sou · GRB340d2 · 2004-01-01 00:00:00 — Med tanke på den stränga sekretess – med en sekretesstid för uppgifterna i allmänna handlingar ända upp till – som råder för stora delar av verksamhetsområdets personuppgifter, väger argument för bevarande i syfte att tillgodose allmänhetens intresse av insyn efter sekretesstidens utgång särskilt tungt. Det är en allvarlig konsekvens av att handlingar som enbart finns i elektro- nisk form gallras, om gallringen medför att allmänna handlingar som är sekretessbelagda inte alls finns kvar för allmänhetens insyn och för forskningens behov då tiden för handlingssekretessen har löpt ut. Den grundlagsfästa handlingsoffentligheten skulle därmed bli starkt urgröpt beträffande ett statligt område som har tydliga politiska dimensioner och ofta är omdiskuterat av sin samtid. Handlingar från verksamhetsområdet torde ha ett stort forskningsvärde för historiker och andra som vill granska den förda politiken, invandrarnas historia m.m. Efterkommande släktingar till invandrare som vill släktforska kan nämnas som exempel på enskilda som kommer att ha intresse av bevarat material. Att information finns bevarad kan också vara av vikt för den enskilde registrerade som i efterhand kan vilja söka klarhet i händelseförlopp i handläggning av ärenden som berört honom eller henne. Det kan alltså ifrågasättas om enskilda registre- rade alltid har ett intresse av att uppgifter från myndighetsutövning rörande honom eller henne inte bevaras. Även om handlingsoffentligheten och arkivlagens krav torde kunna uppfyllas genom att elektronisk information i register och andra uppgiftssamlingar gallras genom att överföras till och sparas på papper, går bl.a. viktiga sök- och sammanställningsmöjligheter förlorade. Rätten att ta del av s.k. potentiella handlingar försvinner därmed. Att ersätta elektroniskt material med pappersutskrifter torde vidare kräva en hel del merarbete och medföra större för- varingskostnader. Enligt utredningens mening är det dessutom mindre lämpligt att, såsom fallet blir med gallring som huvudregel, det i praktiken överlåts till de personuppgifts- och arkivansvariga myndigheterna att aktivt bevaka bevarandeintressena. Med gallring som huvudregel kan det nämligen antas att det blir dessa myndigheter som får ta initiativet till avsteg från huvudregeln genom att föreslå undantag Det kan också befaras att så många undantag från gallringsbestämmelsen måste göras att huvudregeln om gallring i själva verket blir undantag. Det finns många andra sätt att skydda den enskildes integritet än att gallra uppgifter. Redan den sekretess som gäller för merparten av uppgifterna är ett starkt skydd. Vidare anser utredningen att det kan förutsättas att behörighetskontrollen blir strikt styrd enligt utredningens förslag om åtkomst samt att säkerhetsåtgärderna blir effektiva (se avsnittenen 6.10 och 6.12). Utredningen är medveten om att en avsaknad av gallringsbestäm- melse utgör ett väsentligt avsteg från vad som brukar föreskrivas i registerlagar. Många av dessa gallringsbestämmelser torde emeller- tid förutsätta att samma information finns i sin originalform och sparas på papper. Förvisso motsvarar detta vad som i huvudsak nu gäller i verksamhet enligt utlännings- och medborgarskaps- lagstiftningen. Enligt utredningens uppfattning bör utlännings- datalagen emellertid vara mer anpassad till förväntade förhållanden, där andra metoder än gallring kan användas för att skydda enskildas personliga integritet. Sammanfattningsvis föreslås således att det inte införs någon gallringsbestämmelse i lagen. När det gäller uppgifter i Migrations- verkets fingeravtrycksregister bör emellertid de nuvarande före- skrifterna om gallring bibehållas. En bestämmelse om detta kan lämpligen intas i en förordning som utfärdas i anslutning till lagen. Utredningen vill dock påpeka att frågor om bevarande eller gallring i registerförfattningar av nu aktuellt slag är komplicerade och att alla aspekter härpå inte har kunnat beaktas inom ramen för utredningens arbete. Enligt utredningens mening finns det därför skäl att i ett annat sammanhang mera grundligt utreda den allmänna intressekonflikten mellan enskildas integritet och bevarande av allmänna handlingar i en offentlig förvaltning som alltmer övergår till elektronisk informationshantering. 