6 
  
 Utlänningsdatalag 
  
 6.1 
  
 Lagens namn 
  
 Utredningens förslag 
 : Lagen ges namnet  
  
 utlänningsdatalag 
  
 . 
  
 Utredningen har övervägt att föreslå namnet  
 lag om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskaps- lagstiftningen  
 eftersom det namnet ger en bra beskrivning av vad lagen handlar om. Den föreslagna lagen kommer emellertid att dagligen tillämpas av ett stort antal tjänstemän vid flera myndig- heter. Ett kortare namn är därför lämpligare. De personuppgifter som kommer att behandlas enligt lagen rör i de allra flesta fall utländska medborgare eller statslösa, dvs. utlänningar.  
 Utlännings- datalag  
 är således, enligt utredningen, ett relevant och i övrigt lämpligt namn på den föreslagna lagen. 
  
 6.2 
  
 Tillämpningsområde 
  
 Utredningens förslag 
 : Lagen skall tillämpas vid behandling av personuppgifter i verksamhet enligt utlännings- och medborgar- skapslagstiftningen som bedrivs av i lagen angivna myndigheter. Verksamhetsområdet preciseras i lagen. Behandling som utförs av annan myndighet än någon av de i lagen nämnda faller utanför tillämpningsområdet. Detsamma gäller behandling som utförs av enskilda. 
 Av verksamhetspreciseringen framgår bl.a. att behandling av personuppgifter i myndigheternas internadministrativa verk- samhet samt i Migrationsverkets respektive Integrationsverkets hantering av förenings- och projektbidrag inte omfattas av lagens tillämpningsområde. 
 139 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 6.2.1 
  
 Inledning 
  
 Utredningens direktiv innehåller ingen närmare precisering av vad som skall avses med verksamhet enligt utlännings- och medborgar- skapslagstiftningen. Dock sägs att det är Migrationsverket, Utlän- ningsnämnden, Integrationsverket, Rikspolisstyrelsen och polis- myndigheterna samt utlandsmyndigheterna som bedriver sådan verksamhet. Det är också dessa myndigheters behandling av personuppgifter som omfattas av utlänningsdataförordningen. Direktiven innehåller emellertid inte någon uttalad begränsning av utredningsuppdraget till att endast omfatta den behandling av personuppgifter som nämnda myndigheter utför. 
 Som belysts i avsnitt 3 är ytterligare ett antal statliga myndig- heter inbegripna i verksamhet som utförs med stöd av utlännings- lagen eller medborgarskapslagen. Dessa myndigheter är, förutom  
 regeringen (Regeringskansliet), Arbetsmarknadsstyrelsen  
 och  
 länsarbets- nämnder 
 , som beviljar vissa arbetstillstånd,  
 allmänna domstolar,  
 som prövar frågor om utvisning på grund av brott efter talan av allmän åklagare,  
 allmänna förvaltningsdomstolar 
 , som prövar över- klagade beslut om tagande i förvar m.m.,  
 Kustbevakningen  
 och  
 Tullverket 
 , som biträder polisen i utlänningskontrollen, samt  
 läns- styrelser 
 , som prövar vissa anmälningar om svenskt medborgarskap och som har att anmäla till Rikspolisstyrelsen om de finner anledning anta att ett beslut om utvisning enligt lagen (1991:572) om särskild utlänningskontroll bör meddelas. 
 Endast Migrationsverket och Utlänningsnämnden kan emellertid sägas ha verksamhet enligt utlänningslagen och medborgarskaps- lagen som central myndighetsuppgift. Vad gäller verksamhets- området – verksamhet enligt utlännings- och medborgarskapslag- stiftningen – innehåller utlänningsdataförordningen en definition som innefattar också viss verksamhet utöver den som bedrivs enligt utlänningslagen eller medborgarskapslagen eller till lagarna anslu- tande förordningar. Denna verksamhet har beskrivits översiktligt i avsnitt 3.3. Även här är ytterligare myndigheter verksamma, nämligen  
 kommunala myndigheter 
 , som tar emot och ger asylsökan- de bistånd,  
 Centrala studiestödsnämnden 
 , som handlägger ärenden om hemutrustningslån till flyktingar m.fl., samt  
 landstingen 
 , som enligt en överenskommelse med staten tillhandahåller utlänningar vid mottagningsförläggningar hälso- och sjukvård. Vidare kan  
 enskilda  
 på Migrationsverkets uppdrag driva mottagningsförlägg- ningar för asylsökande. 
 140 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 Slutligen kan påpekas att  
 Integrationsverket  
 inte bedriver någon verksamhet enligt utlänningslagen eller medborgarskapslagen. 
 Det sagda innebär att det finns anledning att närmare diskutera hur utlänningsdatalagens tillämpningsområde skall avgränsas i fråga om  
 dels  
 vems behandling av personuppgifter som bör regleras i lagen,  
 dels  
 vilken verksamhet lagen skall tillämpas på. Frågorna hör förvisso ihop men behandlas i det följande var för sig. 
 Först bör emellertid framhållas att utredningens utgångspunkt är att tillämpningsområdet skall begränsas till det som påkallar sär- reglering i förhållande till personuppgiftslagens regler. När det gäller en allmän motivering till varför en särreglering över huvud taget bör införas för verksamhetsområdet hänvisas till avsnitt 5.2. 
 En ytterligare utgångspunkt – som också framhålls i utred- ningens direktiv – är att lagen inte leder till överlappande lagstift- ning i den bemärkelsen att mer än en författning är tillämplig beträffande samma behandling av personuppgifter. En dylik dubbel- reglering medför tillämpningssvårigheter och ökar risken för ett ologiskt och motsägelsefullt regelverk, vilket givetvis måste undvikas. 
  
 6.2.2 
  
 Vems behandling av personuppgifter skall regleras av lagen? 
  
 Utredningen har övervägt om det skulle vara ändamålsenligt att i lagen inte uttryckligen ange vilket eller vilka subjekt som lagen är tillämplig på utan att låta tillämpningsområdet avgränsas med enbart en definition av verksamhetsområdet. En fördel härmed är att lagen inte behöver ändras vid organisatoriska förändringar eller överföringar av arbetsuppgifter från en myndighet till en annan. Modellen är dock förknippad med betydande nackdelar, främst i det att en mängd undantagsbestämmelser skulle krävas för att undvika överlappande lagstiftning, något som kommer att framgå i det följande. En sådan lagstiftningsteknik är opedagogisk och otymp- lig. Modellen skulle även avvika från flertalet nu gällande särför- fattningar för behandling av personuppgifter i offentlig förvaltning, i vilka det som regel anges eller annars klart framgår vilket eller vilka organ som har att tillämpa författningen, se t.ex. 1 § lagen (1998:938) om behandling av personuppgifter om totalförsvars- pliktiga och 1 § lagen (2001:184) om behandling av uppgifter i kronofogdemyndigheternas verksamhet. Övervägande skäl talar 
 141 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 således för att det i lagen uttryckligen anges vems behandling av personuppgifter lagen reglerar. 
 Som nyss sagts reglerar utlänningsdataförordningen behandling av personuppgifter som företas av Migrationsverket, Utlännings- nämnden, Integrationsverket, Rikspolisstyrelsen och polismyndig- heterna samt utlandsmyndigheterna. De fortsatta övervägandena tar sitt avstamp i utlänningsdataförordningen med ett resonemang om huruvida det finns anledning att inskränka eller utvidga kretsen vars behandling av personuppgifter lagen skall omfatta. 
 Vad gäller den första frågan, om man bör  
 inskränka  
 tillämp- ningsområdet i förhållande till utlänningdataförordningen, kan till en början konstateras att  
 Migrationsverkets  
 behandling av person- uppgifter självfallet bör regleras av den nya lagen. Verket behandlar i sin verksamhet en synnerligen stor mängd i hög grad integritets- känsliga personuppgifter om främst utlänningar. Särreglering är påkallad i alla de avseenden som i avsnitt 5.2 angetts som skäl för en sådan reglering. Även  
 utlandsmyndigheternas  
 behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskaps- lagstiftningen är sammantaget omfattande och integritetskänslig och påkallar därför en särreglering. 
 Av samma skäl bör  
 Utlänningsnämndens  
 behandling av person- uppgifter inom verksamhetsområdet särregleras. Det pågående reformarbetet om bl.a. ändrad instansordning innebär visserligen att Utlänningsnämndens verksamhet troligen kommer att upphöra. När detta kan komma att ske är dock i nuläget oklart. Under alla förhållanden kommer utlänningsdatalagen att kunna träda i kraft före en eventuell organisationsförändring. Utlänningsnämndens behandling av personuppgifter bör därför regleras i lagen. 
 Det kan här inflikas att det i den tidigare nämnda lagråds- remissen Ny instans- och processordning i utlänningsärenden föreslogs att Utlänningsnämndens verksamhet skall tas över av vissa länsrätter och en kammarrätt. Dessa domstolar omfattas av förordningen (2001:640) om registerföring m.m. vid länsrätt med hjälp av automatiserad behandling respektive förordningen (2001:641) om registerföring m.m. vid Regeringsrätten och kammar- rätterna med hjälp av automatiserad behandling. Båda förord- ningarna gäller vid automatiserad behandling av personuppgifter i domstolarnas rättskipning eller rättsvårdande verksamhet. Domstolarna omfattas vidare av de lagförslag om behandling av personuppgifter vid bl.a. allmänna förvaltningsdomstolar som Domstolsdatautredningen lämnat i betänkandet Informations- 
 142 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 hantering och behandling av uppgifter vid domstolar – En rättslig översyn (SOU 2001:100). 
 När det gäller  
 Integrationsverket  
 har det i kartläggningsarbetet (avsnitt 4) framkommit att verket behandlar en stor mängd mer eller mindre integritetskänsliga personuppgifter om utlänningar i sin handläggning av ärenden om ersättning till kommuner och landsting för flyktingmottagande samt i sitt arbete med att träffa överenskommelser med kommuner om mottagande av skydds- behövande m.m. De allmänna argumenten för särreglering i för- hållande till personuppgiftslagen (se avsnitt 5.2) motiverar därför att Integrationsverket skall omfattas av lagen. 
 Vad därefter gäller  
 Rikspolisstyrelsens  
 och  
 polismyndigheternas  
 behandling av personuppgifter i verksamhet enligt utlänningslagen är situationen mer tveksam. Detta hänger samman med att polisens behandling av personuppgifter i stor utsträckning regleras av polis- datalagen (1998:622). 
 Polisdatalagen – som utgår från personuppgiftslagen och endast innehåller de särbestämmelser som bedömts som nödvändiga – tillämpas vid behandling av personuppgifter i polisens verksamhet för att 1) förebygga brott och andra störningar av den allmänna ordningen och säkerheten, 2) övervaka den allmänna ordningen och säkerheten, hindra störningar därav samt ingripa när sådana har inträffat eller 3) bedriva spaning och utredning i fråga om brott som hör under allmänt åtal (1 § polisdatalagen). Verksamheten utgör det som brukar kallas den egentliga polisverksamheten och är identisk med regleringen i 2 §  
 1–3 
  polislagen (1984:387). Till poli- sens uppgifter hör vidare att lämna allmänheten skydd, upplys- ningar och annan hjälp, när sådant bistånd lämpligen kan ges av polisen samt att fullgöra den verksamhet som ankommer på polisen enligt särskilda bestämmelser (2 § 4 och 5 polislagen). 
 I polisens övervakningsverksamhet enligt 2 § 2 polislagen ingår gränsövervakning som en speciell övervakningsform. Enligt äldre förarbeten till polislagen (se 1975 års polisutrednings betänkande Polislagen, SOU 1979:6 s. 63 f.) syftar gränsövervakningen främst till att hindra spioneri, varusmuggling och obehörigt överskridande av landets gränser. Polisen sägs här svara för passkontroll och den övervakning i övrigt som förutsätts i utlänningslagstiftningen. I polisens verksamhet enligt utlänningslagstiftningen brukar man kalla den kontroll som sker i samband med att utlänningar reser in i eller ut ur Sverige för den  
 yttre utlänningskontrollen  
 och den 
 143 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 kontroll som sker under utlänningens vistelse i Sverige för den  
 inre utlänningskontrollen. 
  
 I polisens verksamhet enligt 2 § 5 polislagen ingår den s.k. polismyndighetsverksamheten. Denna avser åligganden som poli- sen, vid sidan av sina huvuduppgifter, har inom området för allmän förvaltning enligt särskilda författningsbestämmelser. En del av dessa åligganden innefattar handläggning av ärenden eller biträde åt myndigheter när det exempelvis gäller interimistiska åtgärder vid administrativa tvångsingripanden. 
 Gränsen mellan polisens olika uppgifter enligt 2 §  
 1–5 
  polislagen är emellertid ingalunda skarp (se bl.a. Savage – Mason, Polis- lagen En kommentar, 1998, 3 uppl. s. 31) vilket medför vissa problem när det gäller att avgöra om en behandling av person- uppgifter regleras av polisdatalagen. 
 I propositionen Polisens register (prop. 1997/98:97 s. 99) fram- höll regeringen att den polisverksamhet som polisdatalagen skall tillämpas på inte omfattas av dataskyddsdirektivets tillämpnings- område. I Polisdatautredningens betänkande Behandling av person- uppgifter i polisens verksamhet (SOU 2001:92) föreslås en ny polisdatalag med samma tillämpningsområde såvitt nu är i fråga som den nu gällande polisdatalagen. I betänkandet betonas att polisverksamhet enligt 2 §  
 1–3 
  polislagen inte omfattas av dataskyddsdirektivet och att det är olämpligt att låta den nya lagen vara tillämplig vid behandling av personuppgifter i polisens verksamhet enligt 2 § 4 och 5 polislagen med hänsyn till att det är tveksamt om dessa verksamheter kan anses undantagna från direktivets tillämpningsområde (a.a. s. 157). 
 Av det sagda torde enligt utredningen den slutsatsen kunna dras att behandling av personuppgifter inom polisen (eller av de av polisen särskilt förordnade gränskontrollanterna) som föranleds av polisens yttre utlänningskontroll i allt väsentligt regleras av polis- datalagen. Likaså omfattar polisdatalagen polisens behandling av personuppgifter vid verksamhet enligt lagen om särskild utlän- ningskontroll, som ju gäller utvisning av utlänning av hänsyn till rikets säkerhet eller om det kan befaras att utlänningen kommer att begå eller medverka till brottslig gärning som innefattar våld, hot eller tvång för politiska syften. Detsamma kan sägas om Riks- polisstyrelsens verksamhet i s.k. säkerhetsärenden enligt medborgar- skapslagen. 
 När det gäller polisens behandling av personuppgifter inom den inre utlänningskontrollen är det enligt utredningen inte lika säkert 
 144 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 att den i sin helhet omfattas av polisdatalagens tillämpningsområde. Den inre utlänningskontrollen syftar bl.a. till efterspaning av utlänningar beträffande vilka det finns ett avvisnings- eller utvisningsbeslut. Dessutom innefattar kontrollen bl.a. övervakning av att utlänningar inte arbetar i landet utan erforderligt arbets- tillstånd. Den sist nämnda kontrollen kan avse utlänningar som rest in i och vistas i Sverige i behörig ordning, vilket enligt utredningen medför att det kan sättas i fråga om verksamheten utgör sådan gränsövervakning som innefattas i polisverksamhet enligt 2 § 2 polislagen. Polisens verksamhet när det gäller verkställighet av beslut om förvar, avvisning och utvisning samt polismyndig- heternas beslutsfattande om nödfallsviseringar m.m. utgör vidare polismyndighetsverksamhet enligt 2 § 5 polislagen, som faller utanför polisdatalagen tillämpningsområde. 
 Polisens verksamhet enligt utlänningslagstiftningen har i många fall en nära anknytning till verksamhet som omfattas av gemen- skapsrätten och därmed av dataskyddsdirektivet. Det kan t.ex. påpekas att kontrollen vid passage av  
 EU-medlemsstaternas 
  yttre gränser numera ingår i gemenskapssamarbetets första pelare (se avsnitt 3.1), varför det kan ifrågasättas om behandling av person- uppgifter ens i samband med den yttre utlänningskontrollen verkligen faller utanför dataskyddsdirektivets tillämpningsområde. 
 I förarbetena till den nu gällande polisdatalagen anförde rege- ringen att den inte kunde se att det finns något behov av särregler för polisens handläggning av polismyndighetsärenden eller annan polisverksamhet enligt 2 § 4 och 5 polislagen (prop. 1997/98:97 s. 99). Samma bedömning har Polisdatautredningen gjort i sitt nyss nämnda betänkande (SOU 2001:92 s. 156). 
 Med tanke på redogörelsen i det föregående kan det således konsta- teras att en del av polisens verksamhet enligt utlänningslagstift- ningen faller utanför polisdatalagen och för den delen även lagen (2000:344) om Lucas informationssystem (som bl.a. reglerar behandling av uppgifter om utlänning som Rikspolisstyrelsen skall införa i spärrlistan för personer som skall nekas tillträde eller uppehållstillstånd i Schengenstaterna). I den verksamheten före- kommer en inte obetydlig behandling av personuppgifter. Det rör sig dels om personuppgifter som polisen själv insamlar och be- handlar, dels om personuppgifter som utlämnas från företrädesvis Migrationsverket eller Utlänningsnämnden. 
 Ett exempel kan nämnas som belyser problem som kan uppstå i förhållande till personuppgiftslagen. Polisen behöver i många fall 
 145 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 snabb information om sådana känsliga personuppgifter som etnici- tet och psykisk eller fysisk hälsa när den bistår myndigheterna med att verkställa ett beslut om tagande i förvar eller när polisen har övertagit ett verkställighetsärende avseende avvisning eller utvisning. Enligt utredningens mening är det rimligt och effektivitets- främjande att polisen kan få del av sådan information. Av naturliga skäl kan polisen inte inhämta samtycke från vederbörande till den fortsatta behandlingen av personuppgifterna som sker efter det att informationen har överförts till polisen. Personuppgiftslagen och personuppgiftsförordningen ger därmed inte en tillfredsställande reglering eftersom ingen undantagsbestämmelse från lagens förbud mot behandling av de känsliga personuppgifterna är tillämplig på polisens behandling i en situation som denna. Inte heller gäller, som tidigare sagts, polisdatalagen eller någon annan motsvarande lag. En särreglering behövs alltså enligt utredningens mening. 
 Ett sätt att införa särregleringen är att föreslå ändringar i polis- datalagens bestämmelse om vilken polisverksamhet den lagen är tillämplig på. För en sådan lösning talar framför allt att det för polisens del är mera lätthanterligt med en reglering av den egna myndighetens behandling av personuppgifter samlad i en lag. Exempelvis skulle i 1 § första stycket polisdatalagen kunna tilläggas en punkt 4 av följande lydelse.  
 ...fullgöra uppgifter enligt utlännings- lagstiftningen. 
  
 Häremot talar emellertid att behandling av personuppgifter i frågor som otvetydigt faller under dataskyddsdirektivets tillämp- ningsområde därmed införs i polisdatalagen, vilket inte är förenligt med den inställning som regeringen uttryckt i förarbetena till polisdatalagen. Enligt utredningens mening väger detta argument mot en ändring av polisdatalagen tyngre än de skäl som talar för en ändring. Utredningen föreslår därför att Rikspolisstyrelsens och polismyndigheternas nu berörda behandling av personuppgifter i verksamhet enligt utlänningslagstiftningen regleras i utlännings- datalagen. 
 I syfte att undvika överlappande lagstiftning bör vidare i utlän- ningsdatalagen införas en regel som från lagens tillämpningsområde utesluter behandling av personuppgifter som regleras av polis- datalagen. Även behandling av personuppgifter enligt lagen om Lucas informationssystem bör ha uttryckligt företräde framför utlänningsdatalagen i händelse av en kollision. 
 När det så gäller frågan om kretsen av dem som skall tillämpa utlänningsdatalagen i stället bör  
 utvidgas  
 i förhållande till utlän- 
 146 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 ningsdataförordningen kan till en början konstateras att det saknas särreglering av den personuppgiftsbehandling som  
 Regeringskansliet 
  
 – i egenskap av beredare av regeringsärenden – måste utföra i samband med regeringens prövning av enskilda ärenden enligt utlänningslagen, medborgarskapslagen och lagen om särskild utlän- ningskontroll. Personuppgifter som behandlas i dessa ärenden är ofta av mycket integritetskänslig karaktär. Sammantaget rör det sig om en relativt omfattande verksamhet. Det är mot den bakgrunden inte tillfredsställande att Regeringskansliets behandling enbart sker med stöd av personuppgiftslagen. Övervägande skäl talar därför för att även Regeringskansliet bör tillämpa utlänningsdatalagen i dessa ärenden. 
 Härutöver har det i utredningens arbete inte framkommit behov av att låta någon eller några ytterligare myndigheters behandling av personuppgifter infogas i tillämpningsområdet. Skälen för denna bedömning utvecklas i det följande. 
 Som tidigare sagts omfattas de allmänna förvaltningsdomstolarna av gällande registerförordningar samt av en väntad lag om behand- ling av personuppgifter i de allmänna förvaltningsdomstolarnas verksamhet (SOU 2001:100). 
 Även några av de andra handläggande myndigheter som nämnts tidigare (avsnitt 6.2.1) omfattas av särreglering. De allmänna dom- stolarna omfattas av förordningen (2001:639) om registerföring m.m. vid allmänna domstolar med hjälp av automatiserad behandling. Domstolsutredningen har föreslagit en lag om behandling av personuppgifter vid allmän domstol (SOU 2001:100). Arbets- marknadsstyrelsens och länsarbetsnämndernas hantering av per- sonuppgifter i samband med frågor om arbetstillstånd omfattas av lagen (2002:546) om behandling av personuppgifter i den arbets- marknadspolitiska verksamheten som trädde i kraft den 1 augusti 2002 (se prop. 2001/02:144 s. 18). Kommunernas behandling av personuppgifter vid handläggning av ärenden om introduktions- ersättning för flyktingar och vissa andra utlänningar och ärenden om bistånd enligt lagstiftning om mottagande av asylsökande m.fl. samt i verksamhet hos kommunal invandrarbyrå regleras av lagen (2001:454) om behandling av personuppgifter inom socialtjänsten. 
 Centrala studiestödsnämndens behandling av personuppgifter vid handläggning av ärenden om hemutrustningslån till flyktingar och vissa andra utlänningar är i viss mån redan reglerad (se avsnitt 3.3). En allmän översyn av om behandlingen av personuppgifter i 
 147 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 nämndens verksamhet skall särregleras i lag görs för närvarande av Utbildningsdepartementet (se prop. 2000/01:129 s. 69). 
 Något behov av särreglering av övriga myndigheters behandling av personuppgifter inom verksamhetsområdet har inte framkom- mit. Länsstyrelsernas behandling av personuppgifter vid anmäl- ningar om svenskt medborgarskap är varken med hänsyn till sin omfattning eller integritetskänslighet sådan att den bör regleras i lagen. Länsstyrelsernas anmälningsplikt enligt lagen om särskild utlänningskontroll avser i praktiken ytterst få fall och motiverar inte att länsstyrelserna innefattas i den föreslagna lagens tillämp- ningsområde. Eventuella anmälningar bör rimligtvis kunna hanteras med sådan manuell behandling av personuppgifter som inte omfattas av personuppgiftslagens tillämpningsområde utan att länsstyrelsernas effektivitet påverkas negativt. 
 Det är tveksamt om Kustbevakningen och Tullverket när de bistår polisen vid yttre eller inre utlänningskontroll över huvud taget behandlar personuppgifter på ett sätt som omfattas av per- sonuppgiftslagens tillämpningsområde. I vart fall finns ingen anledning att särreglera den behandling som måhända förekommer genom att infoga den i lagförslaget. 
 Slutligen bör framhållas att, som tidigare nämnts, enskilda kan driva mottagningsförläggningar (även om just för närvarande inga förläggningar drivs av enskilda) och att de i den verksamheten torde behöva behandla personuppgifter. Något behov av att med anledning härav komplettera eller ersätta personuppgiftslagens regler har emellertid inte framkommit i utredningens kartlägg- ningsarbete. De möjligheter till behandling av känsliga person- uppgifter utan den registrerades samtycke som kommer att föreslås i det följande bör vidare inte utan starka skäl utsträckas till andra än myndigheter. Övervägande skäl talar därför för att utelämna enskildas behandling av personuppgifter från lagens tillämpnings- område. 
 Det kan i sammanhanget inflikas att man på mottagningsförlägg- ningar som drivs av enskilda ofta torde kunna behandla personupp- gifter utan den enskildes samtycke med stöd av 10 § d person- uppgiftslagen. Där föreskrivs att personuppgifter får behandlas om det är nödvändigt för att en arbetsuppgift av allmänt intresse skall kunna utföras. 
 Sammanfattningsvis föreslås således endast den ändringen i förhållande till vad utlänningsdataförordningen stadgar att Regerings- kansliet fogas till den krets som tillämpar utlänningsdatalagen. 
 148 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 6.2.3 
  
 Verksamhetsområdet 
  
 6.2.3.1 
  
 Verksamhet som lagen skall tillämpas på 
  
 Regeringskansliets, Migrationsverkets, Utlänningsnämndens, Riks- polisstyrelsens och polismyndigheternas samt utlandsmyndigheter- nas behandling av personuppgifter i verksamhet enligt utlännings- lagen och medborgarskapslagen med anslutande förordningar skall självfallet omfattas av lagens tillämpningsområde, dock för polisens del endast i den mån någon annan särskild registerförfattning inte är tillämplig. Integrationsverket bedriver visserligen ingen verk- samhet enligt nu nämnda författningar. Verket har dock, som utredningen strax återkommer till, vissa näraliggande uppgifter. Lagen skall självfallet också omfatta utlandsmyndigheternas biträde med utredning i utlänningsmyndigheters enskilda utlännings- och medborgarskapsärenden. Denna verksamhet utförs med stöd av förordningen (1992:247) med instruktion för utrikesrepresentatio- nen. 
 Frågan är huruvida någon ytterligare verksamhet, som inte direkt omfattas av utlänningslagen och medborgarskapslagen, bör ingå i den nya lagens tillämpningsområde. Detta är ytterst en avvägnings- fråga. Enligt utredningen bör till lagens tillämpningsområde också hänföras sådan verksamhet som här berörda myndigheter bedriver och som får anses ha en närmare anknytning till utlännings- eller medborgarskapslagstiftningen och som  
 dessutom  
 motiverar sär- reglering i förhållande till personuppgiftslagen på grund av sin integritetskänsliga karaktär eller för att möjliggöra viktig behand- ling av personuppgifter som inte kan utföras enbart med stöd av personuppgiftslagen. 
 Inledningsvis kan konstateras att polisen inte bedriver någon övrig verksamhet som uppfyller båda dessa kriterier. När det gäller utlandsmyndigheternas finns det vissa myndigheter som represen- terar andra Schengenstater i tredje land. De myndigheterna beviljar viseringar till den representerade staten. Även den verksamheten bör omfattas av lagens tillämpningsområde. 
 I fråga om utlandsmyndigheterna, Rikspolisstyrelsen och polis- myndigheterna är det alltså endast deras behandling av person- uppgifter i verksamhet som nämnts i det föregående som omfattas av lagens tillämpningsområde. Det kan här nämnas att utredningen inte funnit att dessa myndigheters verksamhet enligt passlag- stiftningen har en sådan anknytning till verksamhetsområdet att 
 149 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 den bör inlemmas i lagens tillämpningsområde. Främst grundar sig denna bedömning på att verksamheten i allt väsentligt rör svenska medborgare vilket utgör en avgörande skillnad jämfört med den övriga verksamhet som lagen föreslås avse. 
 Utlänningsnämndens enda verksamhet utöver den enligt utlän- nings- och medborgarskapslagarna gäller nämndens hantering av frågor om offentligt biträde i ärenden enligt lagen om särskild utlänningskontroll. Denna verksamhet bör givetvis omfattas av utlänningsdatalagens tillämpningsområde. Även Regeringskansliets och Migrationsverkets personuppgiftsbehandling i dessa ärenden bör regleras av utlänningsdatalagen. 
 Migrationsverket har åtskilliga uppgifter utöver de åligganden som följer av utlänningslagen, lagen om särskild utlänningskontroll eller medborgarskapslagen jämte anslutande förordningar. Migrations- verket svarar bl.a. för överföring av organiserat uttagna flyktingar (s.k. kvotflyktingar), för mottagande av asylsökande m.fl. och vissa andra utlänningar med tidsbegränsat uppehållstillstånd samt har huvudansvaret för deras boende och sysselsättning. Vidare hand- lägger Migrationsverket olika ärenden om bidrag åt utlänningar samt beslutar om statlig ersättning till landsting, kommuner m.fl. för kostnader för vissa utlänningar (se närmare redogörelsen i avsnitt 3.3 angående denna verksamhet). Migrationsverket för vidare, enligt ett åläggande i myndighetsinstruktionen, register och statistik över utlänningar i landet i den utsträckning som behövs för verksamheten. Dessa verksamheter förutsätter behandling av personuppgifter som i enlighet med vad som sagts ovan är särreglerad i förhållande till personuppgiftslagen. Verksamheterna bör därför omfattas av lagens tillämpningsområde. 
 När det slutligen gäller Integrationsverket ingår bland myndig- hetens uppgifter att vid behov medverka vid bosättning i kommun av skyddsbehövande utlänningar som beviljats uppehållstillstånd. Dessutom skall verket följa upp kommunernas introduktion för skyddsbehövande och andra nyanlända invandrare för vilka kom- munerna får statlig ersättning och återföra resultatet till kommu- nerna, andra myndigheter och regeringen. Integrationsverket beslutar också om viss statlig ersättning till kommuner och landsting för flyktingmottagande och sjukvårdskostnader. För att denna verksamhet skall kunna bedrivas ändamålsenligt krävs bl.a. att känsliga personuppgifter kan behandlas i relativt stor omfatt- ning. Verksamheten har nära anknytning till utlänningslagstift- ningen och bör därför särregleras i lagen. 
 150 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 Sammanfattningsvis föreslås att lagens verksamhetsområde av- gränsas i enlighet med vad som anförts i det föregående. Med tanke bl.a. på att delar av verksamheten utförs med stöd av förordningar bör en saklig beskrivning av verksamheten tas in i lagen. 
 Utredningen föreslår således att verksamhet som gäller utlän- ningars inresa, vistelse eller arbete i Sverige samt utresa från Sverige (varmed förstås all verksamhet enligt utlänningslagen och lagen om särskild utlänningskontroll), utlänningars inresa i en stat som ingår i EU eller i en stat som är ansluten till EES, mottagande av asylsökande och andra utlänningar, bistånd och bidrag till utlänningar, svenskt medborgarskap, statlig ersättning för kost- nader för utlänningar samt bosättning av utlänningar skall omfattas av lagens tillämpningsområde. I författningskommentaren, avsnitt 9, kommer närmare att utvecklas vad som avses med respektive verksamhet. 
  
