma att ske med anledning av förslagen. Utredningens förslag och bedömning överensstämmer i huvudsak med regeringens, men har en annan språklig utformning. Remissinstanserna: , , , Myndigheten för digital förvaltning och understryker behovet av att kunna lagra och jämföra biometri. betonar att den föreslagna regleringen ger möjlighet att koppla den fysiska personen till en identitetshandling, vilket medför en förstärkt kontroll både av handlingars äkthet och av att den fysiska person som åberopar handlingen är densamma som den person som handlingen har utfärdats för. Utan införande av referensdata som lagras avseende biometriska uppgifter saknas dock möjlighet för att kontrollera om den fysiska personen t.ex. förekommer som folkbokförd . En sådan möjlighet skulle innebära en ytterligare avsevärt minskad risk för att oriktiga uppgifter registreras. anför att som förslaget är utformat löser det inte problematiken kring förekomsten av multipla identiteter. Myndigheten för digital förvaltning anser att det i syfte att minska risken för att en individ tilldelas flera olika identiteter i , bör införas möjlighet att göra registerkontroller om särskilda skäl talar för det. Av effektivitetsskäl anser att frågan om möjligheten för att även lagra denna typ av uppgifter för framtida jämförelser och kontroller bör utredas vidare. kommun anser att riskanalysen gällande användande av biometriska uppgifter är bristfällig och att det behöver konkretiseras hur det ska säkerställas att de insamlade uppgifterna inte kommer att kunna missbrukas. Vidare behöver säkerställas att det inte otillbörligen går att komma åt uppgifterna och att den interna tillgången till uppgifterna inom myndigheten begränsas till personal med utbildning i hur dessa ska hanteras. Det saknas även tydlighet om hur länge en tillfällig lagring av de biometriska uppgifterna får pågå och en garanti om att den tillfälliga lagringen inte går att omvandla till permanent lagring. Även Statens servicecenter lyfter att informationssäkerhetsaspekten kring förslagen bör beaktas noggrant då det kan få allvarliga konsekvenser om biometriska uppgifter kommer obehöriga till handa. Skälen för regeringens förslag och bedömning Det ska införas regler om personuppgiftsbehandling Förslagen om att ansiktsbild och fingeravtryck ska lämnas och kunna kontrolleras mot handling innebär att personuppgifter kommer att behöva behandlas. Denna behandling ska ske i folkbokföringsdatabasen. Det står därmed klart att förslagen ger upphov till sådan personuppgiftsbehandling som omfattas av och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), nedan kallad EU:s dataskyddsförordning. Dataskyddsförordningen är i alla delar bindande och direkt tillämplig i samtliga EU:s medlemsstater. personuppgiftsbehandling inom EU, tillåter och förutsätter ibland att medlemsstaterna kompletterar förordningen med nationell lagstiftning. EU:s dataskyddsförordning kompletteras genom lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (data- skyddslagen) och för personuppgiftsbehandling i folkbok- föringsverksamheten finns även lagen (2001:182) om behandling av personuppgifter i folkbokföringsverksamhet (folkbok- föringsdatabaslagen) och förordningen (2001:589) om behandling av personuppgifter i folkbokföringsverksamhet (folkbok- föringsdatabasförordningen) som kompletterar regleringen. För att den personuppgiftsbehandling som förslagen kräver ska vara tillåten måste åtminstone ett av villkoren i artikel 6.1 i EU:s dataskyddsförordning vara uppfyllt. I artikel 6.1 i dataskyddsförordningen regleras vilka rättsliga grunder som måste föreligga för att behandling av personuppgifter ska vara laglig. personuppgiftsbehandlingen i folkbokföringsverksamheten finns i första hand i artikel 6.1 e, dvs. att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning. artikel 6.3 första stycket i dataskyddsförordningen ska den aktuella grunden för behandlingen fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt. Enligt artikel 6.3 andra stycket ska vidare syftet med behandlingen vara nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges personuppgifter