sou · GRB340d2 · 2004-01-01 00:00:00 — Enligt utredningens uppfattning är personuppgiftslagens bestäm- melser om den personuppgiftsansvariges informationsplikt tillfreds- ställande från integritetssynpunkt när personuppgifter behandlas i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Det finns därför inget behov av att utvidga informationsskyldigheten utöver vad som följer av personuppgiftslagen. När personuppgifter behandlas enligt utlänningsdatalagen föreslås således att personupp- giftslagens bestämmelser om information skall gälla. Detta behöver inte särskilt anges i utlänningsdatalagen, eftersom personuppgifts- lagens bestämmelser gäller om inget annat sägs (se avsnitt 6.3). Vidare anser utredningen att 25 och 26 §§ personuppgiftslagen ger tillräcklig vägledning i fråga om vad informationen till den enskilde skall innehålla. Reglerna behöver därför inte preciseras i utlänningsdatalagen. Det kommer alltså att ankomma på respektive personuppgiftsansvarig myndighet att själv och inom personupp- giftslagens ramar avgöra vilken information som skall lämnas. När det gäller undantaget från informationsskyldigheten då det finns bestämmelser om registrerandet eller utlämnandet av personupp- gifterna i annan författning (24 § andra stycket personuppgifts- lagen), kan framhållas att det enligt utredningens mening är tveksamt om bestämmelserna i utlänningsdatalagen är tillräckligt preciserade för att omfattas av undantaget. Lagen torde nämligen inte uppfylla kravet enligt artikel 11.2 i dataskyddsdirektivet om att registreringen eller utlämnandet måste vara uttryckligen föreskrivet i författning. Sammanfattningsvis anser utredningen således att någon sär- bestämmelse om information inte behövs i utlänningsdatalagen. Förslaget innebär bl.a. att det åligger att i egen- skap av personuppgiftsansvarig lämna sådan information till registre- rade som personuppgiftslagen föreskriver även såvitt avser behand- ling som företas av utlandsmyndigheterna och viss behandling av . Inget hindrar emellertid att det i praktiken är dessa myndigheter som överlämnar information till de registrerade eller annars förmedlar ansökningar eller andra förfrågningar från registrerade till . Utredningen anser vidare att det kan förutsättas att och utlandsmyndigheterna gör den utredning och de efterforskningar som krävs för att informationsskyldigheten skall kunna uppfyllas i varje enskilt fall. 6.12Säkerheten vid behandling och Datainspektionens befogenheter Utredningens bedömning: Personuppgiftslagens bestämmelser om säkerheten vid behandlingen (30 och 31 §§) och tillsyns- myndighetens befogenheter (32 och 43–47 §§) skall gälla också när personuppgifter behandlas i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Regeringen, eller i vissa fall den myndighet som regeringen bestämmer, bemyndigas att meddela närmare föreskrifter om säkerhetsåtgärder till skydd för personuppgifter som behandlas enligt utlänningsdatalagen. Några särskilda bestämmelser därutöver behövs inte. Datainspektionen skall vara tillsynsmyndighet även då per- sonuppgifter behandlas enligt utlänningsdatalagen. 6.12.1Personuppgiftslagens bestämmelser om säkerhet vid behandling och tillsynsmyndighetens befogenheter I 30 och 31 §§ personuppgiftslagen finns regler om hur den person- uppgiftsansvarige skall organisera arbetet för att garantera säker- heten för personuppgifter som behandlas. Enligt 30 § får ett personuppgiftsbiträde och den eller de personer som arbetar under biträdets eller den personuppgiftsansvariges ledning behandla personuppgifter bara i enlighet med instruktioner från den personuppgiftsansvarige. Av dataskyddsdirektivet framgår inte hur utförliga instruktioner som den personuppgiftsansvarige måste lämna sina medhjälpare. har dock fram- hållit att den personuppgiftsansvarige i princip bär ansvaret för att instruktionerna är så tydliga att otillåten behandling inte kommer att utföras (SOU 1997:39 s. 408). Om det i lag eller annan författ- ning