prop · H903276 · 2022-07-19 00:00:00 — I enlighet med propositionens förslag träder bestämmelser i folkbokföringslagen (1991:481) i kraft om användning av biometriska uppgifter i folkbokföringen och att detta ska ske vid personlig inställelse för identitetskontroll för bl.a. personer som flyttat in från utlandet och ska folkbokföras samt för personer som är avregistrerade från folkbokföringen som försvunna (prop. 2021/22:217, bet. 2021/22:SkU28, rskr. 2021/22:372). De skäl som regeringen har framfört i ovan nämnda proposition för att stärka identitetskontrollen, i syfte att uppnå ökad kvalitet i folkbokföringen, gör sig även gällande i fråga om samordningsnummer. Regeringen har i avsnitt 6.3 lämnat förslag om att det ska införas en skyldighet för den som inställer sig personligen för identitetskontroll att på begäran överlämna pass, identitetskort eller annan motsvarande handling eller uppehållstillståndkort för kontroll. Det är fråga om handlingar som normalt har ett lagringsmedium där biometriska uppgifter från ansiktsbild eller fingeravtryck finns lagrade. För att kunna säkerställa kontrollen av att den handling som visas upp är äkta och att den är utställd på den person som överlämnar den, bör myndigheten som utför identitetskontrollen också ha möjlighet att kontrollera de biometriska uppgifter som finns lagrade i den aktuella handlingen och jämföra dem med innehavarens. Den enskilde bör därför också vara skyldig att på begäran låta myndigheten som utför identitetskontrollen ta fingeravtryck och en ansiktsbild i digitalt format för att myndigheten ska kunna kontrollera att dessa stämmer överens med dem som finns lagrade i handlingen. Syftet med kontrollen är alltså att säkerställa handlingens äkthet och innehavarens identitet. 2021/22:276 i för fram att det finns svenska medborgare som aldrig haft ett pass eller giltig id-handling och då kan kravet på biometrisk kontroll inte mötas. Regeringen är, som redan nämnts, inte beredd att föreslå införandet av ett nytt identitetsnummer utan samordningsnumren ska i stället särskiljas genom att uppgift om identiteten registreras i folkbokföringsdatabasen som på ett tydligt sätt informerar mottagaren vilken identitetsbedömning som föregått tilldelningen. Vidare kan det förtydligas att förslaget innebär att om den handling som överlämnats i samband med identitetskontroll har ett lagringsmedium där fingeravtryck eller ansiktsbild är sparade så är innehavaren skyldig att låta sig fotograferas och lämna fingeravtryck för att kunna jämföra dessa uppgifter mot dem som finns lagrade i handlingen. Om en handling inte innehåller ett sådant lagringsmedium finns inget att jämföra mot och några biometriska uppgifter behöver därmed inte lämnas. Det i sig innebär inte att den enskilde inte förmår styrka sin identitet. Det är upp till den myndighet som genomför identitetskontrollen att ta ställning till om de handlingar den enskilde presenterar är sådana att han eller hon har styrkt sin identitet och därför kan tilldelas ett samordningsnummer där uppgift om styrkt identitet kan registreras. Om den enskilde inte når upp till kravet styrkt identitet kan i stället, om identiteten har gjorts sannolik, samordningsnummer med uppgift om sannolik identitet tilldelas. Skyldigheten ska regleras i lag … Regeringen har i propositionen Stärkt kontroll och kvalitet i folkbokföringen gjort bedömningen att skyldigheten att låta sig fotograferas och lämna fingeravtryck vid identitetskontroll med anledning av bl.a. folkbokföring vid inflyttning bör regleras i lag (se prop. 2021/22:217 s. 47–49). Sådana bestämmelser förs också in i folkbokföringslagen och träder i kraft (prop. 2021/22:217, bet. 2021/22:SkU28, rskr. 2021/22:372). Enligt 2 kap. 6 § första stycket regeringsformen är var och en gentemot det allmänna skyddad mot påtvingat kroppsligt ingrepp. Att ta någons fingeravtryck är ett sådant kroppsligt ingrepp som omfattas av skyddet i