sou · H3B373 · 2015-08-03 00:00:00 — Denna förord- ning (den s.k. Eurodacförordningen, se avsnitt 7.4) innehåller be- stämmelser om ett gemensamt system, Eurodac, för jämförelse av fingeravtryck i syfte att kunna avgöra vilken medlemsstat som är an- svarig för att pröva en ansökan om internationellt skydd. En annan förordning av intresse är och rådets förordning (EG) nr 810/2009 av om införande av en gemenskapskodex om viseringar (viseringskodex). Den förord- ningen innehåller bland annat regler för förfarande och villkor för utfärdande av viseringar. Ytterligare en förordning är och rådets för- ordning (EG) nr 767/2008 av om informations- systemet för viseringar (VIS) och utbytet mellan medlemsstaterna av uppgifter om viseringar för kortare vistelse (VIS-förordningen). Den förordningen fastställer ändamål, funktioner och ansvarsfördel- ning för det EU-gemensamma informationssystemet för viseringar. Med hänsyn till vad som ovan sagts om EU-förordningars direkta tillämplighet får ovan nämnda förordningar inte införlivas i den nya utlänningsdatalagen. Behandling av personuppgifter enligt förord- ningarna bör därför inte heller omfattas av lagens tillämpningsom- råde. Enligt principen ovan har förordningarna företräde framför nationell rätt utan att det behöver regleras särskilt i lagen. Det finns dock med förordningarna närliggande verksamhet som kommer att omfattas av den nya lagens tillämpningsområde. För tydlighetens skull bör därför personuppgiftsbehandling enligt Eurodac-förordningen, viseringskodexen och VIS-förordningen uttryckligen undantas från lagens tillämpningsområde (se vidare avsnitt 7.4). Allmänna utgångspunkter vid utformandet av en utlänningsdatalag Som framgår av avsnitt 4.3.3 innebar Amsterdamfördraget att införlivades med . Genom Europa- parlamentets och rådets förordning (EG) nr 562/2006 av om en gemenskapskodex om gränspassage för personer inför- des ett gemensamt regelverk för all gränspassage för personer över EU:s yttre och inre gränser. I kodexen slås fast att det inte ska förekomma någon gränskontroll av personer när de passerar de inre gränserna mellan EU:s medlemsländer. De länder som deltar i har infört ett gemen- samt informationssystem, (). I systemet kan ländernas myndigheter lägga in och söka fram uppgifter om personer som är efterlysta eller på annat sätt eftersökta eller som ska nekas inresa i Schengenområdet. togs SIS II i bruk. Den senare versionen av SIS innehåller fler typer av uppgifter och funktioner än den tidigare, bland annat är det möjligt att lägga in biometriska uppgifter (exempelvis fingeravtryck och fotografier) och att länka samman registreringar som avser en och samma person. SIS II består av en nationell enhet i varje medlemsstat samt en central databas med en teknisk stödfunktion som ser till att de olika nationella enheterna har ett identiskt innehåll. SIS II regleras huvudsakligen i två olika rättsakter. Europa- parlamentets och rådets förordning (EG) nr 1987/2006 av om inrättande, drift och användning av andra generationen av Schengens informationssystem (SIS II) reglerar den del av systemet som används för frågor om asyl och invandring. När det gäller den del av systemet som används för polis- och straffrätts- ligt samarbete finns bestämmelser i beslut /533/RIF av om inrättande, drift och användning av andra generationen av Schengens informationssystem (SIS II). Därutöver finns en särskild förordning, och rådets förord- ning (EG) nr 1986/2006 av om tillträde till andra generationen av Schengens informationssystem (SIS II), för de enheter i medlemsstaterna som ansvarar för att utfärda registre- ringsbevis för fordon. De båda förordningarna gäller direkt i och ska inte genom- föras i svensk lag. Rådsbeslutet har genomförts i svensk rätt genom ändringar i lagen (2000:344) om Schengens informationssystem och Allmänna utgångspunkter vid utformandet av en utlänningsdatalag förordningen (2000:836) om Schengens informationssystem. Lagen och