sou · GRB340d2 · 2004-01-01 00:00:00 — Som utredningen nämnt i avsnitt 6.10 bör närmare preciseringar eller begränsningar av den i utlänningsdatalagen tillåtna direktåt- komsten till personuppgifter kunna ges i för- ordning. Utredningen föreslår därför att regeringen bemyndigas att meddela föreskrifter som innebär begränsningar av de person- uppgifter som får omfattas av direktåtkomst. I utredningens förslag till en förordning finns sådana begränsande bestämmelser. med dessa är att minimera de integritetsrisker som, enligt vad som sagts i avsnitt 6.10, är förknippade med att personuppgifter lämnas ut från genom annan myndighets direktåtkomst. Enligt utredningens bedömning finns det inget behov av att ge regeringen möjlighet att vidaredelegera denna begränsande före- skriftsrätt till . Det följer nämligen av verkets personuppgiftsansvar att myndigheten inom utlänningsdatalagens ram kan närmare besluta vilka uppgifter som lämnas ut genom direktåtkomst. Det kan här påpekas att utlänningsdatalagens bestäm- melser om direktåtkomst inte utgör bestämmelser om uppgifts- skyldighet utan bara anger i vilken omfattning personuppgifter får lämnas ut genom direktåtkomst. är alltså inte genom utlänningsdatalagen förpliktad att lämna ut uppgifter genom direktåtkomst. Inte heller behövs vidaredelegation för sådan personuppgiftsbehandling som utförs av och utlandsmyndigheterna under personuppgifts- ansvar, eftersom och utlandsmyndigheterna enligt den föreslagna utlänningsdatalagen inte får lämna ut person- uppgifter till annan genom direktåtkomst. , , samt utlandsmyndigheterna När det gäller , samt ut- landsmyndigheternas direktåtkomst för ändamålet handläggning av ärende anser utredningen att de endast skall kunna ges direkt- åtkomst till personuppgifter som de är i oundgängligt behov av för sin handläggning av eller utredning i ärenden enligt utlänningslagen eller medborgarskapslagen. direktåtkomst före- slås således inte få avse uppgifter som krävs för handläggning av ärenden enligt lagen om särskild utlänningskontroll. Personupp- gifterna i sist nämnda ärenden torde vara särskilt integritetskänsliga och bör därför inte vara åtkomliga via direktåtkomst. I förordningen bör också föreskrivas att direktåtkomst endast får omfatta personuppgifter som verket är i oundgängligt behov av för sin handläggning av ärenden enligt för- ordningen om statlig ersättning för flyktingmottagande m.m. Av hänsyn till de registrerades personliga integritet bör samtliga dessa myndigheters direktåtkomst begränsas så till vida att åt- komsten inte får avse personuppgifter i fingerav- trycksregister eller personuppgifter om andra uppgifter om lagöver- trädelser m.m. än sådana som avser beslut om förvar enligt utlänningslagen. Av samma skäl föreslås att direktåtkomsten inte heller får omfatta känsliga personuppgifter som avslöjar ras, politiska åsikter, religiös eller filosofisk övertygelse, eller medlemskap i fackförening eller som rör hälsa eller sexualliv. Personuppgifter som avslöjar ett etniskt ursprung bör dock tillåtas med tanke på verksamhetens karaktär. Såvitt utredningen erfarit har polisen tillgång till i Migrations- verkets registrerade uppgifter om sökandes dossier- nummer, namn, person- eller samordningsnummer, kön, nuvarande och tidigare medborgarskap, adress, samhörigheter, inresedatum, individstatus (avliden, avviken, verkställd utresa eller hämtning, kon- staterad utresa, trolig utresa, frivillig hemresa, avhyst), uppgift om förekomsten av , öppna och avslutade ärenden samt beslut. Dessa uppgifter bör polisen även i fortsättningen kunna få ha direktåtkomst till. Enligt utredningens uppfattning bör det i förordningen anges att och polismyndigheter- nas direktåtkomst får avse dessa uppgifter. Dessutom bör genom föreskrifter kunna medge direktåtkomst till ytterligare personuppgifter som är oundgängligen nödvändiga för polisens fullgörande av sina arbetsuppgifter enligt utlänningslagen. Eftersom sådana föreskrifter utvidgar direktåt- komstens omfattning i förhållande till förordningens begränsnings- regel, krävs att uttryckligen bemyndigas därtill. Direktåtkomst bör dock inte tillåtas till fingeravtrycksregistret eller till känsliga personuppgifter. skall samråda med Datainspektionen innan direktåtkomst medges till ytterligare per- sonuppgifter än de i förordningen angivna. 