sou · GRB340d1 · 2004-01-01 00:00:00 — Regeringen beslutade att tillkalla en särskild utredare för att kartlägga behandlingen av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Utredaren skall utifrån ett helhetsperspektiv granska regelsystemet och föreslå de författningsändringar och andra åtgärder som behövs för att den rättsliga regleringen skall vara väl anpassad till personuppgiftslagen (1998:204). förordnades lagmannen att fr.o.m. vara särskild utredare. Som experter har fr.o.m. medverkat kam- marrättsrådet, tillika vice ordförande på avdelning, , Kammarrätten i , rådmannen , , kammarrättsassessorn , Utrikes- departementet, verksjuristen , , ordföranden , , och avdelnings- direktören , Datainspektionen. Departements- sekreteraren , , medverkade som expert t.o.m. . , , har medverkat som expert fr.o.m. . Sekreterare åt utredningen har varit hovrättsassessorn . Utredningen har antagit namnet (UD 2001:05). Härmed överlämnar utredningen sitt betänkande Utlänningsdatalag (SOU 2003:40). Utredningens uppdrag är därmed slutfört. Förslag till utlänningsdatalag .................................................. Förslag till lag om ändring i sekretesslagen (1980:100)......... Förslag till lag om ändring i utlänningslagen (1989:529) ...... 4Förslag till lag om ändring i lagen (2001:82) om svenskt Förslag till utlänningsdataförordning..................................... 6Förslag till förordning om ändring i förordningen (1996:1357) om statlig ersättning för hälso- och sjukvård till asylsökande.......................................................... 7Förslag till förordning om ändring i utlänningsförordningen (1989:547)........................................ 8Förslag till förordning om ändring i förordningen (2001:976) om utbildning, förskoleverksamhet och skolbarnomsorg för asylsökande barn m.fl............................ Rättslig reglering av behandling av personuppgifter........ Allmänt om personuppgiftslagen................................. Förutsättningar för behandling av Information och rättelse............................................... Säkerhet vid behandling................................................ Överföring av personuppgifter till tredje land............ Anmälan till Datainspektionen m.m............................ 2.4.11 Ikraftträdande- och övergångsbestämmelser .............. 3Verksamhet enligt utlännings- och Verksamhet enligt utlänningslagen ......................................... Verksamhet enligt medborgarskapslagen ............................... 4Behandling av personuppgifter inom 4.1.1 STAMM ett verksamhetsstödjande datasystem.......... Allmänt om STAMM...................................... STAMM:s externa kopplingar........................ 4.1.4 DHS – elektronisk dokumenthantering.................... 4.1.5 PLUS – System för planering, uppföljning och 4.1.8 Exempel på övrig behandling av ... 5.1Användningen av modern informationsteknik och Behovet av en författningsreglering...................................... Övergripande principer för utredningens överväganden..... Allmänt om uppgiftssamlingar .................................. 5.4.2 Utredningens överväganden i fråga om 6.2.2 Vems behandling av personuppgifter skall regleras av lagen?......................................................... 6.2.3.1 Verksamhet som lagen skall tillämpas på .... 6.2.3.2 Verksamhet som faller utanför Närmare om vilken behandling som regleras............ Förhållandet till personuppgiftslagen ................................... När personuppgifter får behandlas och ändamål.................. Allmänt om när personuppgifter får behandlas Allmänt om ändamål................................................... Allmänt om ändamålsbestämningen ............ De särskilda ändamålen................................. Uppgifter som får behandlas ................................................. Sökbegrepp och sambearbetning........................................... Utlämnande på medium för automatiserad behandling....... 