prop · H30365 · 2015-12-07 00:00:00 — På det underlag som har presenterats av utredningen anser regeringen inte att det finns tillräckliga skäl att göra undantag från förbudet att använda känsliga personuppgifter som 2015/16:65 sökbegrepp. Regeringen anser därför, till skillnad från utredningen, att det inte ska införas något sådant undantag. När det gäller användningen av uttrycket ras kan särskilt nämnas att uttrycket används i annan lagstiftning om personuppgiftsbehandling och att det dessutom fortfarande förekommer i olika internationella instrument. Mot denna bakgrund bör uttrycket ras användas i utlänningsdatalagen, trots att det finns befogade invändningar mot uttrycket (jfr prop. 2009/10:85 s. 123). Det bör framhållas att användningen av uttrycket ras är föremål för överväganden av Utredningen om transpersoners straffrättsliga skydd m.m. (dir. 2014:115). får personuppgifter som direkt pekar ut den registrerade inte användas som sökbegrepp vid behandling av personuppgifter för återsökning av information som rör förhållanden i andra länder. Den sökbegränsningen bör gälla även för utlänningsdatalagen. Regeringen bedömer inte att det behövs någon ytterligare begränsning av möjligheten att återsöka information som rör förhållanden i andra länder på det sätt som Kammarrätten i föreslår. Regeringen instämmer också i utredningens bedömning att det bör finnas en sökbegränsning när det gäller uppgifter om lagöverträdelser. Det är däremot, som också utredningen anser, naturligt att uppgifter om beslut om förvar får sökas och sammanställas av de myndigheter som beslutar om eller annars ansvarar för sådan verksamhet. anser att det principiella förbudet att använda uppgifter om lagöverträdelser som sökbegrepp inte bör omfatta . Enligt regeringens mening är det dock rimligt att denna sökbegränsning gäller även för när den bedriver verksamhet som täcks av utlänningsdatalagens tillämpningsområde. Regeringens bedömning: Utlänningsdatalagen bör inte innehålla några särskilda regler om annat elektroniskt utlämnande av personuppgifter än genom direktåtkomst. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: De flesta remissinstanser antingen godtar bedömningen eller lämnar den utan invändningar. delar utredningens bedömning men efterlyser en analys av hur bedömningen förhåller sig till polisdatalagens reglering av elektroniskt Skälen för regeringens bedömning: gällande förordning om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen innehåller inte några generella regler om annat elektroniskt utlämnande av uppgifter än direktåtkomst. gäller fingeravtrycksregister finns dock en bestämmelse i 10 § andra stycket som anger att uppgifter ur registret får lämnas ut på medium för automatisk databehandling endast om det följer av lag eller förordning. I praktiken sker elektroniskt utlämnande på annat sätt än genom direktåtkomst i många olika situationer inom verksamhet för utlännings- och medborgarskapslagstiftningen. Uppgifter lämnas ut av exempelvis på begäran av andra myndigheter för att användas i den mottagande myndighetens verksamhet eller för att verket ska kunna fullgöra sina uppgifter inom utlännings- och medborgarskapsverksamheten. Exempelvis lämnar personuppgifter till via cd-rom. Utlämnande av uppgifter sker också elektroniskt till privata bolag. skickar till exempel filer som innehåller personuppgifter till passleverantören och till svenska AB som skriver ut kallelser och beslut m.m. för myndighetens räkning. Myndigheternas kommunikation med exempelvis parter och ombud via e-post kan också innebära utlämnande av personuppgifter. Som utredningen lyfter fram är det från ett effektivitetsperspektiv viktigt att myndigheterna har möjlighet att utnyttja automatiserade förfaranden i sin verksamhet. Om elektroniskt utlämnande inte får ske, måste den utlämnande myndigheten göra utskrifter på papper och skicka till mottagaren. Mottagaren måste därefter eventuellt