sou · H3B373 · 2015-08-03 00:00:00 — en stat utanför EU eller EES, som inte har en adekvat nivå för skyddet av personuppgifterna. Vid bedömningen om ett land har adekvat skyddsnivå ska hänsyn tas till samtliga omständigheter som har samband med överföringen. Av särskild betydelse är uppgifternas art, ändamålet med behand- lingen, hur länge behandlingen ska pågå, ursprungslandet, det slutliga Gällande rätt och internationella överenskommelser bestämmelselandet och de regler som finns för behandlingen i det tredjelandet. I 34 och 35 §§ PUL finns undantag från förbudet mot överföring till tredjeland, bland annat vid den enskildes samtycke. Överföring till tredjeland får också ske om överföringen bedöms nödvändig för att ett avtal mellan den registrerade och den personuppgiftsansvarige ska kunna fullgöras eller åtgärder som den registrerade begärt ska kunna vidtas innan ett avtal träffas eller ett avtal mellan den person- uppgiftsansvarige och tredje man som är i den registrerades intresse ska kunna ingås eller fullgöras. Undantag gäller vidare om överföring krävs för att rättsliga anspråk ska kunna fastställas, göras gällande eller försvaras eller vitala intressen för den registrerade ska kunna skyddas. Det är också tillåtet att föra över personuppgifter för an- vändning enbart i en stat som har anslutit sig till dataskyddskonven- tionen. Regeringen får meddela föreskrifter om undantag från förbudet att föra över personuppgifter till vissa stater. Regeringen och, i de fall regeringen förordnat om det, Datainspektionen, får vidare med- dela föreskrifter om undantag från förbudet, om det behövs med hänsyn till ett viktigt allmänt intresse eller om det finns tillräckliga garantier till skydd för de registrerades rättigheter. Regeringen eller Datainspektionen får också under vissa förutsättningar i enskilda fall besluta om undantag från förbudet. Den personuppgiftsansvarige ska göra en skriftlig anmälan till Data- inspektionen innan en behandling av personuppgifter som är helt eller delvis automatiserad påbörjas, se 36 § PUL. Om den person- uppgiftsansvarige har utsett ett personuppgiftsombud och anmält detta till inspektionen behöver sådan anmälan emellertid inte göras, se 37 §. Personuppgiftsombudet ska dock föra en förteckning över de behandlingar som den personuppgiftsansvarige genomför och som skulle ha omfattats av anmälningsskyldighet om ombudet inte hade funnits. Vidare får regeringen eller, om regeringen bestämmer det, Data- inspektionen, meddela föreskrifter om undantag från anmälnings- skyldigheten för sådana typer av behandlingar som sannolikt inte Gällande rätt och internationella överenskommelser kommer att leda till otillbörligt intrång i den personliga integriteten. Regeringen får också meddela föreskrifter om att sådana behand- lingar av personuppgifter som innebär särskilda risker för otillbörligt intrång i den personliga integriteten ska anmälas för förhands- kontroll till Datainspektionen. I sådana fall måste anmälan göras även om det finns ett personuppgiftsombud. Den personuppgiftsansvarige är skyldig att till var och en som begär det skyndsamt och på lämpligt sätt lämna upplysningar om behandling av personuppgifter som inte har anmälts till Datainspek- tionen, se 42 § PUL. Skyldighet föreligger dock inte om uppgifter- na är belagda med sekretess eller tystnadsplikt. Som framgår ovan har en personuppgiftsansvarig möjlighet att utse ett personuppgiftsombud och anmäla det till Datainspektionen. Personuppgiftsombudets uppgift är att självständigt se till att den personuppgiftsansvarige behandlar personuppgifter på ett lagligt och korrekt sätt och i enlighet med god sed samt att påpeka even- tuella brister för honom eller henne, se 38 §. Har personuppgiftsombudet anledning att misstänka att den personuppgiftsansvarige bryter mot de bestämmelser som gäller för behandlingen av personuppgifter och vidtas inte rättelse efter på- pekande, ska personuppgiftsombudet anmäla förhållandet till