prop · H30365 · 2015-12-07 00:00:00 — I övrigt gäller de ovan nämnda bestämmelserna i personuppgiftslagen. Behandlingen av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen är till betydande del av internationell karaktär och överföring av uppgifter till andra EU-länder eller till tredjeland är vanligt förekommande inom ramen för olika former av samarbete och uppfyllande av myndighetsuppdrag. Förbudet mot överföring till tredjeland som inte har tillfredsställande skyddsnivåer, och de undantag från förbudet som föreskrivs, bör i princip vara tillämpliga även vid behandling som sker med stöd av utlänningsdatalagen. Regeringen bör även ha möjlighet att föreskriva ytterligare undantag från förbudet, bl.a. om det behövs med hänsyn till ett viktigt allmänt intresse. Regeringen instämmer således i utredningens uppfattning att en hänvisning bör göras till 33–35 §§ personuppgiftslagen. Regeringen återkommer till frågan om överföring av personuppgifter till tredjeland i avsnitt 6.16. I 36 § första stycket personuppgiftslagen föreskrivs att behandling som är helt eller delvis automatiserad ska anmälas till tillsynsmyndigheten, dvs. Regeringen har med stöd av ett bemyndigande i 36 § andra stycket personuppgiftslagen föreskrivit att en sådan anmälan inte behöver göras för behandlingar som regleras genom särskilda föreskrifter i lag eller förordning (3 § personuppgiftsförordningen [1998:1191]). Den nu föreslagna utlänningsdatalagen innehåller sådana särskilda föreskrifter. I likhet med utredningen gör regeringen bedömningen att någon hänvisning till 36 § första stycket personuppgiftslagen inte bör göras i utlänningsdatalagen. Den personuppgiftsansvarige kan enligt 36 § andra stycket personuppgiftslagen utse ett personuppgiftsombud. Om ett ombud utses eller entledigas ska den personuppgiftsansvarige anmäla detta till Datainspektionen. Om ett ombud utses, ska bestämmelserna i 38–40 §§ personuppgiftslagen tillämpas. I personuppgiftsombudets skyldigheter ingår bl.a. att se till att behandlingen av personuppgifter sker på ett lagligt sätt och att hjälpa registrerade att få rättelse. I avsnitt 6.7 föreslås en särskild bestämmelse med skyldighet för och att utse personuppgiftsombud och att anmäla till Datainspektionen när ett sådant ombud utses och entledigas. Någon hänvisning till 36 § andra stycket personuppgiftslagen behövs därför inte. Utlänningsdatalagen bör dock, som utredningen föreslår, hänvisa till 38–40 §§ om personuppgiftsombudets uppgifter. I 41 § personuppgiftslagen anges att regeringen har möjlighet att föreskriva att vissa särskilt känsliga behandlingar ska anmälas till Datainspektionen för förhandskontroll. Denna ordning bör gälla även fortsättningsvis vid personuppgiftsbehandling i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Utlänningsdatalagen bör därför innehålla en hänvisning till 41 § personuppgiftslagen. Den personuppgiftsansvarige ska enligt 42 § personuppgiftslagen till var och en som begär det skyndsamt och på lämpligt sätt lämna upplysningar om sådana automatiserade eller andra behandlingar av personuppgifter som inte har anmälts till tillsynsmyndigheten. Upplysningarna ska omfatta det som en anmälan enligt 36 § första stycket skulle ha omfattat. Den personuppgiftsansvarige är dock inte skyldig att lämna ut sekretessbelagda uppgifter eller uppgifter om vilka säkerhetsåtgärder som har vidtagits. Den enskilde bör på ett snabbt och enkelt sätt kunna få besked om vilka behandlingar som utförs även i de fall den behandling som utförs inte omfattas av någon anmälningsskyldighet till Datainspektionen. En hänvisning till 42 § bör därför, som utredningen föreslår, tas in i utlänningsdatalagen. Enligt 43 § personuppgiftslagen har tillsynsmyndigheten, dvs. Datainspektionen, möjlighet att på begäran få tillgång till personuppgifter, upplysningar och dokumentation om behandlingen och säkerheten samt tillträde till lokaler. Om Datainspektionen