 6.2.3.2 
  
 Verksamhet som faller utanför tillämpningsområdet 
  
 Viss annan verksamhet 
 Såväl Migrationsverket som Integrationsverket bedriver viss annan verksamhet som enligt utredningens mening bör utelämnas från lagens tillämpningsområde. 
 För Migrationsverkets del gäller detta verkets förvaltning av  
 den europeiska flyktingfonden 
 . Fonden inrättades av EU enligt rådets beslut 2000/596/EG av den 28 september 2000 om inrättande av en europeisk flyktingfond. Som framgått av avsnitt 3.3 kan myndig- heter och organisationer beviljas ekonomiskt stöd ur fonden. Stöd beviljas efter särskild ansökan. Ofta rör det sig om projekt som drivs av kommunala organ eller av ideella föreningar. Det fåtal personuppgifter som förekommer i ansökningsförfarandet m.m. kan i och för sig vara integritetskänsliga. Enligt utredningens be- dömning kan emellertid dessa uppgifter behandlas med samtycke i enlighet med personuppgiftslagens bestämmelser. 
 Detsamma gäller Integrationsverkets handläggning av ärenden om  
 statsbidrag till organisationer som främjar integration 
 . Visserligen lämnas, som huvudregel, bidrag endast till organisationer som har minst 1 000 betalande medlemmar, varav övervägande del med invandrarbakgrund. Någon registerföring eller annan integritets- 
 151 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 känslig behandling av personuppgifter sker emellertid inte inom verket med anledning av denna bidragshantering. 
 Integrationsverkets arbetsuppgifter utöver de tidigare nämnda avser mer allmän verksamhet till främjande av att integrations- politiska mål och synsätt får genomslag i samhället. Sådan verk- samhet torde inte föranleda behandling av personuppgifter om enskilda personer och bör givetvis utelämnas från lagens tillämp- ningsområde. 
 Även utlandsmyndigheternas handläggning, efter Utrikesdepar- tementets bemyndigande, av  
 ärenden om anställningstillstånd för befattning på svenskt fartyg i utrikes trafik  
 enligt lagen (1989:532) om tillstånd för anställning på fartyg bör utelämnas från lagens tillämpningsområde. Denna verksamhet har ett närmare samband med den arbetsmarknadspolitiska sfären än utlänningslagstift- ningen. Dessutom torde den ha en ringa omfattning och inte heller kräva behandling av integritetskänsliga uppgifter eller annars motivera särreglering i förhållande till personuppgiftslagen. 
 Verksamhet enligt Eurodacförordningen 
 Som angetts i avsnitt 4.1.7, togs den  
 EU-gemensamma 
  centrala och elektroniska databasen Eurodac i bruk den 15 januari 2003. I den centrala databasen skall fingeravtryck från asylsökande och vissa andra medborgare från tredje land lagras i ett elektroniskt register. Fingeravtryck i databasen skall kunna jämföras med fingeravtryck som överförs från en medlemsstat i syfte att underlätta prövningen av vilken medlemsstat som, enligt Dublinkonventionen eller den  
 EG-förordning 
  som nyligen ersatt konventionen, är ansvarig för att pröva en ansökan om asyl. 
 Den centrala databasen är placerad i Luxemburg och förvaltas av Europeiska gemenskapernas kommission. För Sveriges del är det Migrationsverket som skall vara den nationella enhet som är upp- kopplad till Eurodacsystemet. 
 Eurodac inrättades genom en  
 EG-förordning 
  nr 2725/2000 antagen av rådet den 11 december 2000 (Eurodacförordningen). Tillämpningsföreskrifter finns i  
 EG-förordningen 
  nr 407/2002, antagen av rådet den 28 februari 2002 (tillämpningsförordningen). Förordningarna innehåller bestämmelser som reglerar hur person- uppgifter får behandlas. Bl.a. reglerar den först nämnda förord- ningen noggrant vilka personuppgifter som får överföras från en 
 152 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 medlemsstat till den centrala databasen, nämligen fingeravtryck och uppgift om kön, hur registrering och lagring skall ske i den centrala databasen, hur jämförelser av uppgifter skall ske samt att blocke- ring och radering av registrerade uppgifter i vissa fall skall ske. Dessa bestämmelser är utformade på olika sätt beträffande skilda kategorier av utlänningar på vilka fingeravtryck skall tas enligt Eurodacförordningen. 
 Enligt Eurodacförordningen gäller dataskyddsdirektivet för såväl medlemsstaternas som kommissionens behandling av personupp- gifter inom ramen för Eurodacsystemet. Medlemsstaterna har ensamma ansvaret för att identifiera och klassificera resultatet av de jämförelser som den centrala enheten har överlämnat samt för att blockera uppgifter om personer som tas emot och erkänns som flyktingar. Eftersom detta ansvar rör det särskilda området bearbet- ning av personuppgifter och kan inverka på utövandet av individens frihet, har rådet funnit särskilda skäl för att förbehålla sig ut- övandet av vissa genomförandebefogenheter, särskilt när det gäller antagandet av åtgärder för att garantera personuppgifternas säker- het och tillförlitlighet. 
 Medlemsstaterna åläggs enligt Eurodacförordningen ett omfat- tande ansvar för att personuppgifterna används på ett lagligt sätt och att de skyddas från obehöriga intrång m.m. Dessutom skall staterna ansvara för att en enskild person eller en medlemsstat som lider skada på grund av en otillåten behandling eller ett annat hand- lande som är oförenligt med Eurodacförordningen ersätts härför. Skadeståndsanspråk mot en medlemsstat skall regleras genom bestämmelser i den nationella lagstiftningen i svarandestaten. För- ordningen föreskriver vidare vilken information medlemsstaterna är skyldiga att ge till den enskilde registrerade. Enligt artikel 25 i förordningen skall medlemsstaterna säkerställa att användning av i databasen registrerade uppgifter som strider mot Martinez syfte bestraffas på lämpligt sätt. 
 Tillämpningsförordningen innehåller detaljerade föreskrifter om överföring och jämförelse av uppgifter om fingeravtryck. 
 Genom Sveriges anslutning till EU har  
 EG-rätten 
  blivit en integrerad del av den svenska rättsordningen. Förordningar tillhör den s.k. sekundärrätten som  
 EG-instutionerna 
  genom de grund- läggande fördragen har befogenheter att anta. I artikel 249 i fördra- get den 25 mars 1957 om upprättande av Europeiska gemenskapen (Romfördraget) definieras en förordning på följande sätt. 
 153 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 En förordning skall ha allmän giltighet. Den skall till alla delar vara bindande och direkt tillämplig i varje medlemsstat. 
 En förordning blir automatiskt en del av medlemsstatens nationella rättssystem och gäller enligt sin lydelse på samma sätt som nationella lagar. När en förordning träder i kraft utesluter den tillämpning av nationell lagstiftning som är oförenlig med för- ordningen. Detta gäller även om den nationella lagstiftningen är av senare datum. En  
 EG-förordning 
  har således företräde framför nationell rätt (se bl.a. Davidson och Barr, EU:s konstitution, Maktfördelningen mellan den europeiska unionen, medlemsstaterna och medborgarna, 3 uppl., 1998 s. 46 f. med där angivna hänvisningar till  
 EG-domstolens 
  domar). Medlemsstaterna får inte vidta nationella implementeringsåtgärder. En förordnings bestämmelser får enligt  
 EG-domstolens 
  praxis inte heller återges i nationell lagstiftning, eftersom detta skulle kunna dölja att de rättigheter som har sitt ursprung i förordningen är av gemenskaps- rättslig natur. 
 Bestämmelser i en förordning torde emellertid få återges i nationell lagstiftning när det är nödvändigt för att den nationella lagstiftningen skall bli begriplig och sammanhållen. Vidare får nationell lagstiftning genomföras, om det uttryckligen krävs enligt en förordning eller underförstått krävs för att en förordning skall få verkan i det nationella rättssystemet. Det kan t.ex. behövas nationell lagstiftning när en förordning förutsätter utfärdande av straffregler för att överträdelse av förordningens bestämmelser skall kunna beivras. 
 Med hänsyn till det sagda om  
 EG-förordningars 
  direkta tillämp- lighet får Eurodacförordningens regler om behandling av person- uppgifter  
 inte  
 införlivas i utlänningsdatalagen. Behandling av personuppgifter enligt Eurodacsystemet bör därför inte omfattas av utlänningsdatalagens tillämpningsområde. 
 Eftersom Eurodacförordningen under alla förhållanden gäller före utlänningsdatalagen behövs egentligen ingen uttrycklig bestämmelse om detta i lagen. Enligt lagförslaget skall emellertid bl.a. Migrationsverkets behandling av personuppgifter i verksamhet som gäller utlänningars inresa och vistelse i Sverige omfattas av lagen. Den beskrivningen inrymmer också verksamhet enligt Euro- dacsystemet. I förtydligande syfte bör därför personuppgifts- behandling enligt Eurodacförordningen uttryckligen utelämnas från lagens tillämpningsområde. Att på detta sätt informera om 
 154 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 förekomsten av en  
 EG-förordning 
  är inte någon otillåten nationell implementeringsåtgärd. 
 En utfyllnad av Eurodacförordningen är kanske påkallad såvitt gäller straffbestämmelse som beivrar överträdelser av Eurodac- förordningen. Enligt utredningens mening är det emellertid en fråga som får övervägas i ett annat sammanhang. Detsamma gäller frågan om det behövs en författningsreglering av att Migrations- verket skall vara ansvarig myndighet för den svenska medverkan i Eurodacsystemet. 
 Slutligen kan nämnas att, när det gäller skadeståndsyrkande från en enskild registrerad, han eller hon möjligen kan åberopa person- uppgiftslagens regler om skadestånd. Eurodacförordningen före- skriver ju att dataskyddsdirektivet skall tillämpas i fråga om en medlemsstats behandling av personuppgifter inom ramen för Eurodacsystemet samt att skadeståndsanspråk mot en medlemsstat skall regleras genom bestämmelser i svarandestatens nationella lag- stiftning. Personuppgiftslagen är den lag varigenom dataskydds- direktivet implementerats i svensk rättsordning. 
 Administration 
 Av avsnitt 4 har framgått att myndigheterna i datoriserade register behandlar personuppgifter i samband med administrativa ange- lägenheter vid sidan av den egentliga verksamheten. Även i löpande text,  
 e-post, 
  manuellt hanterade register m.m. kan personuppgifter behöva behandlas i administrativa sammanhang. Vad som avses här är sådan ren administration som saknar koppling till något enskilt ärende eller någon registrerad som omfattas av den egentliga verksamhet som särlagen, enligt vad som sagts i avsnitt 6.2.3.1, bör tillämpas på. Administration i samband med t.ex. utbetalningar av s.k.  
 LMA-ersättningar 
  eller hanteringen av kostnadsersättningar till offentliga biträden hör således till den egentliga verksamhet som omfattas av lagens tillämpningsområde. 
 Den rena administrationen kan föranleda behandling av person- uppgifter om såväl anställda som ledamöter i Utlänningsnämnden eller i Integrationsverkets och Migrationsverkets styrelser. Dessutom kan personuppgifter om utomstående behandlas, t.ex. leverantörer, uppdragstagare eller tolkar. 
 155 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 Enligt utredningens mening ger personuppgiftslagen en till- fredsställande reglering av behandlingen av personuppgifter i denna administrativa verksamhet. 
 När det gäller anställda och arbetssökande kan anmärkas att dessa omfattas av ett förslag till lag om skydd för personlig inte- gritet i arbetslivet som lämnats av Integritetsutredningen (SOU 2002:18). Lagförslaget är en särlag i förhållande till personupp- giftslagen och syftar till att skydda den personliga integriteten i arbetslivet genom att bl.a. reglera i vilka avseenden arbetsgivare inte får behandla personuppgifter om anställda och arbetssökande. Förslaget bereds för närvarande i Regeringskansliet. 
  
 6.2.4 
  
 Närmare om vilken behandling som regleras 
  
 Som framgått av avsnitt 5.4 föreslås att utlänningsdatalagen skall omfatta såväl helt eller delvis automatiserad behandling av per- sonuppgifter som manuell behandling av personuppgifter i register, dvs. samma behandling som regleras av personuppgiftslagen. 
 Förutom behandling av personuppgifter i datoriserade ärende- hanteringssystem och av personuppgifter som kan sägas ha syste- matiserats i form av register kommer lagen att omfatta behandling av personuppgifter i bl.a. löpande text med hjälp av ordbehandling i en enskild tjänstemans dator. Lagen blir vidare tillämplig också vid inskanning av dokument samt vid hantering av  
 e-post 
  som rör verksamheten för att ta några exempel. Huruvida lagen blir tillämp- lig på manuellt hanterade personakter, dossierer, som används av Migrationsverkets, är beroende av om dessa är att betrakta som register eller inte. 
 Vad som avses med behandling respektive personuppgifter fram- går av 3 § personuppgiftslagen. Där sägs att med begreppet behandling avses varje åtgärd eller serie av åtgärder som vidtas i fråga om personuppgifter, vare sig det sker på automatisk väg eller inte, t.ex. insamling, registrering, organisering, lagring, bearbetning eller ändring, återvinning, inhämtande, användning, utlämnande genom översändande, spridning eller annat tillhandahållande av uppgifter, sammanställning eller samkörning, blockering, utplåning eller förstöring. All slags information som direkt eller indirekt kan hänföras till en fysisk person som är i livet utgör en personuppgift. Här kan nämnas att utredningen inte funnit anledning att utsträcka lagens tillämpningsområde att omfatta också uppgifter om avlidna. 
 156 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 Det hindrar naturligtvis inte att myndigheterna i praktiken följer lagens eller personuppgiftslagens bestämmelser när uppgifter om avlidna behandlas. 
  
 6.3 
  
 Förhållandet till personuppgiftslagen 
  
 Utredningens förslag 
 : Personuppgiftslagen skall gälla vid behand- ling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen, om inte annat följer av utlännings- datalagen eller annars av 2 § personuppgiftslagen. I klargörande syfte anges detta uttryckligen i den nya lagen. 
 Personuppgiftslagen innehåller vissa definitioner och grundläggan- de förutsättningar för när behandling av personuppgifter är tillåten. I lagen finns vidare bl.a. bestämmelser om information till den registrerade, om säkerhet vid behandlingen, om rättelse av upp- gifter som inte har behandlats i enlighet med personuppgiftslagen eller föreskrifter som har utfärdats med stöd av lagen och om skadestånd. Personuppgiftslagen är generellt tillämplig på behand- ling av personuppgifter och gäller i verksamhet enligt utlännings- och medborgarskapslagstiftningen i den mån det inte finns avvikande bestämmelser i lag eller förordning. 
 Den föreslagna utlänningsdatalagen innehåller – som kommer att framgå i det följande – bestämmelser som avviker från personupp- giftslagen. En övergripande fråga vid utformningen av utlännings- datalagen är därför hur den lagtekniskt bör förhålla sig till person- uppgiftslagen. 
 I de särförfattningar om behandling av personuppgifter som trätt i kraft eller föreslagits i anledning av personuppgiftslagens in- förande kan i huvudsak tre modeller för förhållningssättet till personuppgiftslagen urskiljas. 
 En modell är att i särförfattningen antingen inte nämna person- uppgiftslagen eller klart ange att den särskilda författningen gäller utöver personuppgiftslagen. I bägge fallen gäller avvikande bestäm- melser i författningen i stället för personuppgiftslagen. När regle- ring saknas i den särskilda författningen är personuppgiftslagens bestämmelser tillämpliga. Modellen, här kallad  
 den kompletterande modellen 
 , är den hittills vanligaste förekommande och tillämpas bl.a. i polisdatalagen (1998:622). En nackdel med modellen, som framförts bl.a. i Registerförfattningsutredningens betänkande Skatt 
 157 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 – Tull – Exekution – Normer för behandling av personuppgifter, (SOU 1999:105 s. 204), är att det är svårt för tillämparen att klart och tydligt se vilka bestämmelser i personuppgiftslagen som är tillämpliga och i vilken omfattning det i särlagen finns bestäm- melser som kanske endast delvis avviker från personuppgiftslagen. 
 En annan modell, som föreslagits av Polisdatautredningen i dess förslag till en ny polisdatalag i betänkandet Behandling av person- uppgifter i polisens verksamhet (SOU 2001:92 s. 152), innebär att de bestämmelser i personuppgiftslagen som skall vara tillämpliga upprepas i särförfattningen. Personuppgiftslagen gäller över huvud taget inte för den behandling av personuppgifter som regleras genom författningen enligt denna modell, som här kallas  
 den hel- täckande modellen 
 . Den heltäckande modellen har föreslagits i anledning av den kritik som inom polisen riktats mot att den nu- varande polisdatalagen utgör ett komplement till personuppgifts- lagen. Enligt kritiken är det för lagtillämparen opraktiskt att arbeta med två olika lagar. Den heltäckande modellen berördes något av regeringen i propositionen Polisens register som föregick den nu gällande polisdatalagen. Enligt regeringen skulle systemet med denna lagstiftningsteknik bli tungrott varför en sådan dubbel- reglering borde undvikas (prop. 1997/98:97 s. 97). 
 En tredje modell,  
 den hänvisande modellen 
 , tillämpas i den lagstiftning om behandling av personuppgifter som gäller inom skatteförvaltningen, exekutionsväsendet och Tullverket. Modellen innebär att de bestämmelser som avviker från personuppgiftslagen regleras särskilt i specialförfattningen och att det anges att för- fattningen gäller i stället för personuppgiftslagen om inte annat sägs i författningen. Därefter anges uttryckligen vilka bestäm- melser i personuppgiftslagen som skall gälla för behandling av personuppgifter enligt särförfattningen i fråga (se t.ex. 2 och 3 §§ lagen (2001:181) om behandling av uppgifter i skatteförvaltningens beskattningsverksamhet). Modellen tillämpas även av Blanchard utredningen i dess förslag till lagar om behandling av personupp- gifter i domstolars samt hyres- och arrendenämnders verksamhet (SOU 2001:100). Modellen har emellertid ansetts otillfredsställande av Lagrådet i dess yttrande i lagstiftningsärendet som gällde skatteförvaltningen m.m. Lagrådet ansåg bl.a. att lagstiftningstek- niken är riskfylld med hänsyn till såväl svårigheterna att överblicka om dataskyddsdirektivet blir till fullo genomfört i särlagarna som till möjligheten att hänvisningarna till personuppgiftslagen blir felaktiga eller ofullständiga vid kommande lagändringar (se prop. 
 158 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 2000/01:33 s. 345 f.). I samma lagstiftningsärende anförde rege- ringen till stöd för att ändå välja den hänvisande modellen att lagen för tillämparen blir överskådlig och tydlig och att lagen undanröjer en hel del merarbete som det innebär för tillämparen att gå igenom särlagen och personuppgiftslagen parallellt och därvid jämföra olika bestämmelser. Enligt regeringen medför modellen även över- skådlighet för den enskilde, som därmed lättare kan utnyttja de rättigheter som tillerkänns denne ( a. prop. s. 88). 
 Som framgått av redovisningen i det föregående är samtliga förekommande lagstiftningstekniska modeller förenade med vissa nackdelar. Utredningen har emellertid inte sett det som möjligt att föreslå en fjärde modell som eliminerar dessa nackdelar. Någon av de nämnda varianterna bör därför väljas. 
 I utredningens direktiv har regeringen antytt att en lagstiftnings- teknisk lösning som förhåller sig kompletterande till personupp- giftslagen är att föredra. Regeringen har i direktiven anfört att särlagstiftning i förhållande till personuppgiftslagen bör begränsas till att avse frågor som är specifika för de verksamheter som omfattas av lagstiftningen. Enligt direktiven kan det handla om situationer då personuppgiftslagens mer allmänt hållna bestämmelser ger upphov till tolkningsproblem i förhållande till annan lagstiftning eller att det kan finnas anledning att vara särskilt tydlig med att ange de undantag och preciseringar som är motiverade. 
 Som nämnts i avsnitt 5.3 sker en övervägande del av den behand- ling av personuppgifter som föreslås regleras genom lagen – inte minst den mest integritetskänsliga – i verksamhet som omfattas av gemenskapsrätten. Det är därför uteslutet att föreslå bestämmelser som innehåller otillåtna avvikelser från vad dataskyddsdirektivet föreskriver. Lagrådets påpekande att den hänvisande modellen gör det svårt att överblicka om dataskyddsdirektivet – som i Sverige genomförts genom personuppgiftslagen – blir till fullo genomfört i särlagen är därför särskilt beaktansvärt i fråga om utlänningsdata- lagen. Av samma skäl framstår även en heltäckande lag som gäller i stället för personuppgiftslagen som ett mindre lämpligt val. 
 De problem för tillämparen eller den enskilde registrerade som kan följa på att två lagar är parallellt tillämpliga bör inte över- betonas. Problemen torde åtminstone delvis hänga samman med att personuppgiftslagen alltjämt är en ny lag som i sig själv inte är så enkel att tillämpa, inte minst därför att den, till skillnad från den tidigare datalagen, gäller för all automatiserad behandling av per- sonuppgifter och inte bara behandling i registerform. Efter hand 
 159 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 som personuppgiftslagen tillämpas och kunskap om lagen inarbetas i förvaltningen och hos allmänheten torde tillämpningssvårigheterna med en kompletterande lagstiftningsteknik vara av övergående natur. I vart fall uppväger fördelarna med de heltäckande och hänvisande modellerna inte de nackdelar som dessa modeller är förenade med. 
 Det kan här erinras om att personuppgiftslagen för närvarande är föremål för översyn av Personuppgiftslagsutredningen i syfte att, inom ramen för dataskyddsdirektivet, bl.a. åstadkomma ett regel- verk som lättar personuppgiftslagens hanteringsregler genom införan- de av bestämmelser som mera tar sikte på att förhindra missbruk av personuppgifter. Utredningen skall redovisas senast den 31 mars 2003 (dir. 2002:31). Inom en inte alltför avlägsen framtid kan det således ske ändringar i personuppgiftslagen som medför just sådana risker för felaktiga eller missvisande hänvisningar i särlagar som Lagrådet påtalat. 
 Sammanfattningsvis talar således övervägande skäl för att utlän- ningsdatalagen lagstiftningstekniskt skall utformas i enlighet med den kompletterande modellen. Detta innebär t.ex. att de begrepp som används i den nya lagen, t.ex. personuppgift, behandling m.m. har den innebörd som framgår av definitioner i 3 § person- uppgiftslagen utan att detta särskilt behöver anges. Även 9 § personuppgiftslagen om grundläggande krav på den personupp- giftsansvariges behandling av personuppgifter gäller också då personuppgifter behandlas enligt utlänningsdatalagen. Utredningen återkommer i det följande till vad den valda modellen innebär i förhållande till personuppgiftslagen och vilka ytterligare bestäm- melser i personuppgiftslagen som skall tillämpas vid behandling som regleras av utlänningsdatalagen. 
 Att i lagen uttryckligen ange att utlänningsdatalagen gäller utöver personuppgiftslagen innebär inte någon saklig skillnad gentemot vad som skulle gälla även utan en sådan bestämmelse. Det har dock ett pedagogiskt värde att i lagen klargöra hur lagen förhåller sig till personuppgiftslagen. Det bör även genom en hänvisning till 2 § personuppgiftslagen klargöras att avvikande bestämmelser i lag eller förordning, t.ex. i sekretesslagen, gäller även vid behandling av personuppgifter enligt utlänningsdatalagen. En bestämmelse härom bör därför tas in i den nya lagen. 
 160 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 6.4 
  
