prop · H30365 · 2015-12-07 00:00:00 — Ett exempel på där denna lagstiftningsteknik delvis används är polisdatalagen (2010:361). Som utredningen redogör för kan det ur ett integritetsskyddsperspektiv finnas fördelar med en reglering som tydligt specificerar de 2015/16:65 personuppgifter som får behandlas. Det gäller särskilt när det rör sig om personuppgiftsbehandling i ett register i traditionell mening, dvs. att uppgifter förs in i en uppgiftssamling på ett systematiskt sätt enligt särskilda kriterier och att de är sökbara med särskilda sökord, koder eller liknande. Sådan reglering finns t.ex. när det gäller fingeravtrycks- och signalementregister (4 kap. 13 § polisdatalagen). Som utredningen anför är emellertid den ärendehantering som sker hos inte anpassad till traditionella register. Verket tillämpar ett ärendehanteringssystem där all information om en person samlas i en dossier. Den behandling som sker i verksamhet enligt utlännings- och medborgarskapslagstiftningen är även omfattande och mångsidig. Att under sådana omständigheter specificera vilka kategorier av uppgifter som ska få behandlas kan vara både svårt och opraktiskt, eftersom uppräkningen ofta kan komma att behöva ändras om behovet hos den personuppgiftsbehandlande myndigheten förändras. Vid en sammantagen bedömning anser regeringen därför liksom utredningen att utlänningsdatalagen inte bör innehålla bestämmelser som specificerar vilka kategorier av personuppgifter som får behandlas. I stället bör de ändamålsbestämmelser som föreslås i avsnitt 6 och de grundläggande bestämmelserna i 9 § personuppgiftslagen (1998:204), som utlänningsdatalagen föreslås hänvisa till, vara avgörande för vilka uppgifter som får behandlas. Regeringen kommer dock att överväga begränsningar i förordning av vilka kategorier av uppgifter som ska få behandlas. 6.11.2Särskilt om känsliga personuppgifter Regeringens förslag: Känsliga personuppgifter som anges i 13 § personuppgiftslagen ska få behandlas endast om det är absolut nödvändigt för de ändamål som anges i utlänningsdatalagen. Känsliga personuppgifter ska aldrig få behandlas för testverksamhet eller återsökande av avgöranden, rättsutredningar och annan rättslig information. Vid återsökning av information som rör förhållanden i andra länder får känsliga personuppgifter behandlas bara i löpande text. Det införs en upplysningsbestämmelse om att regeringen kan meddela ytterligare föreskrifter som begränsar användningen av känsliga personuppgifter. Utredningens förslag överensstämmer delvis med regeringens. Utredningen föreslår att känsliga personuppgifter ska få behandlas också om den registrerade har lämnat sitt uttryckliga samtycke till behandlingen och om den registrerade på ett tydligt sätt själv Utredningen föreslår även att känsliga personuppgifter ska få behandlas för att utföra testverksamhet. Remissinstanserna: De flesta förslaget eller lämnar det utan invändningar. anser att det inte är lämpligt att använda begreppet absolut nödvändigt i I stället bör begreppen behövligt och nödvändigt användas. begreppet absolut nödvändigt är olämpligt eftersom det lämnar ett brett tolkningsutrymme för de Prop. 2015/16:65 tillämpande myndigheterna. Samfundet förordar i stället att hänvisningen till 15 § personuppgiftslagen tas bort och ersätts med en precisering av vilka personuppgifter som över huvud taget får behandlas. Datainspektionen anser att utredningens analys av integritetsriskerna med behandling av känsliga personuppgifter är bristfällig och att det saknas underlag för att bedöma behov av att kunna behandla känsliga personuppgifter i testverksamhet. vill betona vikten av att en restriktiv tillämpning av möjligheten till behandling av känsliga personuppgifter upprätthålls trots att det handlar om en verksamhet där känsliga personuppgifter är vanligt förekommande. Skälen för regeringens förslag Allmänt om känsliga personuppgifter