sou · H3B373 · 2015-08-03 00:00:00 — Personuppgiftsbehandling på utlännings- och medborgarskapsområdet SOU och Ds kan köpas från kundtjänst. Beställningsadress: kundtjänst, 106 47 För remissutsändningar av SOU och Ds svarar på uppdrag av . Svara på remiss – hur och varför. Statsrådsberedningen, SB PM 2003:2 (reviderad ) En kort handledning för dem som ska svara på remiss. Häftet är gratis och kan laddas ner som pdf från eller beställas på /remisser Layout: Kommittéservice, . Tryck: , 2015. Till statsrådet och chefen för Regeringen beslutade att ge en särskild utredare i uppdrag att utarbeta ett förslag till en lag om behandling av person- uppgifter i verksamhet enligt utlännings- och medborgarskapslagstift- ningen m.m. (dir. 2014:76). förordnades f.d. lagmannen som särskild utredare. Hovrättsassessorn anställdes som sekreterare (tjänstledig ). Hovrättsassessorn anställdes som sekreterare . Utredningen har antagit namnet utlänningsdata- utredning (Ju 2014:11). Som experter i utredningen förordnades advokaten , kammarrättsrådet , hovrättsassessorn , juristen , rättssakkunniga , verksjuristen , rådmannen och juristen . Genom beslut entledigades från uppdraget från och med , och i hans ställe förordnades från och med advokaten som expert. Genom beslut entledigades från uppdraget , och i hennes ställe förordnades från och med kanslirådet som expert. Härmed överlämnar utredningen sitt betänkande Personuppgifts- behandling på utlännings- och medborgarskapsområdet (SOU 2015:73). Uppdraget är därmed slutfört. Förslag till utlänningsdatalag ................................................. 1.2Förslag till lag om ändring i lagen (2001:181) om behandling av uppgifter i 1.3Förslag till lag om ändring i lagen (2001:184) om behandling av uppgifter i 1.4Förslag till lag om ändring av utlänningslagen (2005:716)................................................................................ 1.5Förslag till lag om ändring i socialförsäkringsbalken (2010:110)................................................................................ Förslag till lag om ändring i polisdatalagen (2010:361)........ Förslag till utlänningsdataförordning.................................... Förslag till förordning om ändring i folkbokföringsförordning (1991:749) ................................... 1.9Förslag till förordning om ändring i förordningen (2001:588) om behandling av uppgifter i 1.10 Förslag till förordning om ändring i förordningen (2001:590) om behandling av uppgifter i 1.11Förslag till förordning om ändring i förordningen (2003:766) om behandling av personuppgifter inom Förslag till förordning om ändring i förordningen (2009:284) om identitetskort för folkbokförda i .... Utredningens uppdrag och arbete................................ Gällande rätt och internationella överenskommelser ...... Internationella konventioner m.m. ....................................... FN:s allmänna förklaring om de mänskliga 3.3.5Europeiska unionens stadga om de Några viktiga begrepp............................................. Det territoriella tillämpningsområdet.................... Behandling av uppgifter som omfattas av lagen.... Undantag från personuppgiftslagen....................... Krav på behandlingen av personuppgifter ........... Tillåten behandling av personuppgifter................ 3.5.7Förbud mot behandling av känsliga 3.5.8Undantag från förbudet mot behandling av Särskilt om begreppet ras...................................... 3.5.10Behandling av personuppgifter om Behandling av uppgifter om personnummer ....... Rätt till information .............................................. Säkerhet vid behandling ........................................ Överföring av uppgifter till tredjeland................. Anmälan till datainspektionen.............................. Skadestånd och straff ............................................ Rättelse och skadestånd ........................................ Verksamhet enligt utlännings- och Generellt om de handläggande myndigheterna................... Verksamhet enligt utlänningslagen...................................... EES och EU........................................................... 4.3.5Villkor för att en utlänning ska få resa in, vistas och arbeta i ..................................... 4.4 Verksamhet enligt medborgarskapslagen............................ 4.5Verksamhet enligt nuvarande utlänningsdataförordning 4.5.1Verksamhet som gäller utlänningars vistelse i och avlägsnande från landet.................................. 