prop · H30365 · 2015-12-07 00:00:00 — Skälen för regeringens förslag För viss personuppgiftsbehandling som , , eller utlandsmyndigheterna utför på utlännings- och medborgarskapsområdet, och som därmed träffas av det föreslagna tillämpningsområdet för utlänningsdatalagen, finns redan regler i annan lagstiftning och i direkt tillämpliga EU-förordningar. föreslår bör det därför i utlänningsdatalagen införas vissa undantag från lagens tillämpningsområde. Härigenom säkerställs att frågor inte blir dubbelreglerade samt att det inte införs regler som står i strid med direkt tillämpliga EU-förordningar. I det följande redovisar regeringen vilka undantag som bör göras. Lagen om Schengens informationssystem De länder som deltar i har ett gemensamt informationssystem, Schengens informationssystem (SIS). I systemet kan ländernas myndigheter lägga in och söka fram uppgifter om personer som är efterlysta eller på annat sätt eftersökta eller som ska nekas inresa i Schengenområdet. SIS II är en ny version av det ursprungliga SIS och togs i bruk 2013. SIS II består av en nationell enhet i varje medlemsstat samt en central databas med en teknisk stödfunktion som ser till att de olika nationella enheterna har ett identiskt innehåll. Den svenska enheten av Schengens informationssystem regleras i lagen (2000:344) om Schengens informationssystem. Enligt lagen ska med hjälp av automatiserad behandling föra ett register som ska vara den svenska delen av SIS. I lagen regleras bland annat för vilka ändamål uppgifter i registret får behandlas, vilka uppgifter som får registreras och förbud mot registrering av känsliga personuppgifter. Syftet med SIS II är att främja samarbete som avser polisiära och rättsliga frågor, men också att vara ett hjälpmedel för att avgöra om en person ska nekas tillträde till eller uppehållstillstånd i Schengenstaterna. Som utredningen bedömer omfattas den personuppgiftsbehandling som utför med stöd av lagen om Schengens informationssystem åtminstone delvis av det föreslagna tillämpningsområdet för utlänningsdatalagen. I likhet med utredningen bedömer regeringen därför att det bör införas en reglering som anger att personuppgiftsbehandlingsreglerna i lagen om Schengens informationssystem har företräde. Inom EU har utarbetats förordningar som innehåller personuppgiftshanteringsregler på det område som kan täckas av det föreslagna tillämpningsområdet för utlänningsdatalagen. Dessa är den s.k. VIS-förordningen som reglerar EU:s gemensamma informationssystem för viseringar, den s.k. viseringskodexen som reglerar handläggningen av viseringsansökningar och den s.k. Eurodacförordningen som behandlar regler om jämförande av fingeravtryck från bl.a. asylsökande. När en EU-förordning träder i kraft blir den automatiskt en del av medlemsstatens nationella rättssystem. Medlemsstaterna får i princip inte vidta några implementeringsåtgärder, utan förordningen ska tillämpas som lag. Personuppgiftsbehandling med stöd av förordningarna bör därför inte ske med tillämpning av reglerna i utlänningsdatalagen. Även om detta enligt principen om företräde framför nationell rätt gäller utan att någon bestämmelse härom införs, bör det som utredningen föreslår av tydlighetsskäl anges i lagen att personuppgiftsbehandling enligt förordningarna inte omfattas av utlänningsdatalagens tillämpningsområde. Som utredningen redogör för finns det i artiklarna 33 och 38.2 i VIS- Prop. 2015/16:65 förordningen bestämmelser om skadestånd samt korrigering och radering av uppgifter som ska regleras genom bestämmelser i nationell rätt. regleras detta genom en hänvisning till 28 och 48 §§ personuppgiftslagen (1998:204) i förordningen om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Som utredningen föreslår bör motsvarande hänvisning nu i stället göras i utlänningsdatalagen. När det gäller skadestånd avser personuppgiftslagens bestämmelser endast skadestånd till den registrerade, medan VIS-förordningens krets av skadeståndsberättigade är vidare och omfattar samtliga personer och även medlemsstater. Om ett krav på ersättning framställs av en person som faller utanför personuppgiftslagens bestämmelse finns generella regler om skadestånd som under vissa förutsättningar kan tillämpas i skadeståndslagen (1972:207). Liksom utredningen bedömer regeringen att det inte behövs någon hänvisning i utlänningsdatalagen till att även skadeståndslagen i vissa fall kan tillämpas. Utredningen föreslår att det särskilt ska anges att utlänningsdatalagen inte ska tillämpas när polisdatalagen (2010:361) är tillämplig. I avsnitt 