bestämmelsen. Att fotografera någon utgör däremot inte ett kroppsligt ingrepp i den mening som avses i bestämmelsen (se prop. 2017/18:35 s. 12 och prop. 2020/21:120 s. 16). Ett skydd mot integritetsintrång av olika slag följer även av den europeiska konventionen angående skydd för de mänskliga rättigheterna och de grundläggande friheterna () och lag eller annan föreskrift får inte meddelas i strid med åtaganden på grund av (2 kap. 19 § regeringsformen). Enligt artikel 8.1 i har var och en rätt till respekt för sitt privat- och familjeliv. Det inbegriper i vissa fall en rätt till skydd mot att bli fotograferad (se , Mänskliga rättigheter i europeisk praxis, 5 uppl., 2015, s. 377). Likaså får det antas att fingeravtryckstagning omfattas av skyddet (se prop. 2014/15:32 s. 26 och prop. 2020/21:120 s. 17). Fördelarna med att göra biometriska kontroller måste vägas mot det intrång i den kroppsliga och personliga integriteten som förfarandet innebär. När det gäller tilldelning och förnyelse av samordningsnummer syftar förslaget om en stärkt identitetskontroll till att minska fel i Ändamålet anknyter till statens säkerhet, den Prop. 2021/22:276 allmänna säkerheten och förebyggande av oordning och brott, och är godtagbart i ett demokratiskt samhälle. Verifieringen blir betydligt säkrare om inte bara fotografi utan även fingeravtryck får tas och jämföras. Åtgärden att kontrollera biometriska uppgifter även i samband med identitetskontroll vid tilldelning och förnyelse av samordningsnummer kan inte, på samma sätt som gäller vid folkbokföring, anses gå utöver vad som är nödvändigt med hänsyn till ändamålet och står därför inte i strid med vare sig 2 kap. 6 § första stycket regeringsformen eller artikel 8 . Skyldigheten att låta sig fotograferas och lämna fingeravtryck bör dock, av samma skäl som gjort sig gällande för de nya reglerna i folkbokföringslagen, regleras i lag (jfr prop. 2021/22:217 s. 47 f.). Förslaget gör ingen skillnad på om den som ska tilldelas ett samordningsnummer är svensk medborgare, /EES-medborgare eller medborgare i tredjeland. I fråga om uppehållstillståndskort gäller det endast för den som beviljats uppehållstillstånd i . Med hänsyn till syftet med den föreslagna kontrollen och eftersom de föreslagna regleringarna innebär att uppvisande av pass eller identitetskort krävs enligt lag, uppfylls förutsättningarna som uppställs i artikel 4.3 i rådets förordning (EG) nr 2252/2004 av om standarder för säkerhetsdetaljer och biometriska kännetecken i pass och resehandlingar som utfärdas av medlemsstaterna (EU:s passförordning) respektive artikel 11.6 i och rådets förordning (EU) 2019/1157 om säkrare identitetskort för unionsmedborgare och uppehålls- handlingar som utfärdas till unionsmedborgare och deras familje- medlemmar när de utövar rätten till fri rörlighet (EU:s id-kortsförordning). Den kontroll som föreslås avseende uppehållstillståndskort bedöms av samma skäl förenlig med artikel 4 andra stycket i rådets förordning (EG) nr 1030/2002 av om en enhetlig utformning av uppehållstillstånd för medborgare i tredjeland (EU-förordningen om en enhetlig utformning av uppehållstillstånd), i dess ändrade lydelse enligt rådets förordning (EG) nr 380/2008 av . … och undantagen i förordning Det finns anledning att göra vissa undantag från skyldigheten att låta sig fotograferas och lämna fingeravtryck. Till skillnad från utredningen anser regeringen att dessa undantag kan regleras i förordning. handla om att barn under en viss ålder och personer som har vissa fysiska hinder inte behöver lämna fingeravtryck. För att möjliggöra undantag behövs ett bemyndigande för regeringen eller den myndighet som regeringen bestämmer att meddela föreskrifter om undantag från kravet på att sökanden ska låta den myndighet som utför kontrollen att ta ansiktsbild Ytterligare föreskrifter om hur identitetskontrollen ska genomföras Regeringens förslag innebär att det i den nya lagen om samordnings- nummer införs en reglering om att ansiktsbild och fingeravtryck ska lämnas och får kontrolleras mot handling. Vid behov kan ytterligare reglering ske på lägre föreskriftsnivå, genom verkställighetsföreskrifter. 