sou · H3B373 · 2015-08-03 00:00:00 — Det bör således finnas en bestämmelse av En ny lag om behandling av personuppgifter… vilken det framgår att behandling av personuppgifter är tillåten för ändamålet yttre och inre utlänningskontroll, dvs. kontroll av utlän- ning i samband med inresa, utresa och kontroll under vistelsen i . Utförande av arbetsuppgifter som gäller mottagande och bosättning av asylsökande och andra utlänningar har ett omfattande ansvar när det gäller mot- tagande och bosättning av och sysselsättning för asylsökande och andra utlänningar. Särskilda bestämmelser om detta finns bland annat i lagen om mottagande av asylsökande m.fl. Bestämmelsen möjliggör personuppgiftsbehandling hos som avser om- besörjandet av boende och sysselsättning för asylsökande och andra utlänningar, men som inte direkt utförs inom ramen för ett enskilt ärende. Som exempel kan anges myndighetens kontakter med arbets- givare och andra myndigheter för att ordna praktikplats åt en asyl- sökande. Inom detta område faller också myndighetens arbete med att ta emot kvotflyktingar. Kvotflyktingar är de flyktingar som beviljat flyktingstatus och som kommer till från något av . har ansvar för att välja vilka personer som ska väljas ut. Denna verk- samhet innefattar praktiskt arbete med mottagande och bosättning i vilken en stor mängd personuppgifter behandlas. En särskild be- stämmelse som tillåter behandling av uppgifter för mottagande och bosättning av asylsökande och andra utlänningar bör därför införas. Det torde sällan bli aktuellt för polisen att behandla personupp- gifter för detta ändamål. Det kan dock enligt utredningen inte uteslutas att det skulle kunna bli aktuellt. Även polisen bör därför omfattas av bestämmelsen. Tillsyn, kontroll, uppföljning och planering av verksamheten, framställning av statistik samt testverksamhet Myndigheter har ett behov av att behandla uppgifter inom verksam- heten för tillsyn, kontroll, uppföljning och planering av verksamheten, framställning av statistik samt testverksamhet. Med testverksamhet avses användning av personuppgifter, exempelvis fingeravtryck, för En ny lag om behandling av personuppgifter… att kunna genomföra olika tester av ny utrustning och teknik. Detta behov finns även hos myndigheter inom verksamhet på ut- lännings- och medborgarskapsområdet. En myndighet kan till exem- pel behöva behandla personuppgifter för tillsyn av handläggningen av enskilda ärenden eller kontroll av delar av eller hela verksamheten. Behov finns också av personuppgiftsbehandling för utvärdering och planering av verksamheten på olika nivåer. Det kan till exempel röra sig om utvärdering av en viss del av verksamheten genom fram- ställning av statistik med hjälp av uppgifter från ärendehante- ringssystemet. Enligt förordningen (2007:996) med instruktion för ska verket föra register och statistik över utlän- ningar i landet i den utsträckning som behövs för verksamheten. framställer även statistik till externa mottagare såsom , , fackförbund, och . Ytterligare ett exempel då kan behöva behandla personuppgifter för tillsyn m.m. är när verket registrerar kvalitetsomdömen om offentliga biträden, tolkar, översättare och språkanalytiker, se vidare kapitel 8. I lagrådsremissen Behandling av uppgifter i brottsbe- kämpande verksamhet föreslog regeringen en uttrycklig bestämmelse om att uppgifter som behandlas för något av de enligt lagförslaget tillåtna primära ändamålen även skulle få behandlas för att planera, följa upp och utvärdera verksamheten. Lagrådet uttalade att en sådan bestämmelse är obehövlig (se prop. 2004/05:164 s. 179). Planering, uppföljning och utvärdering är en integrerad del av själva verksamheten och enligt Lagrådet var det självklart att uppgifter som får användas i verksamheten också får användas för planering m.m. Regeringen delade Lagrådets bedömning (se prop. 2004/05:164 s. 66 f. och 162 samt prop. 2009/10:85 s. 116). Av ovan angivna skäl avstod regeringen från att föreslå en motsvarande