3 kap. Behandling av personuppgifter

Personuppgifter får behandlas av utfärdande myndighet om det är nödvändigt för att

1. handlägga ärenden om statlig e-legitimation,
2. föra ett register över ärenden om statlig e-legitimation, och
3. vidta åtgärder för en säker användning av statliga e-

legitimationer.

Personuppgifter som behandlas enligt 1 § får också behandlas av utfärdande myndighet

1. om det är nödvändigt för att tillhandahålla information som behövs i Polismyndighetens verksamhet för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa uppbörd eller upprätthålla allmän ordning och säkerhet, och

2. om det är nödvändigt för att lämna ut uppgifter i enlighet med lag eller förordning.

Personuppgifterna får även behandlas för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in.

Artikel 21.1 i EU:s dataskyddsförordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen.

Tillgången till personuppgifter ska begränsas till det som var och en behöver för att kunna fullgöra sina arbetsuppgifter i verksamheten med den statliga e-legitimationen.

Regeringen eller den myndighet som regeringen bestämmer får meddela ytterligare föreskrifter om

1. begränsningen av tillgången till personuppgifter enligt första stycket, och

2. säkerhetsåtgärder till skydd för personuppgifter.

Polismyndigheten ska med hjälp av automatiserad behandling föra ett register över ärenden om statlig e-legitimation.

Registret över ärenden om statlig e-legitimation får endast innehålla

1. namn, personnummer, samordningsnummer, medborgarskap, födelsedatum och kontaktuppgifter till sökanden,
2. ansiktsbilder som har tagits vid ansökan enligt 2 kap. 4 § första stycket och biometriska uppgifter som har tagits fram ur sådana bilder,
3. handlingar eller uppgifter från handlingar som har kommit in eller upprättats i ärenden om statlig e-legitimation,
4. uppgifter som rör handläggningen av ärenden om statlig e-

legitimation, och

5. uppgifter om utfärdade statliga e-legitimationer.

Personuppgifter i registret över ärenden om statlig e-
legitimation får inte behandlas längre än tio år från utgången av det kalenderår som det ärende som uppgifterna hänför sig till avslutades.

Det är förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter eller sådana personuppgifter om lagöverträdelser som avses i artikel 10 i EU:s dataskyddsförordning.

Det är förbjudet att som sökbegrepp använda

1. ansiktsbilder, biometriska uppgifter som har tagits fram ur ansiktsbilder och andra känsliga personuppgifter som avses i
10 §, och

2. uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden.

Trots förbuden i första stycket får den ansiktsbild som tas enligt 2 kap. 4 § första stycket och de biometriska uppgifter som tas fram ur ansiktsbilden användas vid sökning i registret över ärenden om statlig e-legitimation i ett ärende om statlig e-legitimation. Sökning är då tillåten endast för att kontrollera sökandens identitet och innehav av en e-legiti-
mation i samband med ansökan.

Personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) får behandlas endast om det är absolut nödvändigt för ändamålet med behandlingen.

Känsliga personuppgifter får dock behandlas

1. i registret när det är tillåtet enligt 6 § 2,
2. vid kontroller som är tillåtna enligt 2 kap. 6 §, och
3. vid sökningar som är tillåtna enligt 9 § andra stycket.

Varje utfärdande myndighet är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten själv utför.

Polismyndigheten är personuppgiftsansvarig för behandling av personuppgifter i registret över ärenden om statlig e-
legitimation.

Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om

1. att personuppgifter som avses i 7 § får fortsätta att behandlas under en viss tid för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål, och

2. avskiljande och begränsningar av åtkomsten till personuppgifter som behandlas enligt 1.