Lag (2026:1358) om statlig e-legitimation och elektronisk identifiering

1 §  Den statliga e-legitimationen utfärdas efter ansökan.

Om sökanden är under arton år krävs det vårdnadshavares medgivande, om det inte finns synnerliga skäl för utfärdandet.

2 §  Den som ansöker om en statlig e-legitimation ska lämna ansökan vid personlig inställelse.

3 §  Sökanden ska vid ansökan styrka sin identitet och övriga personuppgifter som krävs för att en statlig e-legitimation ska utfärdas.

4 §  Sökanden ska låta den utfärdande myndigheten ta sökandens ansiktsbild och fingeravtryck i samband med ansökan om statlig e-legitimation.

Sökanden ska även låta den utfärdande myndigheten ta sökandens ansiktsbild och fingeravtryck vid utlämnande av den statliga e-legitimationen, om den utfärdande myndigheten begär det.

5 §  Ansiktsbilden som tas i samband med ansökan enligt 4 § första stycket ska sparas i ett lagringsmedium i bäraren av den statliga e-legitimationen. Om fingeravtryck har tagits ska även dessa sparas i lagringsmediet.

6 §  Om sökanden styrker sin identitet med en identitetshandling som är försedd med en ansiktsbild eller innehåller ett lagringsmedium där ansiktsbild eller fingeravtryck är sparade, får den utfärdande myndigheten kon- trollera att dessa motsvarar den ansiktsbild och de fingeravtryck som tas enligt 4 §.

Den utfärdande myndigheten får även kontrollera att ansiktsbild och fingeravtryck som tas i samband med utlämnande enligt 4 § andra stycket motsvarar de som finns lagrade i den statliga e-legitimationen.

7 §  De fingeravtryck som tas enligt 4 § första stycket och de biometriska uppgifter som tas fram ur dessa ska omedelbart förstöras när den statliga e-legitimationen har lämnats ut eller, om e-legitimationen inte har lämnats ut, när det har gått 90 dagar från den dag då den utfärdades. Om ett ansökningsärende har avslutats på något annat sätt ska uppgifterna också förstöras omedelbart.

Den ansiktsbild och de fingeravtryck som tas enligt 4 § andra stycket och de biometriska uppgifter som tas fram ur ansiktsbilden och fingeravtrycken ska omedelbart förstöras när kontrollen enligt 6 § andra stycket har genomförts.

Den ansiktsbild och de fingeravtryck som vid kontroll enligt 6 § tas fram ur ett lagringsmedium och de biometriska uppgifter som tas fram ur ansiktsbilden och fingeravtrycken ska omedelbart förstöras när kontrollen har genomförts.

8 §  En ansökan om en statlig e-legitimation ska avslås om de krav som framgår av denna lag eller de föreskrifter som har meddelats i anslutning till lagen inte är uppfyllda och sökanden inte har följt en uppmaning att rätta till bristen. I annat fall ska den statliga e-legitimationen utfärdas och skyndsamt vara tillgänglig för utlämnande.

9 §  En statlig e-legitimation ska återkallas och spärras om

• 1. det fanns hinder mot att utfärda en e-legitimation vid tiden för utfärdandet och hindret fortfarande består,
• 2. någon väsentlig uppgift som en e-legitimation innehåller är felaktig,
• 3. det är nödvändigt av säkerhetsskäl,
• 4. den är utfärdad på en fysisk identitetshandling som därefter har upphört att gälla, eller
• 5. innehavaren har avlidit.

En statlig e-legitimation får även återkallas och spärras på begäran av innehavaren. Om begäran avser ett barn under arton år krävs det vårdnadshavares medgivande, om det inte finns synnerliga skäl för återkallelsen och spärren.

10 §  En statlig e-legitimation ska, utöver i de fall som anges i 9 §, spärras

• 1. i samband med att en ny e-legitimation lämnas ut till sökanden, eller
• 2. när giltighetstiden har löpt ut.

11 §  Utfärdande myndighet får ta ut avgifter för ansökan om statlig e-legitimation.

12 §  Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela ytterligare föreskrifter om förfarandet vid

• 1. ansökan,
• 2. utfärdande,
• 3. utlämnande, och
• 4. återkallelse och spärr.

Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen även meddela föreskrifter om den statliga e-legitimationens

• 1. innehåll, bärare och utformning i övrigt, och
• 2. aktivering.

Regeringen eller den myndighet som regeringen bestämmer får vidare meddela föreskrifter om

• 1. avgifter för ansökan om statlig e-legitimation, och
• 2. undantag från skyldigheten att lämna fingeravtryck enligt 4 §.

1 §  Personuppgifter får behandlas av utfärdande myndighet om det är nödvändigt för att

• 1. handlägga ärenden om statlig e-legitimation,
• 2. föra ett register över ärenden om statlig e-legitimation, och
• 3. vidta åtgärder för en säker användning av statliga e- legitimationer.

