sou · H3B373 · 2015-08-03 00:00:00 — Migrations- verket bör således även i fortsättningen ansvara för utlandsmyndig- heternas behandling av personuppgiftsbehandling enligt utlännings- och medborgarskapslagstiftningen. Ansvaret bör begränsas till ut- landsmyndigheternas automatiserade behandling, eftersom det är sådan behandling som har möjlighet att utöva kon- troll över. Personuppgiftsansvaret för behandling av person- uppgifter i register bör i stället ligga på utlandsmyndigheterna. En myndighet har enligt 36 § PUL möjlighet att välja om ett personuppgiftsombud ska utses eller inte. Med hänsyn till omfatt- ningen av personuppgiftsbehandlingen och typen av uppgifter som behandlas inom verksamhet på utlännings- och medborgarskaps- området anser utredningen att det vore lämpligt att de personuppgifts- ansvariga myndigheterna var skyldiga att utse personuppgiftsom- bud. Att en myndighet utser ett personuppgiftsombud innebär att det finns en person som har ansvar för granskning och kontroll av den egna myndighetens verksamhet och för att behandlingen är laglig och korrekt. Det underlättar vidare för de enskilda som vill kontakta myndigheten i frågor som rör personuppgiftsbehandling att ha en särskild person att vända sig till. , Polis- myndigheten och Säkerhetspolisen bör därför enligt utredningen vara skyldiga att utse ett eller flera personuppgiftsombud för den personuppgiftsbehandling som myndigheten utför eller som det En ny lag om behandling av personuppgifter… åligger myndigheten att utföra och anmäla dessa till Datainspek- tionen. Utredningen har övervägt om även utlandsmyndigheterna bör vara skyldiga att utse personuppgiftsombud. Med tanke på att dessa myndigheter ser ganska olika ut och ofta är små har utredningen dock kommit till slutsatsen att det bör vara frivilligt för dessa myn- digheter om de vill ha ett personuppgiftsombud. I en del fall kan det säkert vara lämpligt. Personuppgiftslagens regelverk har till syfte att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. I 9 § PUL anges vissa grundläggande krav som den personuppgiftsansvarige måste leva upp till vid behandling av personuppgifter. Enligt punkten c får personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål. I punk- ten d anges den s.k. finalitetsprincipen enligt vilken personuppgifter inte får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in. Bestämmelserna innebär bland annat att den personuppgiftsansvariga redan vid insamlingen av upp- gifterna måste bestämma för vilket eller vilka ändamål insamlingen sker. De innebär också att vidarelämning av uppgifter måste föregås av en prövning av om mottagarens ändamål är oförenligt med de ursprungliga ändamålen eller inte. Vid behandling av personuppgifter är ändamålsbestämmelsen således av central betydelse för skyddet för den personliga integri- teten. Ändamålet definierar vilka uppgifter som får behandlas och hur uppgifterna får behandlas. Ändamålet reglerar också hur länge uppgifterna får bevaras. Ändamålsbestämmelsen är den yttre ram som ska garantera att en personuppgift endast behandlas om det är motiverat och nödvändigt. Bestämda ändamål begränsar den person- uppgiftsansvariges handlingsfrihet, vilket ska ge ett skydd för den enskildes personliga integritet. En ny lag om behandling av personuppgifter… 7.9.2Primära och sekundära ändamål Registerlagar innehåller normalt dels ändamål som avser den berörda myndighetens eget behov av att behandla personuppgifter, dels ända- mål som reglerar i vilken utsträckning uppgifter som samlats in för myndighetens egen verksamhet får behandlas för att lämnas ut till enskilda eller till andra myndigheter i syfte att tillgodose deras behov. De förstnämnda ändamålen brukar kallas för primära och de sist- nämnda för sekundära. I registerförfattningar är det också vanligt att man i författningen redovisar de primära och sekundära ända- målen var för sig, se till exempel polisdatalagen (2010:361) och kust- bevakningsdatalagen (2012:145). Det finns vidare olika sätt att utforma ändamålsregleringen i en registerförfattning. Ett sätt är att uttömmande ange de ändamål för vilka behandling får ske, både primära och sekundära. Ett annat sätt är att de i lagen angivna ändamålen kompletteras med en möjlighet att behandla uppgifter även för ändamål som inte är oförenliga med det för vilka uppgifterna samlades in i enlighet med finalitetsprin- cipen. Det finns exempel på båda metoderna i senare lagstiftning. I lagen om behandling av uppgifter i brottsbekämpande verk- samhet anges uttömmande samtliga de ändamål för vilka behandling får ske, både de som gäller insamling av uppgifter och efterföljande behandling. I polisdatalagen och kustbevakningsdatalagen har i stället den andra metoden valts. I dessa lagar anges att uppgifter får samlas in enbart för vissa angivna ändamål och att senare behandling inte får ske för något ändamål som är oförenligt med det i lagen angivna ändamålet. Valet av metod diskuteras bland annat i förarbetena till polisdatalagen och kustbevakningsdatalagen (se prop. 2009/10:85 s. 98 f. och prop. 2011/12:45 s. 101 f.). I propositionerna anförs att de primära ändamålen bör anges uttömmande. En annan fråga en- ligt propositionerna är om även de sekundära ändamålen bör anges uttömmande. Den fördel som ses med en sådan reglering är att lag- stiftaren kan sägas en gång för alla ha bestämt i vilken utsträckning uppgifter ska få behandlas för att spridas till andra. Under förut- sättning att ändamålen är tydligt avgränsade står det genom en sådan reglering klart för både tillämpare och andra vilken person- uppgiftsbehandling som får förekomma med stöd av den aktuella lagen. Det anförs vidare i propositionerna att man i förarbetena till En ny lag om behandling av personuppgifter… flera registerlagar dock har gjort bedömningen att det inte är möjligt att i en lag om personuppgiftsbehandling på ett tillräckligt preciserat sätt ange alla de situationer där utlämnande av uppgifter kan komma att aktualiseras. Att bedöma nuvarande och förutse framtida behov av att kunna utlämna uppgifter är särskilt svårt i en sådan varierad och omfattande verksamhet som polisens brottsbekämpande verk- samhet. Det konstateras att de sekundära ändamålen bör uttryckas så preciserat och fullständigt som möjligt men att vidarebehandling därutöver bör vara möjlig om den är förenlig med finalitetsprin- cipen. För andra sekundära ändamål än de som anges i lagen bör utlämnande alltså tillåtas under förutsättning att det i det enskilda fallet inte kan anses oförenligt med insamlingsändamålet att lämna ut uppgifterna. Utredningens förslag: Personuppgifter får behandlas bara om det är nödvändigt för vissa ändamål. Ändamålen ska anges i lagen. Utöver de ändamål som anges i lagen får insamlade personupp- gifter även behandlas för att tillhandahålla andra information, om tillhandahållandet inte är oförenligt med det ändamål för vilket uppgifterna samlades in. I nuvarande utlänningsdataförordning finns vissa särskilda bestäm- melser om ändamål. Enligt 3 § utlänningsdataförordningen får personuppgifter behandlas i verksamhetsregister för myndighetens handläggning av ärenden i enlighet med vad som föreskrivs i lag eller författning, fullgörande av underrättelseskyldighet som följer av lag eller annan författning samt för tillsyn, kontroll, uppföljning och planering av verksamheten, framställning av statistik samt test- verksamhet. Av 8 § framgår att får föra automa- tiserade register för återsökning av vägledande avgöranden, rätts- utredningar och liknande rättslig information. Vidare anges i 9 § att får föra ett fingeravtrycksregister som får användas vid prövning av ansökningar om uppehållstillstånd där skyddsskäl En ny lag om behandling av personuppgifter… åberopats, i ärenden om avvisning och utvisning samt i testverk- samhet. Ändamålet testverksamhet tillkom genom en ändring i utlän- ningsdataförordningen som träder i kraft (SFS 2015:310). har frågan huruvida