prop · H30365 · 2015-12-07 00:00:00 — En vidare sekretessbrytande bestämmelse bör gälla vid direktåtkomst (jfr prop. 2012/13:120 s. 44– 45). Den sekretessbrytande regeln för uppgiftslämnande i enskilda fall bör omfatta en rätt för , Säkerhetspolisen eller en utlandsmyndighet att på begäran ta del av sådana uppgifter om enskilda som behandlar för de primära ändamålen handläggning av ärenden eller en myndighets biträde i sådana ärenden, kontroll av utlänning i samband med inresa och utresa samt kontroll under vistelsen i . Vidare bör på begäran kunna få del av uppgifter ur register över fingeravtryck och fotografier som behandlar för att pröva ansökningar om uppehållstillstånd av skyddsskäl, i ärenden om avvisning eller utvisning eller för kontroll av fingeravtryck. bör även ha en möjlighet att självmant lämna uppgifter om fingeravtryck till . Den vidare sekretessbrytande bestämmelsen vid direktåtkomst bör formuleras som en generell rätt för , Säkerhetspolisen och utlandsmyndigheterna att ta del av de personuppgifter om enskilda som behandlar med stöd av samtliga primära ändamål utom återsökning av avgöranden, rättsutredningar och annan rättslig information eller information som rör förhållanden i andra länder. bör därutöver få ha tillgång till uppgifter som får behandla i sina register över fingeravtryck och Något krav på att varje enskild uppgift ska ha betydelse i ett Prop. 2015/16:65 enskilt ärende bör inte ställas upp. Påverkar Högsta förvaltningsdomstolens avgörande utformningen av reglerna om direktåkomst? Det avgörande från som redogjorts för ovan (Högsta förvaltningsdomstolens dom i mål nr 1356-14) kan tolkas så att den tekniska utformningen av en myndighets system för utlämnande av uppgifter kan bli avgörande för om utlämnandet ska anses som direktåtkomst eller som annat utlämnande på medium för automatiserad behandling. I det aktuella fallet handlade det om att socialnämnderna inte på egen hand kunde söka information i socialförsäkringsdatabasen, utan ett utlämnande förutsatte att reagerade på en begäran om att de efterfrågade uppgifterna skulle lämnas ut. fick därigenom anses förfoga över frågan om och i så fall vilka uppgifter som skulle lämnas ut. Domstolen ansåg därför att socialnämnderna inte kunde anses ha någon sådan teknisk tillgång till upptagningar som avses i 2 kap. 3 § andra stycket tryckfrihetsförordningen. Detta innebar att förfarandet inte var att betrakta som direktåtkomst. Syftet med utlänningsdatalagen är att tillskapa en teknikneutral och flexibel lag som så långt möjligt inte ska behöva förändras i takt med den tekniska utvecklingen eller till följd av förändringar av myndigheternas behov att behandla personuppgifter. Trots att Högsta förvaltningsdomstolens avgörande begränsar vilka tekniska lösningar som fortsättningsvis kommer att bedömas som direktåtkomst, finns det mot den bakgrunden ett behov av regler i utlänningsdatalagen om direktåtkomst till uppgifter. Regeringen bedömer att det inte finns något behov av att anpassa eller annars överväga förändringar i reglerna om direktåtkomst eller de anknytande reglerna om uppgiftssskyldighet. Regeringen kommer dock att noga följa utvecklingen och kan komma att återkomma till frågan om regleringen rörande direktåtkomst i ett senare sammanhang. 6.16Särskilt om överföring av personuppgifter till tredjeland Regeringens förslag: Utöver det som följer av 33 § personuppgiftslagen ska överföring av personuppgifter till tredjeland få ske om det är absolut nödvändigt för handläggning av ärenden eller biträde i sådana ärenden, kontroll av utlänning och återsökning av rättslig information, såvida det inte möter hinder av sekretess enligt offentlighets- och sekretesslagen (2009:400). En upplysningsbestämmelse ska införas som anger att regeringen eller den myndighet som regeringens bestämmer kan meddela ytterligare föreskrifter som begränsar i vilken utsträckning personuppgifter får överföras till