sou · GRB340d2 · 2004-01-01 00:00:00 — Utredningens förslag: Lagen ges namnet utlänningsdatalag. Utredningen har övervägt att föreslå namnet lag om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskaps- lagstiftningen eftersom det namnet ger en bra beskrivning av vad lagen handlar om. Den föreslagna lagen kommer emellertid att tillämpas av ett stort antal tjänstemän vid flera myndig- heter. Ett kortare namn är därför lämpligare. De personuppgifter som kommer att behandlas enligt lagen rör i de allra flesta fall utländska medborgare eller statslösa, dvs. Utlännings- datalag är således, enligt utredningen, ett relevant och i övrigt lämpligt namn på den föreslagna lagen. Utredningens förslag: Lagen skall tillämpas vid behandling av personuppgifter i verksamhet enligt utlännings- och medborgar- skapslagstiftningen som bedrivs av i lagen angivna myndigheter. Verksamhetsområdet preciseras i lagen. Behandling som utförs av annan myndighet än någon av de i lagen nämnda faller utanför tillämpningsområdet. Detsamma gäller behandling som utförs av enskilda. Av verksamhetspreciseringen framgår bl.a. att behandling av personuppgifter i myndigheternas internadministrativa verk- samhet samt i respektive hantering av förenings- och projektbidrag inte omfattas av lagens tillämpningsområde. Utredningens direktiv innehåller ingen närmare precisering av vad som skall avses med verksamhet enligt utlännings- och medborgar- skapslagstiftningen. Dock sägs att det är , , , och polis- myndigheterna samt utlandsmyndigheterna som bedriver sådan verksamhet. Det är också dessa myndigheters behandling av personuppgifter som omfattas av utlänningsdataförordningen. Direktiven innehåller emellertid inte någon uttalad begränsning av utredningsuppdraget till att endast omfatta den behandling av personuppgifter som nämnda myndigheter utför. Som belysts i avsnitt 3 är ytterligare ett antal statliga myndig- heter inbegripna i verksamhet som utförs med stöd av utlännings- lagen eller medborgarskapslagen. Dessa myndigheter är, förutom regeringen (), och länsarbets- nämnder, som beviljar vissa arbetstillstånd, allmänna domstolar, som prövar frågor om utvisning på grund av brott efter talan av allmän åklagare, allmänna förvaltningsdomstolar, som prövar över- klagade beslut om tagande i förvar m.m., och , som biträder polisen i utlänningskontrollen, samt läns- styrelser, som prövar vissa anmälningar om svenskt medborgarskap och som har att anmäla till om de finner anledning anta att ett beslut om utvisning enligt lagen (1991:572) om särskild utlänningskontroll bör meddelas. Endast och kan emellertid sägas ha verksamhet enligt utlänningslagen och medborgarskaps- lagen som central myndighetsuppgift. Vad gäller verksamhets- området – verksamhet enligt utlännings- och medborgarskapslag- stiftningen – innehåller utlänningsdataförordningen en definition som innefattar också viss verksamhet utöver den som bedrivs enligt utlänningslagen eller medborgarskapslagen eller till lagarna anslu- tande förordningar. Denna verksamhet har beskrivits översiktligt i avsnitt 3.3. Även här är ytterligare myndigheter verksamma, nämligen kommunala myndigheter, som tar emot och ger asylsökan- de bistånd, , som handlägger ärenden om hemutrustningslån till flyktingar m.fl., samt landstingen, som enligt en överenskommelse med staten tillhandahåller utlänningar vid mottagningsförläggningar hälso- och sjukvård. Vidare kan enskilda på uppdrag driva mottagningsförlägg- ningar för asylsökande. Slutligen kan påpekas att inte bedriver någon verksamhet enligt utlänningslagen eller medborgarskapslagen. Det sagda innebär att det finns anledning att närmare diskutera hur utlänningsdatalagens tillämpningsområde skall avgränsas i fråga om dels vems behandling av personuppgifter som bör regleras i lagen, dels vilken verksamhet lagen skall tillämpas på. Frågorna hör förvisso ihop men behandlas i det följande var för sig. Först bör emellertid framhållas att