sou · GRB340d2 · 2004-01-01 00:00:00 — Enligt utredningen bör till lagens tillämpningsområde också hänföras sådan verksamhet som här berörda myndigheter bedriver och som får anses ha en närmare anknytning till utlännings- eller medborgarskapslagstiftningen och som dessutom motiverar sär- reglering i förhållande till personuppgiftslagen på grund av sin integritetskänsliga karaktär eller för att möjliggöra viktig behand- ling av personuppgifter som inte kan utföras enbart med stöd av personuppgiftslagen. Inledningsvis kan konstateras att polisen inte bedriver någon övrig verksamhet som uppfyller båda dessa kriterier. När det gäller utlandsmyndigheternas finns det vissa myndigheter som represen- terar andra Schengenstater i tredje land. De myndigheterna beviljar viseringar till den representerade staten. Även den verksamheten bör omfattas av lagens tillämpningsområde. I fråga om utlandsmyndigheterna, och polis- myndigheterna är det alltså endast deras behandling av person- uppgifter i verksamhet som nämnts i det föregående som omfattas av lagens tillämpningsområde. Det kan här nämnas att utredningen inte funnit att dessa myndigheters verksamhet enligt passlag- stiftningen har en sådan anknytning till verksamhetsområdet att den bör inlemmas i lagens tillämpningsområde. Främst grundar sig denna bedömning på att verksamheten i allt väsentligt rör svenska medborgare vilket utgör en avgörande skillnad jämfört med den övriga verksamhet som lagen föreslås avse. enda verksamhet utöver den enligt utlän- nings- och medborgarskapslagarna gäller nämndens hantering av frågor om offentligt biträde i ärenden enligt lagen om särskild utlänningskontroll. Denna verksamhet bör givetvis omfattas av utlänningsdatalagens tillämpningsområde. Även och personuppgiftsbehandling i dessa ärenden bör regleras av utlänningsdatalagen. har åtskilliga uppgifter utöver de åligganden som följer av utlänningslagen, lagen om särskild utlänningskontroll eller medborgarskapslagen jämte anslutande förordningar. Migrations- verket svarar bl.a. för överföring av organiserat uttagna flyktingar (s.k. kvotflyktingar), för mottagande av asylsökande m.fl. och vissa andra utlänningar med tidsbegränsat uppehållstillstånd samt har huvudansvaret för deras boende och sysselsättning. Vidare hand- lägger olika ärenden om bidrag åt utlänningar samt beslutar om statlig ersättning till landsting, kommuner m.fl. för kostnader för vissa utlänningar (se närmare redogörelsen i avsnitt 3.3 angående denna verksamhet). för vidare, enligt ett åläggande i myndighetsinstruktionen, register och statistik över utlänningar i landet i den utsträckning som behövs för verksamheten. Dessa verksamheter förutsätter behandling av personuppgifter som i enlighet med vad som sagts ovan är särreglerad i förhållande till personuppgiftslagen. Verksamheterna bör därför omfattas av lagens tillämpningsområde. När det slutligen gäller ingår bland myndig- hetens uppgifter att vid behov medverka vid bosättning i kommun av skyddsbehövande utlänningar som beviljats uppehållstillstånd. Dessutom skall verket följa upp kommunernas introduktion för skyddsbehövande och andra nyanlända invandrare för vilka kom- munerna får statlig ersättning och återföra resultatet till kommu- nerna, andra myndigheter och regeringen. beslutar också om viss statlig ersättning till kommuner och landsting för flyktingmottagande och sjukvårdskostnader. För att denna verksamhet skall kunna bedrivas ändamålsenligt krävs bl.a. att känsliga personuppgifter kan behandlas i relativt stor omfatt- ning. Verksamheten har nära anknytning till utlänningslagstift- ningen och bör därför särregleras i lagen. Sammanfattningsvis föreslås att lagens verksamhetsområde av- gränsas i enlighet med vad som anförts i det föregående. Med tanke bl.a. på att delar av verksamheten utförs med stöd av förordningar bör en saklig beskrivning av verksamheten tas in i lagen. Utredningen föreslår således