finns särskilda bestämmelser om behandling av personupp- gifter i det allmännas verksamhet, skall dessa gälla i stället (30 § tredje stycket). Enligt personuppgiftslagens förarbeten avses sär- skilt bestämmelser om tystnadsplikt och sekretess (prop. 1997/98:44 s. 136). Enligt 31 § skall en personuppgiftsansvarig vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna skall åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjligheter som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandlingen av personuppgifterna och hur pass känsliga de behandlade personuppgifterna är. Personuppgiftslagen före- skriver således inte någon konkret säkerhetsåtgärd som skall eller bör vidtas utan ger en kortfattad och allmänt hållen uppräkning av de faktorer som skall beaktas av den personuppgiftsansvarige. Av- sikten är, enligt personuppgiftslagens förarbeten, att regeringen eller myndighet som regeringen bestämmer skall meddela närmare föreskrifter om säkerhetsåtgärder som behövs (prop. 1997/98.44 s. 92). Enligt 50 § b personuppgiftslagen får regeringen eller myndig- het som regeringen bestämmer meddela närmare föreskrifter om vilka krav som ställs på den personuppgiftsansvarige. I 16 § person- uppgiftsförordningen har regeringen bemyndigat tillsynsmyndig- heten, dvs. Datainspektionen, att meddela sådana föreskrifter. Några föreskrifter har ännu inte meddelats. Däremot har Data- inspektionen gett ut allmänna råd om säkerhet för personuppgifter. Av 32 § personuppgiftslagen följer att Datainspektionen i en- skilda fall får besluta om vilka säkerhetsåtgärder som den person- uppgiftsansvarige skall vidta. Datainspektionen har också rätt att för sin tillsyn på begäran få tillgång till de personuppgifter som behandlas, upplysningar om och dokumentation av behandlingen av personuppgifter och säkerheten vid denna samt tillträde till sådana lokaler som har anknytning till behandlingen av personupp- gifter (43 §). Datainspektionen har vidare vissa möjligheter att förelägga vite och att förbjuda den personuppgiftsansvarige att fortsätta att behandla personuppgifter på annat sätt än att lagra dem (44–46 §§). Datainspektionen har också möjlighet att hos domstol ansöka om att personuppgifter som har behandlats på ett olagligt sätt skall utplånas (47 §). Enligt utredningens uppfattning bör personuppgiftslagens bestäm- melser om säkerheten vid behandling av personuppgifter gälla även när personuppgifter behandlas i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Att i lagen eller i en förordning som utfärdas med stöd av lagen konkret ange vilka säkerhetsåtgärder som skall vidtas ter sig inte lämpligt. Rent allmänt bör emellertid framhållas att det stora antalet registrerade i här aktuell verksamhet och mängden integri- tetskänsliga uppgifter medför att höga krav måste ställas på de säkerhetsåtgärder som skall vidtas för att skydda personuppgifter- na. Hög kvalitet på tekniska skyddsåtgärder såsom t.ex. säkra funktioner för behörighetskontroll, loggning, kryptering, säker- hetskopiering, antivirusprogram m.m. måste förutsättas, särskilt i en så integritetskänslig och omfattande verksamhet som bedrivs av . Minst lika viktigt är fasta rutiner för hanteringen av personuppgifter och att personalen kontinuerligt utbildas och informeras om säkerhetsfrågor. Personuppgifter i e-post kan näm- nas som ett exempel på behandling som det kan finnas särskild anledning att skapa fasta rutiner och interna säkerhetsregler för. Det kan vidare nämnas att bestämmelser om säkerhetsåtgärder till skydd för uppgifter finns även i annan lagstiftning, t.ex. i arkivlagen (1990:782) med anknytande författningar. Sådana bestäm- melser gäller vid sidan av personuppgiftslagens bestämmelser. Det innebär att en myndighet måste vidta skyddsåtgärder såväl i egen- skap av arkivbildande myndighet som i egenskap av personuppgifts- ansvarig. Enligt utredningens lagförslag kommer personuppgifts- ansvarig myndighet inte alltid att vara identisk