6.15.3.2Avskiljande av inaktuella personuppgifter från automatiserade uppgiftssamlingar Förslaget att låta arkivlagens bestämmelser om bevarande och gall- ring gälla också för automatiserat behandlade personuppgifter inne- bär inte att utredningen anser att det är tillfredsställande från integritetssynpunkt att personuppgifter som inte längre behövs i verksamheten är tillgängliga för behöriga handläggare i datoriserade register, ärendehanteringssystem och liknande uppgiftssamlingar tillsammans med uppgifter som är aktuella. Utredningen föreslår därför att särskilda åtgärder skall vidtas beträffande inaktuella upp- gifter som behandlas i verksamheten för ändamålen att handlägga ärenden, bedriva utlänningskontroll samt mottagningsverksamhet. Det är nämligen för dessa ändamål som stora integritetskänsliga uppgiftssamlingar generellt sett finns tillgängliga för stora grupper av anställd personal. För denna typ av automatiserade uppgiftssamlingar föreslår utredningen att personuppgifter, som inte längre behövs för den löpande verksamheten, skall plockas bort, avskiljas, från uppgifts- samlingen så att de är åtkomliga via registrets, ärende- hanteringssystemets eller annan uppgiftssamlings applikation för den personal som är involverad i den löpande verksamheten. Endast personal som är i oundgängligt behov av de inaktuella uppgifterna skall därefter medges åtkomst till dem, t.ex. verksarkivarier eller högre beslutsfattare. Den personuppgiftsansvariga myndigheten måste därför göra en särskild behörighetsprövning beträffande de avskilda uppgifterna. Det får vidare inte förekomma att annan myndighets direktåtkomst till personuppgifter omfattar avskilda uppgifter. Hur avskiljandet skall ske bör personuppgiftsansvarig myndighet själv få bestämma. Det får dock inte innebära informationsförlust av något slag. En metod är att uppgifterna avställs till en annan databas på det sätt gör med inaktu- ella uppgifter i STAMM. Att i lagen ge någon bestämd tidsfrist för när personuppgifterna skall avskiljas behövs inte heller. Självfallet bör personuppgifter om en utlänning avskiljas när han eller hon har beviljats svenskt medborgarskap. En stor mängd personuppgifter om utlänningar som inte varit aktuella i något ärende , kan inte heller anses behövas i den löpande verksamheten. Det bör emellertid överlämnas till personuppgiftsansvarig myndighet att närmare beslu- ta när personuppgifter skall avskiljas. Utarbetande av fasta rutiner, tidsplan och dokumentation över avskiljandet torde underlätta för myndigheterna att uppfylla sina skyldigheter enligt den föreslagna bestämmelsen. Utredningen anser alltså att det inte är nödvändigt att föreslå några särskilda föreskrifter i ämnet. Som utredningen återkommer till i avsnitt 6.18.6 bör dock regeringen, eller i vissa fall den myndighet regeringen bestämmer, ges möjlighet att meddela när- mare föreskrifter om avskiljande. Syftet härmed är att Migrations- verket genom vidaredelegation från regeringen skall ges möjlighet att meddela särskilda föreskrifter om avskiljande beträffande personuppgifter som behandlas av och utlands- myndigheterna under personuppgiftsansvar. Även när det gäller ändamålen att återsöka rättslig och annan information finns stora mängder information i uppgiftssamlingar tillgänglig för ett stort antal användare, såsom i . Eftersom många personuppgifter avidentifieras innan de förs in i databasen, bedömer utredningen att integritetshänsyn inte påkallar att dessa uppgifter avskiljs. När det gäller ändamålen fram- ställning av statistik samt planering och uppföljning m.m., är