4.5.2Verksamhet som gäller utlänningars rätt att 4.5.3Mottagande av asylsökande och vissa andra utlänningar och verksamhet som rör bistånd och stöd till utlänningar som enligt lag eller annan författning handläggs av 4.5.4Verksamhet som avser förvärv, förlust eller bibehållande av svenskt medborgarskap.............. 4.5.5Verksamhet som gäller ersättning för och bosättning av utlänningar som enligt lag eller annan författning handläggs av 4.6 Övrig verksamhet ................................................................. Behandling av personuppgifter inom Register över fingeravtryck och fotografier......... Avställdadatabasen och e-arkivet.......................... Schengens informationssystem och ..... Fingeravtrycks- och signalementsregister ........... Allmänna utgångspunkter vid utformandet av en 6.2 Krav på lagreglering enligt regeringsformen ....................... Enskildas personliga förhållanden ........................ Övervakning och kartläggning ............................. Vilken reglering omfattas?.................................... Behov av en lagreglering ....................................... Behandling av personuppgifter i register............. Gemensamt tillgängliga uppgifter........................ En ny domstolsdatalag ......................................................... 7En ny lag om behandling av personuppgifter i verksamhet enligt utlännings- och Ska myndigheterna anges i lagen? Vilka myndigheters behandling av personuppgifter ska regleras av lagen?................. 7.3.4Vilken personuppgiftsbehandling ska lagen utanför lagens tillämpningsområde?.................... Undantag från lagens tillämpningsområde ......................... Den registrerades inställning ............................................... Förhållandet till personuppgiftslagen ................................. 7.7 Tillämpliga bestämmelser i personuppgiftslagen ................ Förhållande till offentlighetsprincipen ................ 7.7.3Grundläggande krav på behandlingen av Behandling av personnummer .............................. Information till den registrerade .......................... Säkerhet vid behandlingen .................................... Överföring av personuppgifter till tredjeland ..... Upplysningar till allmänheten .............................. Skadestånd och straff ............................................ Allmänt om personuppgiftsansvar ....................... Primära och sekundära ändamål register över fingeravtryck och Allmänt om fingeravtrycksregistret m.m Särskilt om jämförelser av fotografier Personuppgifter .....................................som får behandlas 7.11.1Allmänt om tillåten behandling av 7.11.3 Särskilt om känsliga personuppgifter ................... 7.12 Tillgången till personuppgifter............................................. Allmänt om behörighetsbegränsningar................ Allmänt om sökbegränsningar ............................. Annat elektroniskt utlämnande än genom 7.14.1Allmänt om annat elektroniskt utlämnande än Allmänt om direktåtkomst................................... Bevarande och gallring m.m................................................. 7.16.1 Allmänt om bevarande och gallring ..................... Ikraftträdande och övergångsbestämmelser ....................... Registrering av kvalitetsomdömen.............................. 8.2Allmänt om förordnande av offentliga biträden, tolkar, översättare och Den rättsliga regleringen m.m.............................. 8.2.2Migrationsverkets uppfattning om behovet att kunna registrera kvalitetsomdömen..................... 8.3 Utredningens överväganden ................................................ Problemens omfattning och allvar ....................... Alternativa sätt till personregistreringar.............. Förväntad nytta av avvikelseregistreringar.......... Behov av författningsreglering m.m..................... Ett effektivare informationsutbyte vid handläggning av uppehållstillstånd för arbete och arbetstillstånd ..... 9.2Allmänt om handläggning av uppehållstillstånd för arbete och arbetstillstånd ................. Den rättsliga regleringen för handläggningen ..... 9.2.2Migrationsverkets uppfattning om behovet av direktåtkomst till vissa personuppgifter .............. Särskilt om tillämpliga sekretessbestämmelser.... 9.3 Utredningens överväganden................................................. 9.3.1Migrationsverkets uppgiftsbehov vid handläggning av ärenden som rör uppehållstillstånd för arbete och 9.3.2Förutsättningar för att ge direktåtkomst till efterfrågade uppgifter finns.... 382 9.3.3Utformningen av bestämmelser om rätt att ta del av uppgifter från Allmänt om kontroller av Den rättsliga regleringen....................................... 