 Personuppgiftsansvar 
  
 Utredningens förslag 
 : Migrationsverket bör även i fortsättningen vara personuppgiftsansvarigt för den behandling av personupp- gifter som företas av Integrationsverket och utlandsmyndigheterna i samband med ärendehantering. I övrigt skall den myndighet som utför en behandling eller som det åligger att utföra en behandling vara personuppgiftsansvarig för behandlingen. 
 Enligt definitionen i 3 § personuppgiftslagen är den personupp- giftsansvarig som ensam eller tillsammans med andra bestämmer ändamålen med och medlen för behandling av personuppgifter. Av definitionen följer att personuppgiftsansvaret kan delas av flera. 
 Personuppgiftsansvaret innebär bl.a. en skyldighet att se till att de i 9 § personuppgiftslagen angivna grundläggande kraven på behandling av personuppgifter iakttas. Vidare innebär person- uppgiftsansvaret en skyldighet att lämna information till den registrerade  
 (23–27 
  §§ personuppgiftslagen), att på begäran av den registrerade rätta, blockera eller utplåna personuppgifter som inte behandlats i enlighet med personuppgiftslagen (28 §), att vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas (31 §), att – enligt huvudregeln – anmäla all automatiserad behandling av personuppgifter till Data- inspektionen (36 §) samt att ersätta den registrerade för den skada en lagstridig behandling av personuppgifter för med sig (48 §). 
 Vem som är personuppgiftsansvarig för en viss behandling får avgöras efter en bedömning av de faktiska omständigheterna i det enskilda fallet. I lag eller förordning kan emellertid i stället bestäm- mas vem som är personuppgiftsansvarig. En sådan bestämmelse tar nämligen över regleringen i personuppgiftslagen. 
 När det gäller särreglering i förhållande till personuppgiftslagen av myndigheters behandling av personuppgifter anges oftast direkt i specialförfattningen vem som är personuppgiftsansvarig, se t.ex. 4 § lagen (2001:617) om behandling av personuppgifter inom kriminalvården eller 1 § lagen (1998:543) om hälsodataregister. Det förekommer också att frågan om personuppgiftsansvar inte berörs i särlagen. Ett exempel härpå är lagen (1998:544) om vårdregister. En variant är vidare att frågan om personuppgiftsansvar inte berörs i särlagen utan i stället i en förordning som utfärdas i anslutning till lagen, se lagen (2001:454) om behandling av personuppgifter inom 
 161 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 socialtjänsten samt förordningen (2001:637) om behandling av per- sonuppgifter inom socialtjänsten. 
 Som kommer att framgå av avsnitt 6.5 föreslås att de ändamål för vilka behandling av personuppgifter får ske lagregleras. Dessutom kommer att föreslås att regeringen skall få föreskriva vissa begräns- ningar i fråga om ändamål och vilka slags personuppgifter som får behandlas. Det kan därför förefalla tveksamt huruvida en myndig- het i fråga har ett sådant inflytande över ändamålen med behand- lingen att myndigheten blir att anse som personuppgiftsansvarig enligt personuppgiftslagens regler (jfr Lagrådets yttrande över förslaget till lag om hälsodataregister, prop. 1997/98:108 s. 125). För att undanröja all osäkerhet på denna punkt bör därför per- sonuppgiftsansvaret regleras i utlänningsdatalagen. 
 När det gäller myndigheter är det en rimlig utgångspunkt att en myndighet i princip skall kunna ha personuppgiftsansvaret för sådan behandling av personuppgifter som sker inom ramen för myndighetens verksamhet. Ett delat personuppgiftsansvar mellan myndigheter, dvs. att flera myndigheter är ansvariga för samma behandling av personuppgifter oavsett vem som faktiskt har utfört den, framstår som olämpligt och förekommer inte heller i andra särförfattningar. Den nuvarande ordningen enligt 2 § utlännings- dataförordningen att Migrationsverket, Utlänningsnämnden, Riks- polisstyrelsen och polismyndigheterna är personuppgiftsansvariga för den behandling av personuppgifter som den egna myndigheten utför bör således bestå. Dessutom bör av den nya lagen framgå att personuppgiftsansvaret inte bara omfattar varje faktisk behandling av personuppgifter som företas vid myndigheten utan även all behandling som det åligger myndigheten att utföra. En under- låtenhet att t.ex. avskilja inaktuella personuppgifter på föreskrivet sätt, se avsnitt 6.15, täcks alltså av personuppgiftsansvaret. 
 Enligt 2 § utlänningsdataförordningen gäller vidare att Migrations- verket är personuppgiftsansvarigt för den behandling av person- uppgifter som Integrationsverket eller en utlandsmyndighet utför. För denna ordning talar att det är Migrationsverket som utvecklat och tillhandahåller de tekniska datorsystem med hjälp av vilka Integrationsverket inom  
 ROSE-systemet 
  och utlandsmyndigheter- na med ärendehanteringssystemet Kent eller Almasystemet utför behandling av personuppgifter inom verksamheten (se om sys- temen i avsnitten 4.1.1.2 och 4.1.3). När det gäller utlandsmyndig- heterna tillkommer att deras handläggning av ärenden om visering, arbetstillstånd och uppehållstillstånd sker efter bemyndigande från 
 162 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 Migrationsverket. Samma personuppgifter som Integrationsverket behandlar genom ROSE eller som utlandsmyndigheter behandlar och registrerar i Kent lagras senare i Migrationsverkets STAMM- bas; en lagring som torde anses utföras av Migrationsverket. 
 Myndigheterna ingår emellertid inte i någon gemensam myndig- hetsorganisation och Migrationsverket har inte någon överordnad ställning i förhållande till vare sig Integrationsverket eller utlands- myndigheterna. Enligt vad Migrationsverket framhållit har verket haft vissa svårigheter att i praktiken utöva den kontroll och det inflytande som personuppgiftsansvaret kräver. Bl.a. gäller detta kontrollen över säkerheten vid Integrationsverkets och utlands- myndigheternas behandling av personuppgifter. Den behandling av personuppgifter som utlandsmyndigheterna utför och som sker efter det att Migrationsverket lämnat ut personuppgifter på en CD- romskiva (Almasystemet), har verket inte någon möjlighet att spåra eller, i förekommande fall, rätta. Detsamma gäller Integra- tionsverkets behandling av personuppgifter utanför  
 ROSE-syste- 
  met, t.ex. i de uppföljnings- och statistikregister som beskrivits i avsnitt 4.3. Den behandlingen har Migrationsverket stora svårigheter att kontrollera trots att behandlingen enligt utlänningsdataförord- ningen sker under Migrationsverkets personuppgiftsansvar. 
 Det sagda talar för att personuppgiftsansvaret regleras på så sätt att även Integrationsverket och utlandsmyndigheterna bär person- uppgiftsansvaret för den behandling av personuppgifter som den egna myndigheten utför. 
 För den enskilde är det emellertid till fördel med en bestämmelse om personuppgiftsansvar som inte medför risker för att en utredning och bedömning i efterhand måste göras i fråga om vilken av flera alternativa myndigheter som faktiskt har utfört en viss behandling. Vid en reglering som utgår från den faktiska behand- lingen kan nämligen en enskild råka i en situation där både Migrationsverket och Integrationsverket respektive utlandsmyn- digheterna på olika sätt behandlat personuppgifter som rör honom eller henne. Personuppgiftsansvaret, som han eller hon vill göra gällande, skulle under denna process ha kunnat vandra mellan myndigheterna på ett sätt som kanske inte alltid är så lätt att klarlägga. Risken härför undanröjs med en regel som oberoende av de faktiska förhållandena anger en av myndigheterna som ansvarig för behandlingen. 
 Den enskildes möjligheter att på ett okomplicerat och smidigt sätt göra personuppgiftsansvaret gällande är en viktig del av det 
 163 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 integritetsskydd som dataskyddsdirektivet och personuppgifts- lagen syftar till att säkerställa. Trots de nackdelar med ett fortsatt personuppgiftsansvar för Migrationsverket som ovan angetts, talar alltså den enskildes intresse för att den nuvarande ordningen behålls i vart fall när det gäller sådan verksamhet som ofta in- begriper såväl Migrationsverket som Integrationsverket respektive utlandsmyndigheterna. 
 Migrationsverkets personuppgiftsansvar för Integrationsverkets och utlandsmyndigheternas behandling av personuppgifter bör i enlighet härmed kunna begränsas till behandling för ändamålet att handlägga eller medverka vid handläggning av ärenden. För Integrationsverkets del innebär det sagda att Migrationsverket är personuppgiftsansvarigt för den behandling av personuppgifter som föranleds av Integrationsverkets handläggning av ersättnings- ärenden enligt förordningen (1990:927) om statlig ersättning för flyktingmottagande m.m. men inte för Integrationsverkets behand- ling av personuppgifter i den övriga verksamhet verket bedriver och som enligt vad som anges i avsnitt 6.2.3.1 omfattas av utlänningsdata- lagens tillämpningsområde. För den behandlingen är Integrationsver- ket självt personuppgiftsansvarigt. Vad gäller utlandsmyndigheterna är emellertid all deras behandling av personuppgifter som regleras av utlänningsdatalagen underkastad Migrationsverkets personupp- giftsansvar. 
 För att råda bot på de problem i utövandet av personuppgifts- ansvaret som Migrationsverket framfört till utredningen, bör personuppgiftsansvaret förenas med ett bemyndigande för rege- ringen att i förordning delegera till Migrationsverket att meddela föreskrifter för Integrationsverket och utlandsmyndigheterna om säkerhetsåtgärder till skydd för personuppgifter som behandlas. Sådana åtgärder kan bl.a. avse åtkomstbehörighet, se närmare om bemyndigandet i avsnitt 6.18.6. 
  
 6.5 
  
 När personuppgifter får behandlas och ändamål 
  
 Utredningens förslag 
 : Personuppgifter får samlas in och behand- las bara om det är nödvändigt för vissa ändamål. Ändamålen anges i lagen. En personuppgift presumeras vara insamlad för samtliga föreslagna ändamål. 
 164 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 6.5.1 
  
 Allmänt om när personuppgifter får behandlas enligt personuppgiftslagen 
  
 I 9 § personuppgiftslagen finns bestämmelser om grundläggande krav på behandling av personuppgifter som en personuppgifts- ansvarig alltid måste uppfylla. Den registrerade kan inte med rättslig verkan ge sitt samtycke till att personuppgifter behandlas i strid mot paragrafen. 
 Enligt 9 § första stycket skall den personuppgiftsansvarige se till att a) personuppgifter behandlas bara om det är lagligt, b) per- sonuppgifter alltid behandlas på ett korrekt sätt och i enlighet med god sed, c) personuppgifter samlas in bara för särskilda, uttryckligt angivna och berättigade ändamål, d) personuppgifter inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in, e) de personuppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen, f) inte fler personuppgifter behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen, g) de personuppgifter som behand- las är riktiga och, om det är nödvändigt, aktuella, h) alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana person- uppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen samt i) personuppgifter inte bevaras under en längre tid än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Dessa bestämmelser är enligt för- arbetena avsedda att ha samma innebörd som artikel 6 i dataskydds- direktivet (se prop. 1997/98:44 s. 63). 
 Andra, tredje och fjärde styckena i 9 § personuppgiftslagen gäller uteslutande behandling av personuppgifter för historiska, statistiska eller vetenskapliga ändamål. Enligt andra stycket skall vid en pröv- ning enligt 9 § första stycket d) behandling av insamlade person- uppgifter för historiska, statistiska eller vetenskapliga ändamål inte anses som oförenlig med de ändamål för vilka uppgifterna samlades in. I tredje stycket anges att personuppgifter får bevaras för histo- riska, statistiska eller vetenskapliga ändamål under längre tid än vad som gäller som huvudregel enligt första stycket i), dock inte längre än vad som behövs för dessa ändamål. Vidare får, enligt fjärde stycket, personuppgifter som behandlas för dessa särskilda ändamål användas för att vidta åtgärder i fråga om den registrerade, bara om den registrerade har lämnat sitt uttryckliga samtycke eller det finns synnerliga skäl med hänsyn till den registrerades vitala intressen. 
 165 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 För att en viss behandling skall vara laglig krävs det inte bara att behandlingen utförs i enlighet med de grundläggande kraven i 9 §. Behandlingen måste också kunna hänföras till något av de fall som anges i 10 §. Det är således bara i de fall som anges i 10 § som det över huvud taget är tillåtet att behandla personuppgifter. Enligt bestämmelsen får personuppgifter behandlas bara om den registre- rade har lämnat sitt samtycke till behandlingen eller om behand- lingen är nödvändig för vissa angivna ändamål, bl.a. för att en arbetsuppgift av allmänt intresse skall kunna utföras (d) eller den personuppgiftsansvarige eller en tredje man till vilken personupp- gifter lämnas ut skall kunna utföra en arbetsuppgift i samband med myndighetsutövning (f). 
 Avser behandlingen känsliga personuppgifter, uppgifter om lagöverträdelser m.m. eller personnummer, måste behandlingen dessutom vara förenlig med bestämmelserna i  
 13–22 
  §§. Innebär behandlingen att personuppgifter förs över till tredje land, måste också  
 33–35 
  §§ följas. 
  
 6.5.2 
  
 Allmänt om ändamål 
  
 Av 9 § första stycket personuppgiftslagen framgår att bestämning av ändamålen med behandling av personuppgifter är av central betydelse för lagens regelverk till skydd för den registrerades per- sonliga integritet. Enligt en kommentar till personuppgiftslagen är den s.k. finalitetsprincipen i 9 § första stycket d) – att personupp- gifter inte senare får behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in – förmodligen den viktigaste bestämmelsen i personuppgiftslagen (Mckinney –  
 Suarez, Personuppgiftslagen En kommentar, andra uppl. 2001, s. 98). Finalitetsprincipen medför att det är väsentligt att alla de ändamål för vilka man kan tänkas behöva använda de insamlade uppgifterna finns angivna redan då personuppgifterna samlas in. Något hinder mot att ange flera ändamål vid insamlingen finns varken i dataskyddsdirektivet eller i personuppgiftslagen. Som nyss nämnts är dessutom behandling av insamlade person- uppgifter för historiska, statistiska eller vetenskapliga ändamål inte att anse som oförenlig med ändamål för vilka uppgifterna samlades in. 
 Det finns alltså ett visst, begränsat utrymme att behandla per- sonuppgifter för ett nytt ändamål som inte angetts vid insamlingen, 
 166 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 nämligen om det nya ändamålet inte är oförenligt med de ursprungliga ändamålen. Datalagskommittén har i betänkandet Integritet – Offentlighet – Informationsteknik (SOU 1997:39 s. 351) uttalat att vad som är oförenligt med de ursprungliga ändamålen får bestämmas genom praxis och de mer preciserade regler som rege- ringen eller Datainspektionen kan utfärda. Någon utvecklad praxis eller närmare föreskrifter i denna fråga finns emellertid inte ännu. 
 Vad som kan anses förenligt med ett ursprungligt ändamål har diskuterats i tidigare lagstiftningsärenden av främst Socialdata- utredningen i dess betänkande Behandling av personuppgifter inom socialtjänsten (SOU 1999:109 s. 160). Enligt Socialdatautredningen bör man vid denna oförenlighetsprövning hypotetiskt utgå från hur en registrerad typiskt sett – inte den registrerade i det enskilda fallet – skulle se på saken. Kommer man vid en sådan bedömning fram till att den registrerade rimligen har att räkna med att de insamlade personuppgifterna också får behandlas för det nya ändamålet, kan det nya ändamålet inte anses vara oförenligt med det ursprungliga ändamålet. 
 En tillämpning av personuppgiftslagen innebär att den person- uppgiftsansvarige formulerar och bestämmer de ändamål för vilka personuppgifter får behandlas. Från integritetssynpunkt är det emellertid, enligt utredningens uppfattning, inte tillfredsställande att låta myndigheterna själva bestämma ändamålen för den behand- ling av personuppgifter som utförs i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Ändamålsbestämningens centrala betydelse för integritetsskyddet gör att principiella skäl med styrka talar för att lagstiftaren i den särlag som föreslås gälla på området uttryckligen bestämmer ändamålen för behandlingen i verksam- heten. Här kan erinras om vad som tidigare redovisats (avsnitt 5.2) angående riksdagens och regeringens ståndpunkt att omfattande och integritetskänsliga myndighetsregister skall regleras särskilt i lag. Ändamålsbestämningen torde vara av just så betydelsefull beskaffenhet att den i linje med statsmakternas ståndpunkt bör regleras i lag, inte minst eftersom – vilket kommer att framgå i det följande – undantag från personuppgiftslagens förbud mot behand- ling av känsliga personuppgifter föreslås. 
 Mot denna bakgrund föreslår utredningen att utlänningsdata- lagen innehåller en bestämmelse som anger för vilka ändamål personuppgifter får samlas in och behandlas. En sådan bestämmelse blir uttömmande i den meningen att de personuppgiftsansvariga 
 167 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 myndigheterna inte själva kan besluta om ytterligare ändamål för vilket eller vilka personuppgifter får samlas in. 
  
 6.5.3 
  
 Utlänningsdatalagens ändamålsbestämning 
  
 6.5.3.1 
  
 Allmänt om ändamålsbestämningen 
  
 Utredningens förslag till ändamålsbestämmelse innebär preciseringar i förhållande till bestämmelsen i 9 § första stycket c) personupp- giftslagen som därmed ersätts av utlänningsdatalagens ändamåls- bestämmelse. I övrigt gäller de grundläggande kraven i paragrafens första stycke liksom bestämmelserna i paragrafens  
 andra–fjärde 
  stycken. (Utredningen återkommer i avsnitt 6.15 till vad som föreslås gälla i förhållande till bestämmelsen i 9 § första stycket i) och tredje stycket om bevarande av personuppgifter.) 
 Det bör noteras att utlänningsdatalagens ändamålsbestämmelse inte utesluter att behandling sker i den mån den har stöd av annan författning. Behandling kan således ske av insamlade personupp- gifter för ett ändamål som inte är oförenligt med de ändamål som preciseras i utlänningsdatalagen. Vidare kan självfallet handlingar lämnas ut med stöd av bestämmelserna i 2 kap. tryckfrihets- förordningen. I 8 § personuppgiftslagen – som gäller också vid behandling enligt utlänningsdatalagen – erinras om tryckfrihets- förordningens företräde i detta avseende. Dessutom anges i sist- nämnda paragrafs andra stycke att personuppgiftslagen inte hindrar myndigheternas arkivering och bevarande av allmänna handlingar respektive arkivmyndigheternas omhändertagande av arkivmaterial. Även andra avvikande bestämmelser i lag och förordning gäller före utlänningsdatalagen. Det framgår uttryckligen av utlänningsdata- lagens hänvisning till 2 § personuppgiftslagen i den bestämmelse som närmare preciserar lagens förhållande till personuppgiftslagen, se avsnitt 6.3. Även utlänningsdatalagen är alltså subsidiär i för- hållande till andra författningar. Vad detta har för betydelse när det gäller myndigheternas utlämnande till annan av personuppgifter behandlas i avsnitt 6.5.3.2. En avvikande regel i en annan speciallag som rör behandling av personuppgifter tar emellertid inte över utlänningsdatalagen. Det får anses följa av principen om att lex specialis har företräde. I de två fall då sådana avvikande speciallagar skall gälla före utlänningsdatalagen, nämligen i fråga om polis- 
 168 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 datalagen och lagen om Lucas informationssystem, anges det därför uttryckligen i den föreslagna lagen. 
 Lagens ändamålsbestämmelser bör vara fakultativa i den bemärkel- sen att de reglerar vad myndigheterna  
 får  
 göra. Syftet med ändamålsbestämmelserna är alltså att ange en yttersta ram för när personuppgifter får samlas in och fortsättningsvis behandlas  
 med stöd av utlänningsdatalagen och personuppgiftslagen 
 . Inom denna ram står det den personuppgiftsansvariga myndigheten fritt att bestäm- ma mer inskränkta ändamål för viss behandling eller vissa person- uppgiftskategorier. Myndigheten får således och bör även vid t.ex. inrättandet av ett nytt register formulera mer preciserade ändamål för registret. Exempelvis kan det föreskrivas att registret endast får användas till stöd för handläggningen av en viss ärendetyp likväl som att endast uppgifter om vissa personkategorier eller vissa personuppgiftskategorier får registreras däri. 
 Enligt utredningen bör det föreskrivas i utlänningsdatalagen att personuppgifter får behandlas för de i lagen angivna ändamålen endast om det är  
 nödvändigt 
 . Kan en arbetsuppgift lösas även om personuppgiften utelämnas eller avidentifieras är behandlingen inte nödvändig. Vidare skall det vara nödvändigt att behandla person- uppgifterna på ett sätt som omfattas av lagens tillämpningsområde, dvs. genom helt eller delvis automatiserad behandling eller i manuellt behandlade register. Det krävs dock inte att det skall vara faktiskt omöjligt att utföra en uppgift enligt något ändamål utan att behandla personuppgifterna automatiserat eller i register. Det räcker att det innebär en påtaglig förenkling att personuppgifter behandlas automatiserat eller i register i stället för manuellt utanför register. Avsikten är att utlänningsdatalagens nödvändighetsrekvisit skall förstås på samma sätt som motsvarande rekvisit i 10 § person- uppgiftslagen. Prövning av om en behandling är nödvändig måste göras inte bara då en personuppgift samlas in och registreras. Även senare behandlingar skall vara nödvändiga, t.ex. fortsatt lagring av personuppgiften i ett datasystem eller behandling för uppföljning, framställning av statistik m.m. 
 I allmänhet gäller att det finns behov av att behandla samma personuppgifter för flera av ändamålen. Migrationsverket, som bedriver den mest omfattande och mångsidiga verksamheten inom utlänningsdatalagens tillämpningsområde, har inte sällan behov av att behandla samma personuppgifter för samtliga ändamål. Vid tidpunkten då en personuppgift samlas in, står det dock ofta inte klart för vilka övriga ändamål än det för stunden aktuella som den 
 169 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 enskilda uppgiften senare kan komma att behöva behandlas. Av lagen bör därför framgå att personuppgifterna skall anses insamlade för alla i utlänningsdatalagen angivna ändamål, om inte annat anges då en personuppgift samlas in, t.ex. i information som lämnas till den registrerade. Även om uppgiften ursprungligen, såsom i praktiken ofta är fallet, inhämtats i samband med handläggningen av ett ärende, får uppgiften alltså senare behandlas för andra i lagen angivna ändamål, givetvis under förutsättning att behandlingen är nödvändig för dessa ändamål. 
 Förslaget att i lagen ange bestämda ändamål begränsar myndig- heternas behandlingsutrymme vilket, som tidigare sagts, är moti- verat av hänsyn till enskildas personliga integritet. Som nyss sagts gäller dock 9 § första stycket d) och andra stycket personuppgifts- lagen även vid behandling enligt utlänningsdatalagen. Personuppgifter som redan finns i verksamheten får alltså behandlas för andra ändamål än de som uttryckligen anges i utlänningsdatalagen, om de nya ändamålen är förenliga med de tidigare ändamålen. Det innebär att ett nytt ändamål måste vara förenligt med i vart fall ett av lagens angivna ändamål eller, såvida ändamålen vid insamlingen av person- uppgifterna har begränsats till endast några av ändamålen, med i vart fall ett av dessa särskilt angivna insamlingsändamål. Enligt utredningens mening framgår detta av personuppgiftslagen och dataskyddsdirektivet. Det behöver därför inte särskilt anges i utlänningsdatalagen. 
 Vid bedömningen av vad som skall anses förenligt eller ofören- ligt med insamlingsändamålen får ledning hämtas från den praxis m.m. som kan utvecklas i anslutning till oförenlighetsprövningen enligt 9 § första stycket d) personuppgiftslagen. 
 Insamlade personuppgifter får också behandlas för historiska, statistiska eller vetenskapliga ändamål. Behandling för forsknings- ändamål av tidigare insamlade personuppgifter får således ske enligt utlänningsdatalagen utan att det behöver anges som ett särskilt ändamål. Eftersom de aktuella myndigheternas arkivering och bevarande av allmänna handlingar är undantagen från lagens tillämp- ningsområde enligt 8 § personuppgiftslagen, torde behandling för historiska ändamål endast undantagsvis kunna bli aktuell inom utlänningsdatalagens tillämpningsområde och enbart kunna avse handlingar som inte är allmänna. 
 Givetvis skall behandling för ett nytt ändamål eller för historiska, statistiska eller vetenskapliga ändamål vara nödvändig. 
 170 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 6.5.3.2 
  