6.3 föreslås att det i den bestämmelse som reglerar utlänningsdatalagens tillämpningsområde för del särskilt ska anges att lagen ska tillämpas av endast i den mån den verksamhet som bedrivs inte kan anses som brottsbekämpande verksamhet. Frågan om vilken reglering som blir tillämplig på personuppgiftsbehandlingen vid avgörs av det ändamål som personuppgifterna behandlas för. Behandlas personuppgifterna för syftet att utreda och beivra brott tillämpas polisdatalagen. Behandlas personuppgifterna inom verksamhet enligt utlännings- och medborgarskapslagstiftningen tillämpas i stället utlänningsdatalagen. Det kan alltså inte inträffa att båda lagarna blir tillämpliga . Mot den bakgrunden finns det inte skäl att även i den bestämmelse som reglerar undantag från utlänningsdatalagens tillämpningsområde särskilt ange att polisdatalagen har företräde framför utlänningsdatalagen. Regeringens bedömning: Det behövs inte någon särskild bestämmelse som anger att behandling av personuppgifter som är tillåten enligt utlänningsdatalagen får utföras även om den enskilde motsätter sig det. Utredningens förslag överensstämmer inte med regeringens bedömning. Utredningen föreslår att det ska införas en särskild bestämmelse som anger att tillåten behandling av personuppgifter får ske även om den enskilde motsätter sig det. 2015/16:65 Remissinstanserna: Remissinstanserna antingen godtar förslaget eller lämnar det utan invändningar. Skälen för regeringens bedömning: Enligt 1 § tredje stycket förordningen om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen har en registrerad inte rätt att motsätta sig att personuppgifter behandlas enligt förordningen. Utredningen föreslår att denna bestämmelse ska föras över till utlänningsdatalagen. Det finns ett behov av att behandla personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen även om den enskilde motsätter sig det. Att sådan behandling får ske måste emellertid anses följa direkt av de förslag till ändamålsbestämmelser som regeringen lämnar i avsnitt 6.9. Någon särskild bestämmelse om att personuppgiftsbehandling får ske även om den enskilde motsätter sig den är därför inte nödvändig i utlänningsdatalagen. Någon sådan bestämmelse finns inte heller i polisdatalagen (2010:361) eller åklagardatalagen (2015:433). Regeringens förslag: Utlänningsdatalagen ska gälla i stället för personuppgiftslagen. I lagen ska det anges vilka bestämmelser i personuppgiftslagen som ändå ska tillämpas. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Samtliga remissinstanser antingen tillstyrker förslaget eller lämnar det utan invändning. Skälen för regeringens förslag: Personuppgiftslagen (1998:204) är subsidiär i förhållande till annan lag eller förordning. Lagen ska således inte tillämpas i den utsträckning det i sådan annan författning finns bestämmelser som avviker från personuppgiftslagen (2 §). I 1 § förordningen om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen anges att förordningen gäller utöver personuppgiftslagen vid automatiserad behandling av personuppgifter i , , Säkerhetspolisens och utlandsmyndigheternas verksamhet enligt utlännings- och medborgarskapslagstiftningen. Det sättet att beskriva förhållandet till personuppgiftslagen innebär att i den utsträckning som en fråga inte är reglerad i förordningen gäller alltså personuppgiftslagens bestämmelser. Det innebär emellertid också att det först efter en jämförelse med bestämmelserna i personuppgiftslagen blir klart vilka bestämmelser i förordningen som är tillämpliga i ett enskilt fall. I den nya utlänningsdatalagen bör en tydligare reglering införas. Som utredningen föreslår bör utlänningsdatalagen helt ersätta personuppgiftslagen inom sitt tillämpningsområde. I de fall en viss fråga bör regleras på samma sätt i utlänningsdatalagen som i personuppgiftslagen bör det i utlänningsdatalagen tas in en hänvisning till den aktuella bestämmelsen i personuppgiftslagen. regleringen blir tydlig och att förutsättningarna för enenhetlig rättstillämpning blir goda och är i linje med vad som gäller som utarbetats , t.ex. polisdatalagen (2010:361). 