får behandlas med stöd av artikel 6.1 e i dataskydds- förordningen om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning eller som ett led i den personuppgiftsansvariges myndighetsutövning enligt lag eller annan Av artikel 6.3 andra stycket i dataskyddsförordningen följer vidare att medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Regeringen föreslår att de fingeravtryck, den ansiktsbild och de biometriska uppgifter som finns lagrade i handlingar ska få tas fram ur dessa och genom ett automatiserat förfarande jämföras med motsvarande som får ta av den som uppvisar handlingen. behandlingen är att kontrollera innehavarens identitet och handlingens Behandlingen utgör ett led i myndighetsutövning och är nödvändig för att tillgodose det allmänna intresset av att folkbokföringen innehåller korrekta uppgifter. Den aktuella grunden för behandlingen är vidare fastställd i den nationella rätten på det sätt som krävs enligt artikel 6.3 i dataskyddsförordningen, bl.a. genom 2 § förordningen (2017:154) med instruktion för och folkbokföringslagen, exempelvis genom den föreslagna nya paragrafen 26 c § i folkbokföringslagen. Folkbokföringsdatabaslagen bygger i princip på att all automatiserad behandling i folkbokföringsverksamheten ska ske i databasen. möjliggöra att ansiktsbild, fingeravtryck och de biometriska uppgifter som tas fram ur dessa får behandlas i folkbokföringsdatabasen behöver behandlingen även vara förenlig med denna reglering. ändamålen för behandlingen liksom andra specificerade bestämmelser 2021/22:217 finns bl.a. i folkbokföringsdatabaslagen. Av 1 kap. 4 § folkbokföringsdatabaslagen framgår att uppgifter bl.a. får behandlas för att tillhandahålla information som behövs för kontroll och analys av identifieringsuppgifter för fysiska personer och av andra folkbokföringsuppgifter, handläggning av folkbokföringsärenden, aktualisering, komplettering och kontroll av personuppgifter. Den behandling av uppgifter som förslaget ger upphov till hos i folkbokföringsdatabasen är tillåten enligt de angivna bestämmelserna. I 2 kap. 3 § folkbokföringsdatabaslagen finns bestämmelser om vilka uppgifter som får behandlas i folkbokföringsdatabasen. För att möjliggöra den personuppgiftsbehandling som den nu föreslagna identitetskontrollen innebär föreslår regeringen, i enlighet med utredningens förslag, att ett tillägg ska göras i nämnda paragraf i folkbokföringsdatabaslagen. Biometriska uppgifter är enligt artikel 4.14 i dataskyddsförordningen personuppgifter som erhållits genom en särskild teknisk behandling som rör en fysisk persons fysiska, fysiologiska eller beteendemässiga kännetecken och som möjliggör eller bekräftar identifieringen av denna person, såsom ansiktsbilder eller fingeravtrycksuppgifter. Biometriska uppgifter för att entydigt identifiera en fysisk person räknas som sådana känsliga uppgifter som omfattas av artikel 9.1 i dataskyddsförordningen. Huvudregeln enligt artikel 9.1 är att känsliga personuppgifter inte får behandlas. I artikel 9.2 finns ett flertal undantag från huvudregeln. Känsliga uppgifter får bl.a. behandlas om en behandling är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen (artikel ). Som regeringen konstaterar ovan framgår uppgift att ansvara för frågor om folkbokföring av förordningen med instruktion för som även anger att uppgifterna i folkbokföringen bl.a. ska spegla befolkningens bosättning och identitet så att olika samhällsfunktioner får ett korrekt underlag för beslut och åtgärder. De materiella bestämmelserna om folkbokföring framgår vidare av folkbokföringslagen. Det rör sig om verksamhet som innefattar myndighetsutövning, vilket regeringen i förarbetena till dataskyddslagen konstaterar utgör ett viktigt allmänt intresse (prop. 2017/18:105 s. 83). Artikel är direkt tillämplig men det är möjligt för medlemsstaterna att i nationell rätt införa mer specifika bestämmelser även avseende känsliga personuppgifter (artikel 6.2 och skäl 10). Artikel 9.4 stadgar vidare att medlemsstater får behålla eller införa ytterligare villkor, även begränsningar, för behandlingen av genetiska eller biometriska