utredningens utgångspunkt är att tillämpningsområdet skall begränsas till det som påkallar sär- reglering i förhållande till personuppgiftslagens regler. När det gäller en allmän motivering till varför en särreglering över huvud taget bör införas för verksamhetsområdet hänvisas till avsnitt 5.2. En ytterligare utgångspunkt – som också framhålls i utred- ningens direktiv – är att lagen inte leder till överlappande lagstift- ning i den bemärkelsen att mer än en författning är tillämplig beträffande samma behandling av personuppgifter. En dylik dubbel- reglering medför tillämpningssvårigheter och ökar risken för ett ologiskt och motsägelsefullt regelverk, vilket givetvis måste undvikas. 6.2.2Vems behandling av personuppgifter skall regleras av lagen? Utredningen har övervägt om det skulle vara ändamålsenligt att i lagen inte uttryckligen ange vilket eller vilka subjekt som lagen är tillämplig på utan att låta tillämpningsområdet avgränsas med enbart en definition av verksamhetsområdet. En fördel härmed är att lagen inte behöver ändras vid organisatoriska förändringar eller överföringar av arbetsuppgifter från en myndighet till en annan. Modellen är dock förknippad med betydande nackdelar, främst i det att en mängd undantagsbestämmelser skulle krävas för att undvika överlappande lagstiftning, något som kommer att framgå i det följande. En sådan lagstiftningsteknik är opedagogisk och otymp- lig. Modellen skulle även avvika från flertalet nu gällande särför- fattningar för behandling av personuppgifter i offentlig förvaltning, i vilka det som regel anges eller annars klart framgår vilket eller vilka organ som har att tillämpa författningen, se t.ex. 1 § lagen (1998:938) om behandling av personuppgifter om totalförsvars- pliktiga och 1 § lagen (2001:184) om behandling av uppgifter i kronofogdemyndigheternas verksamhet. således för att det i lagen uttryckligen anges vems behandling av personuppgifter lagen reglerar. Som sagts reglerar utlänningsdataförordningen behandling av personuppgifter som företas av , , , och polismyndig- heterna samt utlandsmyndigheterna. De fortsatta övervägandena tar sitt avstamp i utlänningsdataförordningen med ett resonemang om huruvida det finns anledning att inskränka eller utvidga kretsen vars behandling av personuppgifter lagen skall omfatta. Vad gäller den första frågan, om man bör inskränka tillämp- ningsområdet i förhållande till utlänningdataförordningen, kan till en början konstateras att behandling av person- uppgifter självfallet bör regleras av den nya lagen. Verket behandlar i sin verksamhet en synnerligen stor mängd i hög grad integritets- känsliga personuppgifter om främst utlänningar. Särreglering är påkallad i alla de avseenden som i avsnitt 5.2 angetts som skäl för en sådan reglering. Även utlandsmyndigheternas behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskaps- lagstiftningen är sammantaget omfattande och integritetskänslig och påkallar därför en särreglering. Av samma skäl bör behandling av person- uppgifter inom verksamhetsområdet särregleras. Det pågående reformarbetet om bl.a. ändrad instansordning innebär visserligen att verksamhet troligen kommer att upphöra. När detta kan komma att ske är dock oklart. Under alla förhållanden kommer utlänningsdatalagen att kunna träda i kraft före en eventuell organisationsförändring. behandling av personuppgifter bör därför regleras i lagen. Det kan här inflikas att det i den tidigare nämnda lagråds- remissen Ny instans- och processordning i utlänningsärenden föreslogs att verksamhet skall tas över av vissa länsrätter och en kammarrätt. Dessa domstolar omfattas av förordningen (2001:640) om registerföring m.m. vid länsrätt med hjälp av automatiserad behandling respektive förordningen (2001:641) om registerföring m.m. vid Regeringsrätten och kammar- rätterna med hjälp av automatiserad behandling. Båda förord- ningarna gäller vid automatiserad behandling av personuppgifter i domstolarnas