2021/22:276 Som redan nämnts har utredningen föreslagit att det i förordning tas in ett bemyndigande för att meddela närmare föreskrifter avseende vilka handlingar som kan godtas som pass, identitetskort eller motsvarande handling liksom att också bör få meddela föreskrifter om hur identitetskontrollen ska utföras praktiskt. Sådana föreskrifter är inte av ett sådant slag att ett bemyndigande i lag krävs och övervägs därför inte närmare. Förslaget förs in i 2 kap. 4 och 9 §§ den nya lagen om samordnings- nummer. 6.4.2Behandling av personuppgifter och bestämmelser om sekretess Regeringens förslag: Den automatiserade behandling av person- uppgifter som förslagen om stärkt identitetskontroll innebär ska ske i biometriska uppgifter som tas fram ur dessa ska därför få behandlas i När kontrollen har genomförts Regeringens bedömning: Den behandling av personuppgifter som förslagen ger upphov till är förenlig med EU:s dataskyddsförordning, dataskyddslagen och de föreskrifter som har meddelats med stöd av den Bortsett från de ändringar som föreslås i lagen om behandling av personuppgifter i folkbokföringsverksamhet är den befintliga regleringen tillräcklig för den personuppgiftsbehandling som kan komma att ske med anledning av förslagen. Fingeravtryck, ansiktsbild och de biometriska uppgifter som har tagits fram i samband med identitetskontrollen medför inget behov av några ändringar i offentlighets- och sekretesslagstiftningen. Utredningens förslag och bedömning överensstämmer delvis med Utredningens bedömning avseende behovet av ändringar i offentlighets- och sekretesslagstiftningen omfattar endast de biometriska uppgifter som tas fram. Remissinstanserna: , , Myndigheten för digital förvaltning och understryker behovet av att kunna lagra och jämföra biometri. påpekar att den föreslagna regleringen ger möjlighet att koppla den fysiska personen till en identitetshandling, vilket medför en förstärkt kontroll både av handlingars äkthet och av att den fysiska person som åberopar handlingen är densamma som den person som handlingen har utfärdats för. införande av referensdata som lagras avseende biometriska uppgifter saknas dock möjligheten att kontrollera om den fysiska personen t.ex. förekommer som folkbokförd . En sådan möjlighet skulle innebära en ytterligare avsevärt minskad risk för att oriktiga uppgifter registreras i folkbokföringsdatabasen. noterar, i likhet med utredningen, att förslaget inte förhindrar multipla Myndigheten för digital förvaltning anser att det i syfte att minska risken för att en individ tilldelas flera olika identiteter i , bör införas möjlighet att göra registerkontroller om särskilda skäl talar för det. Av effektivitetsskäl anser att frågan om möjlig- heten för att även lagra denna typ av uppgifter för framtida jämförelser och kontroller bör utredas vidare. kommun anser att riskanalysen gällande användande av biometriska uppgifter är bristfällig och att det behöver konkretiseras hur det ska säkerställas att de insamlade uppgifterna inte kommer att kunna Vidare behöver säkerställas att det inte otillbörligen går att komma åt uppgifterna och att den interna tillgången till uppgifterna inom myndigheten begränsas till personal med utbildning i hur dessa ska Det saknas även tydlighet om hur länge en tillfällig lagring av de biometriska uppgifterna får pågå och en garanti om att den tillfälliga lagringen inte går att omvandla till permanent lagring. servicecenter lyfter att informationssäkerhetsaspekten kring förslagen bör beaktas noggrant då det kan få allvarliga konsekvenser om biometriska uppgifter kommer obehöriga till handa. I fråga om sekretess anser Kammarrätten i att ett sekretesskydd för biometriska uppgifter som en myndighet tar fram i syfte att kontrollera den enskildes identitet bör övervägas. kammarrätten inte uteslutas att biometriska uppgifter, t.ex. på grund av förbiseende, inte alltid förstörs efter genomförd kontroll och uppgifterna kommer i sådana fall att förekomma i allmänna handlingar utan att sekretess gäller för dem. En sådan ordning riskerar att leda till att den enskilde lider men om handlingen där uppgiften finns begärs ut. Kammarrätten anser vidare att det kan ifrågasättas om en sådan ordning är förenlig med bestämmelserna i dataskyddsförordning om bl.a. integritet och konfidentialitet. Skälen för regeringens förslag och bedömning Det ska införas regler om personuppgiftsbehandling Förslagen om att ansiktsbild och fingeravtryck ska lämnas och kunna kontrolleras mot handling innebär att personuppgifter kommer att behöva Denna behandling ska ske i folkbokföringsdatabasen. därmed klart att förslagen ger upphov till sådan personuppgiftsbehandling som omfattas av och rådets förordning (EU) 2016/679 av om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv /46/EG (allmän dataskyddsförordning), nedan kallad EU:s dataskyddsförordning. EU:s dataskyddsförordning är i alla delar bindande och direkt tillämplig i samtliga EU:s medlemsstater. Förordningen, som utgör den generella regleringen av personuppgifts- behandling inom EU, tillåter och förutsätter ibland att medlemsstaterna kompletterar förordningen med nationell lagstiftning. förordning kompletteras genom lagen (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen) och för finns även lagen (2001:182) om behandling av personuppgifter i och förordningen (2001:589) om behandling av personuppgifter i ningen) som kompletterar regleringen. För att den personuppgiftsbehandling som förslagen kräver ska vara tillåten måste åtminstone ett av villkoren i artikel 6.1 i EU:s dataskyddsförordning vara uppfyllt. I artikeln regleras vilka rättsliga grunder som måste föreligga för att behandling av personuppgifter ska Den rättsliga grunden för personuppgiftsbehandlingen i folkbokföringsverksamheten finns i första hand i artikel 6.1 e, dvs. behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning. Enligt artikel 6.3 första stycket i EU:s dataskyddsförordning ska den aktuella grunden för behandlingen fastställas i enlighet med unionsrätten eller en medlemsstats nationella rätt. Enligt artikel 6.3 andra stycket ska vidare syftet med behandlingen vara nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Av 2 kap. 2 § data- skyddslagen följer bl.a. att personuppgifter får behandlas med stöd av artikel 6.1 e i EU:s dataskyddsförordning om behandlingen är nödvändig för att utföra en uppgift av allmänt intresse som följer av lag eller annan författning eller som ett led i den personuppgiftsansvariges myndighets- utövning enligt lag eller annan författning. Av artikel 6.3 b i EU:s dataskyddsförordning följer vidare att medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas. Regeringen föreslår att de fingeravtryck, den ansiktsbild och de biometriska uppgifter som finns lagrade i handlingar ska få tas fram ur dessa och genom ett automatiserat förfarande jämföras med motsvarande uppgifter som eller annan myndighet som genomför identitetskontrollen får ta av den som uppvisar handlingen. behandlingen är att kontrollera innehavarens identitet och handlingens Behandlingen utgör ett led i myndighetsutövningen och är nödvändig för att tillgodose det allmänna intresset av att folkbokförings- databasen innehåller korrekta uppgifter. Den aktuella grunden för behandlingen är vidare fastställd i den nationella rätten på det sätt som krävs enligt artikel 6.3 i EU:s dataskyddsförordning, bl.a. genom 2 § förordningen (2017:154) med instruktion för och den föreslagna paragrafen 2 kap. 4 § i den nya lagen om samordningsnummer. Folkbokföringsdatabaslagen bygger i princip på att all automatiserad behandling i