10.2.2Polismyndighetens och uppfattning om behovet av en kompletterande 10.3 Utredningens överväganden ................................................ 10.3.2Migrationsverkets behov av att kontrollera fingeravtryck med hjälp av 10.3.3Alternativ till kontroller mot 10.3.6 Behov av författningsreglering m.m. ................... Skadeståndsskyldighet efter kontroller av Allmänt om kontroller av Schengenviseringar m.m. ............. 11.2.1Fingeravtryckskontroller enligt kodexen om 11.3.2 Behovet av särskilda bestämmelser om Allmänt om konsekvensanalyser ......................................... 12.2.1 Förslaget till utlänningsdatalag m.m.................... De särskilda frågorna ............................................ Förslaget till utlänningsdatalag............................................ 13.2Förslaget till lag om ändring i lagen (2001:181) om behandling av uppgifter i Förslaget till lag om ändring i lagen (2001:184) om behandling av uppgifter i Förslaget till lag om ändring av utlänningslagen (2005:716).............................................................................. Förslaget till lag om ändring i socialförsäkringsbalken (2010:110).............................................................................. Förslaget till lag om ändring i polisdatalagen (2010:361)... homosexuella, bisexuella, transpersoner och queer offentlighets- och sekretesslagen (2009:400) polisdataförordningen (2010:1155) polisdatalagen (2010:361) personuppgiftsförordningen (1998:1191) personuppgiftslagen (1998:204) utlänningsförordning (2006:97) utlänningslagen (2005:716) I detta betänkande redovisar utredningen sitt uppdrag att utarbeta förslag till en lag om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen (dir. 2014:76). Härvid redovisas även dels en kartläggning av behandlingen av personuppgifter inom denna verksamhet, dels en analys av om den behandling som förekommer är nödvändig och om ytterligare be- hov av personuppgiftsbehandling finns för att skapa förutsättningar för en effektiv verksamhet. Utredningen redovisar också i betänkandet några ytterligare fråge- ställningar som utredningen har fått i uppdrag att analysera särskilt. En ny lag om behandlingen av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen Lagens syfte, utformning, m.m. Utredningens förslag innebär att behandlingen av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen ska regleras i en lag, som utformats med beaktande av bland annat skyd- det för den personliga integriteten i 2 kap. 6 § andra stycket regerings- formen (RF), personuppgiftslagen (1998:204, PUL) och Europa- parlamentets och rådets direktiv /46/EG av om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (data- skyddsdirektivet). Däremot har det inte varit möjligt att anpassa förslagen till det pågående reformarbetet av om skydd för personuppgifter, eftersom detta arbete ännu inte () är klart. Lagen, som föreslås heta utlänningsdatalag, samt en föreslagen anslutande förordning ska ersätta den nu gällande förordningen (2001:720) om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Lagens övergripande syften föreslås vara att ge berörda myndig- heter möjlighet att behandla personuppgifter på ett ändamålsenligt sätt i sin verksamhet enligt utlännings- och medborgarskapslagstift- ningen och att skydda människor mot att deras personliga integritet kränks vid sådan behandling. Lagen har utformats som en ramlag. De grundläggande bestämmelserna som har till syfte att skydda den registrerade mot intrång i den personliga integriteten finns i lagen. Kompletterande bestämmelser finns i författningar på lägre nivå. Lagförslaget, som gjorts teknikoberoende, syftar till att göra det möjligt för berörda myndigheter att använda moderna och ända- målsenliga it-system för att verksamheten ska kunna bedrivas så effektivt som möjligt. Utlänningsdatalagen föreslås vara tillämplig vid behandlingen av per- sonuppgifter i verksamhet enligt utlännings- och medborgarlag- stiftningen som utförs av , , Säker- hetspolisen och utlandsmyndigheterna. Vari denna verksamhet består preciseras närmare och uttöm- mande i lagen. Vad gäller och utlandsmyndig- heternas verksamhet föreslås att lagen ska tillämpas vid behandling av personuppgifter som rör: 1.utlänningars inresa i eller i en stat som ingår i Europeiska unionen eller i en stat som är ansluten till Europeiska ekonomiska samarbetsområdet, vistelse eller arbete i samt utresa från , 3.mottagande av asylsökande och andra utlänningar, 4.bistånd och stöd till utlänningar, 6.statlig ersättning för kostnader för utlänningar eller 7.bosättning av utlänningar. Vad gäller och Säkerhetspolisens verksamhet före- slås