Utgångspunkter för bedömningen
(1) Syftet med propositionen är att reformera personbeteckningssystemet genom att göra det möjligt att bevilja utlänningar personbeteckningar i större utsträckning än för närvarande, genom att möjliggöra elektronisk distansregistrering i befolkningsdatasystemet, genom att utveckla befolkningsdatasystemets identitetshantering, genom att minska behovet av organisationsspecifika specificerande koder, genom att skapa förutsättningar för införande av en helt ny identifikationskod samt genom att precisera bestämmelserna om behandling av personbeteckningen. Det föreslås att personbeteckningens struktur ändras genom att uppgiften om personens kön slopas.
(2) Lagförslagen granskas i propositionens motivering till lagstiftningsordningen. Grundlagsutskottet kan i stora drag instämma i de slutsatser som dragits i motiveringen. Utskottet har inget att invända mot regleringens mål eller grundläggande lösningar.
Fastställande av personbeteckning och identifikationskod
(3) De formella förutsättningarna för specificering och identifiering av en person har en central betydelse för att personen ska kunna fungera i samhället, och en tillförlitlig specificering är ofta nödvändig. Specificering och identifiering används traditionellt som grund för tilldelning av rättigheter och skyldigheter och har i praktiken betydelse också för tillgodoseendet av de grundläggande fri- och rättigheterna.
(4) Grundlagsutskottet anser att regleringen i huvudsak är utformad på behörigt sätt. Lagförslagen innehåller dock inga definitioner av specificering och identifiering av en person, även om det till exempel föreslås att det till 29 § i dataskyddslagen fogas en bestämmelse om behandling av personbeteckning för att entydigt specificera den registrerade i vissa situationer. Dessutom föreslås det att det till 29 § i dataskyddslagen och 12 § i lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten fogas bestämmelser om förbud mot identifiering av en registrerad uteslutande med personbeteckningen eller en kombination av personbeteckningen och den registrerades namn. Grundlagsutskottet anser att identifiering och specificering bör definieras tydligt i lagen.
Automatiserat beslutsfattande
(5) Enligt motiveringen till lagförslaget är avsikten att det föreslagna förfarandet för distansregistrering i regel ska genomföras som ett automatiserat förfarande där registreringen sker utan medverkan av en fysisk person. Den proposition som nu bedöms har enligt propositionsmotiven (s. 140) beretts med antagandet att bestämmelser om användningsområdet för automatiserat beslutsfattande och andra faktorer i samband med det kommer att tas in i förvaltningslagen i enlighet med lagförslaget i regeringens proposition till riksdagen med förslag till lagstiftning om automatiserat beslutsfattande inom den offentliga förvaltningen (RP 145/2022 rd). I motiveringen till den nu aktuella propositionen (s. 132) hänvisas det också till att om den allmänna lagstiftning om automatiserat beslutsfattande som föreslås i propositionen inte träder i kraft som planerat i början av 2023, måste också ikraftträdandet av förslagen till lagstiftning om förfarandet för distansregistrering senareläggas, antingen tills den allmänna lagstiftningen om automatiserat beslutsfattande träder i kraft eller tills förfarandet kan genomföras som en separat lösning utan automatisering. Grundlagsutskottet har helt nyligen lämnat ett utlåtande (GrUU 81/2022 rd) om den propositionen.
(6) Grundlagsutskottet fäster förvaltningsutskottets uppmärksamhet vid att propositionernas inbördes förhållande bör beaktas på behörigt sätt också när det gäller det som i utlåtandet GrUU 81/2022 rd sägs om automatiserat beslutsfattande. Utskottet fäster dessutom med avseende på rättsskyddet och god förvaltning enligt 21 § i grundlagen uppmärksamhet vid en korrekt tillämpning av förvaltningslagens bestämmelser om automatiserat beslutsfattande.
Skydd för personuppgifter
(7) Befolkningsdatasystemet är en central informationsresurs med tanke på samhällets funktion och ett av landets viktigaste basregister. Datasystemet innehåller stora mängder personuppgifter och en del av dem är känsliga (se även GrUU 3/2009 rd, s. 2/I). Propositionen innehåller bestämmelser om behandling av personuppgifter i befolkningsdatasystemet. Regleringen är därför av betydelse med avseende på skyddet för privatlivet och personuppgifter i 10 § i grundlagen.