vidta åtgärder för att överföra uppgifterna till elektronisk form igen. Denna ordning framstår som onödigt ineffektiv och tidskrävande, särskilt som exempelvis myndigheter i allt större utsträckning övergår till helt elektronisk informationshantering. Utlämnande av personuppgifter elektroniskt kan dock innebära risker för den personliga integriteten. Sådant utlämnande innebär nämligen som regel att mottagaren kan bearbeta informationen, t.ex. genom att samköra den med information som hämtas från andra källor. ska dock inte skillnaden mellan uppgifter på papper och elektroniska uppgifter överdrivas. Med modern teknik kan text på papper förhållandevis enkelt omvandlas till elektroniska uppgifter. Som utredningen anför kan dock skyddet för den personliga integriteten upprätthållas på andra sätt än genom begränsning av formen för utlämnande. Myndigheterna får enligt förslaget till utlänningsdatalag endast behandla personuppgifter för utlämnande för vissa i lagen angivna ändamål eller för ändamål som inte är oförenliga med dessa ändamål. Om mottagaren av personuppgifterna är en myndighet styrs dennas personuppgiftsbehandling vanligtvis av särskilda författningar med ändamålsbestämmelser som reglerar för vilka ändamål behandling får ske. Vidare är den personuppgiftsansvariga myndigheten skyldig att vidta lämpliga tekniska åtgärder för att skydda de uppgifter som behandlas genom den föreslagna hänvisningen i utlänningsdatalagen till 31 § personuppgiftslagen. Myndigheten ansvarar således för att överföringen sker på ett säkert sätt, till exempel att uppgifterna krypteras innan de överförs till mottagaren. Utlämnande av uppgifter ska också föregås av en sekretessprövning. Sammanfattningsvis bedömer regeringen att det inte bör införas någon särskild regel om utlämnande av personuppgifter i annan elektronisk 2015/16:65 form än genom direktåtkomst i utlänningsdatalagen. Inte heller finns det skäl att införa någon motsvarighet till bestämmelsen i nuvarande förordning om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen att uppgifter ur registren över fingeravtryck och fotografier får lämnas ut på medium för automatisk databehandling endast om det följer av lag eller förordning. Som lyfter fram finns exempelvis i polisdatalagen (2010:361) regler även om annat elektroniskt utlämnande än direktåtkomst. Bestämmelserna i polisdatalagen har tagits fram för att möta de speciella behov av behandling av personuppgifter som finns i bl.a. brottsbekämpande verksamhet och det behov av reglering som finns där avseende annat elektroniskt utlämnande än direktåtkomst. Det bör inte hindra att en annan bedömning av behovet av en sådan reglering görs i utlänningsdatalagen. Regeringens förslag: Andra myndigheter och enskilda ska kunna ha direktåtkomst till personuppgifter endast i den utsträckning som anges i utlänningsdatalagen. Direktåtkomst får endast medges -en part eller partens ombud eller biträde. Direktåtkomst till en part eller en parts ombud eller biträde ska endast få avse personuppgifter i partens ärende. Tillgången till personuppgifter ska begränsas internt till det som varje tjänsteman behöver för att fullgöra sina arbetsuppgifter. En upplysningsbestämmelse ska införas som anger att regeringen eller den myndighet som regeringen bestämmer kan meddela ytterligare föreskrifter om begränsningar av direktåtkomst och om behörighet och säkerhet vid sådan åtkomst. Det ska införas uppgiftsskyldigheter i utlänningsdatalagen som ger , Säkerhetspolisen och utlandsmyndigheterna rätt att ta del av vissa uppgifter hos som verket behandlar enligt lagen. Utredningens förslag överensstämmer delvis med regeringens. Utredningen föreslår att de ändamål som direktåtkomsten ska få medges för specificeras i lagen. Utredningen föreslår inte heller någon bestämmelse om direktåtkomst för parter. en annan placering och utformning av den sekretessbrytande Remissinstanserna: De flesta remissinstanser