6.6.2Tillämpliga bestämmelser i personuppgiftslagen Regeringens förslag: Följande bestämmelser i personuppgiftslagen ska vara tillämpliga vid behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen: –definitioner (3 §), –förhållandet till offentlighetsprincipen (8 §), –grundläggande krav på behandlingen av personuppgifter (9 §), –behandling av uppgifter om personnummer (22 §), –information till den registrerade (23 och 25–27 §§), –rättelse (28 §), –säkerheten vid behandling (30 och 31 §§ samt 32 § första stycket), –överföring av personuppgifter till tredjeland (33–35 §§), –personuppgiftsombudets uppgifter m.m. (38–41 §§), –upplysningar till allmänheten om vissa behandlingar (42 §), –tillsynsmyndighetens befogenheter (43 och 44 §§, 45 § första stycket och 47 §), –skadestånd (48 §), och –överklagande (51 § första stycket, 52 § första stycket och 53 §). Bestämmelserna i 8 § andra stycket personuppgiftslagen ska dock inte tillämpas om personuppgifter ska gallras enligt bestämmelser i utlänningsdatalagen eller enligt föreskrifter som har meddelats i anslutning till lagen. Datainspektionen ska inte kunna förena ett förbud att utföra viss behandling med vite. Utredningens förslag överensstämmer i huvudsak med regeringens. Utredningen föreslår dock en hänvisning även till 51 § andra stycket personuppgiftslagen (1998:204) som innebär att tillsynsmyndigheten får bestämma att dess beslut ska gälla även om det överklagas. Remissinstanserna: Remissinstanserna antingen tillstyrker förslaget eller lämnar det utan invändning. Skälen för regeringens förslag Få ändringar i sak men en tydligare reglering tillämpar de myndigheter som bedriver verksamhet enligt utlännings- och medborgarskapslagstiftningen många av personuppgiftslagens bestämmelser. Det beror på att förordningen om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen utan att vara heltäckande gäller utöver personuppgiftslagen. Förslagen om vilka bestämmelser i personuppgiftslagen som bör tillämpas innebär därför få förändringar i förhållande till vad som gäller . I stället innebär förslagen en tydligare och mer överskådlig reglering. I det följande redovisas i vilken utsträckning personuppgiftslagens bestämmelser bör vara tillämpliga vid behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen. I 3 § personuppgiftslagen definieras vissa begrepp som är centrala vid behandling av personuppgifter. Där definieras t.ex. vad personuppgifter är (”All slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet.”) och vad som utgör behandling av personuppgifter (”Varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring.”). Definitionerna i 3 § personuppgiftslagen gäller vid personuppgiftsbehandling i verksamhet på utlännings- och medborgarskapsområdet . Något skäl att förändra den ordningen finns inte. För att undvika missförstånd är det dessutom viktigt att terminologin i utlänningsdatalagen överensstämmer med personuppgiftslagen och att de begrepp som används i de båda författningarna har samma innebörd. En hänvisning till 3 § personuppgiftslagen bör därför tas in i utlänningsdatalagen. Förhållandet till offentlighetsprincipen och arkivering Av 8 § första stycket personuppgiftslagen följer att lagen inte ska tillämpas i den utsträckning det skulle inskränka en myndighets skyldighet att lämna ut personuppgifter enligt 2 kap. tryckfrihetsförordningen. I paragrafens andra stycke anges att bestämmelserna inte hindrar att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. I klargörande syfte och i överensstämmelse med bl.a. polisdatalagen (2010:361) bör, som utredningen föreslår, en hänvisning till bestämmelserna i 8 § personuppgiftslagen tas in i utlänningsdatalagen. Det bör dock klargöras att bestämmelserna i 8 § andra stycket personuppgiftslagen inte är tillämpliga när uppgifter ska gallras enligt särskilda bestämmelser i utlänningsdatalagen eller föreskrifter som har meddelats i anslutning till den. Som framgår i avsnitt 6.17 föreslås inte några särskilda gallringsregler i utlänningsdatalagen. Regeringen kan dock med stöd av 8 kap. 7 § regeringsformen komma att utfärda föreskrifter om gallring i vissa avseenden. I den mån sådana föreskrifter ges gäller de i stället för 8 § andra stycket personuppgiftslagen. Grundläggande krav på behandlingen av personuppgifter I 9 § första stycket personuppgiftslagen ställs i punkterna a–i vissa grundläggande krav på den personuppgiftsansvarige. Den personuppgiftsansvarige ska se till att personuppgifter bara behandlas om det är lagligt samt att det sker på ett korrekt sätt och i enlighet med god sed (a och b). Personuppgifter får bara samlas in för särskilda, uttryckligt angivna och berättigade ändamål (c). Punkten innebär att ändamålen med en behandling måste bestämmas redan när uppgifterna samlas in. 2015/16:65 insamlingen får uppgifterna inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in (d). I denna punkt kommer den s.k. finalitetsprincipen till uttryck. Personuppgifterna ska vidare vara adekvata och relevanta