Allmän motivering

Allmänt

I propositionen föreslås de ändringar i passlagen (671/2006) som ibruktagandet av fingeravtryck i pass förutsätter. Dessutom föreslår man ändringar i lagen om behandling av personuppgifter i polisens verksamhet (), utlänningslagen (301/2004), lagen om utlänningsregistret () och i hittegodslagen (). Avsikten är att ge bestämmelser bl.a. om passens tekniska del, om att ta och avläsa fingeravtryck, om registrering av fingeravtryck och om att använda, lämna ut och skydda fingeravtrycksuppgifter.

Med hänvisning till propositionen och utredning till utskottet anser utskottet propositionen behövlig och ändamålsenlig. Utskottet föreslår att lagförslagen godkänns med de anmärkningar och ändringsförslag som framgår av betänkandet.

Lagring av fingeravtryck i ett chip

Europeiska unionens råd har antagit en förordning EG nr 2252/2004 om standarder för säkerhetsdetaljer och biometrisk kännetecken i pass och resehandlingar som utfärdas av medlemsstaterna (EU:s passförordning) och som förutsätter att pass och andra resedokument som medlemsstaterna utfärdar ska ha en teknisk del, ett chip, där hinnehavarens ansiktsbild och fingeravtryck lagras i form av biometriska kännetecken. Syftet med de biometriska kännetecken som införs i pass är att göra resedokument säkrare och skapa en mera tillförlitlig koppling mellan passet eller resedokumentet och dess innehavare.

Det chip som passförordningen förutsätter och i vilket innehavarens ansiktsbild lagras togs i bruk i Finland i augusti 2006 genom den gällande passlagen. Med denna proposition sätts det andra skedet av EU:s passreform i kraft, vilket innebär att ytterligare två fingeravtryck läggs till passen som biometriska kännetecken. Passförordningen förutsätter att medlemsstaterna vidtar behövliga åtgärder för att fingeravtryckskännetecknen ska kunna tas i bruk senast den 28 juni 2009. Biometriska fingeravtrycksuppgifter lagras i vanliga pass, diplomat- och tjänstepass, främlingspass och i resedokument för flyktingar. Däremot tas uppgifterna inte in i tillfälliga pass, tillfälliga främlingspass eller sjömanspass, eftersom dessa resedokument saknar chip.

Registrering av fingeravtrycksuppgifter

Reformen innebär att de fingeravtryck som tas av passinnehavaren för chipet kommer att registreras i ett passregister. I propositionen motiveras registreringen av fingeravtrycksuppgifter mångordigt. EU:s passförordning kräver inte direkt att fingeravtrycken registreras. Enligt utredning till utskottet kommer en del av medlemsländerna att inrätta fingeravtrycksregister medan andra låter bli. I den europeiska jämförelse som ingår i propositionen, och som även omfattar Norge och Schweiz, finns uppgifter om tolv stater, av vilka två tredjedelar förefaller gå in för att registrera biometriska fingeravtryck.

Utskottet anser att registreringen gör passansökningsprocessen säkrare och bidrar till en tillförlitlig identifiering av dem som ansöker om pass. Utskottet understryker att det föreslagna förfarandet främjar medborgarnas rättssäkerhet eftersom identifieringen av en person kan göras tillförlitligt och snabbt i samband med att passansökan inlämnas, men även i andra identifieringssituationer. Registreringen är ett sätt att skydda en persons identitet. Genom att jämföra sökandens fingeravtryck med fingeravtryck i databasen kan man försäkra sig om att ingen ansöker om pass under olika identiteter eller att pass med sökandens uppgifter beviljas endast den personen. Fingeravtryck i en databas bidrar också till att fastställa en persons identitet när hans eller hennes passchip är i olag eller har söndrats. Det gör det också möjligt att fastställa identiteten när en person inte kan visa upp en handling för att bekräfta sin identitet antingen för att han eller hon har förlorat handlingen eller av någon annan orsak.

Utskottet understryker ändå att det inte är möjligt att enbart med hjälp av fingeravtryck som har lagrats i ett chip på ett tillförlitligt sätt bekräfta identiteten för den som ansöker om pass. Det innehavarfingeravtryck som har lagrats i passets chip möjliggör endast en jämförelse där denna persons fingeravtryck jämförs med det fingeravtryck som har lagrats i chipet. Inte heller denna jämförelse är ett säkert skydd mot dubbel- eller multiidentiteter. Enda sättet att övertyga sig om att en person som ansöker om pass inte har resehandlingar utställda på flera identiteter är att jämföra sökandens fingeravtryck med de fingeravtryck som lagrats i databasen. Med dessa fingeravtryck kan man också försäkra sig om att pass med sökandens uppgifter beviljas endast en person.