antingen godtar förslaget eller lämnar det utan invändningar. det behövs ytterligare analys av hur förslaget att begränsa den interna åtkomsten av personuppgifter som hämtas från Prop. 2015/16:65 förhåller sig till bestämmelser som medger kassan direktåtkomst till andra myndigheter och där denna begränsning saknas. och Ambassaden anser att en enskild person bör kunna medges direktåtkomst till uppgifter i sitt eget ärende. Datainspektionen delar utredningens bedömning att det inte bör införas en bestämmelse som medger direktåkomst för enskilda. Inspektionen anser vidare att frånvaron av bestämmelser om vilka kategorier av uppgifter som får behandlas i ändamålsbestämmelserna medför att sannolikt kommer att behandla fler uppgifter i sitt verksamhetsregister och efterfrågar en analys av vad det innebär för andra myndigheters direktåtkomst. föreslår att enskilda ska kunna ges direktåtkomst till personuppgifter som hänför sig till deras ärenden. Säkerhetspolisen framhåller att myndigheten har behov av direktåtkomst till uppgifter för att uppfylla sina skyldigheter enligt utlännings- och medborgarskapslagstiftningen trots uppfattningen att myndigheten inte ska omfattas av lagen. avstyrker att andra myndigheter ska ha direktåtkomst till personuppgifter. Skälen för regeringens förslag Någon legaldefinition av begreppet direktåtkomst finns inte men den grundläggande innebörden är att någon utomstående har direkt tillgång till uppgifter som behandlas hos en myndighet. I begreppet direktåtkomst ligger att den utomstående på egen hand kan ta fram uppgifter och på så sätt få uppgifter utlämnade till sig. Vid direktåtkomst fattas beslutet om överföring i varje enskilt fall av mottagaren. Prövningen av om ett utlämnande är förenligt med offentlighets- och sekretesslagen (2009:400) måste därför ske redan då uppgifterna görs tillgängliga genom direktåtkomst, oavsett om någon mottagare tar del av dem. Den direktåtkomst som en myndighet medger någon utomstående är vanligtvis avgränsad så att mottagaren endast har tillgång till vissa bestämda uppgifter, såsom uppgifter i en viss databas eller i vissa dokument. har i ett avgörande ansett att gränsdragningen mellan vad som enligt bestämmelsen i 114 kap 22 § socialförsäkringsbalken är direktåtkomst och annat utlämnande på medium för automatiserad behandling beror på om den aktuella upptagningen kan anses förvarad hos den mottagande myndigheten enligt 2 kap. 3 § tryckfrihetsförordningen, dvs. om den är tillgänglig för myndigheten med tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller på annat sätt uppfattas (Högsta förvaltningsdomstolens dom i mål nr 1356-14). Generellt kan sägas att möjligheten till direktåtkomst ökar riskerna för intrång i den personliga integriteten, eftersom det typiskt sett innebär att uppgifter blir tillgängliga för fler personer och att den utlämnande myndighetens möjligheter att kontrollera användningen av uppgifterna minskar. Direktåtkomst enligt dagens reglering Enligt 6 § förordningen om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen får , Säkerhetspolisen och utlandsmyndigheterna ha direktåtkomst till verksamhetsregister. Myndigheternas direktåtkomst ska begränsas till att endast avse personuppgifter som är nödvändiga för att en tjänsteman ska kunna fullgöra sina arbetsuppgifter i verksamhet enligt 1 §, dvs. verksamhet enligt utlännings- och medborgarskapslagstiftningen som den utvecklas i samma bestämmelses andra stycke. Enligt 6 a § förordningen om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen får och ha direktåtkomst till uppgifter i verksamhetsregister. Direktåtkomsten ska begränsas till uppgifter som behövs inom respektive myndighets verksamhet som underlag för att bedöma eller fastställa förmån, ersättning eller annat stöd åt en enskild eller som behövs i ett ärende om motsvarande stöd. och får ha direktåtkomst först sedan har försäkrat sig om att handläggare hos