bestämmelse i polisdatalagen (se prop. 2009/10:85 s. 116) och kustbevaknings- datalagen (se prop. 2011/12:45 s. 111). Datainspektionen har emellertid i sitt yttrande över departe- mentspromemorian Domstolsdatalag (Ds 2013:10) (Datainspek- tionens yttrande , Diarienr 361-2013) anfört att det bör övervägas att i lagtexten tydliggöra att de primära ändamålen även omfattar vidarebehandling av personuppgifter för planering, upp- följning och utvärdering hos de enskilda myndigheterna. Detta trots Lagrådets uttalande att planering, uppföljning och utvärdering En ny lag om behandling av personuppgifter… kan ses som en integrerad del av själva verksamheten. Som den aktuella bestämmelsen var utformad ansåg inspektionen att det för- hållandet var alltför otydligt för den enskilde. Ur ett integritetsper- spektiv bör det enligt Datainspektionen vara tydligt för den enskilde för vilka ändamål som dennes personuppgifter får behandlas. Av 9 § andra stycket PUL följer att behandling av personupp- gifter för historiska, statistiska eller vetenskapliga ändamål inte ska anses som oförenlig med det ändamål för vilket uppgifterna samlades in. Som framgår av avsnitt 7.7.3 föreslår utredningen att bestäm- melsen ska vara tillämplig vid behandling av personuppgifter med stöd av utlänningsdatalagen. Det innebär att behandling av person- uppgifter för statistiska ändamål alltid är tillåtet, oavsett för vilket ändamål det samlades in. Någon särskild bestämmelse om att upp- gifter får behandlas för statistikändamål krävs således egentligen inte i lagen. Datainspektionens ovan redovisade synpunkter framstår som välgrundade. Det är viktigt att lagens ändamålsbestämmelser är så tydliga som möjligt, inte bara för de myndigheter som ska tillämpa dem utan även för dem vars uppgifter behandlas. Lagen bör därför enligt utredningen innehålla en uttrycklig bestämmelse om att upp- gifter i verksamheten även får behandlas för tillsyn, kontroll, upp- följning och planering av verksamheten, framställning av statistik samt testverksamhet. När det gäller behandling för ändamålet tillsyn etc. torde det normalt vara aktuellt att bara behandla uppgifter som redan har in- samlats för något annat ändamål. Det kan dock inte uteslutas att det kan bli aktuellt att samla in uppgifter som inte finns i verksamheten för tillsyn etc. Ett exempel på detta kan vara om vill genomföra ett bemötandeprojekt och därför måste ta in uppgifter från utomstående aktörer. Registrering och annan dokumentationsskyldighet Viss personuppgiftsbehandling är nödvändig utan att den kan sägas direkt röra verksamheten enligt utlännings- och medborgarskaps- lagstiftningen. Till myndigheter lämnas av olika anledningar upp- gifter, däribland personuppgifter, som inte har betydelse för myndig- hetens handläggning eller bedömning av ett visst ärende. En ny lag om behandling av personuppgifter… bestämmelser som medför skyldighet för den mottagande myndig- heten att behandla inkommande personuppgifter, oavsett om de är nödvändiga för myndighetens verksamhet eller inte. De inkomna uppgifterna kan till exempel utgöra en del av en allmän handling i tryckfrihetsförordningens mening. Enligt 5 kap. 1 § OSL gäller som huvudregel att allmänna handlingar som kommit in till en myndig- het ska registreras, dvs. I 5 kap. 2 § OSL uppställs vissa minimikrav beträffande uppgifterna i ett sådant register. Av registret ska bland annat framgå uppgifter om handlingens avsändare eller mottagare och i korthet vad handlingen rör. I förvaltningslagen (1986:223, FL) finns vissa regler om anteck- ningsskyldighet, parts rätt att ta del av det som tillförts ärendet och kommunikationsplikt. Vidare är en myndighet enligt 5 § andra stycket FL skyldig att se till att det är möjligt för enskilda att kontakta myn- digheten med hjälp av bland annat e-post och att svar kan lämnas på samma sätt. Dessa bestämmelser kan innebära att personuppgifter måste behandlas. I 2 kap. 9 § PDL finns en bestämmelse som tillåter personupp- giftsbehandling