lagen tillämpas vid behandling av personuppgifter som rör ut- länningars inresa i, utresa från, vistelse i eller avlägsnande från . Viss personuppgiftsbehandling hos de aktuella myndigheterna föreslås dock falla utanför lagens tillämpningsområde trots att lagen i och för sig hade kunnat vara tillämplig. Det gäller bland annat personuppgiftsbehandling enligt lagen (2000:344) om Schengens in- formationssystem samt enligt de EU-förordningar som brukar be- nämnas VIS-förordningen, Viseringskodexen och Eurodacförord- ningen. Den nya lagen ska inte heller tillämpas då personuppgifter behandlas med stöd av polisdatalagen (2010:361). I likhet med personuppgiftslagen föreslås lagen gälla då person- uppgiftsbehandlingen är helt eller delvis automatiserad samt då per- sonuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sam- manställning enligt särskilda kriterier. Det föreslagna tillämpnings- området har alltså i viss mån utvidgats jämfört med vad som gäller enligt nuvarande utlänningsdataförordning, som i första hand gäller personuppgiftsbehandling i olika verksamhetsregister. Bestämmelserna i den nya lagen föreslås som huvudregel ha före- träde framför personuppgiftslagens bestämmelser. Vissa bestämmel- ser i personuppgiftslagen ska dock vara tillämpliga i verksamheten enligt utlännings- och medborgarskapslagstiftningen. I den nya lagen pekas dessa bestämmelser särskilt ut. Det gäller bland annat person- uppgiftslagens bestämmelser om förhållandet till offentlighetsprin- cipen (8 §), grundläggande krav på behandlingen av personuppgifter (9 §), behandling av uppgifter om personnummer (22 §), överföring av personuppgifter till tredjeland (33–35 §§) och skadestånd (48 §). Den myndighet som utför en behandling eller som det åligger att utföra en behandling föreslås vara personuppgiftsansvarig för behand- lingen. Ett undantag från denna huvudregel föreslås i det att Migra- tionsverket ska vara personuppgiftsansvarig för utlandsmyndig- heternas automatiserade personuppgiftsbehandling. , och Säkerhetspolisen föreslås vidare vara skyldiga att utse ett eller flera personuppgiftsombud för den personuppgiftsbehandling som myndigheten utför eller som det åligger myndigheten att utföra. Personuppgifter föreslås endast få behandlas med stöd av utlännings- datalagen om det är nödvändigt för vissa särskilt angivna ändamål. Ändamålen, både primära och sekundära, framgår av lagen. De primära ändamålen för , , Säkerhetspolisens och utlandsmyndigheternas personuppgiftsbehand- ling föreslås vara följande: 1.handläggning av ärenden eller en myndighets biträde i sådana ären- den i verksamhet inom lagens tillämpningsområde (se ovan), 2.kontroll av utlänning i samband med inresa och utresa samt kon- troll under vistelsen i , 3.utförande av arbetsuppgifter som gäller mottagande och bosätt- ning av asylsökande och andra utlänningar, 4.tillsyn, kontroll, uppföljning, planering av verksamheten, fram- ställning av statistik samt testverksamhet eller 5.fullgörande av en rättslig skyldighet att registrera eller på annat sätt dokumentera en personuppgift. föreslås därutöver få behandla personuppgifter om det är nödvändigt för återsökning av avgöranden, rättsutredningar och annan rättslig information eller information rörande förhållan- den i andra länder. Vidare föreslås att personuppgifter som behandlas enligt ovan nämnda primära ändamål även ska få behandlas enligt nedan följande sekundära ändamål om det är nödvändigt för att tillhandahålla in- formation: 1.till en annan myndighet eller enskild, om utlämnandet sker med stöd av lag eller förordning eller 2.till en utländsk myndighet, ett EU-organ eller en mellanfolklig organisation, om utlämnande följer av medlemskap i unionen eller av uppgiftsskyldighet enligt internatio- nell konvention som tillträtt eller av godkänt avtal med främmande stat eller mellanfolklig organisation. Personuppgifter ska i ett enskilt fall även få behandlas för att till- handahålla information för något annat ändamål än som angetts under förutsättning att ändamålet inte är oförenligt med det ända- mål som uppgifterna samlades in för (finalitetsprincipen). För register över fingeravtryck och fotografier föreslås en särreglering med mer begränsade ändamålsbestämmelser. Med känsliga personuppgifter avses uppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygel- se, medlemskap i fackförening samt uppgifter som rör hälsa eller sexualliv. Sådana uppgifter måste i stor utsträckning behandlas på utlännings- och medborgarskapsområdet. Utredningen föreslår att känsliga personuppgifter ska få behandlas för i princip alla de ända- mål för vilka behandling är