prop · H30365 · 2015-12-07 00:00:00 — I ett enskilt fall får personuppgifter som behandlas enligt 7 § även behandlas för att tillhandahålla information för något annat ändamål än de som anges i första–tredje styckena, under förutsättning att ändamålet inte är oförenligt med det ändamål för vilket uppgifterna samlades in. Paragrafen reglerar de sekundära ändamålen för behandling av personuppgifter i brottsbekämpande verksamhet. Övervägandena finns i avsnitt 6.10. Första stycket 6 ändras på så sätt att det införs en ny bestämmelse som ger stöd för att behandla personuppgifter för att tillhandahålla information, som fått fram då myndigheten jämfört fingeravtryck tagna av 2015/16:65 mot fingeravtrycks- och signalementregister. Den hittillsvarande bestämmelsen i första stycket 6 överförs utan ändringar i sak till den nya första stycket 7. 18 § Säkerhetspolisen, , , och har, trots sekretess enligt 21 kap. 3 § första stycket och 35 kap. 1 § offentlighets- och sekretesslagen (2009:400), rätt att ta del av personuppgifter som behandlas i fingeravtrycks- och signalementsregister enligt 4 kap. 11–17 §§, om den mottagande myndigheten behöver uppgifterna i sin brottsbekämpande verksamhet. har motsvarande rätt att ta del av personuppgifter som behandlas i fingeravtrycks- och signalementsregistret, om verket behöver uppgifterna för kontroll av fingeravtryck som verket tagit. Paragrafen innehåller vissa sekretessbrytande bestämmelser. Övervägandena finns i avsnitt 6.10. Paragrafen kompletteras med en andra mening som innebär att kan lämna ut uppgifter ur fingeravtrycks- och signalementsregistret till trots sekretess enligt 21 kap. 3 § första stycket och 35 kap. 1 § offentlighets- och sekretesslagen (2009:400). För att uppgifter ska få lämnas ut krävs att behöver uppgifterna för kontroll av fingeravtryck. Sammanfattning av betänkandet Personuppgiftsbehandling på utlännings- och medborgarskapsområdet (SOU 2015:73) I detta betänkande redovisar utredningen sitt uppdrag att utarbeta förslag till en lag om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen (dir. 2014:76). Härvid redovisas även dels en kartläggning av behandlingen av personuppgifter inom denna verksamhet, dels en analys av om den behandling som förekommer är nödvändig och om ytterligare behov av personuppgiftsbehandling finns för att skapa förutsättningar för en effektiv verksamhet. Utredningen redovisar också i betänkandet några ytterligare frågeställningar som utredningen har fått i uppdrag att analysera särskilt. En ny lag om behandlingen av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen Lagens syfte, utformning, m.m. Utredningens förslag innebär att behandlingen av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen ska regleras i en lag, som utformats med beaktande av bland annat skyddet för den personliga integriteten i 2 kap. 6 § andra stycket regeringsformen (RF), personuppgiftslagen (1998:204, PUL) och och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (dataskyddsdirektivet). Däremot har det inte varit möjligt att anpassa förslagen till det pågående reformarbetet av om skydd för personuppgifter, eftersom detta arbete ännu inte () är klart. Lagen, som föreslås heta utlänningsdatalag, samt en föreslagen anslutande förordning ska ersätta den nu gällande förordningen (2001:720) om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Lagens övergripande syften föreslås vara att ge berörda myndigheter möjlighet att behandla personuppgifter på ett ändamålsenligt sätt i sin verksamhet enligt utlännings- och medborgarskapslagstiftningen och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. Lagen har utformats som en ramlag. De grundläggande bestämmelserna som har till syfte att skydda den registrerade mot intrång i den personliga integriteten finns i lagen. Kompletterande bestämmelser finns i författningar på lägre nivå. Lagförslaget, som