prop · H503254 · 2018-05-02 00:00:00 — All verksamhet som myndigheten utför faller dock inte in under brottsdatalagens tillämpningsområde. Vid den personuppgiftsbehandling som utför är det i stället syftet med behandlingen som blir avgörande för vilket regelverk som ska tillämpas. verksamhet enligt 3 § utlänningsdatalagen faller under brottsdatalagens tillämpningsområde om den sker för något av de syften som anges i 1 kap. 2 § brottsdatalagen. Som exempel kan nämnas behandling av personuppgifter vid utvisning på grund av brott. Eftersom utvisning är en särskild rättsverkan av brott, som innebär att en straffrättslig påföljd verkställs, faller denna personuppgiftshantering under brottsdatalagens tillämpningsområde. Det blir alltså nödvändigt för myndigheten att bedöma syftet med behandlingen av personuppgifter för att avgöra vilket regelverk som blir tillämpligt. I vissa fall kan samma personuppgiftsbehandling ha två olika syften, varav det ena ligger inom brottsdatalagens tillämpningsområde och det andra utanför. Som regeringen uttalar i prop. 2017/18:232 bör sådana situationer betraktas som två olika behandlingar av personuppgifter som var och en måste ha stöd i och följa gällande regelverk. Regelverken kan då bli tillämpliga (s. 101). Behandling av personuppgifter i samband med gränskontroll kan vara en sådan situation. 2017/18:232 redogör regeringen även i vägledande syfte för ett antal allmänna principer som gäller gränsdragningsfrågor (se prop. 2017/18:232, avsnitt 6.7). Vissa frågor som rör gränsdragningen mellan brottsdatalagen och utlänningsdatalagen behandlas också i författnings- kommentaren, se avsnitt 9. 6.3.3Förhållandet till övrig lagstiftning Regeringens förslag: Utlänningsdatalagen ska inte gälla när personuppgifter behandlas med stöd av lagen om passagerarregister. Dataskyddsförordningens bestämmelser om skadestånd ska tillämpas vid behandling av personuppgifter som sker med stöd av VIS-förordningen, om inte annat följer av den förordningen. Regeringens bedömning: Det behövs inte några särskilda bestämmelser i utlänningsdatalagen om rättelse och radering av personuppgifter som behandlas med stöd av VIS-förordningen. Utlänningsdatalagens avgränsning mot Schengens informationssystem, viseringskodexen och Eurodac-förordningen är förenlig med dataskyddsförordningen och kan behållas. Promemorians förslag och bedömning överensstämmer delvis med regeringens. I promemorian föreslås att det ska införas bestämmelser som motsvarar 28 och 48 §§ personuppgiftslagen beträffande rättelse och skadestånd, som ska gälla för personuppgiftsbehandling enligt VIS- förordningen. Remissinstanserna: Ingen av remissinstanserna invänder mot promemorians förslag och bedömning. Skälen för regeringens förslag och bedömning Schengens informationssystem, viseringskodexen och Eurodac- förordningen För viss behandling av personuppgifter som myndigheterna utför på utlännings- och medborgarskapsområdet finns regler i annan lagstiftning eller i direkt tillämpliga EU-förordningar. För att undvika dubbelreglering och säkerställa att det inte införs reglering som står i strid med dessa EU-förordningar har det i 5 § utlänningsdatalagen gjorts undantag från tillämpningsområdet för behandling av personuppgifter som sker med stöd av vissa andra regelverk. Sådant undantag har bl.a. gjorts för personuppgifter som behandlas med stöd av lagen (2000:344) om Schengens informationssystem, och rådets förordning (EG) nr 810/2009 (viseringskodex) och och rådets förordning (EU) nr 603/2013 (Eurodac-förordningen). Medlemsstaterna har möjlighet att bestämma tillämpningsområdet för de särskilda registerförfattningar som kompletterar dataskyddsförordningen. I detta ingår även att avgränsa tillämpningsområdet på det sätt som gjorts i 5 § utlänningsdatalagen. Liksom promemorian bedömer regeringen att den nuvarande avgränsningen av utlänningsdatalagens