 De särskilda ändamålen 
  
 Av dataskyddsdirektivet följer ett krav på att ändamålen skall vara  
 särskilda 
 . Det ligger emellertid i sakens natur att ändamålsbestäm- melser måste formuleras tämligen generellt när det som i detta fall gäller en särlag som reglerar flera myndigheters behandling av personuppgifter i en så omfattande och mångskiftande verksamhet som här är i fråga. Utredningen bedömer dock att de föreslagna ändamålen uppfyller direktivets krav på att vara särskilda, genom att de ger tillämparen tillräcklig ledning för bedömningen av vilka personuppgifter som är adekvata och relevanta i förhållande till ändamålen med behandlingen. 
 Nedan följer en närmare beskrivning av de ändamål för vilka personuppgifter skall få behandlas enligt utredningens förslag. I praktiken flyter ändamålen ibland in i varandra i det att en och samma behandling av personuppgifter kan ske för mer än ett ända- mål. 
 Handläggning av ärenden eller en myndighets biträde i sådana ärenden 
 Det är självklart att myndigheterna skall få inhämta och behandla uppgifter som är nödvändiga för att de skall kunna fullgöra sina uppgifter att handlägga ärenden enligt de författningar som omfat- tas av lagens verksamhetsområde såsom detta närmare preciseras i avsnitt 6.2.3.1 och i författningskommentaren, avsnitt 9. 
 Det bör noteras att en i ett ärende lämnad uppgift kan få behand- las såsom nödvändig för handläggningen av ett ärende även om uppgiften saknar all relevans för utgången av ärendet. En myndig- het kan t.ex. inte underlåta att ta emot och registrera en via  
 e-post 
  inkommen handling som hänför sig till ett eller flera ärenden bara därför att myndigheten anser att uppgifterna i handlingen sakligt sett inte behövs för ärendets handläggning. Formella handlägg- ningsregler i andra författningar kan således göra en behandling av sakligt sett irrelevanta personuppgifter nödvändig. Exempelvis är myndigheterna skyldiga att ta emot och registrera inkomna hand- lingar. Likaså finns regler om anteckningsskyldighet, parts rätt att ta del av det som har tillförts ärendet samt kommunikationsplikt i förvaltningslagen (1986:223) som i sig alltså kan medföra att personuppgifter måste behandlas. 
 171 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 Ändamålet handläggning av ärenden bör tolkas i en tämligen vidsträckt bemärkelse. Förutom att ge stöd åt insamling och senare behandling av personuppgifter som är nödvändiga i ett ärende, medger ändamålet att de lagrade uppgifterna behandlas i ett senare ärende som rör samma person eller en annan person men där den registrerade förekommer såsom t.ex. anhörig eller referensperson. 
 Det föreslagna ändamålet avser dock endast behandling av personuppgifter som behövs för den egna myndighetens verksam- het. Utlämnande av personuppgifter från t.ex. Migrationsverket till utlandsmyndigheterna för att de senare skall få underlag för sin ärendehantering, omfattas således inte av detta ändamål. Ett utlämnande av personuppgifter som sker för att få ytterligare information som behövs i ett eget ärende, t.ex. i samband med en begäran om yttrande, innefattas däremot i ändamålet handläggning av ärenden. 
 Utöver egen handläggning bör lagen också ge stöd åt behandling av personuppgifter i den medverkan med utredning i en utlännings- myndighets handläggning av utlännings- och medborgarskapsären- den som utlandsmyndigheter utför och som närmare beskrivits i betänkandet Utlandsmyndigheternas medverkan i utlänningsärenden m.m. (SOU 2001:110). Detsamma gäller polisens behandling av personuppgifter i de fall polismyndighet bistår Migrationsverket med att genomföra beslut om förvar. 
 Merparten av personuppgifterna i de i avsnitt 4 beskrivna upp- giftssamlingarna behandlas för ändamålet att handlägga ärenden i verksamhet enligt utlännings- och medborgarskapslagstiftningen. System såsom  
 STAMM 
 , dokumenthanteringssystemet  
 DHS 
 , ärende- hanteringssystemen  
 Kent  
 och  
 Garcia,  
 UNik  
 och  
 ROSE  
 har som sina huvudsakliga ändamål att samla och tillhandahålla information som behövs för handläggning av ärenden. 
 Kontroll av utlänning i samband med inresa och utresa samt kontroll under vistelsen i Sverige 
 Härmed avses den utlänningskontroll som företas av polisen samt Migrationsverket i enlighet med 5 kap. utlänningslagen och 5 kap. utlänningsförordningen. I kontrollverksamheten behandlas person- uppgifter i en icke ringa utsträckning. Migrationsverkets STAMM- bas används t.ex. för kontrolländamål av både Migrationsverket och polisen. Som nämnts i avsnitt 6.2.2, torde polisens behandling av personuppgifter för detta ändamål i stor utsträckning omfattas av 
 172 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 polisdatalagens bestämmelser. Migrationsverket deltar emellertid i såväl den yttre som den inre utlänningskontrollen. Det behövs därför ett ändamål som omfattar båda kontrollformerna. 
 Utförande av arbetsuppgifter som gäller mottagande och bosättning av asylsökande och andra utlänningar 
 Vid Migrationsverkets regionkontor och mottagningsförläggningar bedrivs en omfattande s.k. faktisk verksamhet kring ombesörjandet av boende och sysselsättning för asylsökande och andra utlän- ningar. Med asylsökande och andra utlänningar avses utlänningar som omfattas av lagen om mottagande av asylsökande m.fl. Även verkets faktiska verksamhet med att överföra och ta emot kvotflyk- tingar omfattas av detta ändamål. Integrationsverket kan vidare med stöd av detta ändamål behandla personuppgifter för att hjälpa en utlänning med bosättning efter erhållet uppehållstillstånd. Ändamålet gör det således möjligt att behandla personuppgifter i den verksamhet som nämnts i avsnitt 6.3.1 och som avser mot- tagande av asylsökande och andra utlänningar samt bosättning av utlänningar. 
 Det i  
 STAMM-basen 
  ingående delsystemet  
 Mottagning  
 avser behandling av personuppgifter för ändamål som anges i denna punkt (se avsnitt 4.1.1). Daganteckningar beträffande inskrivna asylsökande, som görs av personal på mottagningsförläggningar, är exempel på behandling av personuppgifter för detta ändamål.  
 Kvotsystemet  
 är ett annat delsystem där information som behandlas för detta ändamål registreras och lagras. Vissa delsystem, t.ex.  
 Individ  
 och  
 Kort 
 , torde användas för överlappande syften, dvs. såväl för ändamål som avses i detta avsnitt som för handlägg- ningsändamål. 
 Uppgiftsutlämnande som sker med stöd av lag eller förordning, följer av Sveriges medlemskap i Europeiska unionen eller av uppgiftsskyldig- het enligt internationell konvention som Sverige tillträtt eller av riksdagen godkänt avtal med främmande stat eller mellanfolklig organisation (Uppgiftsutlämnande) 
 Personuppgifter som behandlas i verksamhet enligt utlännings- och medborgarskapslagstiftningen lämnas i olika sammanhang ut till en myndighet eller en enskild för syften som inte gäller den utlämnande 
 173 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 myndighetens egen verksamhet utan som sker för mottagarens räkning. Vid ändamålet handläggning av ärenden har det fallet berörts att Migrationsverket lämnar ut personuppgifter till utlands- myndigheter, uppgifter som de mottagande myndigheterna behö- ver som underlag för sin ärendehandläggning. Många andra skäl till att uppgifter lämnas ut för mottagarens räkning finns givetvis. 
 Utlämnande av personuppgifter i offentliga, allmänna handlingar i enlighet med tryckfrihetsförordningen kan ske utan att det behö- ver anges som ett särskilt ändamål för vilket behandlingen är tillå- ten. Detta följer av 8 § personuppgiftslagen. 
 Det finns vidare en rad olika författningar som föreskriver att myndigheter skall lämna ut uppgifter till andra myndigheter. Som exempel på sådana specifika bestämmelser om uppgiftsskyldighet kan nämnas de uppgifter som Migrationsverket eller Integrations- verket skall lämna till Centrala studiestödsnämnden enligt förordningen (1990:1361) om lån till hemutrustning för flyktingar och vissa andra utlänningar och enligt studiestödsförordningen (2000:655) samt vidare yttranden som Migrationsverket skall avge enligt 9 § förordningen (1963:194) om samarbete med Danmark, Finland, Island och Norge angående verkställighet av straff m.m. och enligt 2 § lagen (1971:796) om internationella rättsförhållanden rörande adoptioner. Av 2 § personuppgiftslagen, som är tillämplig i verksamhet enligt utlännings- och medborgarskapslagstiftningen, följer att personuppgiftslagen och utlänningsdatalagen inte hindrar utlämnande av personuppgifter enligt sådan författningsreglerad uppgiftsskyldighet som här avses. 
 Vidare skall enligt 15 kap. 5 § sekretesslagen en myndighet på begäran av annan myndighet lämna ut uppgift som den förfogar över i den mån hinder inte möter på grund av bestämmelse om sekretess eller av hänsyn till arbetets behöriga gång. Bestämmelsen kan ses som en precisering av den allmänna samverkansskyldighet myndigheter emellan som gäller enligt 6 § förvaltningslagen (1986:223). Bestämmelsen i 15 kap. 5 § sekretesslagen nämns i en kommentar till personuppgiftslagen som exempel på en sådan bestämmelse som gäller före personuppgiftslagen till följd av 2 § personuppgiftslagen (se Mckinney –  
 Suarez, Personuppgiftslagen En kommentar, andra uppl. 2001, s. 45). 
 Som framgått tidigare är det ingen förutsättning att ett särskilt ändamål som omfattar utlämnandet tas in i utlänningsdatalagen för att ett utlämnande med stöd av en bestämmelse som föreskriver en 
 174 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 skyldighet att lämna ut uppgifter till andra myndigheter eller enskilda skall kunna ske. 
 Det finns emellertid även regler som tillåter eller medger att uppgifter lämnas ut. Ett exempel är den s.k. generalklausulen i 14 kap. 3 § sekretesslagen (1980:100) enligt vilken sekretessbelagd uppgift  
 får  
 lämnas till myndighet, om det är uppenbart att intresset av att uppgiften lämnas har företräde framför det intresse som sekretessen skall skydda. I sekretesslagen finns även flera bestäm- melser som anger att uppgifter utan hinder av sekretess  
 får  
 lämnas till enskild. Även sådana bestämmelser torde gälla före personupp- giftslagen på motsvarande sätt som sagts ovan när det gäller för- fattningsreglerade uppgiftsskyldigheter. Alldeles klart att det för- håller sig på detta sätt är det dock inte enligt utredningen. Enligt utredningens bedömning är det vidare tveksamt om uppgiftsutläm- nande som myndigheter företar på eget initiativ – med stöd av 1 kap. 5 §, 14 kap. 1 § första meningen, 14 kap. 2 eller 3 § sekretess- lagen – sker med stöd av reglering som avviker från person- uppgiftslagen på det sätt som avses i 2 § personuppgiftslagen. 
 Gemensamt för allt det uppgiftslämnande som behandlats i det föregående är att det sker med stöd av författningar som påbjuder eller tillåter utlämnande. När bestämmelser om sådant uppgifts- utlämnande har införts, får det förutsättas att det har gjorts en avvägning mellan intresset av att uppgiften lämnas ut och intresset av att skydda enskilda personers integritet, vid vilken man funnit att uppgiften skall eller får lämnas ut. Det saknas därför anledning att i en integritetsskyddslagstiftning, som den nu föreslagna, för- hindra att personuppgifter som finns i verksamheten enligt utlännings- och medborgarskapslagstiftningen lämnas ut i dessa fall. För att undanröja varje tvivel huruvida lagar eller förordningar som tillåter uppgiftsutlämnande utgör sådana avvikande bestäm- melser som avses i 2 § personuppgiftslagen, bör det i utlännings- datalagen finnas en ändamålsbestämmelse som medger sådant utlämnande. En sådan bestämmelse föreslås därför. 
 Vidare anser utredningen att det behövs en ändamålsbestäm- melse som uttryckligen tillåter att personuppgifter behandlas genom att lämnas ut, om det sker på grund av för Sverige bindande internationella överenskommelser. Härmed avses utbyte inom EU mellan myndigheter m.fl. – t.ex. inom ramen för samarbetet i asyl- och invandringsfrågor – och som inte reglerats i en direkt tillämplig  
 EG-förordning 
  likväl som övrigt uppgiftsutbyte enligt förpliktelser i konventioner eller av riksdagen godkända avtal med främmande 
 175 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 stat eller mellanfolkliga organisationer. En annan sak är att sekre- tesslagen i vissa fall kan hindra att personuppgifter lämnas till utländsk myndighet. 
 Återsökning av avgöranden, rättsutredningar, annan rättslig informa- tion samt information rörande förhållanden i andra länder som är ägnad at ge vägledning åt handläggning av ärenden (Informations- återsökning) 
 Inom främst Migrationsverkets och Utlänningsnämndens verksam- het är informationssamlingar om praxis, förhållanden i länder varifrån många asylsökande härrör samt annan allmängiltig information mycket viktiga som stöd för bedömningar vid handläggning av enskilda ärenden. I avsnitt 4.1.6, har Migrationsverkets informa- tionssystem  
 LIFOS  
 beskrivits närmare. Det är berättigat att utlänningsdatalagen innehåller ett ändamål som ger stöd för denna insamling och fortsatta behandling av personuppgifter. I enlighet med kravet att behandlingen skall vara nödvändig följer emellertid att personuppgifter i åtskilliga fall måste avidentifieras eller i vart fall att uppgifter som direkt utpekar en individ utelämnas, t.ex. i rättsfallssamlingar där identiteten på personen i fråga oftast är oväsentlig för informationsvärdet. 
 Tillsyn, kontroll, uppföljning och planering 
 Personuppgifter i en myndighets verksamhet bör få behandlas för att myndigheterna skall kunna fortlöpande eller vid särskilda tillfällen granska, utvärdera och utveckla sin verksamhet. Med det föreslagna ändamålet avses bl.a. en myndighets granskning genom tillsyn och kontroll i efterhand av handläggningen av enskilda ärenden likväl som tillsyn och kontroll av verksamheten på central, regional eller lokal nivå. Vidare avses uppföljning och planering av den egna myndighetens verksamhet på olika nivåer. Av vad som angetts i avsnitt 6.2.1 om tillämpningsområdet framgår att den tillsyn som annan myndighet kan utöva, t.ex. Justitiekanslern, inte avses med detta ändamål. 
 Migrationsverkets system  
 PLUS  
 och Integrationsverkets system  
 MOTIV, AKTIV  
 och  
  
 Bo-Data 
  
 är system som används såväl för 
 176 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 ändamål som här avses som för framställning av statistik (se om dessa system avsnitt 4.1.5 och 4.3). 
 Framställning av statistik 
 Bland såväl Migrationsverkets som Integrationsverkets uppgifter ingår att föra statistik över förhållanden som ingår i myndigheter- nas verksamhetsområden. 
 Som tidigare sagts är behandling av personuppgifter för statistiska ändamål i och för sig inte oförenlig med övriga ändamål för vilka uppgifter samlas in och behandlas. Det är med andra ord tillåtet att behandla personuppgifter som redan finns i verksamheten för att framställa statistik även om det inte direkt anges som ett ändamål i utlänningsdatalagen. Det bör dock av lagen uttryckligen framgå att uppgifter också får samlas in för att framställa statistik. Integra- tionsverket inhämtar t.ex. personuppgifter från myndigheter som Statistiska centralbyrån och Arbetsmarknadsstyrelsen för behand- ling i sitt system  
 AKTIV  
 ( se avsnitt 4.3). Ett särskilt ändamål för statistikframställning föreslås därför. 
  
 6.6 
  
 Uppgifter som får behandlas 
  
 Utredningens förslag 
 : Alla personuppgifter som är  
 nödvändiga  
 för det ändamål för vilket behandlingen utförs får behandlas. Känsliga personuppgifter får emellertid behandlas endast då det är  
 oundgängligen nödvändigt 
 . Personuppgiftslagens regler om behandling av uppgifter om lagöverträdelser m.m. samt behand- ling av personnummer skall gälla även vid behandling enligt ut- länningsdatalagen. 
 Som tidigare framgått behandlas en mycket stor mängd person- uppgifter av olika slag inom lagförslagets verksamhetsområde. Utlänningsdataförordningen, som enbart reglerar automatiserad behandling av personuppgifter i register, innehåller en uppräkning av vilka personuppgifter som får behandlas i myndigheternas verk- samhetsregister. Även om det från integritetssynpunkt är en fördel att på detta sätt specificera vilka personuppgifter som får behandlas i verksamheten, bedömer utredningen att det finns stora tillämp- ningssvårigheter med en sådan författningsteknisk lösning. Den 
 177 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 lagreglerade behandlingen sker i en mycket omfattande och mång- skiftande verksamhet där personuppgifter behandlas inte bara i register utan också i ärendehanteringssystem, ordbehandlingsprogram m.m. En detaljreglering av det slag som nu finns i utlänningsdata- förordningen riskerar att försvåra ett rationellt utnyttjande av in- formationstekniken i verksamheten, inte minst med hänsyn till behovet av flexibilitet vid förändringar i verksamheten. Med tanke på att listan ofta torde behöva revideras ter det sig olämpligt att i lagen ta in en lista över tillåtna personuppgifter. 
 Frånsett vissa särbestämmelser i fråga om känsliga person- uppgifter och uppgifter om lagöverträdelser m.m., föreslår utred- ningen således inga bestämmelser i lagen som konkret anger vilka personuppgifter som får eller inte får behandlas i verksamhet enligt utlännings- och medborgarskapslagstiftningen. I stället föreslås att ändamålsbestämningen skall styra över vilka personuppgifter som får samlas in och behandlas. Alla personuppgifter som är nöd- vändiga för det ändamål för vilket behandlingen utförs får därmed behandlas. Personuppgiftslagens krav på att personuppgifterna skall vara adekvata och relevanta i förhållande till ändamålen med behandlingen samt att inte fler personuppgifter behandlas än vad som är nödvändigt med hänsyn till ändamålen med behandlingen medför emellertid en såväl kvalitativ som kvantitativ begränsning i fråga om vilka personuppgifter som får behandlas. Den föreslagna ordningen är, anser utredningen, godtagbar från integritetssynpunkt, inte minst mot bakgrund av att de integritetskänsliga uppgifterna kringgärdas av en sträng sekretess som är ägnad att förhindra obehörig insyn och spridning. Dessutom kommer utredningen att i det följande föreslå att begränsningar skall kunna föreskrivas i för- fattningar på lägre nivå, dvs. i förordning eller i myndighetsföre- skrifter (se avsnitt 6.18). 
 Enligt personuppgiftslagen gäller särskilda regler för vissa kategorier av uppgifter nämligen känsliga personuppgifter (13 §), personuppgifter om lagöverträdelser m.m. (21 §) och uppgifter om personnummer (22 §). Vad som föreslås gälla för dessa uppgifts- kategorier behandlas i det följande. 
 178 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 Behandling av känsliga personuppgifter m.m. 
 Enligt 13 § personuppgiftslagen gäller ett principiellt förbud mot behandling av känsliga personuppgifter. Med känsliga personupp- gifter avses uppgifter som avslöjar ras eller etniskt ursprung, poli- tiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa eller sexualliv. 
 Från förbudet finns några undantag (  
 14–20 
  §§) som gör att behandling får företas trots förbudet. Undantag gäller om den registrerade har lämnat sitt uttryckliga samtycke till behandlingen eller på ett tydligt sätt offentliggjort uppgifterna. Vidare får behand- ling företas utan samtycke om den är nödvändig för att den personuppgiftsansvarige skall kunna fullgöra sina skyldigheter eller utöva sina rättigheter inom arbetsrätten, för att den registrerades eller någon annans vitala intressen skall kunna skyddas och den registrerade inte kan lämna sitt samtycke samt för att rättsliga anspråk skall kunna fastställas, göras gällande eller försvaras. Under särskilda förutsättningar får vissa ideella organisationer behandla känsliga personuppgifter. Viss nödvändig behandling av känsliga personuppgifter får även ske för hälso- och sjukvårdsändamål samt för forsknings- och statistikändamål. 
 Regeringen, eller den myndighet som regeringen bestämmer, får meddela föreskrifter om ytterligare undantag från förbudet att behandla känsliga personuppgifter, om det behövs med hänsyn till ett viktigt allmänt intresse. Möjligheten att göra undantag från förbudet med hänsyn till ett viktigt allmänt intresse överensstäm- mer med vad som föreskrivs i artikel 8.4 i dataskyddsdirektivet. I 8 § personuppgiftsförordningen har regeringen föreskrivit att käns- liga personuppgifter får, utöver de undantag som anges i per- sonuppgiftslagen, behandlas av en myndighet i löpande text om uppgifterna har lämnats i ett ärende eller är nödvändiga för hand- läggningen av det. 
 Enligt utlänningsdataförordningen får i verksamhet enligt utlän- nings- och medborgarskapslagstiftningen känsliga personuppgifter behandlas i verksamhetsregister, om uppgifterna är oundgängligen nödvändiga för ändamålen att handlägga ärenden eller att fullgöra underrättelseskyldighet som följer av lag eller förordning. I landinfor- mationsregister får känsliga personuppgifter behandlas i löpande text, om uppgifterna är oundgängligen nödvändiga för att fullgöra arbetsuppgifter i verksamhet enligt utlännings- och medborgar- skapslagstiftningen. 
 179 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 Verksamhet enligt utlännings- och medborgarskapslagstiftningen är till sin karaktär sådan att känsliga personuppgifter förekommer i stor utsträckning och i sammanhang där uppgifterna är adekvata och relevanta, eftersom de har betydelse för verksamheten. I utred- ningens kartläggning av den nuvarande behandlingen av person- uppgifter inom verksamhetsområdet har det framgått att känsliga personuppgifter behandlas för samtliga de ändamål som föreslagits i avsnitt 6.5.3. 
 Vid handläggning av asylärenden – vilken omfattar en stor del av den behandling som förekommer i verksamhetsområdet – är av naturliga skäl alla kategorier av känsliga personuppgifter som anges i 13 § personuppgiftslagen av central betydelse för bedömningarna. Även vid handläggning av andra ärendetyper och vid hantering av personuppgifter för övriga ändamål finns det ofta berättigad anled- ning att behandla känsliga personuppgifter, i synnerhet uppgifter som avslöjar en utlännings etniska ursprung eller som rör hans eller hennes hälsotillstånd. Det bör därför tillåtas att känsliga person- uppgifter inom verksamhetsområdet behandlas med modern och effektiv teknik. Det kan noteras att det ofta ligger i den registre- rades intresse att sådana uppgifter kommer fram och beaktas i angelägenheter som rör honom eller henne. 
 För den behandling av känsliga personuppgifter som behövs, finns emellertid inga andra tillämpliga undantag från dataskydds- direktivets och personuppgiftslagens förbud än undantaget i per- sonuppgiftslagen om den registrerades samtycke och behandling för statistikändamål samt undantaget i personuppgiftsförordningen om behandling i löpande text vid handläggning av ärenden. Dessa undantag är i enlighet med det sagda inte tillräckliga. 
 Utredningen föreslår därför att en bestämmelse införs om att känsliga personuppgifter får behandlas enligt utlänningsdatalagen. 
 Av bestämmelsen bör framgå att känsliga personuppgifter får behandlas för alla de ändamål som föreslagits i avsnitt 6.5.3, dock endast om behandlingen är  
 oundgängligen nödvändig  
 för syftet med behandlingen. Härmed markeras att en särskild försiktighet måste iakttas inte bara då en känslig personuppgift samlas in utan även varje gång uppgiften senare på nytt behandlas. 
 Med tanke på verksamhetens karaktär kommer uppgifter som avslöjar etniskt ursprung, t.ex. språkuppgift i kombination med ett namn, normalt att vara oundgängligen nödvändiga för verksam- heten. Kravet innebär således inte att känsliga personuppgifter endast undantagsvis får behandlas. Likaså torde viss behandling av 
 180 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 känsliga personuppgifter som lämnats i ett ärende alltid vara oundgängligen nödvändig, t.ex. då det följer av förvaltningslagen att uppgifterna måste registreras, kommuniceras m.m., se avsnitt 6.5.3. 
 Att därutöver i lagen genom detaljbestämmelser begränsa tillåt- ligheten av behandling av känsliga personuppgifter är inte lämpligt. Som kommer att föreslås i det följande, avsnitt 6.18.1, bör emel- lertid ytterligare begränsningar kunna föreskrivas i en förordning som utfärdas i anslutning till lagen. 
 Förslaget i fråga om känsliga personuppgifter torde i praktiken i allt väsentligt ersätta personuppgiftslagens reglering i  
 14–20 
  §§ om undantag från det grundläggande förbudet mot behandling av käns- liga personuppgifter. 
 I lagen bör vidare tas in en bestämmelse som anger att den registrerade inte med rättslig verkan kan motsätta sig en behandling som uppfyller de övriga krav som utlänningsdatalagen uppställer. Av pedagogiska skäl bör den bestämmelsen utformas så att den inte bara tar sikte på behandling av känsliga personuppgifter utan all behandling av personuppgifter enligt lagen. 
 Behandling av uppgifter om lagöverträdelser m.m. och om personnummer 
 Enligt 21 § personuppgiftslagen är det förbjudet för andra än myndigheter att behandla personuppgifter om lagöverträdelser som innefattar brott, domar i brottmål, straffprocessuella tvångsmedel eller administrativa frihetsberövanden. Dessa uppgifter är således inte känsliga i dataskyddsdirektivets eller personuppgiftslagens mening men är naturligtvis ändå av ömtålig art integritetsmässigt sett. I verksamhet enligt utlännings- och medborgarskapslagstift- ningen finns behov av att behandla dessa uppgifter, eftersom de tillmäts betydelse i bl.a. ärenden om uppehållstillstånd eller svenskt medborgarskap. Migrationsverket har därför medgetts direktåt- komst till de av Rikspolisstyrelsen förda belastningsregistret och misstankeregistret. Självfallet behandlar myndigheterna också uppgifter om förvar enligt utlänningslagen, som är ett administra- tivt frihetsberövande. 
 Utredningen föreslår ingen inskränkning av myndigheternas rätt att behandla uppgifter om lagöverträdelser m.m. i förhållande till vad som följer av personuppgiftslagen. Vid myndigheternas behand- 
 181 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 ling av uppgifter om lagöverträdelser m.m. gäller således vad som följer av 21 § personuppgiftslagen. 
 Uppgifter om personnummer eller samordningsnummer får enligt 22 § personuppgiftslagen förutom med den registrerades samtycke behandlas bara när det är klart motiverat med hänsyn till ändamålet med behandlingen, vikten av säker identifiering eller något annat beaktansvärt skäl. Även person- och samordnings- nummer är av ömtålig art och bör inte behandlas utan särskild försiktighet. Vikten av en säker identifiering i verksamhet enligt utlännings- och medborgarskapslagstiftningen medför dock att uppgifter om personnummer eller samordningsnummer regelmässigt måste behandlas i verksamheten. Personuppgiftslagens bestäm- melse om behandling av dessa identifikationsnummer föreslås således gälla även för behandling som företas med stöd av utlän- ningsdatalagen. Det innebär enligt utredningens bedömning att myndigheterna kan fortsätta att behandla personnummer på det sätt som hittills gjorts. 
 I sammanhanget kan nämnas att Migrationsverkets dossier- nummer, som visserligen är individspecifika, inte torde utgöra sådant identifikationsnummer som avses i 22 § personuppgifts- lagen. 
  