tredjeland. Utredningens förslag överensstämmer i huvudsak med regeringens. Utredningen föreslår en delvis annorlunda utformning av bestämmelsen. Remissinstanserna: De flesta remissinstanser antingen godtar förslaget eller lämnar det utan invändningar. anser att det inte är lämpligt att använda begreppet absolut nödvändigt i I stället bör begreppen behövligt och nödvändigt användas. Domstolen vill också understryka att det är angeläget att överföring av personuppgifter till tredjeland sker med stor försiktighet. Datainspektionen efterfrågar en analys av om myndigheternas behov av effektivitet i verksamheten överväger de negativa konsekvenser som en överföring av personuppgifter till tredjeland kan ge upphov till. advokatsamfund anser att det krävs en vidare analys och ett förtydligande av hur den föreslagna bestämmelsen förhåller sig till eventuella sekretesshinder i offentlighets- och sekretesslagen samt artikel 30 a i det Det måste enligt samfundet tydligt framgå att överföring av personuppgifter till tredjeland aldrig får ske om det finns risk att uppgifter om enskilda ansökningar om internationellt skydd röjs till de påstådda aktörer som bedriver förföljelse. Rådgivningsbyrån för asylsökande och flyktingar efterfrågar en utförligare risk- och konsekvensanalys av utlämnande av personuppgifter anser att hänvisningen i lagen till 33 och 34 §§ personuppgiftslagen, som delvis innehåller samma undantag som den särskilda bestämmelsen om överföring av uppgifter till tredjeland, gör det svårt att förstå regleringen av överföring av uppgifter. Skälen för regeringens förslag: I avsnitt 6.6.2 föreslår regeringen att utlänningsdatalagen ska hänvisa till 33–35 §§ personuppgiftslagen (1998:204) när det gäller överföring av uppgifter till tredjeland. utredningen för fram kan det ifrågasättas om de undantag från det principiella förbudet att överföra personuppgifter till tredjeland som medges i 34 § personuppgiftslagen är tillräckligt vida för att medge nödvändig överföring av uppgifter till tredjeland eller om de behöver I denna fråga gör regeringen följande Regeringen delar inledningsvis utredningens uppfattning att informationsutbyten genom direktåtkomst till datasystem eller som sker på annat sätt med svenska utlandsmyndigheter belägna i tredjeland inte innebär att personuppgifter förs över till Däremot är det, som också utredningen anser, fråga om överföring av uppgifter till ett annat land då utlandsmyndigheten i sin tur lämnar ut personuppgifter till mottagare i tredjeland. överföring är när utlandsmyndigheten begär biträde av lokala s.k. förtroendeadvokater eller andra utomstående. Sådant biträde kan till exempel begäras för att kontrollera äktheten av vissa handlingar. Ytterligare ett exempel på överföring av uppgifter till tredjeland är när i ärenden om återvändande behöver ordna resehandlingar och mottagande i mottagarlandet. Ett annat vanligt fall när personuppgifter överförs till tredjeland är när polisen ska verkställa beslut om avvisningar eller utvisningar. Polisen kan då behöva kontakta utländska beskickningar för att kunna fastställa en persons identitet och för att få ut resehandlingar för personen. Olika uppgifter, exempelvis om familjeförhållanden och adresser i utlandet, skickas då över till den utländska beskickningen för att möjliggöra utredningen av identiteten, se bl.a. 7 kap. 20 § utlänningsförordningen (2006:97). Överföring av personuppgifter till tredjeland sker i sistnämnda fall normalt utan den enskildes samtycke. Vidare kan polisen behöva få uppgifter verifierade hos myndigheter i det land där en utlandsmyndighet finns. Det är som utgångspunkt av allmänt intresse att personuppgifter som behandlas enligt utlänningslagstiftningen kan föras över till tredjeland när det krävs för att de svenska myndigheterna ska kunna utföra sina uppgifter på ett effektivt sätt. Det allmänna intresset av en sådan överföring måste emellertid, som flera