ändamål bör regleras på det sätt som är brukligt i registerlagar diskuterats. Exempelvis menar att huvudregeln bör vara att det är den personuppgiftsansvariga myndigheten själv som, inom ramen för sitt uppdrag, närmare specificerar för vilket eller vilka ändamål personuppgifter behandlas i verksamheten. Dessa ändamål måste uppfylla det grundläggande kravet på att vara särskilda och uttryckligt angivna redan vid insamlingen, se SOU 2015:39 s. 277 f. Även om det finns skäl för överväganden i frågan anser utredningen att samma princip för ändamålsreglering som finns i dagens reglering på utlännings- och medborgarskapsområdet bör finnas i den nya lagstiftningen. Utgångs- punkten bör alltså vara att den nya lagen ska innehålla ändamåls- bestämmelser. Frågan är då hur ändamålsbestämmelserna ska formuleras. Som ovan anges ska ändamålsbestämmelserna definiera gränserna för den tillåtna personuppgiftsbehandlingen. Bestämmelserna bör därför vara så tydliga och specificerade som möjligt. Enligt 9 § första stycket c PUL får personuppgifter endast samlas in för särskilda ändamål. Av denna bestämmelse följer enligt förarbetena till personuppgifts- lagen att en alltför allmänt hållen ändamålsangivelse inte kan godtas (se SOU 1997:39 s. 350 och prop. 1997/98:44 s. 120). Hur detal- jerad ändamålsangivelsen ska vara för att uppfylla lagens krav får dock enligt förarbetena avgöras i praxis och genom kompletterande föreskrifter. När det gäller hur ändamålen i en registerförfattning ska formuleras har regeringen emellertid uttalat att syftet med ändamålen i en registerförfattning är att ange en yttersta ram inom vilken personuppgifter får behandlas och att det ligger i sakens natur att ändamålsbestämmelser ofta måste formuleras tämligen generellt (se prop. 1997/98:97 s. 121). Den verksamhet som ska regleras i den nya lagen är både om- fattande och mångskiftande och utförs av flera myndigheter. Följden blir att ändamålsbestämmelserna måste formuleras tämligen generellt. ska bestämmelserna uppfylla personuppgiftslagens krav på särskilda ändamål. Ändamålen måste vara tillräckligt preciserade En ny lag om behandling av personuppgifter… för att det ska gå att kontrollera att personuppgifter endast behand- las för avsedda ändamål. Vid den kartläggning som utredningen gjort av användningen av personuppgifter i verksamhet enligt utlännings- och medborgarskaps- lagstiftningen har framkommit att ändamålsregleringen i nuvarande utlänningsdataförordning stämmer väl överens med Migrations- verkets, , Säkerhetspolisens och utlandsmyndig- heternas behov. Det är därför lämpligt att ändamålsbestämmelserna i den nya lagen har sin utgångspunkt i dessa bestämmelser. Behand- ling av personuppgifter bör således vara tillåtet för ändamålen hand- läggning av ärenden i enlighet med vad som följer av lag och förordning, fullgörande av underrättelseskyldighet som följer av lag och förordning samt för tillsyn, kontroll, uppföljning, planering av verksamheten, framställning av statistik samt testverksamhet. Be- handling bör också vara tillåten för ändamålen återsökning av avgöranden, rättsutredningar och annan information samt informa- tion rörande förhållanden i andra länder. Men även ändamålet att lämna ut insamlade uppgifter till enskilda och andra myndigheter bör regleras. Utredningen konstaterar i avsnitt 7.11.2 att lagen inte bör inne- hålla någon uppräkning av vilka uppgifter som får behandlas i verk- samheten motsvarande den som finns i 4 § utlänningsdataför- ordningen. Det ska i stället bestämmas av ändamålet. Endast sådana uppgifter som är nödvändiga för ett i lagen angivet ändamål får behandlas. Det innebär att det är ännu viktigare att ändamålsbestäm- melserna är tydliga och inte alltför vida. En ytterligare specificering i förhållande till vad som gäller enligt utlänningsdataförordningen är därför lämpligt. Utredningens förslag på ändamålsbestämmelser beskrivs närmare nedan. Utöver de i utlänningsdatalagen angivna särskilda ändamålen