att verksamhet som gäller utlän- ningars inresa, vistelse eller arbete i samt utresa från (varmed förstås all verksamhet enligt utlänningslagen och lagen om särskild utlänningskontroll), utlänningars inresa i en stat som ingår i EU eller i en stat som är ansluten till EES, mottagande av asylsökande och andra utlänningar, bistånd och bidrag till utlänningar, svenskt medborgarskap, statlig ersättning för kost- nader för utlänningar samt bosättning av utlänningar skall omfattas av lagens tillämpningsområde. I författningskommentaren, avsnitt 9, kommer närmare att utvecklas vad som avses med respektive verksamhet. 6.2.3.2Verksamhet som faller utanför tillämpningsområdet Såväl som bedriver viss annan verksamhet som enligt utredningens mening bör utelämnas från lagens tillämpningsområde. För del gäller detta verkets förvaltning av den europeiska flyktingfonden. Fonden inrättades av EU enligt rådets beslut /596/EG av om inrättande av en europeisk flyktingfond. Som framgått av avsnitt 3.3 kan myndig- heter och organisationer beviljas ekonomiskt stöd ur fonden. Stöd beviljas efter särskild ansökan. Ofta rör det sig om projekt som drivs av kommunala organ eller av ideella föreningar. Det fåtal personuppgifter som förekommer i ansökningsförfarandet m.m. kan i och för sig vara integritetskänsliga. Enligt utredningens be- dömning kan emellertid dessa uppgifter behandlas med samtycke i enlighet med personuppgiftslagens bestämmelser. Detsamma gäller handläggning av ärenden om statsbidrag till organisationer som främjar integration. Visserligen lämnas, som huvudregel, bidrag endast till organisationer som har minst 1 000 betalande medlemmar, varav övervägande del med invandrarbakgrund. Någon registerföring eller annan integritets- känslig behandling av personuppgifter sker emellertid inte inom verket med anledning av denna bidragshantering. arbetsuppgifter utöver de tidigare nämnda avser mer allmän verksamhet till främjande av att integrations- politiska mål och synsätt får genomslag i samhället. Sådan verk- samhet torde inte föranleda behandling av personuppgifter om enskilda personer och bör givetvis utelämnas från lagens tillämp- ningsområde. Även utlandsmyndigheternas handläggning, efter Utrikesdepar- tementets bemyndigande, av ärenden om anställningstillstånd för befattning på svenskt fartyg i utrikes trafik enligt lagen (1989:532) om tillstånd för anställning på fartyg bör utelämnas från lagens tillämpningsområde. Denna verksamhet har ett närmare samband med den arbetsmarknadspolitiska sfären än utlänningslagstift- ningen. Dessutom torde den ha en ringa omfattning och inte heller kräva behandling av integritetskänsliga uppgifter eller annars motivera särreglering i förhållande till personuppgiftslagen. Som angetts i avsnitt 4.1.7, togs den EU-gemensamma centrala och elektroniska databasen i bruk . I den centrala databasen skall fingeravtryck från asylsökande och vissa andra medborgare från tredje land lagras i ett elektroniskt register. Fingeravtryck i databasen skall kunna jämföras med fingeravtryck som överförs från en medlemsstat i syfte att underlätta prövningen av vilken medlemsstat som, enligt eller den EG-förordning som ersatt konventionen, är ansvarig för att pröva en ansökan om asyl. Den centrala databasen är placerad i och förvaltas av Europeiska gemenskapernas kommission. För del är det som skall vara den nationella enhet som är upp- kopplad till Eurodacsystemet. Eurodac inrättades genom en EG-förordning nr 2725/2000 antagen av rådet (Eurodacförordningen). finns i EG-förordningen nr 407/2002, antagen av rådet (tillämpningsförordningen). Förordningarna innehåller bestämmelser som reglerar hur person- uppgifter får behandlas. Bl.a. reglerar den först nämnda förord- ningen noggrant vilka personuppgifter som får överföras från en medlemsstat till den centrala databasen, nämligen fingeravtryck och uppgift om kön, hur registrering och lagring skall ske i den