inte efter en begäran enligt 43 § kan få tillräckligt underlag för att konstatera att personuppgiftsbehandlingen är laglig, får myndigheten med stöd av 44 § vid vite förbjuda den personuppgiftsansvarige att behandla personuppgifter på något annat sätt än att lagra dem. Av 45 § första stycket framgår att Datainspektionen, om den konstaterar att personuppgifter behandlas felaktigt, ska försöka åstadkomma rättelse genom påpekanden eller liknande förfaranden. Om det inte går att få till stånd rättelse eller om saken är brådskande, får Datainspektionen förbjuda behandlingen. Enligt 47 § har Datainspektionen rätt att hos allmän förvaltningsdomstol ansöka om att sådana uppgifter som har behandlats på ett olagligt sätt ska utplånas. Av förarbetena till personuppgiftslagen framgår att det vid bedömningen kan beaktas om utplånandet skulle innebära stora praktiska svårigheter för den personuppgiftsansvarige eller ett svårt ekonomiskt avbräck (se prop.1997/98:44 s. 142). När det gäller personuppgifter hos myndigheter är det i praktiken inte möjligt att utplåna uppgifter som behövs för handläggningen av ärenden eller som på grund av grundlagsbestämmelser eller lag ska bevaras. De nu beskrivna bestämmelserna i personuppgiftslagen gäller vid personuppgiftsbehandling i verksamhet som rör utlännings- eller medborgarskapslagstiftningen. bedömning att de i princip bör vara tillämpliga även på behandling som sker med stöd av utlänningsdatalagen. Som framgår ovan anser regeringen att det inte bör vara möjligt för Datainspektionen att förena ett förbud enligt 44 § med vite. I 48 § personuppgiftslagen anges att den personuppgiftsansvarige ska ersätta den registrerade för den skada och kränkning av den personliga integriteten som en behandling av personuppgifter i strid med den lagen har orsakat. Bestämmelsen gäller vid behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen och bör gälla även fortsättningsvis. En hänvisning till 48 § bör därför tas in i utlänningsdatalagen. I 49 § personuppgiftslagen föreskrivs straffansvar för överträdelser av olika bestämmelser i personuppgiftslagen. Behandlingen av personuppgifter enligt den nya lagen kommer att utföras av personer som är anställda vid statliga myndigheter. De omfattas av bestämmelserna om tjänstefel m.m. i . Eftersom det är myndigheter som kommer att utföra personuppgiftsbehandlingen, torde det inte bli aktuellt att tillämpa straffbestämmelsen (se prop. 1997/98:97 s. 109). Någon hänvisning till bestämmelsen om straffansvar bör därför inte göras i utlänningsdatalagen. I 51 § första stycket personuppgiftslagen föreskrivs att tillsynsmyndighetens, dvs. Datainspektionens, beslut enligt lagen om annat än föreskrifter får överklagas hos allmän förvaltningsdomstol. Som anges ovan föreslås Datainspektionen kunna meddela förbud enligt 44 § eller 45 § första stycket personuppgiftslagen. Därmed bör även en hänvisning till 51 § första stycket göras. Utredningen föreslår att utlänningsdatalagen ska hänvisa även till 51 § andra stycket som anger att Datainspektionen får bestämma att dess beslut ska gälla även om det överklagas. Det finns skäl som talar både för och mot en sådan hänvisning. Systematiska skäl talar för att regleringen bör utformas på samma sätt, oavsett vem beslutet gäller. Verksamhetsskäl talar dock mot införandet av en sådan möjlighet. Vid införandet av polisdatalagen gjordes bedömningen att Datainspektionen inte borde ges möjlighet att meddela interimistiska beslut i dessa fall (prop. 2009/10:85 s. 91). Det finns inte skäl att göra någon annan bedömning när det gäller de myndigheter som bedriver verksamhet enligt utlännings- och medborgarskapslagstiftningen. Någon hänvisning till 51 § andra stycket bör därför inte göras. En myndighets beslut om information, rättelse och underrättelse till tredje man om rättelseåtgärder, information om automatiserade beslut och allmänna upplysningar om pågående behandlingar