 6.7 
  
 Fingeravtrycksregistret 
  
 Utredningens förslag 
 : Ändamålet för Migrationsverkets finger- avtrycksregister anges i lagen. Regeringen meddelar närmare bestämmelser om registrets innehåll m.m. 
 Enligt 5 kap. 5 § utlänningslagen får Migrationsverket eller polis- myndigheten fotografera en utlänning och, om han fyllt 14 år, ta hans fingeravtryck om utlänningen inte kan styrka sin identitet vid ankomsten till Sverige, utlänningen ansöker om uppehållstillstånd och åberopar skäl som avses i 3 kap. 2 eller 3 §, dvs. att utlänningen är flykting eller skyddsbehövande i övrigt, eller om det finns för- utsättningar att ta utlänningen i förvar. 
 Migrationsverket för ett automatiserat register över de fingerav- tryck som tas med stöd av utlänningslagen. För en närmare redo- görelse för registret och för utlänningsdataförordningens bestäm- melser om registret hänvisas till avsnitt 4.1.7. Här skall endast upprepas att registret även får föras över de fotografier som tas 
 182 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 med stöd av utlänningslagen. I anledning av de planer som finns på att komplettera fotografierna och fingeravtrycken med uppgifter om asylsökandes utseende m.m. som upptas och lagras med hjälp av biometrisk teknik, kan anmärkas att sådana kompletterande personuppgifter inte självklart kommer att kunna omfattas av utlänningsdatalagens bestämmelser om det aktuella registret. Det kan också nämnas att viseringsmärken redan från år 2004 planeras att förses med fotografier. Frågan bereds inom EU. Huruvida detta kommer att utmynna i en bindande förordning eller ett direktiv från EU är ännu okänt. Utredningen ser dock ingen anledning att låta den frågan påverka utredningens förslag. 
 För Migrationsverkets fingeravtrycksregister gäller vidare att registret endast får användas i utlänningsärenden om uppehålls- tillstånd där sökanden som skäl för sin ansökan åberopar att han eller hon är flykting eller i övrigt skyddsbehövande enligt 3 kap. 2 eller 3 § utlänningslagen samt i ärenden om avvisning och utvis- ning. Vidare föreskrivs vilka uppgifter registret får innehålla, under vilka förutsättningar uppgifter ur registret får lämnas ut på medium för automatiserad behandling samt när gallring skall ske. 
 Ändamålet för fingeravtrycksregistret inryms i ändamålet  
 hand- läggning av ärenden  
 som föreslagits i avsnitt 6.5.3. I avsnitt 5.4 har utredningen dock framhållit att det från integritetssynpunkt finns anledning att särskilt begränsa behandling av personuppgifter som utförs för att underlätta identifieringen av utlänningar. Härtill kommer att fingeravtrycksregistret är – till skillnad från övriga integritetskänsliga uppgiftssamlingar som finns inom verksamheten 
 – ett regelrätt register som lämpar sig väl för särreglering på grund av dess innehåll och avgränsning i förhållande till annan behandling av personuppgifter inom verksamheten. Utredningen föreslår där- för att det för just Migrationsverkets fingeravtrycksregister tas in en särbestämmelse i lagen som anger ett mer inskränkt ändamål i förhållande till den allmänna ändamålsbestämningen handläggning av ärenden. Detta ändamål bör motsvara vad som i dag gäller för registret. 
 Integritetsskäl talar vidare för att de övriga bestämmelser som enligt utlänningsdataförordningen gäller för fingeravtrycksregistret alltjämt skall gälla. Enligt utredningens mening bör dessa bestäm- melser lämpligen tas in i en förordning som utfärdas i anslutning till lagen. Utredningen återkommer i avsnitt 6.18.5 med närmare överväganden i fråga om en till lagen anslutande förordning. 
 183 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 Avslutningsvis kan påpekas att den omständigheten att Migrations- verkets fingeravtrycksregister särregleras i den föreslagna utlän- ningsdatalagen inte innebär någon begränsning av myndigheternas rätt att föra övriga register och andra uppgiftssamlingar, ärende- hanteringssystem och liknande, under förutsättning att de förs för ändamål som utredningen föreslagit i avsnitt 6.5.3. Enligt utredningens bedömning kan samtliga nuvarande uppgiftssamlingar som redovisats i avsnitt 4 alltjämt föras med stöd av den föreslagna utlänningsdatalagen. 
  
 6.8 
  
 Sökbegrepp och sambearbetning 
  
 Utredningens förslag 
 : Känsliga personuppgifter som anges i 13 § personuppgiftslagen får användas som sökbegrepp vid behandling för ändamålet informationsåtersökning. Känsliga personuppgifter som avslöjar etniskt ursprung eller rör hälsa får användas som sökbegrepp vid behandling för ändamålet tillsyn, kontroll, uppföljning och planering samt för ändamålet framställning av statistik. I övrigt får känsliga personuppgifter inte användas som sökbegrepp. 
 Personuppgifter om lagöverträdelser m.m. får inte användas som sökbegrepp. Uppgift om beslut om förvar enligt utlän- ningslagen skall dock få användas som sökbegrepp. Någon särbestämmelse som begränsar möjligheterna att sambearbeta personuppgifter behövs inte. 
  
 6.8.1 
  
 Sökbegränsningar 
  
 Med sökbegrepp brukar förstås bokstäver, koder eller siffror med vars hjälp man kan ta fram ett önskat urval lagrade personuppgifter om en eller flera personer ur en samlad informationsmängd som man har tillgång till. Personnummer, namn eller ärendenummer brukar t.ex. ofta användas som sökbegrepp när man letar sig fram till eftersökt information i ett datasystem. 
 Frågan om sökbegrepp är i princip intressant endast när det gäller information som finns lagrad på medium för automatiserad behandling. Anledningen härtill är att informationsteknikens ut- veckling medfört att sökmöjligheterna är i det närmaste obegrän- sade när det gäller elektroniskt lagrad information. Det sagda 
 184 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 innebär att sammanställningar av uppgifter teoretiskt sett kan göras utifrån alla tänkbara urvalskriterier som korresponderar med den lagrade informationen. Motsvarande sammanställningsmöjligheter saknas emellertid i praktiken helt när det gäller manuellt behandlad information som vanligen är sökbar endast utifrån ett fåtal krite- rier. 
 Från integritetssynpunkt är frågan om på vilket sätt uppgifter kan sammanställas av väsentlig betydelse. Ju större möjligheterna är att i olika konstellationer sammanställa uppgifter om enskilda, desto större blir riskerna för otillbörliga intrång i enskildas integri- tet. Från början harmlösa uppgifter kan genom en sammanställning framstå som integritetskränkande (jfr prop. Lag om behandling av personuppgifter i den arbetsmarknadspolitiska verksamheten 2001/02:144 s. 40). 
 Vilka sökbegrepp som kan användas har vidare betydelse för frågan om vilka handlingar som anses förvarade hos en myndighet och vad som därmed kan bli tillgängligt för allmänheten i enlighet med offentlighetsprincipen. Med handlingar avses enligt tryck- frihetsförordningen inte enbart pappershandlingar utan även upp- tagningar som kan läsas, avlyssnas eller på annat sätt uppfattas endast med hjälp av tekniskt hjälpmedel. 
 En handling är allmän om den förvaras hos myndigheten och är att anse som inkommen till eller upprättad hos myndigheten. En upptagning för automatiserad behandling anses förvarad hos en myndighet, om upptagningen är tillgänglig för myndigheten med tekniskt hjälpmedel som myndigheten själv utnyttjar för överföring i sådan form att den kan läsas, avlyssnas eller på annat sätt upp- fattas. 
 Varje sammanställning av sakligt sammanhängande uppgifter i en upptagning som myndigheten kan göra med hjälp av tillgängliga program är att anse som en handling som förvaras hos myndig- heten. Detta gäller även om det aldrig tidigare har existerat en sådan sammanställning och även om sammanställningen inte alls behövs inom myndigheten. Förutom redan existerande handlingar brukar man därför tala också om s.k. potentiella handlingar. En förutsättning är dock att sammanställningen skall kunna göras tillgänglig med hjälp av rutinbetonade åtgärder, dvs. med en enkel arbetsinsats och utan nämnvärda kostnader eller andra komplika- tioner. Tekniska begränsningar kan således innebära att en sam- manställning inte kan göras. Den tänkta sammanställningen är därmed ingen allmän handling. En myndighet är dock skyldig att 
 185 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 använda alla tillgängliga sökmöjligheter när någon begär uppgifter ur upptagningar som är allmänna handlingar. 
 En myndighets – och följaktligen därmed också allmänhetens – möjligheter att få tillgång till sammanställningar av uppgifter som finns i myndighetens informationssystem kan emellertid under- kastas rättsliga begränsningar. Enligt 2 kap. 3 § andra stycket tryckfrihetsförordningen kan en myndighets befogenheter att göra sammanställningar av personuppgifter begränsas genom lag eller förordning. 
 Av hänsyn till den enskildes personliga integritet har i många registerförfattningar sammanställningsmöjligheterna begränsats genom reglering av vilka sökbegrepp som får eller inte får användas. Även nyare författningar som har anpassats till personuppgifts- lagen innehåller inte sällan begränsningar i fråga om sökbegrepp. Vanligen omfattar en sådan begränsning uppgifter som anses som särskilt känsliga från integritetssynpunkt. Lagen (2001:617) om behandling av personuppgifter inom kriminalvården och lagen (2002:546) om behandling av personuppgifter i den arbets- marknadspolitiska verksamheten kan nämnas som exempel på lagar som är anpassade till personuppgiftslagen och som innehåller sökbegränsningar. 
 Enligt utlänningsdataförordningen gäller att känsliga person- uppgifter enligt 13 § personuppgiftslagen inte får användas som sökbegrepp i verksamhetsregister samt att personuppgifter som direkt pekar ut en registrerad inte får användas som sökbegrepp i ett landinformationsregister. Detsamma gäller för rättsfallsregister. Uppgifter som direkt pekar ut en individ får över huvud taget inte förekomma i rättsfallsregister enligt förordningen. 
 Utan sökbegränsningar kan, som framgått av det föregående, vilka sökningar och sammanställningar som helst göras, t.ex. i fråga om information av mycket känslig art i Migrationsverkets omfat- tande och integritetskänsliga datasystem STAMM. Myndigheterna kan dock utforma datasystemen så att endast behörig personal kan utföra sökningar samt inrätta behörighetssystem som gör att det i efterhand går att fastställa vilka personer som har tagit del av information (loggning). Den s.k. socialtjänstsekretessen enligt 7 kap. 4 § tredje stycket eller utlänningssekretessen i 7 kap. 14 § andra stycket sekretesslagen förhindrar också som regel allmän- hetens möjligheter att med stöd av offentlighetsprincipen få ut sammanställningar av integritetskänslig information som finns i verksamhet enligt utlännings- och medborgarskapslagstiftningen. 
 186 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 Den starka sekretessen innebär därmed i sig ett skydd mot just sådana integritetsintrång som obegränsade sökmöjligheter kan innebära. Mot bakgrund av det anförda kan det alltså ifrågasättas om det behövs några sökbegränsningar i utlänningsdatalagen. 
 Vikten av att minimera risken för otillbörliga integritetsintrång medför emellertid att det, enligt utredningens uppfattning, trots allt finns anledning att begränsa vilka uppgifter som får användas som sökbegrepp, inte minst därför att den fortgående utvecklingen av den elektroniska ärendehanteringen innebär att allt större mäng- der integritetskänslig information lagras i elektroniska uppgifts- samlingar. I likhet med vad nuvarande bestämmelser slår fast, föreslås därför att känsliga personuppgifter inte skall få användas som sökbegrepp när det gäller myndigheternas kärnverksamhet med att handlägga ärenden, kontrollera utlänningar enligt 5 kap. utlänningslagen samt bedriva mottagningsverksamhet. Inte heller bör känsliga personuppgifter få användas som sökbegrepp när det gäller uppgiftsutlämnande. 
 När det däremot gäller sökning efter uppgifter som behandlas för ändamålet informationsåtersökning, är just snabb tillgång till denna typ av uppgifter av stor vikt för uppgiftssamlingarnas värde som referensmaterial. Exempelvis kan det vara väsentligt i ett asyl- ärende att kunna söka efter uppgifter i Migrationsverkets LIFOS som sammanställda kan ge en god överblick över situationen för homosexuella i den asylsökandes hemland. Eftersom stark sekre- tess gäller för uppgifterna anser utredningen att det från integri- tetssynpunkt kan godtas att känsliga personuppgifter får användas som sökbegrepp just beträffande detta ändamål. Det skall också beaktas att behandlingen inte omfattar stora mängder registrerade, eftersom personuppgifter ofta avidentifieras innan de görs till- gängliga för ändamålet informationsåtersökning. 
 Även när det gäller behandling av personuppgifter för ändamålen tillsyn, kontroll, uppföljning och planering samt framställning av statistik anser utredningen att myndigheterna har starka skäl att kunna söka och sammanställa uppgifter om etnicitet och hälsa. I annat fall försvåras bl.a. möjligheterna att mäta tendenser som är av betydelse för verksamheten. Det kan t.ex. finnas anledning att följa upp och planera för flyktingströmmar från en viss etnisk konflikt eller för att kunna bereda verksamheten på att ta emot stora ström- mar av asylsökande som är  
 HIV-bärare 
  eller drabbade av svåra miljökatastrofer. Med tanke på uppgifternas sekretess och på att endast ett fåtal anställda är sysselsatta med den verksamhet som här 
 187 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 är i fråga anser utredningen att förslaget är godtagbart utifrån integritetssynpunkt. Mot denna bakgrund föreslår utredningen så- ledes att känsliga personuppgifter om hälsa och etnicitet skall få användas som sökbegrepp när det gäller behandling av person- uppgifter för här avsedda ändamål. Andra känsliga personuppgifter bör dock förbjudas som sökbegrepp. 
 Vidare föreslås att sökningar inte skall få göras på andra person- uppgifter om lagöverträdelser m.m. som avses i 21 § personupp- giftslagen än uppgifter som avser beslut om förvar enligt utlän- ningslagen. Förvar är ett frihetsberövande som vidtas inom det egna verksamhetsområdet. Det är därför naturligt och acceptabelt utifrån integritetssynpunkt att uppgifter om förvar får sökas och sammanställas av myndigheter som är inbegripna i verksamheten. 
 Enligt utlänningsdataförordningen gäller i fråga om register som förs för ändamålet att återsöka information om förhållanden i andra länder (landinformationsregister) den sökbegränsningen att uppgifter som direkt pekar ut en registrerad, t.ex. namn, inte får användas som sökbegrepp. Utredningen anser inte att det finns något behov av en sådan sökbegränsning i fortsättningen. Utred- ningen förutsätter härvid att personer avidentifieras i den mån uppgiften saknar betydelse för ändamålet med behandlingen. I de fall då identitetsuppgiften är av väsentlig betydelse och därför finns kvar finns det enligt utredningens mening inte tillräckliga skäl att begränsa sökmöjligheten på motsvarande sätt som gäller i dag. Sekretess torde vidare inte sällan omfatta namnuppgifterna. 
 Ytterligare sökbegränsningar bör dock kunna föreskrivas i för- ordning, se närmare härom i avsnitt 6.18.7. 
 Avslutningsvis kan anmärkas att sökbegränsningarna inskränker möjligheterna att med ett sökbegrepp som urvalsmetod leta fram önskade personuppgifter i olika slags samlingar av personuppgifter, dvs. register, ärendehanteringssystem, dokumentdatabaser eller lik- nande. Självklart hindrar bestämmelser om sökbegrepp inte sådan sökning med hjälp av t.ex. ett ordbehandlingsprogram i ett dokument med löpande text som för användaren är omedelbart tillgängligt på en dator. 
 188 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 6.8.2 
  
 Sambearbetning 
  
 Sambearbetning av uppgifter mellan olika automatiserade person- register, s.k. samkörning, krävde under datalagens giltighetstid, som huvudregel, särskilt tillstånd, eftersom ett nytt register därmed ansågs upprättat. I s.k. registerförfattningar från tiden före person- uppgiftslagens införande förekom inte sällan bestämmelser som reglerade förutsättningarna för sambearbetning av registerupp- gifter, eftersom den formen av personuppgiftsbehandling ansågs vara särskilt känslig. 
 Personuppgiftslagen skiljer emellertid inte sambearbetning av personuppgifter från olika register eller databaser från annan be- handling. En sambearbetning är tillåten så länge den håller sig inom personuppgiftslagens ramar, bl.a. med avseende på att uppgifterna inte behandlas för något ändamål som är oförenligt med det för vilket uppgifterna samlades in (9 § första stycket d), den s.k. fina- litetsprincipen). 
 När det gäller verksamhet enligt utlännings- och medborgar- skapslagstiftningen som bedrivs av de myndigheter som föreslås omfattas av utlänningsdatalagens tillämpningsområde torde det inte sällan finnas behov av att sambearbeta personuppgifter i olika register eller datasystem. Det saknas anledning att befara att behandling i form av samkörning av uppgiftssamlingar sker för ändamål som inte är förenliga med de ändamål för vilka uppgifterna ursprungligen samlades in (se avsnitt 6.5.3). I stället framstår möjligheten till samkörning, inom utlänningsdatalagens ram, som en rimlig metod att höja effektiviteten och rättssäkerheten inom verksamhetsområdet. Enligt utredningens mening finns det därför inte skäl att införa någon särbestämmelse i utlänningsdatalagen som förbjuder eller begränsar möjligheterna att sambearbeta per- sonuppgifter som finns inom verksamheten. 
 189 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 6.9 
  
 Utlämnande på medium för automatiserad behandling 
  
 Utredningens förslag 
 : Någon regel som tillåter eller förbjuder att personuppgifter skall få lämnas ut till en svensk myndighet på medium för automatiserad behandling behövs inte. Till utländsk myndighet i ett  
 EU-land 
  eller ett land som är anslutet till EES samt till  
 EU-organen 
  får en personuppgift som behand- las enligt utlänningsdatalagen lämnas ut elektroniskt, om det är nödvändigt för ändamålen handläggning av ärenden, kontroll av utlänning, uppgiftsutlämnande eller informationsåtersökning. 
 Regeringen föreskriver när elektroniskt utlämnande får ske till enskild. 
 I avsnitt 6.5.3 har utredningen föreslagit att personuppgifter skall få behandlas genom att lämnas ut bl.a. om utlämnandet sker med stöd av lag eller förordning, följer av Sveriges medlemskap i EU eller av en förpliktelse enligt en internationell konvention som Sverige tillträtt. Mottagare kan i princip vara en svensk eller ut- ländsk myndighet, mellanstatligt organ eller en enskild. Utlämnan- det kan avse personuppgifter som begärts utifrån. Det kan också förekomma att uppgifter lämnas ut av någon av de myndigheter som omfattas av utlänningsdatalagens tillämpningsområde i syfte att myndigheten själv skall kunna fullgöra sin verksamhet inom ramen för något av de andra föreslagna ändamålen. Exempelvis måste Migrationsverket i sin mottagningsverksamhet för asylsökande m.fl. ibland lämna ut personuppgifter om utlänningar för att kunna ombesörja sin uppgift att bereda utlänningarna tillfälle att delta i undervisning i svenska, få hälsovård m.m. som handhas av annan än Migrationsverket. 
 Personuppgifter som behandlas helt eller delvis automatiserat eller i manuellt hanterade register kan lämnas ut från myndighe- terna på olika sätt, t.ex. muntligen, på papper eller i elektronisk form. Alla varianter utgör behandling av personuppgifter enligt be- greppets definition i 3 § personuppgiftslagen. Utlämnande i elekt- ronisk form, dvs. på medium för automatiserad behandling, kan ske på flera olika sätt, t.ex. genom användning av  
 e-post, 
  på diskett eller  
 CD-romskiva, 
  genom direkt överföring från ett datorsystem till ett annat via telenätet (där beslut om överföring i varje enskilt fall fattas av den utlämnande myndigheten) eller genom direktåtkomst till den utlämnande myndighetens datorsystem. Av dessa olika 
 190 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 varianter är direktåtkomsten den mest känsliga och den behandlas därför särskilt, se avsnitt 6.10. Från Migrationsverket utlämnas personuppgifter i större omfattning såväl på  
 CD-romskiva 
  (se t.ex. om Almasystemet i avsnitt 4.1.3.) som i direkt överföring på datafil (t.ex. beträffande beviljade arbetstillstånd till Arbetsmarknads- styrelsen, se avsnitt 4.1.1.2). 
 Att ett utlämnande sker på medium för automatiserad behand- ling innebär att mottagaren efter utlämnandet har möjlighet att bearbeta informationen. Ett utlämnande på ett sätt som innebär att mottagaren kan läsa informationen men inte bearbeta den – t.ex. utlämnande enligt 2 kap. 12 § tryckfrihetsförordningen jämförd med 15 kap. 10 § sekretesslagen genom s.k. allmänhetens terminal vid en myndighet – är alltså inte ett utlämnande på medium för automatiserad behandling i den bemärkelse som här avses. 
 Utlämnande på medium för automatiserad behandling utgör, som nyss sagts, en form av behandling av personuppgifter enligt 3 § personuppgiftslagen och är som sådan tillåten under förutsättning att utlämnandet inte är oförenligt med det ändamål för vilket uppgifterna samlades in. Dataskyddsdirektivet och personupp- giftslagen saknar särbestämmelser som reglerar om eller under vilka förutsättningar uppgifter får lämnas ut i elektronisk form. Någon åtskillnad mellan elektroniskt utlämnande av personuppgifter och utlämnande som sker på papper görs således inte. Inte heller görs någon åtskillnad mellan olika former av utlämnande i 7 kap. 16 § sekretesslagen, som föreskriver att sekretess gäller för personupp- gifter, om det kan antas att ett utlämnande skulle medföra att upp- gifterna behandlas i strid mot personuppgiftslagen. 
 Särskild författningsreglering krävs således inte för att utläm- nande av personuppgifter på medium för automatiserad behandling skall vara tillåten. Med tanke på de särskilda möjligheterna att bearbeta erhållen information som finns vid elektroniskt utlämnan- de, kan det emellertid finnas anledning att överväga om utlämnande på automatiserat medium bör underkastas någon begränsning i utlänningsdatalagen i syfte att minska risken för otillbörliga intrång i den enskildes integritet. Det bör observeras att frågan enbart gäller  
 sättet  
 för utlämnande och inte huruvida personuppgifter över huvud taget får lämnas ut. 
 I några motsvarande lagar för myndigheters behandling av personuppgifter finns särbestämmelser om utlämnande på medium för automatiserad behandling. Här kan t.ex. nämnas lagarna som reglerar behandling av personuppgifter inom skatteförvaltningen, 
 191 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 kronofogdemyndigheterna och Tullverket (SFS 2001:181, SFS 2001:182, SFS 2001:184 och SFS 2001:185). I dessa lagar föreskrivs att personuppgifter som behandlas i databaser får lämnas ut till  
 enskild  
 på medium för automatiserad behandling endast om rege- ringen har meddelat föreskrifter om det. Någon särbestämmelse såvitt avser elektronisk utlämnande till  
 myndigheter  
 finns inte. I propositionen Behandling av personuppgifter inom skatt, tull och exekution (prop. 2000/01:33 s. 112) anförde regeringen, som skäl för att inte särskilt reglera utlämnande till myndigheter på medium för automatiserad behandling, att det är mindre tillfredsställande ur effektivitetssynpunkt om den utlämnande myndigheten först gör utskrifter av elektronisk lagrade uppgifter som den mottagande myndigheten därefter för in i sina register eller databaser. Genom sådana förfaranden ökar dessutom riskerna för överföringsfel, vilket i sig kan utgöra ett integritetsproblem. Regeringen fortsatte sitt resonemang i enlighet med det följande. 
 En utgångspunkt bör vara att myndigheter skall kunna utnyttja auto- matiserade förfaranden i sin ärendehantering i största möjliga omfatt- ning, dock under förutsättning att behandlingen av personuppgifter inte medför risk för otillbörliga intrång i enskildas personliga integritet. För myndigheter finns vanligtvis särskilda författningar som reglerar vilka automatiserade register eller andra personuppgifts- samlingar som får föras av myndigheten eller annars på vilket sätt personuppgifter får behandlas. I dessa författningar regleras även ända- målen med behandlingen. En myndighet som tar emot uppgifter från andra myndigheter har vanligen inte rättsligt stöd för att behandla uppgifterna annat än i enlighet med de för myndigheten gällande författningarna. Någon risk för att mottagande myndigheter skall behandla personuppgifter som hämtas in på medium för automatiserad behandling på ett sätt som inte är avsett torde inte finnas. Under förutsättning att den utlämnande myndigheten har möjlighet att av- göra vilka uppgifter som skall lämnas ut saknas det därför enligt regeringens mening anledning att reglera när uppgifter får lämnas ut på medium för automatiserad behandling. Det finns med andra ord inte bärande skäl för att i informationsutbytet mellan myndigheter skilja på utlämnande som görs på papper och utlämnande som sker elektro- niskt. 
 När det däremot gäller elektroniskt utlämnande till  
 enskilda 
 , såväl privatpersoner som företag och organisationer, poängterade rege- ringen att det normalt saknades särskilda bestämmelser, utöver personuppgiftslagen, om hur personuppgifter får behandlas hos 
 192 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 mottagaren. Med hänsyn till de integritetsrisker som kan följa med utlämnande av personuppgifter på medium för automatiserad behandling till företag och privatpersoner, fann regeringen att så- dant utlämnande endast bör vara tillåtet när det efter särskild prövning anses lämpligt. Vidare fann regeringen att det inte är möjligt att i lag reglera i vilka fall så lämpligen kan ske utan att det i stället bör åligga regeringen att göra dessa bedömningar. 
 Här kan nämnas lagen (2002:546) om behandling av person- uppgifter i den arbetsmarknadspolitiska verksamheten som också föreskriver att personuppgifter som behandlas i en databas får utlämnas till enskild på medium för automatiserad behandling endast om regeringen föreskriver det. I lagens förarbeten (prop. 2001/02:144 s. 39) sägs bl.a. med hänvisning till nyssnämnda lag- stiftningsärende att det inte erfordras någon särskild reglering i lag av uppgiftsutlämnande till myndigheter på medium för automati- serad behandling. I lagen föreskrivs dock att regeringen, eller den myndighet som regeringen bestämmer, meddelar föreskrifter om vilka personuppgifter som får lämnas ut på medium för automa- tiserad behandling till myndigheter och enskilda. 
 Samma bedömningar har inte gjorts vid utformandet av alla s.k. registerlagar som införts i samband med eller efter det att person- uppgiftslagen trädde i kraft. I lagen (2001:454) om behandling av personuppgifter inom socialtjänsten samt i lagen (2001:617) om behandling av personuppgifter inom kriminalvården saknas t.ex. helt särbestämmelser för uppgiftsutlämnande på medium för automatiserad behandling. I lagen (1998:543) om hälsodataregister föreskrivs att personuppgifter får lämnas ut på medium för automatiserad behandling endast för vissa ändamål, dvs. oavsett om utlämnandet sker till myndighet eller till enskild. I förarbetena motiverades denna begränsning med hänsyn till intresset av integri- tetsskydd för den enskilde (prop. 1997/98:108 s. 77). 
 Möjligheten att elektroniskt ta emot – måhända stora mängder – information som efter mottagandet kan bearbetas av mottagaren har länge ansetts innebära särskilda risker från integritetssynpunkt jämfört med om samma information endast fås i pappersutskrift. Detta, menar utredningen, gäller fortfarande trots att det i dag finns tämligen lättillgänglig teknik, t.ex. skanning, som medger att information överförs från papper till automatiserat medium. Vid bedömningen av om begränsningar bör införas såvitt avser elektro- niskt utlämnande av personuppgifter anser utredningen dock att en åtskillnad måste göras – på motsvarande sätt som gjorts i de i detta 
 193 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 avsnitt först nämnda s.k. registerlagarna – mellan utlämnande som sker till myndigheter respektive till enskilda. 
 När det gäller utlämnande till  
 svenska myndigheter  
 talar effektivi- tetsskäl med betydande styrka för att myndigheter, som bedriver verksamhet enligt utlännings- och medborgarskapslagstiftningen, skall kunna lämna ut uppgifter genom användning av modern informationsteknik till en annan myndighet efter en prövning av om utlämnandet är förenligt med utlänningsdatalagens ändamåls- bestämning och sekretesslagen. I takt med att myndigheterna inom den offentliga förvaltningen i allt större utsträckning övergår till fullständig elektronisk informationshantering ter sig begränsningar av möjligheten till elektroniskt informationsutbyte mellan myndig- heterna i motsvarande grad mindre lämpligt. Även i de fall en s.k. registerförfattning inte finns för den mottagande myndighetens behandling, anser utredningen att det saknas anledning att befara att personuppgifter av den mottagande myndigheten kommer att behandlas för andra syften än vad den utlämnande myndigheten kunnat ta i beaktande vid sitt beslut att, efter vederbörlig prövning enligt utlänningsdatalagen och sekretesslagen, utlämna uppgifterna. Risken för otillbörliga integritetsintrång torde därför inte öka i nämnvärd mån på grund av att utlämnandet sker på medium för automatiserad behandling i stället för på papper. Enligt utred- ningens mening finns därför inte tillräcklig anledning att föreslå en särbestämmelse som begränsar möjligheterna att till en svensk myndighet lämna ut personuppgifter på medium för automatiserad behandling. Givetvis åligger det ändå personuppgiftsansvarig myn- dighet att göra övervägningar utifrån hänsyn till säkerhets- och integritetsfrågor vid valet mellan att lämna ut personuppgifter på automatiserat medium eller på pappersutskrift. Vid t.ex. användan- det av  
 e-post 
  kan därvid en mottagande myndighets säkerhets- skydd vara av betydelse för bedömningen. 
 Ett av dataskyddsdirektivets syften är att genom gemensamma regler till skydd för enskildas integritet ge förutsättningar för att personuppgifter inom direktivets ram skall kunna flöda fritt inom  
 EU-området. 
  Såsom översiktligt har belysts i avsnitt 3.1 har samarbetet inom EU i asyl- och migrationsfrågor intensifierats på senare år. För myndigheter som bedriver verksamhet enligt utlän- ningslagstiftningen medför detta att personuppgifter i olika sam- manhang lämnas ut eller inhämtas från  
 utländska myndigheter  
 i EU- länder. I avsnitt 4.1.3 har t.ex. beskrivits de konsultationer mellan  
 EU-länderna 
  som görs via ett automatiserat förfarande i viserings- 
 194 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 ärenden (Visionsystemet). Även Dublinkonventionen och den EG- förordning nr 343/2003 som ersatt konventionen (se avsnitt 3.1) förpliktar medlemsstaterna att utbyta personuppgifter. Delvis sker detta utbyte i enlighet med Eurodacförordningen, som gäller per- sonuppgifter om fingeravtryck och kön. Denna behandling av personuppgifter omfattas inte av den föreslagna utlänningsdata- lagen (se härom avsnitt 6.2.3.2). Den nämnda uppgiftsskyldigheten omfattar dock även en mängd andra personuppgifter än dem Eurodacförordningen avser (se bl.a. artikel 21.2 i  
 EG-förordningen 
  jämförd med artikel 5.1, 8.2, och 11.2 i Eurodacförordningen). 
 Enligt utredningens mening skulle  
 EU-samarbetet 
  i alltför hög grad försvåras om nödvändigt informationsutbyte inte får ske elektroniskt. Med tanke på svårigheterna att överblicka konsekven- serna från integritessynpunkt av ett utlämnande av personuppgifter till ett annat land bör emellertid möjligheten till elektroniskt ut- lämnande begränsas. Personuppgifter bör få lämnas ut på detta sätt endast om det sker för att fullgöra ett uppgiftsutlämnande som sker med stöd av lag eller förordning eller följer av medlemskapet i EU eller av en uppgiftsskyldighet enligt en konvention eller ett av riksdagen godkänt avtal med främmande stat eller mellanfolklig organisation. Dessutom bör uppgifter få lämnas ut elektroniskt om utlämnandet är nödvändigt för att den utlämnande myndigheten, i allmänhet Migrationsverket eller polisen, skall kunna utföra en arbetsuppgift som sker för ändamålen handläggning av ärenden eller biträde i sådant ärende samt annan kontroll av utlänningar. Vidare bör personuppgifter som behandlas för ändamålet att ge information om praxis, förhållanden i olika länder m.m. kunna utlämnas elektroniskt, om rättsliga förutsättningar för utlämnande i och för sig är uppfyllda. 
 Utredningen föreslår således att lagen begränsar möjligheten att lämna ut personuppgifter på medium för automatiserad behandling i enlighet med det sagda. Sådant utlämnande föreslås få ske till myndigheter i  
 EU-länder 
  och i länder anslutna till  
 EES-avtalet 
  samt även till organ som har inrättats av EU, t.ex. kommissionen. Med tanke på den pågående intensifieringen av samarbetet inom EU är det dock inte otänkbart att bestämmelsen får revideras i framtiden. 
 Utlämnande till  
 enskilda  
 enligt 2 kap. tryckfrihetsförordningen av allmänna handlingar vari finns personuppgifter som behandlas enligt den föreslagna utlänningsdatalagen kan ofta inte medges på grund av sekretess enligt 7 kap. 14 § andra stycket sekretesslagen. Det kan emellertid nämnas att en myndighet enligt 2 kap. 13 § 
 195 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 tryckfrihetsförordningen i dess lydelse fr.o.m. den 1 januari 2003 inte är skyldig att i större utsträckning än vad som följer av lag lämna ut en upptagning för automatiserad behandling i annan form än utskrift. Det är alltså möjligt att i lag föreskriva en skyldighet att lämna ut allmänna handlingar på medium för automatiserad behand- ling. Tidigare fanns ingen sådan möjlighet enligt den dåvarande lydelsen av 2 kap. 13 § tryckfrihetsförordningen, som föreskrev ett absolut s.k. utskriftsundantag. Undantagets syfte var enligt för- arbetena att förhindra att utlämnade uppgifter behandlas auto- matiserat på ett sätt som kan medföra intrång i enskildas personliga integritet, t.ex. genom uppkomsten av privata personregister (prop. 1973:33 s. 85 f. och 113). 
 I det lagstiftningsärende som föregick ändringen i 2 kap. 13 § tryckfrihetsförordningen hade Offentlighets- och sekretess- kommittén i delbetänkandet Offentlighetsprincipen och den nya tekniken (SOU 2001:3) föreslagit en ändring enligt en omvänd princip, nämligen att det skulle införas en skyldighet för en myn- dighet att lämna ut elektroniskt lagrade allmänna handlingar, dvs. upptagningar, i elektronisk form, såvida det inte för myndigheten i lag eller förordning finns en bestämmelse som förbjuder det. Kommittén förutsatte därvid att det i registerförfattningar införs undantag från skyldigheten att lämna ut allmänna handlingar i elektronisk form i den mån det behövs för att undvika eventuella integritetsproblem som följer på ett avskaffande av utskriftsundan- taget. Vid remissbehandlingen av betänkandet var flera instanser tveksamma till förslaget i fråga, bl.a. med hänsyn till att konsekvenserna med avseende på eventuella integritetsproblem inte var tillräckligt väl utredda (prop. 2001/02:70 s. 28). Regeringen instämde i denna tvekan. Med hänsyn bl.a. härtill fann regeringen att kommitténs förslag inte borde genomföras. I stället föreslog regeringen en möjlighet att i lag införa en skyldighet för myndigheter att lämna ut allmänna handlingar i elektronisk form. Med tanke på  
 IT-utvecklingen 
  inom förvaltningen fann regeringen nämligen anledning att överväga att i vanlig lag, t.ex. 15 kap. sekretesslagen, införa en sådan skyldighet, generell eller med av- seende på vissa kategorier av allmänna handlingar. Regeringen avsåg dock att återkomma till frågan först efter det att ytterligare ut- redningsarbete av Offentlighets- och sekretesskommittén respektive Personuppgiftslagsutredningen (som bl.a. skall göra en översyn av 7 kap. 16 § sekretesslagen, dir. 2002:31) har utförts. Riksdagen 
 196 
 SOU 2003:40 Utlänningsdatalag 
 anslöt sig, som framgått ovan, till regeringens förslag (bet. 2000/02:KU17, rskr. 2002/03:7). 
 Som påpekats vid ett flertal tillfällen är personuppgifter som finns i verksamhet enligt utlännings- och medborgarskapslagstift- ningen av integritetskänslig karaktär. Det är därför befogat att i utlänningsdatalagen skilja på olika sätt att lämna ut personuppgifter till enskilda genom att begränsa möjligheten att lämna ut upp- gifterna på medium för automatiserad behandling. Något absolut förbud mot elektroniskt utlämnande ter sig emellertid inte lämp- ligt. Självfallet bör t.ex. en handläggande myndighet kunna använda sig av  
 e-post 
  vid kommunikation med en enskild, t.ex. när myn- digheten skall upplysa en sökande om att en viss person lämnat uppgifter i ett ärende som rör sökanden. Även andra situationer kan tänkas då ett elektroniskt utlämnande enskild bör tillåtas. Närmare överväganden härvidlag bör emellertid inte göras i lagen utan av regeringen. Utredningen föreslår därför att utlämnande av personuppgifter på medium för automatiserad behandling får ske till enskilda endast om regeringen har föreskrivit det. Utredningen återkommer i avsnitt 6.18.2 med överväganden angående speciella fall som bör detaljregleras i en förordning som utfärdas i anslutning till lagen. 
 197 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 6.10 
  