gjorts teknikoberoende, syftar till att göra det möjligt för berörda myndigheter att använda moderna och ändamålsenliga it-system för att verksamheten ska kunna bedrivas så effektivt som möjligt. Utlänningsdatalagen föreslås vara tillämplig vid behandlingen av personuppgifter i verksamhet enligt utlännings- och medborgarlagstiftningen som utförs av , , Säkerhetspolisen och utlandsmyndigheterna. Vari denna verksamhet består preciseras närmare och uttömmande i lagen. Vad gäller och utlandsmyndigheternas verksamhet föreslås att lagen ska tillämpas vid behandling av personuppgifter som rör: –utlänningars inresa i eller i en stat som ingår i Europeiska unionen eller i en stat som är ansluten till Europeiska ekonomiska samarbetsområdet, vistelse eller arbete i samt utresa från , –mottagande av asylsökande och andra utlänningar, –bistånd och stöd till utlänningar, –svenskt medborgarskap, –statlig ersättning för kostnader för utlänningar eller –bosättning av utlänningar. Vad gäller och Säkerhetspolisens verksamhet föreslås lagen tillämpas vid behandling av personuppgifter som rör utlänningars inresa i, utresa från, vistelse i eller avlägsnande från . Viss personuppgiftsbehandling hos de aktuella myndigheterna föreslås dock falla utanför lagens tillämpningsområde trots att lagen i och för sig hade kunnat vara tillämplig. Det gäller bland annat personuppgiftsbehandling enligt lagen (2000:344) om Schengens informationssystem samt enligt de EU-förordningar som brukar benämnas VIS-förordningen, Viseringskodexen och Eurodacförordningen. Den nya lagen ska inte heller tillämpas då personuppgifter behandlas med stöd av polisdatalagen (2010:361). I likhet med personuppgiftslagen föreslås lagen gälla då personuppgiftsbehandlingen är helt eller delvis automatiserad samt då personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. Det föreslagna tillämpningsområdet har alltså i viss mån utvidgats jämfört med vad som gäller enligt nuvarande utlänningsdataförordning, som i första hand gäller personuppgiftsbehandling i olika verksamhetsregister. Bestämmelserna i den nya lagen föreslås som huvudregel ha företräde framför personuppgiftslagens bestämmelser. Vissa bestämmelser i personuppgiftslagen ska dock vara tillämpliga i verksamheten enligt utlännings- och medborgarskapslagstiftningen. I den nya lagen pekas dessa bestämmelser särskilt ut. Det gäller bland annat personuppgiftslagens bestämmelser om förhållandet till offentlighetsprincipen (8 §), grundläggande krav på behandlingen av personuppgifter (9 §), behandling av uppgifter om personnummer (22 §), överföring av personuppgifter till tredjeland (33–35 §§) och skadestånd (48 §). Den myndighet som utför en behandling eller som det åligger att utföra en behandling föreslås vara personuppgiftsansvarig för behandlingen. Ett undantag från denna huvudregel föreslås i det att ska vara personuppgiftsansvarig för utlandsmyndigheternas automatiserade personuppgiftsbehandling. , och Säkerhetspolisen föreslås vidare vara skyldiga att utse ett eller flera personuppgiftsombud för den personuppgiftsbehandling som myndigheten utför eller som det åligger myndigheten att utföra. Personuppgifter föreslås endast få behandlas med stöd av utlänningsdatalagen om det är nödvändigt för vissa särskilt angivna ändamål. Ändamålen, både primära och sekundära, framgår av lagen. De primära ändamålen för , , Säkerhetspolisens och utlandsmyndigheternas personuppgiftsbehandling föreslås vara följande: –handläggning av ärenden eller en myndighets biträde i sådana ärenden i verksamhet inom lagens tillämpningsområde (se ovan), –kontroll av utlänning i samband med inresa och utresa samt kontroll under vistelsen i , –utförande av arbetsuppgifter som gäller mottagande och bosättning av asylsökande och andra utlänningar, –tillsyn, kontroll, uppföljning, planering av verksamheten, framställning av statistik samt