3 Gjeldende rett

3.1 Passloven og ID-kortloven

Det følger både av passloven og ID-kortloven at det kan innhentes biometrisk personinformasjon i form av ansiktsfoto og fingeravtrykk til bruk for senere kontroll av kortinnehaverens identitet. Ved lov 21. juni 2017 nr. 93 om endringer i passloven og ID-kortloven (tilpasning til nye systemer) ble det presisert i passloven § 8 og ID-kortloven § 9 at adgangen til å lagre ansiktsfoto i pass- og ID-kortregistrene også omfatter biometrisk ansiktsfoto, og at registrene kan kobles mot hverandre. Koblingen muliggjør automatisert en-til-mange-sammenligning av den biometriske personinformasjonen i både passregisteret og ID-kortregisteret med det formål å avdekke om en pass- eller ID-kortsøker tidligere har søkt om slike dokumenter med en annen identitet. Fingeravtrykkene som opptas ved utstedelse av pass og ID-kort lagres kun i den elektroniske brikken i dokumentene, ikke i registrene.

Forskrift 9. oktober 2020 nr. 2012 om pass og nasjonalt ID-kort (pass- og ID-kortforskriften) har i § 2-10 en egen bestemmelse om kontroll av søknaden. Annet ledd fastslår at det skal gjennomføres søk i passregisteret og ID-kortregisteret, herunder biometrisøk, for å kontrollere at vilkårene for utstedelse av pass og ID-kort er oppfylt.

Pass- og ID-kortforskriften § 2-2 første ledd annet punktum presiserer at søkere som tidligere har vært utenlandsk statsborger skal godtgjøre identiteten som er lagt til grunn ved innvilgelse av norsk statsborgerskap. Dermed vil identiteten som ble lagt til grunn av utlendingsmyndighetene også legges til grunn for utstedelsen av pass og nasjonalt ID-kort, med mindre søknadsbehandlingen avdekker omstendigheter som reiser tvil om identitetens ekthet og korrekthet. I slike saker vil det ikke kunne utstedes pass eller ID-kort før forholdene er nærmere undersøkt med utgangspunkt i søkers plikt til å fremlegge nødvendig dokumentasjon. Verken passloven, ID-kortloven eller pass- og ID-kortforskriften har regler om kontroll mot opplysninger i utlendingsdatabasen eller utlendingsregisteret ved behandling av søknad om pass eller ID-kort. Det er kun statsborgervedtaket som kontrolleres. I hvilken utstrekning tvil om søkers opplysninger også får betydning for søkerens norske statsborgerskap, vil måtte avgjøres av utlendingsmyndighetene.

Passloven § 10 og ID-kortloven § 11 fastslår at opplysninger om utstedte pass og ID-kort kan utleveres til registermyndigheten for Folkeregisteret. Bestemmelsene ble tilføyd ved lov 21. juni 2017 nr. 93 om endringer i passloven og ID-kortloven (tilpasning til nye systemer), og inngår i arbeidet med å tilrettelegge for realiseringen av kvalitetsindikatoren «unik». I Prop. 114 L (2016–2017) punkt 5.4. fremholdt departementet at muligheten for å registrere en identitet som «unik» i Folkeregisteret vil være et viktig bidrag til å unngå misbruk og falske identiteter. Bestemmelsene legger til grunn at det vil være tilstrekkelig med en enkel markering i Folkeregisteret av at det er utstedt et pass eller et nasjonalt ID-kort til innehaveren av et fødselsnummer. Det er den bakenforliggende kontrollen i forbindelse med utstedelsen av disse dokumentene som vil gjøre at man med stor grad av sikkerhet kan fastslå at én person kun opererer med én unik identitet i Norge.

Etter passloven § 11 første ledd bokstav d og ID-kortloven § 12 første ledd bokstav d kan opplysninger fra pass- og ID-kortregistrene også utleveres til politiet til bruk i arbeid etter utlendingsloven med å avklare identiteten til en person som har plikt til å gi opplysninger om egen identitet. Det vil typisk være når politiet utøver grense-/innreisekontroll eller alminnelig utlendingskontroll, eller ved forberedende behandling av utlendingssaker og uttransportering av utlendinger. Bestemmelsene gir ikke adgang til å utlevere opplysninger fra pass- og ID-kortregistrene til Utlendingsdirektoratet som den sentrale og faglig overordnede etaten i utlendingsforvaltningen.

3.2 Utlendingsloven

Utlendingsloven § 100 gir regler om opptak og behandling av biometrisk personinformasjon i form av ansiktsfoto og fingeravtrykk. Av første ledd følger at det kan opptas og behandles biometrisk foto og fingeravtrykk blant annet av alle utlendinger som søker oppholdstillatelse.