Det är enligt 13 § personuppgiftslagen (1998:204) som huvudregel förbjudet att behandla känsliga personuppgifter. Med känsliga personuppgifter avses uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa eller sexualliv. Det finns dock ett antal undantag från förbudet i 14–20 §§ personuppgiftslagen. Det följer vidare av artikel 8.4 i dataskyddsdirektivet att medlemsstaterna, under förutsättning att lämpliga skyddsåtgärder vidtas, av hänsyn till ett viktigt allmänt intresse kan besluta om andra undantag, antingen i sin nationella lagstiftning eller genom ett beslut av tillsynsmyndigheten. I svensk rätt har en sådan möjlighet införts i 20 § personuppgiftslagen. Enligt den bestämmelsen får regeringen, eller den myndighet som regeringen bestämmer, meddela föreskrifter om ytterligare undantag från förbudet att behandla känsliga personuppgifter, om det behövs med hänsyn till ett viktigt allmänt intresse. I 8 § personuppgiftsförordningen har regeringen även föreskrivit att känsliga personuppgifter, utöver de undantag som anges i personuppgiftslagen, får behandlas av en myndighet i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för handläggningen av det. I verksamhet enligt utlännings- och medborgarskapslagstiftningen förekommer känsliga personuppgifter i stor utsträckning och omfattar alla de kategorier av uppgifter som anges i 13 § personuppgiftslagen. De undantag som finns i personuppgiftslagen eller dess förordning är, som också utredningen bedömer, inte tillräckliga för att täcka all nödvändig behandling av känsliga personuppgifter som utförs av de myndigheter som föreslås omfattas av utlänningsdatalagens regler. En reglering av behandlingen av känsliga personuppgifter bör därför finnas i utlänningsdatalagen. Dagens reglering av känsliga personuppgifter I förordningen om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen finns vissa bestämmelser om behandling av känsliga personuppgifter. I 5 § finns en 2015/16:65 generell bestämmelse som rör behandling av känsliga personuppgifter i den mening som avses i 13 § personuppgiftslagen. Enligt bestämmelsen får sådana uppgifter behandlas endast om uppgifterna är oundgängligen nödvändiga för myndigheternas handläggning av ärenden och fullgörande av underrättelseskyldighet som följer av lag eller annan författning. Enligt 4 § 7 får uppgifter om språk, religion, politisk åskådning, etnisk tillhörighet, hälsotillstånd och sexuell läggning behandlas i verksamhetsregistret, endast om uppgifterna är oundgängligen nödvändiga för myndighetens handläggning av ärenden eller fullgörande av underrättelseskyldighet. Vidare får enligt 4 § 18 och 20 uppgifter om hälsotillstånd och andra personliga förhållanden behandlas endast om uppgifterna är oundgängligen nödvändiga för beslut om förvar eller verkställighet. Av 7 § följer vidare att känsliga personuppgifter inte får användas som sökbegrepp i myndigheternas verksamhetsregister. I landinformationsregister får enligt 12 § känsliga personuppgifter endast behandlas i löpande text och under förutsättning att uppgifterna är oundgängligen nödvändiga för att fullgöra uppgifter i verksamhet inom utlännings- och medborgarskapslagstiftningen. Hur ska frågan om behandling av känsliga personuppgifter regleras i utlänningsdatalagen? Som tidigare nämnts medför verksamheten enligt utlännings- och medborgarskapslagstiftningen ett behov av behandling av känsliga personuppgifter och behovet omfattar alla de kategorier av uppgifter som anges i 13 § personuppgiftslagen. Till exempel kräver handläggningen av asylärenden hos behandling av känsliga personuppgifter, eftersom den asylsökandes hälsotillstånd, etnicitet eller sexuella läggning är uppgifter som kan ha betydelse för en mängd beslut som fattas i asylprocessen. Uppgifterna härrör i sådana fall ofta från vad den sökande själv har uppgett till myndigheten. Ett annat exempel på ärenden som