för bland annat diarieföring. En motsvarande ända- målsbestämmelse behövs i den nya lagstiftningen. Återsökning av avgöranden, rättsutredningar, annan rättslig information samt information rörande förhållanden i andra länder Enligt gällande utlänningsdataförordning har rätt att föra automatiserade register för återsökning av vägledande av- göranden, rättsutredningar och liknande rättslig information. Verket får vidare föra ett register för återsökning av information som läm- nats rörande förhållanden i andra länder. Inom främst Migrations- verket är tillgången till aktuell rättspraxis och uppdaterad informa- tion om länder nödvändig för att myndigheten ska kunna fatta korrekta beslut i enlighet med gällande praxis och i övrigt bedriva verksamheten så effektivt och rättssäkert som möjligt. Tjänstemän och beslutsfattare på bör även i fortsättningen ha möjlighet att behandla personuppgifter för ändamålet att söka av- göranden, rättsutredningar, annan rättslig information samt infor- mation rörande förhållanden i andra länder. I gällande utlänningsdataförordning finns en bestämmelse om att ett rättsfallsregister inte får innehålla personuppgifter som direkt En ny lag om behandling av personuppgifter… pekar ut den registrerade (8 § första stycket). Enligt utredningen finns det inget behov av att ha kvar denna begränsning. Kravet på att behandlingen ska vara nödvändig och bestämmelserna i 9 § första stycket e) och f) PUL bör innebära att personuppgifter i åtskilliga fall måste avidentifieras eller i vart fall att uppgifter som direkt ut- pekar en individ utelämnas. I enlighet med kravet att behandlingen ska vara nödvändig följer att personuppgifter i åtskilliga fall måste avidentifieras eller i vart fall att uppgifter som direkt utpekar en individ utelämnas. I rättsfallssamlingar är identiteten på en person oftast oväsentlig för informationsvärdet. Något förbud av det slag som finns behövs därför inte. Titlar på domar från exempelvis och får anses nödvändiga att be- handla även om de innehåller något namn på en person. Uppgiftsutlämnande till andra med stöd av bland annat lag , , Säkerhetspolisen och utlands- myndigheterna behandlar inte enbart uppgifter för egen del utan även genom utlämnande till andra. Uppgiftsutlämnande kan ske av olika anledningar. Det finns en rad olika författningar som föreskriver en uppgifts- skyldighet för myndigheterna, dvs. att myndigheterna ska lämna ut uppgifter i vissa angivna situationer. För det första är myndigheterna i vissa fall skyldiga att lämna ut uppgifter till vissa utpekade myndig- heter. Till exempel har enligt 17 kap. 3 § UtlL och rätt att ta del av uppgifter om enskilda hos . Ett annat exempel är att ska lämna vissa uppgifter om utlänningar till Centrala studiestöds- nämnden enligt 30 § förordningen (1990:1361) för prövning av lån till hemutrustning för flyktingar och vissa andra utlänningar. Av 10 kap. 28 § OSL framgår att sekretess inte hindrar att en uppgift lämnas till en myndighet, om uppgiftsskyldighet följer av lag eller förordning. Myndigheter är i vissa fall enligt lag eller förordning skyldiga att på begäran lämna ut uppgifter till andra. En myndighet är till exem- pel skyldig att lämna ut personuppgifter som är allmänna hand- lingar, om inte sekretess gäller för uppgifterna. Det följer av 2 kap. TF och 8 § PUL. Uppgiftsskyldighet kan även följa av bestäm- En ny lag om behandling av personuppgifter… melser i offentlighets- och sekretesslagen. Enligt 6 kap. 5 § OSL ska således en myndighet på begäran av en annan myndighet lämna uppgift som den förfogar över, i den mån hinder inte möter på grund av bestämmelse om sekretess eller av hänsyn till arbetets behöriga gång. I tidigare lagstiftningsärenden har denna bestämmelse inte ansetts innebära någon uppgiftsskyldighet i nu aktuellt hänseende. I flera senare lagstiftningsärenden har dock en motsatt bedömning gjorts (se till exempel prop. 2008/09:96 s. 80). Mot den bakgrunden får 6 kap. 5 § OSL anses innefatta