förordningen innehåller bestämmelser om behandling av person- uppgifter i den svenska delen av SIS. Den personuppgiftsbehand- ling som faller under lagens och förordningens tillämpningsområde bör falla utanför utlänningsdatalagens tillämpningsområde. Enligt utredningens direktiv ska förslaget till lagreglering på utlän- nings- och migrationsområdet vara utformat så att det är förenligt med den kommande regleringen av domstolarnas personuppgifts- behandling. All automatiserad behandling av personuppgifter i den rättskipande och rättsvårdande verksamheten vid domstolarna och nämnderna regleras av de s.k. Veraförordningarna (se av- snitt 7.3.3). Regeringen har överlämnat en remiss till Lag- rådet med förslag till en lag om behandling av personuppgifter i de allmänna domstolarnas, de allmänna förvaltningsdomstolarnas och hyres- och arrendenämndernas rättskipande och rättsvårdande verk- samhet. Utredningen gör den bedömningen att regleringen av personuppgiftsbehandlingen på utlännings- och migrationsområdet kommer att vara förenlig med de nya reglerna om domstolarnas behandling av personuppgifter. Utredningen ska också i sitt arbete noga följa den fortsatta be- handlingen inom EU av förslaget till ny dataskyddsreglering samt anpassa de förslag till författningsreglering som lämnas till denna översyn och dess resultat. Utredningen redovisar det pågående reformarbetet av om skydd för personuppgifter och förslag till uppgiftsskyddsför- ordning i avsnitt 3.4. Utredningen hänvisar därför till detta avsnitt i denna del. Kommissionens förslag till uppgiftsskyldighetsförordning baseras till en stor del på den struktur och reglering som finns i det nu gällande dataskyddsdirektivet, men innehåller även vissa skillnader. Ambitionen synes vara att (dvs. Rådet för rättsliga och inrikes frågor) ska kunna besluta om en allmän inrikt- Allmänna utgångspunkter vid utformandet av en utlänningsdatalag ning om hela uppgiftsskyddsförordningen, dvs. rådets förslag till förordningstext. Det förslaget kommer sedan att vara utgångspunk- ten för rådets förhandlingar med och kommis- sionen om uppgiftsskyddsförordningen. Ambitionen är vidare att lagstiftningsprocessen ska drivas med inriktning på ett slutförande . Enligt kommissionens förslag ska uppgiftsskyddsförordningen börja tillämpas efter offentliggörandet. Mot bakgrund av ovan har utredningen inte haft möjlighet att särskilt anpassa den nya utlänningsdatalagen till reformarbetet av om skydd för personuppgifter. Enligt utredningens direktiv ska utredningen samråda med Informa- tionshanteringsutredningen. tillsatte regeringen en särskild utredare med uppdrag att se över den s.k. registerlagstift- ningen och vissa därmed sammanhängande frågor (dir. 2011:86). Utredningen har tagit namnet . I utredarens uppdrag ingick bland annat att överväga om defini- tionen av begreppet ”allmän handling” i tryckfrihetsförordningen är lämpligt utformad när det gäller sådana uppgifter som en myndig- het har tillgång till genom s.k. direktåtkomst hos en annan myndig- het eller genom liknande former av elektroniskt utlämnande och, om utredaren anser att definitionen bör ändras, lämna förslag till ändring av denna. Utredningen skulle vidare överväga om det finns skäl att i registerförfattningar bibehålla åtskillnaden mellan olika former av elektroniskt utlämnande samt göra en översiktlig inventering av registerförfattningarna och närmare analysera hur dessa fungerar inom tre olika verksamhetsområden. I uppdraget ingick också att, med beaktande av utvecklingen inom EU och , utarbeta en generell modell för reglering av registerfrågor och, med modellen som mall, lämna konkreta förslag till registerförfattningar inom de tre verksamhetsområdena. I delbetänkandet Överskottsinformation vid direktåtkomst (SOU 2012:90) redovisade utredningen sitt uppdrag vad avser vissa del- frågor. I betänkandet tar utredningen ställning till om överskotts- information vid direktåtkomst och liknande elektronisk tillgång