2 §  Personuppgifter som behandlas enligt 1 § får också behandlas av utfärdande myndighet

• 1. om det är nödvändigt för att tillhandahålla information som behövs i Polismyndighetens verksamhet för att förebygga, förhindra eller upptäcka brottslig verksamhet, utreda eller lagföra brott, verkställa uppbörd eller upprätthålla allmän ordning och säkerhet, och
• 2. om det är nödvändigt för att lämna ut uppgifter i enlighet med lag eller förordning.

Personuppgifterna får även behandlas för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in.

3 §  Artikel 21.1 i EU:s dataskyddsförordning om rätten att göra invändningar gäller inte vid sådan behandling som är tillåten enligt denna lag eller föreskrifter som har meddelats i anslutning till lagen.

4 §  Tillgången till personuppgifter ska begränsas till det som var och en behöver för att kunna fullgöra sina arbetsuppgifter i verksamheten med den statliga e-legitimationen.

Regeringen eller den myndighet som regeringen bestämmer får meddela ytterligare föreskrifter om

• 1. begränsningen av tillgången till personuppgifter enligt första stycket, och
• 2. säkerhetsåtgärder till skydd för personuppgifter.

5 §  Polismyndigheten ska med hjälp av automatiserad behandling föra ett register över ärenden om statlig e-legitimation.

6 §  Registret över ärenden om statlig e-legitimation får endast innehålla

• 1. namn, personnummer, samordningsnummer, medborgarskap, födelsedatum och kontaktuppgifter till sökanden,
• 2. ansiktsbilder som har tagits vid ansökan enligt 2 kap. 4 § första stycket och biometriska uppgifter som har tagits fram ur sådana bilder,
• 3. handlingar eller uppgifter från handlingar som har kommit in eller upprättats i ärenden om statlig e-legitimation,
• 4. uppgifter som rör handläggningen av ärenden om statlig e- legitimation, och
• 5. uppgifter om utfärdade statliga e-legitimationer.

7 §  Personuppgifter i registret över ärenden om statlig e- legitimation får inte behandlas längre än tio år från utgången av det kalenderår som det ärende som uppgifterna hänför sig till avslutades.

8 §  Det är förbjudet att utföra sökningar i syfte att få fram ett urval av personer grundat på känsliga personuppgifter eller sådana personuppgifter om lagöverträdelser som avses i artikel 10 i EU:s dataskyddsförordning.

9 §  Det är förbjudet att som sökbegrepp använda

• 1. ansiktsbilder, biometriska uppgifter som har tagits fram ur ansiktsbilder och andra känsliga personuppgifter som avses i 10 §, och
• 2. uppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden.

Trots förbuden i första stycket får den ansiktsbild som tas enligt 2 kap. 4 § första stycket och de biometriska uppgifter som tas fram ur ansiktsbilden användas vid sökning i registret över ärenden om statlig e-legitimation i ett ärende om statlig e-legitimation. Sökning är då tillåten endast för att kontrollera sökandens identitet och innehav av en e-legiti- mation i samband med ansökan.

10 §  Personuppgifter som avses i artikel 9.1 i EU:s dataskyddsförordning (känsliga personuppgifter) får behandlas endast om det är absolut nödvändigt för ändamålet med behandlingen.

Känsliga personuppgifter får dock behandlas

• 1. i registret när det är tillåtet enligt 6 § 2,
• 2. vid kontroller som är tillåtna enligt 2 kap. 6 §, och
• 3. vid sökningar som är tillåtna enligt 9 § andra stycket.

11 §  Varje utfärdande myndighet är personuppgiftsansvarig för den behandling av personuppgifter som myndigheten själv utför.

Polismyndigheten är personuppgiftsansvarig för behandling av personuppgifter i registret över ärenden om statlig e- legitimation.

12 §  Regeringen eller den myndighet som regeringen bestämmer kan med stöd av 8 kap. 7 § regeringsformen meddela föreskrifter om

• 1. att personuppgifter som avses i 7 § får fortsätta att behandlas under en viss tid för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål, och
• 2. avskiljande och begränsningar av åtkomsten till personuppgifter som behandlas enligt 1.

1 §  När medel för elektronisk identifiering krävs för att få tillgång till en nättjänst som tillhandahålls av en offentlig aktör, och tjänsten helt eller delvis riktar sig till enskilda, ska medel erkännas för autentisering för tjänsten om

• 1. medlet för elektronisk identifiering tillhandahålls inom ramen för ett auktorisationssystem i enlighet med lagen (2023:704) om auktorisationssystem i fråga om tjänster för elektronisk identifiering och för digital post, och
• 2. tillitsnivån för medlet motsvarar en tillitsnivå som är lika hög eller högre än den tillitsnivå som den offentliga aktören kräver för åtkomst till nättjänsten.

2 §  Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om

• 1. undantag från kravet i 1 §, och
• 2. hur kravet i 1 § ska fullgöras.

1 §  Beslut enligt denna lag eller enligt föreskrifter som har meddelats i anslutning till lagen får överklagas till allmän förvaltningsdomstol.

Prövningstillstånd krävs vid överklagande till kammarrätten.

2 §  Beslut enligt denna lag gäller omedelbart, om inte annat anges i beslutet.