uppgifter eller uppgifter om hälsa. I folkbokföringsdatabaslagen finns även stöd för behandling av sådana känsliga personuppgifter. Av 1 kap. 6 § folkbokföringsdatabaslagen följer att känsliga personuppgifter får behandlas endast om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Känsliga personuppgifter får i annat fall behandlas endast om det särskilt anges i lagens 2 kap. Enligt 2 kap. 11 § samma lag får inte uppgift som avses i 1 kap. 6 § användas som sökbegrepp. Uppgifter som har samlats in för att en kontroll ska kunna genomföras finns, när kontrollen är klar, fortfarande kvar. Regeringen behandlar nedan frågor om efterföljande behandling av bl.a. de biometriska uppgifter som har tagits fram vid identitetskontroller. Uppgifterna ska förstöras efter kontrollen Enligt utredningen bör ansiktsbild, fingeravtryck och de biometriska uppgifter som tagits fram ur dessa förstöras efter att kontrollen är genomförd. Som vissa remissinstanser pekar på skulle en möjlighet att spara uppgifterna för framtida jämförelser kunna bidra till att motverka att en person blir folkbokförd under flera eller falska identiteter. Något underlag för att i detta ärende överväga en sådan ordning finns dock inte. För regeringen är det emellertid angeläget att förhindra förekomsten av multipla identiteter i folkbokföringen. En sådan företeelse kan få stora konsekvenser då felaktigheter i folkbokföringen ger stora spridningseffekter i samhället. Det kan därför finnas skäl att återkomma till frågan men föreslås alltså inga sådana bestämmelser. För att kontrollen nu ska kunna tillåtas bör därför ansiktsbilden, fingeravtrycken och de biometriska uppgifter som har tagits fram vid kontrollen förstöras efter att kontrollen har genomförts. En bestämmelse om detta ska föras in i folkbokföringsdatabaslagen. Liknande bestämmelser finns , såvitt avser pass och uppehållstillståndskort, i passlagen (1978:302) och i utlänningslagen (2005:716). Regeringen anser, till skillnad från kommun, att regleringen är tydlig och att behov av att konkretisera detta ytterligare saknas. kommun har även anmärkt på riskanalysen gällande förslaget om behandling av biometriska uppgifter och anser att det finns behov av att säkerställa att de insamlade uppgifterna inte kommer att kunna missbrukas liksom att tillgången till uppgifterna begränsas. Även Statens servicecenter lyfter vikten av informationssäkerhet. Vad remissinstanserna fört fram handlar om behovet av skyddsåtgärder. Regeringen kan konstatera att det följer av artiklarna 24.1 och 32 i EU:s dataskyddsförordning att den personuppgiftsansvarige är skyldig att vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken med personuppgiftsbehandlingen. Skyldigheten gäller bl.a. uppgifternas tillgänglighet (artikel 25.2). Om kretsen av personer som har tillgång till personuppgifter begränsas är riskerna för integritetsintrång generellt sett mindre. Allmänt gäller att den personuppgiftsansvarige måste begränsa tillgången så mycket som möjligt med hänsyn till den aktuella verksamheten och känsligheten hos personuppgifterna. Bestämmelserna i dataskyddsförordningen är direkt tillämpliga och det är alltså upp till den personuppgiftsansvarige att analysera vilka risker en behandling av personuppgifter kan medföra och att vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en adekvat säkerhetsnivå. Det är enligt regeringens uppfattning här inte lämpligt att reglera exakt vilka konkreta säkerhetsåtgärder som bör vidtas utan detta måste den personuppgiftsansvarige avgöra själv, utifrån risken med varje behandling. Regeringen anser således att det inte bör införas några särskilda bestämmelser om sådana skyddsåtgärder som kommunens synpunkter tar sikte på. De uppgifter som kommer att behandlas rör enskildas personliga förhållanden. Ändamålet med den behandling som föranleds av förslaget är ytterst en korrekt folkbokföring. Folkbokföringen ska spegla befolkningens verkliga bosättning, identitet och familjerättsliga förhållanden så att olika samhällsfunktioner får ett korrekt underlag för beslut och åtgärder. Uppgifterna i folkbokföringen läggs till grund för