centrala databasen, hur jämförelser av uppgifter skall ske samt att blocke- ring och radering av registrerade uppgifter i vissa fall skall ske. Dessa bestämmelser är utformade på olika sätt beträffande skilda kategorier av utlänningar på vilka fingeravtryck skall tas enligt Eurodacförordningen. Enligt Eurodacförordningen gäller dataskyddsdirektivet för såväl medlemsstaternas som kommissionens behandling av personupp- gifter inom ramen för Eurodacsystemet. Medlemsstaterna har ensamma ansvaret för att identifiera och klassificera resultatet av de jämförelser som den centrala enheten har överlämnat samt för att blockera uppgifter om personer som tas emot och erkänns som flyktingar. Eftersom detta ansvar rör det särskilda området bearbet- ning av personuppgifter och kan inverka på utövandet av individens frihet, har rådet funnit särskilda skäl för att förbehålla sig ut- övandet av vissa genomförandebefogenheter, särskilt när det gäller antagandet av åtgärder för att garantera personuppgifternas säker- het och tillförlitlighet. Medlemsstaterna åläggs enligt Eurodacförordningen ett omfat- tande ansvar för att personuppgifterna används på ett lagligt sätt och att de skyddas från obehöriga intrång m.m. Dessutom skall staterna ansvara för att en enskild person eller en medlemsstat som lider skada på grund av en otillåten behandling eller ett annat hand- lande som är oförenligt med Eurodacförordningen ersätts härför. Skadeståndsanspråk mot en medlemsstat skall regleras genom bestämmelser i den nationella lagstiftningen i svarandestaten. För- ordningen föreskriver vidare vilken information medlemsstaterna är skyldiga att ge till den enskilde registrerade. Enligt artikel 25 i förordningen skall medlemsstaterna säkerställa att användning av i databasen registrerade uppgifter som strider mot Eurodacs syfte bestraffas på lämpligt sätt. Tillämpningsförordningen innehåller detaljerade föreskrifter om överföring och jämförelse av uppgifter om fingeravtryck. Genom anslutning till EU har EG-rätten blivit en integrerad del av den svenska rättsordningen. Förordningar tillhör den s.k. sekundärrätten som EG-instutionerna genom de grund- läggande fördragen har befogenheter att anta. I artikel 249 i fördra- get om upprättande av Europeiska gemenskapen () definieras en förordning på följande sätt. En förordning skall ha allmän giltighet. Den skall till alla delar vara bindande och direkt tillämplig i varje medlemsstat. En förordning blir automatiskt en del av medlemsstatens nationella rättssystem och gäller enligt sin lydelse på samma sätt som nationella lagar. När en förordning träder i kraft utesluter den tillämpning av nationell lagstiftning som är oförenlig med för- ordningen. Detta gäller även om den nationella lagstiftningen är av senare datum. En EG-förordning har således företräde framför nationell rätt (se bl.a. och , , Maktfördelningen mellan den europeiska unionen, medlemsstaterna och medborgarna, 3 uppl., 1998 s. 46 f. med där angivna hänvisningar till domar). Medlemsstaterna får inte vidta nationella implementeringsåtgärder. En förordnings bestämmelser får enligt praxis inte heller återges i nationell lagstiftning, eftersom detta skulle kunna dölja att de rättigheter som har sitt ursprung i förordningen är av gemenskaps- rättslig natur. Bestämmelser i en förordning torde emellertid få återges i nationell lagstiftning när det är nödvändigt för att den nationella lagstiftningen skall bli begriplig och sammanhållen. Vidare får nationell lagstiftning genomföras, om det uttryckligen krävs enligt en förordning eller underförstått krävs för att en förordning skall få verkan i det nationella rättssystemet. Det kan t.ex. behövas nationell lagstiftning när en förordning förutsätter utfärdande av straffregler för att överträdelse av förordningens bestämmelser skall kunna beivras. Med hänsyn till det sagda om EG-förordningars direkta tillämp- lighet får Eurodacförordningens