Av grundlagsutskottets utlåtande framgår att det inte finns några hinder för att lagra fingeravtryck i ett passregister. I utlåtandet sägs ändå att det finns orsak att förhålla sig negativt till att uppgifter används för ändamål som ligger utanför det syfte som det egentligen samlats in och registrerats för. Till denna del hänvisar utskottet till det som sägs nedan.

Skydd av uppgifterna i registret och informationssäkerheten

De biometriska kännetecknen ställer särskilda krav på skyddet av uppgifter för att den person vars biometrisk egenskaper lagras eller behandlas ska kunna lita på att integritetsskyddet fungerar. I den del av betänkandet som behandlar lagrandet av den biometriska ansiktsbilden i passets tekniska del har framhållits att det behövs en mer detaljerad reglering av informationsskyddet för passreformens andra fas, dvs. när man i chipet också lagrar fingeravtryck. (FvUB 13/2006 rd). I propositionen uppmärksammas på flera punkter frågan om skyddet av uppgifter och informationssäkerheten.

Utskottet har informerats om att passinnehavarnas fingeravtryck lagras i en databas som fungerar som ett centralt fingeravtrycksregister. I detta register lagras alla personers biometriska kännetecken på ett och samma ställe. Fingeravtrycken lagras i oläslig form med en digital krypteringsmetod. Krypteringsmetoden gör det omöjligt för obehöriga att läsa och använda databasen. Informationen i chipet skyddas mot obehörig läsning genom ett system som innebär att de lagrade uppgifterna kan läsas endast efter att det optiska maskinläsbara fältet har lästs. Det här betyder att ingen kan läsa chipet utan att passinnehavaren är medveten om det och utan att han eller hon har lämnat sitt pass för avläsning.

Lagring av uppgifter i ett fingeravtrycksregister ställer krav på tillförlitlighet och integritet. Utskottet anser det särskilt viktigt att det inte blir möjligt att utan befogenheter komma åt databasens innehåll för att ändra, stryka eller skapa uppgifter i den. Fingeravtrycksregistret får därför vara tillgängligt endast för tjänstemän som i sina uppgifter oundgängligen behöver det och som uttryckligen därför har rätt att använda det. De lagrade fingeravtrycken har krypterats digitalt med en metod som innebär att de inte kan läsas i registret utan en speciell krypteringsanordning. Enligt utredning till utskottet betyder detta att ingen av de personer som hanterar registret kan se fingeravtrycken. Utskottet understryker att ingen kommer åt att se eller hantera fingeravtryck efter att de har lagrats i registret. Alla åtgärder sker automatiskt genom ett informationssystem. Med tanke på tillsynen samlar man dessutom in logguppgifter av vilka det bl.a. framgår hur och när enskilda personuppgifter har hanterats.

För att garantera att fingeravtrycksregistret är säkert görs för tillfället med stöd av ett uttalande som statsrådets har godkänt en riskanalys som enligt uppgift till utskottet ska finnas tillgänglig i slutet av juni 2009. Bland de risker som hittills har identifierats finns inte några sådana som skulle tyda på att registret kräver nya eller ytterligare säkerhetslösningar eller att de inte skulle kunna tas i bruk. Polisen använder redan nu ett flertal personregister där man samlar känsliga eller sekretessbelagda uppgifter. Passystemet är ett av polisens nyaste datasystem och man har därför kunna utnyttja nya tekniska lösningar.

Utskottet konstaterar att informationssystem skyddas med flera säkerhetsmekanismer som hanteras som en helhet med hjälp av olika typer av informationssäkerhet. Enligt utredning till utskottet består informationssäkerheten av åtta åtgärdsområden som handlar om säkerhet relaterad till administration, personal, fysisk säkerhet, datakommunikation, materiel, programvara, informationsmaterial och driftsäkerhet. Systemsäkerheten och hanteringen av den är inte någon engångsåtgärd utan det är fråga om fortgående informationssäkerhetsarbete.

Sammantaget kan det konstateras att utifrån den utredning som lämnats till utskottet finns det inga omständigheter på basis av vilka man kunde misstänka att informationssäkerhetesarrangemangen inte skulle ligga på den höga nivå som krävs när fingeravtrycksregistret tas i bruk. Det är självklart att registret inte får tas i bruk eller användas om det framgår att informationssäkerheten inte har säkerställts på ett korrekt sätt. I detta sammanhang kan man också konstatera att det i polisregistren lagrats brottsrelaterade DNA-uppgifter och att man inte har haft några informationssäkerhetsproblem med dem.

Utskottet utgår från att myndigheterna följer lagarna. I grundlagens 2 § 3 mom. föreskrivs att all utövning av offentlig makt ska bygga på lag och att i all offentlig verksamhet ska lag noggrant iakttas. I exempelvis social- och hälsovårdens register finns rikligt med känsliga hälsorelaterade uppgifter. Också i det fallet utgår man från att uppgifterna används på ett sakligt sätt. Detta innebär givetvis inte att det inte dessutom är viktigt att utöva tillsyn över registren.