i förhållande till ändamålen med behandlingen (e). Den personuppgiftsansvarige ska vidare också ansvara för att behandlingen inte omfattar fler personuppgifter än vad som är nödvändigt med hänsyn till ändamålen med behandlingen samt att uppgifterna är riktiga och aktuella (f och g). Alla rimliga åtgärder ska vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen (h). Slutligen får personuppgifter inte bevaras än vad som är nödvändigt med hänsyn till ändamålet med behandlingen (i). Personuppgiftslagen innehåller två undantag från bestämmelsen. För det första hindrar, som nämnts ovan, personuppgiftslagens bestämmelser aldrig att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet (8 § andra stycket). För det andra får personuppgifter bevaras än vad som följer av (i) om bevarandet sker för historiska, statistiska eller vetenskapliga ändamål (9 § tredje stycket). Detta undantag gäller för alla personuppgifter, oavsett om det rör sig om uppgifter i allmän handling eller inte. I 9 § andra stycket finns en utveckling av finalitetsprincipen. Här anges att en behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål inte ska anses oförenlig med de ändamål för vilka uppgifterna samlades in. I 9 § fjärde stycket finns slutligen en bestämmelse som föreskriver att personuppgifter som behandlas för historiska, statistiska eller vetenskapliga ändamål får användas för att vidta åtgärder i fråga om den registrerade bara om den registrerade har lämnat sitt samtycke eller det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. Det är naturligt att de krav som gäller enligt 9 § personuppgiftslagen gäller även vid behandling av personuppgifter hos de myndigheter som enligt förslaget i avsnitt 6.3 ska tillämpa bestämmelserna i utlänningsdatalagen. Utlänningsdatalagen bör därför, som utredningen föreslår, hänvisa till 9 § personuppgiftslagen i dess helhet. I 22 § personuppgiftslagen föreskrivs att uppgifter om personnummer eller samordningsnummer får behandlas bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av en säker identifikation eller något annat beaktansvärt skäl. Bestämmelsen ger uttryck för att behandlingen av personnummer och samordningsnummer bör vara restriktiv och föregås av en intresseavvägning mellan behovet av behandlingen och de integritetsrisker som den innebär. Den nu gällande förordningen om personuppgiftsbehandling i verksamhet utlännings- och medborgarskapslagstiftningen saknar särskilda bestämmelser som rör personnummer eller samordningsnummer. Bestämmelsen i personuppgiftslagen är således i dag tillämplig vid personuppgiftsbehandling i verksamheten. en säker identifiering medför att personnummer och samordningsnummer ofta måste behandlas i denna verksamhet. Det bör därför inte införas några regler i utlänningsdatalagen som ytterligare inskränker möjligheten att behandla personnummer eller samordningsnummer. Utlänningsdatalagen bör i stället, som utredningen föreslår, hänvisa till 22 § personuppgiftslagen. Information till den registrerade Personuppgiftslagens bestämmelser i 23 och 25–27 §§ om sådan information som ska lämnas självmant till den registrerade och om information som ska lämnas efter ansökan av den registrerade är tillämpliga vid personuppgiftsbehandling i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Det har inte framkommit något behov av att ändra rättsläget i denna del. Utlänningsdatalagen bör därför innehålla en hänvisning till dessa bestämmelser. Enligt 24 § personuppgiftslagen ska den personuppgiftsansvarige självmant lämna information till den registrerade i samband med registrering om uppgifterna har samlats in från någon annan källa än den registrerade själv. Enligt bestämmelsens andra stycke behöver dock sådan information inte lämnas om det finns bestämmelser om registrerandet eller utlämnande av uppgifterna i en lag eller någon annan författning. Eftersom sådana bestämmelser som avses i andra stycket föreslås i utlänningsdatalagen, instämmer regeringen i utredningens bedömning att det inte är nödvändigt att införa en hänvisning till 24 § i utlänningsdatalagen. Den personuppgiftsansvarige är enligt 28 § personuppgiftslagen skyldig att på begäran av den registrerade rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med lagen eller föreskrifter som har utfärdats med stöd av lagen. Den personuppgiftsansvarige ska vidare underrätta tredje man till vilken uppgifterna har lämnats ut om åtgärden, om den registrerade begär det eller om mera betydande skada eller olägenhet för den registrerade därigenom kan undvikas. Någon sådan