 Direktåtkomst 
  
 Utredningens förslag 
 : Regeringskansliet, Utlänningsnämnden, Integrationsverket, Rikspolisstyrelsen och polismyndigheterna samt utlandsmyndigheterna skall för ändamålet handläggning eller biträde vid handläggning av ärenden få ha direktåtkomst till personuppgifter som behandlas automatiserat av Migrations- verket för samma ändamål. Rikspolisstyrelsens och polis- myndigheternas direktåtkomst till personuppgifterna får också användas för ändamålet utlänningskontroll enligt 5 kap. utlänningslagen. 
 Utlänningsnämnden och utlandsmyndigheterna skall vidare få ha direktåtkomst till Migrationsverkets personuppgifter som behandlas för ändamålet att ge referensinformation om förhål- landen i andra länder, praxis m.m. 
 Annan direktåtkomst än den i lagen medgivna skall inte vara tillåten. 
 Åtkomst till automatiserat behandlade personuppgifter skall vara förbehållen de personer som behöver tillgång till uppgifterna för att kunna utföra sina arbetsuppgifter. 
  
 6.10.1 
  
 Allmänt om direktåtkomst 
  
 Som nämnts i avsnitt 6.9 kan personuppgifter lämnas ut på flera sätt. Det har också påpekats att varken dataskyddsdirektivet eller personuppgiftslagen innehåller några särskilda bestämmelser som tar sikte på just det sätt på vilket uppgifter lämnas ut. Sättet har emellertid, som utredningen redan framhållit, betydelse från integri- tetssynpunkt när det gäller att bedöma hur stora risker för obehö- riga intrång i enskildas personliga integritet som ett utlämnande typiskt sett medför. Utredningen har därför funnit anledning att i vissa fall reglera uppgiftsutlämnande på medium för automatiserad behandling. 
 I detta avsnitt behandlas en specialform av elektroniskt uppgifts- utlämnande till mottagare utanför en myndighet, nämligen  
 direktåt- komst 
 . För direktåtkomst gäller, för övrigt i likhet med allt utläm- nande av personuppgifter, att den måste vara förenlig dels med de ändamål för vilka den utlämnande myndigheten får behandla personuppgifter, dels med sekretessregleringen. 
 198 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 Begreppet direktåtkomst används ibland också för personalens åtkomst till uppgifter som behandlas inom en myndighet eller inom en myndighets verksamhetsgren. Sådan åtkomst kallas dock i fortsättningen bara för  
 åtkomst  
 för att skilja begreppet från vad som brukar betecknas som direktåtkomst. Även personalens åtkomst behandlas i det följande. 
 Någon rättslig definition av begreppet direktåtkomst finns inte. Enligt en vedertagen uppfattning, som också lyfts fram i flera lagförarbeten, innebär direktåtkomst en möjlighet att på egen hand ta del av och söka efter uppgifter i en informationssamling som behandlas automatiserat, dock utan att man själv kan bearbeta eller på annat sätt påverka innehållet (se t.ex. prop. 2000/2001:33 s. 110 f.). I vissa fall har användaren emellertid en möjlighet att kopiera och så att säga hämta hem informationen till sitt eget system och bearbeta den där (jfr prop. 2001/002:144 s. 35 och Blanchard utredningen, SOU 2001:100 s. 149). Personal inom en myndighet som har åtkomst till myndighetens informationssamlingar har förstås ofta också möjlighet att bearbeta och påverka innehållet i samlingen, t.ex. i ett ärendehanteringssystem. 
 Direktåtkomst kan avse all information som finns samlad i ett datasystem eller endast en på förhand bestämd del av denna. 
 I flera författningar som reglerar myndigheters behandling av personuppgifter förekommer det bestämmelser om direktåtkomst till ett visst automatiserat register eller andra samlingar av per- sonuppgifter som behandlas automatiserat. Som exempel härpå kan nämnas 27 § lagen (2001:184) om behandling av uppgifter i krono- fogdemyndigheternas verksamhet som föreskriver att skattemyn- digheterna, Tullverket och Säkerhetspolisen får ha direktåtkomst till vissa uppgiftskategorier som behandlas i kronofogdemyndig- heternas gemensamma utsöknings- och indrivningsdatabas. I 6 § lagen (2001:617) om behandling av personuppgifter inom kriminal- vården finns en mer allmänt hållen bestämmelse om åtkomst till personuppgifter som behandlas. Enligt bestämmelsen skall åtkomst till personuppgifter som behandlas enligt lagen vara förbehållen de personer som på grund av sina arbetsuppgifter inom kriminal- vården behöver tillgång till uppgifterna. (I lagen används dock termen direktåtkomst.) Från integritetssynpunkt har givetvis bestämmelser som dessa betydelse främst för uppgiftssamlingar som är tillgängliga och sökbara via många terminaler i ett datoriserat nätverk. 
 199 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 6.10.2 
  
 Nuvarande direktåtkomst i verksamhet enligt utlännings- och medborgarskapslagstiftningen 
  
 I verksamhet enligt utlännings- och medborgarskapslagstiftningen har vissa andra myndigheter i dag direktåtkomst till personuppgifter som finns lagrade i Migrationsverkets omfattande datorsystem  
 STAMM 
 . Som närmare redovisats i avsnitt 4.1.1.2 har Utlännings- nämnden, Integrationsverket, Rikspolisstyrelsen och polismyndig- heterna, de utlandsmyndigheter som är anslutna till ärendehanterings- systemet  
 Kent  
 samt Centrala studiestödsnämnden sådan direktåt- komst. Direktåtkomsten varierar såväl till omfattning som till uppgiftsslag. Därutöver har Regeringskansliet viss direktåtkomst till personuppgifter i några av STAMM:s delsystem. Åtkomsten föranleds av regeringens behov av uppgifterna vid sin handläggning av utlännings- och medborgarskapsärenden. Utlänningsnämnden har vidare direktåtkomst till Migrationsverkets system  
 LIFOS 
 , vari samlas praxis, länderinformation och annan information som behövs som allmänt referens- och kunskapsunderlag vid handläggning av utlänningsärenden. 
 Migrationsverket har direktåtkomst till belastningsregistret och misstankeregistret samt till den nationella enhetens spärrlista i Schengens informationssystem. Migrationsverkets direktåtkomst till dessa av Rikspolisstyrelsen förda register är redan författnings- reglerad i förordningen (1999:1134) om belastningsregister, för- ordningen (1999:1135) om misstankeregistret samt förordningen (2000:836) om Lucas informationssystem. Denna åtkomst berörs därför inte av utredningens vidare överväganden. 
 I utlänningsdataförordningen föreskrivs att Utlänningsnämnden, Integrationsverket, Rikspolisstyrelsen och polismyndigheterna samt utlandsmyndigheterna får ha direktåtkomst till Migrationsverkets verksamhetsregister samt att Utlänningsnämnden får ha direktåt- komst till Migrationsverkets landinformationsregister över infor- mation som lämnats rörande förhållanden i andra länder. Centrala studiestödsnämndens och Regeringskansliets direktåtkomst till STAMM är däremot inte författningsreglerad. Inte heller har Utlänningsnämndens åtkomst till annan information i LIFOS än den som rör förhållanden i andra länder getts författningsstöd i utlänningsdataförordningen. 
 När det gäller åtkomst inom en myndighet är det givet att arbetstagare i alla här berörda myndigheter har åtkomst till register, ärendehanteringssystem eller andra gemensamt tillgängliga 
 200 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 uppgiftssamlingar som förs inom den myndighet vid vilken arbets- tagaren är anställd. I avsnitt 4.1 har kort berörts att anställdas tillgång till STAMM, LIFOS och andra uppgiftssamlingar prövas individuellt. Migrationsverket tilldelar således varje anställd behö- righet att ta del av och arbeta med personuppgifter i den utsträck- ning arbetstagaren behöver detta för att kunna utföra sina arbets- uppgifter. En mängd olika behörighetsnivåer finns. Trots detta är det ett relativt stort antal arbetstagare som har tillgång till integritetskänsliga personuppgifter som behandlas för ändamålen handläggning av ärenden, utlänningskontroll, mottagningsverksamhet och för informationsåtersökning. När det däremot gäller t.ex. direktåtkomst till personuppgifter i statistik- och uppföljnings- datasystemet  
 PLUS  
 har i dag endast ett begränsat antal anställda tillgång till de i systemet behandlade personuppgifterna. En annan sak är att tillgången till framställd statistik eller andra rapporter kan vara vida spridd sedan uppgifterna väl avidentifierats. 
 Även vid övriga myndigheter som omfattas av utlännings- datalagens tillämpningsområde krävs i dag behörigheter av olika grad för åtkomst till myndighetens personuppgiftssamlingar. 
  
 6.10.3 
  
 Utredningens överväganden 
  
 Myndigheters direktåtkomst till personuppgifter som behandlas i register eller andra uppgiftssamlingar av en annan myndighet har sedan lång tid betraktas som särskilt integritetskänslig. I än högre grad har utlämnande till andra än myndigheter genom direkt- åtkomst ansetts medföra särskilda risker för enskilda. Det för- hållandet att den utlämnande myndigheten inte har kontroll över vilka uppgifter som mottagaren vid varje enskilt tillfälle tar del av, har genomgående åberopats som grund för att utifrån integritets- synpunkt särskilt reglera direktåtkomst (se t.ex. prop. 2000/01:126 s. 34). 
 Ett ytterligare skäl att vara återhållsam i fråga om myndigheters direktåtkomst till andra myndigheters automatiserade uppgifts- samlingar är att de upptagningar som direktåtkomsten avser blir allmänna handlingar hos en mottagande myndighet. Ju fler myn- digheter som har direktåtkomst till uppgifter i ett datasystem, desto större blir allmänhetens möjlighet att få tillgång till dessa uppgifter. Avser direktåtkomsten sekretessbelagda uppgifter hos den utlämnande myndigheten – vilket ofta är fallet beträffande 
 201 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 personuppgifter som behandlas i verksamhet enlighet utlännings- och medborgarskapslagstiftningen – är det därför, enligt utred- ningens mening, väsentligt att uppgifterna har ett sekretesskydd även hos den mottagande myndigheten. Det kan här anmärkas att den sekretess enligt 7 kap. 14 § andra stycket sekretesslagen som i allmänhet gäller för personuppgifter inom det aktuella verksam- hetsområdet inte automatiskt följer med då uppgifterna sprids utanför det område vari uppgifterna sekretesskyddas. 
 Det sagda innebär enligt utredningens uppfattning att utlämnan- de av personuppgifter genom direktåtkomst bör särregleras i förhållande till personuppgiftslagen i syfte att genom regleringen minimera de särskilda risker för otillbörliga intrång i enskildas integritet som är förknippade med direktåtkomst. De grund- läggande principerna för utlämnande av personuppgifter genom direktåtkomst bör därvid anges i den föreslagna lagen. Dessa är dels vilka mottagare som skall tillåtas ha direktåtkomst, dels för vilket eller vilka ändamål direktåtkomsten skall tillåtas. Mer detaljerade bestämmelser bör kunna meddelas i en förordning som utfärdas i anslutning till lagen. 
 Vad utredningen föreslår i det följande avses uttömmande reg- lera i vilken mån direktåtkomst till personuppgifter som behandlas automatiserat i verksamhet enligt utlännings- och medborgar- skapslagstiftningen skall vara tillåten. Personuppgifter får alltså inte lämnas ut genom direktåtkomst i annan utsträckning än vad utlänningsdatalagen medger. 
 Med tanke på att personuppgiftssamlingarna inom verksamhets- området generellt sett är av integritetskänslig karaktär och på att sträng sekretess gäller för en stor del av de behandlade personupp- gifterna, bör särregleringen präglas av restriktivitet. Direktåtkomst till personuppgifter bör därför medges endast i den mån det finns särskilda skäl att tillhandahålla uppgifterna på det sättet. Ett sådant särskilt skäl kan vara att direktåtkomst leder till väsentliga effekti- vitetsvinster jämfört med annat utlämnande på medium för auto- matiserad behandling. Detta kräver bl.a. att mottagaren har ett påtagligt behov av att hämta in uppgifter från värdmyndigheten i en betydande och frekvent omfattning. Om en mottagande myndig- hets direktåtkomst leder såväl till en snabbare genomströmning av ärenden som till att beslutsunderlaget blir fylligare och säkrare, är direktåtkomsten till gagn både för samhället och för enskilda sökande. Direktåtkomst bör vid sådant förhållande kunna tillåtas, 
 202 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 under förutsättning att den inte medför oacceptabla försämringar av skyddet för enskildas integritet. 
 Direktåtkomst mellan myndigheter 
 Migrationsverket är central utlänningsmyndighet i Sverige och har i denna egenskap en viktig funktion som informationsförsörjare till andra myndigheter som också bedriver verksamhet enligt utlän- nings- och medborgarskapslagstiftningen eller som annars behöver upplysningar om utlänningar som berörs av deras verksamhet. Det är också bara andra myndigheters direktåtkomst till Migrations- verkets personuppgifter som det i detta lagstiftningsärende finns behov av att tillåta. Utredningen föreslår därför att lagen enbart tillåter direktåtkomst till Migrationsverkets personuppgifter. Utred- ningen har vidare funnit att det inte finns något behov av att utvidga kretsen av myndigheter som skall ha direktåtkomst jämfört med vad som gäller i dag. 
 Frågan är i stället om alla de myndigheter som i dag har direkt- åtkomst – Regeringskansliet, Utlänningsnämnden, Integrations- verket, Rikspolisstyrelsen, polismyndigheterna, utlandsmyndig- heterna samt Centrala studiestödsnämnden – bör ha detta utifrån de utgångspunkter som utredningen anfört i det föregående. 
  
 När det gäller  
 Regeringskansliet, Utlänningsnämnden, Integrations- verket, Rikspolisstyrelsen  
 och  
 polismyndigheterna  
 samt  
 utlandsmyndig- heterna  
 är det uppenbart att effektivitetsvinsterna med direktåtkomst är stora. Gemensamt för myndigheterna är dessutom att de behöver uppgifterna för att utföra arbetsuppgifter i verksamhet som föreslås omfattas av utlänningsdatalagens bestämmelser (se avsnitt 6.2.3.1) och för ändamål som anges i utlänningsdatalagen (se avsnitt 6.5.3). Riskerna från integritetssynpunkt med direktåtkomst för myndig- heter med samma verksamhetsområde som Migrationsverket är, enligt utredningens uppfattning, betydligt mindre än om de sprids utanför detta område. Visserligen kommer Rikspolisstyrelsens och polismyndigheternas fortsatta behandling att ofta regleras av polisdatalagen. Den lagen ger dock, enligt utredningens mening, ett tillfredsställande integritetsskydd. I övrigt kommer myndig- heternas fortsatta hantering av personuppgifterna att regleras av utlänningsdatalagen och dess bestämmelser till skydd för enskildas personliga integritet. Sekretesskyddet för uppgifterna är vidare, 
  