Data- inspektionen. Personuppgiftsombudet ska vidare samråda med Data- inspektionen vid tveksamhet om hur de bestämmelser som gäller för behandlingen av personuppgifter ska tillämpas. I personuppgifts- ombudets uppgifter ingår också att hjälpa registrerade att få rättelse när det finns anledning att misstänka att behandlade personupp- gifter är felaktiga eller ofullständiga. har för det första rätt att utöva tillsyn. Myn- digheten har således rätt att på begäran få tillgång till de person- uppgifter som behandlas, upplysningar om och dokumentation av behandlingen av personuppgifter och säkerheten vid denna och till- träde till sådana lokaler som har anknytning till behandlingen av Gällande rätt och internationella överenskommelser personuppgifter, se 43 § PUL. Om dessa åtgärder inte är tillräckliga får Datainspektionen vid vite förbjuda den personuppgiftsansvarige att behandla personuppgifter på något annat sätt än genom att lagra dem, se 44 § PUL. I de fall Datainspektionen konstaterar att personuppgifter behand- las eller kan komma att behandlas på ett olagligt sätt ska myndig- heten i första hand genom påpekanden eller liknande förfaranden försöka åstadkomma rättelse. Sker inte rättelse eller är saken bråd- skande får Datainspektionen under vissa omständigheter vid vite förbjuda den personuppgiftsansvarige att fortsätta att behandla personuppgifterna på något annat sätt än genom att lagra dem, se 46 § PUL. Inspektionen får också ansöka hos förvaltningsrätten om att personuppgifter som behandlats på ett olagligt sätt ska ut- plånas, se 47 §. Enligt 48 § PUL är den personuppgiftsansvarige skyldig att ersätta den registrerade för skada och kränkning av den personliga inte- griteten som en behandling av personuppgifter i strid med lagen har orsakat. Ersättningsskyldigheten kan dock jämkas, om det är skäligt och om den personuppgiftsansvarige visar att felet inte berodde på honom eller henne. I 49 § PUL finns bestämmelser om straff vid överträdelse av vissa bestämmelser i lagen. Straffskalan är böter eller fängelse eller, vid grovt brott, högst . I ringa fall ska dock inte dömas till ansvar. Personuppgiftslagen är generellt tillämplig, men om det i en annan lag eller förordning har meddelats avvikande bestämmelser har de företräde, se 2 § PUL. har det utöver personuppgiftslagen utarbetas en stor mängd specialförfattningar med bestämmelser som rör behandling av personuppgifter, s.k. sär- skilda registerförfattningar. Exempel på sådana är förordningen (2001:720) om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen, patientdatalagen Gällande rätt och internationella överenskommelser (2008:355), polisdatalagen (2010:361) och kustbevakningsdatalagen (2012:145). Syftet med de särskilda registerförfattningarna är att anpassa lagstiftningen efter de särskilda behov som finns inom olika verksamhetsområden i den offentliga sektorn. kan det finnas behov av att avvika från eller komplettera det integritetsskydd som personuppgiftslagen ger. Det kan till exempel röra sig om en typ av behandling som inte är tillåten enligt personuppgiftslagen eller att det finns ett behov av att precisera den reglering som finns i person- uppgiftslagen. I sådana fall kan en registerförfattning ge ett anpassat integritetsskydd vid en myndighets hantering av personuppgifter. Det bör i sammanhanget noteras att det länge har varit ett uttalat mål från att myndighetsregister med ett stort antal registre- rade och med ett känsligt innehåll ska regleras särskilt i lag (se bland annat prop. 1990/91:60 s. 58, KU 1990/91:11 s. 11 och 1997/98:44 s. 41). Här ska dock nämnas att det i olika sammanhang har framförts kritik mot registerlagstiftningen för att vara ett svåröverblickbart och fragmenterat rättsområde. Det är mot den bakgrunden som man ska se betänkande Myndig- hetsdatalag, SOU 2015:39. Personuppgiftsbehandling i verksamhet enligt utlännings- och med- borgarskapsområdet regleras i förordningen (2001:720) om behand- ling av personuppgifter i verksamhet enligt utlännings- och med- borgarskapslagstiftningen (utlänningsdataförordningen). Enligt 1 § utlänningsdataförordningen gäller förordningen utöver personuppgiftslagen vid automatiserad behandling av personuppgifter i , , Säkerhetspolisens och ut- landsmyndigheternas verksamhet enligt utlännings- och medborgar- skapslagstiftningen. Med sådan verksamhet avses i förordningen följande. 