får enligt 52 § första stycket personuppgiftslagen överklagas hos allmän förvaltningsdomstol. Andra beslut enligt personuppgiftslagen får enligt 53 § inte överklagas. Prövningstillstånd krävs vid överklagande till kammarrätten. I förarbetena till dessa bestämmelser anges att det efter införandet av en bestämmelse om överklagande i personuppgiftslagen inte är nödvändigt att ta in några överklagandebestämmelser i särskilda Prop. 2015/16:65 registerförfattningar, som hänvisar till personuppgiftslagen (se prop. 2005/06:173 s. 53). Utlänningsdatalagen bör således inte innehålla någon särskild bestämmelse om överklagande, utan endast en hänvisning till personuppgiftslagens bestämmelser om överklagande. Regeringens förslag: Den myndighet som utför en behandling av personuppgifter ska vara personuppgiftsansvarig för behandlingen. ska dock även vara personuppgiftsansvarigt för utlandsmyndigheternas automatiserade personuppgiftsbehandling. och ska vara skyldiga att utse ett eller flera personuppgiftsombud. Den personuppgiftsansvarige ska anmäla till Datainspektionen när ett personuppgiftsombud utses eller entledigas. Utredningens förslag överensstämmer med regeringens. Utredningen föreslår dock en annorlunda språklig utformning av bestämmelsen. Remissinstanserna: De flesta remissinstanser antingen tillstyrker förslaget eller lämnar det utan invändningar. Datainspektionen anser att utlandsmyndigheterna själva ska vara personuppgiftsansvariga för sin personuppgiftsbehandling och att de i konsekvens med det ska vara skyldiga att anmäla ett personuppgiftsombud. Inspektionen anser vidare att det bör klargöras hur en anmälan till inspektionen ska ske. () anser att det inte är lämpligt att är personuppgiftsansvarigt för utlandsmyndigheternas personuppgiftsbehandling. Skälen för regeringens förslag Vem ska vara personuppgiftsansvarig? Enligt 3 § personuppgiftslagen (1998:204) är personuppgiftsansvarig den som ensam eller tillsammans med andra bestämmer ändamålet och medlen för behandlingen av personuppgifter. I 2 § förordningen om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen anges att är personuppgiftsansvarigt för den behandling av personuppgifter som verket utför. Verket är även personuppgiftsansvarigt för den behandling som en utlandsmyndighet utför. är personuppgiftsansvarig för den behandling som myndigheten utför. Som utredningen föreslår bör som huvudregel gälla i utlänningsdatalagen att den som utför själva behandlingen också ska ha personuppgiftsansvaret. Således bör och även fortsättningsvis vara personuppgiftsansvariga för den behandling som respektive myndighet utför. Frågan är då vad som ska gälla för den personuppgiftsbehandling som sker vid utlandsmyndigheterna och som enligt gällande ordning är personuppgiftsansvarigt för. 2015/16:65 Som utredningen anser finns det skäl som talar både för och mot att behålla nuvarande ordning. Avgörande bör enligt utredningens bedömning bli vilken möjlighet har att utöva kontroll och inflytande över utlandsmyndigheternas personuppgiftsbehandling, till exempel när det gäller säkerheten vid personuppgiftsbehandlingen. Som skäl som talar mot nuvarande ordning pekar utredningen på att det är som äger och är ansvarigt för utlandsmyndigheternas lokaler och har ansvar för deras externa avtal. och utlandsmyndigheterna ingår inte i någon gemensam myndighetsorganisation och har inte en överordnad roll i förhållande till utlandsmyndigheterna. Eftersom utlandsmyndigheterna är underställda torde departementet ha bättre möjligheter än till faktisk kontroll och inflytande över verksamheten. Även Datainspektionen och anser att dessa omständigheter talar mot att låta personuppgiftsansvaret för utlandsmyndigheternas automatiserade behandling stanna hos . Vad som enligt utredningen talar för att nuvarande ordning bör bestå är att det är som är tekniskt ansvarigt för de datasystem som utlandsmyndigheterna använder vid handläggning