det endast ett fåtal användare som har tillgång till uppgiftssamlingar som förs för dessa ändamål. Något avskiljande behövs därför inte heller när det gäller personuppgifter av nu aktuellt slag. 6.16Rättelse, skadestånd och straff Utredningens förslag: Personuppgiftslagens bestämmelser om rättelse av personuppgifter och om skadestånd skall gälla vid behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen. En hänvisning till person- uppgiftslagens regler om rättelse och skadestånd görs. Överträdelser av bestämmelser i utlänningsdatalagen skall inte straffbeläggas. Enligt 28 § personuppgiftslagen är den personuppgiftsansvarige skyldig att på begäran av den registrerade genast rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med personuppgiftslagen eller föreskrifter som har med- delats med stöd av lagen, dvs. Att en uppgift rättas innebär att den ersätts eller kompletteras med korrekta uppgifter. Med blockering avses en åtgärd som vidtas för att personupp- gifterna skall vara förknippade med information om att de är spärrade och om anledningen till spärren och för att personupp- gifterna inte skall lämnas ut till tredje man annat än med stöd av 2 kap. tryckfrihetsförordningen (3 § personuppgiftslagen). uppgift utplånas innebär att den förstörs så att den inte kan återskapas. Det står den personuppgiftsansvarige fritt att välja vil- ken korrigeringsmetod som bör tillämpas (prop. 1997/98:44 s. 87). Den sist nämnda metoden, utplåning, torde emellertid inte kunna tillämpas när det gäller uppgifter i allmänna handlingar. Vad som är en felaktig behandling och bör föranleda rättelse är inte möjligt att närmare definiera utan får avgöras efter en bedömning i det enskilda fallet. Felaktigheten kan t.ex. bestå såväl i att den behandlade personuppgiften inte är korrekt som i att en korrekt uppgift har använts på ett felaktigt sätt. Sker rättelse skall den personuppgiftsansvarige också underrätta tredje man till vilken uppgifterna har lämnats ut om åtgärden, så- vida den registrerade begär det eller om mera betydande skada eller olägenhet för den registrerade skulle kunna undvikas genom en underrättelse. Någon sådan underrättelse behöver dock inte läm- nas, om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. Enligt 48 § personuppgiftslagen skall den personuppgiftsansva- rige ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling i strid mot lagen har orsakat. Ersättningsskyldigheten kan i den utsträckning det är skäligt jämkas, om den personuppgiftsansvarige visar att felet inte berodde på honom eller henne. Enligt utredningens uppfattning bör den enskilde vara berättigad att begära rättelse och skadestånd vid behandling som utförts i strid mot de särskilda bestämmelserna i utlänningsdatalagen men inte mot personuppgiftslagens bestämmelser. Personuppgifts- lagens bestämmelser är emellertid så utformade att de endast gäller vid behandling i strid mot den lagen. En uttrycklig föreskrift bör därför tas in i utlänningsdatalagen om att personuppgiftslagens bestämmelser om rättelse och skadestånd gäller även då person- uppgifter har behandlats i strid mot utlänningsdatalagen. När det gäller rättelse bör noteras att det enligt 9 § första stycket h) personuppgiftslagen är ett grundläggande krav på den personuppgiftsansvarige att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen. I 9 § första stycket e) och g) ställs vidare krav på att den person- uppgiftsansvarige ser till att uppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen och att de personuppgifter som behandlas är riktiga och, om det är nödvändigt, aktuella. Den personuppgiftsansvarige måste således – oberoende av bestämmelsen i 28 § om skyldigheten att vidta rättelse på den registrerades begäran – självmant vara aktiv för att se till att behandlade uppgifter är korrekta. Dessa krav, liksom andra grundläggande krav i 9 § första stycket personuppgiftslagen, gäller även då personuppgifter behandlas