rättskipning eller rättsvårdande verksamhet. Domstolarna omfattas vidare av de lagförslag om behandling av personuppgifter vid bl.a. allmänna förvaltningsdomstolar som lämnat i betänkandet Informations- hantering och behandling av uppgifter vid domstolar – En rättslig översyn (SOU 2001:100). När det gäller har det i kartläggningsarbetet (avsnitt 4) framkommit att verket behandlar en stor mängd mer eller mindre integritetskänsliga personuppgifter om utlänningar i sin handläggning av ärenden om ersättning till kommuner och landsting för flyktingmottagande samt i sitt arbete med att träffa överenskommelser med kommuner om mottagande av skydds- behövande m.m. De allmänna argumenten för särreglering i för- hållande till personuppgiftslagen (se avsnitt 5.2) motiverar därför att skall omfattas av lagen. Vad därefter gäller och polismyndigheternas behandling av personuppgifter i verksamhet enligt utlänningslagen är situationen mer tveksam. Detta hänger samman med att polisens behandling av personuppgifter i stor utsträckning regleras av polis- datalagen (1998:622). Polisdatalagen – som utgår från personuppgiftslagen och endast innehåller de särbestämmelser som bedömts som nödvändiga – tillämpas vid behandling av personuppgifter i polisens verksamhet för att 1) förebygga brott och andra störningar av den allmänna ordningen och säkerheten, 2) övervaka den allmänna ordningen och säkerheten, hindra störningar därav samt ingripa när sådana har inträffat eller 3) bedriva spaning och utredning i fråga om brott som hör under allmänt åtal (1 § polisdatalagen). Verksamheten utgör det som brukar kallas den egentliga polisverksamheten och är identisk med regleringen i 2 § 1–3 polislagen (1984:387). Till poli- sens uppgifter hör vidare att lämna allmänheten skydd, upplys- ningar och annan hjälp, när sådant bistånd lämpligen kan ges av polisen samt att fullgöra den verksamhet som ankommer på polisen enligt särskilda bestämmelser (2 § 4 och 5 polislagen). I polisens övervakningsverksamhet enligt 2 § 2 polislagen ingår gränsövervakning som en speciell övervakningsform. Enligt äldre förarbeten till polislagen (se polisutrednings betänkande Polislagen, SOU 1979:6 s. 63 f.) syftar gränsövervakningen främst till att hindra spioneri, varusmuggling och obehörigt överskridande av landets gränser. Polisen sägs här svara för passkontroll och den övervakning i övrigt som förutsätts i utlänningslagstiftningen. I polisens verksamhet enligt utlänningslagstiftningen brukar man kalla den kontroll som sker i samband med att utlänningar reser in i eller ut ur för den yttre utlänningskontrollen och den kontroll som sker under utlänningens vistelse i för den inre utlänningskontrollen. I polisens verksamhet enligt 2 § 5 polislagen ingår den s.k. polismyndighetsverksamheten. Denna avser åligganden som poli- sen, vid sidan av sina huvuduppgifter, har inom området för allmän förvaltning enligt särskilda författningsbestämmelser. En del av dessa åligganden innefattar handläggning av ärenden eller biträde åt myndigheter när det exempelvis gäller interimistiska åtgärder vid administrativa tvångsingripanden. Gränsen mellan polisens olika uppgifter enligt 2 § 1–5 polislagen är emellertid ingalunda skarp (se bl.a. – , Polis- lagen En kommentar, 1998, 3 uppl. s. 31) vilket medför vissa problem när det gäller att avgöra om en behandling av person- uppgifter regleras av polisdatalagen. I propositionen Polisens register (prop. 1997/98:97 s. 99) fram- höll regeringen att den polisverksamhet som polisdatalagen skall tillämpas på inte omfattas av dataskyddsdirektivets tillämpnings- område. I betänkande Behandling av person- uppgifter i polisens verksamhet (SOU 2001:92) föreslås en ny polisdatalag med samma tillämpningsområde såvitt nu är i fråga som den nu gällande polisdatalagen. I betänkandet betonas att polisverksamhet enligt 2 § 1–3 polislagen inte omfattas av dataskyddsdirektivet och att det är olämpligt att låta den nya lagen