av sina viseringsärenden och olika tillståndsärenden. Utredningen pekar vidare på att behörigheten till datasystemen och W2 styrs av och att uppgifterna hämtas från CUD. Enligt utredningen har inget annat framkommit än att nuvarande ordning har fungerat relativt väl. Vidare underlättar det för den enskilde om personuppgiftsansvaret är samlat hos en myndighet. Vid en sammanvägd bedömning stannar utredningen för att även i fortsättningen bör ansvara för utlandsmyndigheternas behandling av personuppgiftsbehandling enligt utlännings- och medborgarskapslagstiftningen, men att ansvaret bör begränsas till utlandsmyndigheternas automatiserade behandling, eftersom det är sådan behandling som har möjlighet att utöva kontroll över. Personuppgiftsansvaret för behandling av personuppgifter i register bör i stället ligga på utlandsmyndigheterna. Regeringen kan i och för sig instämma i Datainspektionens uppfattning att det förhållandet att är tekniskt ansvarig för systemen inte bör vara avgörande för frågan om placeringen av personuppgiftsansvaret. I stället väger det tyngre att , enligt 2 § första stycket förordningen (2001:720) om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen, är ansvarigt för utlandsmyndigheternas personuppgiftsbehandling. Regeringen tar vidare fasta på utredningens bedömning att den nuvarande ordningen har fungerat tillfredsställande. Mot den bakgrunden finns det inte tillräckliga skäl att nu förändra placeringen av personuppgiftsansvaret i denna del. Regeringen föreslår alltså, liksom utredningen, att alltjämt ska vara ansvarigt även för utlandsmyndigheternas automatiserade behandling av personuppgifter. Ska ett personuppgiftsombud utses? Med hänsyn till omfattningen av personuppgiftsbehandlingen och typen av uppgifter som behandlas inom verksamhet inom utlännings- och medborgarskapslagstiftningen anser regeringen, liksom utredningen, att det är lämpligt att de personuppgiftsansvariga myndigheterna är skyldiga att var för sig utse personuppgiftsombud. Att en myndighet utser ett personuppgiftsombud innebär att det finns en person som har ansvar för granskning och kontroll av den egna myndighetens verksamhet och för att behandlingen är laglig och korrekt. Det underlättar vidare för de enskilda som vill kontakta myndigheten i frågor som rör personuppgiftsbehandling att ha en särskild person att vända sig till. och bör därför vara skyldiga att utse ett eller flera personuppgiftsombud och anmäla dessa till Datainspektionen. Eftersom utlänningsdatalagen föreslås innehålla en särbestämmelse om skyldigheten att utse personuppgiftsombud och anmäla dessa till Datainspektionen föreslås ingen hänvisning i lagen till 36 § andra stycket personuppgiftslagen, som behandlar anmälan m.m. av personuppgiftsombud. Av detta följer att Datainspektionens föreskrifter på området inte är direkt tillämpliga för de myndigheter som omfattas av utlänningsdatalagen. Det är en ordning som gäller även i polisdatalagen (2010:361) och i den nya åklagardatalagen (2015:433). Det framstår dock trots det som naturligt att myndigheterna utformar sina anmälningar på ett sätt som följer Datainspektionens anvisningar. När det gäller utlandsmyndigheterna instämmer regeringen i utredningens bedömning att det bör vara frivilligt för dessa myndigheter att avgöra om de vill ha ett personuppgiftsombud. 