folkbokföringsverksamheten ska ske i databasen. möjliggöra att ansiktsbild, fingeravtryck och de biometriska uppgifter som tas fram ur dessa får behandlas i folkbokföringsdatabasen behöver behand- lingen även vara förenlig med denna reglering. De närmare ändamålen för behandlingen liksom andra specificerade bestämmelser finns bl.a. i Av 1 kap. 4 § folkbokföringsdatabaslagen framgår att uppgifter bl.a. får behandlas för att tillhandahålla information som behövs för kontroll och analys av identifieringsuppgifter för fysiska personer och av andra folkbokföringsuppgifter, handläggning av folkbokföringsärenden, aktualisering, komplettering och kontroll av Den behandling av uppgifter som förslaget ger upphov till hos i folkbokföringsdatabasen är tillåten enligt de angivna I 2 kap. 3 § folkbokföringsdatabaslagen finns bestäm- melser om vilka uppgifter som får behandlas i folkbokföringsdatabasen. Genom tillägget i punkt 21, som träder i kraft , och som innebär att fingeravtryck, ansiktsbilder och biometriska uppgifter som tar fram ur dessa får behandlas i databasen för de ändamål som anges i 1 kap. 4 § samma lag, finns stöd för att behandla dessa uppgifter (prop. 2021/22:217, bet. 2021/22:SkU28, rskr. 2021/22:372). Biometriska uppgifter är enligt artikel 4.14 i EU:s dataskyddsförordning personuppgifter som erhållits genom en särskild teknisk behandling som rör en fysisk persons fysiska, fysiologiska eller beteendemässiga känne- tecken och som möjliggör eller bekräftar identifieringen av denna person, såsom ansiktsbilder eller fingeravtrycksuppgifter. Biometriska uppgifter för att entydigt identifiera en fysisk person räknas som sådana känsliga uppgifter som omfattas av artikel 9.1 i EU:s dataskyddsförordning. Huvudregeln enligt artikel 9.1 är att känsliga personuppgifter inte får behandlas. I artikel 9.2 finns ett flertal undantag från huvudregeln. Känsliga uppgifter får bl.a. behandlas om en behandling är nödvändig av hänsyn till ett viktigt allmänt intresse, på grundval av unionsrätten eller medlemsstaternas nationella rätt, vilken ska stå i proportion till det eftersträvade syftet, vara förenligt med det väsentliga innehållet i rätten till dataskydd och innehålla bestämmelser om lämpliga och särskilda åtgärder för att säkerställa den registrerades grundläggande rättigheter och intressen (artikel ). Som regeringen konstaterar ovan framgår uppgift att ansvara för frågor om folkbokföring, vilket innefattar frågor om samordningsnummer, bl.a. av förordningen med instruktion för som även anger att uppgifterna i folkbokföringen bl.a. ska spegla befolkningens bosättning och identitet så att olika samhällsfunktioner får ett korrekt underlag för beslut och åtgärder. De materiella bestämmelserna om samordningsnummer framgår vidare av den föreslagna nya lagen om samordningsnummer. Det rör sig om verksamhet som innefattar myndighetsutövning, vilket regeringen i förarbetena till dataskyddslagen konstaterar utgör ett viktigt allmänt intresse (se prop. 2017/18:105 s. 83). Artikel är direkt tillämplig men det är möjligt för medlemsstaterna att i nationell rätt införa mer specifika bestämmelser även avseende känsliga personuppgifter (artikel 6.2 och skäl 10). Av 3 kap. 3 § dataskyddslagen framgår att känsliga personuppgifter får behandlas av en myndighet med stöd av artikel i EU:s dataskyddsförordning om uppgifterna har lämnats till myndigheten och behandlingen krävs enligt lag, om behandlingen är nödvändig för handläggningen av ett ärende eller i annat fall, om behandlingen är nödvändig med hänsyn till ett viktigt allmänt intresse och inte innebär ett otillbörligt intrång i den registrerades personliga integritet. Artikel 9.4 stadgar vidare att medlemsstater får behålla eller införa ytterligare villkor, även begränsningar, för behandlingen av genetiska eller biometriska uppgifter eller uppgifter om hälsa. I folkbokföringsdatabaslagen finns även stöd för behandling av sådana känsliga personuppgifter. Av 1 kap. 6 § folkbokföringsdatabaslagen följer att känsliga personuppgifter får behandlas endast om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. Känsliga personuppgifter får i annat fall behandlas endast om det särskilt anges i lagens 2 kap. Enligt 2 kap. 11 § samma lag får inte uppgift som avses i 1 kap. 6 § användas som sökbegrepp. 