vara tillämplig vid behandling av personuppgifter i polisens verksamhet enligt 2 § 4 och 5 polislagen med hänsyn till att det är tveksamt om dessa verksamheter kan anses undantagna från direktivets tillämpningsområde (a.a. s. 157). Av det sagda torde enligt utredningen den slutsatsen kunna dras att behandling av personuppgifter inom polisen (eller av de av polisen särskilt förordnade gränskontrollanterna) som föranleds av polisens yttre utlänningskontroll i allt väsentligt regleras av polis- datalagen. Likaså omfattar polisdatalagen polisens behandling av personuppgifter vid verksamhet enligt lagen om särskild utlän- ningskontroll, som ju gäller utvisning av utlänning av hänsyn till rikets säkerhet eller om det kan befaras att utlänningen kommer att begå eller medverka till brottslig gärning som innefattar våld, hot eller tvång för politiska syften. Detsamma kan sägas om Riks- polisstyrelsens verksamhet i s.k. säkerhetsärenden enligt medborgar- skapslagen. När det gäller polisens behandling av personuppgifter inom den inre utlänningskontrollen är det enligt utredningen inte lika säkert att den i sin helhet omfattas av polisdatalagens tillämpningsområde. Den inre utlänningskontrollen syftar bl.a. till efterspaning av utlänningar beträffande vilka det finns ett avvisnings- eller utvisningsbeslut. Dessutom innefattar kontrollen bl.a. övervakning av att utlänningar inte arbetar i landet utan erforderligt arbets- tillstånd. Den sist nämnda kontrollen kan avse utlänningar som rest in i och vistas i i behörig ordning, vilket enligt utredningen medför att det kan sättas i fråga om verksamheten utgör sådan gränsövervakning som innefattas i polisverksamhet enligt 2 § 2 polislagen. Polisens verksamhet när det gäller verkställighet av beslut om förvar, avvisning och utvisning samt polismyndig- heternas beslutsfattande om nödfallsviseringar m.m. utgör vidare polismyndighetsverksamhet enligt 2 § 5 polislagen, som faller utanför polisdatalagen tillämpningsområde. Polisens verksamhet enligt utlänningslagstiftningen har i många fall en nära anknytning till verksamhet som omfattas av gemen- skapsrätten och därmed av dataskyddsdirektivet. Det kan t.ex. påpekas att kontrollen vid passage av EU-medlemsstaternas yttre gränser numera ingår i gemenskapssamarbetets första pelare (se avsnitt 3.1), varför det kan ifrågasättas om behandling av person- uppgifter ens i samband med den yttre utlänningskontrollen verkligen faller utanför dataskyddsdirektivets tillämpningsområde. I förarbetena till den nu gällande polisdatalagen anförde rege- ringen att den inte kunde se att det finns något behov av särregler för polisens handläggning av polismyndighetsärenden eller annan polisverksamhet enligt 2 § 4 och 5 polislagen (prop. 1997/98:97 s. 99). Samma bedömning har gjort i sitt nämnda betänkande (SOU 2001:92 s. 156). Med tanke på redogörelsen i det föregående kan det således konsta- teras att en del av polisens verksamhet enligt utlänningslagstift- ningen faller utanför polisdatalagen och för den delen även lagen (2000:344) om Schengens informationssystem (som bl.a. reglerar behandling av uppgifter om utlänning som skall införa i spärrlistan för personer som skall nekas tillträde eller uppehållstillstånd i Schengenstaterna). I den verksamheten före- kommer en inte obetydlig behandling av personuppgifter. Det rör sig dels om personuppgifter som polisen själv insamlar och be- handlar, dels om personuppgifter som utlämnas från företrädesvis eller . Ett exempel kan nämnas som belyser problem som kan uppstå i förhållande till personuppgiftslagen. Polisen behöver i många fall snabb information om sådana känsliga personuppgifter som etnici- tet och psykisk eller fysisk hälsa när den bistår myndigheterna med att verkställa ett beslut om tagande i förvar eller när polisen har övertagit ett verkställighetsärende avseende avvisning eller utvisning. Enligt utredningens mening är det rimligt och effektivitets- främjande att