regler om behandling av person- uppgifter inte införlivas i utlänningsdatalagen. Behandling av personuppgifter enligt Eurodacsystemet bör därför inte omfattas av utlänningsdatalagens tillämpningsområde. Eftersom Eurodacförordningen under alla förhållanden gäller före utlänningsdatalagen behövs egentligen ingen uttrycklig bestämmelse om detta i lagen. Enligt lagförslaget skall emellertid bl.a. behandling av personuppgifter i verksamhet som gäller utlänningars inresa och vistelse i omfattas av lagen. Den beskrivningen inrymmer också verksamhet enligt Euro- dacsystemet. I förtydligande syfte bör därför personuppgifts- behandling enligt Eurodacförordningen uttryckligen utelämnas från lagens tillämpningsområde. Att på detta sätt informera om förekomsten av en EG-förordning är inte någon otillåten nationell implementeringsåtgärd. En utfyllnad av Eurodacförordningen är kanske påkallad såvitt gäller straffbestämmelse som beivrar överträdelser av Eurodac- förordningen. Enligt utredningens mening är det emellertid en fråga som får övervägas i ett annat sammanhang. Detsamma gäller frågan om det behövs en författningsreglering av att Migrations- verket skall vara ansvarig myndighet för den svenska medverkan i Eurodacsystemet. Slutligen kan nämnas att, när det gäller skadeståndsyrkande från en enskild registrerad, han eller hon möjligen kan åberopa person- uppgiftslagens regler om skadestånd. Eurodacförordningen före- skriver ju att dataskyddsdirektivet skall tillämpas i fråga om en medlemsstats behandling av personuppgifter inom ramen för Eurodacsystemet samt att skadeståndsanspråk mot en medlemsstat skall regleras genom bestämmelser i svarandestatens nationella lag- stiftning. Personuppgiftslagen är den lag varigenom dataskydds- direktivet implementerats i svensk rättsordning. Av avsnitt 4 har framgått att myndigheterna i datoriserade register behandlar personuppgifter i samband med administrativa ange- lägenheter vid sidan av den egentliga verksamheten. Även i löpande text, e-post, manuellt hanterade register m.m. kan personuppgifter behöva behandlas i administrativa sammanhang. Vad som avses här är sådan ren administration som saknar koppling till något enskilt ärende eller någon registrerad som omfattas av den egentliga verksamhet som särlagen, enligt vad som sagts i avsnitt 6.2.3.1, bör tillämpas på. Administration i samband med t.ex. utbetalningar av s.k. LMA-ersättningar eller hanteringen av kostnadsersättningar till offentliga biträden hör således till den egentliga verksamhet som omfattas av lagens tillämpningsområde. Den rena administrationen kan föranleda behandling av person- uppgifter om såväl anställda som ledamöter i eller i och styrelser. Dessutom kan personuppgifter om utomstående behandlas, t.ex. leverantörer, uppdragstagare eller tolkar. Enligt utredningens mening ger personuppgiftslagen en till- fredsställande reglering av behandlingen av personuppgifter i denna administrativa verksamhet. När det gäller anställda och arbetssökande kan anmärkas att dessa omfattas av ett förslag till lag om skydd för personlig inte- gritet i arbetslivet som lämnats av (SOU 2002:18). Lagförslaget är en särlag i förhållande till personupp- giftslagen och syftar till att skydda den personliga integriteten i arbetslivet genom att bl.a. reglera i vilka avseenden arbetsgivare inte får behandla personuppgifter om anställda och arbetssökande. Förslaget bereds i . 