tillämpnings- område som kommer till uttryck i 5 § bör finnas kvar. Europeiska unionens råd antog direktiv /82/EG om skyldighet för transportörer att lämna uppgifter om passagerare, det s.k. API-direktivet. I direktivet regleras flygtransportörers skyldighet att översända förhandsinformation om passagerare (API-uppgifter) till behöriga nationella myndigheter. Syftet med direktivet är att förbättra gränskontrollerna och att bekämpa olaglig invandring. Direktivet utgör också ett led i kampen mot terrorism. API-direktivets bestämmelser om transportörers uppgiftsskyldighet har genomförts i genom bestämmelserna i 9 kap. 3 a–f §§ utlänningslagen (2005:716). Därutöver finns en särskild registerförfattning – lagen (2006:444) om passagerarregister – som reglerar hur får behandla de API-uppgifter som transportörerna har fört över till myndigheten. Lagen innehåller bl.a. bestämmelser om ändamålet med behandlingen, utlämnande av uppgifter, direktåtkomst, rättelse och skadestånd. Behandlingen av personuppgifter enligt lagen om passagerarregister utförs delvis i brottsbekämpande syfte, vilket faller års data- skyddsdirektivs och brottsdatalagens tillämpningsområde. Eftersom syftet med lagen även är att förbättra gränskontrollerna faller personuppgiftsbehandlingen emellertid delvis också under dataskydds- förordningens tillämpningsområde. Det finns därför anledning att reglera förhållandet mellan utlänningsdatalagen och lagen om passagerarregister. Detta bör ske genom en bestämmelse i utlänningsdatalagen som klargör att lagen inte gäller för sådan behandling av personuppgifter som utförs med stöd av lagen om passagerarregister. I enlighet med befintlig systematik bör bestämmelsen föras in som en ny punkt i 5 §. och rådets förordning (EG) nr 767/2008 av om informationssystemet för viseringar (VIS) och utbytet mellan medlemsstaterna av uppgifter om viseringar för kortare vistelse (VIS- förordningen) reglerar EU:s gemensamma informationssystem för viseringar. Av artikel 33.3 och artikel 38.2 i VIS-förordningen framgår att den registrerades rätt till skadestånd, korrigering (motsvarande rättelse) och radering ska regleras i medlemsstaternas nationella rätt. För att uppfylla VIS-förordningens krav på nationell reglering finns i 6 § utlänningsdatalagen en bestämmelse som innebär att 28 och 48 §§ personuppgiftslagen om rättelse respektive skadestånd gäller när personuppgifter behandlas med stöd av VIS-förordningen, om inte något annat följer av den förordningen. I övrigt är utlänningsdatalagen inte tillämplig när personuppgifter behandlas med stöd av VIS-förordningen. Eftersom personuppgiftslagen kommer att upphävas måste hän- visningen till den lagens bestämmelser tas bort (se avsnitt 6.3.1). Dataskyddsförordningen innehåller bestämmelser om rättelse (artikel 16) och radering (artikel 17) som kommer att vara direkt tillämpliga vid behandling av personuppgifter med stöd av VIS-förordningen. EU- förordningar jämställs med svensk lag, vilket innebär att det inte behövs några särskilda bestämmelser i utlänningsdatalagen om rättelse och radering av personuppgifter som behandlas med stöd av VIS- förordningen. Dataskyddsförordningens bestämmelser om skadestånd (artikel 82) gäller enligt sin ordalydelse endast för överträdelser av dataskydds- förordningen. Av skäl 146 till förordningen framgår i och för sig att uttrycket behandling som strider mot dataskyddsförordningen även omfattar behandling som strider mot delegerade akter och genomförandeakter som antagits i enlighet med förordningen samt medlemsstaternas nationella rätt som närmare specificerar förordningens bestämmelser. Det framstår emellertid som tveksamt om regleringen om skadestånd i dataskyddsförordningen också kan anses vara direkt tillämplig vid överträdelser av regleringen i VIS-förordningen. Det bör därför införas en hänvisning till dataskyddsförordningens bestämmelser om skadestånd i