Biometri – för en effektivare brottsbekämpning

Institutet för mänskliga rättigheter (institutet) yttrar sig över utredningen Biometri – för en effektivare brottsbekämpning (SOU 2023:32) Yttrandet lämnas inom ramen för institutets uppgift att främja säkerställandet av de mänskliga rättigheterna i Sverige, med utgångspunkt i våra grundlagar och för Sverige folkrättsligt bindande förpliktelser inom området mänskliga rättigheter. Institutet har även en särskild roll som oberoende nationell mekanism enligt artikel 33.2 i FN:s konvention om rättigheter för personer med funktionsnedsättning.

Sammanfattning

Institutet anser att utredningen inte tar tillräcklig hänsyn till den integritetskränkning som det innebär att använda biometriska data från register som skapats av andra skäl än brottsbekämpning, som passregistret och släktforskningsdatabaser, och att förslagen i dessa delar inte är proportionerliga i förhållande till syftet. Det finns vidare starka skäl att tro att förslaget inte är i förenlighet med EU:s stadga om de grundläggande rättigheterna. Institutet:

• avstyrker förslaget på göra det möjligt att genomföra biometriska jämförelser med uppgifter i register som inte förs i brottsutredande syfte.
• avstyrker förslaget på att dna från brottsutredningar ska kunna förs in i en kommersiell släktforskningsdatabas och jämföras med andra användares dna-data.

Övergripande synpunkter

Institutets svar är inriktat på några av de delar av förslaget som rör polisens användning av biometriska data från register som inte upprättats i syfte att utreda eller förebygga brott.

Institutet har förståelse för behovet av ett effektivt brottsbekämpande arbete med syfte att lagföra fler misstänkta för brott. Med detta sagt anser institutet att utredningen inte tar tillräcklig hänsyn till den integritetskränkning som det innebär att använda biometriska data från register som skapats av andra skäl än brottsbekämpning, som passregistret och släktforskningsdatabaser. Det finns vidare starka skäl att tro att förslaget inte är i förenlighet med EU-rättens bestämmelser om skydd för privat- och familjeliv och personuppgifter.

Enligt institutet finns det en avgörande skillnad mellan att ha ett register där polisen har möjligheter att söka på vissa uppgifter om personer som misstänkts eller är dömda för brott och ett register där polisen kan söka på biometriska uppgifter om stora delar av befolkningen eller där sökningen kräver att polisen skickar känsliga uppgifter till tredje part i andra länder. Behovet av effektiv brottsbekämpning måste alltid vägas mot den integritetskränkning det innebär att ge staten tillgång till individers biometriska data på ett vis som inte var avsikten då uppgifterna samlades in.

Institutet konstaterar också att det för tillfället finns ett stort antal utredningar inom brottsbekämpningen som delvis berör likartade punkter. Det innebär att förslag från olika utredningar sammantaget kan ge upphov till synergieffekter som övergår och skiljer sig ifrån den sammanlagda effekten av de enskilda förslagen. Institutet ser en risk med att dylika effekter inte kommer att uppmärksammas när betänkanden remitteras var för sig. Det finns därför skäl att göra en noggrann uppföljning av hur utredningens förslag kan komma att påverkas av en förändrad lagstiftning på angränsande områden.

18. Biometriska jämförelser med uppgifter i register som inte förs i brottsutredande syfte

Institutet anser att den avvägning som görs i betänkandet mellan effektiva medel i brottsbekämpningen och rätten till personlig integritet kan ifrågasättas.

Skyddet för den personliga integriteten är en rättighet som återfinns både i grundlag och internationella åtaganden. Enligt 2 kap. 6 § regeringsformen (RF) är den enskilde skyddad mot påtvingade kroppsliga ingrepp och betydande intrång i den personliga integriteten som sker utan samtycke och som kan innebära kartläggning eller övervakning av den enskildes privata förhållanden. Rätten till privat- och familjeliv skyddas också av artikel 8 i den Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (Europakonventionen). Den återfinns även i flera av FN:s konventioner om mänskliga rättigheter som konventionen om medborgerliga och politiska rättigheter (artikel 17) och konventionen om barnets rättigheter (barnkonventionen, artikel 16). Rättigheten omfattas även av EU:s stadga om de grundläggande rättigheterna (EU:s rättighetsstadga). Det handlar då om rätten till respekt för privatlivet (artikel 7) och skyddet för personuppgifter (artikel 8).