de mottagande myndigheterna bara kan ta del av uppgifter om personer som är aktuella i ärenden eller verksamhet som avser registrering av enskilda hos eller . Vidare får direktåtkomsten endast avse vissa i bestämmelsen särskilt angivna uppgifter. Slutligen får enligt 6 b § förordningen om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen ha direktåtkomst till uppgifter i verksamhetsregister. Direktåtkomsten ska begränsas till uppgifter som behövs för handläggning av ansökan om identitetskort. Även beträffande får direktåtkomsten enbart avse vissa uppräknade uppgifter. Hur bör frågan om direktåtkomst regleras i utlänningsdatalagen? Modern teknik har medfört att information på ett enkelt sätt kan sökas, sammanställas och överföras mellan myndigheter. Direktåtkomst kan innebära effektivitetsvinster för den mottagande myndigheten, eftersom handläggande tjänstemän inte behöver begära ut de uppgifter som behövs för bedömningen av ett enskilt fall från den utlämnande myndigheten, utan själv kan söka den information som krävs i den utlämnande myndighetens personuppgiftssamling. Direktåtkomst kan också innebära fördelar för den utlämnande myndigheten, eftersom den inte behöver avsätta resurser för att hantera de förfrågningar om utlämnande som kommer in från andra myndigheter. Det kan även innebära fördelar från informationssäkerhetssynpunkt, då överföring av information vid direktåtkomst kan ske på ett säkrare sätt än till exempel genom e-post. Liksom utredningen anser regeringen att de myndigheter som har direktåtkomst till uppgifter fortfarande bör kunna medges sådan direktåtkomst. Med tanke på de speciella integritetsrisker som är förknippade med direktåtkomst anser även regeringen att regleringen av vilka som ska kunna få direktåtkomst till personuppgifter bör vara uttömmande. Liksom tidigare bör alltså , Säkerhetspolisen, utlandsmyndigheterna, , och kunna medges direktåtkomst till personuppgifter. Att Säkerhetspolisen, till skillnad från i utredningens förslag, inte föreslås omfattas av utlänningsdatalagen förändrar inte bedömningen att myndigheten har behov av att få tillgång till uppgifter som den behöver när den utför uppgifter som åligger myndigheten enligt exempelvis utlänningslagen eller lagen om särskild utlänningskontroll. Frågan är då om det, som utredningen föreslår, i utlänningsdatalagen bör anges för vilka ändamål sådan direktåtkomst ska kunna medges, dvs för vilka typer av handläggningsåtgärder m.m. direkåtkomst ska kunna komma i fråga. Enligt regeringens mening är det av stor vikt, inte minst av integritetsskyddsskäl, att den närmare omfattningen av direktåtkomsten regleras så precist som möjligt. Behoven för de olika myndigheterna är olika och kan dessutom variera med hänsyn till vilka uppgifter som myndigheterna har enligt det regelverk som bestämmer deras uppgifter. Den närmare regleringen om för vilket syfte direktåtkomsten ska medges bör därför meddelas av regeringen i förordning i stället för i utlänningsdatalagen. Enskildas direktåtkomst till egna ärenden En viktig processrättslig princip är att en part ska ha insyn i sitt ärende. arbetar med att ta fram en s.k. visningstjänst, som innebär att enskilda genom direktåtkomst till skulle kunna få tillgång till vissa uppgifter om sina egna ärenden. arbete är dock inte färdigt och det behövs ytterligare analys av de rättsliga frågor som direktåtkomst till enskilda medför. Dessutom måste säkerställas att sådan åtkomst är säker genom en behovs- och riskanalys, informationsklassning, gallringsregler, autentiseringslösningar och andra säkerhetsåtgärder. Utredningen har mot den bakgrunden inte ansett sig kunna föreslå en bestämmelse som möjliggör direktåtkomst till enskilda. expert i utredningen har dock i ett särskilt yttrande uttryckt en annan uppfattning i frågan. lyfter vidare fram frågan om behovet av enskildas direktåtkomst i sitt remissvar. Med hänsyn till att myndigheternas ärendehandläggning i allt större utsträckning bygger på elektronisk akthantering och elektronisk kommunikation mellan myndigheterna anser regeringen att utlänningsdatalagen inte bör utesluta möjligheten att ge parterna och deras ombud eller biträden möjlighet att på elektronisk väg följa vad som händer med deras ärenden. Regeringen föreslår därför att det ska vara möjligt för att lämna ut uppgifter genom direktåtkomst till en part eller partens ombud eller biträde. Möjligheten till direktåtkomst i dessa fall bör dock begränsas till personuppgifter i det egna ärendet. 