prop · H30365 · 2015-12-07 00:00:00 — Som framgår ovan finns endast en särskild bestämmelse om gallring i förordningen om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen, avseende gallring i fingeravtrycksregistret. I övrigt gäller att automatiserat behandlade personuppgifter i allmänna handlingar som utgångspunkt ska bevaras. En annan omständighet som talar för bevarande som huvudregel är att det vid handläggning av ärenden hos ofta finns ett behov att ta fram uppgifter från tidigare ärenden. Ett exempel är s.k. anknytningsärenden, där personer som begär uppehållstillstånd på grund av anknytning åberopar uppgifter från släktingars ärenden som rör ansökan om uppehållstillstånd. En alltför omfattande gallring av myndighetens handlingar skulle minska möjligheterna att använda uppgifter från tidigare ärenden. Vidare talar allmänhetens intresse av insyn i verksamheten för att bevarande bör vara utgångspunkten. Migrations- och utlänningsrätt är ofta omdebatterade områden, och möjligheten till granskning av verksamheten av till exempel forskare eller journalister skulle minska avsevärt om personuppgifter i elektroniska handlingar som utgångspunkt ska gallras. Mot denna bakgrund gör regeringen liksom utredningen bedömningen att den nuvarande ordningen bör fortsätta att gälla. Någon generell gallringsbestämmelse bör således inte föras in i lagen. Det kan dock, som också utredningen anser, finnas behov av vissa specifika gallringsregler, särskilt när det gäller känsliga personuppgifter. Datainspektionen förordar att sådana gallringsbestämmelser ges lagform. I avsnitt 6.10 gör regeringen beträffande behandlingen av fingeravtryck och fotografier bedömningen att det är mest lämpligt att gallringsbestämmelser ges på förordningsnivå. Regeringen gör samma bedömning när det gäller gallring av känsliga personuppgifter. En upplysningsbestämmelse om att regeringen eller den myndighet som regeringen bestämmer kan meddela Prop. 2015/16:65 närmare föreskrifter om gallring av känsliga personuppgifter bör därför införas i utlänningsdatalagen. Avskiljande av inaktuella personuppgifter Regeringens förslag om att arkivlagens bestämmelser om bevarande och gallring ska gälla för personuppgifter som behandlas automatiserat innebär ett behov av att överväga särskilda regler som säkerställer att uppgifter som inte längre behövs i verksamheten bevaras i myndigheternas datasystem på ett sätt som gör att de inte finns tillgängliga för myndighetens samtliga handläggare. Uppgifter som behandlas för ändamålen att handlägga ärenden, bedriva utlänningskontroll och mottagningsverksamhet är ofta av integritetskänslig karaktär och är ofta tillgängliga för många anställda på myndigheterna. Regeringen anser därför liksom utredningen att de uppgifter som är nödvändiga för den löpande verksamheten, t.ex. för att handläggningen av ett ärende har avslutats, ska avskiljas och inte längre vara tillgängliga för all den personal som arbetar i sådan verksamhet. För att anknyta till ordalydelsen i ändamålsbestämmelserna bör dock i stället detta uttryckas som att uppgifterna ska avskiljas om de inte längre behövs för den löpande verksamheten. Utredningen föreslår att endast anställda som är i absolut behov av av de avskilda uppgifterna ska få åtkomst till dem. Det kan enligt utredningen till exempel gälla verksarkivarier, men även handläggare och beslutsfattare kan ha behov av att vid handläggning av nya ärenden behandla redan avskilda uppgifter. Enligt regeringens mening kan det, som också är inne på, med hänsyn till de exempel som utredningen anger, ifrågasättas om inte utredningens förslag innebär en alltför snäv begränsning av åtkomsten till avskilda personuppgifter. Det torde inte vara ovanligt att det finns ett behov av åtkomst till uppgifter i avslutade ärenden i t.ex. nya ärenden om familjeåterförening. Regeringen anser därför att det är tillräckligt att det ska föreligga ett behov för