1.Verksamhet som gäller utlänningars vistelse i och avlägsnande från landet, 2.verksamhet som gäller utlänningars rätt att arbeta i landet, Gällande rätt och internationella överenskommelser 3.mottagande av asylsökande och vissa andra utlänningar, 4.verksamhet som rör bistånd och stöd till utlänningar som enligt lag eller annan författning handläggs av , 5.verksamhet som avser förvärv, förlust eller bibehållande av svenskt medborgarskap och 6.verksamhet som gäller ersättning för och bosättning av utlänningar som enligt lag eller annan författning handläggs av Migrations- verket. En registrerad har inte rätt att motsätta sig behandling av person- uppgifter som sker i enlighet med förordningen. I bestämmelsen finns också en erinran om att det i Europaparla- mentets och rådets förordning (EG) nr 767/2008 av om informationssystemet för viseringar (VIS) och utbytet mellan medlemsstaterna av uppgifter om viseringar för kortare vistelse (VIS-förordningen) finns bestämmelser om behandling av person- uppgifter i VIS för viseringsmyndigheter, myndigheter som ansvarar för kontroll av personers gränspassage, myndigheter som ansvarar för kontroll av utlänningars rätt att uppehålla sig i medlemsstaten samt för den centrala utlänningsmyndigheten, dvs. (se vidare om VIS-förordningen i avsnitten 4.3.3 och 7.4.1). , och Säkerhetspolisen är person- uppgiftsansvariga för den personuppgiftsbehandling som respektive myndighet utför, se 2 § utlänningsdataförordningen. Migrations- verket är även personuppgiftsansvarigt för den behandling som en utlandsmyndighet utför. Enligt 3 § utlänningsdataförordningen får automatiserade register föras i ärenden som handläggs av respektive myndighet (s.k. verk- samhetsregister). I ett verksamhetsregister får personuppgifter be- handlas för myndighetens handläggning av ärenden i enlighet med vad som föreskrivs i lag eller annan författning eller fullgörande av Gällande rätt och internationella överenskommelser underrättelseskyldighet som följer av lag eller annan författning. Personuppgifter får också behandlas för tillsyn, kontroll, uppfölj- ning och planering av verksamheten samt framställning av statistik. Personuppgifter får endast behandlas om det är nödvändigt för det ändamål för vilket behandlingen utförs, se 4 § utlänningsdata- förordningen. De uppgifter som får behandlas i ett verksamhetsregister delas in i sex kategorier. Till identitetsuppgifter hör bland annat namn, person- eller samordningsnummer, födelsetid, kön, vårdnadshavare och civilstånd. Med uppgifter som behövs för handläggningen av ären- den avses till exempel uppgifter som rör utlänningens resa och an- komst till och uppgifter om språk, religion, politisk åskådning, etnisk tillhörighet och hälsotillstånd om uppgifterna är oundgäng- ligen nödvändiga för de ändamål som anges i 3 § utlänningsdata- förordningen. Till kategorin uppgifter som behövs för mottagandet av asylsökande m.fl. hör uppgifter om inskrivning vid boendeenhet och om utbildning, yrke och anställning. Under uppgifter som behövs för förvar och andra tvångsåtgärder enligt utlänningslagen (2005:716) anges uppgifter om inskrivning vid förvarsenhet och uppgifter om hälsotillstånd och andra personliga förhållanden om uppgifterna är oundgängligen nödvändiga för förvarstagandet. Även uppgifter som behövs för verkställighet enligt 12 kap. utlänningslagen får behandlas. Dit hör uppgifter om utresan och uppgifter om hälsotillstånd och andra personliga förhållanden om uppgifterna är oundgängligen nöd- vändiga för verkställigheten. Slutligen får också uppgifter