testverksamhet eller –fullgörande av en rättslig skyldighet att registrera eller på annat sätt dokumentera en personuppgift. föreslås därutöver få behandla personuppgifter om det är nödvändigt för återsökning av avgöranden, rättsutredningar och annan rättslig information eller information rörande förhållanden i andra länder. Vidare föreslås att personuppgifter som behandlas enligt ovan nämnda primära ändamål även ska få behandlas enligt nedan följande sekundära ändamål om det är nödvändigt för att tillhandahålla information: –till en annan myndighet eller enskild, om utlämnandet sker med stöd av lag eller förordning eller –till en utländsk myndighet, ett EU-organ eller en mellanfolklig organisation, om utlämnande följer av medlemskap i unionen eller av uppgiftsskyldighet enligt internationell konvention som tillträtt eller av godkänt avtal med främmande stat eller mellanfolklig organisation. Personuppgifter ska i ett enskilt fall även få behandlas för att tillhandahålla information för något annat ändamål än som angetts under förutsättning att ändamålet inte är oförenligt med det ändamål som uppgifterna samlades in för (finalitetsprincipen). För register över fingeravtryck och fotografier föreslås en särreglering med mer begränsade ändamålsbestämmelser. Med känsliga personuppgifter avses uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa eller sexualliv. Sådana uppgifter måste i stor utsträckning behandlas på utlännings- och medborgarskapsområdet. Utredningen föreslår att känsliga personuppgifter ska få behandlas för i princip alla de ändamål för vilka behandling är tillåtna. En förutsättning är dock, om inte den registrerade har lämnat sitt uttryckliga samtycke till behandlingen eller på ett tydligt sätt offentliggjort uppgifterna, att uppgifterna är absolut nödvändiga för syftet med behandlingen. Med att uppgifterna ska vara absolut nödvändiga markeras att behandlingen av dem bör ske med försiktighet och aldrig slentrianmässigt. Stora samlingar av information som lagras på ett sätt som gör dem enkelt sökbara på elektronisk väg medför generellt sett en ökad risk för intrång i enskildas personliga integritet. Som ett led i att stärka integritetsskyddet föreslås en bestämmelse i lagen om att tillgången till personuppgifter ska begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. , , Säkerhetspolisen föreslås vidare få möjlighet att meddela närmare föreskrifter om tillgången till personuppgifter för personer som är verksamma inom respektive myndighet. Enligt utredningens förslag bör även få meddela föreskrifter av aktuellt slag när det gäller uppgifter som behandlas automatiserat hos utlandsmyndigheterna. Som ytterligare en åtgärd för att stärka integritetsskyddet föreslås begränsningar avseende vilka sökbegrepp som får användas vid sökningar av uppgifter för vissa ändamål i vissa fall. Känsliga personuppgifter föreslås endast få användas som sökbegrepp för behandling för ändamålet tillsyn, kontroll, uppföljning, planering av verksamheten, framställning av statistik eller testverksamhet samt för återsökning i vissa fall. behöver kunna använda känsliga personuppgifter som sökbegrepp för exempelvis framställning av viss statistik och för att förbereda verksamheten med anledning av förväntade flyktingströmmar. Personuppgifter om lagöverträdelser föreslås med vissa undantag inte få användas som sökbegrepp. Elektroniskt utlämnande av personuppgifter Även om ett elektroniskt utlämnande av personuppgifter medför vissa integritetsrisker anser utredningen, med undantag för utlämnande genom direktåtkomst, att det inte finns något behov av att införa en särskild reglering om när elektroniskt utlämnande får förekomma. Några sådana bestämmelser föreslås därför inte. , Säkerhetspolisen, utlandsmyndigheterna, , och föreslås för vissa särskilda ändamål få medges direktåtkomst till vissa personuppgifter som behandlas