med arkivbildande myndighet. föreslås bli personuppgiftsansvarigt för utlandsmyndigheternas och viss del av behandling av personuppgifter enligt lagen. Utlandsmyndigheter- nas och arkivansvar kommer emellertid att kvarstå. Enligt utredningens bedömning finns det inte anledning att befara att detta delvis överlappande ansvar mellan myndig- heterna kommer att ge upphov till några problem. Bestämmelserna om tillsynsmyndighetens befogenheter bör gälla även när personuppgifter behandlas i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Sammanfattningsvis föreslår utredningen således att personupp- giftslagens bestämmelser om säkerheten vid behandling av person- uppgifter och tillsynsmyndighetens, dvs. Datainspektionens, befogen- heter skall gälla även när personuppgifter behandlas enligt den föreslagna utlänningsdatalagen. Som nämnts i avsnitt 6.4 och som närmare kommer att beröras i avsnitt 6.18.6 föreslår utredningen att det i lagen införs ett uttryckligt bemyndigande för regeringen eller i vissa fall den myndighet regeringen bestämmer att meddela föreskrifter om säkerhetsåtgärder. Bemyndigandet syftar främst till att skall ges rätt att besluta om närmare före- skrifter för sådan behandling av personuppgifter som utförs av eller utlandsmyndigheterna men som Migra- tionsverket är personuppgiftsansvarigt för. Detta bemyndigandet utesluter inte att Datainspektionen beslutar om säkerhetsåtgärder i enskilda fall enligt 32 § personuppgiftslagen eller meddelar föreskrifter om säkerhetsåtgärder enligt 16 § 2 personuppgifts- förordningen jämförd med 50 § b personuppgiftslagen. 6.13Överföring av personuppgifter till tredje land Utredningens förslag: Myndigheter får föra över uppgifter till tredje land om den registrerade samtycker till det eller om det är oundgängligen nödvändigt för ändamålen handläggning av ärenden eller en myndighets biträde i sådana ärenden, yttre och inre utlänningskontroll, uppgiftsutlämnande samt informations- återsökning. 6.13.1Personuppgiftslagens bestämmelser om överföring av personuppgifter till tredje land Spridning av personuppgifter till tredje land regleras i 33–35 §§ personuppgiftslagen. Med tredje land avses en stat som inte ingår i EU eller är ansluten till EES. Regleringen grundas på bestäm- melserna i artikel 25 och 26 i dataskyddsdirektivet och ingress- punkt 56–60 till direktivet. Bestämmelserna i direktivet är tämligen detaljerade och komplicerade. För att undvika alltför komplicerad lagstiftning infördes i personuppgiftslagen endast de regler som är nödvändiga med hänsyn till dataskyddsdirektivet, nämligen det grundläggande förbudet mot överföring av personuppgifter till tredje land och de konkreta undantag från förbudet som anges i direktivet (prop. 1997/98:44 s. 95 f.). regeringen eller den myndighet regeringen bestämmer att inom direktivets ram meddela ytterligare undantag från förbudet. Dessa undantag kan vara generella eller avse enskilda fall. Nedan följer en kortfattad redogörelse för bestämmelserna om överföring av personuppgifter till tredje land. Redogörelsen kon- centreras till bestämmelser som är relevanta för utredningens över- väganden. Enligt 33 § personuppgiftslagen gäller ett principiellt förbud mot att till tredje land föra över personuppgifter som är under behand- ling eller skall behandlas i tredje land, om inte det aktuella landet har en adekvat skyddsnivå för uppgifterna. Vid bedömningen av om skyddsnivån är adekvat skall särskild vikt läggas vid uppgifter- nas art, ändamålet med behandlingen, hur länge behandlingen skall pågå, ursprungslandet, det slutliga bestämmandelandet och de regler som finns för behandlingen i det tredje landet. Med att personuppgifter är under behandling avses att de är föremål för sådan behandling som omfattas av personuppgiftslagen, dvs. be- handling som är helt eller delvis automatiserad eller som sker manuellt i register. Förbudet träffar också personuppgifter som förs över i syfte att de i tredje land skall