en rad rättigheter för den enskilde, både i förhållande till samhället och till andra enskilda. Det är därför angeläget att uppgifterna stämmer överens med verkliga förhållanden. Det är också angeläget att en person uppträder under en och samma identitet vid kontakter med myndigheter och andra och att risken för att en person uppträder under flera olika identiteter minimeras. har därför konstaterat att det är av stor vikt att identitetsuppgifter i folkbokföringen präglas av stabilitet (HFD 2019 ref. 9, jfr även RÅ 1997 ref. 8). Enligt är stabiliteten när det gäller registrerade identitetsuppgifter av så central betydelse att beviskravet för att ändra sådana uppgifter måste vara högt. För att få bifall till en begäran om ändring av registrerade identitetsuppgifter måste den enskilde presentera bevisning som innebär att det klart framgår att de nya uppgifterna är riktiga (HFD 2019 ref. 9). Den föreslagna identitetskontrollen som innebär att biometriska uppgifter ska få behandlas syftar inte till annat än att säkerställa att en person är den som han eller hon utger sig för att vara och eventuellt att säkerställa att en handling är äkta. En säkrare identitetskontroll leder i det enskilda fallet till större upptäcktsrisk för personer som utger sig för att vara någon annan. innebär förslaget – att ges möjlighet att ta fingeravtryck och fotografera alla personer som ska folkbokföras på grund av flytt till och jämföra dessa med uppgifter i t.ex. ett identitetskort – att det rör sig om många personer och således ett stort antal uppgifter, vilket bör beaktas särskilt. Även själva förfarandet, där den som ska registreras på uppmaning rent fysiskt måste underkasta sig vissa moment, såsom fingeravtryckstagning och fotografering, kan utgöra ett intrång i den personliga integriteten. Som nämnts ovan rör det sig dessutom om kontroll av känsliga personuppgifter. Mot det ökade integritetsintrånget måste dock de allmänintressen som motiverar förslaget vägas. Det finns ett starkt samhälleligt intresse av att de beslut om folkbokföring som fattar är korrekta och att uppgifter i folkbokföringsdatabasen således är korrekta och överensstämmer med verkligheten. Nyttan med en säkrare identitetskontroll genom det förslag som lämnas innebär att begränsningar av integritetsskyddet får accepteras. Behandlingen är nödvändig och adekvat eftersom den innebär att med minsta möjliga ingrepp i den personliga integriteten på ett säkert sätt kan fastställa identiteten i samband med folkbokföring i vissa ärenden. Vid en avvägning mellan behov av den personuppgiftsbehandling som blir en följd av förslaget och den enskildes rätt till skydd för den personliga integriteten anses förslaget vara proportionerligt. Härvid beaktas även att de biometriska uppgifter som tas fram inte ska sparas eller användas på något annat sätt och att den reglering som regeringen föreslår för kontrollerna kommer att ha stöd i Regeringen gör här således avvägningen att behovet av att säkerställa Prop. 2021/22:217 att de uppgifter som registreras i folkbokföringsdatabasen är riktiga väger tyngre än det integritetsintrång som behandlingen kan tänkas medföra och att det ökade intrånget i den personliga integriteten därmed är godtagbart. Förslaget bedöms således vara proportionerligt och väl avvägt. Sammanfattningsvis bedömer regeringen att den personuppgiftsbehandling som förslagen ger upphov till är förenlig med EU:s dataskyddsförordning och dataskyddslagen. Förutom de ändringar som föreslås i folkbokföringsdatabaslagen är den befintliga regleringen på personuppgiftsområdet tillräcklig för att möjliggöra den personuppgiftsbehandling som föranleds av regeringens förslag. Förslaget medför att det i 2 kap. 3 § första stycket folkbokföringsdatabaslagen införs en ny punkt, 21, och att det i samma lag införs en ny bestämmelse, 1 kap. 7 §. Regeringens bedömning: Fingeravtryck, ansiktsbild och de biometriska uppgifter som har tagits fram i samband med identitetskontrollen medför inget behov av några ändringar i offentlighets- och sekretesslagstiftningen. Utredningens bedömning överensstämmer delvis med regeringens.