2015/16:65 Det bör emellertid säkerställas att det inte blir tillåtet att lämna ut personuppgifter genom direktåtkomst till parter eller deras ombud eller biträden förrän det står klart att de tekniska systemen och rutiner är tillräckligt utvecklade. Det bör till exempel finnas system och rutiner för att garantera att personuppgifter genom direktåtkomsten inte blir åtkomliga för andra än rätt mottagare, att sekretesskyddade uppgifter inte lämnas ut och att inloggningsfunktionerna är pålitliga. Denna närmare reglering bör föreskrivas av regeringen i förordning. Eftersom direktåtkomst typiskt sett anses innebära att risken för kränkningar av den enskildes integritet blir större behövs regler som säkerställer skyddet för personuppgifterna vid direktåtkomst. Det finns några aspekter som är särskilt viktiga. En första fråga är hur uppgifterna sprids och används hos den mottagande myndigheten. Om kretsen av personer som har tillgång till uppgifterna kan begränsas, är risken för integritetsintrång generellt sett mindre. Den mottagande myndigheten måste därför begränsa åtkomstmöjligheterna så mycket som möjligt med hänsyn till den aktuella verksamheten och känsligheten hos personuppgifterna. Anställda inom en myndighet bör endast ha elektronisk tillgång till de personuppgifter som de behöver i sitt arbete. När det gäller frågan om anställdas tillgång till personuppgifter föreslår regeringen i avsnitt 6.12 att det i utlänningsdatalagen införs en särskild bestämmelse enligt vilken den personuppgiftsansvariga myndigheten har ansvar för att begränsa tillgången till personuppgifter till det som varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. Denna bestämmelse får anses uppfylla kravet på att uppgifterna inte sprids hos mottagarmyndigheterna på ett oacceptabelt sätt. Den bestämmelsen är dock inte tillämplig hos , , eller , eftersom utlänningsdatalagen inte föreslås tillämpas av dessa myndigheter. En motsvarande begränsningsregel bör därför finnas för dessa myndigheter. Sådana begränsningsregler bör, som utredningen föreslår, införas i de författningar som närmare reglerar myndigheternas verksamhet. När det gäller Säkerhetspolisen bedöms den begränsningsregel som finns i 2 kap. 11 § polisdatalagen (2010:361) vara tillräcklig. Den begränsningsregel beträffande den interna tillgången som föreslås för och bör utformas så att den endast tar sikte på uppgifter från och inte påverkar hur myndigheterna ska bestämma den interna tillgången vid direktåtkomst till andra myndigheters uppgifter. Ytterligare en aspekt att beakta vid direktåtkomst är att den mottagande myndigheten endast har direktåtkomst till sådana uppgifter som myndigheten verkligen kan antas ha behov av. Införandet av direktåtkomst bör därför föregås av en analys av vilka uppgifter som är nödvändiga med hänsyn till ändamålen med behandlingen. Från ett integritetsperspektiv är det också en fördel om det framgår av författningstexten vilka uppgifter som får inhämtas genom direktåtkomst. Innan medger direktåtkomst till personuppgifter bör Prop. 2015/16:65 verket göra en risk- och sårbarhetsanalys. kontrollera att mottagande myndigheter har ett tillräckligt skydd för mottagna personuppgifter. Regeringen kan i förordning införa bestämmelser om vilka uppgifter som får omfattas av direktåtkomsten och att inte får medge någon av de i lagen uppräknade