den tjänstemannen att få åtkomst till uppgifterna. Vem som ska få behörighet till avskilda uppgifter måste dock alltid föregås av en individuell prövning. På så sätt kan säkerställas att integritetsskyddet för avskilda personuppgifter blir tillräckligt även utan det krav på absolut behov som utredningen föreslår. I avsnitt 6.12 föreslås en allmän bestämmelse om att det åligger den personuppgiftsansvariga myndigheten att begränsa den interna åtkomsten av personuppgifter till det som varje tjänsteman behöver för att fullgöra sina arbetsuppgifter. Utan särreglering blir den bestämmelsen tillämplig även på den interna åtkomsten till avskilda uppgifter. Eftersom regeringen menar att samma krav på behov bör gälla för att en tjänsteman ska få tillgång till avskilda uppgifter behövs inte någon särskild begränsningsbestämmelse av åtkomsten till uppgifter i bestämmelsen om avskiljande. Det är en annan sak att det sannolikt ofta är en betydligt snävare krets av tjänstemän som kommer att bedömas ha behov av att få tillgång till avskilda personuppgifter. Regleringen rörande avskiljande bör, som utredningen föreslår, vara Hur avskiljandet ska ske bör den personuppgiftsansvarige 2015/16:65 själv få bestämma. Det får dock inte innebära informationsförlust av något slag. En metod är att uppgifterna avställs till en annan databas som till exempel e-arkiv. Att i lagen ge någon bestämd tidsfrist för när personuppgifterna ska avskiljas bör inte vara nödvändigt. Självfallet bör dock personuppgifter om en utlänning avskiljas när han eller hon har beviljats svenskt medborgarskap. En stor mängd personuppgifter om utlänningar som inte varit aktuella i något ärende , kan inte heller anses behövas i den löpande verksamheten. Det bör överlämnas till den personuppgiftsansvariga myndigheten att bedöma hur avskiljandet ska utformas, tidsgränser för när detta ska ske och att utarbeta regler och rutiner för detta. Det torde, som nämnts ovan, inte vara ovanligt att uppgifter som är av betydelse för t.ex. handläggning och därmed ska avskiljas är av betydelse för andra myndigheters ärendehandläggning. Det bör därför inte, som utredningen anser, föreligga något hinder mot att avskilda uppgifter omfattas av direktåtkomst. Som utredningen föreslår kan det finnas behov för regeringen eller den myndighet regeringen bestämmer att meddela föreskrifter om avskiljande av personuppgifter och säkerhetsåtgärder till skydd för personuppgifter. Utredningen anser att föreskrifter i första hand behövs med hänsyn till att , som framgår av avsnitt 6.7, är personuppgiftsansvarigt för utlandsmyndigheternas automatiserade behandling av personuppgifter. Enligt regeringens mening bör emellertid upplysningbestämmelserna göras mer generella så att det framgår att regeringen eller den myndighet som regeringen bestämmer kan meddela ytterligare föreskrifter även i de fall då det inte handlar om personuppgifter som behandlas av utlandsmyndigheterna under personuppgiftsansvar. Regeringens förslag: Utlänningsdatalagen och övriga författningsändringar ska träda i kraft dagen efter den dag då lagen enligt uppgift på den kommit ut från trycket i . Regeringens bedömning: Några särskilda övergångsbestämmelser behövs inte. Utredningens förslag och bedömning överensstämmer delvis med regeringens. Utredningen föreslår ett tidigare ikraftträdande. Remissinstanserna: Ingen remissinstans yttrar sig i frågan om ikraftträdande- eller övergångsbestämmelser. Skälen för regeringens förslag och bedömning: Som närmare beskrivs i avsnitt 3 är det angeläget att utlänningsdatalagen och övriga författningsändringar kan träda i kraft . 2015/16:65 föreslår att utlänningsdatalagen och övriga författningsändringar ska träda i kraft dagen efter den dag då lagen enligt uppgift på den kommit ut från trycket i , vilket med hänsyn till behandlingen i beräknas bli . Det behövs inga särskilda övergångsbestämmelser. 