underrättelse behöver dock inte lämnas, om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. I förarbetena till personuppgiftslagen konstateras att redan bestämmelserna i 9 § första punkten e och g medför en skyldighet för den personansvariga myndigheten att vara aktiv för att se till att de behandlade uppgifterna är korrekta (se prop. 1997/98:44 s. 87). Bestämmelsen i 28 § ger dock den registrerade rätt att påkalla den personuppgiftsanvariges aktivitet för att korrigera uppgifter, som gäller utöver de grundläggande kraven i 9 §. Bestämmelsen i 28 § gäller vid behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Det är viktigt att det även i fortsättningen finns en möjlighet för enskilda att se till att personuppgifter som behandlas felaktigt rättas, blockeras eller utplånas. En hänvisning till 28 § bör därför göras i utlänningsdatalagen. I 30–32 §§ personuppgiftslagen finns bestämmelser om hur den personuppgiftsansvarige ska organisera arbetet med behandling av personuppgifter för att garantera säkerheten. Av 30 § följer bland annat att ett personuppgiftsbiträde och den eller de personer som arbetar under biträdets eller den personuppgiftsansvariges ledning får behandla personuppgifter bara i enlighet med instruktioner från den personuppgiftsansvarige. Om det i lag eller annan författning finns särskilda bestämmelser om behandlingen av personuppgifter i det allmännas verksamhet, ska de bestämmelserna dock ha företräde (30 § tredje stycket). Här avses särskilt bestämmelser om tystnadsplikt och sekretess (se prop. 1997/98:44 s. 136). Enligt 30 § andra stycket ska det i fråga om personuppgiftsbiträden finnas ett skriftligt avtal om biträdets behandling för den personuppgiftsansvariges räkning. Det ska i avtalet särskilt föreskrivas att biträdet får behandla personuppgifter bara i enlighet med instruktioner från den personuppgiftsansvarige och att biträdet är skyldigt att vidta de åtgärder som avses i 31 § första stycket. Av 31 § följer bland annat att den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att skydda behandlade personuppgifter. Åtgärderna ska åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjligheter som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandlingen av personuppgifterna och hur pass känsliga de behandlade personuppgifterna är. Enligt 32 § första stycket får Datainspektionen i enskilda fall besluta om vilka åtgärder som den personuppgiftsansvarige ska vidta enligt 31 §. Säkerhetsbestämmelserna är tillämpliga vid personuppgiftsbehandling i verksamhet enligt utlännings- och medborgarskapslagstiftningen och bör gälla även fortsättningsvis. En hänvisning till bestämmelserna bör alltså föras in i utlänningsdatalagen. Undantag bör dock göras för 32 § andra stycket i vilket hänvisas till tillsynsmyndighetens möjlighet att förena ett förbud med vite. Regler om vite bör normalt enligt allmänna rättsgrundsatser inte tillämpas i förhållandet mellan statliga myndigheter (se prop. 2004/05:164 s. 54, prop. 2006/07:46 s. 105 och 2009/10:85 s. 90). Överföring av personuppgifter till tredjeland Överföring av personuppgifter till tredjeland regleras i 33–35 §§ personuppgiftslagen. I 33 § finns ett förbud mot överföring av personuppgifter till tredjeland för personuppgifter som är under behandling om inte det mottagande landet har en adekvat nivå för skyddet av personuppgifterna. Förbudet gäller också överföring av personuppgifter för behandling i tredjeland. Med tredjeland avses en stat som inte ingår i EU eller är ansluten till EES. Från förbudet finns vissa undantag i 34 §. Av den bestämmelsen följer att det trots förbudet är tillåtet att föra över personuppgifter till tredjeland om den registrerade har lämnat sitt samtycke till överföringen eller om överföringen är nödvändig bl.a. för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras eller vitala intressen för den registrerade ska kunna skyddas. Av bestämmelsen följer vidare att det 2015/16:65 även är tillåtet att föra över personuppgifter för användning i ett land som har anslutit sig till dataskyddskonventionen. Enligt 35 § har regeringen möjlighet att föreskriva ytterligare undantag från förbudet, bland annat om det behövs med hänsyn till ett viktigt allmänt intresse. I 8 § andra stycket förordningen om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen finns en särskild bestämmelse om överföring av uppgifter till tredjeland. Enligt den bestämmelsen får de personuppgifter som finns i rättsfallsregister föras över till en stat som inte ingår i EU eller är ansluten till EES.