Skyddet för den personliga integriteten är inte absolut. Enligt till exempel regeringsformen kan det till exempel begränsas om det är nödvändigt, om det sker för ett godtagbart syfte i ett demokratiskt samhälle och om inskränkningen är proportionerlig till syftet (2 kap. 20 och 21 §§ RF). Liknande förutsättningar för inskränkningar återfinns till exempel i Europakonventionen (artikel 8.2) och EU:s rättighetsstadga (artikel 52).

Skyddet för personuppgifter regleras även i andra rättsakter inom EU, framför allt det s.k. dataskyddsdirektivet (Europaparlamentets och rådets direktiv [EU] 2016/680). Av det senare framgår att biometriska uppgifter, liksom till exempel genetiska uppgifter, ingår i en särskilt skyddad kategori av personuppgifter. Enligt direktivets artikel 10 får en behandling av sådana personuppgifter endast ske om det är absolut nödvändigt och under vissa förutsättningar, till exempel om det finns lämpliga skyddsåtgärder för den registrerades rättigheter och friheter.

Förslaget om att till exempel göra passregistret, där en majoritet av befolkningen ingår, tillgängligt för polisen att söka uppgifter i utifrån biometriska data innebär en mycket stor och ingripande förändring. Förslaget saknar inte bara motstycke ur ett svenskt perspektiv, utan också internationellt. Av vad som redovisas i betänkandet finns inte liknande register i något annat land inom EU.

I ett särskilt yttrande till betänkandet av en av utredningens experter ifrågasätts om förslaget i denna del är förenligt med EU-rätten.

Institutet delar denna oro, och noterar att utredningens förslag synes vara mycket mer långtgående än förfarande för behandling av personuppgifter som tidigare prövats, och underkänts, av EU-domstolen (V.S. mot Ministerstvo na vatreshnite raboti m.fl., C 205/21, EU:C:2023:4).

Institutet ifrågasätter framför allt användandet av algoritmer för ansiktsigenkänning i passregistret för att identifiera tänkbara gärningspersoner. Institutet har två primära invändningar mot förslaget.

• För det första innebär förslaget att passregistret måste göras sökbart för algoritmer. Det innebär att en majoritet av den svenska befolkningen kan komma att få sina passbilder granskade utan att ha någonting med ett brottsfall att göra och där ingen misstanke mot dem som personer föreligger. Även om det vid enskild sökning skulle vara möjligt att göra avgränsningar avseende till exempel kön och ålder kommer en mycket stor grupp av människor att träffas. Det är därför svårt att säga att syftet att utreda ett brott väger tyngre än den samlade integritetskränkningen som behandlingen av biometriska uppgifter i passregistret skulle innebära.
• Automatiserad ansiktsigenkänning är ett område som innebär stora risker och det europeiska nätverket för nationella oberoende institut för mänskliga rättigheter (ENNHRI) har avrått från att använda det i brottsbekämpande syfte annat än i undantagsfall. Riskerna för felidentifikationer där oskyldiga som i normala fall aldrig skulle misstänkas för ett brott dras in i en brottsutredning med stora integritetskränkningar som följd är inte försumbara med den teknik som föreslås.

18. Dna-baserade släktforskningsdatabaser

Vad gäller förlaget om sökning i biobanker för släktforskning ser institutet också en risk för allvarliga rättighetskränkningar om mycket känsliga uppgifter skulle komma att överlämnas till kommersiella aktörer i tredje land. Denna risk ställer mycket höga krav på beredningen av lagförslagen. Institutet har därför tidigare understrukit vikten av konsekvensanalyser som säkerställer att nya lagar och regler överensstämmer med mänskliga rättighetsförpliktelser (se till exempel institutets remissvar över promemorian Bättre konsekvensutredningar Ds 2022:22, institutets dnr 1.1.2-407/2022).

Institutet kan konstatera att utredningen brustit i denna del. Utredningen förmår exempelvis inte att ge ett tydligt svar på frågan om överföring av personuppgifter till utländsk dna-baserad släktforskningsdatabas är tillåten eller inte (avsnitt 19.3.6). Enligt utredningen grundar detta sig i att relevanta bestämmelser i EU:s dataskyddsdirektiv och brottsdatalagen är svårtolkade och i delar framstår som motstridiga. Enligt institutets mening visar detta att förslaget inte är tillräckligt berett för att ligga till grund för lagstiftning som skulle medföra omfattande intrång i människors fri- och rättigheter. Institutet avstyrker därför förslaget.
Ärendets handläggning

Ärendets handläggning

Detta remissvar har beslutats av direktören Fredrik Malmberg och föredragits av utredaren Jonas Karlsson. I den slutliga beredningen har även utredaren/juristen Lars Olsson och tf enhetschefen för Utredning och analys och ställföreträdande direktören Charlotte Palmstierna deltagit.

Fredrik Malmberg, direktör