6.10.1 Allmänt om direktåtkomst......................................... 6.10.2 Nuvarande direktåtkomst i verksamhet enligt utlännings- och medborgarskapslagstiftningen ........ 6.10.3 Utredningens överväganden....................................... Information till den registrerade........................................... 6.11.1 Personuppgiftslagens bestämmelser om 6.11.2 Utredningens överväganden....................................... Säkerheten vid behandling och Datainspektionens 6.12.1 Personuppgiftslagens bestämmelser om säkerhet vid behandling och tillsynsmyndighetens 6.12.2 Utredningens överväganden....................................... Överföring av personuppgifter till tredje land ..................... 6.13.1 Personuppgiftslagens bestämmelser om överföring av personuppgifter till tredje land ........... 6.13.2 Utredningens överväganden....................................... Anmälan till Datainspektionen m.m..................................... Bevarande och gallring m.m. ................................................. 6.15.1 Grundläggande regler ................................................. 6.15.2 Nuvarande förhållanden i verksamhet enligt utlännings- och medborgarskapslagstiftningen ........ 6.15.3 Utredningens överväganden ...................................... 6.15.3.1 Bevarande och gallring................................ 6.15.3.2 Avskiljande av personuppgifter från automatiserade uppgiftssamlingar ..... Rättelse, skadestånd och straff.............................................. 6.16.1 Rättelse och skadestånd.............................................. Detaljreglering i förordning eller 6.18.1 Begränsningar i fråga om vissa ändamål och 6.18.2 Utlämnande till enskild på medium för 6.18.3 Begränsningar i fråga om direktåtkomst ................... 6.18.4 Begränsningar i fråga om överföring till tredje 6.18.6 Föreskrifter om säkerhetsåtgärder och 6.18.7 Ytterligare föreskrifter ............................................... Sekretess i verksamhet enligt utlännings- och 7.2.1 Allmänt om sekretess ................................................. 7.2.2 Sekretessbestämmelser som gäller i verksamhet 7.2.3 Begränsningar i sekretessen i förhållande till Personuppgiftsflödet och sekretess ...................................... Direktåtkomst och sekretess...................................... 7.3.2 Annat rutinmässigt utlämnande och sekretess.......... 7.3.3 Utlämnande till utländsk myndighet och 7.4.2 Uppgiftslämnande som inte påkallar Uppgiftsutlämnande till Svenska röda korset ...................... Ikraftträdande- och övergångsbestämmelser........................ Förslaget till utlänningsdatalag.............................................. Förslaget till lag om ändring i sekretesslagen (1980:100).... 9.3Förslaget till lag om ändring i utlänningslagen (1989:529)............................................................................... 9.4Förslaget till lag om ändring i lagen (2001:82) om Bilaga 1 Kommittédirektiv............................................................. Utredningens direktiv innebär ett uppdrag att kartlägga behandlingen av personuppgifter i verksamhet enligt utlännings- och medborgar- skapslagstiftningen. Utifrån ett helhetsperspektiv skall utredningen granska regelsystemet och föreslå de författningsändringar och andra åtgärder som behövs för att den rättsliga regleringen skall vara väl anpassad till personuppgiftslagen (1998:204). Personuppgiftslagen har tillkommit som ett genomförande av och rådets direktiv /46/EG av den 24 okto- ber 1995 om skydd för enskilda personer med avseende på behand- ling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). Utredningens kartläggning har resulterat i slutsatsen att det av flera skäl som redovisas i detta betänkande behövs en särreglering i lag av personuppgiftsbehandlingen inom verksamhetsområdet. En ny lag