6.8 Allmänt om ändamål Regeringens förslag: I utlänningsdatalagen ska det anges för vilka ändamål behandling av personuppgifter får förekomma. Ändamålen ska delas in i primära och sekundära. De primära ändamålen avser behandling av personuppgifter för att tillgodose de behov som finns hos de myndigheter som bedriver verksamhet enligt utlännings- och medborgarskapslagstiftningen. Dessa ändamål ska vara uttömmande angivna i lagen. De sekundära ändamålen ska avse behandling för olika typer av utlämnande av personuppgifter. I fråga om behandling av personuppgifter för andra sekundära ändamål än de som anges i lagen ska den s.k. finalitetsprincipen tillämpas. En generell förutsättning ska vara att personuppgiftsbehandling endast får ske om det behövs för att uppnå de primära ändamålen och om det är nödvändigt för de sekundära ändamålen. Utredningens förslag överensstämmer i huvudsak med regeringens. Utredningen föreslår både för de primära och sekundära ändamålen att personuppgiftsbehandling endast ska få ske om det är nödvändigt för ändamålen. Remissinstanserna: De flesta remissinstanser antingen tillstyrker förslaget eller lämnar det utan invändningar. förordar att det, i enlighet med vad som föreslås i slutbetänkande Myndighetsdatalag (SOU 2015:39), inte ska finnas någon begränsning i lagen av för vilka ändamål personuppgifter får behandlas. I stället bör det vara den personuppgiftsansvariga myndigheten som inom ramen för sitt uppdrag närmare ska få specificera för vilket eller vilka ändamål personuppgifter behandlas i verksamheten. Datainspektionen ifrågasätter om utredningens förslag till ändamålsbestämmelser uppfyller kraven på att personuppgifter endast får samlas in för specifika och legitima ändamål och att de inte får användas på ett sätt som är oförenligt med dessa ändamål. invänder generellt att de ändamål som föreslås i utlänningsdatalagen är alltför oprecisa och vida. Kammarrätten i förordar att nödvändighetskravet i ändamålsbestämmelserna ersätts med ett behovskrav. Skälen för regeringens förslag Personuppgiftslagens (1998:204) regelverk har till syfte att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. I 9 § personuppgiftslagen anges vissa grundläggande krav som den personuppgiftsansvarige måste leva upp till vid behandling av personuppgifter. Enligt första stycket c får personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål. I första stycket d anges den s.k. finalitetsprincipen enligt vilken personuppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Bestämmelserna innebär bland annat att den personuppgiftsansvariga redan vid insamlingen av uppgifterna måste bestämma för vilket eller vilka ändamål insamlingen sker. De innebär också att vidarelämning av uppgifter måste föregås av en prövning av om mottagarens ändamål är oförenligt med de ursprungliga ändamålen eller inte. I avsnitt 6.6.2 föreslår regeringen att utlänningsdatalagen ska innehålla en hänvisning till 9 § personuppgiftslagen. En generell ram för hur personuppgifter får samlas in och vidarebehandlas kommer därför att gälla för de myndigheter som ska tillämpa utlänningsdatalagen. I likhet med t.ex. polisdatalagen (2010:361) bör utlänningsdatalagen dessutom innehålla en mer verksamhetsanpassad ram i form av specifika verksamhetsbestämmelser som slår fast för vilka ändamål personuppgifter ska kunna behandlas i den verksamhet som lagen omfattar. Sådana ändamålsbestämmelser är av central betydelse för skyddet för den personliga integriteten. Ändamålsbestämmelserna definierar vilka uppgifter som får behandlas och hur uppgifterna får behandlas. Ändamålsbestämmelserna ska också garantera att en personuppgift endast behandlas om det är motiverat och nödvändigt. Bestämda ändamål begränsar den personuppgiftsansvariges handlingsfrihet, vilket ger ett skydd för den enskildes personliga integritet. Det är vanligt att man i författningar som reglerar myndigheters personuppgiftsbehandling delar upp ändamålen med behandlingen av personuppgifter i primära och sekundära. De primära ändamålen avser att tillgodose de behov som finns att behandla personuppgifter i de berörda myndigheternas egen verksamhet. De sekundära ändamålen reglerar i vilken utsträckning personuppgifter, som myndigheten samlat in för ett primärt ändamål, får behandlas för att lämnas ut till enskilda eller till andra myndigheter i syfte att tillgodose deras behov. Det finns olika sätt att utforma ändamålsregleringen i en registerförfattning. Ett sätt är att uttömmande ange de ändamål