undergå sådan behandling. Riktigt vad som i praktiken skall förstås med överföring av personuppgifter till tredje land är svårt att utläsa ur direktivet och personuppgiftslagen. Enligt en kommentar till lagen verkar också det förfarandet att personuppgifter, som undergår automatiserad behandling i , sänds till tredje land i form av en pappers- utskrift omfattas (– , Personuppgiftslagen En kommentar, andra upplagan, 2001, s. 246). Enligt kommentaren verkar inte heller krävas att personuppgifterna lämnas ut till tredje man för att reglerna om överföring till tredje land skall vara tillämpliga. Personuppgifterna kan alltså överföras till tredje land även om de fortsätter att vara under den personuppgiftsansvariges kontroll, t.ex. om den personuppgiftsansvarige på en tillfällig resa till tredje land tar med sig en bärbar dator vari personuppgifter lagrats (a.a. s. 247). Motsvarande bedömning har gjorts vid direktivets genomförande i och medan har intagit en motsatt ståndpunkt. Hur direktivet och lagen i detta avseende skall tolkas blir en fråga för rättstillämpningen, i sista hand . Vissa undantag från förbudet i 33 § finns angivna i 34 § person- uppgiftslagen. Enligt denna bestämmelse får personuppgifter över- föras till tredje land, om den registrerade har lämnat sitt samtycke till överföringen eller om överföringen är nödvändig för vissa särskilt uppräknade syften. Sistnämnda undantag torde sakna tillämp- ning för personuppgifter som behandlas i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Personuppgifter får dessutom överföras för användning enbart i en stat som har anslutit sig till dataskyddskonvention (se avsnitt 2.1). En överföring som sker för att följa lagens krav, t.ex. lämnande av information enligt 26 § till en registrerad i tredje land, torde vidare vara tillåten. Regeringen, eller den myndighet som regeringen bestämmer, får meddela ytterligare undantag från förbudet i 33 § i vissa fall. Undantag får därvid bl.a. föreskrivas för överföring till vissa stater eller om överföring till tredje land behövs med hänsyn till ett viktigt allmänt intresse. I punkt 58 i ingressen till dataskyddsdirek- tivet anges utbyte av uppgifter mellan skattemyndigheter, tullmyn- digheter eller socialförsäkringsmyndigheter som exempel på viktiga allmänna intressen. Det bör vidare påpekas att allt överförande till tredje land av personuppgifter måste vara tillåten behandling enligt 10 och 13– 22 §§ samt uppfylla de grundläggande kraven i 9 § person- uppgiftslagen. Ett uppgiftsutlämnande får givetvis inte heller strida mot sekretesslagen. Här skall vidare nämnas att utlänningsdataförordningen medger att uppgifter som behandlas i ett rättsfallsregister får föras över till tredje land under förutsättning att uppgifterna inte direkt pekar ut den registrerade. I utredningens direktiv har regeringen anfört att behandlingen av personuppgifter i verksamhet enligt utlännings- och medborgar- skapslagstiftningen till betydande del är av internationell karaktär samt att överföring av uppgifter till andra EU-länder eller till tredje land är vanligt förekommande inom ramen för olika former av samarbete. Vid utredningens kartläggning av den nuvarande behand- lingen i verksamhetsområdet har det framkommit att det i huvudsak är till andra EU-länder eller annars inom EES som personuppgifter överförs för ändamål som föreslås i utlänningsdatalagen. När det gäller informationsutbytet med utlandsmyndigheter belägna i tredje land bör anmärkas att utlämnande till dem av personuppgifter – genom direktåtkomst till datasystem eller på annat sätt – inte torde innebära att uppgifterna förs över till tredje land i strid mot förbudet i 33 § personupp- giftslagen. Till stöd härför kan artikel 4.1 b) dataskyddsdirektivet åberopas. I artikel 4 regleras vilken nationell rätt som är tillämplig på behandling av personuppgifter. Av punkt 1 b) i artikeln följer att en medlemsstats nationella rätt skall tillämpas även om den register- ansvarige