kräver behandling av känsliga personuppgifter är verkställighetsärenden, där bl.a. behandling av uppgifter om den enskildes hälsa kan vara nödvändig för eller . Inte sällan ligger det i den registrerades eget intresse att sådana uppgifter om honom eller henne kan behandlas och beaktas. Myndigheterna måste således kunna behandla känsliga personuppgifter med hjälp av modern informationsteknik. Annat har inte framkommit än att myndigheternas behov av behandling av känsliga personuppgifter i huvudsak tillgodoses genom de undantag från det generella förbudet att behandla känsliga personuppgifter som följer av förordningen om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen. En reglering som bygger på dessa undantag bör därför som utredningen föreslår föras in i utlänningsdatalagen. Känsliga personuppgifter bör alltså för det första få behandlas för handläggning av ärenden eller en myndighets biträde i sådana ärenden, kontroll av utlänning i samband med inresa och utresa samt kontroll under vistelsen i , utförande av arbetsuppgifter som gäller mottagande och bosättning av asylsökande och andra utlänningar samt uppgiftslämnande i vissa fall, om uppgifterna verkligen är nödvändiga för ändamålet med behandlingen. Känsliga personuppgifter bör även i vissa fall få behandlas av i löpande text för återsökning av information som rör förhållanden i andra länder, om uppgifterna är nödvändiga för att fullgöra arbetsuppgifter i verksamhet. Som utredningen föreslår behövs det av integritetsskyddsskäl en mer begränsad möjlighet att behandla känsliga personuppgifter jämfört med andra personuppgifter. Frågan är då hur denna begränsning ska formuleras. Utredningen föreslår att känsliga personuppgifter ska få behandlas endast i de fall det är absolut nödvändigt för de i lagen tillåtna ändamålen, vilket enligt utredningen motsvarar det som gäller enligt förordningen om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Kammarrätten i och anser att det är olämpligt att använda begreppet absolut nödvändigt i lagtext. Kammarrätten förordar i stället att lagen ska skilja mellan behandling som är nödvändig och behandling som endast är behövlig. Regeringen har viss förståelse för domstolens synpunkt. Intresset av att så långt möjligt använda likartad terminologi i de olika lagar som reglerar myndigheternas personuppgiftsanvändning väger å andra sidan tungt. Både i 2 kap. 10 § polisdatalagen och i 2 kap. 8 § i åklagardatalagen (se prop. 2014/15:63) används begreppet absolut nödvändigt för att avgränsa i vilken mån behandling av känsliga personuppgifter ska vara tillåten. En sådan begränsning överensstämmer dessutom med vad som , om än något annorlunda uttryckt, gäller enligt förordningen om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Regeringen bedömer därför att lagen på den aktuella punkten bör utformas som utredningen föreslår, dvs. att känsliga personuppgifter ska få behandlas om det är absolut nödvändigt för de tillåtna ändamålen med behandlingen. Syftet med begränsningen att behandlingen ska vara absolut nödvändig är att markera att behandlingen av känsliga personuppgifter bör ske med försiktighet och aldrig slentrianmässigt. Rekvisitet innebär emellertid inte att känsliga personuppgifter endast får behandlas i undantagsfall. Som lyfts fram tidigare kräver verksamheten på utlännings- och medborgarskapsområdet ofta att känsliga personuppgifter behandlas. Genom rekvisitet markeras dock att behandling ska ske med restriktivitet och att behovet av att behandla den känsliga personuppgiften ska prövas noga i det enskilda ärendet. En sådan prövning ska inte bara göras när uppgiften samlas in eller behandlas utan även vid senare behandling av redan insamlade uppgifter. Utredningen föreslår härutöver att känsliga personuppgifter alltid ska få behandlas om den registrerade lämnat sitt uttryckliga samtycke till behandlingen eller på ett