(8) Grundlagsutskottet anser att den allmänna dataskyddsförordningens detaljerade bestämmelser, som tolkas och tillämpas i enlighet med de rättigheter som garanteras i EU:s stadga om de grundläggande rättigheterna, allmänt taget utgör en tillräcklig rättslig grund även med avseende på skyddet för privatlivet och personuppgifter enligt 10 § i grundlagen. Skyddet för personuppgifter bör i första hand tillgodoses utifrån den allmänna dataskyddsförordningen och den allmänna lagstiftningen på nationell nivå. Vi bör alltså förhålla oss restriktivt till att införa nationell speciallagstiftning. Sådan lagstiftning bör vara avgränsad till nödvändiga bestämmelser inom ramen för det nationella handlingsutrymme som dataskyddsförordningen medger (se GrUU 14/2018 rd, s. 5).
(9) Som rättslig grund för behandling av personuppgifter i befolkningsdatasystemet betraktas i propositionsmotiven (s. 130) den rättsliga förpliktelse som åvilar den personuppgiftsansvarige enligt artikel 6.1 c i den allmänna dataskyddsförordningen. I propositionsmotiven bedöms det vidare att det fortfarande måste anses behövligt med exakt och omfattande specialreglering om befolkningsdatasystemet, eftersom det är fråga om ett av samhällets basregister vars uppgifter utnyttjas i mycket omfattande grad inom samhällets funktioner och till vilket således kan ansluta särskilt stora risker vad gäller skyddet för personuppgifter. Grundlagsutskottet omfattar denna bedömning.
(10) I 9 a § 2 mom. i lagförslag 1 i propositionen föreslås det att identiteten hos den som begär registrering ska verifieras genom att foton och videoinspelningar som personen gjort i samband med registreringsförfarandet jämförs med den ansiktsbild som kan läsas på den tekniska delen av personens resedokument. Enligt propositionsmotiven (s. 104) utförs behandlingen så att den som begär registrering tar en ansiktsbild och gör en videoinspelning av sig själv och lämnar dem till Myndigheten för digitalisering och befolkningsdata med hjälp av en elektronisk identifieringsmetod.
(11) Enligt grundlagsutskottet kan sådana biometriska identifieringsuppgifter på många sätt jämställas med känsliga uppgifter (se även GrUU 40/2021 rd, stycke 8). Att tillåta behandling av känsliga uppgifter berör själva kärnan i skyddet för personuppgifter som ingår i privatlivet (GrUU 37/2013 rd, s. 2). Också EU-domstolen har ansett att exempelvis tagande och lagring av till exempel fingeravtryck ingriper i respekten för privatlivet och skyddet av personuppgifter enligt artiklarna 7 och 8 i stadgan om de grundläggande rättigheterna (Schwarz mot Stadt Bochum C-291/12, punkt 30).
(12) Grundlagsutskottet anser med anledning av det som sagts ovan att i en regleringskontext som den här, där det finns ett känsligt samband med de grundläggande fri- och rättigheterna, bör bestämmelserna om behandling av personuppgifter fortfarande analyseras utifrån en praxis med fokus på exakta och heltäckande bestämmelser på lagnivå (se även GrUU 14/2018 rd, s. 6). Utskottet har sett det som klart att behovet av speciallagstiftning i enlighet med det riskbaserade synsätt som också dataskyddsförordningen kräver måste bedömas utifrån de hot och risker som behandlingen av uppgifterna orsakar. Ju större risk fysiska personers rättigheter och friheter utsätts för på grund av behandlingen, desto mer motiverat är det med mer detaljerade bestämmelser (GrUU 14/2018 rd, s. 5).
(13) Grundlagsutskottet anser att den nu föreslagna regleringen är ändamålsenlig ur denna synvinkel. Förvaltningsutskottet bör dock försäkra sig om att den föreslagna regleringen är förenlig med EU:s dataskyddsförordning och fästa särskild uppmärksamhet vid hur förfarandet för distansregistrering förhåller sig till bestämmelserna om automatiserade individuella beslut i artikel 22 i förordningen.