Samnytt har pratat med en jurist på Integritetsskyddsmyndigheten (IMY) om vad som gäller för datoriserade jämförelser av biometriska data. Detta med anledning av de problem med människor med multipla identiteter som finns i Sverige. Myndigheten berättar att de inte lämnar några ”bindande besked inom ramen för upplysningsverksamheten” men inkommer ändå med vissa svar. Att jämföra längduppgifter inom samma identitet är nog tillåtet utan IMY:s godkännande. När det handlar om ansiktsfotojämförelser inom en identitet är det en för komplex juridisk fråga för IMY att svara på.

Samnytt har i en serie artiklar belyst de problem med människor som har multipla identiteter som finns i Sverige. Ett av de största problemen är myndigheters svårigheter att få ut information från andra myndigheters bilddatabaser. Andra problem är lagtekniska svårigheter att få svepa igenom bilddatabaserna med ansiktsigenkänning i jakt på människor med multipla identiteter. Ett tredje problem är svårigheter med att jämföra olika foton kopplade till samma identitet för att se om de föreställer samma människa. Vi har frågat Integritetsskyddsmyndigheten (IMY) vilken typ av automatiserad behandling av databaserna och deras biometriska information som kräver IMYs tillstånd för att få genomföras.

Förhandssamråd krävs för ansiktsigenkänning

Vi ställde den 18 januari tre frågor till IMY:

1. Om man vill använda sig av datoriserad ”ansiktsigenkänning” för enklare tillämpningar som exempelvis att jämföra ett gammalt körkortsfoto med ett nytt körkortsfoto för att se om de föreställer samma person, behöver man då först IMY:s godkännande?

2. Om Skatteverket vill implementera en automatisk funktion som jämför variabeln kroppslängd vid en tidigare uttagning av ID-kort med variabeln längd vid en ny uttagning av ID-kort, knuten till samma identitet, behöver man isåfall IMY:s godkännande?

3. Hur ser IMY på sökande efter dubletter i databaser? Jag tänkte mig en person som har två eller fler olika identiteter i passbildsdatabasen, körkortsbildsdatabasen, Migrationsverkets bilddatabas över folk som vill ha uppehållstillstånd, Skatteverkets ID-kortsbildsdatabas etc. Är det generellt förbjudet att använda ansiktsigenkänning för att leta efter fler identiteter som en person kan ha i en sån här databas eller är det generellt tillåtet? Vad finns det för regler?

Svaret vi fick från Jeanette Bladh Gustafson på IMY löd:

– Först och främst vill jag förtydliga att IMY inte lämnar några bindande besked inom ramen för upplysningstjänsten utan kan endast ge vägledning.

– Användning av ansiktsigenkänningsteknik innebär behandling av biometriska uppgifter, vilket är att anse som känsliga personuppgifter. Det finns regler som reglerar Polismyndighetens, Transportstyrelsens, Migrationsverkets och Skatteverkets behandling av biometriska uppgifter, bland annat GDPR och brottsdatalagen. Därutöver finns myndighetsspecifika författningar samt särskilda registerförfattningar som kompletterar dessa bestämmelser. IMY har inte möjlighet att med enkelhet besvara ja eller nej på dina frågor då det kräver en större genomgång av dessa regelverk och bedömningar i de enskilda fallen. Om en myndighet planerar att påbörja en behandling som medför särskild risk för enskildas fri- och rättigheter, vilket ansiktsigenkänningsteknik ofta innebär, finns det i vissa fall krav på att de ska begära samråd med IMY inför detta. IMY ska då göra en bedömning av den planerade behandlingen och lämna yttrande. Du kan läsa mer om förhandssamråd på vår hemsida.

Kroppslängd får nog automatjämföras

Såväl Transportstyrelsen som Skatteverket har sedan vår initiala kontakt med IMY svarat att det finns lagstiftning som förhindrar dem att med hjälp av ansiktsigenkänning svepa igenom sina databaser efter personer som använder flera identiteteter. Vi har kontaktat IMY en gång till för att verifiera att expertmyndigheten verkligen inte kan svara på om det krävs myndighetens tillstånd för att automatiskt med hjälp av datorer jämföra angiven kroppslängd respektive ansiktsfoto inom samma identitet. När det gäller kroppslängd ställde vi frågan:

Räknar IMY kroppslängd som en biometrisk uppgift som kräver godkännande av IMY för hantering?

Vi fick via Bladh Gustafson svaret:

– Vad gäller frågan om kroppslängd är en biometrisk uppgift så är svaret nej enligt min mening, i alla fall så som du beskrivit frågan. En biometrisk uppgift är en personuppgift som samlats in genom en särskild teknisk behandling och som rör någons fysiska, fysiologiska eller beteendemässiga kännetecken och som möjliggör eller bekräftar identifieringen av denna person. Det kan till exempel handla om ansiktsigenkänning eller fingeravtryck. Jag har svårt att se att man entydigt kan identifiera någon genom dennes längd.

Oklart om gamla och nya körkortsbilder får automatjämföras

När det gäller frågan om det verkligen inte går att svara på frågan om bilder får jämföras automatiskt med datorer inom samma identitet för att se om de föreställer samma person så får vi det generiska svaret:

– All användning av ansiktsigenkänning, vilket innebär att man behandlar biometriska uppgifter (s.k. känsliga personuppgifter), är som huvudregel förbjuden enligt dataskyddsförordningen art 9.1 om inte något av undantagen är uppfyllda i art. 9.2.

– Det är den som vill använda sig av ansiktsigenkänning t.ex. Skatteverket eller Transportstyrelsen, som behöver se till att det finns lagstöd för det (dvs. ett undantag från förbudet) då de är personuppgiftsansvariga för all sin personuppgiftsbehandling. Men, huvudregeln är alltså att det är förbjudet att använda sig av ansiktsigenkänning.

Bara polisen vill ha ansiktsigenkänning

Polisen har fått IMY:s godkännande att använda sig av ansiktsigenkänningsteknik i vissa fall. Enligt tidigare uppgifter till Samnytt ska Migrationsverket ha fått någon typ av tillstånd från IMY för att använda sig av ansiktsigenkänning i sin bilddatabas. När vi begär ut detta tillstånd från IMY får vi svaret:

– IMY utfärdar inte tillstånd för användning av ansiktsigenkänning, vi har således inga sådana beslut att skicka över.

Efter att istället ha frågat om Migrationsverket skickat in någon begäran om förhandssamråd för att få använda sig av ansiktsigenkänning får vi svaret att så inte är fallet.

Vare sig Transportstyrelsen, Skatteverket eller Migrationsverket har alltså begärt tillstånd från IMY för att få använda sig av ansiktsigenkänning i sina bilddatabaser.

LÄS MER: Härva med somalier utan taxileg hos Umeå Taxi
LÄS MER: Transportstyrelsen struntar i somaliska bedrägerier med körkort
LÄS MER: Identitetsfusket: Transportstyrelsen har inte begärt att få ansiktsigenkänna
LÄS MER: Transportstyrelsen -Vår databas är för dålig för att hindra identitetsfusk
LÄS MER: Fingeravtryck i pass meningslöst – kollas ej mot databas
LÄS MER: Skatteverket: Vi kontrollerar bara om bedragaren själv vill
LÄS MER: Poliser: Svårt få information från myndigheter
LÄS MER: Finland: Nationella databasen för fingeravtryck 13 år