remissinstanser påpekar, vägas mot de negativa konsekvenser informationsöverföring till tredjeland kan medföra för utlänningen och hans eller hennes familjemedlemmar eller släktingar som är kvar i ursprungslandet. Som tidigare redovisats får personuppgifter enligt gällande rätt överföras till tredjeland, om den registrerade samtycker till det. Om en registrerad i tredjeland exempelvis ansöker om visum vid en utlandsmyndighet, får han eller hon anses ha samtyckt till den överföring som sker då han eller hon får del av beslutet. Likaså får en registrerad i tredjeland som inleder en elektronisk kommunikation med en myndighet i , exempelvis via e-post eller via ett särskilt inrättat elektroniskt ansökningsförfarande, anses ha samtyckt till att den fortsatta kommunikationen kan inbegripa överföring av personuppgifter till tredjeland. finns det även, som ovan nämnts, behov för aktuella myndigheter att överföra personuppgifter till tredjeland oavsett om samtycke till detta föreligger. Så kan exempelvis vara fallet vid utlämnande av personuppgifter till förtroendeadvokater eller andra personer när utlandsmyndigheter i tredjeland biträder svenska myndigheter med utredning i enskilda ärenden, men även vid återvändandeärenden och verkställighetsärenden avseende avvisningar eller utvisningar. Personuppgifter överförs ibland även till andra EU- länder vid s.k. Joint Return Operations, dvs. gemensamma återvändaroperationer koordinerade och finansierade genom EU:s gränskontrollbyrå Frontex. Anledningen till överföringen av uppgifter är att en medlemsstat som organiserar en insats behöver information om de som ska återvända för att kunna organisera och möjliggöra ett återvändande hos destinationslandet. Regeringen instämmer mot denna bakgrund i utredningens slutsats att de undantag från förbudet mot överföring av personuppgifter till tredjeland som finns i 34 § personuppgiftslagen och i förordningen om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen inte är tillräckliga för att tillgodose all sådan överföring av personuppgifter som är befogad. Ytterligare undantag, vid sidan av dem som redan gäller enligt 34 § personuppgiftslagen, behövs alltså i utlänningsdatalagen. När det gäller utformningen av dessa undantag instämmer regeringen i utredningens bedömning. Förutom med den registrerades samtycke bör överföring av personuppgifter till tredjeland alltså få ske om det är absolut nödvändigt för den överförande myndighetens handläggning av ärenden eller biträde i sådana ärenden, kontroll av utlänning i samband med inresa och utresa samt kontroll under vistelsen i och sådan behandling som sker för ändamålet återsökning av avgöranden, rättsutredningar och annan rättslig information. undantagen får anses vara förenliga med vad dataskyddsdirektivet anger om att undantag från överföringsförbudet får göras för ett viktigt allmänt intresse (artikel 26 i dataskyddsdirektivet). I avsnitt 6.11.2 gör regeringen bedömningen att begreppet absolut nödvändigt på ett godtagbart sätt ger uttryck för hur användningen av personuppgifter kan begränsas. Regeringen anser också att begreppet är lämpligt för att inskränka förutsättningarna för att överföra uppgifter till tredjeland. Även om en överföring av personuppgifter till tredjeland bedöms som absolut nödvändig för de tillåtna ändamålen måste myndigheterna alltid bedöma om offentlighets- och sekretesslagen hindrar att uppgifterna Enligt offentlighets- och sekretesslagen gäller sekretess för uppgift som rör en utlänning, om det kan antas att röjande av uppgiften skulle medföra fara för att någon utsätts för övergrepp eller lider annat allvarligt men som föranleds av förhållandet mellan utlänningen och en utländsk stat eller myndighet eller organisation av utlänningar (21 kap. 5 §). Härutöver gäller sekretess i verksamhet för kontroll över utlänningar för uppgift om enskilds personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till denne