polisen kan få del av sådan information. Av naturliga skäl kan polisen inte inhämta samtycke från vederbörande till den fortsatta behandlingen av personuppgifterna som sker efter det att informationen har överförts till polisen. Personuppgiftslagen och personuppgiftsförordningen ger därmed inte en tillfredsställande reglering eftersom ingen undantagsbestämmelse från lagens förbud mot behandling av de känsliga personuppgifterna är tillämplig på polisens behandling i en situation som denna. Inte heller gäller, som sagts, polisdatalagen eller någon annan motsvarande lag. En särreglering behövs alltså enligt utredningens mening. Ett sätt att införa särregleringen är att föreslå ändringar i polis- datalagens bestämmelse om vilken polisverksamhet den lagen är tillämplig på. För en sådan lösning talar framför allt att det för polisens del är mera lätthanterligt med en reglering av den egna myndighetens behandling av personuppgifter samlad i en lag. Exempelvis skulle i 1 § första stycket polisdatalagen kunna tilläggas en punkt 4 av följande lydelse. ...fullgöra uppgifter enligt utlännings- lagstiftningen. Häremot talar emellertid att behandling av personuppgifter i frågor som otvetydigt faller under dataskyddsdirektivets tillämp- ningsområde därmed införs i polisdatalagen, vilket inte är förenligt med den inställning som regeringen uttryckt i förarbetena till polisdatalagen. Enligt utredningens mening väger detta argument mot en ändring av polisdatalagen tyngre än de skäl som talar för en ändring. Utredningen föreslår därför att och polismyndigheternas nu berörda behandling av personuppgifter i verksamhet enligt utlänningslagstiftningen regleras i utlännings- datalagen. I syfte att undvika överlappande lagstiftning bör vidare i utlän- ningsdatalagen införas en regel som från lagens tillämpningsområde utesluter behandling av personuppgifter som regleras av polis- datalagen. Även behandling av personuppgifter enligt lagen om Schengens informationssystem bör ha uttryckligt företräde framför utlänningsdatalagen i händelse av en kollision. När det så gäller frågan om kretsen av dem som skall tillämpa utlänningsdatalagen i stället bör utvidgas i förhållande till utlän- ningsdataförordningen kan till en början konstateras att det saknas särreglering av den personuppgiftsbehandling som – i egenskap av beredare av regeringsärenden – måste utföra i samband med regeringens prövning av enskilda ärenden enligt utlänningslagen, medborgarskapslagen och lagen om särskild utlän- ningskontroll. Personuppgifter som behandlas i dessa ärenden är ofta av mycket integritetskänslig karaktär. Sammantaget rör det sig om en relativt omfattande verksamhet. Det är mot den bakgrunden inte tillfredsställande att behandling enbart sker med stöd av personuppgiftslagen. Övervägande skäl talar därför för att även bör tillämpa utlänningsdatalagen i dessa ärenden. Härutöver har det i utredningens arbete inte framkommit behov av att låta någon eller några ytterligare myndigheters behandling av personuppgifter infogas i tillämpningsområdet. Skälen för denna bedömning utvecklas i det följande. Som sagts omfattas de allmänna förvaltningsdomstolarna av gällande registerförordningar samt av en väntad lag om behand- ling av personuppgifter i de allmänna förvaltningsdomstolarnas verksamhet (SOU 2001:100). Även några av de andra handläggande myndigheter som nämnts tidigare (avsnitt 6.2.1) omfattas av särreglering. De allmänna dom- stolarna omfattas av förordningen (2001:639) om registerföring m.m. vid allmänna domstolar med hjälp av automatiserad behandling. har föreslagit en lag om behandling av personuppgifter vid allmän domstol (SOU 2001:100). Arbets- marknadsstyrelsens och länsarbetsnämndernas hantering av per- sonuppgifter i samband med frågor om arbetstillstånd omfattas av lagen (2002:546) om behandling av personuppgifter i den arbets- marknadspolitiska verksamheten som trädde i kraft (se prop. 2001/02:144 s. 18). Kommunernas