6.18.4Begränsningar i fråga om överföring till tredje land I avsnitt 6.13 har utredningen föreslagit en särreglering i förhållande till personuppgiftslagen som tillåter överföring av personuppgifter till tredje land i långt större utsträckning än vad som kan ske med stöd av personuppgiftslagen. Utredningen föreslår emellertid att regeringen skall kunna meddela begräsningar i fråga om överföring till tredje land. Detta bör uttryckligen framgå av utlännings- datalagen. Vidare föreslås att regeringen skall kunna bemyndiga annan myndighet, dvs. , att meddela föreskrifter om begränsningar såvitt avser annan myndighets överföring till tredje land som sker under verkets personuppgiftsansvar. De begränsningar som enligt utredningens förslag bör tas in i förordningen avser för det första en begränsning i fråga om över- föring av personuppgifter som behandlas för ändamålet att ge vägledande information om förhållanden i andra länder. Som påpekats i avsnitt 6.18.1 föreslås för detta ändamål ingen begräns- ning i fråga om personuppgifter som direkt pekar ut en registrerad. Av hänsyn till de registrerades integritet bör dock överföring till tredje land tillåtas endast efter det att direkt utpekande uppgifter borttagits. Den andra begränsningen som utredningen föreslår gäller utlands- myndigheterna som utan den registrerades samtycke endast bör få överföra personuppgifter till tredje land, om det krävs för den egna myndighetens handläggning eller för det biträde åt annan myndig- het med utredningar i ärenden enligt utlänningslagen eller med- borgarskapslagen. I avsnitt 6.7 har utredningen föreslagit att regeringen bemyndigas att meddela närmare föreskrifter om fingerav- trycksregister. Enligt utredningens uppfattning bör utlänningsdata- förordningens regler om registrets innehåll och gallring gälla också fortsättningsvis. Motsvarande bestämmelser bör därför tas in i den föreslagna förordningen. I övrigt bör utlänningsdatalagens och förordningens allmänna bestämmelser tillämpas även i fråga om fingeravtrycksregistret. När det gäller utlämnande av personupp- gifter ur registret på medium för automatiserad behandling anser utredningen att utlänningsdatalagens generella regler om sådant utlämnande skall gälla. Någon motsvarighet till utlänningsdataför- ordningens bestämmelse om sådant utlämnande bör därför inte tas in i förordningen. 6.18.6Föreskrifter om säkerhetsåtgärder och avskiljande Som föreslagits i avsnitt 6.11 skall personuppgiftslagens bestäm- melser om den personuppgiftsansvariges skyldighet att vidta åtgärder till skydd för behandlade personuppgifter gälla även vid behandling som omfattas av utlänningsdatalagens tillämpnings- område. Den personuppgiftsansvariga myndigheten beslutar om vilka säkerhetsåtgärder som skall vidtas inom den egna myndig- heten. Någon uttrycklig bestämmelse om detta behövs inte utan följer av personuppgiftslagen (se 31 § personuppgiftslagen). Emellertid skall vara personuppgiftsansvarigt även för utlandsmyndigheternas och i viss utsträckning för Integra- tionsverkets behandling av personuppgifter som sker med stöd av lagen. Förslaget har motiverats i avsnitt 6.4 där utredningen också framfört att detta personuppgiftsansvar bör förenas med en möjlig- het för att meddela föreskrifter om säkerhets- åtgärder till skydd för de av utlandsmyndigheterna och Integrations- verket behandlade personuppgifterna. Härigenom kan Migrations- verket inom lagens ram närmare reglera t.ex. vilka faktiska skyddsåtgärder utlandsmyndigheterna och skall vidta i fråga om personuppgifter som behandlas vid myndigheterna under personuppgiftsansvar. Eftersom de först nämnda