automatiserat hos . Direktåtkomsten föreslås regleras uttömmande. Reglerna om direktåtkomst har utformats med tanke på de särskilda risker som direktåtkomsten innebär för enskildas integritet. Det innebär bland annat att mottagarmyndigheterna ska ha ett verkligt behov av uppgifterna och att uppgifterna som får göras tillgängliga är så preciserat angivna som möjligt i författning. Vidare ska innan direktåtkomst medges förvissa sig om att mottagarmyndigheten uppfyller kraven på behörighet och säkerhet. Ytterligare krav som föreslås är att tillgången till uppgifterna hos mottagarmyndigheterna begränsas till vad den enskilde tjänstemannen behöver för att kunna fullgöra sina uppgifter. Utredningen föreslår några sekretessbrytande bestämmelser med anledning av direktåtkomsten. Överföring av personuppgifter till tredjeland Enligt utredningen finns det i vissa fall behov av att föra över per- sonuppgifter till tredjeland oavsett om samtycke från den enskilde till En bestämmelse om ytterligare undantag från förbudet mot överföring av personuppgifter till tredjeland i 33 § PUL föreslås därför för dessa fall. Undantaget föreslås innebära att överföring av personuppgifter till tredjeland får ske om det är absolut nödvändigt för 1) handläggning av ärenden eller biträde i sådana ärenden, 2) kontroll av utlänning i samband med inresa och utresa samt kontroll under vistelsen i samt för 3) sådan behandling som sker för ändamålet återsökning av avgöranden, rättsutredningar och annan rättslig information. Bevarande och gallring samt avskiljande Automatiserat behandlade personuppgifter i allmänna handlingar i verksamheten bör enligt utredningen, i likhet med hur det är , som huvudregel bevaras eller gallras i enlighet med arkivlagens (1990:782) bestämmelser. Vad som talar för bevarande är enligt utredningen allmänhetens intresse av insyn i verksamheten. Inte minst finns ett intresse från forskare och journalister. Det är inte heller självklart enligt utredningen att integritetsintresset bäst tillgodoses genom att personuppgifter förstörs. I verksamheten är det också ofta nödvändigt att ta fram uppgifter från tidigare ärenden. Utredningen anser dock att det i vissa fall bör göras undantag från denna huvudregel. Undantag från arkivlagens bestämmelser föreslås således gälla 1) för fingeravtrycks- och fotografiregister där uppgifter förslås gallras enligt nuvarande ordning, 2) för känsliga personuppgifter som har behandlats för ändamålen tillsyn, kontroll, uppföljning, planering av verksamheten, framställning av statistik eller testverksamhet som föreslås gallras direkt när behandlingen är nödvändig för något av de angivna ändamålen och 3) för personuppgifter som behandlar automatiskt därför att ett offentligt biträde, en tolk, en översättare eller språkanalytiker kan vara olämplig för framtida uppdrag som föreslås gallras . För att stärka de enskildas personliga integritet föreslår utredningen att tillgången till uppgifter som inte längre behövs för de i lagen angivna ändamålen ska begränsas genom en bestämmelse om avskiljande av sådana uppgifter. Genom bestämmelsen föreslås att personuppgifter i automatiserade uppgiftssamlingar som används i myndigheternas löpande verksamhet ska avskiljas när de inte längre behövs i denna verksamhet. Åtkomst till avskilda uppgifter föreslås vara förbehållen endast de personer som är i absolut behov av uppgifterna för att kunna utföra sina arbetsuppgifter. Den nya lagen föreslås vara en ramlag som endast innehåller de grundläggande bestämmelserna om skydd för enskildas personliga integritet. I lagförslaget ges möjlighet till föreskrifter på lägre nivå. Sådana föreskrifter kan meddelas när det gäller fingeravtrycks- och fotografiregister, tillgången till personuppgifter, direktåtkomst, överföring av personuppgifter till tredjeland, avskiljande, gallring och säkerhetsåtgärder. Utlänningsdatalagen och