om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen Utredningens förslag innebär att behandlingen av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen för- fattningsregleras i en lag som är anpassad till personuppgiftslagen och dataskyddsdirektivet. Lagen föreslås få namnet utlännings- datalag. Lagen ersätter den nu gällande förordningen (2001:720) om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen. En av utredningens grundläggande utgångspunkter är att lagens övergripande syfte skall vara att skydda den enskilde mot otillbör- SOU 2003: 40 liga intrång i dennes personliga integritet. avspeglar lagens bestämmelser en rimlig avvägning mellan enskildas anspråk på integritetsskydd och samhällsintresset av att myndigheterna inom verksamhetsområdet på ett rationellt och effektivt sätt skall kunna använda modern informationsteknik vid fullgörandet av sina uppgifter. En annan utgångspunkt är att lagen skall vara teknikoberoende, bl.a. för att lämna myndigheterna utrymme att förändra sin dator- struktur och dra nytta av nya tekniska möjligheter som kan komma att bli tillgängliga. Utredningens förslag innebär bl.a. att lagens bestämmelser inte hämmar en framtida övergång till fullständig elektronisk ärendehantering inom myndigheterna. Slutligen har utredningen, med ett undantag, inte funnit skäl att föreslå särskilda bestämmelser för register eller andra uppgiftssam- lingar. Dessa samlingar omfattas således av utlänningsdatalagens allmänna bestämmelser om behandling av personuppgifter. Undan- taget gäller register över fingeravtryck och fotografier för vilket vissa särbestämmelser föreslås. Den föreslagna lagen skall tillämpas vid behandling av personupp- gifter i verksamhet enligt utlännings- och medborgarskapslag- stiftningen som utförs av , , , , och polismyndigheterna samt utlandsmyndigheterna. Verksamhetsom- rådet preciseras i lagen. För att omfattas av lagens tillämpnings- område skall personuppgiftsbehandlingen företas i verksamhet som gäller 1.utlänningars inresa i eller i en stat som ingår i Europeiska unionen eller i en stat som är ansluten till Europeiska ekonomiska samarbetsområdet, vistelse eller arbete i samt utresa från , 2.mottagande av asylsökande och andra utlänningar, 3.bistånd och bidrag till utlänningar, 5.statlig ersättning för kostnader för utlänningar eller 6.bosättning av utlänningar. Verksamhetspreciseringen är uttömmande. Det innebär bl.a. att be- handling av personuppgifter i myndigheternas internadministrativa verksamhet inte omfattas av lagens tillämpningsområde. Vidare föreslås en uttrycklig bestämmelse som anger att personuppgifts- behandlingen som sker med stöd av polisdatalagen (1998:622), lagen (2000:344) om Schengens informationssystem eller rådets förordning (EG) nr 2725/2000 av om inrät- tandet av Eurodac för jämförelse av fingeravtryck för en effektiv tillämpning av faller utanför lagens tillämp- ningsområde. Den föreslagna lagen är alltså subsidiär i förhållande till de nämnda regelverken. Liksom personuppgiftslagen föreslås lagen gälla all helt eller delvis automatiserad behandling av personuppgifter. Lagen är alltså tillämplig oavsett om behandlingen sker t.ex. i stora automatiserade uppgiftssamlingar i gemensamma nätverk eller register, i e-post eller i ett ordbehandlingsprogram i en enskilds tjänstemans separata persondator. Även behandling omfattas av lagens bestäm- melser, om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sök- ning eller sammanställning enligt särskilda kriterier, dvs. Den föreslagna lagen innehåller bara de särbestämmelser, undantag och preciseringar i förhållande till personuppgiftslagen som utred- ningen bedömt nödvändiga antingen för att arbetsuppgifter inom verksamhetsområdet skall kunna utföras på ett tillfredsställande sätt eller för att garantera den enskilde registrerade ett starkare integritetsskydd än vad som annars följer av personuppgiftslagen. Personuppgiftslagen skall således gälla vid behandling av person- uppgifter i verksamhet enligt utlännings- och medborgarskapslag- stiftningen, om inte annat följer av utlänningsdatalagen. Det sagda innebär bl.a. att personuppgiftslagens bestämmelser om definitioner och om grundläggande krav på behandling av per- sonuppgifter gäller även när personuppgifter behandlas i verksam- het enligt utlännings- och medborgarskapslagstiftningen. Vidare kan nämnas att personuppgiftslagens regler om information som skall lämnas till den registrerade, om säkerheten vid behandling och om tillsynsmyndighetens befogenheter kommer att vara tillämp- SOU 2003: 40 Datainspektionen skall vara tillsynsmyndighet även då person- uppgifter behandlas enligt utlänningsdatalagen. Den myndighet som utför en behandling eller som det åligger att utföra en behandling föreslås vara personuppgiftsansvarig för behandlingen. föreslås dock vara personuppgifts- ansvarigt för den behandling av personuppgifter som företas av i samband med handläggning av ärenden om statlig ersättning för kostnader för flyktingmottagande m.m. och för utlandsmyndigheternas personuppgiftsbehandling enligt utlän- ningsdatalagen. Innebörden av personuppgiftsansvaret framgår av personuppgifts- lagen. När behandling är tillåten Personuppgifter får, enligt utredningens förslag, samlas in och fort- sättningsvis behandlas bara om det är nödvändigt för vissa ändamål. Ändamålen anges konkret i lagen. En personuppgift presumeras vara insamlad för samtliga dessa ändamål. De föreslagna ändamålen är följande. 1.Handläggning av ärenden eller en myndighets biträde i sådana ärenden (ärendehandläggning), 2.kontroll av utlänning i samband med inresa och utresa samt kontroll under vistelsen i (yttre och inre utlännings- kontroll), 3.utförande av arbetsuppgifter som gäller mottagande och bosätt- ning av asylsökande och andra utlänningar (faktisk mottagnings- och bosättningsverksamhet), 4.uppgiftsutlämnande som sker med stöd av lag eller förordning, följer av medlemskap i unionen eller av uppgiftsskyldighet enligt internationell konvention som tillträtt eller av godkänt avtal med främmande stat eller mellanfolklig organisation (uppgiftsutlämnande), 5.återsökning av avgöranden, rättsutredningar, annan rättslig in- formation samt information rörande förhållanden i andra länder som är ägnad att ge vägledning åt handläggning av ärenden (informationsåtersökning), 6.tillsyn, kontroll, uppföljning och planering, eller 7.framställning av statistik. Utredningen föreslår att alla personuppgifter som är nödvändiga för det ändamål för vilket behandlingen utförs skall få behandlas. Känsliga personuppgifter föreslås emellertid få behandlas endast då det är oundgängligen nödvändigt. Personuppgiftslagens regler om behandling av uppgifter om lagöverträdelser m.m. samt behandling av personnummer skall gälla även vid behandling enligt utlännings- datalagen. För automatiserade register över fingeravtryck och fotografier som tas med stöd av utlänningslagen (1989:529) föreslås en mer inskränkt ändamålsbestämmelse. Vidare föreslås att regeringen i en förordning som utfärdas i anslutning till lagen bl.a. föreskriver att registret endast skall få innehålla vissa uppgifter. Av hänsyn till enskildas integritet föreslås vissa begränsningar av myndigheternas möjligheter att söka och sammanställa person- uppgifter. Känsliga personuppgifter som anges i 13 § personuppgiftslagen får enligt förslaget inte användas som sökbegrepp vid behandling för ändamålen ärendehandläggning, yttre och inre utlännings- kontroll, faktisk mottagnings- och bosättningsverksamhet och uppgiftsutlämnande. Vid behandling för ändamålet tillsyn, kon- troll, uppföljning och planering samt för ändamålet framställning av statistik föreslås att av känsliga personuppgifter enligt 13 § per- sonuppgiftslagen skall endast sådana som avslöjar etniskt ursprung eller rör hälsa få användas som sökbegrepp. Några motsvarande inskränkningar föreslås inte i fråga om ända- målet informationsåtersökning, eftersom det finns ett påtagligt och befogat behov hos myndigheterna av att kunna söka efter och använda just sådana uppgiftssammanställningar som referensmate- rial vid bedömningar i enskilda ärenden. SOU 2003: 40 Vidare föreslås att personuppgifter om lagöverträdelser m.m. inte får användas som sökbegrepp i annat fall än då uppgifterna gäller beslut om förvar enligt utlänningslagen. Personuppgifter får såsom sagts behandlas genom att lämnas ut. För att skydda enskildas personliga integritet föreslås i lagen vissa bestämmelser som tar sikte på sättet på vilket uppgifter som behandlas enligt utlänningsdatalagen lämnas ut. Motsvarande bestämmelser saknas helt i personuppgiftslagen. För att motverka de särskilda integritetsrisker som kan vara förknippade med att personuppgifter lämnas ut på medium för automatiserad behandling, t.ex. på en CD-romskiva, innehåller lagen vissa begränsningar för när sådant utlämnande får ske till ett EU-organ eller till utländsk myndighet i ett EU-land eller i ett land som är anslutet till EES. Vidare får sådant utlämnande ske till enskild bara då regeringen har meddelat föreskrifter om det. Sådana föreskrifter bör meddelas i en förordning som utfärdas i anslutning till lagen. Någon regel som begränsar när personuppgifter skall få lämnas ut på medium för automatiserad behandling till en svensk myndighet är inte motiverad. I lagen föreslås bestämmelser som uttömmande reglerar när personuppgifter får lämnas ut genom direktåtkomst. Direktåtkomst utgör en specialform av utlämnande på medium för automatiserad behandling. Särpräglat för direktåtkomst är att mottagaren kan, genom teknisk koppling till utlämnarens datasystem, själv söka efter och ta del av uppgifter i datasystemet. Enligt utredningens förslag skall , , , och polismyndig- heterna samt utlandsmyndigheterna för ändamålet ärendehand- läggning få ha direktåtkomst till personuppgifter som behandlas automatiserat av för samma ändamål. Rikspolis- styrelsens och polismyndigheternas direktåtkomst skall också få användas för ändamålet yttre och inre utlänningskontroll. och utlandsmyndigheterna föreslås vidare få ha direktåtkomst till personuppgifter som behandlas för ändamålet informationsåtersökning. Annan direktåtkomst än den sagda skall alltså inte vara tillåten. För Centrala del innebär detta att nämnden enligt utredningens förslag inte längre kommer att få ha direkt- åtkomst till datasystem STAMM. Regeringen ges rätt att meddela föreskrifter som innebär begräns- ningar i förhållande till vad lagen anger i fråga om direktåtkomst. Lagens bestämmelser om utlämnande på medium för automa- tiserad behandling samt direktåtkomst medför ingen förpliktelse för myndigheterna att lämna ut personuppgifter på dessa sätt. Bl.a. följer av personuppgiftsansvar att verket kan helt avstå från att medge direktåtkomst, t.ex. om verket finner att personuppgifterna inte skyddas genom godtagbara säkerhetsåt- gärder hos den mottagande myndigheten. Överföring av personuppgifter till tredje land På grund av verksamhetsområdets utpräglat internationella karak- tär anser utredningen att det är nödvändigt med vissa utvidgade möjligheter att överföra personuppgifter till ett land som inte är medlem i EU eller anslutet till EES, dvs. till tredje land, än vad som följer av personuppgiftslagen. Från personuppgiftslagen avvikande bestämmelser om sådan överföring föreslås därför. Bevarande av personuppgifter m.m. Personuppgifter i verksamhet enligt utlännings- och medborgar- skapslagstiftningen skall enligt förslaget bevaras eller gallras i enlig- het med arkivlagens (1990:782) bestämmelser. Det behövs ingen bestämmelse om det i utlänningsdatalagen. En särregel föreslås dock för fingeravtrycksregister, som skall gallras enligt nuvarande ordning. Den gallringsbestämmelsen föreslås införas i en förordning som utfärdas i anslutning till utlännings- datalagen. För att skydda enskildas personliga integritet är