om beslut registreras, exempelvis beslut i frågor om uppehålls- och arbetstill- stånd, återreseförbud eller visering. Känsliga personuppgifter får enligt 5 § utlänningsdataförordningen behandlas endast om uppgifterna är oundgängligen nödvändiga för myndighetens handläggning av ärenden i enlighet med vad som före- skrivs i lag eller annan författning och fullgörande av underrättelse- skyldighet som följer av lag eller annan författning. Det finns ingen legaldefinition av begreppet direktåtkomst (när det gäller begreppet, se SOU 2012:90 s. 198, SOU 2015:39 s. 136 f. och s. 389 f. och nedan nämnda förarbeten). Gällande rätt och internationella överenskommelser vanligtvis att någon har direkt tillgång till någon annans register eller databaser och på egen hand kan söka efter information, dock utan att kunna påverka innehållet i registret eller databasen (se bland annat prop. 2009/10:85 s.168). I begreppet direktåtkomst ligger också att den som är ansvarig för registret eller databasen inte har någon kontroll över vilka uppgifter som mottagaren vid ett visst tillfälle tar del av (se bland annat prop. 2004/05:164 s. 83 och prop. 2022/12:45 s. 133). Enligt 6 § utlänningsdataförordningen får , Säkerhetspolisen och utlandsmyndigheterna ha direktåtkomst till verksamhetsregister. Myndigheternas direktåt- komst ska begränsas till att endast avse personuppgifter som en tjänsteman oundgängligen behöver för att fullgöra sina arbetsupp- gifter i verksamhet enligt utlännings- och medborgarskapslagstift- ningen. Även och får ha direkt- åtkomst till uppgifter i verksamhetsregister, se 6 a § utlänningsdataförordningen. Direktåtkomsten ska begränsas till uppgifter som behövs inom respektive myndighets verksamhet som underlag för att bedöma eller fastställa förmån, ersättning eller annat stöd åt en enskild eller som behövs i ett ärende om mot- svarande stöd. och får ha direktåtkomst först sedan har försäkrat sig om att handläggare hos de mottagande myndigheterna bara kan ta del av uppgifter om personer som är aktuella i ärenden eller verksam- het som avser registrering av enskilda. I bestämmelsen anges också vilka kategorier av uppgifter och Pensionsmyn- digheten får ges tillgång till. Slutligen får även ha direktåtkomst till uppgifter i verksamhetsregister, 6 b § utlänningsdataförord- ningen. Direktåtkomsten ska begränsas till uppgifter som behövs för handläggning av ansökan om identitetskort enligt förordningen (2009:284) om identitetskort för folkbokförda i . Direktåtkomsten får endast avse uppgift om namn och personnum- mer, längd, fotografi, underskrift, typ av resehandling, resehand- lingens nummer och giltighetstid samt bevis om uppehållstillstånd. Gällande rätt och internationella överenskommelser Vid sökning i myndigheternas datasamlingar får känsliga person- uppgifter inte användas som sökbegrepp. får föra automatiserade register för återsökning av vägledande avgöranden, rättsutredningar och liknande rättslig information, s.k. rättsfallsregister, se 8 § utlänningsdataförordningen. Ett rättsfallsregister får inte innehålla personuppgifter som direkt pekar ut den registrerade. De personuppgifter som finns i ett rättsfallsregister får föras över till en stat som inte ingår i EU och heller inte är ansluten till EES. I 9 § utlänningsdataförordningen anges att får föra ett register över fingeravtryck och fotografier som tas med stöd av 9 kap. 8 § utlänningslagen (2005:716). Enligt bestämmelsen får eller polismyndigheten fotografera en utlänning och, om utlänningen fyllt , ta hans eller hennes fingeravtryck om utlänningen inte kan styrka sin identitet när han eller hon kom- mer till , utlänningen ansöker om uppehållstillstånd som flyk- ting eller som annan skyddsbehövande eller det finns grund för att besluta om förvar. Registret får endast användas vid prövning av ansökningar om uppehållstillstånd där skyddsskäl åberopats samt i ärenden om av- visning och utvisning. Registret får endast innehålla fingeravtryck