utlänningsdatalagen. VIS-förordningens krets av skadeståndsberättigade är mer omfattande än motsvarande krets i dataskyddsförordningen, bl.a. eftersom den även innefattar medlemsstater. Detsamma gäller i förhållande till personuppgifts- lagens skadeståndsbestämmelser, som inte heller omfattar medlemsstater. I förarbetena till utlänningsdatalagen (prop. 2015/16:65 s. 45) bedömde regeringen att om ett krav på ersättning framställs av någon som faller utanför bestämmelserna i personuppgiftslagen finns det generella regler om skadestånd i skadeståndslagen (1972:207) som under vissa förutsättningar kan tillämpas. Den ändring som föreslås innebär inte någon ändring i det avseendet. I övrigt bör, på samma sätt som , utlänningsdatalagen inte vara tillämplig när personuppgifter behandlas med stöd av VIS-förordningen. Regeringens förslag: Personuppgifter som behandlas för de primära ändamålen i utlänningsdatalagen ska få behandlas även för andra ändamål, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. Regeringens bedömning: Utlänningsdatalagens ändamåls- bestämmelser är förenliga med dataskyddsförordningen och kan behållas. Promemorians förslag och bedömning överensstämmer i huvudsak med regeringens. I promemorian föreslås att det ska införas en ny bestämmelse som anger att personuppgifter som behandlats enligt 11 och 12 §§ även får behandlas om det behövs för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enligt med artikel 89.1 i dataskyddsförordningen. Det föreslås också att 13 § andra stycket ska kompletteras med en hänvisning till dataskyddsförordningens bestämmelser om finalitetsprincipen. Remissinstanserna: Endast ett fåtal remissinstanser yttrar sig över förslaget och bedömningen. anser att det vore önskvärt med en mer specifik reglering av ändamålsbestämmelserna, där i vart fall vissa ärendetyper anges särskilt. anser även att det saknas anledning att särskilt ange att personuppgiftsbehandling får ske för testverksamhet. Vidare framför att möjligheten att behandla personuppgifter för arkivändamål av allmänt intresse följer direkt av artikel 5.1 b i dataskyddsförordningen och att förslaget i den delen innebär ett införlivande av dataskyddsförordningen som inte är tillåtet. Ambassaden önskar ett förtydligande av hur 11 § 1 är avsedd att tillämpas. Skälen för regeringens förslag och bedömning Utlänningsdatalagen innehåller, i likhet med många andra registerförfattningar, verksamhetsspecifika ändamålsbestämmelser som anger den yttersta ram inom vilken personuppgifter får behandlas. I 11 och 12 §§ utlänningsdatalagen anges de s.k. primära ändamålen, som innebär att myndigheterna får behandla personuppgifter för –handläggning av ärenden eller en myndighets biträde i sådana ärenden i verksamhet som avses i 2 och 3 §§, –kontroll av utlänning i samband med inresa och utresa samt kontroll under vistelsen i , –utförande av arbetsuppgifter som gäller mottagande och bosättning av asylsökande och andra utlänningar, –framställning av statistik, –utförande av testverksamhet, eller –fullgörande av skyldighet att registrera eller på annat sätt dokumentera en personuppgift. får också behandla personuppgifter om det behövs för återsökning av avgöranden, rättsutredningar och annan rättslig information eller information som rör förhållanden i andra länder. 