enligt den föreslagna utlänningsdatalagen och någon uttrycklig bestämmelse om detta eller hänvisning till 9 § personuppgiftslagen behövs inte i särlagen (se avsnitt 6.3). Den personuppgiftsansvariges skyldighet att självmant korrigera en felaktig eller ofullständig uppgift ställer givetvis krav på att det – i en stor organisation med många anställda som i praktiken behand- lar personuppgifter – finns lämpliga rutiner för hur den enskilde anställde skall agera när han eller hon finner att en uppgift bör korrigeras i något avseende. Inte minst viktigt är detta när det gäller utlandsmyndigheternas och behandling av personuppgifter som sker under personuppgifts- ansvar. I dessa fall kan det inte sällan handla om korrigering av personuppgifter som har lämnats ut av till genom datasystemet eller till utlands- myndigheter på CD-romskiva enligt Alma-systemet. En förutsätt- ning för att skall kunna uppfylla sina skyldigheter enligt 9 § första stycket personuppgiftslagen torde vara att Integra- tionsverket och utlandsmyndigheterna regelmässigt underrättar om att en korrigering enligt 9 § första stycket h) personuppgiftslagen bör utföras eller har utförts vid myndigheten. Personuppgiftslagen innehåller också en straffbestämmelse (49 §). Enligt den bestämmelsen kan bl.a. den som uppsåtligen eller av oaktsamhet behandlar uppgifter i strid mot vissa bestämmelser i lagen dömas till straff. Behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen utförs emellertid vid myndig- heter. Den person som gör sig skyldig till en straffbar behandling i strid mot personuppgiftslagen torde ådra sig ansvar för tjänstefel enligt bestämmelser. Av allt att döma blir det därför inte aktuellt att tillämpa personuppgiftslagens straffbestämmelse i dessa fall. Det kan nämnas att regeringen har gjort motsvarande bedömningar beträffande en del andra särlagar, se t.ex. polisdata- lagen och prop. 1997/98:97 s. 109 eller lagen om behandling av personuppgifter inom kriminalvården och prop. 2000/01:126 s. 42. Mot bakgrund av det anförda anser utredningen att det saknas anledning att straffbelägga överträdelser av bestämmelser i utlän- ningsdatalagen. Någon särbestämmelse om straff eller hänvisning till 49 § personuppgiftslagen föreslås därför inte. Utredningens förslag: En myndighets beslut om rättelse eller om information enligt 26 § personuppgiftslagen skall kunna överklagas hos allmän förvaltningsdomstol. Prövningstillstånd skall krävas vid överklagande till kammarrätten. Andra beslut får inte överklagas. Beslut som fattas rörande personuppgifter och som direkt berör den enskilde är beslut att avslå en ansökan om information enligt 26 § personuppgiftslagen samt beslut att avslå en begäran om rättelse. Enligt utredningens uppfattning bör sådana beslut kunna över- klagas då personuppgifter behandlas enligt utredningens lagförslag. Den normala ordningen när en myndighet fattar ett beslut av förvaltningskaraktär är enligt 22 a § förvaltningslagen (1986:223) att beslutet kan överklagas hos allmän förvaltningsdomstol och att det krävs prövningstillstånd för vidare överklagande till kammar- rätten. Samma ordning bör gälla då beslut om information och rättelse enligt personuppgiftslagen överklagas. Detta är också vad som generellt gäller i nyare s.k. registerförfattningar som är an- passade till personuppgiftslagens bestämmelser, se t.ex. 16 § utlän- ningsdataförordningen och 12 § lagen (2001:617) om behandling av personuppgifter inom kriminalvården. Övriga beslut enligt lagen torde inte direkt beröra den enskilde och bör därför inte kunna överklagas (jfr prop. 2000/01:33 s. 109 f.). 