Denna sekretess gäller också hos myndighet som lämnar biträde i sådant ärende eller i sådan verksamhet. (37 kap. 1 § första och fjärde styckena). En uppgift som är sekretessbelagd får inte röjas för en utländsk myndighet eller en mellanfolklig organisation, om inte utlämnande sker i enlighet med särskild föreskrift i lag eller förordning eller uppgiften i motsvarande fall skulle få lämnas ut till en svensk myndighet och det enligt den utlämnande myndighetens bedömning står klart att det är förenligt med svenska intressen att uppgiften lämnas till den utländska myndigheten eller den mellanfolkliga organisationen (8 kap. 3 §). Sekretess hindrar vidare inte att en uppgift lämnas till en enskild eller till en annan myndighet, om det är nödvändigt för att den utlämnande myndigheten ska kunna fullgöra sin verksamhet (10 kap. 2 §). fråga om en utländsk myndighet måste emellertid också förutsättningarna i 8 kap. 3 § vara uppfyllda. Det måste alltså vara förenligt med svenska intressen att uppgiften lämnas ut. Vid bedömningen av om det är befogat att lämna ut uppgifter med stöd av dessa bestämmelser gäller generellt att myndigheterna måste iaktta stor försiktighet och i varje enskilt fall noga överväga vilka risker den enskilde eller dennes närstående kan komma att utsättas för genom myndighetens handlande. Av hänsyn till integritetsintresset måste det vidare finnas anledning att i vissa fall begränsa vilka uppgiftskategorier som får föras över, eller till vilka mottagare som överföringen får ske. utredningen föreslår bör därför en upplysningsbestämmelse tas in i utlänningsdatalagen som anger att regeringen eller den myndighet regeringen bestämmer kan meddela ytterligare föreskrifter om begränsningar i förhållande till vad lagen medger. Det är naturligt att det vid utformandet av sådana föreskrifter görs en avvägning mellan myndigheternas intresse av att kunna överföra informationen och de negativa konsekvenser en sådan överföring kan innebära för den enskilde. 6.17Bevarande och gallring m.m. Regeringens förslag: Personuppgifter ska avskiljas när de inte längre behövs i verksamheten. Upplysningsbestämmelser ska införas som anger att regeringen eller den myndighet som regeringen bestämmer kan meddela ytterligare föreskrifter om avskiljande av personuppgifter samt föreskrifter om säkerhetsåtgärder till skydd för personuppgifter och om gallring av känsliga personuppgifter. Regeringens bedömning: Det bör inte införas några särskilda bestämmelser om gallring i utlänningsdatalagen. Personuppgifter får på samma sätt som i personuppgiftslagen, bevaras elektroniskt för att tillgodose arkivändamål. Personuppgifter som inte är allmänna handlingar får, också på samma sätt som i personuppgiftslagen, bevaras elektroniskt endast så länge det är nödvändigt med hänsyn till ändamålen med behandlingen eller om bevarandet sker för historiska, statistiska eller vetenskapliga ändamål. Utredningens förslag och bedömning överensstämmer i huvudsak med regeringens. Utredningen föreslår dock en annan språklig och redaktionell utformning av bestämmelsen om avskiljande. Utredningen förslår också att åtkomst till avskilda personuppgifter ska begränsas ytterligare. Utredningens förslag till upplysningsbestämmelser när det gäller avskiljande och säkerhetsåtgärder är vidare begränsat till uppgifter som behandlas av utlandsmyndigheterna under personuppgiftsansvar. Remissinstanserna: De flesta remissinstanser antingen godtar utredningens förslag eller bedömning eller lämnar dem utan erinran. Kammarrätten i anser att det inte är lämpligt att använda begreppet absolut behov när det gäller tillgång till avskilda uppgifter. Domstolen förordar i stället att ordet nödvändigt används. anser att det är angeläget att även avskilda personuppgifter kan lämnas ut genom direktåtkomst då sådana uppgifter kan behövas vid andra myndigheters ärendehandläggning. Datainspektionen anser att bestämmelser om gallring bör