myndigheterna är helt fristående myndigheter i förhållande till torde en uttrycklig föreskriftsrätt krävas. Av samma skäl som beträffande säkerhetsåtgärder anser utred- ningen att är i behov av en föreskriftsrätt även när det gäller avskiljande av personuppgifter som behandlas av och utlandsmyndigheterna under Migrations- verkets personuppgiftsansvar. För personuppgifter som behandlas inom den egna myndigheten är de i lagen föreslagna bestämmel- serna om avskiljande tillräckliga för att ge personuppgiftsansvariga myndigheter befogenhet att närmare besluta i fråga om avskiljande. Bemyndigande i lag kan dock inte ges direkt till en förvalt- ningsmyndighet. I lagen bör därför en bestämmelse tas in om att regeringen får bemyndiga annan myndighet att meddela före- skrifter om säkerhetsåtgärder och avskiljande. Den vidare delega- tionen från regeringen till bör tas in i den förordningen som föreslås utfärdas i anslutning till utlännings- datalagen. Bemyndigandet i fråga om säkerhetsåtgärder utesluter inte att Datainspektionen beslutar om säkerhetsåtgärder i enskilda fall enligt 32 § personuppgiftslagen eller meddelar föreskrifter om säkerhets- åtgärder enligt 16 § 2 personuppgiftsförordningen jämförd med 50 § b personuppgiftslagen. Regeringen bör i lagen bemyndigas att meddela föreskrifter om ytterligare begränsningar såvitt avser sökbegrepp än de som anges i utlänningsdatalagen. Utredningen har dock inte funnit anledning att föreslå någon ytterligare begränsning i förordningen. Såsom redovisats i avsnitt 6.8.1 kan en myndighet på grund av sökbegränsningar som föreskrivs i lag eller förordning sakna befogen- het att göra sammanställningar av personuppgifter ur en upptag- ning för automatiserad behandling. En sådan sammanställning anses inte förvarad hos myndigheten och utgör därmed inte heller en allmän handling. Att föreskriva begränsningar i fråga om sökbegrepp är den i registerförfattningar vanliga metoden att begränsa myndigheternas befogenheter att göra sammanställningar. Sådana sökbegränsningar som beslutas på annat sätt än i lag eller förordning har ingen verkan när det gäller vad som skall anses vara en allmän handling. Enligt utredningens mening är det därför olämpligt att regeringen bemyndigar myndigheterna att meddela föreskrifter om sökbegrepp. Möjlighet till vidaredelegation från regeringen i fråga om sökbegrepp föreslås således inte. bör slutligen få meddela ytterligare begräns- ningar i fråga om de ändamål för vilka personuppgifter får behand- las och av vilka slags personuppgifter som får behandlas när det gäller och utlandsmyndigheternas behandling under personuppgiftsansvar. Utredningens förslag till utlänningsdatalag syftar till att – inom den ram som är acceptabel med hänsyn till enskildas personliga integritet – möjliggöra för myndigheterna att utbyta personuppgif- ter med användande av modern och rationell informationsteknik. Detta förutsätter dock att personuppgifterna kan utlämnas även med hänsyn till sekretesslagens (1980:100) bestämmelser. I utredningsdirektiven anges att det är naturligt att sekretess- frågor kommer upp i sammanhang som rör överföring av känsliga uppgifter mellan olika myndigheter. I det helhetsperspektiv som utredningen skall anlägga ingår även att beakta vad Utredningen om sekretess hos utlandsmyndigheter m.m. har kommit fram till i frågor om sekretess och överföring av uppgifter (SOU 2001:110) och vid behov föreslå kompletterande författningsändringar eller andra åtgärder. Nedan redogörs för de sekretessregler som i allmänhet kan vara tillämpliga på personuppgifter som behandlas i verksamhet enligt utlännings- och medborgarskapslagstiftningen, avsnitt 7.1. Dess- utom redogörs för sådana sekretessbrytande bestämmelser som är aktuella när det gäller utlämnande av sekretessbelagda uppgifter från myndigheter som bedriver sådan verksamhet, avsnitt 7.2. Utredningens kartläggning av den nuvarande behandlingen av personuppgifter i verksamhet enligt utlännings- och medborgar- skapslagstiftningen