6.18Detaljreglering i förordning eller myndighetsföreskrifter Utredningens förslag: I lagen föreskrivs att regeringen – utöver bemyndiganden rörande fingeravtrycksregistret och utlämnande till enskild på medium för automatiserad behandling – får meddela ytterligare föreskrifter som innebär begränsningar i förhållande till lagens bestämmelser såvitt avser ändamål, per- sonuppgiftskategorier, sökbegrepp, direktåtkomst och överföring till tredje land. Vidare föreslås att regeringen får meddela föreskrifter om avskiljande av personuppgifter och säkerhetsåtgärder till skydd för personuppgifter. Slutligen föreslås att regeringen får delegera föreskriftsrätten till annan myndighet i fråga om behandling som utförs av och utlandsmyndigheterna under Migrations- verkets personuppgiftsansvar. Rätten till vidaredelegation gäller dock inte sökbegränsningar. I avsnitt 5.3 har utredningen framhållit att detaljfrågor inte bör regleras i utlänningsdatalagen utan i författningar av lägre rang där närmare integritetsavvägningar vid behov kan göras. I avsnitten 6.7. och 6.9 har också föreslagits att regeringen skall meddela närmare föreskrifter om fingeravtrycksregister samt att personuppgifter får lämnas ut till enskild på medium för automati- serad behandling endast om regeringen har meddelat föreskrifter om det. Därutöver bör särskilda bestämmelser tas in i lagen enligt vilken regeringen, eller i vissa fall den myndighet regeringen bestämmer, bemyndigas att meddela ytterligare föreskrifter i frågor som det kan finnas skäl att närmare reglera. Vilka dessa frågor är utvecklas i det följande. I samband därmed behandlas bestämmelserna i den förordning som enligt utredningens förslag skall utfärdas i anslut- ning till utlänningsdatalagen. 6.18.1Begränsningar i fråga om vissa ändamål och personuppgiftsslag Det kan i många fall finnas anledning att av hänsyn till enskildas integritet begränsa vilka personuppgifter som får behandlas för ett visst ändamål. Utredningen föreslår därför att regeringen i lagen bemyndigas att meddela begränsningar i förhållande till utlännings- datalagen i fråga om vilka uppgifter som får behandlas och i fråga om ändamålen för vilka personuppgifter får behandlas. Såsom utredningen återkommer till i avsnitt 6.18.7 bör detaljerade bestäm- melser härom kunna, efter vidarebemyndigande i förordning, med- delas i myndighetsföreskrifter när det gäller personuppgifter som behandlas av och utlands- myndigheterna under personuppgiftsansvar. Vad gäller vissa personuppgifter eller uppgifter om särskilda personkategorier föreslås dock att några begränsningar framgår av den föreslagna förordningen. I verksamhet enligt utlännings- och medborgarskapslagstiftningen förekommer ofta personuppgifter om andra personer än dem som omfattas av myndigheternas direkta verksamhet, t.ex. uppgifter om släktingar, referenter, uppgiftslämnare m.m. Likaså är det vanligt att uppgifter om en utlänning som omfattas eller har omfattats av verksamheten förekommer i ett ärende som gäller en annan utlän- ning. Personuppgifter som på detta sätt används i ärenden eller angelägenheter som inte gäller de registrerade själva bör behandlas med särskild försiktighet. Utredningen föreslår därför att dessa får behandlas för ändamålen handläggning av ärenden och utlännings- kontroll enligt 5 kap. utlänningslagen samt för mottagnings- och bosättningsändamål endast om det är oundgängligen nödvändigt. Vad som avses med kravet oundgängligen nödvändigt har utvecklats i avsnitt 6.6. I förordningen bör vidare införas en motsvarighet till utlännings- dataförordningens bestämmelse om att personuppgifter som direkt pekar ut den registrerade inte får behandlas i eller rättsfallsregister. Något behov av att i den vägledande rättsliga informationen t.ex. namnge registrerade finns inte. Det bör noteras att den föreslagna begränsningen inte gäller behandling av personuppgifter som sker för att ge vägledande information om förhållanden i andra länder. I det sammanhanget är identiteten på en uppgiftslämnare eller andra registrerade ofta mycket viktig för bedömningen av informationens tillförlitlighet. Enligt utredningens mening finns det vidare inte något tungt vägande behov av att behandla känsliga personuppgifter om ras, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening eller sexualliv för ändamålen utlänningskontroll enligt 5 kap. utlänningslagen eller för mottagnings- och bosättningsverk- samhet som inte utgör ärendehandläggning. Av förordningen bör framgå att dessa uppgifter inte får behandlas för nämnda ändamål. Däremot får uppgifter som avslöjar etniskt ursprung – t.ex. språk, hemort eller tillhörighet till viss minoritetsgrupp – eller rör hälsa behandlas för ändamålen, om utlänningsdatalagens krav på att upp- gifterna skall vara oundgängligen nödvändiga är uppfyllt. För ändamålet informationsåtersökning får enligt den nu gällande utlänningsdataförordningen känsliga personuppgifter enbart be- handlas i löpande text. Den ordningen bör fortfarande gälla och en motsvarande bestämmelse föras in i den nya förordningen. 6.18.2Utlämnande till enskild på medium för automatiserad behandling I avsnitt 6.9 har framhållits att utlämnande av personuppgifter på medium för automatiserad behandling innebär särskilda risker för intrång i registrerades personliga integritet. Utredningen har därför föreslagit att regeringen närmare föreskriver om när det sättet för utlämnande till enskild mottagare skall vara tillåtet. I det följande redovisas de fall som enligt utredningens uppfattning kan ske utan otillbörliga intrång i enskildas integritet och som därför bör tillåtas. Givetvis förutsätter förslagen i det följande att uppgifterna över huvud taget får behandlas genom att lämnas ut samt att sekretess- lagen inte hindrar ett utlämnande. För det första anser utredningen att elektroniskt utlämnande av personuppgifter skall tillåtas om den registrerade samtycker till detta. Oberoende av samtycke bör myndigheterna dessutom ha möjlig- het att t.ex. använda e-post för kommunikation med enskilda sökande eller andra som berörs av verksamhet som omfattas av utlänningsdatalagens tillämpningsområde. I den mån personupp- gifter som hör till ett ärende eller en angelägenhet som gäller den enskilde skall lämnas ut, bör det kunna få ske elektroniskt utan särskilt krav på samtycke från den registrerade vare sig denne är identisk med den enskilde eller inte. Bestämmelsen avses emellertid inte medge att beslut expedieras elektroniskt. Vidare anser utredningen att personuppgifter även skall kunna få lämnas ut elektroniskt till enskild, om detta utlämnandesätt är nödvändigt för den utlämnande myndighetens handläggning av ärenden eller biträde i sådan handläggning eller för Migrations- verkets och faktiska mottagnings- respektive bosättningsverksamhet. Kan uppgifterna lika enkelt och säkert utlämnas utan användning av automatiserat medium, bör nödvän- dighetskravet inte anses uppfyllt. Exempel på när elektroniskt utlämnande till enskild torde vara nödvändigt är utlämnande till AB Svenska Pass av personuppgifter på CD-rom- skiva såsom underlag för bolagets framställning av resedokument och främlingspass. Andra tänkbara exempel på nödvändigt elektro- niskt utlämnande till enskild av större mängder personuppgifter är när anlitar en privat entreprenör för att driva mottagningsförläggning eller annan verksamhet som har samband med mottagningsverksamheten. Slutligen bör ges rätt att elektroniskt lämna ut personuppgifter om registrerade utlänningars namn, födelsedatum och adress till Svenska röda korset. Svenska röda korset bedriver en relativt omfattande verksamhet beträffande efterforskningar och familjeåterföreningar av försvunna krigsflyktingar. Enligt en skrift som regeringen har överlämnat till utredningen, se bilaga 2, är Svenska röda korset i behov av de nämnda personuppgifterna för att kunna genomföra denna verksamhet. Att personuppgifterna utlämnas elektroniskt i stället för manuellt anser utredningen kan godtas ur integritetssynpunkt. Som inledningsvis anmärkts krävs dock också att utlämnandet är möjligt enligt sekretesslagen. I avsnitt 7.5 återkommer utredningen till denna sekretessfråga. 6.18.3Begränsningar i fråga om direktåtkomst