tydligt sätt offentliggjort uppgifterna. Enligt regeringens mening är det inte lämpligt att nu utöka möjligheten för myndigheterna att behandla känsliga personuppgifter på detta sätt. Något sådant förslag lämnas därför inte. 2015/16:65 En utvidgning av möjligheten att behandla känsliga personuppgifter jämfört med I avsnitt 6.9.5 föreslås ett särskilt ändamål för personuppgiftsbehandling i syfte att fullgöra en rättslig skyldighet att registrera eller på annat sätt dokumentera en personuppgift. Ändamålet är nytt i förhållande till dagens förordning om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Eftersom det handlar om en verksamhet som myndigheterna är skyldiga att utföra är det naturligt att även känsliga personuppgifter får behandlas för detta ändamål under samma begränsningar som i övrigt gäller för sådan behandling. Känsliga personuppgifter får enligt 5 § förordningen om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen inte behandlas för ändamålen tillsyn, kontroll, uppföljning, planering av verksamheten, framställning av statistik eller testverksamhet. har dock uppgett att det föreligger ett behov av att kunna behandla känsliga personuppgifter även för dessa ändamål. Det är viktigt att bl.a. fortlöpande kan bevaka effektiviteten och kvaliteten i verksamheten. Detta åtagande förutsätter uppföljning och kontroll av olika slag och då kan känsliga personuppgifter vara relevanta. har vidare krav på sig att föra statistik över utlänningar i landet i den utsträckning som behövs för verksamheten. Vidare kan utländska organ, exempelvis UNCHR, begära viss statistik som bygger på känsliga personuppgifter (exempelvis rörande verkets handläggning av asylärenden som rör hbtq-personer, dvs. homosexuella, bisexuella, trans- och queerpersoner). Det finns därför ett stort behov för att kunna behandla känsliga personuppgifter. Samma behov kan antas finnas hos övriga myndigheter som föreslås omfattas av utlänningsdatalagen. Mot den bakgrunden gör regeringen för det första bedömningen att känsliga personuppgifter om det är absolut nödvändigt ska kunna behandlas för att framställa statistik. Regeringen gör vidare i avsnitt 6.9.4 bedömningen att det inte behövs någon särskild ändamålsbestämmelse för att personuppgifter ska få behandlas för tillsyn, kontroll, uppföljning eller planering av verksamheten. I stället bedöms sådan verksamhet täckas av de övriga ändamålsbestämmelserna. Av det skälet bedömer regeringen att personuppgiftsbehandling för sådan verksamhet ska täckas av den generella bestämmelsen som tillåter personuppgiftsbehandling av känsliga personuppgifter när det är absolut nödvändigt för de ändamål som anges i utlänningsdatalagen. Av avgörande betydelse för bedömningen är att regeringen delar utredningens uppfattning att myndigheternas rutiner för dataskydd och säkerhet vid behandlingen utgör en tillräcklig garanti för att hanteringen av känsliga personuppgifter blir lika god vid sådan ärendehantering som består av tillsyn, kontroll, uppföljning, planering av verksamheten eller framställning av statistik som för övrig ärendehantering. När det slutligen gäller testverksamhet instämmer regeringen i Datainspektionens uppfattning att det inte finns tillräckliga skäl att tillåta behandling av känsliga personuppgifter för det ändamålet. En upplysningsbestämmelse Prop. Som utredningen föreslår bör bestämmelsen som anger förutsättningarna för att behandla känsliga personuppgifter kompletteras med en upplysningsbestämmelse om att regeringen kan meddela föreskrifter. Det bör dock tydliggöras att det bara kan komma i fråga att ge ytterligare föreskrifter som begränsar möjligheten att behandla känsliga personuppgifter. 6.12 Tillgången till personuppgifter Regeringens förslag: Tillgången till personuppgifter ska begränsas till det som varje tjänsteman behöver för att fullgöra sina arbetsuppgifter. Regeringen eller den myndighet regeringen bestämmer kan meddela närmare föreskrifter om tillgången till personuppgifter. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: De flesta remissinstanser antingen godtar förslaget eller lämnar det utan invändningar. anser att bestämmelsen om intern begränsning är överflödig och kan ge upphov till tolkningsproblem. Samfundet motsätter sig vidare att regeringen ska få delegera föreskriftsrätt till de tillämpande myndigheterna. () anser att en fortsatt analys bör göras i fråga om hantering av uppgifter som flera har tillgång till. Skälen för regeringens förslag: I verksamhet enligt utlännings- och medborgarskapslagstiftningen behandlas en stor mängd personuppgifter. Många av dessa är känsliga personuppgifter enligt 13 § personuppgiftslagen (1998:204) eller i övrigt av integritetskänslig karaktär. Det är viktigt att så långt som möjligt motverka att uppgifterna sprids till någon som inte är behörig att ta del av dem. Som utredningen föreslår, bör det därför införas en bestämmelse i utlänningsdatalagen som anger att tillgången till personuppgifter ska begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. Den föreslagna bestämmelsen har tidigare förebilder och förekommer i flera moderna författningar som reglerar myndigheters personuppgiftsbehandling, t.ex. polisdatalagen (2010:361). Regeringen kan därför inte se att den ska innebära några tolkningsproblem. I första hand åligger det myndigheterna att med utgångspunkt i den egna myndighetens organisation och behov se till att tillgången till personuppgifter begränsas i enlighet med den föreslagna bestämmelsen. Regeringen eller den myndighet som regeringen bestämmer bör därutöver ha möjlighet att meddela närmare föreskrifter om tillgången till personuppgifter. Även denna upplysningsbestämmelse bör utformas på samma sätt som motsvarande bestämmelser i t.ex. polisdatalagen. När det gäller behovet av att införa särskilda regler om uppgifter som flera har tillgång till, dvs. det som i t.ex. polisdatalagen benämns som gemensamt tillgängliga uppgifter (3 kap. 1 §), instämmer regeringen i utredningens bedömning att verksamheten enligt utlännings- och 2015/16:65 medborgarskapslagstiftningen i väsentlig mån skiljer sig från den verksamhet som regleras i polisdatalagen och att det skulle innebära betydande svårigheter att skilja ut vilka katgegorier av uppgifter som ska hänföras till kategorin gemensamt tillgängliga uppgifter. Liksom utredningen bedömer regeringen vidare att det genom den föreslagna hänvisningen till 9 § personuppgiftslagen och genom de övriga skyddsregler som föreslås tillskapas ett tillräckligt integritetsskydd även i de fall många handläggare hos myndigheterna är i behov av att hantera uppgifterna. Regeringens förslag: Vid sökning i personuppgifter ska det vara förbjudet att som sökbegrepp använda uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, hälsa eller sexualliv. Personuppgifter som direkt pekar ut den registrerade ska inte få användas som sökbegrepp vid behandling av personuppgifter för återsökning av information om förhållanden i andra länder. Uppgifter om lagöverträdelser m.m. ska inte få användas som sökbegrepp. Uppgifter om beslut om förvar ska dock få användas som sökbegrepp. Utredningens förslag överensstämmer delvis med regeringens. Utredningen föreslår dock vissa undantag från förbudet att använda känsliga personuppgifter som sökbegrepp. Utredningen föreslår också en annan redaktionell utformning av regleringen. Remissinstanserna: De flesta remissinstanser antingen godtar utredningens förslag eller lämnar det utan invändningar. Kammarrätten i förordar att bestämmelsen som anger att personuppgifter som direkt pekar ut den registrerade inte får användas som sökbegrepp görs snävare genom att ordet direkt utgår. Datainspektionen avstyrker utredningens förslag om undantag från förbudet att använda känsliga personuppgifter som