till annan myndighets elektroniska informationssamling bör undantas Allmänna utgångspunkter vid utformandet av en utlänningsdatalag från begreppet allmän handling och, för det fall överskottsinforma- tion inte undantas från begreppet allmän handling, de bestämmel- ser som förts in i offentlighets- och sekretesslagen (2009:400) med anledning av den nuvarande ordningen (bland annat 11 kap. 4 § och 25 kap. 2 § OSL) har en lämplig utformning eller om de bör justeras. Utredningen skulle även ta ställning till om det fanns skäl att i registerförfattningar upprätthålla åtskillnaden mellan olika former av elektroniskt utlämnande, men eftersom utredningen inte före- slog någon grundlagsändring i syfte att undanta överskottsinforma- tion vid direktåtkomst från begreppet allmän handling lämnade utredningen inga förslag angående frågan om begreppsbildningen för elektroniska utlämnandeformer utan avsåg att återkomma till frågan om begreppsbildningen i slutbetänkandet. Genom tilläggsdirektiv ändrades inriktningen på ut- redningens uppdrag. Uppdraget att analysera registerförfattningar inom tre olika verksamhetsområden och lämna förslag på register- författningar för dessa verksamheter samt att överväga vilka typer av allmänna handlingar som myndigheterna inom dessa verksamhets- områden ska vara skyldiga att lämna ut i elektronisk form utgick. Utredningen fick i stället i uppdrag att utreda förutsättningarna för att skapa en generell, enhetlig och samlad reglering för myndigheter- nas personuppgiftsbehandling och lämna författningsförslag till en sådan, med beaktande bland annat av den pågående översynen inom EU av regleringen om skyddet för personuppgifter. Utredningen redovisade sitt uppdrag genom slut- betänkandet Myndighetsdatalag (SOU 2015:39). I betänkandet fram- går att utredningen bedömer att dagens regelverk med bland annat olika registerförfattningar är fragmentiserat, svårförståeligt och i vissa fall inte anpassat till annan lagstiftning och tekniska lösningar för hantering av personuppgifter. Utredningen föreslår därför att dagens regler reformeras och huvudsakligen ersätts av en ny lag – myndighetsdatalagen – med generella bestämmelser för myndigheters behandling av personuppgifter. Den nya lagstiftningen föreslås gälla för alla myndigheters hantering av personuppgifter med undantag för myndigheters brottsbekämpande och brottsförebyggande verk- samhet. Förslaget innebär en renodlad persondataskyddsreglering och ska alltså inte i något avseende reglera myndigheternas sakverk- samhet. 7En ny lag om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen Utredningens förslag: Lagen ska heta utlänningsdatalag. Automatiserad behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen regleras av för- ordningen (2001:720) om behandling av personuppgifter i verk- samhet enligt utlännings- och medborgarskapslagstiftningen (utlän- ningsdataförordningen). Ett lämpligt namn för lagen hade således kunnat vara lagen om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Namnet har den fördelen att det tydligt framgår vad lagen handlar om. Utredningen anser det dock lämpligt att den nya lagen får namnet utlännings- datalagen. Det är konsekvent med tanke på andra lagar på person- uppgiftsbehandlingsområdet som tillkommit , till exempel patientdatalagen (2008:355), polisdatalagen (2010:361, PDL) och kustbevakningsdatalagen (2012:145). Namnet ger också en uppfatt- ning om vad lagen handlar om, nämligen behandling av uppgifter om utlänningar. Vidare innebär namnet en tydlig koppling till utlän- ningslagen (2005:716, UtlL), som innehåller bestämmelser om en stor del av den verksamhet vars personuppgiftsbehandling ska regleras i den nya lagen. Utlänningsdatalagen är således det lämpligaste nam- net. En ny lag om behandling av personuppgifter… Utredningens förslag: Syftet med lagen ska vara att ge berörda myndigheter möjlighet att behandla personuppgifter på ett ända- målsenligt sätt i sin verksamhet enligt