Nærmere regler om hvilke utlendinger det skal tas foto og fingeravtrykk av er gitt i utlendingsforskriften § 18-1. Etter første ledd skal alle søknader om oppholdstillatelse og visum inneholde ansiktsfoto og fingeravtrykk. I tillegg skal det tas ansiktsfoto og fingeravtrykk av utlendinger i situasjoner som nevnt i annet ledd bokstav a til i, blant annet av utlending som blir utvist, av utlending som ikke kan dokumentere sin identitet eller som mistenkes for å oppgi falsk identitet, og av utlending som har oppholdt seg ulovlig i riket. Ansiktsfoto skal slettes når fortsatt lagring ikke lenger er nødvendig ut fra formålet fotoene er innhentet for, jf. utlendingsforskriften § 18-4 tiende ledd.

Foto og fingeravtrykk tatt i medhold av § 100 registreres i separate filer for utlendingsregisteret i politiets alminnelige foto- og fingeravtrykkregister. Fra medio april 2021 har utvidet bruk av biometri for utlendinger som søker om oppholdstillatelse og visum til Norge etter tredjelandsregelverket ført til ny arbeidsflyt for politidistriktenes førstelinje. Opptak av biometrisk personinformasjon (ansiktsfoto og fingeravtrykk) er nå første trinn ved mottak av søknad. Den biometriske personinformasjonen sendes til utlendingsregisteret i ABIS for sammenligning mot eventuelt tidligere avgitt biometrisk personinformasjon. På denne måten bidrar utlendingsforvaltningens førstelinje til at en utlending kun kan ha én identitet i Norge, og derigjennom får man bedre kontroll med utlendingers identitet i Norge.

Ved lov 12. juni 2020 nr. 65 om endringer i utlendingsloven (utlevering av opplysninger til politiet mv.) ble utlendingsloven § 100 annet ledd endret for dels å klargjøre og dels å utvide adgangen til utlevering av opplysninger fra utlendingsregisteret til politiet for andre forvaltningsmessige og politimessige formål, jf. Prop. 54 L (2019–2020). Bestemmelsen åpner for utlevering av ansiktsfoto til samme formål som etter passloven § 11 og ID-kortloven § 12. Det innebærer at ansiktsfoto kan utleveres fra utlendingsregisteret til politiet blant annet til bruk i arbeid med å finne en savnet person eller med å identifisere en død person eller en person som det hører under politiets oppgaver å hjelpe, i arbeid med å identifisere en person som kan innbringes eller skal pågripes eller anbringes i politiarrest, og ved forebygging eller etterforskning av brudd på utlendingsloven eller andre lovbrudd som kan medføre høyere straff enn fengsel i seks måneder. Etter § 100 tredje ledd kan utlevering av biometrisk personinformasjon fra utlendingsregisteret til politiet skje i form av direkte søk. Utlendingsloven gir imidlertid ingen hjemmel for utlevering av opplysninger fra utlendingsmyndighetene til politiets arbeid som pass- og ID-kortmyndighet.

3.3 Personvernforordningen

Europaparlaments- og Rådsforordning (EU) 2016/679 (personvernforordningen) er gjennomført i norsk rett ved lov 15. juni 2018 nr. 38 om behandling av personopplysninger (personopplysningsloven).

De grunnleggende prinsippene for behandling av personopplysninger er nedfelt i personvernforordningen artikkel 5 nr. 1 bokstav a-f. Personopplysninger skal behandles på en lovlig, rettferdig og åpen måte, samles inn for spesifikke, uttrykkelig angitte og berettigede formål, og de skal ikke viderebehandles på en måte som er uforenlig med disse formålene (formålsbegrensning). Opplysningene må videre være adekvate, relevante og begrenset til det som er nødvendig for formålene de behandles for, og de må være korrekte og nødvendig oppdaterte. Opplysningene må lagres slik at det ikke er mulig å identifisere de registrerte i en lengre periode enn det som er nødvendig for formålene

Biometrisk informasjon som har til formål å entydig identifisere en fysisk person har særskilt vern etter forordningen, jf. artikkel 4 nr. 14. Slike opplysninger kan bare behandles når det er adgang til dette etter unntaksreglene i artikkel 9 nr. 2. Etter artikkel 9 nr. 2 bokstav g kan særlige kategorier av personopplysninger behandles dersom det er nødvendig av hensyn til viktige allmenne interesser og gitt at det foreligger et rettsgrunnlag i nasjonal rett. Det stilles videre krav om at rettsgrunnlaget sikrer «egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser».