sou · GRB340d2 · 2004-01-01 00:00:00 — Även om uppgiften ursprungligen, såsom i praktiken ofta är fallet, inhämtats i samband med handläggningen av ett ärende, får uppgiften alltså senare behandlas för andra i lagen angivna ändamål, givetvis under förutsättning att behandlingen är nödvändig för dessa ändamål. Förslaget att i lagen ange bestämda ändamål begränsar myndig- heternas behandlingsutrymme vilket, som sagts, är moti- verat av hänsyn till enskildas personliga integritet. Som sagts gäller dock 9 § första stycket d) och andra stycket personuppgifts- lagen även vid behandling enligt utlänningsdatalagen. Personuppgifter som redan finns i verksamheten får alltså behandlas för andra ändamål än de som uttryckligen anges i utlänningsdatalagen, om de nya ändamålen är förenliga med de tidigare ändamålen. Det innebär att ett nytt ändamål måste vara förenligt med i vart fall ett av lagens angivna ändamål eller, såvida ändamålen vid insamlingen av person- uppgifterna har begränsats till endast några av ändamålen, med i vart fall ett av dessa särskilt angivna insamlingsändamål. Enligt utredningens mening framgår detta av personuppgiftslagen och dataskyddsdirektivet. Det behöver därför inte särskilt anges i utlänningsdatalagen. Vid bedömningen av vad som skall anses förenligt eller ofören- ligt med insamlingsändamålen får ledning hämtas från den praxis m.m. som kan utvecklas i anslutning till oförenlighetsprövningen enligt 9 § första stycket d) personuppgiftslagen. Insamlade personuppgifter får också behandlas för historiska, statistiska eller vetenskapliga ändamål. Behandling för forsknings- ändamål av tidigare insamlade personuppgifter får således ske enligt utlänningsdatalagen utan att det behöver anges som ett särskilt ändamål. Eftersom de aktuella myndigheternas arkivering och bevarande av allmänna handlingar är undantagen från lagens tillämp- ningsområde enligt 8 § personuppgiftslagen, torde behandling för historiska ändamål endast undantagsvis kunna bli aktuell inom utlänningsdatalagens tillämpningsområde och enbart kunna avse handlingar som inte är allmänna. Givetvis skall behandling för ett nytt ändamål eller för historiska, statistiska eller vetenskapliga ändamål vara nödvändig. Av dataskyddsdirektivet följer ett krav på att ändamålen skall vara särskilda. Det ligger emellertid i sakens natur att ändamålsbestäm- melser måste formuleras tämligen generellt när det som i detta fall gäller en särlag som reglerar flera myndigheters behandling av personuppgifter i en så omfattande och mångskiftande verksamhet som här är i fråga. Utredningen bedömer dock att de föreslagna ändamålen uppfyller direktivets krav på att vara särskilda, genom att de ger tillämparen tillräcklig ledning för bedömningen av vilka personuppgifter som är adekvata och relevanta i förhållande till ändamålen med behandlingen. Nedan följer en närmare beskrivning av de ändamål för vilka personuppgifter skall få behandlas enligt utredningens förslag. I praktiken flyter ändamålen ibland in i varandra i det att en och samma behandling av personuppgifter kan ske för mer än ett ända- mål. Handläggning av ärenden eller en myndighets biträde i sådana ärenden Det är självklart att myndigheterna skall få inhämta och behandla uppgifter som är nödvändiga för att de skall kunna fullgöra sina uppgifter att handlägga ärenden enligt de författningar som omfat- tas av lagens verksamhetsområde såsom detta närmare preciseras i avsnitt 6.2.3.1 och i författningskommentaren, avsnitt 9. Det bör noteras att en i ett ärende lämnad uppgift kan få behand- las såsom nödvändig för handläggningen av ett ärende även om uppgiften saknar all relevans för utgången av ärendet. En myndig- het kan t.ex. inte underlåta att ta emot och registrera en via e-post inkommen handling som hänför sig till ett eller flera ärenden bara därför att myndigheten anser att uppgifterna i handlingen sakligt sett inte behövs för ärendets handläggning. Formella handlägg- ningsregler i andra författningar kan således göra en behandling av sakligt sett irrelevanta personuppgifter nödvändig. Exempelvis är myndigheterna skyldiga att ta emot och registrera inkomna hand- lingar. Likaså finns regler om anteckningsskyldighet, parts rätt att ta del av det som har tillförts ärendet samt kommunikationsplikt i förvaltningslagen (1986:223) som i sig alltså kan medföra att personuppgifter måste behandlas. Ändamålet handläggning av ärenden bör tolkas i en tämligen vidsträckt bemärkelse. Förutom att ge stöd åt insamling och senare behandling av personuppgifter som är nödvändiga i ett ärende, medger ändamålet att de lagrade uppgifterna behandlas i ett senare ärende som rör samma person eller en annan person men där den registrerade förekommer såsom t.ex. anhörig eller referensperson. Det föreslagna ändamålet avser dock endast behandling av personuppgifter som behövs för den egna myndighetens verksam- het. Utlämnande av personuppgifter från t.ex. till utlandsmyndigheterna för att de senare skall få underlag för sin ärendehantering, omfattas således inte av detta ändamål. Ett utlämnande av personuppgifter som sker för att få ytterligare information som behövs i ett eget ärende, t.ex. i samband med en begäran om yttrande, innefattas däremot i ändamålet handläggning av ärenden. Utöver egen handläggning bör lagen också ge stöd åt behandling av personuppgifter i den medverkan med utredning i en utlännings- myndighets handläggning av utlännings- och medborgarskapsären- den som utlandsmyndigheter utför och som närmare beskrivits i betänkandet Utlandsmyndigheternas medverkan i utlänningsärenden m.m. (SOU 2001:110). Detsamma gäller polisens behandling av personuppgifter i de fall polismyndighet bistår med att genomföra beslut om förvar. Merparten av personuppgifterna i de i avsnitt 4 beskrivna upp- giftssamlingarna behandlas för ändamålet att handlägga ärenden i verksamhet enligt utlännings- och medborgarskapslagstiftningen. System såsom STAMM, dokumenthanteringssystemet DHS, ärende- hanteringssystemen och , och har som sina huvudsakliga ändamål att samla och tillhandahålla information som behövs för handläggning av ärenden. Kontroll av utlänning i samband med inresa och utresa samt kontroll under vistelsen i Härmed avses den utlänningskontroll som företas av polisen samt i enlighet med 5 kap. utlänningslagen och 5 kap. utlänningsförordningen. I kontrollverksamheten behandlas person- uppgifter i en icke ringa utsträckning. STAMM- bas används t.ex. för kontrolländamål av både och polisen. Som nämnts i avsnitt 6.2.2, torde polisens behandling av personuppgifter för detta ändamål i stor utsträckning omfattas av deltar emellertid i såväl den yttre som den inre utlänningskontrollen. Det behövs därför ett ändamål som omfattar båda kontrollformerna. Utförande av arbetsuppgifter som gäller mottagande och bosättning av asylsökande och andra utlänningar Vid regionkontor och mottagningsförläggningar bedrivs en omfattande s.k. faktisk verksamhet kring ombesörjandet av boende och sysselsättning för asylsökande och andra utlän- ningar. Med asylsökande och andra utlänningar avses utlänningar som omfattas av lagen om mottagande av asylsökande m.fl. Även verkets faktiska verksamhet med att överföra och ta emot kvotflyk- tingar omfattas av detta ändamål. kan vidare med stöd av detta ändamål behandla personuppgifter för att hjälpa en utlänning med bosättning efter erhållet uppehållstillstånd. Ändamålet gör det således möjligt att behandla personuppgifter i den verksamhet som nämnts i avsnitt 6.3.1 och som avser mot- tagande av asylsökande och andra utlänningar samt bosättning av utlänningar. Det i ingående delsystemet Mottagning avser behandling av personuppgifter för ändamål som anges i denna punkt (se avsnitt 4.1.1). Daganteckningar beträffande inskrivna asylsökande, som görs av personal på mottagningsförläggningar, är exempel på behandling av personuppgifter för detta ändamål. Kvotsystemet är ett annat delsystem där information som behandlas för detta ändamål registreras och lagras. Vissa delsystem, t.ex. Individ och Kort, torde användas för överlappande syften, dvs. såväl för ändamål som avses i detta avsnitt som för handlägg- ningsändamål. Uppgiftsutlämnande som sker med stöd av lag eller förordning, följer av medlemskap i unionen eller av uppgiftsskyldig- het enligt internationell konvention som tillträtt eller av godkänt avtal med främmande stat eller mellanfolklig organisation (Uppgiftsutlämnande) Personuppgifter som behandlas i verksamhet enligt utlännings- och medborgarskapslagstiftningen lämnas i olika sammanhang ut till en myndighet eller en enskild för syften som inte gäller den utlämnande myndighetens egen verksamhet utan som sker för mottagarens räkning. Vid ändamålet handläggning av ärenden har det fallet berörts att lämnar ut personuppgifter till utlands- myndigheter, uppgifter som de mottagande myndigheterna behö- ver som underlag för sin ärendehandläggning. Många andra skäl till att uppgifter lämnas ut för mottagarens räkning finns givetvis. Utlämnande av personuppgifter i offentliga, allmänna handlingar i enlighet med tryckfrihetsförordningen kan ske utan att det behö- ver anges som ett särskilt ändamål för vilket behandlingen är tillå- ten. Detta följer av 8 § personuppgiftslagen. Det finns vidare en rad olika författningar som föreskriver att myndigheter skall lämna ut uppgifter till andra myndigheter. Som exempel på sådana specifika bestämmelser om uppgiftsskyldighet kan nämnas de uppgifter som eller Integrations- verket skall lämna till enligt förordningen (1990:1361) om lån till hemutrustning för flyktingar och vissa andra utlänningar och enligt studiestödsförordningen (2000:655) samt vidare yttranden som skall avge enligt 9 § förordningen (1963:194) om samarbete med , , och angående verkställighet av straff m.m. och enligt 2 § lagen (1971:796) om internationella rättsförhållanden rörande adoptioner. Av 2 § personuppgiftslagen, som är tillämplig i verksamhet enligt utlännings- och medborgarskapslagstiftningen, följer att personuppgiftslagen och utlänningsdatalagen inte hindrar utlämnande av personuppgifter enligt sådan författningsreglerad uppgiftsskyldighet som här avses. Vidare skall enligt 15 kap. 5 § sekretesslagen en myndighet på begäran av annan myndighet lämna ut uppgift som den förfogar över i den mån hinder inte möter på grund av bestämmelse om sekretess eller av hänsyn till arbetets behöriga gång. Bestämmelsen kan ses som en precisering av den allmänna samverkansskyldighet myndigheter emellan som gäller enligt 6 § förvaltningslagen (1986:223). Bestämmelsen i 15 kap. 5 § sekretesslagen nämns i en kommentar till personuppgiftslagen som exempel på en sådan bestämmelse som gäller före personuppgiftslagen till följd av 2 § personuppgiftslagen (se – , Personuppgiftslagen En kommentar, andra uppl. 2001, s. 45). Som framgått tidigare är det ingen förutsättning att ett särskilt ändamål som omfattar utlämnandet tas in i utlänningsdatalagen för att ett utlämnande med stöd av en bestämmelse som föreskriver en skyldighet att lämna ut uppgifter till andra myndigheter eller enskilda skall kunna ske. Det finns emellertid även regler som tillåter eller medger att uppgifter lämnas ut. Ett exempel är den s.k. generalklausulen i 14 kap. 3 § sekretesslagen (1980:100) enligt vilken sekretessbelagd uppgift får lämnas till myndighet, om det är uppenbart att intresset av att uppgiften lämnas har företräde framför det intresse som sekretessen skall skydda. I sekretesslagen finns även flera bestäm- melser som anger att uppgifter utan hinder av sekretess får lämnas till enskild. Även sådana bestämmelser torde gälla före personupp- giftslagen på motsvarande sätt som sagts ovan när det gäller för- fattningsreglerade uppgiftsskyldigheter. Alldeles klart att det för- håller sig på detta sätt är det dock inte enligt utredningen. Enligt utredningens bedömning är det vidare tveksamt om uppgiftsutläm- nande som myndigheter företar på eget initiativ – med stöd av 1 kap. 5 §, 14 kap. 1 § första meningen, 14 kap. 2 eller 3 § sekretess- lagen – sker med stöd av reglering som avviker från person- uppgiftslagen på det sätt som avses i 2 § personuppgiftslagen. Gemensamt för allt det uppgiftslämnande som behandlats i det föregående är att det sker med stöd av författningar som påbjuder eller tillåter utlämnande. När bestämmelser om sådant uppgifts- utlämnande har införts, får det förutsättas att det har gjorts en avvägning mellan intresset av att uppgiften lämnas ut och intresset av att skydda enskilda personers integritet, vid vilken man funnit att uppgiften skall eller får lämnas ut. Det saknas därför anledning att i en integritetsskyddslagstiftning, som den nu föreslagna, för- hindra att personuppgifter som finns i verksamheten enligt utlännings- och medborgarskapslagstiftningen lämnas ut i dessa fall. För att undanröja varje tvivel huruvida lagar eller förordningar som tillåter uppgiftsutlämnande utgör sådana avvikande bestäm- melser som avses i 2 § personuppgiftslagen, bör det i utlännings- datalagen finnas en ändamålsbestämmelse som medger sådant utlämnande. En sådan bestämmelse föreslås därför. Vidare anser utredningen att det behövs en ändamålsbestäm- melse som uttryckligen tillåter att personuppgifter behandlas genom att lämnas ut, om det sker på grund av för bindande internationella överenskommelser. Härmed avses utbyte inom EU mellan myndigheter m.fl. – t.ex. inom ramen för samarbetet i asyl- och invandringsfrågor – och som inte reglerats i en direkt tillämplig EG-förordning likväl som övrigt uppgiftsutbyte enligt förpliktelser i konventioner eller av godkända avtal med främmande stat eller mellanfolkliga organisationer. En annan sak är att sekre- tesslagen i vissa fall kan hindra att personuppgifter lämnas till utländsk myndighet. Återsökning av avgöranden, rättsutredningar, annan rättslig informa- tion samt information rörande förhållanden i andra länder som är ägnad at ge vägledning åt handläggning av ärenden (Informations- återsökning) Inom främst och verksam- het är informationssamlingar om praxis, förhållanden i länder varifrån många asylsökande härrör samt annan allmängiltig information mycket viktiga som stöd för bedömningar vid handläggning av enskilda ärenden. I avsnitt 4.1.6, har informa- tionssystem LIFOS beskrivits närmare. Det är berättigat att utlänningsdatalagen innehåller ett ändamål som ger stöd för denna insamling och fortsatta behandling av personuppgifter. I enlighet med kravet att behandlingen skall vara nödvändig följer emellertid att personuppgifter i åtskilliga fall måste avidentifieras eller i vart fall att uppgifter som direkt utpekar en individ utelämnas, t.ex. i rättsfallssamlingar där identiteten på personen i fråga oftast är oväsentlig för informationsvärdet. Tillsyn, kontroll, uppföljning och planering Personuppgifter i en myndighets verksamhet bör få behandlas för att myndigheterna skall kunna fortlöpande eller vid särskilda tillfällen granska, utvärdera och utveckla sin verksamhet. Med det föreslagna ändamålet avses bl.a. en myndighets granskning genom tillsyn och kontroll i efterhand av handläggningen av enskilda ärenden likväl som tillsyn och kontroll av verksamheten på central, regional eller lokal nivå. Vidare avses uppföljning och planering av den egna myndighetens verksamhet på olika nivåer. Av vad som angetts i avsnitt 6.2.1 om tillämpningsområdet framgår att den tillsyn som annan myndighet kan utöva, t.ex. Justitiekanslern, inte avses med detta ändamål. system PLUS och system MOTIV, AKTIV och Bo-Data är system som används såväl för ändamål som här avses som för framställning av statistik (se om dessa system avsnitt 4.1.5 och 4.3). Bland såväl som uppgifter ingår att föra statistik över förhållanden som ingår i myndigheter- nas verksamhetsområden. Som sagts är behandling av personuppgifter för statistiska ändamål i och för sig inte oförenlig med övriga ändamål för vilka uppgifter samlas in och behandlas. Det är med andra ord tillåtet att behandla personuppgifter som redan finns i verksamheten för att framställa statistik även om det inte direkt anges som ett ändamål i utlänningsdatalagen. Det bör dock av lagen uttryckligen framgå att uppgifter också får samlas in för att framställa statistik. Integra- tionsverket inhämtar t.ex. personuppgifter från myndigheter som och för behand- ling i sitt system AKTIV ( se avsnitt 4.3). Ett särskilt ändamål för statistikframställning föreslås därför. 6.6Uppgifter som får behandlas Utredningens förslag: Alla personuppgifter som är nödvändiga för det ändamål för vilket behandlingen utförs får behandlas. Känsliga personuppgifter får emellertid behandlas endast då det är oundgängligen nödvändigt. Personuppgiftslagens regler om behandling av uppgifter om lagöverträdelser m.m. samt behand- ling av personnummer skall gälla även vid behandling enligt ut- länningsdatalagen. Som tidigare framgått behandlas en mycket stor mängd person- uppgifter av olika slag inom lagförslagets verksamhetsområde. Utlänningsdataförordningen, som enbart reglerar automatiserad behandling av personuppgifter i register, innehåller en uppräkning av vilka personuppgifter som får behandlas i myndigheternas verk- samhetsregister. Även om det från integritetssynpunkt är en fördel att på detta sätt specificera vilka personuppgifter som får behandlas i verksamheten, bedömer utredningen att det finns stora tillämp- ningssvårigheter med en sådan författningsteknisk lösning. lagreglerade behandlingen sker i en mycket omfattande och mång- skiftande verksamhet där personuppgifter behandlas inte bara i register utan också i ärendehanteringssystem, ordbehandlingsprogram m.m. En detaljreglering av det slag som finns i utlänningsdata- förordningen riskerar att försvåra ett rationellt utnyttjande av in- formationstekniken i verksamheten, inte minst med hänsyn till behovet av flexibilitet vid förändringar i verksamheten. Med tanke på att listan ofta torde behöva revideras ter det sig olämpligt att i lagen ta in en lista över tillåtna personuppgifter. Frånsett vissa särbestämmelser i fråga om känsliga person- uppgifter och uppgifter om lagöverträdelser m.m., föreslår utred- ningen således inga bestämmelser i lagen som konkret anger vilka personuppgifter som får eller inte får behandlas i verksamhet enligt utlännings- och medborgarskapslagstiftningen. I stället föreslås att ändamålsbestämningen skall styra över vilka personuppgifter som får samlas in och behandlas. Alla personuppgifter som är nöd- vändiga för det ändamål för vilket behandlingen utförs får därmed behandlas. Personuppgiftslagens krav på att personuppgifterna skall vara adekvata och relevanta i förhållande till ändamålen med behandlingen samt att inte fler personuppgifter behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen medför emellertid en såväl kvalitativ som kvantitativ begränsning i fråga om vilka personuppgifter som får behandlas. Den föreslagna ordningen är, anser utredningen, godtagbar från integritetssynpunkt, inte minst mot bakgrund av att de integritetskänsliga uppgifterna kringgärdas av en sträng sekretess som är ägnad att förhindra obehörig insyn och spridning. Dessutom kommer utredningen att i det följande föreslå att begränsningar skall kunna föreskrivas i för- fattningar på lägre nivå, dvs. i förordning eller i myndighetsföre- skrifter (se avsnitt 6.18). Enligt personuppgiftslagen gäller särskilda regler för vissa kategorier av uppgifter nämligen känsliga personuppgifter (13 §), personuppgifter om lagöverträdelser m.m. (21 §) och uppgifter om personnummer (22 §). Vad som föreslås gälla för dessa uppgifts- kategorier behandlas i det följande. Behandling av känsliga personuppgifter m.m. Enligt 13 § personuppgiftslagen gäller ett principiellt förbud mot behandling av känsliga personuppgifter. Med känsliga personupp- gifter avses uppgifter som avslöjar ras eller etniskt ursprung, poli- tiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa eller sexualliv. Från förbudet finns några undantag ( 14–20 §§) som gör att behandling får företas trots förbudet. Undantag gäller om den registrerade har lämnat sitt uttryckliga samtycke till behandlingen eller på ett tydligt sätt offentliggjort uppgifterna. Vidare får behand- ling företas utan samtycke om den är nödvändig för att den personuppgiftsansvarige skall kunna fullgöra sina skyldigheter eller utöva sina rättigheter inom arbetsrätten, för att den registrerades eller någon annans vitala intressen skall kunna skyddas och den registrerade inte kan lämna sitt samtycke samt för att rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras. Under särskilda förutsättningar får vissa ideella organisationer behandla känsliga personuppgifter. Viss nödvändig behandling av känsliga personuppgifter får även ske för hälso- och sjukvårdsändamål samt för forsknings- och statistikändamål. Regeringen, eller den myndighet som regeringen bestämmer, får meddela föreskrifter om ytterligare undantag från förbudet att behandla känsliga personuppgifter, om det behövs med hänsyn till ett viktigt allmänt intresse. Möjligheten att göra undantag från förbudet med hänsyn till ett viktigt allmänt intresse överensstäm- mer med vad som föreskrivs i artikel 8.4 i dataskyddsdirektivet. I 8 § personuppgiftsförordningen har regeringen föreskrivit att käns- liga personuppgifter får, utöver de undantag som anges i per- sonuppgiftslagen, behandlas av en myndighet i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för hand- läggningen av det. Enligt utlänningsdataförordningen får i verksamhet enligt utlän- nings- och medborgarskapslagstiftningen känsliga personuppgifter behandlas i verksamhetsregister, om uppgifterna är oundgängligen nödvändiga för ändamålen att handlägga ärenden eller att fullgöra underrättelseskyldighet som följer av lag eller förordning. I landinfor- mationsregister får känsliga personuppgifter behandlas i löpande text, om uppgifterna är oundgängligen nödvändiga för att fullgöra arbetsuppgifter i verksamhet enligt utlännings- och medborgar- skapslagstiftningen. Verksamhet enligt utlännings- och medborgarskapslagstiftningen är till sin karaktär sådan att känsliga personuppgifter förekommer i stor utsträckning och i sammanhang där uppgifterna är adekvata och relevanta, eftersom de har betydelse för verksamheten. I utred- ningens kartläggning av den nuvarande behandlingen av person- uppgifter inom verksamhetsområdet har det framgått att känsliga personuppgifter behandlas för samtliga de ändamål som föreslagits i avsnitt 6.5.3. Vid handläggning av asylärenden – vilken omfattar en stor del av den behandling som förekommer i verksamhetsområdet – är av naturliga skäl alla kategorier av känsliga personuppgifter som anges i 13 § personuppgiftslagen av central betydelse för bedömningarna. Även vid handläggning av andra ärendetyper och vid hantering av personuppgifter för övriga ändamål finns det ofta berättigad anled- ning att behandla känsliga personuppgifter, i synnerhet uppgifter som avslöjar en utlännings etniska ursprung eller som rör hans eller hennes hälsotillstånd. Det bör därför tillåtas att känsliga person- uppgifter inom verksamhetsområdet behandlas med modern och effektiv teknik. Det kan noteras att det ofta ligger i den registre- rades intresse att sådana uppgifter kommer fram och beaktas i angelägenheter som rör honom eller henne. För den behandling av känsliga personuppgifter som behövs, finns emellertid inga andra tillämpliga undantag från dataskydds- direktivets och personuppgiftslagens förbud än undantaget i per- sonuppgiftslagen om den registrerades samtycke och behandling för statistikändamål samt undantaget i personuppgiftsförordningen om behandling i löpande text vid handläggning av ärenden. Dessa undantag är i enlighet med det sagda inte tillräckliga. Utredningen föreslår därför att en bestämmelse införs om att känsliga personuppgifter får behandlas enligt utlänningsdatalagen.