och fotografi samt uppgifter om den registrerades namn, person- eller samordningsnummer, födelsetid, kön, medborgarskap eller annan identifieringsuppgift. En uppgift i registret ska gallras när den registrerade blir svensk medborgare, dock senast efter det att uppgiften registrerades. Gällande rätt och internationella överenskommelser får föra ett s.k. landinformationsregister för åter- sökning av information som lämnats rörande förhållanden i andra länder, se 12 § utlänningsdataförordningen och Lifos informations- system i avsnitt 5.2.10. Känsliga personuppgifter får endast behandlas i löpande text och under förutsättning att uppgifterna är oundgäng- ligen nödvändiga för att fullgöra arbetsuppgifter i sådan verksamhet enligt utlännings- och medborgarskapslagstiftningen. Personupp- gifter som direkt pekar ut den registrerade får inte användas som sökbegrepp. Viss information i Lifos är allmänt tillgänglig, medan annan information omfattas av sekretess. Bestämmelserna i 28 och 48 §§ PUL om rättelse och om skadestånd tillämpas vid behandling av personuppgifter enligt utlänningsdata- förordningen. Bestämmelserna gäller också vid behandling av person- uppgifter enligt VIS-förordningen i den mån inte något annat följer av den förordningen. , eller en polismyndighets be- slut om att inte meddela rättelse eller om att inte lämna information som ska lämnas efter ansökan får överklagas hos allmän förvalt- ningsdomstol. 4Verksamhet enligt utlännings- och medborgarskaps- lagstiftningen I utredningens uppdrag ingår att noggrant kartlägga användningen av personuppgifter i all verksamhet enligt utlännings- och medborgar- skapslagstiftningen. Som anges i kommittédirektiven bedrivs verk- samhet enligt utlännings- och medborgarskapslagstiftningen främst av , men även av domstolarna, polisen och utlands- myndigheterna. Någon närmare beskrivning av vilken verksamhet som avses ges inte i kommittédirektivet. Det kan dock antas att hand- läggning av utlänningsärenden enligt utlänningslagen (2005:716, UtlL) och handläggning av ärenden enligt lagen (2001:82) om svenskt medborgarskap (medborgarskapslagen) hör till sådan verksamhet. Vägledning kan också hämtas från förordningen (2001:720) om be- handling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen (utlänningsdataförordningen) när det gäller en definition av verksamhet enligt utlännings- och medborgar- skapslagstiftningen. Därutöver finns viss verksamhet som har nära koppling till sådan verksamhet som anges ovan. 4.2Generellt om de handläggande myndigheterna Enligt 1 § förordningen (2007:996) med instruktion för Migrations- verket är förvaltningsmyndighet för frågor som rör uppehållstillstånd, arbetstillstånd, visering, mottagande av asyl- sökande, återvändande, medborgarskap och återvandring. Migra- tionsverket ska fullgöra de uppgifter som myndigheten har enligt Verksamhet enligt utlännings- och medborgarskapslagstiftningen utlännings- och medborgarskapslagstiftningen, lagstiftningen om mottagande av asylsökande m.fl. samt andra författningar. är också kontaktmyndighet eller ansvarig myn- dighet inom EU-samarbetet, se 3 § förordningen med instruktion för . är till exempel kontaktmyn- dighet i frågor som rör databasen för identifiering av fingeravtryck, Eurodac, ansvarig och attesterande myndighet gentemot Europeiska kommissionen i frågor som rör den europeiska flyktingfonden och den europeiska återvändandefonden samt kontaktmyndighet i frågor som rör massflyktssituationer enligt 21 kap. UtlL. Vidare är Migra- tionsverket registeransvarig och har centralt ansvar för be- handling av personuppgifter i VIS (se avsnitt 4.3.3). I ansvaret ingår att föra register över all behandling av personuppgifter i VIS och över de personer som är behöriga att föra in eller använda uppgifter i VIS samt vara den myndighet som ger övriga behöriga svenska myndigheter åtkomst till VIS. Migrationsdomstolarna blir aktuella när någon överklagar eller någon annan myndighets beslut som kan