den nya utlänningsdataförordningen föreslås träda i kraft . Utredningens förslag innebär att kan registrera identitetsuppgifter, speciell kompetens och avvikelser rörande andra offentliga biträden än advokater och biträdande jurister, tolkar, översättare och språkanalytiker. Med avvikelser avses i huvudsak uppgifter om misskötsamhet, oskicklighet och inkompetens men även uppgifter om att en uppdragstagare har begått brott eller försatts i konkurs. Sådana avvikelser kan innebära att en uppdragstagare är olämplig för uppdrag. Registreringen av aktuella uppgifter syftar till att stärka rättssäkerheten för enskilda i asylprocessen. Av integritetsskäl föreslås dock att uppgifter om avvikelser ska gallras . Ett effektivare informationsutbyte vid handläggning av uppehållstillstånd för arbete och arbetstillstånd Utredningen föreslår att bör medges direktåtkomst till vissa personuppgifter i beskattningsdatabas, utsöknings- och indrivningsdatabas samt och socialförsäkringsdatabas. har tillgång till de flesta uppgifterna. Det nya är alltså att verket nu föreslås få direktåtkomst till uppgifterna. Utredningen har särskilt analyserat behov av direktåtkomst till uppgifterna samt behovet av regler som ger enskilda ett bra skydd för den personliga integriteten vid direktåtkomsten. Sistnämnda regler föreskriver ett ansvar för såväl de utlämnande myndigheterna som mottagarmyndigheten. rätt att ta del av uppgifter från fingeravtrycksregister Utredningen föreslår att bör ha rätt att ta del av uppgifter från fingeravtrycksregister (A-filen i det automatiserade fingeravtrycksidentifieringssystemet, AFIS) vid kontroller av fingeravtryck som tagits med stöd av 9 kap. 8 § utlänningslagen (2005:716, UtlL). Enligt den sistnämnda paragrafen får i vissa fall ta fingeravtryck på en utlänning. Det gäller bland annat om utlänningen inte kan styrka sin identitet. Bakgrunden till utredningens förslag är att kontroller mot fingeravtrycksregister förbättrar möjligheterna att fastställa en korrekt identitet på utlänningen. Sammantaget menar utredningen att detta intresse väger tyngre än de eventuella integritetsrisker som kan förknippas med en sådan möjlighet. Skadeståndsskyldighet efter kontroller av Bestämmelserna i 9 kap. 8 c § UtlL innebär att en utlänning är skyldig att låta en polisman, en särskild förordnat passkontrollant eller en tjänsteman vid , eller ta hans eller hennes fingeravtryck för kontroll av identiteten och av Schengenviseringens äkthet genom sökning i informationssystemet för visering (VIS). Motsvarande skyldighet gäller även för en utlänning som vid en in- eller utresekontroll inte kan styrka sin identitet och som får kontrolleras mot VIS i identifieringssyfte. När en kontroll har genomförts ska de fingeravtryck som tagits för kontrollen förstöras. Det gäller också de biometriska data som tagits i samband med kontrollen. Utredningen föreslår en klargörande regel om att det är den myndighet som har utfört kontrollen som är ansvarig för att uppgifterna förstörs och att skadestånd kan utgå om förstöringsskyldigheten försummas. Härigenom förskrivs följande. 1 § Syftet med denna lag är att ge , , Säkerhetspolisen och utlandsmyndigheterna möjlighet att behandla personuppgifter på ett ändamålsenligt sätt i verksamhet enligt utlännings- och medborgarskapslagstiftningen och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. 2 § Denna lag gäller vid behandling av personuppgifter i och utlandsmyndigheternas verksamhet som rör: 1.utlänningars inresa i eller i en stat som ingår i Europeiska unionen eller i en stat som är ansluten till Europeiska ekonomiska samarbetsområdet, vistelse eller arbete i samt utresa från , 3.mottagande av asylsökande och andra utlänningar, 4.bistånd och stöd till utlänningar, 6.statlig ersättning för kostnader för utlänningar eller 7.bosättning av utlänningar. 