8 Konsekvenser av förslagen Regeringens bedömning: Genom förslagen skapas ett förstärkt integritetsskydd som är anpassat till de risker som är förknippade med användningen av modern teknik. Förslagen innebär en flexibel reglering som ger myndigheterna möjlighet att fortlöpande utveckla och anpassa sina system för automatiserad behandling av personuppgifter utan att det kräver ändringar i lagstiftningen. Förslagen medför inte några kostnader för myndigheterna som inte ryms inom befintliga anslag. Utredningens bedömning överensstämmer med regeringens. Remissinstanserna: Ingen remissinstans invänder mot utredningens Skälen för regeringens bedömning: Syftet med regeringens förslag till en ny utlänningsdatalag är att införa en modern, ändamålsenlig och teknikoberoende lag för , och utlandsmyndigheternas behandling av personuppgifter så att myndigheternas verksamhet enligt utlännings- och medborgarlagstiftningen ska kunna bedrivas så effektivt som möjligt. Regeringen gör bedömningen att författningsförslagen inte kommer att innebära några större merkostnader för , eller utlandsmyndigheterna. De befintliga it-systemen kan enligt regeringens bedömning behållas. Eftersom förslagen är teknikoberoende kan även it-systemen utvecklas och ändras utan att lagstiftningen behöver ändras. De krav som regleringen ställer bör dock kunna uppfyllas genom en anpassning av de befintliga systemen och genom utbildning, information och instruktioner till personalen. Även förslaget om krav på avskiljande, som kan antas medföra vissa merkostnader för , bör enligt regeringens bedömning inte vara mer omfattande än att det får anses utgöra en del av det ordinarie utvecklingsarbetet. Mot denna bakgrund gör regeringen bedömningen att förslagen inte medför några förändringar i förutsättningarna för myndigheternas verksamhet som får sådana kostnadsmässiga konsekvenser att de inte ryms inom myndigheternas ordinarie budgetramar. 1 § Syftet med denna lag är att ge , och utlandsmyndigheterna möjlighet att behandla personuppgifter på ett ändamålsenligt sätt i sin verksamhet enligt utlännings- och medborgarskapslagstiftningen och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. I paragrafen anges det övergripande syftet med lagen. Övervägandena finns i avsnitt 6.2. I paragrafen anges att syftet med lagen är att ge , och utlandsmyndigheterna möjlighet att behandla personuppgifter på ett ändamålsenligt sätt i verksamhet enligt utlännings- och medborgarskapslagstiftningen och att skydda den personliga integriteten vid sådan behandling. Bestämmelsen har sin förebild i bl.a. 1 kap. 1 § polisdatalagen (2010:361). Vad som i lagen avses med verksamhet enligt utlännings- och medborgarskapslagstiftningen anges uttömmande i 2 och 3 §§. 2 § Denna lag gäller vid behandling av personuppgifter i och utlandsmyndigheternas verksamhet som rör 1.utlänningars inresa i , i en stat som ingår i Europeiska unionen, i en stat som är ansluten till Europeiska ekonomiska samarbetsområdet eller i , 2.utlänningars vistelse eller arbete i och utresa eller avlägsnande från , 4.mottagande av asylsökande och andra utlänningar, 5.bistånd och stöd till utlänningar, 7.statlig ersättning för kostnader för utlänningar, 8.bosättning av utlänningar, eller 9.utfärdande av resehandlingar. Paragrafen anger vilken verksamhet hos och utlandsmyndigheterna som lagens personuppgiftshanteringsregler ska tillämpas på. Övervägandena finns i avsnitt 6.3. I denna paragraf, tillsammans med 3 §, anges uttömmande vilka myndigheters behandling av personuppgifter som regleras av lagen. Personuppgiftsbehandling som utförs inom sådan verksamhet som omfattas av paragrafen, men som utförs av någon annan myndighet faller utanför lagens tillämpningsområde. Paragrafen har delvis sin förebild i 1 § förordningen (2001:720) om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Uttrycket behandling av personuppgifter har samma betydelse som i 3 § personuppgiftslagen (1998:204). Av