det emellertid viktigt att inte fler uppgifter än nödvändigt är tillgängliga för ett stort antal personer i myndighetsinterna eller myndighetsöver- skridande datorsystem. Utredningen föreslår därför att personupp- gifter i automatiserade uppgiftssamlingar, som används i myndig- heternas löpande kärnverksamhet, skall avskiljas från dessa uppgiftssamlingar när de inte längre behövs i denna verksamhet. För verksamheten inaktuella men ändå integritetskänsliga person- SOU 2003: 40 uppgifter skall alltså genom avskiljandet skyddas mot onödig åtkomst. Behörighet för åtkomst till avskilda uppgifter skall därför bara tillåtas dem som är i oundgängligt behov av uppgifterna för att kunna utföra sina arbetsuppgifter, t.ex. verksarkivarier. Rättelse, skadestånd och överklagande Personuppgiftslagens bestämmelser om rättelse av personuppgifter och om skadestånd skall gälla vid behandling av personuppgifter enligt utlänningsdatalagen. En hänvisning till personuppgiftslagens regler om rättelse och skadestånd görs. En myndighets beslut om rättelse eller om information enligt 26 § personuppgiftslagen skall kunna överklagas hos allmän förvalt- ningsdomstol. Prövningstillstånd skall krävas vid överklagande till kammarrätten. Andra beslut får inte överklagas. I lagen föreskrivs att regeringen – utöver bemyndiganden rörande fingeravtrycksregistret och utlämnande till enskild på medium för automatiserad behandling – får meddela ytterligare föreskrifter som innebär begränsningar i förhållande till lagens bestämmelser såvitt avser ändamål, personuppgiftskategorier, sökbegrepp, direktåtkomst och överföring till tredje land. Vidare föreslås att regeringen får meddela föreskrifter om avskiljande av personuppgifter och säker- hetsåtgärder till skydd för personuppgifter. Slutligen föreslås att regeringen i vissa fall får delegera före- skriftsrätten till annan myndighet. Ett förslag till förordning som utfärdas i anslutning till lagen lämnas. Förslaget till utlänningsdatalag syftar till att personuppgifter skall kunna utlämnas i motsvarande omfattning som sker. De personuppgifter som behandlas i verksamhet enligt utlännings- och medborgarskapslagstiftningen omfattas emellertid i stor utsträck- ning av sekretess. Främst är det utlänningssekretess enligt 7 kap. 14 § sekretesslagen (1980:100) som är tillämplig på personupp- gifterna. I utredningens kartläggning har framkommit att sekretessbelagda uppgifter bl.a. utbyts i stor omfattning och rutinmässigt mellan myndigheter som är aktiva inom verksamhetsområdet. För en väsentlig del av uppgiftsutbytet åberopas den s.k. generalklausulen i 14 kap. 3 § sekretesslagen till stöd för utlämnandet. Enligt utred- ningens uppfattning är denna ordning inte helt tillfredsställande. Utredningen har därför funnit skäl att föreslå vissa sekretess- brytande bestämmelser, nämligen följande. I utlänningslagen införs en sekretessbrytande uppgiftsskyldighet mellan , , och polismyndigheterna samt utlandsmyndigheterna i fråga om uppgifter som rör utlännings eller annan enskilds personliga för- hållanden, om uppgifterna är nödvändiga för den mottagande myndighetens verksamhet enligt utlänningslagen. En motsvarande uppgiftsskyldighet mellan , och utlandsmyndigheterna införs i lagen (2001:82) om svenskt medborgarskap. Vidare föreslås författningsreglerad skyldighet för att till landsting och kommuner lämna vissa angivna uppgifter om utlänningar. Därutöver har kartläggningen av personuppgiftsbehandlingen påvisat behov av ytterligare författningsförslag för att lösa några sekretessproblem. Således föreslås att bestämmelsen i 7 kap. 14 § fjärde stycket sekretesslagen ändras genom att den anpassas till den nya EG- förordning som ersatt det avtal som den nuvarande lydelsen av bestämmelsen gäller, den s.k. . Vidare föreslås att det i samma paragraf införs en bestämmelse om att sekretess inte hindrar att särskilt angivna uppgifter om utlänning i vissa fall lämnas till Svenska röda korset.