6.2.4Närmare om vilken behandling som regleras Som framgått av avsnitt 5.4 föreslås att utlänningsdatalagen skall omfatta såväl helt eller delvis automatiserad behandling av per- sonuppgifter som behandling av personuppgifter i register, dvs. samma behandling som regleras av personuppgiftslagen. Förutom behandling av personuppgifter i datoriserade ärende- hanteringssystem och av personuppgifter som kan sägas ha syste- matiserats i form av register kommer lagen att omfatta behandling av personuppgifter i bl.a. löpande text med hjälp av ordbehandling i en enskild tjänstemans dator. Lagen blir vidare tillämplig också vid inskanning av dokument samt vid hantering av e-post som rör verksamheten för att ta några exempel. Huruvida lagen blir tillämp- lig på manuellt hanterade personakter, dossierer, som används av , är beroende av om dessa är att betrakta som register eller inte. Vad som avses med behandling respektive personuppgifter fram- går av 3 § personuppgiftslagen. Där sägs att med begreppet behandling avses varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring. All slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet utgör en personuppgift. Här kan nämnas att utredningen inte funnit anledning att utsträcka lagens tillämpningsområde att omfatta också uppgifter om avlidna. Det hindrar naturligtvis inte att myndigheterna i praktiken följer lagens eller personuppgiftslagens bestämmelser när uppgifter om avlidna behandlas. Utredningens förslag: Personuppgiftslagen skall gälla vid behand- ling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen, om inte annat följer av utlännings- datalagen eller annars av 2 § personuppgiftslagen. I klargörande syfte anges detta uttryckligen i den nya lagen. Personuppgiftslagen innehåller vissa definitioner och grundläggan- de förutsättningar för när behandling av personuppgifter är tillåten. I lagen finns vidare bl.a. bestämmelser om information till den registrerade, om säkerhet vid behandlingen, om rättelse av upp- gifter som inte har behandlats i enlighet med personuppgiftslagen eller föreskrifter som har utfärdats med stöd av lagen och om skadestånd. Personuppgiftslagen är generellt tillämplig på behand- ling av personuppgifter och gäller i verksamhet enligt utlännings- och medborgarskapslagstiftningen i den mån det inte finns avvikande bestämmelser i lag eller förordning. Den föreslagna utlänningsdatalagen innehåller – som kommer att framgå i det följande – bestämmelser som avviker från personupp- giftslagen. En övergripande fråga vid utformningen av utlännings- datalagen är därför hur den lagtekniskt bör förhålla sig till person- uppgiftslagen. I de särförfattningar om behandling av personuppgifter som trätt i kraft eller föreslagits i anledning av personuppgiftslagens in- förande kan i huvudsak tre modeller för förhållningssättet till personuppgiftslagen urskiljas. En modell är att i särförfattningen antingen inte nämna person- uppgiftslagen eller klart ange att den särskilda författningen gäller utöver personuppgiftslagen. I bägge fallen gäller avvikande bestäm- melser i författningen i stället för personuppgiftslagen. När regle- ring saknas i den särskilda författningen är personuppgiftslagens bestämmelser tillämpliga. Modellen, här kallad den kompletterande modellen, är den vanligaste förekommande och tillämpas bl.a. i polisdatalagen (1998:622). En nackdel med modellen, som framförts bl.a. i betänkande Skatt – – Exekution – Normer för behandling av personuppgifter, (SOU 1999:105 s. 204), är att det är svårt för tillämparen att klart och tydligt se vilka bestämmelser i personuppgiftslagen som är tillämpliga och i vilken omfattning det i särlagen finns bestäm- melser som kanske endast delvis avviker från personuppgiftslagen. En annan modell, som föreslagits av i dess förslag till en ny polisdatalag i betänkandet Behandling av person- uppgifter i polisens verksamhet (SOU 2001:92 s. 152), innebär att de bestämmelser i personuppgiftslagen som skall vara tillämpliga upprepas i särförfattningen. Personuppgiftslagen gäller över huvud taget inte för den behandling av personuppgifter som regleras genom författningen enligt denna modell, som här kallas den hel- täckande modellen. Den heltäckande modellen har föreslagits i anledning av den kritik som inom polisen riktats mot att den nu- varande polisdatalagen utgör ett komplement till personuppgifts- lagen. Enligt kritiken är det för lagtillämparen opraktiskt att arbeta