det följer att behandling av personuppgifter som rör avlidna, ännu inte födda eller juridiska personer inte omfattas av lagens bestämmelser. I punkterna 1–9 beskrivs vilken verksamhet som regleras av lagen för och utlandsmyndigheternas del. Fler än en av punkterna kan vara tillämpliga . Med punkterna 1 och 2 avses främst och utlandsmyndigheternas verksamhet enligt utlänningslagen (2005:716) och utlänningsförordningen (2006:97) som rör visering, uppehållstillstånd, arbetstillstånd, avvisning eller utvisning, kontroll och verkställighet av beslut inklusive frågor om förvar. Även utlandsmyndigheternas biträde med utredning av utlännings- och medborgarskapsärenden med stöd av förordningen (2014:115) med instruktion för utrikesrepresentationen avses. Vidare faller behandling av personuppgifter i ärenden om utvisning och förvar m.m. av utlänningar med stöd av lagen (1991:572) om särskild utlänningskontroll under dessa punkter. Punkt 3 omfattar behandling av personuppgifter med anledning av beslut om eller återkallelse av statusförklaring enligt 4 kap. 3–3 c samt 5 b och 5 c §§ utlänningslagen. I punkt 4 avses verksamhet enligt lagen (1994:137) om mottagande av asylsökande m.fl. och förordningen (1994:361) om mottagande av asylsökande m.fl. Till punkten hör också verksamhet i samband med mottagande av kvotflyktingar. Punkt 5 avser verksamhet som rör ekonomiskt bistånd enligt lagen och förordningen om mottagande av asylsökande m.fl. Även verksamhet enligt förordningen (1984:890) om bidrag till utlänningars resor från för bosättning i annat land, förordningen (1984:936) om bidrag till flyktingar för kostnader för anhörigs resor till , förordningen (2008:778) om återetableringsstöd för vissa utlänningar och förordningen (2010:1345) om särskild dagersättning till vissa nyanlända invandrare avses. Med punkt 6 avses och utlandsmyndigheternas verksamhet enligt lagen (2001:82) om svenskt medborgarskap och medborgarskapsförordningen (2001:218). Punkt 7 omfattar bl.a. verksamhet som gäller ersättning till kommuner, landsting, kommunalförbund och öppenvårdsapotek för vissa kostnader för utlänningar. Bestämmelser om sådan ersättning finns i förordningen (1990:927) om statlig ersättning för flyktingmottagande m.m., förordningen (2010:1122) om statlig ersättning för insatser för vissa utlänningar, förordningen (1996:1357) om statlig ersättning för hälso- och sjukvård till asylsökande och förordningen (2002:1118) om statlig ersättning för asylsökande m.fl. I punkt 8 innefattas verksamhet som rör bosättning av utlänningar. Bestämmelser om denna verksamhet finns i lagen om mottagande av asylsökande m.fl. och förordningen (2010:408) om mottagande för bosättning av vissa nyanlända invandrare. Med punkt 9 avses och utlandsmyndigheternas verksamhet som rör utfärdande av resehandlingar. I uttrycket ingår främlingspass och olika former av resedokument. 2015/16:65 Lagen är inte tillämplig på verksamhet som faller utanför uppräkningen av de olika verksamhetsområdena. Det innebär att lagen inte är tillämplig på och utlandsmyndigheternas interna administrativa ärendehantering som rör t.ex. ekonomi- eller personalfrågor. För behandling av personuppgifter i sådan verksamhet gäller bestämmelserna i personuppgiftslagen. Detsamma gäller den verksamhet som regleras i förordningen (2014:1538) om förvaltning av asyl-, migrations- och integrationsfonden. 