myndigheterna direktåtkomst innan verket har försäkrat sig om att den mottagande myndigheten uppfyller kraven på behörighet och säkerhet. Enligt 21 kap. 5 § första stycket offentlighets- och sekretesslagen gäller sekretess för uppgift som rör en utlänning, om det kan antas att röjande av uppgiften skulle medföra fara för att någon utsätts för övergrepp eller lider annat allvarligt men som föranleds av förhållandet mellan utlänningen och en utländsk stat eller myndighet eller organisation av utlänningar. Sekretessen gäller alltså med s.k. rakt skaderekvisit, dvs. presumtionen är att uppgifterna är offentliga. Enligt 37 kap. 1 § första stycket samma lag gäller sekretess i verksamhet för kontroll över utlänningar och i ärende om svenskt medborgarskap för uppgift om en enskilds personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne lider men. Sekretessen gäller i detta fall med ett omvänt skaderekvisit och presumtionen är att uppgifterna inte är offentliga. Uppgift i ärende om arbetstillstånd för utlänning omfattas av sekretess även enligt 28 kap. 15 § första stycket offentlighets- och sekretesslagen. Slutligen gäller sekretess enligt 26 kap. 1 § i ärenden om bistånd åt asylsökanden och andra utlänningar. Bestämmelser om direktåtkomst anses inte ha någon sekretessbrytande verkan (se t.ex. prop. 2004/05:164 s. 83). Regler om direktåtkomst brukar därför ofta kompletteras med sekretessbrytande bestämmelser som är utformade som regler om uppgiftsskyldighet. Dessa formuleras ofta som en rätt för mottagande myndighet att ta del av uppgifter. När det gäller och finns en sekretessbrytande bestämmelse i 17 kap. 3 § utlänningslagen. Enligt bestämmelsen har och rätt att ta del av uppgifter om enskilda hos . Om det finns skäl för det, ska på eget initiativ lämna sådana uppgifter till och . I 7 kap. 15 a § utlänningsförordningen specificeras vilka uppgifter som och har rätt att ta del av genom direktåtkomst. Enligt 16 a § förordningen om identitetskort för folkbokförda i ska på begäran av lämna de uppgifter som anges i 6 b § i nu gällande förordning om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen och som behövs för handläggning av ansökan om identitetskort. I 7 kap. 15 b § utlänningsförordningen finns också en bestämmelse som föreskriver att på begäran av ska lämna ut vissa uppgifter, om de behövs för handläggning av ett ärende om folkbokföring. 2015/16:65 När det gäller , Säkerhetspolisens och utlandsmyndigheternas direktåtkomst enligt 6 § i nu gällande förordning om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen saknas en korresponderande bestämmelse om uppgiftsskyldighet för till nämnda myndigheter. Utlämnandet genom direktåtkomst av sekretessbelagda personuppgifter sker i stället med stöd av den sekretessbrytande generalklausulen i 10 kap. 27 § offentlighets- och sekretesslagen. Generalklausulen föreskriver sekretessgenombrott om det vid en bedömning framstår som uppenbart att intresset av att uppgiften lämnas ut har företräde framför det intresse som sekretessen ska skydda. Som utredningen anför är det ofta inte lämpligt att omfattande utlämnande av sekretessbelagda uppgifter sker enbart med stöd av den sekretessbrytande generalklausulen. Som utredningen föreslår bör därför en sådan sekretessbrytande föreskrift om uppgiftsskyldighet som avses i 10 kap. 28 § offentlighets- och sekretesslagen införas. Till skillnad från utredningen anser regeringen att det är mest ändamålsenligt att placera den sekretessbrytande regeln i anslutning till bestämmelsen om direktåtkomst i utlänningsdatalagen. Utformningen av den sekretessbrytande regeln För att åstadkomma ett så starkt integritetsskydd som möjligt bör två former av sekretessbrytande bestämmelser införas beroende på formen för utlämnande av uppgifter. En sekretessbrytande bestämmelse bör ta sikte på uppgiftslämnande i enskilda fall och användas vid utlämnande av uppgifter t.ex. via telefon eller e-post.