inte är etablerad inom medlemsstatens territorium utan på en plats där medlemsstatens lagstiftning gäller på grund av folkrätten. Överföring till en utlandsmyndighet kan därför inte ses som en överföring till tredje land. Enligt utredningens uppfattning är det först om utlandsmyndigheten i sin tur lämnar ut personupp- gifterna till mottagare i det tredje landet, t.ex. till en förtroende- advokat eller andra utomstående, som det sker en överföring till tredje land av personuppgifterna. Internationellt samarbete och informationsutbyte har kommit att spela en alltmer framträdande roll i verksamhet enligt utlän- nings- och medborgarskapslagstiftningen. Denna utveckling jäm- sides med att myndigheternas informationshantering i allt högre grad blir elektronisk medför, enligt utredningen, att det är ett allmänt intresse att personuppgifter som behandlas enligt utlän- ningsdatalagen bör kunna föras över till tredje land när det krävs för att myndigheterna skall kunna utföra sina uppgifter på ett rationellt och rimligt sätt. Den föreslagna utlänningsdatalagen bör därför inte hindra överföring till tredje land som är befogad utifrån detta allmänintresse. Som tidigare redovisats får personuppgifter enligt gällande rätt överföras till tredje land, om den registrerade samtycker till det. Om en registrerad i tredje land t.ex. ansöker om visum vid en utlandsmyndighet, får han eller hon givetvis anses ha samtyckt till den överföring som sker då han eller hon får del av beslutet. Likaså får en registrerad i tredje land som inleder en elektronisk kom- munikation med en myndighet i , t.ex. via e-post eller via ett särskilt inrättat elektroniskt ansökningsförfarande, anses samtycka till att den fortsatta kommunikationen kan inbegripa överföring av personuppgifter till tredje land. Här får det anses vara fråga om s.k. konkludent handlande som konstituerar ett samtycke. Emellertid har utredningens genomgång av verksamhetsområdet visat att det ibland finns behov av att överföra personuppgifter till tredje land även i fall där det inte föreligger något samtycke och inte rimligen heller kan krävas att den registrerades samtycke först inhämtas. Det kan här nämnas att Utredningen om sekretess vid utlandsmyndigheter m.m., i sitt betänkande Utlandsmyndigheternas medverkan i utlänningsärenden m.m. (SOU 2001:110 s. 66 f.), har redovisat att sekretessbelagda personuppgifter, även utan den registrerades samtycke, ofta lämnas ut till förtroendeadvokater eller andra då utlandsmyndigheter i tredje land biträder utlänningsmyn- digheter i med utredning i enskilda ärenden. Även andra fall kan tänkas då en utlandsmyndighet, polisen eller en utlänningsmyndighet måste lämna ut personuppgifter till tredje land, t.ex. för att därigenom själva få ytterligare information som behövs i ett ärende eller för identitetskontroll av en utlänning som påträffas i . Frågor kan också ställas av myndigheter i tredje land till svenska myndigheter. Utlänningsmyndigheterna deltar vidare i olika samarbetsorgan rörande asyl- och migrationsfrågor där även tredje länder medverkar och där det kan bli aktuellt att från svensk sida tillhandahålla sådan allmängiltig information som finns t.ex. i . Även den informationen kan ibland innehålla personuppgifter som omfattas av den föreslagna utlänningsdatalagen. Mot bakgrund av det sagda är det utredningens slutsats att de tillämpliga undantagen – den registrerades samtycke och undantaget i utlänningsdataförordningen – inte är tillräckliga för all sådan överföring av personuppgifter som avses behandlas enligt utlänningsdatalagen och som sker för ett viktigt allmänt intresse. Ytterligare undantag behövs. En särreglering i utlänningsdatalagen är alltså påkallad. Utredningen föreslår att en bestämmelse tas in i lagen som er- sätter personuppgiftslagens regler om undantag från förbudet mot överföring av personuppgifter till tredje land (34 § första stycket personuppgiftslagen). Förutom med den registrerades samtycke