utlännings- och medborgar- skapslagstiftningen och att skydda människor mot att deras per- sonliga integritet kränks vid sådan behandling. Enligt 1 § personuppgiftslagen (1998:204, PUL) är syftet med den lagen att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. I utlänningsdataförordningen finns det inte någon särskild bestämmelse om syftet med regleringen. En sådan bestämmelse är dock vanligt förekommande i de register- författningar som utarbetats . Två exempel är polisdata- lagen och kustbevakningsdatalagen. I förarbetena till både polisdatalagen och kustbevakningsdata- lagen anförs att det finns skäl att i dessa lagar införa särskilda bestäm- melser av vilka det framgår att syftet är att skydda människor mot att deras personliga integritet kränks genom behandling av person- uppgifter (se prop. 2009/10:85 s. 66 och prop. 2011/12:45 s. 67). I förarbetena betonas dock att det utöver integritetsintresset finns andra intressen som ska vägas in. I polisens fall anges att även sam- hällets rättmätiga krav på att ett rättssäkert och effektivt brotts- bekämpande bör komma till uttryck i bestämmelsen om lagens syfte. I kustbevakningsdatalagen anges på motsvarande sätt att lagens syfte utöver integritetsskydd för den enskilde också är att ge Kust- bevakningen möjlighet att behandla personuppgifter på ett ända- målsenligt sätt i sin operativa verksamhet. Utlänningsdatalagens bestämmelser kommer att gälla i stället för personuppgiftslagen vid viss behandling av personuppgifter inom utlännings- och medborgarskapsområdet. Personuppgiftslagens be- stämmelse som rör syftet med lagen kommer således inte att vara tillämplig. Det är därför lämpligt att i utlänningsdatalagen inled- ningsvis tydligt ange vad som är syftet med den lagen. Inom verksamhet på utlännings- och medborgarskapsområdet finns en liknande problematik som inom polisverksamhet och kust- bevakningens verksamhet. Myndigheterna har behov av att behandla en stor mängd information, även känsliga personuppgifter, och av att utnyttja modern informationsteknik för att kunna utföra sina En ny lag om behandling av personuppgifter… uppgifter på ett korrekt och effektivt sätt. kan person- uppgiftsbehandlingen innebära risk för intrång i den personliga integriteten. Skyddet för den enskildes integritet måste dock upprätthållas. Bestämmelserna i den nya lagen har till syfte att balansera dessa båda intressen: en rättssäker och effektiv verksamhet och skyddet för den enskildes personliga integritet vid personuppgiftsbehandling i sådan verksamhet. Dessa dubbla syften kommer till uttryck i lagens bestämmelser. Lagen gör det visserligen möjligt att behandla person- uppgifter på ett sätt som går utöver vad som är möjligt enligt person- uppgiftslagen. Integritetsskyddet säkras dock genom kompensato- riska åtgärder, såsom särskilda bestämmelser om ändamål, hur och av vem uppgifterna får användas, hur sökning får ske, direktåt- komst, gallring och avskiljande. Det är därför lämpligt att i den nya lagen införa en särskild bestämmelse om att lagens syfte både är att ge vissa myndigheter möjlighet att behandla personuppgifter på ett ändamålsenligt sätt och att skydda människor mot att deras person- liga integritet kränks vid sådan behandling. En sådan bestämmelse tydliggör lagstiftningens dubbla roll, vilket bland annat kan vara av betydelse i olika tolkningssituationer. En ny lag om behandling av personuppgifter… Utredningens förslag: Lagen ska tillämpas vid behandling av personuppgifter i och utlandsmyndigheternas verksamhet som rör: 1.utlänningars inresa i eller i en stat som ingår i Euro- peiska unionen eller i en stat som är ansluten till Europeiska ekonomiska samarbetsområdet, vistelse eller arbete i samt utresa från , 3.mottagande av asylsökande och andra utlänningar, 4.bistånd och stöd till utlänningar, 6.statlig ersättning för kostnader för utlänningar eller 7.bosättning av utlänningar. Lagen ska vidare vara tillämplig vid behandling av personupp- gifter