sökbegrepp. anser att det principiella förbudet att använda uppgifter om lagöverträdelser som sökbegrepp inte bör omfatta . Skälen för regeringens förslag Begränsningar för integritetskänsliga sökbegrepp Sökbegrepp som tar sikte på känsliga personuppgifter är typiskt sett förknippade med särskilda risker i integritetshänseende. Med känsliga personuppgifter avses uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening, hälsa eller sexualliv (jfr 13 § personuppgiftslagen). I många registerlagar är det därför förbjudet att använda sådana integritetskänsliga sökbegrepp. Skälet till detta är att det inte kan uteslutas att sammanställningar över känsliga personuppgifter kan komma att missbrukas med risk för allvarliga intrång i enskildas personliga integritet. Ett annat skäl till att vissa sökbegrepp ofta är förbjudna att använda har samband med den s.k. begränsningsregeln i 2 kap. 3 § tredje stycket tryckfrihetsförordningen. Den innebär att en sammanställning som innehåller personuppgifter inte anses förvarad hos en myndighet om myndigheten saknar rättslig befogenhet att göra sammanställningen. Den utgör då följaktligen inte heller en allmän handling. Syftet med begränsningsregeln är att hindra allmänheten från att göra anspråk på att få del av sammanställningar av uppgifter ur upptagningar hos myndigheten som myndigheten själv, av integritetsskäl, är rättsligen förhindrad att ta fram i sin egen verksamhet. Integritetsskyddet ska alltså upprätthållas även om 2 kap. tryckfrihetsförordningen åberopas (se SOU 2010:4 s. 143 och SOU 2012:90 s. 115). Utredningen föreslår mot den bakgrund som redovisas ovan att sökbegrepp som tar sikte på känsliga personuppgifter i princip inte ska vara tillåten. Regeringen instämmer i den utgångspunkten. Utredningen föreslår dock att användningen av sådana sökbegrepp ska vara tillåten vid personuppgiftsbehandling som utförs för ändamålen tillsyn, kontroll, uppföljning av verksamheten, framställning av statistik eller testverksamhet samt vid återsökning av information som rör andra länder. Enligt utredningen har behov av att använda integritetskänsliga sökbegrepp i olika sammanhang, t.ex. för att kunna redogöra för UNHCR om verkets handläggning av asylärenden som rör hbtq-personer. Utredningen anser också att det kan vara rimligt att verket har möjlighet att använda integritetskänsliga sökbegrepp för att kunna följa upp och planera för flyktingströmmar från en viss etnisk konflikt eller för att kunna bereda verksamheten på att ta emot stora strömmar av asylsökande som är hiv-bärare eller drabbade av svåra miljökatastrofer. I avsnitt 6.11.2 gör regeringen bedömningen att känsliga personuppgifter inte ska få behandlas vid bedrivande av testverksamhet. Det innebär att sådana uppgifter inte heller får användas som sökbegrepp under bedrivande av testverksamhet. När det sedan gäller personuppgiftsbehandling som utförs för att bedriva tillsyn, kontroll, uppföljning, planering av verksamheten och framställning av statistik samt för återsökning av information som rör andra länder delar regeringen utredningens bedömning att det kan finnas ett behov för att kunna använda sökbegrepp som tar sikte på känsliga personuppgifter vid sådan verksamhet. Regeringen bedömer att även och utlandsmyndigheterna, bortsett från ändamålet återsökning av information som rör förhållanden i andra länder, kan ha ett sådant behov. finns ett generellt förbud mot att använda känsliga personuppgifter som sökbegrepp i 7 § förordningen om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Enligt regeringen måste det finnas mycket starka skäl för att i utlänningsdatalagen frångå det ställningstagande som gjorts i förordningen. Endast om behovet av att kunna använda känsliga personuppgifter som sökbegrepp är så starkt att det klart överväger de integritetsrisker sådan sökning kan medföra för den enskilde bör en förändring övervägas.