en sådan skyldighet att lämna uppgifter som kommer att innefattas i ändamålet uppgiftslämnande med stöd av lag. Vidare finns det ett antal författningar med bestämmelser som medför att uppgifter får lämnas ut. Bestämmelserna innebär således inte, som de ovan beskrivna, en uppgiftsskyldighet utan att utläm- nande är tillåtet. Ett exempel på en sådan bestämmelse är 10 kap. 15 § OSL. I bestämmelsen anges att sekretess inte hindrar att upp- gift lämnas till regeringen eller . Vidare finns i 10 kap. 27 § samma lag en generalklausul som innebär att en sekretessbelagd upp- gift får lämnas till en annan myndighet, om det är uppenbart att intresset av att uppgiften lämnas ut har företräde framför det intresse som sekretessen ska skydda. Myndigheterna lämnar inte enbart ut uppgifter för att tillgodose andras behov. En myndighet kan även lämna ut uppgifter på eget initiativ, till exempel för att kunna utföra en uppgift i den egna verk- samheten. Det kan till exempel ske med stöd av 10 kap. 2 § OSL, som anger att sekretess inte hindrar att en uppgift lämnas till en enskild eller till en annan myndighet, om det är nödvändigt för att den utlämnande myndigheten ska kunna fullgöra sin verksamhet. Ett annat exempel är 10 kap. 18 § OSL, som anger att sekretess inte hindrar att en uppgift lämnas till en myndighet, om uppgiften behövas där för förundersökning, rättegång, ärende om disciplinansvar eller skiljande från anställning eller annat rättsligt förfarande vid myn- dighet mot någon rörande hans eller hennes deltagande i verksam- heten vid den myndighet där uppgiften förekommer. Gemensamt för de uppgiftslämnande som behandlats i det före- gående är att det sker med stöd av författningar som påbjuder eller tillåter utlämnande. När bestämmelser om sådant uppgiftslämnande har införts, får det förutsättas att det gjorts en avvägning mellan intresset av att uppgiften lämnas ut och intresset av att skydda En ny lag om behandling av personuppgifter… enskilda personers integritet, vid vilken man funnit att uppgiften ska eller får lämnas ut. Det saknas därför anledning att i en integ- ritetsskyddslagstiftning, som den nu föreslagna, förhindra att person- uppgifter som finns i verksamheten enligt utlännings- och med- borgarskapslagstiftningen lämnas ut i dessa fall. Det här beskrivna ändamålet torde i huvudsak motsvara ändamålsbestämmelsen i 3 § nuvarande utlänningsdataförordning. I avsnitt 4.3.3 redogörs för den utveckling som skett på migra- tionsområdet inom EU . Även det internationella sam- arbetet på detta område blir alltmer omfattande. Samverkan över gränserna innebär att svenska myndigheter i allt högre utsträckning behandlar uppgifter genom utlämnande till myndigheter i andra länder. När det gäller EU-samarbetet är mycket av den personupp- giftshantering som sker reglerad i särskilda förordningar som gäller som svensk lag här i . För det fall sådana bestämmelser sak- nas krävs det i den nya lagen en särskild ändamålsbestämmelse som tillåter att uppgifter behandlas genom att lämnas ut enligt bestämmel- ser som följer av medlemskap i . En sådan bestämmelse bör också införas när det gäller utlämnande av uppgift som sker på grund av förpliktelser i konventioner eller av godkända avtal med främmande stat eller mellanfolkliga organisationer. Denna ändamålsbestämmelse kan även bli tillämplig då information tillhandahålls en utländsk myndighet i tredjeland, se avsnitt 7.7.8. Utredningen föreslår således bestämmelser som specificerar för vilka ändamål personuppgiftsbehandling är tillåten. Insamlade person- uppgifter ska även få behandlas för att tillhandahålla information för något annat ändamål än som framgår av lagen under förutsätt- ning att ändamålet inte är oförenligt med det ändamål som upp- gifterna samlades in för. Som redovisats i avsnitt 7.3.5 ska den nya lagen inte tillämpas på myndigheternas interna administration, till exempel personaladmi- nistration. En ny lag om behandling av personuppgifter… 7.10Migrationsverkets