3 § Denna lag gäller också vid behandling av personuppgifter i verksamhet som rör utlänningars inresa och vistelse i och utresa eller avlägsnande från om verksamheten inte utgör brottsbekämpande verksamhet. Paragrafen anger vilken verksamhet hos som lagens personuppgiftshanteringsregler ska tillämpas på. Övervägandena finns i avsnitt 6.3. I denna paragraf, tillsammans med 2 §, anges uttömmande vilka myndigheters behandling av personuppgifter som regleras av lagen. Paragrafen har delvis sin förebild i 1 § förordningen (2001:720) om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Personuppgiftsbehandling som utförs inom sådan verksamhet som omfattas av paragrafen, men som utförs av någon annan myndighet faller utanför lagens tillämpningsområde. Enligt paragrafen gäller lagen vid den personuppgiftsbehandling som utför med stöd av utlänningslagen (2005:716) och lagen (2001:82) om svenskt medborgarskap och anslutande förordningar. Även verksamhet enligt lagen (1991:572) om särskild utlänningskontroll omfattas. Det innebär att personuppgiftsbehandling när myndigheten utför personkontroll vid yttre gräns i samband med inresa och utresa samt inre utlänningskontroll omfattas av lagens bestämmelser så länge kontrollen inte har ett brottsbekämpande syfte. Åtgärder i sådant syfte regleras i stället av polisdatalagens (2010:361) bestämmelser. Inom tillämpningsområdet faller också personuppgiftsbehandling i samband med beslut om avvisning och verkställighet av sådana beslut samt verkställighet av allmän domstols beslut om utvisning på grund av brott och beslut om avvisning eller utvisning. Paragrafen omfattar också personuppgiftsbehandling i samband med verkställighet av utlämning eller överlämnande med stöd av lagen (1957:668) om utlämning för brott, lagen (2003:1156) om överlämnande från enligt en europeisk arresteringsorder, lagen (2011:1165) om överlämnande från enligt en nordisk arresteringsorder samt lagen (1970:375) om utlämning till , , eller för verkställighet av beslut om vård eller behandling. 4 § Lagen gäller endast om behandlingen av personuppgifter enligt 2 eller 3 § är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier. I paragrafen regleras vilken typ av personuppgiftsbehandling som Prop. 2015/16:65 regleras av lagen. Övervägandena finns i avsnitt 6.3. Av paragrafen framgår att lagen är tillämplig endast om behandlingen av personuppgifter är helt eller delvis automatiserad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgänglig för sökning eller sammanställning enligt särskilda kriterier. Lagen har därmed samma tillämpningsområde som 5 § personuppgiftslagen (1998:204). Utanför lagens tillämpningsområde faller därmed helt behandling av personuppgifter som inte ingår i någon sådan samling. Med personuppgifter avses detsamma som i 3 § personuppgiftslagen, dvs. all slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet. Även uttrycket behandling har samma innebörd som i den bestämmelsen. Därmed avses alltså varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, till exempel insamling, registrering, organisering, lagring, bearbetning, användning, spridning eller annat tillhandahållande, sammanställning eller samkörning samt utplåning eller förstöring. 5 § Denna lag gäller inte när personuppgifter behandlas med stöd av 1.lagen (2000:344) om Schengens informationssystem, 2.Europaparlamentets och rådets förordning (EG) nr 810/2009 av om införande av en gemenskapskodex om viseringar (viseringskodex), eller 3.Europaparlamentets och rådets förordning (EU) nr 603/2013 av om inrättande av Eurodac för jämförelse av fingeravtryck för en effektiv tillämpning av förordning (EU) nr 604/2013 om kriterier och mekanismer för att avgöra vilken medlemsstat som är ansvarig för att pröva en ansökan om internationellt skydd som en tredjelandsmedborgare eller en statslös person har lämnat in i någon medlemsstat och för när medlemsstaternas brottsbekämpande myndigheter begär jämförelser med Eurodacuppgifter för brottsbekämpande ändamål, samt om ändring av förordning (EU) nr 1077/2011 om inrättande av en Europeisk byrå för den operativa förvaltningen av stora it-system inom området frihet, säkerhet och rättvisa (omarbetning). I paragrafen föreskrivs vissa undantag från lagens tillämpningsområde. Eftersom det är fråga om en upplysningsbestämmelse anges endast EU- förordningarnas namn och inte vilken lydelse av dem som det hänvisas till (dynamisk hänvisning). Övervägandena finns i avsnitt 6.4. I paragrafen anges i tre punkter en lag och två EU-förordningar som åtminstone delvis reglerar sådan verksamhet som enligt 2 och 3 §§ täcks av lagens tillämpningsområde, men som för att undvika överlappande reglering ska ha företräde framför lagen. Enligt punkt 1 gäller att personuppgiftshanteringsreglerna i lagen (2000:344) om Schengens informationssystem ska ha företräde framför lagen. I punkt 2 anges att lagen inte gäller på det område som regleras av viseringskodexen. Punkt 3 betyder att lagen inte gäller på det område som regleras av Eurodac-förordningen. 