i och Säkerhetspolisens verksamhet som rör utlänningars inresa i, utresa från, vistelse i eller avlägsnande från . I utredningens direktiv definieras inte vad som avses med verksam- het enligt utlännings- och medborgarskapslagstiftningen. Det anges dock att verksamhet enligt utlännings- och medborgarskapslagstift- ningen främst bedrivs av , men även av domstolarna, polisen och utlandsmyndigheterna. , , Säkerhetspolisens och ut- landsmyndigheternas behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen regleras av utlänningsdataförordningen. Det finns emellertid andra myndigheter som, även om de inte regleras i utlänningsdataförordningen, antingen utför sådan verksam- het som beskrivs i förordningen eller har uppgifter enligt utlännings- En ny lag om behandling av personuppgifter… lagen och lagen (2001:82) om svenskt medborgarskap (medborgar- skapslagen), se avsnitten 4.3.6, 4.4.2, 4.5.1 och 4.5.5. Det finns därför anledning att se närmare på hur utlänningsdata- lagens tillämpningsområde bör avgränsas, dels vad gäller vilka myn- digheters behandling av personuppgifter som ska regleras av lagen, dels vilken verksamhet hos dessa myndigheter som lagens bestäm- melser ska omfatta. Tillämpningsområdet bör begränsas till det som kräver särreglering i förhållande till personuppgiftslagen. 7.3.2Ska myndigheterna anges i lagen? En första fråga utredningen har att ta ställning till är om det i lagen uttryckligen ska anges vilka myndigheters personuppgiftsbehand- ling som regleras av lagen. Ett alternativ är att i stället endast beskriva den verksamhet på vilken lagen ska tillämpas. I särskilda registerförfattningar som reglerar myndigheters person- uppgiftsbehandling är det vanligt att det i lagen specificeras vilka myndigheter som ska tillämpa den. Så är exempelvis fallet i lagen (2005:787) om behandling av uppgifter i brottsbekäm- pande verksamhet och i polisdatalagen. Modellen har ansetts lämplig, eftersom lagens adressat framgår tydligt. Den har vidare fördelen att man slipper skriva in undantagsbestämmelser i lagen för att und- vika dubbelreglering av viss verksamhet. Utredningen gör bedöm- ningen att det i lagen bör anges vilka myndigheters personuppgifts- behandling som regleras av lagen. 7.3.3Vilka myndigheters behandling av personuppgifter ska regleras av lagen? Den nya lagen bör, i likhet med den nuvarande utlänningsdataför- ordningen, enligt utredningens bedömning gälla för Migrations- verkets, , Säkerhetspolisens och utlandsmyndig- heternas personuppgiftsbehandling inom verksamhet enligt utlän- nings- och medborgarskapslagstiftningen. Nästa fråga är om den krets av myndigheter som ska tillämpa utlänningsdatalagen bör utvidgas i förhållande till vad som gäller en- ligt nuvarande reglering. Som framgår av avsnitten 4.3. 4.4, 4.5 och 4.6 finns det utöver , , Säkerhets- En ny lag om behandling av personuppgifter… polisen och utlandsmyndigheterna vissa andra myndigheter som utövar verksamhet som faller inom utlännings- och medborgarskaps- området. Frågan är om utlänningsdatalagen bör omfatta även dessa myndigheters personuppgiftsbehandling. Både förvaltningsdomstolarna och de allmänna domstolarna har verk- samhet som regleras av utlänningslagen eller medborgarskapslagen. En förvaltingsmyndighets beslut enligt utlänningslagen och med- borgarskapslagen som överklagas prövas i regel av migrationsdom- stol (16 kap. UtlL och 26 § medborgarskapslagen). Allmänna domstolar prövar frågor om utvisning på grund av brott efter talan av allmän åklagare (8 a kap. 6 § UtlL). Den verksamhet som domstolarna bedriver på utlännings- och medborgarskapsområdet består av rättskipande verksamhet. All auto- matiserad behandling av personuppgifter i den rättskipande och rättsvårdande verksamheten vid domstolarna regleras i de s.k. Vera-förordningarna: förordningen (2001:639) om registerföring m.m. vid allmänna domstolar med hjälp av automatiserad behand- ling, förordningen (2001:640) om registerföring m.m. vid