2017/18:254 anges de s.k. sekundära ändamålen, som innebär att personuppgifter som behandlas enligt 11 och 12 §§ även får behandlas när det är nödvändigt för att tillhandahålla information till eller regeringen, till en annan myndighet eller en enskild om uppgifterna lämnas med stöd av lag eller förordning. Under vissa förutsättningar får de även behandlas när det är nödvändigt för att lämna ut information till en utländsk myndighet, ett EU-organ eller mellanfolklig organisation. I 13 § andra stycket föreskrivs att i ett enskilt fall får personuppgifter som behandlas enligt 11 och 12 §§ även behandlas för att tillhandahålla information för något annat ändamål än de som anges i 13 § första stycket, under förutsättning att ändamålet inte är oförenligt med det ändamål som uppgifterna samlades in för. Ändamålsbestämmelser i lagstiftning som reglerar myndigheters personuppgiftsbehandling är en typ av specifika bestämmelser som anpassar tillämpningen av dataskyddsförordningen och säkerställer en laglig och rättvis behandling. Sådana bestämmelser är tillåtna enligt artikel 6.2 och 6.3 i dataskyddsförordningen. I enlighet med artikel 23.2 a i dataskyddsförordningen ska dessutom, när så är relevant, lagstiftning som begränsar tillämpningsområdet för förordningens rättigheter och skyldigheter innehålla specifika ändamålsbestämmelser. Dataskydds- förordningen ger alltså utrymme för att ha bestämmelser om tillåtna ändamål i nationella registerförfattningar. Regeringen bedömer mot denna bakgrund att ändamålsbestämmelserna i utlänningsdatalagen är förenliga med dataskyddsförordningen och kan behållas. För att tydliggöra att bestämmelserna inte innebär något hinder mot vidarebehandling för bl.a. arkivändamål föreslås i det följande dock vissa ändringar i 13 § andra stycket. Det saknas skäl att, såsom och Ambassaden är inne på, specificera ändamålsbestämmelserna ytterligare. Finalitetsprincipen och vidarebehandling av personuppgifter för arkivändamål En allmän dataskyddsrättslig princip är att personuppgifter bara får samlas in för särskilda, uttryckligt angivna och berättigade ändamål. Enligt den s.k. finalitetsprincipen får uppgifterna inte senare behandlas för något annat ändamål som är oförenligt med insamlingsändamålen. Detta kommer till uttryck bl.a. i 9 § första stycket c och d personuppgifts- lagen. Av 9 § andra stycket följer dock att en behandling av person- uppgifter för historiska, statistiska eller vetenskapliga ändamål inte ska ses som oförenlig med de ändamål för vilka uppgifterna samlades in. Arkivering av handlingar innebär att de personuppgifter som ingår i handlingarna vidarebehandlas, dvs. behandlas för ett annat ändamål än det ursprungliga. Av 8 § andra stycket personuppgiftslagen följer dock att lagen inte hindrar att en myndighet arkiverar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. Genom hänvisningen i 8 § första stycket 2 utlänningsdatalagen gäller detta även inom utlänningsdatalagens område. Det är angeläget att lagens förhållande till arkivreglerna förblir detsamma även när person- uppgiftslagen upphör att gälla. Myndigheternas arkivbildning är av vikt för att tillgodose behovet av information för rättskipningen och förvaltningen samt forskningens behov. Att allmänna handlingar bevaras hos myndigheterna är även en förutsättning för att bl.a. offentlighets- principen ska kunna utnyttjas. När dataskyddsförordningen börjar tillämpas kommer principerna i 9 § första stycket c och d personuppgiftslagen att följa av artikel 5.1 b i förordningen. Enligt artikeln ska personuppgifter samlas in för särskilda, uttryckligt angivna och berättigade ändamål och inte senare behandlas på ett sätt som är oförenligt med dessa ändamål. Ytterligare behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1 ska inte anses vara oförenlig med de ursprungliga ändamålen. Av artikel 89.1 framgår att behandling för något av dessa ändamål ska omfattas av lämpliga skyddsåtgärder för den registrerades rättigheter och friheter. Skyddsåtgärderna ska säkerställa att tekniska och organisatoriska åtgärder har införts för att se till att särskilt principen om uppgiftsminimering iakttas. Dataskyddslagen innehåller inte någon motsvarighet till 8 § andra stycket första meningen personuppgiftslagen. Skälet till det är att den behandling av personuppgifter som myndigheter utför när de i enlighet med föreskrifter om arkiv arkiverar sina handlingar utgör en vidarebehandling som sker för arkivändamål av allmänt