införas i utlänningsdatalagen och att det inte bör överlåtas till myndigheterna att ge föreskrifter om avskiljande. anser att frågan om återförande av avskilda uppgifter måste övervägas närmare i det fortsatta lagstiftningsarbetet. Skälen för regeringens förslag och bedömning Varje svensk medborgare har enligt 2 kap. 1 § tryckfrihetsförordningen en grundlagsfäst rätt att ta del av allmänna handlingar. En förutsättning för att denna handlingsoffentlighet ska kunna utnyttjas är att handlingar bevaras hos myndigheterna. Redan bestämmelserna i tryckfrihetsförordningen kan således sägas medföra en skyldighet för myndigheterna att bevara och ordna allmänna handlingar så att det går att hitta bland dem och att vårda dem så att de inte skingras och förstörs. 18 § tryckfrihetsförordningen ska bestämmelser om hur allmänna handlingar ska bevaras och om gallring av sådana handlingar meddelas i Bestämmelser om myndigheternas skyldighet att bevara allmänna handlingar och på vilket sätt det ska ske finns i arkivlagen, arkivförordningen (1991:446) och föreskrifter (RA-FS och I dessa bestämmelser anges bland annat hur en handling ska framställas, förvaras och skyddas. Där finns också bestämmelser om gallring och avhändande av allmänna handlingar. Huvudprincipen enligt arkivlagstiftningen är att allmänna handlingar Det kommer till uttryck i 3 § arkivlagen, enligt vilken myndigheternas arkiv som huvudregel ska bevaras, hållas ordnade och vårdas så att de tillgodoser rätten att ta del av allmänna handlingar, behovet av information för rättskipningen och förvaltningen samt Det följer dock av 10 § arkivlagen att allmänna handlingar under vissa förutsättningar får gallras. Med gallring avses att en handling förstörs på ett eller annat sätt. För elektroniska handlingar innebär gallring vanligtvis att viss information raderas från databäraren. Med gallring menas inte bara att rent faktiskt förstöra en allmän handling eller uppgifter i en sådan Gallring innebär också att vidta åtgärder med en allmän handling som medför förlust av betydelsebärande data, förlust av möjliga sammanställningar, förlust av sökmöjligheter eller förlust av möjligheter att bedöma handlingens autenticitet (RA-FS 1997:4 ändrad genom RA- FS 2008:4). Det kan till exempel innebära gallring att skriva ut en elektronisk handling i pappersform och därefter förstöra den elektroniska Även om informationen finns kvar på papper kan möjligheten att få fram informationen ha försämrats. När det gäller gallring är arkivlagens bestämmelser subsidiära i förhållande till annan lagstiftning. Om det finns avvikande bestämmelser om gallring av vissa allmänna handlingar i annan lag eller förordning, har de bestämmelserna företräde (10 § tredje stycket arkivlagen). Av 14 § arkivförordningen framgår att statliga myndigheter får gallra allmänna handlingar endast i enlighet med föreskrifter eller beslut av , om inte särskilda gallringsföreskrifter finns i lag eller Om det i författningar som rör myndigheters behandling av personuppgifter inte finns några särskilda regler om gallring, ska således arkivlagens bestämmelser om bevarande som huvudprincip tillämpas. Grundprincipen i arkivlagstiftningen är således att allmänna handlingar Några särskilda hänsyn till vilken risk bevarandet kan medföra ur integritetshänseende ska inte tas. föranleds i stället vanligtvis av kostnads- och utrymmesskäl. I personuppgiftslagen (1998:204) är utgångspunkten en annan. 