2021/22:276 Uppgifter som har samlats in för att en kontroll ska kunna genomföras finns, när kontrollen är klar, fortfarande kvar. Regeringen behandlar nedan frågor om efterföljande behandling av bl.a. de biometriska uppgifter som har tagits upp vid identitetskontroller. Uppgifterna ska förstöras efter kontrollen Enligt utredningen bör ansiktsbild, fingeravtryck och de biometriska uppgifter som tagits fram ur dessa förstöras efter att kontrollen är genomförd. Som vissa remissinstanser pekar på skulle en möjlighet att spara uppgifterna för framtida jämförelser kunna bidra till att motverka att en person får en identitetsbeteckning under flera eller falska identiteter. Något underlag för att i detta ärende överväga en sådan ordning finns dock inte. För regeringen är det emellertid angeläget att förhindra förekomsten av multipla identiteter. Det kan därför finnas skäl att återkomma till frågan men föreslås alltså inte några sådana bestämmelser. För att kontrollen nu ska kunna tillåtas bör därför ansiktsbilden, fingeravtrycken och de biometriska uppgifter som har tagits fram vid kontrollen förstöras efter att kontrollen har genomförts. En bestämmelse om detta ska föras in i folkbokföringsdatabaslagen. Motsvarande bestämmelse införs i folkbokföringsdatabaslagen gällande identitetskontroll vid folkbokföring efter bl.a. anmälan om inflyttning till (prop. 2021/22:217, bet. 2021/22:SkU28, rskr. 2021/22:372). Liknande bestämmelser finns även, såvitt avser pass och uppehålls- tillståndskort, i passlagen (1978:302) och i utlänningslagen (2005:716). Regeringen anser, till skillnad från kommun, att regleringen är tydlig och att det inte finns behov av att konkretisera detta ytterligare. kommun har även anmärkt på riskanalysen gällande förslaget om behandling av biometriska uppgifter och anser att det finns behov av att säkerställa att de insamlade uppgifterna inte kommer att kunna missbrukas liksom att tillgången till uppgifterna begränsas. Även Statens servicecenter lyfter vikten av informationssäkerhet. Vad remiss- instanserna fört fram handlar om behovet av skyddsåtgärder. På samma sätt som i propositionen Stärkt kontroll och kvalitet i folkbokföringen kan regeringen konstatera att det följer av artiklarna 24.1 och 32 i EU:s dataskyddsförordning att den personuppgiftsansvarige är skyldig att vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken med personuppgiftsbehandlingen (se prop. 2021/22:217 s. 53). Skyldigheten gäller bl.a. uppgifternas tillgänglighet (artikel 25.2). Om kretsen av personer som har tillgång till personuppgifter begränsas är riskerna för integritetsintrång generellt sett mindre. Allmänt gäller att den personuppgiftsansvarige måste begränsa tillgången så mycket som möjligt med hänsyn till den aktuella verksamheten och känsligheten hos personuppgifterna. Bestämmelserna i dataskyddsförordning är direkt tillämpliga och det är alltså upp till den personuppgiftsansvarige att analysera vilka risker en behandling av personuppgifter kan medföra och att vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en adekvat säkerhetsnivå. Det är enligt regeringens uppfattning inte lämpligt att här reglera exakt vilka konkreta säkerhetsåtgärder som bör vidtas utan detta måste den personuppgiftsansvarige avgöra själv, utifrån risken med varje behandling. Regeringen anser således att det inte bör Prop. 2021/22:276 införas några särskilda bestämmelser om sådana skyddsåtgärder som kommunens synpunkter tar sikte på. De uppgifter som kommer att behandlas rör enskildas personliga förhållanden.