behandling av personuppgifter vid handläggning av ärenden om introduktions- ersättning för flyktingar och vissa andra utlänningar och ärenden om bistånd enligt lagstiftning om mottagande av asylsökande m.fl. samt i verksamhet hos invandrarbyrå regleras av lagen (2001:454) om behandling av personuppgifter inom . Centrala behandling av personuppgifter vid handläggning av ärenden om hemutrustningslån till flyktingar och vissa andra utlänningar är i viss mån redan reglerad (se avsnitt 3.3). En allmän översyn av om behandlingen av personuppgifter i nämndens verksamhet skall särregleras i lag görs av (se prop. 2000/01:129 s. 69). Något behov av särreglering av övriga myndigheters behandling av personuppgifter inom verksamhetsområdet har inte framkom- mit. Länsstyrelsernas behandling av personuppgifter vid anmäl- ningar om svenskt medborgarskap är varken med hänsyn till sin omfattning eller integritetskänslighet sådan att den bör regleras i lagen. Länsstyrelsernas anmälningsplikt enligt lagen om särskild utlänningskontroll avser i praktiken ytterst få fall och motiverar inte att länsstyrelserna innefattas i den föreslagna lagens tillämp- ningsområde. Eventuella anmälningar bör rimligtvis kunna hanteras med sådan behandling av personuppgifter som inte omfattas av personuppgiftslagens tillämpningsområde utan att länsstyrelsernas effektivitet påverkas negativt. Det är tveksamt om och när de bistår polisen vid yttre eller inre utlänningskontroll över huvud taget behandlar personuppgifter på ett sätt som omfattas av per- sonuppgiftslagens tillämpningsområde. I vart fall finns ingen anledning att särreglera den behandling som måhända förekommer genom att infoga den i lagförslaget. Slutligen bör framhållas att, som tidigare nämnts, enskilda kan driva mottagningsförläggningar (även om just inga förläggningar drivs av enskilda) och att de i den verksamheten torde behöva behandla personuppgifter. Något behov av att med anledning härav komplettera eller ersätta personuppgiftslagens regler har emellertid inte framkommit i utredningens kartlägg- ningsarbete. De möjligheter till behandling av känsliga person- uppgifter utan den registrerades samtycke som kommer att föreslås i det följande bör vidare inte utan starka skäl utsträckas till andra än myndigheter. Övervägande skäl talar därför för att utelämna enskildas behandling av personuppgifter från lagens tillämpnings- område. Det kan i sammanhanget inflikas att man på mottagningsförlägg- ningar som drivs av enskilda ofta torde kunna behandla personupp- gifter utan den enskildes samtycke med stöd av 10 § d person- uppgiftslagen. Där föreskrivs att personuppgifter får behandlas om det är nödvändigt för att en arbetsuppgift av allmänt intresse skall kunna utföras. Sammanfattningsvis föreslås således endast den ändringen i förhållande till vad utlänningsdataförordningen stadgar att fogas till den krets som tillämpar utlänningsdatalagen. 6.2.3.1Verksamhet som lagen skall tillämpas på , , , Riks- polisstyrelsens och polismyndigheternas samt utlandsmyndigheter- nas behandling av personuppgifter i verksamhet enligt utlännings- lagen och medborgarskapslagen med anslutande förordningar skall självfallet omfattas av lagens tillämpningsområde, dock för polisens del endast i den mån någon annan särskild registerförfattning inte är tillämplig. bedriver visserligen ingen verk- samhet enligt nu nämnda författningar. Verket har dock, som utredningen strax återkommer till, vissa näraliggande uppgifter. Lagen skall självfallet också omfatta utlandsmyndigheternas biträde med utredning i utlänningsmyndigheters enskilda utlännings- och medborgarskapsärenden. Denna verksamhet utförs med stöd av förordningen (1992:247) med instruktion för utrikesrepresentatio- nen. Frågan är huruvida någon ytterligare verksamhet, som inte direkt omfattas av utlänningslagen och medborgarskapslagen, bör ingå i den nya lagens tillämpningsområde. Detta är ytterst en avvägnings- fråga.