 203 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 med ett undantag som behandlas nedan, lika starkt hos dessa mot- tagande myndigheter som hos Migrationsverket. 
 Som utredningen närmare kommer att utveckla i avsnitt 7 har de uppgifter som  
 Integrationsverket  
 skulle få direktåtkomst till inte ett lika starkt sekretesskydd hos Integrationsverket som hos Migra- tionsverket. Detta talar i någon mån mot att tillåta direktåtkomst. Uppgifterna som Integrationsverket har direktåtkomst till är emellertid förhållandevis harmlösa. Vidare kommer uppgifterna att behandlas enligt utlänningsdatalagen med det skydd som detta innebär för enskildas personliga integritet. Utredningens slutsats blir därför att Integrationsverket bör medges direktåtkomst. 
 Vid en samlad bedömning anser utredningen sålunda att det finns skäl att tillåta Regeringskansliet, Utlänningsnämnden, Integrations- verket, Rikspolisstyrelsen och polismyndigheterna samt utlandsmyn- digheterna att ha direktåtkomst till personuppgifter som behandlas av Migrationsverket. En bestämmelse härom föreslås införas i utlänningsdatalagen. 
 När det gäller  
 Centrala studiestödsnämnden  
 har nämnden för närvarande direktåtkomst till personuppgifter som nämnden behö- ver för handläggning av ärenden om hemutrustningslån till flykt- ingar och vissa andra utlänningar (avsnitt 3.3). 
 Enligt utredningens uppfattning är det mindre lämpligt att sprida integritetskänsliga uppgifter genom direktåtkomst till en mot- tagande myndighet som behandlar uppgifterna för andra ändamål än de för vilka uppgifterna ursprungligen har insamlats. Det kan vidare påpekas att de vid direktåtkomst tillgängliga personupp- gifterna avser också utlänningar som inte är aktuella i Centrala studiestödsnämndens ärenden. Nämndens behandling styrs dess- utom i huvudsak endast av personuppgiftslagens bestämmelser. För nämnden gäller t.ex. inga sökbegränsningar vid behandlingen av dessa uppgifter. Även om det torde åvila Migrationsverket att i egenskap av personuppgiftsansvarig myndighet genomföra de rätts- liga sökbegränsningarna tekniskt så att det rent faktiskt inte går att söka i uppgiftssamlingarna på ett otillåtet sätt, är detta svagare rättsliga skydd för uppgifterna en omständighet som talar mot att tillåta direktåtkomst för Centrala studiestödsnämnden. 
 Mot bakgrund av det anförda anser utredningen att nämndens direktåtkomst kan medföra en försämring av de enskildas integritets- skydd jämfört med om uppgifterna lämnas ut på annat sätt. Det bör också vägas in att Centrala studiestödsnämndens behov av uppgifter om utlänningar, som omfattas av nämndens handläggning, utan 
 204 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 alltför mycket merarbete torde kunna tillgodoses på annat sätt än genom direktåtkomst. 
 Ett ytterligare skäl mot att tillåta direktåtkomst är att de tillgängliga uppgifterna inte får ett lika gott sekretesskydd hos Centrala studiestödsnämnden som hos Migrationsverket. Enligt 9 kap. 5 § andra stycket sekretesslagen gäller sekretess i ärenden om studiestöd och hemutrustningslån för uppgifter om enskilds personliga eller ekonomiska förhållanden, om det kan antas att den enskilde lider skada eller men om uppgiften röjs. Såvitt gäller annat än studiestöd under sjukdom gäller sekretessen dock inte beslut i ärenden. Ett rakt skaderekvisit gäller således hos Centrala studie- stödsnämnden för samma uppgifter som hos Migrationsverket presumeras vara sekretessbelagda enligt ett omvänt skaderekvisit, dvs. som får lämnas ut bara om det står klart att uppgiften kan röjas utan att den enskilde eller honom närstående lider men (7 kap. 14 § andra stycket sekretesslagen). Sekretessen enligt 9 kap. 5 § andra stycket sekretesslagen gäller inte heller för tillgängliga uppgifter om utlänningar som inte förekommer i nämndens ärenden. 
 Utredningen föreslår således att Centrala studiestödsnämnden inte skall medges direktåtkomst enligt utlänningsdatalagen. Försla- get hindrar självfallet inte att Migrationsverkets lämnar ut person- uppgifterna till nämnden på medium för automatiserad behandling. Enligt vad utredningen erfarit förbereds inom Migrationsverket en snar övergång till ett sådant utlämnandesätt. Personuppgifter, som omfattas av författningsreglerade uppgiftsskyldigheter, kommer enligt det nya systemet att överföras från verket till nämnden genom s.k. filöverföring. 
 Närmare om hur utlämnande av personuppgifter genom direktåtkomst skall regleras 
 Enligt utredningens uppfattning är det inte lämpligt att i lagen precisera vilka uppgifter eller vilka uppgiftskategorier som direkt- åtkomsten får avse mer än att direktåtkomsten bara skall vara tillåten till uppgifter som Migrationsverket behandlar för vissa ändamål. Närmare preciseringar eller begränsning bör dock kunna ges i förordningsform, se avsnitt 6.18.3. Vidare bör av lagen ut- tryckligen framgå för vilka ändamål de mottagande myndigheterna får ha direktåtkomst. 
 205 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 Enligt utredningens bedömning bör direktåtkomsten enbart få förekomma  
 dels  
 till personuppgifter som Migrationsverket behand- lar för ändamålet handläggning av ärenden,  
 dels  
 till personuppgifter som Migrationsverket behandlar för ändamålet informations- återsökning. Av integritetsskäl bör direktåtkomsten inte få avse andra personuppgifter hos Migrationsverket än de nu nämnda. Förslaget i denna del överensstämmer med vad som i dag gäller. 
 När det gäller det först nämnda ändamålet,  
 handläggning av ärenden 
 , bör samtliga övriga myndigheter som omfattas av ut- länningsdatalagens tillämpningsområde få ha direktåtkomst. För Utlänningsnämnden, Integrationsverket och utlandsmyndigheter- nas del föreslås att direktåtkomsten enbart får syfta till att ge information om personuppgifter som behövs i den mottagande myndighetens handläggning eller biträde vid handläggning av ärenden enligt utlännings- och medborgarskapslagstiftningen (dvs. samma ändamål för vilket Migrationsverket behandlar uppgifterna). Även Rikspolisstyrelsen och polismyndigheterna bör tillåtas direkt- åtkomst för detta ändamål. Polisens åtkomst till dessa uppgifter bör därutöver få användas för att inhämta information som polisen behöver för sin yttre och inre utlänningskontroll. 
 För att markera att möjligheterna till direktåtkomsten skall tillämpas restriktivt, bör föreskrivas att de tillgängliga personupp- gifterna skall vara  
 oundgängligen nödvändiga  
 för att den mot- tagande myndigheten skall kunna utföra sina arbetsuppgifter. 
 Vidare bör Utlänningsnämnden, liksom i dag, samt utlandsmyn- digheterna få ha direktåtkomst till personuppgifter som behandlas av Migrationsverket för ändamålet  
 informationsåtersökning  
 och som de mottagande myndigheterna behöver för samma ändamål. 
 Ändamålsbegränsningen innebär att mottagande myndigheter inte får använda direktåtkomsten för annat ändamål än det som bestämmelserna om direktåtkomst anger. Givetvis får informa- tionen inte heller användas i verksamhet som inte alls omfattas av utlänningsdatalagens tillämpningsområde. Polisen får t.ex. inte i brottsutredande syfte kontrollera en brottsmisstänkt utlänning i Migrationsverkets  
 STAMM-bas. 
  
 Det förhållandet att en mottagande myndighet, såsom t.ex. är fallet med  
 Wilma-anslutna 
  utlandsmyndigheter, kan registrera upp- gifter i den uppgiftssamling till vilken man har direktåtkomst, innebär en fristående behandling av personuppgifter som regleras av utlänningsdatalagens bestämmelser. 
 206 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 I enlighet med utredningens förslag sker utlandsmyndigheternas och Integrationsverkets behandling av personuppgifter för ärende- handläggning under Migrationsverkets personuppgiftsansvar. Migra- tionsverkets personuppgiftsansvar innebär bl.a. att personuppgifter som behandlas av utlandsmyndigheterna och Integrationsverket och som registreras i eller annars överförs till Migrationsverkets uppgiftssamlingar för fortsatt behandling inte lämnas ut till Migrationsverket i personuppgiftslagens mening. Migrationsverket ansvarar ju också för dessa myndigheters behandlingar av person- uppgifterna, däribland för registreringen i STAMM och för annan överföring. Det sagda innebär att Migrationsverket i princip får ha åtkomst till sådana personuppgifter hos utlandsmyndigheter och Integrationsverket som omfattas av personuppgiftsansvaret utan att det särskilt behöver anges i utlänningsdatalagen, eftersom åtkomsten inte innebär något utlämnande av personuppgifter. En annan sak är att sekretess kan hindra att uppgifterna överförs till Migrationsverkets datasystem. Som nyss sagts återkommer utredningen till frågan om direktåtkomst och sekretess i avsnitt 7. 
 Direktåtkomst för enskilda 
 Under utredningens arbete har det inte framkommit att det finns något behov hos enskilda subjekt av direktåtkomst till person- uppgifter som behandlas av Migrationsverket. Av hänsyn till risken för oacceptabla integritetsintrång anser utredningen vidare att det inte utan mycket starka skäl bör förekomma att andra än myndigheter får direktåtkomst till uppgifter som behandlas enligt utlänningsdatalagen. 
 Även om det i och för sig kan tänkas finnas ett intresse för en enskild sökande att ha omedelbar tillgång till vissa automatiserat behandlade personuppgifter i ärenden som berör honom eller henne anser utredningen att säkerhetsmässiga skäl åtminstone för närvarande talar emot en sådan åtkomst. 
 Vilka personer inom myndigheterna skall få ges åtkomst? 
 Från integritetssynpunkt är det givetvis angeläget att personalens möjlighet att via en direktuppkopplad terminal ta del av och söka efter uppgifter som behandlas inom myndigheten eller av en annan myndighet inte är vidare än nödvändigt. Endast de personer som på 
 207 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 grund av sina arbetsuppgifter behöver tillgång till uppgifterna bör därför ha åtkomst till dem. Redan den sekretess som i stor utsträckning gäller för de integritetskänsliga personuppgifter som behandlas inom myndigheterna utgör emellertid ett starkt inci- tament för myndigheterna att begränsa personalens åtkomst till uppgifterna. 
 Personuppgiftslagens allmänna bestämmelser om grundläggande krav på säkerhet vid behandling av personuppgifter (30 och 31 §§ personuppgiftslagen) medför vidare att den personuppgiftsansva- riga myndigheten måste vidta olika åtgärder för att förhindra missbruk. Ett exempel på en säkerhetsåtgärd kan vara just att åtkomsten till personuppgifter som behandlas begränsas genom system med olika behörighetsnivåer. Vid utredningens kartläggning av den nuvarande behandlingen av personuppgifter har som nyss nämnts framkommit att myndigheterna tillämpar behörighets- system vars syfte är att begränsa den krets som har tillgång till integritetskänslig eller annars hemlig information till det nöd- vändiga. 
 Enligt utredningens mening är det i och för sig inte nödvändigt att införa en bestämmelse i utlänningsdatalagen som närmare anger vilka personer som skall få ges åtkomst till behandlade personupp- gifter. Det bör dock uttryckligen framgå av lagen att personupp- giftsansvarig myndighet endast får ge åtkomstbehörighet till de personer som på grund av sina arbetsuppgifter har ett verkligt behov av uppgifterna. Den föreslagna bestämmelsen gäller åtkomst till personuppgifter som behandlas såväl inom den egna myndig- heten som av en annan myndighet men till vilken den egna myn- digheten har direktåtkomst enligt vad som föreslagits i det föregående. 
 Utredningen återkommer i avsnitt 6.12 till vad som föreslås gälla i fråga om säkerhet vid behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen. 
  
 6.11 
  
 Information till den registrerade 
  
 Utredningens bedömning 
 : Personuppgiftslagens bestämmelser i  
 23–27 
  §§ om den information som skall lämnas till den registrerade bör gälla även när personuppgifter behandlas i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Några ytterligare bestämmelser om information behövs inte. 
 208 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 6.11.1 
  
 Personuppgiftslagens bestämmelser om information 
  
 I  
 23–27 
  §§ personuppgiftslagen finns bestämmelser om information om behandling av personuppgifter som den personuppgiftsansva- rige är skyldig att lämna till den registrerade. Dessa bestämmelser har sin motsvarighet i artikel  
 10–13 
  i dataskyddsdirektivet. 
 Regleringen gäller dels den personuppgiftsansvariges skyldighet att självmant lämna information till den registrerade i samband med att personuppgifterna samlas in  
 (23–25 
  §§), dels den personupp- giftsansvariges skyldighet att lämna information på den registre- rades begäran (26 §). Gemensamt för båda fallen är att bestäm- melser om sekretess och tystnadsplikt går före skyldigheten att lämna information (27 §). 
 Enligt 23 § personuppgiftslagen skall den personuppgiftsansva- rige i samband med att personuppgifter samlas in från personen själv, självmant lämna den registrerade information om behand- lingen av uppgifterna. Enligt kommentaren till personuppgiftslagen bör huvudregeln vara att den registrerade får information innan han eller hon lämnar uppgifterna eller uppgifterna annars samlas in från honom eller henne (Bennett – Becker, Personuppgiftslagen En kommentar, 2001, andra uppl, s. 187). Domstolsdatautredningen har beträffande frågan om när information bör lämnas i det fallet att den registrerade själv har sänt in uppgifter till den person- uppgiftsansvarige, ansett att det är en rimlig utgångspunkt att myndigheten första gången den tar skriftlig kontakt med den enskilde lämnar information om att uppgifter om denne som lämnas i ett mål eller ärende kan komma att registreras och fort- sättningsvis behandlas automatiserat vid handläggningen av målet eller ärendet (SOU 2001:32 s. 125). 
 När uppgifterna samlas in från någon annan källa än den registrerade, skall den personuppgiftsansvarige enligt 24 § som huvudregel självmant lämna den registrerade information om be- handlingen av uppgifterna när de registreras, dvs. när de matas in i en dator eller sorteras in i ett manuellt register som omfattas av lagen. Är uppgifterna avsedda att lämnas ut till tredje man, behöver informationen dock inte ges förrän uppgifterna lämnas ut för första gången. Från informationsskyldigheten i fråga om uppgifter som samlas in från annan källa än den enskilde själv finns några undan- tag. Information behöver inte lämnas, om det finns bestämmelser om registrerandet eller utlämnandet av personuppgifter i lag eller någon annan författning. Vidare behöver information inte lämnas, 
 209 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 om detta visar sig vara omöjligt eller skulle innebära en opro- portionerligt stor arbetsinsats. Om uppgifterna används för att vidta åtgärder som rör den registrerade, skall dock information lämnas senast i samband med att så sker. 
 I 25 § anges vilken information som skall lämnas självmant enligt 23 eller 24 §. Informationen skall omfatta uppgift om den person- uppgiftsansvariges identitet, uppgift om ändamålen med behand- lingen och all övrig information som behövs för att den registre- rade skall kunna ta till vara sina rättigheter i samband med be- handlingen, såsom information om mottagarna av uppgifterna, skyldighet att lämna uppgifter och rätten att ansöka om informa- tion och få rättelse. Information behöver dock inte lämnas om sådant som den registrerade redan känner till, t.ex. på grund av att han eller hon redan har fått informationen i enlighet med annan lagstiftning. 
 En gång per kalenderår är den personuppgiftsansvarige enligt 26 § skyldig att till var och en som ansöker om det gratis lämna besked huruvida personuppgifter som rör den registrerade be- handlas eller ej. Behandlas sådana uppgifter, skall skriftlig informa- tion lämnas också om vilka uppgifter om den sökande som behand- las, varifrån dessa uppgifter har hämtas, ändamålen med behand- lingen och till vilka mottagare eller kategorier av mottagare som uppgifterna lämnas ut. I 26 § andra stycket finns det bestämmelser dels om den registrerades ansökan, dels om vid vilken tidpunkt efter ansökan som den personuppgiftsansvarige skall lämna infor- mation. Från informationsplikten enligt 26 § gäller endast undantag för personuppgifter i löpande text som inte har fått sin slutliga utformning när den registrerade gjorde sin ansökan eller som utgör minnesanteckning. Förebilden till undantagen är regleringen i 2 kap. 9 § tryckfrihetsförordningen. Praxis kring denna tryckfri- hetsbestämmelse torde kunna ge en viss vägledning vid tolkningen av undantagen i 26 § personuppgiftslagen. Med löpande text avses text som inte har strukturerats så att sökning av personuppgifter underlättas. Undantagen gäller emellertid inte om personuppgifter i den löpande texten har lämnats ut till tredje man eller om person- uppgifterna i den löpande texten behandlas enbart för historiska, statistiska eller vetenskapliga ändamål. Vidare gäller inte undan- tagen från informationsplikten om personuppgifterna i den löpande texten har behandlats under längre tid än ett år före den registre- rades ansökan. 
 210 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 Från informationsskyldigheten i  
 23–26 
  §§ finns ett väsentligt och generellt undantag vid sekretess och tystnadsplikt som enligt 27 § alltid gäller före skyldigheten att lämna information. I den utsträckning det är särskilt föreskrivet i lag eller annan författning eller i beslut som har meddelats med stöd av författning att upp- gifter inte får lämnas ut till den registrerade gäller, enligt 27 §, inte bestämmelserna i  
 23–26 
  §§. 
 Regeringen, eller den myndighet som regeringen bestämmer, får meddela närmare föreskrifter om vilken information som skall lämnas till den registrerade och hur lämnandet av informationen skall gå till (50 § e). Regeringen har i 13 § 5 personuppgiftsför- ordningen bemyndigat Datainspektionen att meddela sådana föreskrifter. Några föreskrifter har emellertid ännu inte utfärdats. Däremot har Datainspektionen gett ut allmänna råd om informa- tion till den registrerade enligt personuppgiftslagen. 
  
 6.11.2 
  
 Utredningens överväganden 
  
 I det föregående har påpekats att personuppgiftslagen inte inne- håller någon bestämmelse som medger ytterligare undantag i fråga om informationsskyldigheten än dem som framgår av lagen. Anled- ningen därtill är att personuppgiftslagen inte går längre än vad som krävs med hänsyn till dataskyddsdirektivet (prop. 1997/98:44 s. 79). Personuppgiftslagens informationsbestämmelser uppfyller således direktivets minimikrav. I en särlag för behandling av per- sonuppgifter i en viss verksamhet är det därför bara möjligt att göra andra undantag än dem personuppgiftslagen anger, om verksam- heten i fråga inte omfattas av dataskyddsdirektivets tillämpnings- område. Direktivet tillåter dock att informationsskyldigheten utvidgas eller preciseras. 
 Som utredningen tidigare konstaterat (avsnitt 5.3) är verksamhet enligt utlännings- och medborgarskapslagstiftningen till övervägan- de del sådan som omfattas av gemenskapsrätten. Utredningen har också bedömt att utlänningsdatalagen inte bör innehålla från data- skyddsdirektivet avvikande särbestämmelser i fråga om behandling av personuppgifter i verksamhet som faller utanför direktivets tillämpningsområde. Vad som faller utanför är t.ex. verksamhet enligt medborgarskapslagstiftningen och lagen om särskild utlän- ningskontroll. 
 211 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 Den enskildes rätt att få information om behandling av person- uppgifter som gäller honom eller henne är en viktig del av det integritetsskydd som personuppgiftslagen och dataskyddsdirek- tivet syftar till att säkerställa, eftersom den enskilde behöver infor- mationen för att kunna ta till vara sina rättigheter i samband med behandlingen. Enligt utredningens mening finns det inte något beaktansvärt skäl att minska detta integritetsskydd för sådan behand- ling enligt utlänningsdatalagen som inte omfattas av dataskydds- direktivet. Enhetliga regler som bygger på direktivet bör således gälla. Det sagda innebär att utredningen inte föreslår någon inskränkning i förhållande till personuppgiftslagens bestämmelser om informationsskyldighet. 
 Enligt utredningens uppfattning är personuppgiftslagens bestäm- melser om den personuppgiftsansvariges informationsplikt tillfreds- ställande från integritetssynpunkt när personuppgifter behandlas i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Det finns därför inget behov av att utvidga informationsskyldigheten utöver vad som följer av personuppgiftslagen. När personuppgifter behandlas enligt utlänningsdatalagen föreslås således att personupp- giftslagens bestämmelser om information skall gälla. Detta behöver inte särskilt anges i utlänningsdatalagen, eftersom personuppgifts- lagens bestämmelser gäller om inget annat sägs (se avsnitt 6.3). 
 Vidare anser utredningen att 25 och 26 §§ personuppgiftslagen ger tillräcklig vägledning i fråga om vad informationen till den enskilde skall innehålla. Reglerna behöver därför inte preciseras i utlänningsdatalagen. Det kommer alltså att ankomma på respektive personuppgiftsansvarig myndighet att själv och inom personupp- giftslagens ramar avgöra vilken information som skall lämnas. När det gäller undantaget från informationsskyldigheten då det finns bestämmelser om registrerandet eller utlämnandet av personupp- gifterna i annan författning (24 § andra stycket personuppgifts- lagen), kan framhållas att det enligt utredningens mening är tveksamt om bestämmelserna i utlänningsdatalagen är tillräckligt preciserade för att omfattas av undantaget. Lagen torde nämligen inte uppfylla kravet enligt artikel 11.2 i dataskyddsdirektivet om att registreringen eller utlämnandet måste vara  
 uttryckligen  
 föreskrivet i författning. 
 Sammanfattningsvis anser utredningen således att någon sär- bestämmelse om information inte behövs i utlänningsdatalagen. 
 Förslaget innebär bl.a. att det åligger Migrationsverket att i egen- skap av personuppgiftsansvarig lämna sådan information till registre- 
 212 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 rade som personuppgiftslagen föreskriver även såvitt avser behand- ling som företas av utlandsmyndigheterna och viss behandling av Integrationsverket. Inget hindrar emellertid att det i praktiken är dessa myndigheter som överlämnar Migrationsverkets information till de registrerade eller annars förmedlar ansökningar eller andra förfrågningar från registrerade till Migrationsverket. Utredningen anser vidare att det kan förutsättas att Integrationsverket och utlandsmyndigheterna gör den utredning och de efterforskningar som krävs för att informationsskyldigheten skall kunna uppfyllas i varje enskilt fall. 
  
 6.12 
  
 Säkerheten vid behandling och Datainspektionens befogenheter 
  
 Utredningens bedömning 
 : Personuppgiftslagens bestämmelser om säkerheten vid behandlingen (30 och 31 §§) och tillsyns- myndighetens befogenheter (32 och  
 43–47 
  §§) skall gälla också när personuppgifter behandlas i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Regeringen, eller i vissa fall den myndighet som regeringen bestämmer, bemyndigas att meddela närmare föreskrifter om säkerhetsåtgärder till skydd för personuppgifter som behandlas enligt utlänningsdatalagen. Några särskilda bestämmelser därutöver behövs inte. 
 Datainspektionen skall vara tillsynsmyndighet även då per- sonuppgifter behandlas enligt utlänningsdatalagen. 
  
 6.12.1 
  
 Personuppgiftslagens bestämmelser om säkerhet vid behandling och tillsynsmyndighetens befogenheter 
  
 I 30 och 31 §§ personuppgiftslagen finns regler om hur den person- uppgiftsansvarige skall organisera arbetet för att garantera säker- heten för personuppgifter som behandlas. 
 Enligt 30 § får ett personuppgiftsbiträde och den eller de personer som arbetar under biträdets eller den personuppgiftsansvariges ledning behandla personuppgifter bara i enlighet med instruktioner från den personuppgiftsansvarige. Av dataskyddsdirektivet framgår inte hur utförliga instruktioner som den personuppgiftsansvarige måste lämna sina medhjälpare. Datalagskommittén har dock fram- hållit att den personuppgiftsansvarige i princip bär ansvaret för att 
 213 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 instruktionerna är så tydliga att otillåten behandling inte kommer att utföras (SOU 1997:39 s. 408). Om det i lag eller annan författ- ning finns särskilda bestämmelser om behandling av personupp- gifter i det allmännas verksamhet, skall dessa gälla i stället (30 § tredje stycket). Enligt personuppgiftslagens förarbeten avses sär- skilt bestämmelser om tystnadsplikt och sekretess (prop. 1997/98:44 s. 136). 
 Enligt 31 § skall en personuppgiftsansvarig vidta lämpliga tekniska och organisatoriska åtgärder för att skydda de personuppgifter som behandlas. Åtgärderna skall åstadkomma en säkerhetsnivå som är lämplig med beaktande av de tekniska möjligheter som finns, vad det skulle kosta att genomföra åtgärderna, de särskilda risker som finns med behandlingen av personuppgifterna och hur pass känsliga de behandlade personuppgifterna är. Personuppgiftslagen före- skriver således inte någon konkret säkerhetsåtgärd som skall eller bör vidtas utan ger en kortfattad och allmänt hållen uppräkning av de faktorer som skall beaktas av den personuppgiftsansvarige. Av- sikten är, enligt personuppgiftslagens förarbeten, att regeringen eller myndighet som regeringen bestämmer skall meddela närmare föreskrifter om säkerhetsåtgärder som behövs (prop. 1997/98.44 s. 92). Enligt 50 § b personuppgiftslagen får regeringen eller myndig- het som regeringen bestämmer meddela närmare föreskrifter om vilka krav som ställs på den personuppgiftsansvarige. I 16 § person- uppgiftsförordningen har regeringen bemyndigat tillsynsmyndig- heten, dvs. Datainspektionen, att meddela sådana föreskrifter. Några föreskrifter har ännu inte meddelats. Däremot har Data- inspektionen gett ut allmänna råd om säkerhet för personuppgifter. 
 Av 32 § personuppgiftslagen följer att Datainspektionen i en- skilda fall får besluta om vilka säkerhetsåtgärder som den person- uppgiftsansvarige skall vidta. Datainspektionen har också rätt att för sin tillsyn på begäran få tillgång till de personuppgifter som behandlas, upplysningar om och dokumentation av behandlingen av personuppgifter och säkerheten vid denna samt tillträde till sådana lokaler som har anknytning till behandlingen av personupp- gifter (43 §). Datainspektionen har vidare vissa möjligheter att förelägga vite och att förbjuda den personuppgiftsansvarige att fortsätta att behandla personuppgifter på annat sätt än att lagra dem  
 (44–46 
  §§). Datainspektionen har också möjlighet att hos domstol ansöka om att personuppgifter som har behandlats på ett olagligt sätt skall utplånas (47 §). 
 214 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 6.12.2 
  
 Utredningens överväganden 
  
 Enligt utredningens uppfattning bör personuppgiftslagens bestäm- melser om säkerheten vid behandling av personuppgifter gälla även när personuppgifter behandlas i verksamhet enligt utlännings- och medborgarskapslagstiftningen. 
 Att i lagen eller i en förordning som utfärdas med stöd av lagen konkret ange vilka säkerhetsåtgärder som skall vidtas ter sig inte lämpligt. Rent allmänt bör emellertid framhållas att det stora antalet registrerade i här aktuell verksamhet och mängden integri- tetskänsliga uppgifter medför att höga krav måste ställas på de säkerhetsåtgärder som skall vidtas för att skydda personuppgifter- na. Hög kvalitet på tekniska skyddsåtgärder såsom t.ex. säkra funktioner för behörighetskontroll, loggning, kryptering, säker- hetskopiering, antivirusprogram m.m. måste förutsättas, särskilt i en så integritetskänslig och omfattande verksamhet som bedrivs av Migrationsverket. Minst lika viktigt är fasta rutiner för hanteringen av personuppgifter och att personalen kontinuerligt utbildas och informeras om säkerhetsfrågor. Personuppgifter i  
 e-post 
  kan näm- nas som ett exempel på behandling som det kan finnas särskild anledning att skapa fasta rutiner och interna säkerhetsregler för. 
 Det kan vidare nämnas att bestämmelser om säkerhetsåtgärder till skydd för uppgifter finns även i annan lagstiftning, t.ex. i arkivlagen (1990:782) med anknytande författningar. Sådana bestäm- melser gäller vid sidan av personuppgiftslagens bestämmelser. Det innebär att en myndighet måste vidta skyddsåtgärder såväl i egen- skap av arkivbildande myndighet som i egenskap av personuppgifts- ansvarig. Enligt utredningens lagförslag kommer personuppgifts- ansvarig myndighet inte alltid att vara identisk med arkivbildande myndighet. Migrationsverket föreslås bli personuppgiftsansvarigt för utlandsmyndigheternas och viss del av Integrationsverkets behandling av personuppgifter enligt lagen. Utlandsmyndigheter- nas och Integrationsverkets arkivansvar kommer emellertid att kvarstå. Enligt utredningens bedömning finns det inte anledning att befara att detta delvis överlappande ansvar mellan myndig- heterna kommer att ge upphov till några problem. 
 Bestämmelserna om tillsynsmyndighetens befogenheter bör gälla även när personuppgifter behandlas i verksamhet enligt utlännings- och medborgarskapslagstiftningen. 
 Sammanfattningsvis föreslår utredningen således att personupp- giftslagens bestämmelser om säkerheten vid behandling av person- 
 215 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 uppgifter och tillsynsmyndighetens, dvs. Datainspektionens, befogen- heter skall gälla även när personuppgifter behandlas enligt den föreslagna utlänningsdatalagen. Som nämnts i avsnitt 6.4 och som närmare kommer att beröras i avsnitt 6.18.6 föreslår utredningen att det i lagen införs ett uttryckligt bemyndigande för regeringen eller i vissa fall den myndighet regeringen bestämmer att meddela föreskrifter om säkerhetsåtgärder. Bemyndigandet syftar främst till att Migrationsverket skall ges rätt att besluta om närmare före- skrifter för sådan behandling av personuppgifter som utförs av Integrationsverket eller utlandsmyndigheterna men som Migra- tionsverket är personuppgiftsansvarigt för. Detta bemyndigandet utesluter inte att Datainspektionen beslutar om säkerhetsåtgärder i enskilda fall enligt 32 § personuppgiftslagen eller meddelar föreskrifter om säkerhetsåtgärder enligt 16 § 2 personuppgifts- förordningen jämförd med 50 § b personuppgiftslagen. 
  