intresse. Behandlingen ska därmed enligt artikel 5.1 b inte anses som oförenlig med de ursprungliga ändamålen. Det krävs då enligt skäl 50 inte någon annan rättslig grund än den med stöd av vilken insamlingen av personuppgifter medgavs (prop. 2017/18:105 s. 111). Ändamålsbestämmelserna bör kompletteras med en bestämmelse om finalitetsprincipen Ändamålsbestämmelserna i utlänningsdatalagen innebär att person- uppgifter får behandlas för vissa särskilt angivna ändamål och är avsedda att vara uttömmande. Den möjlighet till vidarebehandling som finns i 13 § avser endast tillhandahållande av information, och omfattar alltså inte sådan vidarebehandling av personuppgifter som sker för arkivändamål. När 8 § andra stycket personuppgiftslagen, som klargör att dataskyddsregleringen inte hindrar att en myndighet arkiverar och bevarar allmänna handlingar, upphör att gälla finns det en risk att utlänningsdatalagens uttömmande ändamålsbestämmelser kan uppfattas som ett hinder mot att behandla personuppgifter för arkivändamål. Som anförs i promemorian bör det därför klargöras att bestämmelserna i lagen inte hindrar att personuppgifter vidarebehandlas för arkivändamål av allmänt intresse. I promemorian föreslås att ändamålsbestämmelserna i utlännings- datalagen ska kompletteras med en ny bestämmelse som anger att personuppgifter som behandlats enligt 11 och 12 §§ även får behandlas om det behövs för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enligt med artikel 89.1 i dataskyddsförordningen. Detta bedöms utgöra ett sådant införlivande av dataskyddsförordningen som är tillåtet enligt skäl 8 till förordningen. Regeringen anser emellertid att kompletteringen av den sekundära ändamålsbestämmelsen lämpligen bör ta sin utgångspunkt i att 2017/18:254 finalitetsprincipen gäller och att behandling som är förenlig med denna är tillåten. Bestämmelsen i 13 § andra stycket bör därför ändras på så vis att det blir tillåtet att behandla personuppgifter för andra ändamål än de som uttryckligen anges i lagen, under förutsättning att uppgifterna inte behandlas på ett sätt som är oförenligt med det ändamål för vilket uppgifterna samlades in. En sådan utformning av ändamåls- bestämmelserna ligger i linje med hur många andra registerförfattningar är utformade och säkerställer att vidarebehandling kan ske för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med regleringen i dataskyddsförordningen. Lösningen tillgodoser även advokatsamfunds synpunkter. En uttrycklig hänvisning till dataskydds- förordningen, såsom föreslås i promemorian, är inte nödvändig. En konsekvens av förslaget är att utlänningsdatalagens ändamåls- bestämmelser kan betraktas som uttömmande, vilket innebär att det kan bli mindre tydligt för myndigheter och enskilda vilken personuppgiftsbehandling som får förekomma med stöd av utlänningsdatalagen. Regeringen bedömer dock att finalitetsprincipen i sig innebär ett integritetsskydd eftersom den förbjuder ytterligare behandling av personuppgifter som är oförenlig med ursprungs- ändamålen. Den föreslagna ordningen är enligt regeringen godtagbar ur integritetssynpunkt. Skillnaden mellan promemorians och regeringens förslag lär sannolikt vara mycket begränsad. De primära ändamålsbestämmelserna i 11 och 12 §§ utlänningsdatalagen, som reglerar myndigheternas möjlighet att samla in personuppgifter, är alltjämt uttömmande. Myndigheterna kommer alltså att ha samma möjligheter och begränsningar när det gäller att samla in personuppgifter som . Liksom tidigare kommer det också att finnas en möjlighet att vidarebehandla personuppgifter i syfte att tillhandahålla information för andra ändamål än de som anges i 13 § första stycket, under förutsättning att ändamålet inte är oförenligt med det ändamål som uppgifterna samlades in för. Regeringens förslag: Bestämmelsen i utlänningsdatalagen om behandling av känsliga personuppgifter ska hänvisa