kommer personuppgiftsbehandlingen styras av de bestämmelser i personuppgiftslagen som ska gälla utöver utlänningsdatalagen. Det innebär att de grundläggande kraven på personuppgiftsbehand- lingen i 9 § PUL kommer att gälla även vid personuppgiftsbehand- ling enligt den nya lagen. Av denna bestämmelse följer bland annat att den personuppgiftsansvarige har ansvar för att de personupp- gifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen och att inte fler personuppgifter än En ny lag om behandling av personuppgifter… Även denna reglering begränsar således person- uppgiftsbehandlingen. Den nya lagens ändamålsreglering och finalitetsprincipen I den nya lagen kommer det, som närmare kommer att utvecklas nedan, att finnas både primära och sekundära ändamål. När det gäller innebörden av begreppen primära och sekundära ändamål, se av- snitt 7.9.2. Även i den nuvarande utlänningsdataförordningen finns båda slagen av ändamålsbestämmelser. Frågan är då om ändamålen i den nya lagen ska regleras uttömmande eller om myndigheterna ska ha möjlighet att behandla personuppgifter för något annat ändamål under förutsättning att det i det enskilda fallet inte kan anses oförenligt med insamlingsändamålet. Ändamålsregleringens utformning har tagits upp i utredningens direktiv. Där anges att det, som bland annat har uppmärksammat i sitt betänkande Skyddet för den personliga integriteten (SOU 2007:22), numera förekommer att ut- tömmande ändamålsreglering leder till att ett utlämnande av upp- gifter mellan myndigheter som är tillåtet enligt offentlighets- och sekretesslagen är förbjudet enligt registerförfattningen (se SOU 2007:22 s. 464 f.). Utredaren ska därför enligt utredningens direktiv se till att föreslagen reglering inte innehåller några uttömmande ändamålsregleringar. Det finns olika möjligheter att utforma ända- målsregleringen. Det verkar, som har berörts ovan, finnas i princip två olika sätt. Det ena innebär att man i lagen anger att uppgifter får samlas in enbart för vissa angivna ändamål och att senare behandling inte får ske för något ändamål som är oförenligt med de i lagen angivna ändamålet (jfr finalitetsprincipen). Det andra sättet är att i lagen uttömmande ange de ändamål för vilka behandling får ske, vare sig det är fråga insamling av uppgifter eller efterföljande behandling. En utgångspunkt för den nya lagen bör enligt utredningen vara att tillåtna ändamål ska anges så tydligt och fullständigt som möjligt. Särskilt viktigt är detta när det gäller de primära ändamålen. Det får således inte råda någon tvekan om vilken personuppgiftsbehandling som är tillåten i kärnverksamheten. Detta talar för att i vart fall de primära ändamålen bör anges uttömmande. Mot en sådan reglering En ny lag om behandling av personuppgifter… talar att den nuvarande utlänningsdataförordningen inte är uttöm- mande i fråga om tillåtna ändamål. behandling får således ske för något annat ändamål än de som anges i förordningen förutsatt att ändamålet inte är oförenligt med det i förordningen angivna ändamålet. Såvitt är känt har denna möjlighet inte föranlett några olägenheter när det enskildas integritetsskydd. Utredningen har ändå stannat för slutsatsen att ett fullgott integritetsskydd kräver att regleringen av de primära ändamålen är uttömmande. En annan ordning skulle kunna leda till otydlighet och oförutsebarhet. De primära ändamålen bör således redovisas uttömmande i lagen. Uttalandet i utredningens direktiv avser rimligen inte de primära ändamålen utan tar sikte på hur de sekundära ändamålen bör ut- formas. Vad därefter gäller de sekundära ändamålen finns det förstås för- delar om den regleringen också är uttömmande. Med en uttömmande reglering bestämmer man en gång för alla i vilken utsträckning upp- gifter ska få behandlas för att spridas till andra. En sådan reglering blir både tydlig och förutsebar. Det finns emellertid vissa nackdelar med att reglera de sekundära ändamålen uttömmande. Det är näm- ligen, som har berörts