3 § Denna lag gäller också vid behandling av personuppgifter i och Säkerhetspolisens verksamhet som rör utlänningars inresa i, utresa från, vistelse i eller avlägsnande från . 4 § Lagen gäller endast om behandlingen av personuppgifter enligt 2 och 3 §§ är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. 5 § Denna lag gäller inte, utöver vad som framgår av andra stycket, då personuppgifter behandlas med stöd av 1.lagen (2000:344) om Schengens informationssystem, 2.Europaparlamentets och rådets förordning (EG) nr 767/2008 av om informationssystemet för viseringar (VIS) och utbytet mellan medlemsstaterna av uppgifter om viseringar för kortare vistelse (VIS-förordningen)(1), 3.Europaparlamentets och rådets förordning (EG) nr 810/2009 av om införande av en gemenskapskodex om viseringar (viseringskodex), 4.polisdatalagen (2010:361) eller 5.Europaparlamentets och rådets förordning (EU) nr 603/2013 av om inrättande av Eurodac för jämförelse av fingeravtryck för en effektiv tillämpning av förordning (EU) nr 604/2013 om kriterier och mekanismer för att avgöra vilken medlemsstat som är ansvarig för att pröva en ansökan om internationellt skydd som en tredjelandsmedborgare eller en statslös person har lämnat in i någon medlemsstat och för när medlemsstaternas brottsbekämpande myndigheter begär jämförelser med Eurodacuppgifter för brottsbekämpande ändamål, samt om ändring av förordning (EU) nr 1077/2011 om inrättande av en Europeisk byrå för den operativa förvaltningen av stora it-system inom området frihet, säkerhet och rättvisa (omarbetning). Vid behandling av personuppgifter enligt VIS-förordningen gäller bestämmelserna i 28 och 48 §§ personuppgiftslagen (1998:204) om rättelse och skadestånd på motsvarande sätt i den mån inte annat följer av den förordningen. 6 § Behandling av personuppgifter som är tillåten enligt denna lag får utföras även om den enskilde motsätter sig den. 7 § Om inte annat anges i 8 §, gäller denna lag i stället för personuppgiftslagen (1998:204) eller föreskrifter som har meddelats i anslutning till den lagen. 8 § Följande bestämmelser i personuppgiftslagen (1998:204) tillämpas på motsvarande sätt vid behandling av personuppgifter enligt denna lag eller enligt föreskrifter som har meddelats i anslutning till lagen: 1.3 § om definitioner, 2.8 § om förhållandet till offentlighetsprincipen, 3.9 § om grundläggande krav på behandling av personuppgifter, 4.22 § om behandling av personnummer, 5.23 och 25–27 §§ om information till den registrerade, 6.28 § om rättelse m.m., 7.30 och 31 §§ samt 32 § första stycket om säkerheten vid behandling, 8.33–35 §§ om överföring av personuppgifter till tredjeland, 9.38–41 §§ om personuppgiftsombud m.m., 10.42 § om upplysningar till allmänheten om vissa behandlingar, 11.43 och 44 §§, 45 § första stycket och 47 § om tillsynsmyndighetens befogenheter, 12.48 § om skadestånd och 13.51 §, 52 § första stycket och 53 § om överklagande. Om personuppgifter ska gallras enligt denna lag eller enligt föreskrifter som har meddelats i anslutning till lagen, gäller inte 8 § andra stycket personuppgiftslagen. Förbud enligt 44 eller 45 § personuppgiftslagen får inte förenas med vite. 9 § Med undantag för vad som föreskrivs i andra stycket är den myndighet som anges i 2 och 3 §§ personuppgiftsansvarig för den behandling av personuppgifter som myndigheten utför eller som det åligger den myndigheten att utföra. är även personuppgiftsansvarigt för utlands- myndigheternas automatiserade behandling av personuppgifter. 10 § , och Säkerhetspolisen ska utse ett eller flera personuppgiftsombud för den personuppgiftsbehandling som myndigheten utför eller som det åligger myndigheten att utföra. personuppgiftsansvarige ska anmäla till tillsynsmyndigheten enligt personuppgiftslagen (1998:204) när ett personuppgiftsombud utses eller 11 § , , Säkerhetspolisen och utlands- myndigheterna får behandla personuppgifter om det är nödvändigt för