6 § När personuppgifter behandlas med stöd av och rådets förordning (EG) nr 767/2008 av om informationssystemet för viseringar (VIS) och utbytet mellan medlemsstaterna av uppgifter om viseringar för kortare vistelse (VIS-förordningen), gäller bestämmelserna i 28 och 48 §§ personuppgiftslagen (1998:204) om rättelse och skadestånd om inte något annat följer av VIS-förordningen. I övrigt är denna lag inte tillämplig när personuppgifter behandlas med stöd av VIS-förordningen. I paragrafen regleras vad som ska gälla för rättelse och skadestånd när VIS-förordningen tillämpas. Paragrafen innehåller också ett undantag från lagens tillämpningsområde. Eftersom det är fråga om en upplysningsbestämmelse anges endast EU-förordningens namn och inte vilken lydelse av den som det hänvisas till (dynamisk hänvisning). Övervägandena finns i avsnitt 6.4. I första meningen anges att bestämmelserna om rättelse och skadestånd i 28 och 48 §§ personuppgiftslagen (1998:204) gäller vid behandling av personuppgifter enligt VIS-förordningen om inte något annat följer av den förordningen. Andra meningen innebär att lagens bestämmelser i övrigt inte ska tillämpas på det område som regleras av VIS-förordningen. 7 § Om inte något annat anges i 8 §, gäller denna lag i stället för personuppgiftslagen (1998:204). Paragrafen reglerar lagens förhållande till personuppgiftslagen (1998:204). Övervägandena finns i avsnitt 6.6. Paragrafen innebär att lagen inom sitt tillämpningsområde enligt 2 och 3 §§ helt ersätter personuppgiftslagen, utom i de fall som uttryckligen anges i 8 §. Vid sådan personuppgiftsbehandling som omfattas av lagen ska alltså bestämmelser i personuppgiftslagen tillämpas endast om det finns en hänvisning till dem i 8 §. Paragrafen har sin förebild bl.a. i 2 kap. 1 § polisdatalagen (2010:361). 8 § När personuppgifter behandlas enligt denna lag, eller enligt föreskrifter som har meddelats i anslutning till lagen, gäller följande bestämmelser i personuppgiftslagen (1998:204): 1.3 § om definitioner, 2.8 § om förhållandet till offentlighetsprincipen, 3.9 § om grundläggande krav på behandling av personuppgifter, 4.22 § om behandling av personnummer, 5.23 och 25–27 §§ om information till den registrerade, 6.28 § om rättelse, 7.30 och 31 §§ samt 32 § första stycket om säkerheten vid behandling, 8.33–35 §§ om överföring av personuppgifter till tredjeland, 9.38–41 §§ om personuppgiftsombud m.m., 10.42 § om upplysningar till allmänheten om vissa behandlingar, 11.43 och 44 §§, 45 § första stycket och 47 § om tillsynsmyndighetens befogenheter, 12.48 § om skadestånd, och 13.51 § första stycket, 52 § första stycket och 53 § om överklagande. Om personuppgifter ska gallras enligt denna lag, eller enligt föreskrifter som har meddelats i anslutning till lagen, gäller inte 8 § andra stycket personuppgiftslagen. Förbud enligt 44 eller 45 § personuppgiftslagen får inte förenas med vite. Paragrafen, som till sin strukturella uppbyggnad har sin förebild bl.a. i 2 kap. 2 § polisdatalagen (2010:361), innehåller hänvisningar till tillämpliga bestämmelser i personuppgiftslagen (1998:204), PUL. Övervägandena finns i avsnitt 6.6. I första stycket anges i 13 punkter vilka bestämmelser i personuppgiftslagen som ska gälla vid behandling av personuppgifter enligt lagen. Enligt 7 § gäller utlänningsdatalagen i stället för personuppgiftslagen.