tillåtna. En förutsättning är dock, om inte den registrerade har lämnat sitt uttryckliga samtycke till behand- lingen eller på ett tydligt sätt offentliggjort uppgifterna, att upp- gifterna är absolut nödvändiga för syftet med behandlingen. Med att uppgifterna ska vara absolut nödvändiga markeras att behand- lingen av dem bör ske med försiktighet och aldrig slentrianmässigt. Stora samlingar av information som lagras på ett sätt som gör dem enkelt sökbara på elektronisk väg medför generellt sett en ökad risk för intrång i enskildas personliga integritet. Som ett led i att stärka integritetsskyddet föreslås en bestämmelse i lagen om att tillgången till personuppgifter ska begränsas till vad varje tjänsteman behöver för att kunna fullgöra sina arbetsuppgifter. , Polis- myndigheten, Säkerhetspolisen föreslås vidare få möjlighet att med- dela närmare föreskrifter om tillgången till personuppgifter för personer som är verksamma inom respektive myndighet. Enligt ut- redningens förslag bör även få meddela föreskrifter av aktuellt slag när det gäller uppgifter som behandlas automatiserat hos utlandsmyndigheterna. Som ytterligare en åtgärd för att stärka integritetsskyddet föreslås begränsningar avseende vilka sökbegrepp som får användas vid sök- ningar av uppgifter för vissa ändamål i vissa fall. Känsliga personuppgifter föreslås endast få användas som sök- begrepp för behandling för ändamålet tillsyn, kontroll, uppföljning, planering av verksamheten, framställning av statistik eller testverk- samhet samt för återsökning i vissa fall. behöver kunna använda känsliga personuppgifter som sökbegrepp för exem- pelvis framställning av viss statistik och för att förbereda verksam- heten med anledning av förväntade flyktingströmmar. Personuppgifter om lagöverträdelser föreslås med vissa undantag inte få användas som sökbegrepp. Elektroniskt utlämnande av personuppgifter Även om ett elektroniskt utlämnande av personuppgifter medför vissa integritetsrisker anser utredningen, med undantag för utläm- nande genom direktåtkomst, att det inte finns något behov av att införa en särskild reglering om när elektroniskt utlämnande får före- komma. Några sådana bestämmelser föreslås därför inte. , Säkerhetspolisen, utlandsmyndigheterna, För- säkringskassan, och föreslås för vissa särskilda ändamål få medges direktåtkomst till vissa person- uppgifter som behandlas automatiserat hos . Direkt- åtkomsten föreslås regleras uttömmande. Reglerna om direktåtkomst har utformats med tanke på de sär- skilda risker som direktåtkomsten innebär för enskildas integritet. Det innebär bland annat att mottagarmyndigheterna ska ha ett verk- ligt behov av uppgifterna och att uppgifterna som får göras till- gängliga är så preciserat angivna som möjligt i författning. Vidare ska innan direktåtkomst medges förvissa sig om att mottagarmyndigheten uppfyller kraven på behörighet och säker- het. Ytterligare krav som föreslås är att tillgången till uppgifterna hos mottagarmyndigheterna begränsas till vad den enskilde tjänste- mannen behöver för att kunna fullgöra sina uppgifter. Utredningen föreslår några sekretessbrytande bestämmelser med anledning av direktåtkomsten. Överföring av personuppgifter till tredjeland Enligt utredningen finns det i vissa fall behov av att föra över per- sonuppgifter till tredjeland oavsett om samtycke från den enskilde till detta föreligger. En bestämmelse om ytterligare undantag från förbudet mot överföring av personuppgifter till tredjeland i 33 § PUL föreslås därför för dessa fall. Undantaget föreslås innebära att överföring av personuppgifter till tredjeland får ske om det är absolut nödvändigt för 1) handlägg- ning av ärenden eller biträde i sådana ärenden, 2) kontroll av utlän- ning i samband med inresa och utresa samt kontroll under vistelsen i samt för 3) sådan behandling som sker för ändamålet återsökning av avgöranden, rättsutredningar och annan rättslig in- formation. Bevarande och gallring samt avskiljande Automatiserat behandlade personuppgifter i allmänna handlingar i verksamheten bör enligt utredningen, i likhet med hur det är , som huvudregel bevaras eller gallras i enlighet med arkivlagens (1990:782) bestämmelser. Vad som talar för bevarande är enligt ut- redningen allmänhetens intresse av insyn i verksamheten. Inte minst finns ett intresse från forskare och journalister. Det är inte heller självklart enligt utredningen att integritetsintresset bäst tillgodoses genom att personuppgifter förstörs. I verksamheten är det också ofta nödvändigt att ta fram uppgifter från tidigare ärenden. Utredningen anser dock att det i vissa fall bör göras undantag från denna huvudregel.