har visat att det förekommer rutinmässiga överföringar mellan myndigheter av stora mängder sekretessbelag- da personuppgifter genom sådan behandling som avses omfattas av utlänningsdatalagens bestämmelser. I avsnitt 7.3. redovisas vilka bestämmelser myndigheterna synes stödja sig på för att lämna ut dessa uppgifter. Därefter, i avsnitt 7.4, redovisas utredningens överväganden i de sekretessfrågor som redogörelsen i det före- gående föranleder. Slutligen behandlas i avsnitt 7.5 den sekretess- fråga som ställts av Svenska röda korset i den till utredningen överlämnade skrivelsen, bilaga 2. 7.2Sekretess i verksamhet enligt utlännings- och medborgarskapslagstiftningen I avsnitt 6.15.1 har översiktligt redogjorts för begreppet allmän handling och för allmänhetens grundlagsskyddade rätt att ta del av myndigheternas allmänna handlingar, den s.k. handlingsoffentlig- heten. Rätten att ta del av allmänna handlingar gäller dock inte undantagslös. I 2 kap. 2 § första stycket tryckfrihetsförordningen anges att denna rätt får begränsas om det är påkallat med hänsyn till vissa särskilt angivna intressen, bl.a. till rikets förhållande till annan stat eller mellanfolklig organisation och till skyddet för enskildas personliga eller ekonomiska förhållanden. Enligt bestämmelsens andra stycke skall sådana begränsningar anges noga i bestämmelse i särskild lag eller i annan lag till vilken den särskilda lagen hänvisar. Den särskilda lag som åsyftas är sekretesslagen. Sekretesslagen innehåller bl.a. bestämmelser om tystnadsplikt i det allmännas verksamhet och förbud att lämna ut allmänna hand- lingar. Enligt 1 kap. 1 § sekretesslagen innebär sekretess förbud att röja en uppgift, vare sig det sker muntligen eller genom att en handling lämnas ut eller om det sker på annat sätt. En uppgift som omfattas av sekretess får inte röjas för enskild eller för annan myndighet i andra fall än som anges i sekretesslagen eller i lag eller förordning till vilken sekretesslagen hänvisar. Förbudet att lämna ut en uppgift är i regel inte absolut, vilket tar sig uttryck i att det uppställs skaderekvisit i flertalet materiella sekretessbestämmelser. En avvägning skall göras mot den risk för skada som ett utlämnande kan medföra. Det innebär bl.a. att en uppgift inte skall omfattas av sekretess, om man inte kan förutse någon skada av angiven typ som resultat av att uppgiften lämnas ut. I lagen förekommer två typer av skaderekvisit, ett rakt och ett omvänt. Det raka skaderekvisitet innebär att sekretess föreligger, om det kan antas att en viss angiven skada uppkommer om upp- giften röjs. Det omvända skaderekvisitet innebär att sekretess föreligger, om det inte står klart att uppgiften kan röjas utan skada. När ett rakt skaderekvisit har ställts upp, presumeras alltså att uppgiften är offentlig medan presumtionen vid ett omvänt skade- rekvisit är att uppgiften omfattas av sekretess. Det raka skaderekvisitet innebär att skadebedömningen kan göras inom ganska vida ramar (prop. 1979/80:2 del A, s. 80). Avsikten är att bedömningen som regel skall göras med utgångs- punkt i själva uppgiften och således inte behöva knytas till en skadebedömning i det enskilda fallet. Avgörande för om sekretess gäller eller inte är om uppgiften som sådan är av den arten att ett utlämnande typiskt sett kan vara ägnat att medföra skada för det intresse som skall skyddas genom en viss sekretessbestämmelse. Är uppgiften sådan att den genomsnittligt sett måste betraktas som harmlös, skall den normalt sett falla utanför sekretessen. Om uppgiften å andra sidan är av sådant slag att den lätt kan komma att missbrukas, skall den omfattas av sekretess. Det omvända skaderekvisitet utgår från att sekretess är huvud- regel, vilket innebär att utlämnaren har ett ganska begränsat ut- rymme för sin bedömning. I praktiken innebär detta att en uppgift som omfattas av en sådan sekretessregel inte kan lämnas ut, om det saknas kännedom om mottagarens identitet och dennes avsikter med