överklagas dit. Allmän domstol kan besluta om utvisning på grund av brott. genomför personkontroller vid yttre gräns i samband med inresa och utresa samt inre utlänningskontroll. Polis- myndigheten får i vissa fall besluta om avvisning och verkställer egna beslut om avvisning. Myndigheten verkställer även allmän dom- stols beslut om utvisning på grund av brott och beslut om utvisning och avvisning. verkställer vidare utlämningar och överlämnanden med stöd av lagen (1957:668) om utlämning för brott, lagen (2003:1156) om överlämnande från enligt en europeisk arresteringsorder, lagen (2011:1165) om överlämnande från enligt en nordisk arresteringsorder samt lagen (1970:375)om utlämning till , , eller för verkställighet av beslut om vård eller behandling. Säkerhetspolisen verkställer beslut om avvisning eller utvisning i säkerhetsärenden. Myndigheten kan föreslå att en ansökan om medborgarskap ska avslås av skäl som rör rikets säker- het eller allmän säkerhet. beslut i ett sådant säker- hetsärende får överklagas av Säkerhetspolisen. Säkerhetspolisen får vidare enligt 2 § lagen (1991:572) om särskild utlänningskontroll ta upp frågan om utvisning hos och är utlänningens motpart om ärendet hamnar hos regeringen efter överklagande. Verksamhet enligt utlännings- och medborgarskapslagstiftningen Säkerhetspolisen får även i vissa fall besluta om förvar eller uppsikt samt ansvarar för att verkställa beslut om förvar, avvisning eller ut- visning i säkerhetsärenden enligt lagen om särskild utlänningskontroll. När det gäller utlandmyndigheterna följer det av 3 kap. 9 § för- ordningen (2014:115) med instruktion för utrikesrepresentationen att beskickningar och konsulat ska handlägga migrationsärenden enligt EU:s förordningar och utlänningslagstiftningen samt biträda , och Säkerhetspolisen i ärenden enligt utlänningslagstiftningen. Utlandsmyndigheternas främsta upp- gift är att utfärda Schengenviseringar. Biträdet till andra myndig- heter enligt ovan nämnda förordning kan till exempel innebära att hjälpa att kontrollera att de uppgifter en asylsökan- de har lämnat i sin ansökan är korrekta eller om en handling som en utlänning åberopar är äkta. Utlandsmyndigheterna tar också emot ansökningar om uppehållstillstånd och medborgarskap och genom- för utredningar i de fall sökanden inte är folkbokförd i . Även i andra medborgarskapsärenden ska utlandsmyndigheterna medverka i enskilda ärenden på begäran av . En närmare beskrivning av myndigheternas verksamhet följer nedan i anslutning till respektive lagstiftning. Utlänningars vistelse i har varit reglerat . infördes en lag som gjorde det möjligt att avvisa eller utvisa en utlänning som inte ansågs önskvärd. Under och efter utfärdades med stöd av lagen en rad författningar som reglerade utlänningars rätt att resa in i och vistas i . Genom passkungörelse infördes till exempel passtvång och krav på visering, dvs. tillstånd till inresa och vistelse . Genom övervakningskungörelse infördes också krav på att en utlänning som kom hit för att arbeta var tvungen att ha ett arbets- tillstånd vid inresan. fick sin första utlänningslag . Lagen innehöll be- stämmelser om pass, visering, uppehålls- och arbetstillstånd samt anmälningsskyldighet och bestämmelser om avvisning, utvisning och förpassning. Bestämmelserna på utlänningsområdet har varit under Verksamhet enligt utlännings- och medborgarskapslagstiftningen ständig förändring och efter 1928 har ytterligare fem nya utlännings- lagar antagits (1937, 1945, 1954, 1980 och 1989) fram till den nu gällande utlänningslagen (2005:716). Med utlänningslag infördes en ny instans- och process- ordning i utlännings- och medborgarskapsärenden. Den s.k. upphörde och överprövningen av beslut överfördes till migrationsdomstolarna (dåvarande länsrätterna i , och ) och en migrationsöverdomstol (Kammarrätten i ). Utlänningslagstiftningen har på många sätt påverkats av den inter- nationella utvecklingen på området samt genom EES- och EU-sam- arbetet.