ovan, knappast möjligt att i en lag som den nu aktuella på ett tillräckligt preciserat sätt ange alla de situationer där utlämnande av uppgifter kan komma att aktualiseras. Mot den bakgrunden föreslår utredningen i enlighet med direktiven till ut- redningen att de sekundära ändamålen i den nya lagen inte ska anges uttömmande. Det ska alltså vara möjligt att i vissa fall kunna be- handla information för andra sekundära ändamål än de som anges i förslaget under förutsättning att det i det enskilda fallet inte kan anses vara oförenligt med insamlingsändamålet att lämna ut upp- gifterna. Denna möjlighet bör alltså ses som en ventil, eftersom det inte går att förutse alla de fall då uppgifter bör kunna lämnas ut. I den nya lagen kommer det således att finnas både primära och sekundära ändamål. De förstnämnda, alltså de ändamål som avser den berörda myndighetens eget behov av att behandla person- uppgifter, kommer att vara uttömmande. Uppgifter kan alltså inte behandlas för några andra primära ändamål än de särskilt angivna. Däremot kommer myndigheterna att ha möjlighet att lämna ut upp- gifter i enlighet med finalitetsprincipen. En ny lag om behandling av personuppgifter… Många registerförfattningar innehåller ändamålsbestämmelser som anger att en behandling av personuppgifter ska behövas eller vara nödvändig för de ändamål som anges i författningen (se till exem- pel 2 kap. 4 § patientdatalagen). Kravet att behandlingen ska vara nödvändig följer av dataskyddsdirektivets artikel 7. I bestämmelsen anges de principer som gör att personuppgiftsbehandling kan tillåtas. Av artikeln framgår att personuppgifter endast får behandlas om det är nödvändigt för vissa i artikeln angivna syften, såvida inte den registrerade otvetydigt lämnat sitt samtycke till behandlingen. Arti- kel 7 har genomförts i svensk rätt genom 10 § PUL och genom särskilda ändamålsbestämmelser i registerförfattningar. I en kommentar till personuppgiftslagen anförs att nödvändig- hetskravets närmare innebörd inte är helt klart (. S. m.fl., Personuppgiftslagen. En kommentar, , Zeteo, kommentaren till 10 § ). Enligt , som bland annat hade till uppgift att lägga fram förslag till en ny lag om skydd för personuppgifter i anledning av EU:s dataskyddsdirektiv, kan nödvändighetskravet inte rimligen innebära att det ska vara faktiskt omöjligt att utföra en arbetsuppgift utan sådan behandling av per- sonuppgifter som omfattas av lagen. De flesta arbetsuppgifter kan rent faktiskt utföras manuellt utan sådan behandling som omfattas av lagen även om det kostar mycket mer och tar betydligt än att behandla personuppgifterna automatiskt (se SOU 1997:39 s. 359). I senare förarbeten har det konstaterats att nödvändighets- kravet inte rimligen kan innebära att det ska vara faktiskt omöjligt att utföra en arbetsuppgift utan sådan behandling av personuppgifter som omfattas av lagen (se SOU 2001:32 s. 95 och SOU 2001:100 s. 90). Kan en arbetsuppgift däremot utföras nästan lika enkelt och billigt utan att personuppgifter behandlas, kan det inte anses nöd- vändigt att behandla personuppgifterna. Det räcker sannolikt att det innebär en påtaglig förenkling för den personuppgiftsansvarige att personuppgifter behandlas på automatiserad väg. En person- uppgift torde vara nödvändig att behandla för ett visst ändamål, om ändamålet inte kan realiseras om inte personuppgiften får användas (se SOU 1999:109 s. 156). Prövning av om en behandling är nödvändig ska göras inte bara då en personuppgift samlas in och registreras utan även vid senare En ny lag om behandling av personuppgifter… behandling av uppgiften, såsom vid fortsatt lagring, behandling för framställning av statistik eller utlämnande. Som framgår ovan är nödvändighetskravet svårt att närmare defi- niera. Det kan framstå som olämpligt att i lagen införa ett begrepp som har en oklar betydelse. Utredningen bedömer ändå att det är lämpligt att införa ett krav på att personuppgifter får behandlas en- dast om det är nödvändigt