uppgiften. Som framhålls i sekretesslagens förarbeten (a. prop. s. 81) innebär konstruktionen med skaderekvisit att frågan om vem som begär en uppgift eller vad som är ändamålet med en begäran kan få betydelse när sekretessfrågan skall avgöras (jfr 2 kap. 14 § tredje stycket tryckfrihetsförordningen). För att en enskild skall anses lida skada eller men krävs naturligt- vis att uppgifterna kan hänföras till denne. Som regel bör man alltså kunna lämna ut avidentifierade uppgifter utan att risk för skada eller men uppkommer. Flertalet sekretessregler är begränsade till verksamhet av ett visst slag, till ärenden av en angiven art eller till viss myndighet (s.k. primär sekretess). Som huvudregel följer sekretess inte med då en uppgift lämnas ut till en annan myndighet. Uppgiften kan emeller- tid i många fall vara hemlig även hos den mottagande myndighet på grund av en sekretessbestämmelse som gäller för den myndighetens verksamhet. Särskilda bestämmelser om överföring av sekretess finns dock i 11–13 kap. sekretesslagen. Om uppgifter som omfattas av sekretess lämnas från en myndighet till en annan och den mottagande myndigheten inte kan åberopa vare sig en primär sekretessregel eller en regel om över- föring av sekretess, blir uppgiften som var hemlig hos den ut- lämnande myndigheten offentlig hos den mottagande myndig- heten. 7.2.2Sekretessbestämmelser som gäller i verksamhet enligt utlännings- och medborgarskapslagstiftningen I det följande beskrivs de materiella sekretessregler som ofta är tillämpliga för personuppgifter som behandlas i verksamhet enligt utlännings- och medborgarskapslagstiftningen, nämligen utrikes- sekretessen, utlänningssekretessen, socialtjänstsekretessen, sekre- tessen för Schengens informationssystem samt statistiksekretessen. Även annan sekretess kan ibland bli aktuell. Sådana andra sekretessbestämmelser som spelar en mindre roll för de stora personuppgiftsflödena mellan eller från de aktuella myndigheterna lämnas emellertid utanför redovisningen. Utrikessekretessen regleras i 2 kap. 1 § sekretesslagen och är tillämplig inom all offentlig verksamhet som omfattas av sekretess- lagen. Enligt bestämmelsen gäller sekretess för uppgifter som angår förbindelser med annan stat eller i övrigt rör annan stat, mellanfolklig organisation, myndighet, medborgare eller juridisk person i annan stat eller statslös, om det kan antas att det stör mellanfolkliga förbindelser eller på annat sätt skadar landet om uppgiften röjs. Ett rakt skaderekvisit gäller vid sekretesspröv- ningen. Utgångspunkten är alltså att alla uppgifter inom utrikes- sekretessens område är offentliga. I verksamhet enligt utlännings- och medborgarskapslagstift- ningen, såsom denna definieras i utlänningsdatalagen, se avsnitt 6.2, är bestämmelsen om utrikessekretess tillämplig främst beträffande uppgifter som förekommer hos och . Utrikessekretessens syfte är att skydda svenska intressen och inte enskilda. Det innebär att personuppgifter kan omfattas av utrikessekretess endast om ett röjande skadar svenska intressen. Så kan vara fallet t.ex. beträffande uppgiftslämnare i reserapporter från s.k. fact findingresor eller i diplomatiska rapporter som Utrikes- departementet översänder till myndigheterna. Såsom beskrivits i avsnitt 4.1.6 innehåller datasystem LIFOS sådan allmän länderinformation som här avses, däribland personuppgifter om uppgiftslämnare för vilka utrikes- sekretess torde gälla. Det bör noteras att samma personuppgifter också kan omfattas av sekretess enligt 7 kap. 14 § första stycket sekretesslagen som behandlas i det följande. kan också utredningsuppgifter i enskilda ärenden om- fattas av utrikessekretess, t.ex. i fråga om identiteten på en informationskälla, om ett röjande bedöms allvarligt kunna försvåra fortsatta möjligheter att få tillgång till dylik information (se SOU 2001:110 s. 40). I 7 kap. 14 § sekretesslagen finns bestämmelser om skydd för ut- länningar. Sekretesskyddet för utlänningar är avsett att förhindra att