föreslås överföring av personuppgifter till tredje land få ske om det är oundgängligen nödvändigt för den överförande myndighetens handläggning av ärende eller biträde i sådana ärenden, yttre eller inre utlänningskontroll, fullgörande av uppgiftsutlämnande samt för sådan behandling som sker för ändamålet att återsöka informa- tion om praxis, förhållanden i andra länder m.m. Förslaget är enligt utredningens bedömning förenligt med vad dataskyddsdirektivet anger om att undantag från överföringsför- budet får göras för ett viktigt allmänt intresse. Av hänsyn till integritetsintresset kan det dock finnas anledning att i vissa fall begränsa vilka uppgiftskategorier som får föras över eller till vilka mottagare som överföringen får ske. Som kommer att framgå i avsnitt 6.18.4 föreslår utredningen därför att regeringen, eller i vissa fall den myndighet regeringen bestämmer, skall bemyndigas att meddela föreskrifter om begränsningar i förhållande till vad lagen medger. 6.14Anmälan till Datainspektionen m.m. Utredningens bedömning: Behandling av personuppgifter enligt utlänningsdatalagen behöver inte anmälas till tillsynsmyndig- heten (Datainspektionen). Bestämmelserna i 38–40 §§ personuppgiftslagen om person- uppgiftsombudets åligganden skall tillämpas. Bestämmelsen i 41 § personuppgiftslagen om att regeringen får meddela föreskrifter om särskild anmälningsskyldighet till tillsynsmyndigheten och förhandskontroll avseende särskilt integritetskänsliga behandlingar bör gälla även när personupp- gifter behandlas enligt utlänningsdatalagen. Några särbestämmelser i utlänningsdatalagen som gäller det sagda behövs inte. Behandling av personuppgifter som är helt eller delvis automa- tiserad omfattas enligt 36 § första stycket personuppgiftslagen av anmälningsskyldighet. Anmälan skall göras skriftligen till Data- inspektionen (tillsynsmyndigheten). Anmälningsskyldigheten är emellertid inte undantagslös. Av personuppgiftslagen följer att anmälan inte behöver göras, om den personuppgiftsansvarige har anmält att ett personuppgiftsombud har utsetts och vem det är (37 §). Vidare får regeringen eller den myndighet regeringen bestämmer enligt 36 § tredje stycket meddela föreskrifter om undantag från anmälningsskyldigheten för sådana typer av behand- lingar som sannolikt inte kommer att leda till otillbörligt intrång i den personliga integriteten. Sådana föreskrifter finns bl.a. i 3 § 3 personuppgiftsförordningen där det anges att anmälningsskyldig- heten enligt 36 § första stycket personuppgiftslagen inte gäller för behandling av personuppgifter som regleras genom särskilda föreskrifter i lag eller förordning. Personuppgiftsförordningens undantag från anmälningsplikten innebär att behandling av person- uppgifter som kommer att regleras av den föreslagna utlännings- datalagen inte kommer att omfattas av anmälningsskyldigheten såvitt annat inte uttryckligen anges i lagen. Detta gäller alldeles oavsett om ett personuppgiftsombud har utsetts eller inte. Något skäl att ändå föreskriva anmälningsplikt i utlännings- datalagen finns inte enligt utredningens uppfattning. Personuppgiftslagens bestämmelser i 38–40 §§ om person- uppgiftsombudets uppgifter bör vidare tillämpas i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Visserligen föreligger ingen skyldighet att utse ett personuppgiftsombud enligt person- uppgiftslagen. Ombuden fyller dock en viktig funktion för enskildas integritetsskydd. Hos , och finns personuppgiftsombud. Enligt utredningens uppfattning bör ombud finnas hos ansvariga myndigheter när det gäller sådan omfattande och integritetskänslig behandling av personuppgifter som här är i fråga. Slutligen anser utredningen att bestämmelsen i 41 § personupp- giftslagen om att regeringen får meddela föreskrifter om särskild anmälningsskyldighet till tillsynsmyndigheten och förhandskon- troll avseende särskilt integritetskänsliga behandlingar, bör gälla även när personuppgifter behandlas enligt utlänningsdatalagen.