register över fingeravtryck och fotografier 7.10.1Allmänt om fingeravtrycksregistret m.m. Enligt 9 § nuvarande utlänningsdataförordningen får Migrations- verket föra ett register över fingeravtryck och fotografier som tas med stöd av 9 kap. 8 § UtlL. Registret, som brukar benämnas finger- avtrycksregistret, får föras med hjälp av automatisk databehandling och får endast användas vid prövning av ansökningar om uppe- hållstillstånd där skyddsskäl åberopats, i ärenden om avvisning och utvisning samt i testverksamhet. Registret får endast innehålla finger- avtryck och fotografier samt uppgifter om den registrerades namn, person- eller samordningsnummer, födelsetid, kön, medborgarskap eller annan identifieringsuppgift, se 10 § nuvarande utlänningsdata- förordningen. Uppgifter från registret får lämnas ut på medium för automatisk databehandling endast om det följer av lag eller förord- ning. En uppgift i fingeravtrycksregistret ska gallras när den registre- rade blir svensk medborgare, dock senast efter det att upp- giften registrerades. I praktiken för ett särskilt register över finger- avtryck, medan verket registrerar och lagrar fotografierna i den centrala utlänningsdatabasen () som ägs av och finns hos . Även verkets samlade fotografier kan ses som ett register. Nedan kommer utredningen relativt utförligt att redovisa de spe- ciella rutiner som gäller för register över finger- avtryck och den konstruktion som valts för registerföringen. Systemet är ganska komplicerat och inte helt lätt att genomskåda. Den valda konstruktionen har inte bara betydelse för regi- strering av uppgifter i registret. Den används också när Migrations- verket genom försorg kontrollerar fingeravtryck som har tagit mot det fingeravtrycksregister som för enligt polisdatalagen. Sistnämnda fråga behand- lar utredningen i kapitel 10. önskan om att kunna jämföra fotografier vid registrering av inkomna fotografier tas upp i avsnitten 7.10.2 och 7.10.3. En ny lag om behandling av personuppgifter… register över fingeravtryck utgör tillsammans med fingeravtrycksregister det nationella finger- avtrycksregistret. register över fingeravtryck innehåller finger- avtryck som samlats in av i utlänningsärenden, se nedan. Detta register benämns vanligtvis B-filen. fingeravtrycksregister innehåller fingeravtryck som samlats in med stöd av 4 kap. PDL. Som följer av 4 kap. 11−12 a §§ PDL får det registret innehålla fingeravtryck från en person som är misstänkt eller dömd för brott och som har varit föremål för åtgärd enligt 28 kap. 14 § eller som har lämnat fingeravtryck enligt 19 § lagen om särskild utlänningskontroll. Uppgifter om fingeravtryck får även behandlas om det behövs för att fullgöra internationella åtaganden. Detta register benämns van- ligtvis A-filen. fingeravtrycksregister (B-filen) och Polis- myndighetens fingeravtrycksregister (A-filen) behandlas och lagras i ett automatiserat fingeravtrycksidentifieringssystem (AFIS), men registren är tekniskt separerade från varandra. Utöver fingeravtryck finns även viss annan information om namn, födelsetid, nationalitet m.m. registrerad i registren. AFIS är placerat i . Det är endast Polis- myndigheten (i praktiken ett fåtal personer på Nationellt Forensiskt centrum, NFC) som har tillgång till fingeravtryck i B-filen. För åtkomst till B-filen krävs det en särskild behörighet och tillgång till särskilt anpassade arbetsstationer och programvaror. I praktiken är det alltså som handhar, förvaltar och underhåller B-filen genom en överenskommelse mellan Migra- tionsverket och . Verket har alltså ingen möjlighet att registrera, radera eller komma åt uppgifter i sitt eget fingerav- trycksregister utan biträde. Trots det sagda bör enligt utredningen upp- fattas som personuppgiftsansvarigt för sitt fingeravtrycksregister, eftersom verket får anses utföra behandlingen i det. Frågan om vem som är personuppgiftsansvarig ska nämligen bedömas utifrån de faktiska omständigheterna i det särskilda fallet. En personuppgifts- ansvarig