röjande av uppgift om utlänning leder till skada som hänger samman med hans eller hennes särskilda förhållanden som utlän- ning (prop. 1997/80:2 del A, s. 208). Av paragrafens första stycke framgår att sekretess gäller för uppgift som rör en utlänning, om det kan antas att röjande av uppgiften skulle medföra fara för att någon utsätts för övergrepp eller annat allvarligt men som föranleds av förhållandet mellan utlänningen och utländsk stat eller myndighet eller organisation av utlänningar. Bestämmelsen tar sikte på varje slag av uppgifter som rör utlänningar, oavsett i vilket sammanhang uppgifterna före- kommer. Skaderekvisitet är rakt, vilket innebär en presumtion för offentlighet. Skadebedömningen skall, som tidigare nämnts, göras med utgångspunkt i själva uppgiften. Avgörande är om uppgiften som sådan är av den arten att ett utlämnande typiskt sett kan vara ägnat att medföra skada för det intresse som skall skyddas genom bestämmelsen. Endast en relativt allvarlig skada skall leda till sekretess. Det krävs nämligen att det kan antas att ett röjande av uppgiften skulle medföra att någon utsätts för övergrepp eller allvarligt men. Enligt uttalanden i förarbetena fordras visserligen inte någon högre grad av sannolikhet för sådan skada för att sekre- tessen skall gälla, redan en beaktansvärd skaderisk är tillräcklig. Skaderisken skall dock vara föranledd av förhållandet mellan utlänningen och utländsk stat eller organisation av utlänningar (a. prop. s. 209). Som typexempel på fall där sekretess bör gälla, nämns i förarbetena situationer där röjande av uppgifter om en politisk flykting här i landet leder till repressalier mot flyktingen eller hans anhöriga i hemlandet (a. prop. s. 208). Utredningar och skäl till beslut i asylärenden som handläggs av respektive torde inte sällan innehålla sådana uppgifter. Som sagts kan även uppgifter i LIFOS angående enskilda uppgiftslämnare eller andra personer i t.ex. rese- rapporter omfattas av sekretess enligt den aktuella bestämmelsen. Tillämpningsområdet för utlänningssekretessen enligt paragra- fens första stycke är inte begränsat till viss myndighet eller verk- samhet eller vissa ärenden. Sekretessen gäller inom hela den offentliga förvaltningen. Enligt andra stycket i samma paragraf gäller – utöver vad som framgår av första stycket – sekretess för uppgift om enskilds personliga förhållanden i myndighets verksamhet för kontroll över utlänningar och i ärenden om medborgarskap, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon honom närstående lider men. Med begreppet men avses främst integritetskränkningar av olika slag som kan uppstå på grund av att uppgifter om någons personliga förhållanden lämnas ut. Det kan också inbegripa ekonomiska konsekvenser för en enskild. Utgångs- punkten för en bedömning av om men föreligger är den berörda personens egen upplevelse. Bedömningen kan emellertid i viss utsträckning korrigeras med utgångspunkt i gängse värderingar i samhället. Uttrycket enskilds personliga förhållanden förekommer på många ställen i sekretesslagen. Vad som menas härmed skall bestämmas med ledning av vanligt språkbruk. Uttrycket avser så vitt skilda förhållanden som t.ex. en persons adress och yttringarna av ett psykiskt sjukdomstillstånd (a. prop. s. 84). När det gäller verksamhet för kontroll över utlänningar avses inte bara förvaltningsärenden om t.ex. visering, uppehållstillstånd, arbetstillstånd, avvisning eller utvisning utan också kontrollåt- gärder eller annan löpande tillsyn (a. prop. s. 210). När det gäller uppgift i ärende om arbetstillstånd för utlänning omfattas den av sekretess även enligt 8 kap. 2 § sekretesslagen, om det kan antas att den enskilde lider skada om uppgiften röjs. Med ärende om medborgarskap förstås alla ärenden enligt medborgarskapslagen. Bestämmelsen i andra stycket innebär att sekretess är huvud- regel. Tillämparen har alltså ett betydligt mer begränsat utrymme för sin bedömning än vad som gäller enligt paragrafens första stycke.