förvalt- ningsrätt med hjälp av automatiserad behandling, förordningen (2001:641) om registerföring m.m. vid Högsta förvaltningsdom- stolen och kammarrätterna med hjälp av automatiserad behandling och förordningen (2001:642) om registerföring m.m. vid hyres- och arrendenämnder med hjälp av automatiserad behandling. Dom- stolarnas behandling kommer emellertid med all sannolikhet i fram- tiden att regleras i en särskild domstolsdatalag. Ett förslag till dom- stolsdatalag bereds () inom . Den nya domstolsdatalagen kommer sannolikt att gälla vid behand- ling av personuppgifter i de allmänna domstolarnas, de allmänna förvaltningsdomstolarnas samt hyres- och arrendenämndernas rätt- skipande och rättsvårdande verksamhet (se promemorian Ds 2013:10 s. 46 f.). Lagen ska gälla om behandlingen är helt eller delvis auto- matiserad eller sker i register. Domstolarnas behandling av personuppgifter inom verksamhet enligt utlännings- och medborgar- skapslagstiftningen är således redan reglerad, genom de ovan nämnda förordningarna och av en domstolsdata- En ny lag om behandling av personuppgifter… Domstolarnas personuppgiftsbehandling på utlännings- och med- borgarskapsområdet bör därför enligt utredningen falla utanför den kommande utlänningsdatalagens tillämpningsområde. avgör med stöd av 3 kap. 5 § och 5 kap. 20 § UtlL vissa ärenden som rör nationell visering och uppehållstillstånd. I vilka fall kan besluta om visering och uppehålls- tillstånd framgår av föreskrifter om handlägg- ning av ärenden om visering och uppehållstillstånd för diplomater (2012:1). I föreskrifterna framgår att kan be- sluta om visering för bland andra främmande staters beskicknings- medlemmar, konsuler och deras familjemedlemmar. Nationell visering eller uppehållstillstånd som har beviljats av får endast återkallas av (7 kap. 8 § UtlL). Regeringen beslutar vidare vilka kategorier av personer som får ges uppehållstillstånd med tillfälligt skydd enligt 21 kap. 3 § UtlL, utöver dem som omfattas av Europeiska unionens råds beslut. Dessa bestämmelser har dock ännu aldrig tillämpats. bereder härutöver de ärenden som enligt sär- skilda regler ska överklagas till regeringen. Det gäller Migrations- verkets beslut i säkerhetsärenden enligt 27 § medborgarskapslagen och beslut om utvisning, uppehållstillstånd, status- förklaring m.m. i säkerhetsärenden enligt lagen (1991:572) om sär- skild utlänningskontroll. Det saknas särreglering för den personuppgiftsbehandling som utför i ovan angiven verksamhet. Behandlingen av personuppgifter regleras således av personuppgiftslagen. Antalet ansökningar om uppehållstillstånd som prövas av är tämligen omfattande. Det rör sig om ca 1 300 ären- den . Denna ärendehantering innefattar dock inte behandling av känsliga personuppgifter. När det gäller beredning av säkerhetsärenden enligt medborgarskapslagen och lagen om särskild utlänningskon- troll kan konstateras att det rör sig om ett fåtal ärenden . I ärendena förekommer visserligen känsliga personuppgifter, men de En ny lag om behandling av personuppgifter… uppgifter som behandlas elektroniskt behandlas endast i löpande text. De undantag som finns avseende behandling av känsliga person- uppgifter i 15−19 §§ PUL och 8 § personuppgiftsförordningen (1998:1191, PUF) torde därför vara tillräckliga. Sammanfattningsvis gör utredningen bedömningen att Regerings- kansliets behandling av personuppgifter inom utlännings- och med- borgarskapsområdet varken är så omfattande eller av sådan karaktär att särreglering krävs. Denna personuppgiftsbehandling bör således inte falla under utlänningsdatalagens tillämpningsområde. och är skyldiga att hjälpa Polismyn- digheten vid kontrollen av utlänningars inresa eller utresa enligt 9 kap. 1 § UtlL. ska medverka i kontrollverksamhet genom kontroll av och i anslutning till sjötrafiken. När inresekontrollen sköts av särskilt förordnade tulltjänstemän eller tjänstemän vid har de samma befogenheter som en polisman har, se 9 kap. 2 § UtlL.