Användning och utlämning av fingeravtrycksuppgifter

Registrerade fingeravtrycksuppgifter av en sökande kan användas för fastställande av personens identitet när behovet har att göra med identifiering av sökanden eller identifiering av passinnehavaren i situationer där en myndighet i anknytning till personens reserätt, utresa eller inresa har rätt att kontrollera personens identitet och det uppvisade dokumentets äkthet. Fingeravtryck som tagits av sökanden och registrerats kan också användas för tillverkning av det ansökta dokumentet.

Användning av fingeravtrycksuppgifter i passet för andra ändamål än de som motsvarar de ursprungliga registrerings- och användningsändamålen ska enligt propositionen begränsas till utredning av identitet när polisen utför ett sådant enskilt uppdrag som oundgängligen kräver att identiteten styrks. Rätt att använda uppgifterna har då endast den vilkas arbetsuppgifter oundgängligen kräver det. I praktiken är det fråga om situationer där en polisman med stöd av lag identifierar en person och där identiteten inte kan fastställas på annat sätt. Det kan exempelvis vara fråga om att identifiera en avliden eller en person som har förblivit okänd. Bestämmelsen gör det inte möjligt att avvärja eller utreda brott med hjälp av fingeravtryck som har lagrats i registret. På denna punkt föreslår utskottet i detaljmotiv en betydande precisering av regleringen.

Ändringen av EU:s passförordning

Kommissionen lämnade den 18 oktober 2007 ett förslag till ändring av EU:s passförordning (KOM(2007) 619 slutlig). Rättsakten utfärdades den 28 maj 2009, och den träder i kraft den tjugonde dagen efter offentliggörandet i EU:s officiella tidning. Den offentliggjordes den 6 maj. Med andra ord träder den i kraft samtidigt som fingeravtryck ska börja införas i pass och andra resedokument.

Ändringen av EU:s passförordning innebär med stöd av dess artikel 1.2a att man undantar barn under 12 år och personer på vilka det är fysiskt omöjligt att ta fingeravtryck från kravet på att lämna fingeravtryck. Dessutom säger artikel 1.2b i förordningen att om det tillfälligt är omöjligt att ta fingeravtryck ska medlemsstaterna utfärda ett provisoriskt pass med en giltighetstid på högst tolv månader.

Denna ändring av EU:s passförordning innebär att den föreliggande propositionen måste justeras i fråga om passens giltighetstid i de fall där det finns tillfälliga fysiska hinder.

Regeringen har föreslagit en giltighetstid på högst två år för pass när det finns tillfälliga fysiska hinder (sista meningen i passlagens 14 § 2 mom.). Eftersom man i EU:s passförordning använder termen "väliaikainen" i en annan betydelse än i den finländska passlagen (passlagens 3 a §) föreslår förvaltningsutskottet att man för klarhets skull inför en nya paragraf i passlagen (3 c §) där man definierar sådana situationer enligt EU:s passförordning där man utfärdar sådana provisoriska pass ("tilapäinen passi") som den förordningen avser, till skillnad från de tillfälliga passen ("väliaikainen passi"). Provisoriska pass ska utfärdas till sökande av vilka det på det sätt som EU:s passförordning avser tillfälligt är omöjligt att ta fingeravtryck. Sista meningen i 14 § 2 mom. i passlagen måste därför ändras så att provisoriska pass beviljas för högst tolv månader.

Det är utskottets uppfattning att ändringen av EU:s passförordning inte begränsar beviljandet av biometriska pass i dessa fall av s.k. tillfällig skada. Förordningen gäller förenhetligade lägsta krav på säkerhetsfaktorer, och den tillåter också att den nationella regleringen går längre än så. Den föreslagna nationella lagstiftningen kan anses vara en sådan genomförandeåtgärd som inte påverkar förordningens direkta tillämplighet eller dess enhetliga tillämpning i de olika medlemsstaterna.

Förvaltningsutskottet ansåg (FvUB 13/2006 rd) i samband med att passlagen stiftades att det var på sin plats att man stramar åt möjligheterna att utfärda tillfälliga pass, eftersom pass som saknar en teknisk del har en betydligt lägre säkerhetsnivå än de centralt tillverkade passen. Därför måste man skilja åt tillfälliga pass och provisoriska pass, så att det inte blir möjligt att kringgå bestämmelserna och ansöka om ett tillfälligt pass med lägre säkerhetsnivå.

EU:s passförordning medför inget annat när det gäller propositionen. Enligt det föreslagna 6 a § 2 mom. i passlagen behöver sökanden inte lämna fingeravtryck om dessa inte kan tas på grund av skada, sjukdom eller fysiskt hinder eller av andra motsvarande skäl.