9 § första stycket i personuppgiftslagen får en personuppgift inte bevaras längre än nödvändigt med hänsyn till ändamålet för vilket personuppgifterna samlades in. bestämmelser har dock företräde framför personuppgiftslagens Det följer av 8 § första stycket personuppgiftslagen att bestämmelserna i lagen inte ska tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet att lämna ut personuppgifter enligt 2 kap. tryckfrihetsförordningen. I paragrafens andra stycke anges att Prop. 2015/16:65 bestämmelserna i personuppgiftslagen inte hindrar att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. Personuppgiftslagens bestämmelser medför således inte att personuppgifter som är allmänna handlingar ska utplånas eller gallras. För personuppgifter som inte är allmänna handlingar gäller emellertid regeln i 9 § första stycket i personuppgiftslagen, vilket innebär att personuppgiften inte får bevaras än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Gallringsbestämmelser som gäller i verksamheten Det finns inte några särbestämmelser om gallring i utlänningslagen eller någon annan författning som reglerar den verksamhet som föreslås omfattas av utlänningsdatalagen. I 11 § förordningen om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen finns dock en bestämmelse om gallring. Enligt bestämmelsen ska en uppgift i fingeravtrycksregister gallras när den registrerade blir svensk medborgare, dock senast efter det att uppgiften registrerades. I övrigt finns inga särskilda bestämmelser om gallring i förordningen. Som huvudregel gäller således arkivlagens bestämmelser om bevarande och gallring för verksamhet enligt utlännings- och medborgarskapslagstiftningen. Utgångspunkten är därmed att allmänna handlingar inte ska gallras. Personuppgifter som inte är allmänna handlingar Som angetts ovan gäller för personuppgifter som inte är allmänna handlingar bestämmelserna i 9 § första stycket i och tredje stycket personuppgiftslagen. Av de bestämmelserna följer att personuppgifter som huvudregel inte får bevaras än vad som är nödvändigt med hänsyn till de ändamål för vilka uppgifterna behandlas. Det medför bland annat att personuppgifter i minnesanteckningar eller utkast till beslut eller skrivelse som behandlas av en tjänsteman i ett ordbehandlingsprogram och som inte har tagits om hand för arkivering ska tas bort ut systemet eller avidentifieras när de inte längre behövs för sitt ändamål. I avsnitt 6.6.2 föreslår regeringen att utlänningsdatalagen ska innehålla en hänvisning till bestämmelserna i 9 § personuppgiftslagen. Manuellt behandlade personuppgifter i allmänna handlingar För personuppgifter i allmänna handlingar som behandlas manuellt gäller att de som huvudregel ska bevaras. Gallring får dock ske om det finns stöd för det i föreskrifter eller beslut av . För gäller till exempel föreskrifter och allmänna råd om gallring av handlingar av tillfällig eller ringa betydelse (RA-FS 1991:6, ändrad 1997:6 och 2012:2) och föreskrifter om återlämnande och gallring hos (RA-MS 2013:45). Enligt regeringens mening finns det inte någon anledning att ändra på den ordningen. 2015/16:65 Automatiserat behandlade personuppgifter i allmänna handlingar Dagens teknik medför att en i princip obegränsad mängd personuppgifter kan bevaras elektroniskt hos myndigheterna. Ett elektroniskt bevarande ökar möjligheten att på ett enkelt sätt söka och sammanställa uppgifter, något som också kan öka risken för integritetsintrång. En metod att minska integritetskänsligheten är att se till att uppgifter som inte längre behövs i en myndighets verksamhet gallras ur myndighetens datasystem. För detta krävs särskilda bestämmelser om gallring av uppgifter i myndighetens verksamhet. Som utredningen anför finns det vissa omständigheter som talar för att särskilda bestämmelser om gallring ska införas i utlänningsdatalagen. I verksamhet enligt utlännings- och medborgarskapslagstiftningen behandlas en stor mängd personuppgifter som avser ett stort antal personer. Behandlingen sker i många fall utan den enskildes samtycke och personuppgifterna används vid myndighetsutövning gentemot enskilda personer. Många av de personuppgifter som behandlas utgör känsliga personuppgifter enligt 13 § personuppgiftslagen. Det finns också personuppgifter som inte hör till denna kategori, men ändå kan uppfattas som integritetskänsliga. Det finns emellertid också omständigheter som talar mot särskilda gallringsbestämmelser.