med två olika lagar. Den heltäckande modellen berördes något av regeringen i propositionen Polisens register som föregick den nu gällande polisdatalagen. Enligt regeringen skulle systemet med denna lagstiftningsteknik bli tungrott varför en sådan dubbel- reglering borde undvikas (prop. 1997/98:97 s. 97). En tredje modell, den hänvisande modellen, tillämpas i den lagstiftning om behandling av personuppgifter som gäller inom skatteförvaltningen, exekutionsväsendet och . Modellen innebär att de bestämmelser som avviker från personuppgiftslagen regleras särskilt i specialförfattningen och att det anges att för- fattningen gäller i stället för personuppgiftslagen om inte annat sägs i författningen. Därefter anges uttryckligen vilka bestäm- melser i personuppgiftslagen som skall gälla för behandling av personuppgifter enligt särförfattningen i fråga (se t.ex. 2 och 3 §§ lagen (2001:181) om behandling av uppgifter i skatteförvaltningens beskattningsverksamhet). Modellen tillämpas även av Domstolsdata- utredningen i dess förslag till lagar om behandling av personupp- gifter i domstolars samt hyres- och arrendenämnders verksamhet (SOU 2001:100). Modellen har emellertid ansetts otillfredsställande av Lagrådet i dess yttrande i lagstiftningsärendet som gällde skatteförvaltningen m.m. Lagrådet ansåg bl.a. att lagstiftningstek- niken är riskfylld med hänsyn till såväl svårigheterna att överblicka om dataskyddsdirektivet blir till fullo genomfört i särlagarna som till möjligheten att hänvisningarna till personuppgiftslagen blir felaktiga eller ofullständiga vid kommande lagändringar (se prop. 2000/01:33 s. 345 f.). I samma lagstiftningsärende anförde rege- ringen till stöd för att ändå välja den hänvisande modellen att lagen för tillämparen blir överskådlig och tydlig och att lagen undanröjer en hel del merarbete som det innebär för tillämparen att gå igenom särlagen och personuppgiftslagen parallellt och därvid jämföra olika bestämmelser. Enligt regeringen medför modellen även över- skådlighet för den enskilde, som därmed lättare kan utnyttja de rättigheter som tillerkänns denne ( a. prop. s. 88). Som framgått av redovisningen i det föregående är samtliga förekommande lagstiftningstekniska modeller förenade med vissa nackdelar. Utredningen har emellertid inte sett det som möjligt att föreslå en fjärde modell som eliminerar dessa nackdelar. Någon av de nämnda varianterna bör därför väljas. I utredningens direktiv har regeringen antytt att en lagstiftnings- teknisk lösning som förhåller sig kompletterande till personupp- giftslagen är att föredra. Regeringen har i direktiven anfört att särlagstiftning i förhållande till personuppgiftslagen bör begränsas till att avse frågor som är specifika för de verksamheter som omfattas av lagstiftningen. Enligt direktiven kan det handla om situationer då personuppgiftslagens mer allmänt hållna bestämmelser ger upphov till tolkningsproblem i förhållande till annan lagstiftning eller att det kan finnas anledning att vara särskilt tydlig med att ange de undantag och preciseringar som är motiverade. Som nämnts i avsnitt 5.3 sker en övervägande del av den behand- ling av personuppgifter som föreslås regleras genom lagen – inte minst den mest integritetskänsliga – i verksamhet som omfattas av gemenskapsrätten. Det är därför uteslutet att föreslå bestämmelser som innehåller otillåtna avvikelser från vad dataskyddsdirektivet föreskriver. Lagrådets påpekande att den hänvisande modellen gör det svårt att överblicka om dataskyddsdirektivet – som i genomförts genom personuppgiftslagen – blir till fullo genomfört i särlagen är därför särskilt beaktansvärt i fråga om utlänningsdata- lagen. Av samma skäl framstår även en heltäckande lag som gäller i stället för personuppgiftslagen som ett mindre lämpligt val. De problem för tillämparen eller den enskilde registrerade som kan följa på att två lagar är parallellt tillämpliga bör inte över- betonas.