till EU:s dataskyddsförordning i stället för till personuppgiftslagen. Regeringens bedömning: Det är möjligt att i övrigt behålla bestämmelserna i utlänningsdatalagen om behandling av känsliga personuppgifter och om register över fingeravtryck Promemorians förslag och bedömning överensstämmer med Remissinstanserna: Endast ett fåtal remissinstanser yttrar sig särskilt över förslaget och bedömningen. skyddsnämnden efterfrågar en analys av vilket behov de myndigheter tillämpar utlänningsdatalagen har av att behandla genetiska uppgifter, och framhåller att om myndigheterna inte har ett sådant behov bör behandling av sådana uppgifter inte tillåtas. är tveksam till att det går att förlita sig på de tidigare bedömningar som lagstiftaren gjort beträffande känsliga personuppgifter, med beaktande av att kategorin känsliga personuppgifter nu har utökats samt att utvecklingen av den digitala informationshanteringen förändras Datainspektionen efterfrågar överväganden som visar att kravet på proportionalitet är uppfyllt beträffande de nya personuppgifts- Inspektionen anser även att det bör göras en hänvisning till dataskyddsförordningens artikel för att klargöra med vilket rättsligt stöd behandlingen av känsliga personuppgifter sker. samfund invänder mot promemorians beskrivning av vad som kan anses utgöra en ansiktsbild som entydigt identifierar en person. Skälen för regeringens förslag och bedömning Utlänningsdatalagens bestämmelser om känsliga personuppgifter Känsliga personuppgifter förekommer i stor utsträckning i den verksamhet som bedrivs på utlännings- och medborgarskapsområdet. förarbetena till utlänningsdatalagen bedömde regeringen att de undantag för behandling av känsliga personuppgifter som finns i personuppgifts- lagen och personuppgiftsförordningen inte är tillräckliga för att täcka all nödvändig behandling av känsliga personuppgifter inom de aktuella En reglering av behandlingen av känsliga personuppgifter borde därför finnas i utlänningsdatalagen (prop. 2015/16:65 s. 79). Känsliga personuppgifter definieras i 13 § personuppgiftslagen som personuppgifter som rör hälsa eller sexualliv och personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening. utlänningsdatalagen får sådana känsliga personuppgifter som anges i 13 § personuppgiftslagen endast behandlas för de ändamål som anges i 11 § 1–4 och 6 samt 13 § utlänningsdatalagen, under förutsättning att upp- gifterna är absolut nödvändiga för syftet med behandlingen. får känsliga personuppgifter behandlas i löpande text för återsökning av information som rör förhållanden i andra länder, om uppgifterna är absolut nödvändiga för att fullgöra arbetsuppgifter i sådan verksamhet som faller under utlänningsdatalagens tillämpningsområde. serna om i vilka situationer känsliga personuppgifter får behandlas är Känsliga personuppgifter får alltså inte behandlas för utförande av testverksamhet (jfr 11 § 5 utlänningsdatalagen) eller för återsökning av avgöranden, rättsutredningar eller annan rättslig information (jfr 12 § 1 utlänningsdatalagen). I förarbetena till utlännings- datalagen framhölls att rekvisitet absolut nödvändigt avsåg att markera att behandlingen ska ske med restriktivitet och att behovet att behandla den känsliga uppgiften ska prövas noga i det enskilda fallet – både i samband med att uppgiften samlas in och vid senare behandling av redan insamlade uppgifter (a. prop. s. 81). Enligt 15 § andra stycket 1 utlänningsdatalagen har regeringen rätt att meddela ytterligare föreskrifter om inskränkningar av möjligheten att behandla känsliga Några sådana bestämmelser finns inte i utlännings- Dataskyddsförordningens och dataskyddslagens bestämmelser om känsliga personuppgifter Dataskyddsförordningen innehåller i likhet med dataskydds- direktiv och personuppgiftslagen ett principiellt förbud mot att behandla vissa särskilda kategorier av personuppgifter (artikel 9.1).