myndighet får anses utföra en behandling även om den faktiska hanteringen av personuppgifter har överlämnats till ett personuppgiftsbiträde, se SOU 2015:39 s. 699. När det gäller B- En ny lag om behandling av personuppgifter… filen är personuppgiftsbiträde för den behand- ling av personuppgifter som utförs i B-filen. Ett skriftligt personuppgiftsbiträdes- och säkerhetsavtal har ingåtts mellan myndigheterna rörande denna behandling. I avtalet finns bland annat föreskrifter om att (dvs. personupp- giftsbiträdet) får behandla personuppgifter bara i enlighet med in- struktioner från (dvs. den personuppgiftsansvarige). Inget annat har i och för sig framkommit än att parterna rättar sig efter detta avtal. Men det får ändå anses tveksamt hur man rätts- ligen ska se på avtal mellan statliga myndigheter i vilka en statlig myndighet avtalar med en annan statlig myndighet om att den ena myndigheten ska vara personuppgiftsbiträde åt den andra, se SOU 2015:39 s. 359 f. Vilken rättslig betydelse avtalet mellan Migrations- verket och har är därför enligt utredningen inte helt klart. Som följer av 9 kap. 8 § UtlL får och Polis- myndigheten fotografera en utlänning och, om utlänningen fyllt , ta hans eller hennes fingeravtryck om utlänningen inte kan styrka sin identitet när han eller hon kommer till (punkten 1), utlän- ningen ansöker om uppehållstillstånd som flykting eller som annan skyddsbehövande (punkten 2) eller det finns grund för att besluta om förvar (punkten 3). Vad gäller de två sistnämnda punkterna får alltså fingeravtryck tas även om utlänningen kan styrka sin identitet. Beslut om att ska ta aktuella fingeravtryck fattas av den befattningshavare som ansvarar för att utredning genomförs i ett ärende som rör uppehållstillstånd, avvisning eller utvisning eller av den som har till uppgift att fatta beslut om förvar, se 6 kap. 14 § UtlF. Av samma paragraf följer att de fingeravtryck som har tagit med stöd av 9 kap. 8 § UtlL härefter ska skickas . Kravet i bestämmelsen att Polis- myndigheten ska skicka fingeravtryck som myndigheten har tagit till får anses utgöra en sådan sekretessbrytande uppgiftsskyldighet som avses i 10 kap. 28 § OSL. I de fall tar fingeravtryck görs detta vid någon av fotostationer. Fingeravtrycken förs sedan auto- matiskt över till en dator som är utrustad med ett slags finger- avtrycksprogram på . Fingeravtrycks- programmet möjliggör kontroll av fingeravtrycken och alfanumerisk information. Härefter skickar ID-enheten finger- En ny lag om behandling av personuppgifter… avtrycken till för registrering i B-filen och för sökning i A- och B-filen. Så sker även med de fingeravtryck som har tagit med stöd av 9 kap. 8 § UtlL och som skickats till . Kommunikationen mellan myndigheterna sker via en krypterad kommunikationslina för myndighetsbruk och inte via internet. Trans- aktionerna sker i form av e-post till vilka en s.k. NIST-fil innehål- lande fingeravtryck och övrig information är bifogad. Transak- tionen inkommer till server och omdirigeras till AFIS som automatiskt kodar fingeravtrycken genom en kvalitets- kontrollprocess. Efter den automatiska kvalitetskontrollen söker AFIS de inkomna fingeravtrycken mot A- och B-filen och levererar sedan en lista över de tidigare registrerade fingeravtrycken som mest liknar det sökta. Denna lista presenteras för de personer på NFC som har åtkomst- behörighet till B-filen. Dessa personer jämför sedan fingeravtrycken och avgör om de sökta fingeravtrycken överensstämmer med något eller några av de tidigare transaktionerna som AFIS presenterat. I och med att fingeravtrycken har kodats i kvalitetskontrollen är de sökbara, men det är först efter att fingeravtrycken har granskats som registreringen slutförs. Resultatet från jämförelser levereras automa- tiskt och elektroniskt till efter att sökningen är gjord och registreras då i CUD. Resultatet innehåller endast informa- tion om träff eller ej träff skett samt, vid träff, referensnummer på träffen/träffarna.