för vilken behandling får ske, både primära och sekundära. Ett annat sätt är att de i lagen angivna ändamålen kompletteras med en möjlighet att behandla uppgifter även för ändamål som inte är oförenliga med för vilka uppgifterna samlades in, i enlighet med finalitetsprincipen. I exempelvis polisdatalagen har den senare typen av reglering valts. Lagen innehåller en uttömmande uppräkning av de primära ändamålen, medan uppräkningen av de sekundära ändamålen inte är uttömmande utan i stället begränsas av finalitetsprincipen. Utredningen föreslår att även utlänningsdatalagen ska utformas på detta sätt. Regeringen ansluter sig till den bedömningen. Som anför föreslås i slutbetänkande Myndighetsdatalag att någon begränsning av för vilka ändamål myndigheterna får behandla personuppgifter inte ska införas i den föreslagna generella myndighetsdatalagen (SOU 2015:39 s. 277 f.). Betänkandet bereds nu i . Regeringen anser att det inte är lämpligt att föregripa den beredningen genom att redan nu avvika från en lösning som har sin förebild i flera moderna registerförfattningar, såsom polisdatalagen och den av beslutade åklagardatalagen (2015:433). I avsnitt 6.9 behandlas vilka de primära respektive sekundära ändamålen bör vara vid myndigheternas behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Som utredningen föreslår bör de primära och sekundära ändamålen redovisas i skilda paragrafer i utlänningsdatalagen. Datainspektionen och invänder generellt att de föreslagna ändamålen är alltför vida och anser att det kan ifrågasättas om de föreslagna ändamålsbestämmelserna uppfyller kraven på att personuppgifter endast får samlas in för specifika och legitima ändamål och att de inte får användas på ett sätt som är oförenligt med dessa ändamål. För regeringens del är det avgörande att verksamheten inom utlännings- och medborgarskapslagstiftningen består av många sinsemellan olika uppgifter för myndigheterna. Det innebär att det är en utmaning att hitta en optimal balans mellan verksamhetsintressen och integritetsskyddsintressen. I och med att i stort sett all informationshantering inom verksamheten sker med stöd av datorer och att informationen i stor utsträckning innehåller personuppgifter skulle en alltför detaljerad och begränsande reglering kunna försämra myndigheternas förutsättningar att uppfylla de krav som lagstiftningen ställer på dem. Utredningens förslag till ändamålsbestämmelser bygger i allt väsentligt på vad som gällt enligt förordningen (2001:720) om behandling av personuppgifter i verksamhet enligt utlännings- och 2015/16:65 medborgarskapslagstiftningen. Enligt regeringens mening innebär förslaget en tillräckligt vid, men också tillräckligt precis reglering för att intresset av att myndigheternas verksamhet ska kunna bedrivas på ett ändamålsenligt sätt ska vara balanserat mot behovet av att värna de enskildas integritet. Kammarrätten i förordar att utlänningsdatalagens ändamålsregler ska innehålla ett behovskrav i stället för det av utredningen föreslagna nödvändighetskravet. När det gäller de primära ändamålen skulle en sådan lösning innebära att terminologin i utlänningsdatalagen överensstämmer med vad som gäller enligt polisdatalagen. Regeringen anser att en sådan lösning är ändamålsenlig. För de primära ändamålen föreslår regeringen därför att personuppgiftsbehandling ska få ske om det behövs för de i utlänningsdatalagen föreslagna ändamålen. När det gäller de sekundära ändamålen bör dock utredningens förslag till formulering väljas. Som framgår av avsnitt 6.3 föreslås att utlänningsdatalagens regler ska tillämpas av när myndigheten bedriver verksamhet enligt utlännings- och medborgarskapslagstiftningen. Det är under sådana omständigheter naturligt att välja samma uttryckssätt som gäller enligt polisdatalagen för de sekundära ändamålen. Det bör dock betonas att syftet med de olika sätten att uttrycka begränsningen i allt väsentligt är detsamma.