för de i lagen angivna ändamålen. Enligt 4 § nuvarande utlänningsdataförordning får de personuppgifter som anges i paragrafen behandlas i den mån det är nödvändigt för det ändamål för vilket behandlingen utförs. Ett nödvändighetskrav gäller således för behandling av personuppgifter i verk- samhetsregister i här aktuell verksamhet. Genom nödvändighets- kravet betonas att behandling av uppgifter inte ska ske slentrian- mässigt och att en bedömning av nödvändigheten måste göras innan en behandling påbörjas. Eftersom begreppet är hämtat från data- skyddsdirektivet och personuppgiftslagen, har viss praxis utvecklats på området. Utredningen anser därför att det är lämpligt att införa ett krav på att behandlingen ska vara nödvändig för de i lagen angivna ändamålen för att vara tillåten. För vilka ändamål ska personuppgifter få behandlas? Handläggning av ärenden eller en myndighets biträde i sådana ärenden En stor del av den personuppgiftsbehandling som sker utförs i samband med de olika myndigheternas handläggning av ärenden enligt utlännings- och medborgarskapslagstiftningen. Myndigheterna måste naturligtvis kunna inhämta, ta emot, lagra och på andra sätt behandla personuppgifter i samband med att myndigheten fullgör sina uppgifter enligt lag och förordning. Begreppet handläggning bör i sammanhanget tolkas ganska vid- sträckt och innefatta alla moment som kan bli aktuella vid handlägg- ning av ett ärende. Bestämmelsen ger till exempel stöd åt Migrations- verkets behandling av personuppgifter i samband med mottagande, registrering och beredning av ärenden, förordnande av offentligt biträde, kommunikation med parter, kommunikation med andra tjänstemän inom samma myndighet i anledning av ärendet och upp- rättande och meddelande av beslut. Under denna punkt faller även En ny lag om behandling av personuppgifter… personuppgiftsbehandling i kontroll- och verk- ställighetsärenden. Till sådan verksamhet räknas också till exempel att på elektronisk väg får tips om var personer som ska utvisas befinner sig eller att myndigheten själv använder sig av automatiserad behandling i syfte att identifiera och hitta personer vars beslut om avlägsnande ankommer på att verkställa. Därutöver ger bestämmelsen stöd för utlandsmyndighets personuppgiftsbehandling i den medverkan med utredning i Migra- tionsverkets, och Säkerhetspolisens handläggning av utlännings- och medborgarskapsärenden som sker med stöd av 3 kap. 9 § förordningen (2014:115) med instruktion för utrikesrepre- sentationen. Även den personuppgiftsbehandling som utförs i sam- band med och Säkerhetspolisens verkställande av beslut om förvar faller under denna punkt. Bestämmelsen ger också stöd åt att personuppgifter som samlats in för ett visst ärende behandlas i ett senare ärende som rör samma person eller i ett ärende som rör en annan person men där den registrerade förekommer som till exempel anhörig. Den förslagna bestämmelsen avser endast behandling av person- uppgifter som behövs för den egna myndighetens handläggning. Utlämnande av uppgifter till andra myndigheter för deras handlägg- ning regleras på annat sätt, se nedan. Kontroll av utlänning i samband med inresa och utresa samt kontroll under vistelsen i utför personuppgiftsbehandling i samband med den yttre och inre utlänningskontrollen. kan också medverka vid sådan kontrollverksamhet. Den yttre och inre utlän- ningskontrollen kan ha brottsbekämpande syfte, till exempel att upptäcka gränsöverskridande brottslighet. I sådana fall regleras per- sonuppgiftsbehandlingen av polisdatalagen. I andra fall är ända- målet med kontrollen att kontrollera den inresandes identitet och att kontrollera att han eller hon uppfyller de formella och materiella kraven enligt utlänningslagen, för rätt till inresa och vistelse i . I sådana fall bör personuppgiftsbehandlingen regleras av utlännings- datalagen. Den personuppgiftsbehandling som utför i samband med kontrollverksamheten omfattas inte av någon annan särlagstiftning.