 6.13 
  
 Överföring av personuppgifter till tredje land 
  
 Utredningens förslag 
 : Myndigheter får föra över uppgifter till tredje land om den registrerade samtycker till det eller om det är oundgängligen nödvändigt för ändamålen handläggning av ärenden eller en myndighets biträde i sådana ärenden, yttre och inre utlänningskontroll, uppgiftsutlämnande samt informations- återsökning. 
  
 6.13.1 
  
 Personuppgiftslagens bestämmelser om överföring av personuppgifter till tredje land 
  
 Spridning av personuppgifter till tredje land regleras i  
 33–35 
  §§ personuppgiftslagen. Med tredje land avses en stat som inte ingår i EU eller är ansluten till EES. Regleringen grundas på bestäm- melserna i artikel 25 och 26 i dataskyddsdirektivet och ingress- punkt  
 56–60 
  till direktivet. Bestämmelserna i direktivet är tämligen detaljerade och komplicerade. För att undvika alltför komplicerad lagstiftning infördes i personuppgiftslagen endast de regler som är nödvändiga med hänsyn till dataskyddsdirektivet, nämligen det grundläggande förbudet mot överföring av personuppgifter till tredje land och de konkreta undantag från förbudet som anges i direktivet (prop. 1997/98:44 s. 95 f.). I övrigt bemyndigades 
 216 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 regeringen eller den myndighet regeringen bestämmer att inom direktivets ram meddela ytterligare undantag från förbudet. Dessa undantag kan vara generella eller avse enskilda fall. 
 Nedan följer en kortfattad redogörelse för bestämmelserna om överföring av personuppgifter till tredje land. Redogörelsen kon- centreras till bestämmelser som är relevanta för utredningens över- väganden. 
 Enligt 33 § personuppgiftslagen gäller ett principiellt förbud mot att till tredje land föra över personuppgifter som är under behand- ling eller skall behandlas i tredje land, om inte det aktuella landet har en adekvat skyddsnivå för uppgifterna. Vid bedömningen av om skyddsnivån är adekvat skall särskild vikt läggas vid uppgifter- nas art, ändamålet med behandlingen, hur länge behandlingen skall pågå, ursprungslandet, det slutliga bestämmandelandet och de regler som finns för behandlingen i det tredje landet. Med att personuppgifter är under behandling avses att de är föremål för sådan behandling som omfattas av personuppgiftslagen, dvs. be- handling som är helt eller delvis automatiserad eller som sker manuellt i register. Förbudet träffar också personuppgifter som förs över i syfte att de i tredje land skall undergå sådan behandling. 
 Riktigt vad som i praktiken skall förstås med överföring av personuppgifter till tredje land är svårt att utläsa ur direktivet och personuppgiftslagen. Enligt en kommentar till lagen verkar också det förfarandet att personuppgifter, som undergår automatiserad behandling i Sverige, sänds till tredje land i form av en pappers- utskrift omfattas (Bennett – Becker, Personuppgiftslagen En kommentar, andra upplagan, 2001, s. 246). Enligt kommentaren verkar inte heller krävas att personuppgifterna lämnas ut till tredje man för att reglerna om överföring till tredje land skall vara tillämpliga. Personuppgifterna kan alltså överföras till tredje land även om de fortsätter att vara under den personuppgiftsansvariges kontroll, t.ex. om den personuppgiftsansvarige på en tillfällig resa till tredje land tar med sig en bärbar dator vari personuppgifter dessförinnan lagrats (a.a. s. 247). Motsvarande bedömning har gjorts vid direktivets genomförande i Finland och Danmark medan Norge har intagit en motsatt ståndpunkt. Hur direktivet och lagen i detta avseende skall tolkas blir en fråga för rättstillämpningen, i sista hand  
 EG-domstolen. 
  
 Vissa undantag från förbudet i 33 § finns angivna i 34 § person- uppgiftslagen. Enligt denna bestämmelse får personuppgifter över- föras till tredje land, om den registrerade har lämnat sitt samtycke 
 217 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 till överföringen eller om överföringen är nödvändig för vissa särskilt uppräknade syften. Sistnämnda undantag torde sakna tillämp- ning för personuppgifter som behandlas i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Personuppgifter får dessutom överföras för användning enbart i en stat som har anslutit sig till Europarådets dataskyddskonvention (se avsnitt 2.1). En överföring som sker för att följa lagens krav, t.ex. lämnande av information enligt 26 § till en registrerad i tredje land, torde vidare vara tillåten. 
 Regeringen, eller den myndighet som regeringen bestämmer, får meddela ytterligare undantag från förbudet i 33 § i vissa fall. Undantag får därvid bl.a. föreskrivas för överföring till vissa stater eller om överföring till tredje land behövs med hänsyn till ett viktigt allmänt intresse. I punkt 58 i ingressen till dataskyddsdirek- tivet anges utbyte av uppgifter mellan skattemyndigheter, tullmyn- digheter eller socialförsäkringsmyndigheter som exempel på viktiga allmänna intressen. 
 Det bör vidare påpekas att allt överförande till tredje land av personuppgifter måste vara tillåten behandling enligt 10 och 13– 22 §§ samt uppfylla de grundläggande kraven i 9 § person- uppgiftslagen. Ett uppgiftsutlämnande får givetvis inte heller strida mot sekretesslagen. 
 Här skall vidare nämnas att utlänningsdataförordningen medger att uppgifter som behandlas i ett rättsfallsregister får föras över till tredje land under förutsättning att uppgifterna inte direkt pekar ut den registrerade. 
  
 6.13.2 
  
 Utredningens överväganden 
  
 I utredningens direktiv har regeringen anfört att behandlingen av personuppgifter i verksamhet enligt utlännings- och medborgar- skapslagstiftningen till betydande del är av internationell karaktär samt att överföring av uppgifter till andra  
 EU-länder 
  eller till tredje land är vanligt förekommande inom ramen för olika former av samarbete. Vid utredningens kartläggning av den nuvarande behand- lingen i verksamhetsområdet har det framkommit att det i huvudsak är till andra  
 EU-länder 
  eller annars inom EES som personuppgifter överförs för ändamål som föreslås i utlänningsdatalagen. 
 När det gäller informationsutbytet med utlandsmyndigheter belägna i tredje land bör anmärkas att utlämnande till dem av 
 218 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 personuppgifter – genom direktåtkomst till Migrationsverkets datasystem eller på annat sätt – inte torde innebära att uppgifterna förs över till tredje land i strid mot förbudet i 33 § personupp- giftslagen. Till stöd härför kan artikel 4.1 b) dataskyddsdirektivet åberopas. 
 I artikel 4 regleras vilken nationell rätt som är tillämplig på behandling av personuppgifter. Av punkt 1 b) i artikeln följer att en medlemsstats nationella rätt skall tillämpas även om den register- ansvarige inte är etablerad inom medlemsstatens territorium utan på en plats där medlemsstatens lagstiftning gäller på grund av folkrätten. Överföring till en utlandsmyndighet kan därför inte ses som en överföring till tredje land. Enligt utredningens uppfattning är det först om utlandsmyndigheten i sin tur lämnar ut personupp- gifterna till mottagare i det tredje landet, t.ex. till en förtroende- advokat eller andra utomstående, som det sker en överföring till tredje land av personuppgifterna. 
 Internationellt samarbete och informationsutbyte har kommit att spela en alltmer framträdande roll i verksamhet enligt utlän- nings- och medborgarskapslagstiftningen. Denna utveckling jäm- sides med att myndigheternas informationshantering i allt högre grad blir elektronisk medför, enligt utredningen, att det är ett allmänt intresse att personuppgifter som behandlas enligt utlän- ningsdatalagen bör kunna föras över till tredje land när det krävs för att myndigheterna skall kunna utföra sina uppgifter på ett rationellt och rimligt sätt. Den föreslagna utlänningsdatalagen bör därför inte hindra överföring till tredje land som är befogad utifrån detta allmänintresse. 
 Som tidigare redovisats får personuppgifter enligt gällande rätt överföras till tredje land, om den registrerade samtycker till det. Om en registrerad i tredje land t.ex. ansöker om visum vid en utlandsmyndighet, får han eller hon givetvis anses ha samtyckt till den överföring som sker då han eller hon får del av beslutet. Likaså får en registrerad i tredje land som inleder en elektronisk kom- munikation med en myndighet i Sverige, t.ex. via  
 e-post 
  eller via ett särskilt inrättat elektroniskt ansökningsförfarande, anses samtycka till att den fortsatta kommunikationen kan inbegripa överföring av personuppgifter till tredje land. Här får det anses vara fråga om s.k. konkludent handlande som konstituerar ett samtycke. 
 Emellertid har utredningens genomgång av verksamhetsområdet visat att det ibland finns behov av att överföra personuppgifter till tredje land även i fall där det inte föreligger något samtycke och 
 219 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 inte rimligen heller kan krävas att den registrerades samtycke först inhämtas. Det kan här nämnas att Utredningen om sekretess vid utlandsmyndigheter m.m., i sitt betänkande Utlandsmyndigheternas medverkan i utlänningsärenden m.m. (SOU 2001:110 s. 66 f.), har redovisat att sekretessbelagda personuppgifter, även utan den registrerades samtycke, ofta lämnas ut till förtroendeadvokater eller andra då utlandsmyndigheter i tredje land biträder utlänningsmyn- digheter i Sverige med utredning i enskilda ärenden. 
 Även andra fall kan tänkas då en utlandsmyndighet, polisen eller en utlänningsmyndighet måste lämna ut personuppgifter till tredje land, t.ex. för att därigenom själva få ytterligare information som behövs i ett ärende eller för identitetskontroll av en utlänning som påträffas i Sverige. Frågor kan också ställas av myndigheter i tredje land till svenska myndigheter. Utlänningsmyndigheterna deltar vidare i olika samarbetsorgan rörande asyl- och migrationsfrågor där även tredje länder medverkar och där det kan bli aktuellt att från svensk sida tillhandahålla sådan allmängiltig information som finns t.ex. i Migrationsverkets informationssamling LIFOS. Även den informationen kan ibland innehålla personuppgifter som omfattas av den föreslagna utlänningsdatalagen. 
 Mot bakgrund av det sagda är det utredningens slutsats att de i dag tillämpliga undantagen – den registrerades samtycke och undantaget i utlänningsdataförordningen – inte är tillräckliga för all sådan överföring av personuppgifter som avses behandlas enligt utlänningsdatalagen och som sker för ett viktigt allmänt intresse. Ytterligare undantag behövs. En särreglering i utlänningsdatalagen är alltså påkallad. 
 Utredningen föreslår att en bestämmelse tas in i lagen som er- sätter personuppgiftslagens regler om undantag från förbudet mot överföring av personuppgifter till tredje land (34 § första stycket personuppgiftslagen). Förutom med den registrerades samtycke föreslås överföring av personuppgifter till tredje land få ske om det är oundgängligen nödvändigt för den överförande myndighetens handläggning av ärende eller biträde i sådana ärenden, yttre eller inre utlänningskontroll, fullgörande av uppgiftsutlämnande samt för sådan behandling som sker för ändamålet att återsöka informa- tion om praxis, förhållanden i andra länder m.m. 
 Förslaget är enligt utredningens bedömning förenligt med vad dataskyddsdirektivet anger om att undantag från överföringsför- budet får göras för ett viktigt allmänt intresse. Av hänsyn till integritetsintresset kan det dock finnas anledning att i vissa fall 
 220 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 begränsa vilka uppgiftskategorier som får föras över eller till vilka mottagare som överföringen får ske. Som kommer att framgå i avsnitt 6.18.4 föreslår utredningen därför att regeringen, eller i vissa fall den myndighet regeringen bestämmer, skall bemyndigas att meddela föreskrifter om begränsningar i förhållande till vad lagen medger. 
  
 6.14 
  
 Anmälan till Datainspektionen m.m. 
  
 Utredningens bedömning 
 : Behandling av personuppgifter enligt utlänningsdatalagen behöver inte anmälas till tillsynsmyndig- heten (Datainspektionen). 
 Bestämmelserna i  
 38–40 
  §§ personuppgiftslagen om person- uppgiftsombudets åligganden skall tillämpas. 
 Bestämmelsen i 41 § personuppgiftslagen om att regeringen får meddela föreskrifter om särskild anmälningsskyldighet till tillsynsmyndigheten och förhandskontroll avseende särskilt integritetskänsliga behandlingar bör gälla även när personupp- gifter behandlas enligt utlänningsdatalagen. 
 Några särbestämmelser i utlänningsdatalagen som gäller det sagda behövs inte. 
 Behandling av personuppgifter som är helt eller delvis automa- tiserad omfattas enligt 36 § första stycket personuppgiftslagen av anmälningsskyldighet. Anmälan skall göras skriftligen till Data- inspektionen (tillsynsmyndigheten). Anmälningsskyldigheten är emellertid inte undantagslös. Av personuppgiftslagen följer att anmälan inte behöver göras, om den personuppgiftsansvarige har anmält att ett personuppgiftsombud har utsetts och vem det är (37 §). Vidare får regeringen eller den myndighet regeringen bestämmer enligt 36 § tredje stycket meddela föreskrifter om undantag från anmälningsskyldigheten för sådana typer av behand- lingar som sannolikt inte kommer att leda till otillbörligt intrång i den personliga integriteten. Sådana föreskrifter finns bl.a. i 3 § 3 personuppgiftsförordningen där det anges att anmälningsskyldig- heten enligt 36 § första stycket personuppgiftslagen inte gäller för behandling av personuppgifter som regleras genom särskilda föreskrifter i lag eller förordning. Personuppgiftsförordningens undantag från anmälningsplikten innebär att behandling av person- uppgifter som kommer att regleras av den föreslagna utlännings- 
 221 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 datalagen inte kommer att omfattas av anmälningsskyldigheten såvitt annat inte uttryckligen anges i lagen. Detta gäller alldeles oavsett om ett personuppgiftsombud har utsetts eller inte. 
 Något skäl att ändå föreskriva anmälningsplikt i utlännings- datalagen finns inte enligt utredningens uppfattning. 
 Personuppgiftslagens bestämmelser i  
 38–40 
  §§ om person- uppgiftsombudets uppgifter bör vidare tillämpas i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Visserligen föreligger ingen skyldighet att utse ett personuppgiftsombud enligt person- uppgiftslagen. Ombuden fyller dock en viktig funktion för enskildas integritetsskydd. Hos Migrationsverket, Integrationsverket och Utlänningsnämnden finns för närvarande personuppgiftsombud. Enligt utredningens uppfattning bör ombud finnas hos ansvariga myndigheter när det gäller sådan omfattande och integritetskänslig behandling av personuppgifter som här är i fråga. 
 Slutligen anser utredningen att bestämmelsen i 41 § personupp- giftslagen om att regeringen får meddela föreskrifter om särskild anmälningsskyldighet till tillsynsmyndigheten och förhandskon- troll avseende särskilt integritetskänsliga behandlingar, bör gälla även när personuppgifter behandlas enligt utlänningsdatalagen. 
 Eftersom personuppgiftslagen gäller om inget annat sägs (se avsnitt 6.3), behövs ingen föreskrift i utlänningsdatalagen som berör frågor om anmälning eller personuppgiftsombud. 
  
 6.15 
  
 Bevarande och gallring m.m. 
  
 Utredningens förslag 
 : Personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen skall bevaras eller gallras i enlighet med arkivlagens bestämmelser. Det behövs ingen bestämmelse om detta i utlänningsdatalagen. Ett undantag föreslås dock för Migrationsverkets fingeravtrycksregister som skall gallras enligt nuvarande ordning. En bestämmelse härom bör intas i en förordning som utfärdas i anslutning till utlän- ningsdatalagen. 
 Personuppgifter i automatiserade uppgiftssamlingar som används i myndigheternas löpande kärnverksamhet skall av- skiljas från dessa uppgiftssamlingar när de inte längre behövs i denna verksamhet. Åtkomst till avskilda uppgifter skall vara förbehållen de personer som är i oundgängligt behov av upp- gifterna för att kunna utföra sina arbetsuppgifter. 
 222 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 Enligt direktiven bör utredningen uppmärksamma frågor om beva- rande och gallring samt behandling av personuppgifter för forsk- nings- och statistikändamål. 
 Dataskyddsdirektivet och personuppgiftslagen utgår från att det ligger i den registrerades intresse att personuppgifter inte bevaras. Gallring av elektroniskt lagrade allmänna handlingar är en sedan många år vedertagen metod att skydda enskildas personliga integri- tet vid behandling av personuppgifter inom offentlig verksamhet. 
 Frågor om bevarande och gallring berör emellertid inte bara integritetsskydd. Mot den registrerades integritetsintresse står nämligen allmänna och enskilda intressen av att information bevaras såväl för samtiden som för eftervärlden. 
 Nedan redogörs i korthet för det bakomliggande regelverket i fråga om bevarande och gallring samt för vad som för närvarande gäller i berört hänseende i den verksamhet som omfattas av den föreslagna utlänningsdatalagens tillämpningsområde. 
  
 6.15.1 
  
 Grundläggande regler 
  
 Handlingsoffentligheten 
 Enligt 2 kap. 1 § tryckfrihetsförordningen har varje svensk med- borgare en grundlagsfäst rätt att ta del av allmänna handlingar. Av bestämmelsen framgår att syftet härmed är att främja ett fritt meningsutbyte och en allsidig upplysning. Rätten att ta del av allmänna handlingar, handlingsoffentligheten, är ett av de viktigaste inslagen i offentlighetsprincipen, dvs. den grundsats som innebär att samhällsorganens verksamhet skall bedrivas under allmän insyn och kontroll. 
 Handlingsoffentlighetens syften brukar, utöver vad som anges i 2 kap. 1 §, sammanfattningsvis sägas vara att garantera rättssäker- heten samt effektiviteten i förvaltningen och i folkstyret. 
 Vad som är en allmän handling definieras i 2 kap. tryckfrihetsför- ordningen. Här skall enbart nämnas att med handling förstås fram- ställning i skrift eller bild samt upptagning som kan läsas, avlyssnas eller på annat sätt uppfattas endast med tekniskt hjälpmedel. Begreppet handling avser alltså inte bara papper med skrift eller bild utan även t.ex. upptagningar för automatiserad behandling, CD- romskivor, filmer m.m. Handlingar i form av upptagningar tar inte 
 223 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 sikte på något konkret fysiskt objekt utan på själva informations- innehållet. 
 I 15 kap. sekretesslagen finns regler om myndigheternas registre- ringsskyldighet beträffande allmänna handlingar. Syftet är att garantera allmänhetens rätt att få tillgång till allmänna handlingar. Vad gäller upptagningar för automatisk databehandling finns sär- bestämmelser i 15 kap.  
 9–14 
  §§ sekretesslagen. Det åligger myndig- heter som i sin verksamhet använder automatisk databehandling att bl.a. ordna denna med beaktande av den i tryckfrihetsförordningen stadgade rätten att ta del av allmänna handlingar. 
 Handlingsoffentligheten är emellertid inte undantagslös. Av hänsyn till allmänna eller enskilda intressen gäller en rad undantag som är tillkomna efter en avvägning gentemot intresset av offent- lighet. I vilka fall allmänna handlingar är undandragna allmän insyn och kontroll regleras i sekretesslagen. 
 Personuppgifter som förekommer i verksamhet enligt utlän- nings- och medborgarskapslagstiftningen kan ofta inte lämnas ut, eftersom en prövning enligt sekretesslagen hindrar ett utlämnande. Den bestämmelse som i första hand är tillämplig finns i 7 kap. 14 § andra stycket sekretesslagen som reglerar sekretessen i verksamhet för kontroll över utlänningar m.m. När det gäller bistånd åt asylsökande m.fl. kan också 7 kap. 4 § tredje stycket sekretesslagen komma i fråga. Den nu berörda sekretessen syftar till att skydda enskildas personliga integritet. När det gäller information om för- hållanden i länder varifrån många asylsökande kommer, kan även reglerna om utrikessekretess enligt 2 kap. 1 § sekretesslagen bli tillämpliga. 
 Arkivvård och gallring 
 Handlingsoffentligheten bärs upp av arkivsystemet som innebär att allmänna handlingar skall bevaras i arkiv som hålls ordnade bl.a. för att tillgodose allmänhetens rätt att ta del av allmänna handlingar. 
 Grundläggande bestämmelser om bevarande och gallring av allmänna handlingar hos myndigheter finns i arkivlagen (1990:782). Lagen är en ramlag som innehåller allmänna och övergripande bestämmelser för myndigheternas arkiv. Lagbestämmelserna fylls ut av arkivförordningen (1991:446) samt de myndighetsspecifika beslut eller generella föreskrifter som Riksarkivet utfärdar. Många bestämmelser är teknikoberoende och avser såväl handlingar på 
 224 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 papper som elektroniskt lagrade upptagningar. I lag eller förord- ning kan meddelas från arkivlagen avvikande regler om gallring av allmänna handlingar som då gäller i stället för arkivlagen. 
 Riksarkivet är den arkivmyndighet som utövar tillsyn över att Migrationsverket, Utlänningsnämnden, Integrationsverket och Riks- polisstyrelsen fullgör sina skyldigheter enligt arkivlagen. Chan ven utövar tillsyn över polismyndigheterna. Utlandsmyndigheterna omfattas av arkivlagens bestämmelser men står inte under någon arkivmyndighets tillsyn. I stället är det Regeringskansliet som skall ha tillsyn över utlandsmyndigheternas arkiv. Regeringskansliet får meddela föreskrifter om bl.a. gallring av allmänna handlingar, se 60 § förordningen (1996:1515) med instruktion för Regerings- kansliet. I förarbetena till arkivlagen anges att utrikesrepresen- tationen, dvs. utlandsmyndigheterna, visserligen är självständiga förvaltningsmyndigheter men att de hör så intimt samman med Utrikesdepartementet att det naturliga är att Utrikesdepartementet, som har en omfattande arkivverksamhet, svarar för utlandsmyn- digheterna (prop. 1989/90:72 s. 75). 
 I 3 § arkivlagen slås fast att myndigheternas arkiv är en del av det nationella kulturarvet och att de skall bevaras, hållas ordnade och vårdas så att rätten att ta del av allmänna handlingar tillgodoses. Dessutom skall behovet av information för rättskipningen och för- valtningens samt forskningens behov tillgodoses. Med forskning avses i arkivlagen inte enbart professionell, vetenskaplig forskning utan även amatörforskning, t.ex. släktforskning. 
 Myndigheternas arkiv bildas av de allmänna handlingarna från myndighetens verksamhet och sådana handlingar som avses i 2 kap. 9 § tryckfrihetsförordningen (minnesanteckningar, utkast eller kon- cept) som myndigheten beslutar skall tas om hand för arkivering. För elektronisk information gäller en specialregel. Om upptagningar för automatisk behandling är tillgängliga för flera myndigheter så att de utgör allmänna handlingar hos alla dessa myndigheter, skall upptagningen bilda arkiv endast hos en av myndigheterna. Arkiv- myndighet blir i första hand den myndighet som svarar för huvud- delen av upptagningen. Svarar myndigheterna för ungefär lika stora delar av upptagningen, får Riksarkivet meddela föreskrifter om hos vilken myndighet upptagningen skall bilda arkiv (4 § arkivför- ordningen). 
 Huvudprincipen enligt arkivlagen är att allmänna handlingar skall bevaras. Enligt 10 § arkivlagen får emellertid gallring ske. Därvid skall beaktas att arkiven utgör en del av kulturarvet och att 
 225 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 det arkivmaterial som återstår skall kunna tillgodose rätten att ta del av allmänna handlingar, behovet av information för rättskip- ningen och förvaltningen samt forskningens behov. Det kan så- ledes konstateras att arkivlagen inte föreskriver att bevarande- och gallringsfrågor skall beaktas också utifrån integritetssynpunkt. Gallring kan många gånger föranledas av kostnads- och utrymmes- hänsyn. 
 Med gallring avses traditionellt att vissa handlingar sorteras ut ur sitt sammanhang och sedan förstörs. Traditionella pappershand- lingar förstörs fysiskt. När det gäller gallring av elektroniska upp- tagningar innebär detta normalt att viss information raderas från databäraren. 
 Det är dock inte nödvändigt att den egentliga information som finns på ett elektroniskt medium verkligen förstörs för att det skall vara fråga om gallring. Gallring kan också ske genom att elektro- niskt lagrad information överförs till papper eller mikrofilm, varefter informationen raderas från det elektroniska mediet. Även om rätten till insyn inte försvinner då informationen finns kvar på papper eller på mikrofilmen, så har möjligheterna att få fram informationen försämrats. 
 Riksarkivet har definierat gallring som förstöring av allmänna handlingar eller uppgifter i allmänna handlingar. Överföring till annan databärare räknas som gallring, om överföringen medför informationsförlust, förlust av möjliga informationssammanställ- ningar, förlust av sökmöjligheter eller förlust av möjligheter att fastställa informationens autenticitet, t.ex. i fråga om elektroniska signaturer.  
 (RA-FS 
  1994:2 och  
 RA-FS 
  1997:4). 
 En statlig myndighet får inte på egen hand avgöra vad som skall gallras ur dess arkiv. Tvärtom får allmänna handlingar hos myndig- heten gallras endast i enlighet med föreskrifter eller beslut av Riksarkivet eller i enlighet med gallringsföreskrifter i lag eller för- ordning. Från arkivlagen avvikande gallringsregler i lagar eller förordningar tar då över arkivlagens regler om bevarande. 
 I den mån det i särförfattningar för myndigheters behandling av personuppgifter saknas gallringsbestämmelser, tillämpas arkivlagens bestämmelser om bevarande som huvudprincip och gallring som undantag. 
 I särförfattningar som reglerar myndigheters integritetskänsliga behandling av personuppgifter finns emellertid vanligtvis regler som innebär att uppgifter skall gallras efter viss tid, särskilt i fråga om uppgifter som behandlas automatiserat. Som exempel kan 
 226 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 nämnas lagen (2001:617) om behandling av personuppgifter inom kriminalvården som föreskriver gallring som huvudprincip oberoen- de av om personuppgifterna behandlas manuellt i register eller auto- matiserat. Ett annat exempel är lagen (2001:181) om behandling av personuppgifter i skatteförvaltningens beskattningsverksamhet som enbart föreskriver gallring av personuppgifter som behandlas automatiserat. Dessa gallringsbestämmelser har motiverats utifrån integritetssynpunkt för att förhindra att känsliga eller annars ömtåliga uppgifter bevaras i onödan. 
 I förarbetena till arkivlagen (prop. 1989/90:72 s. 50 f.) konsta- terades mot bakgrund av då gällande s.k. registerförfattningar att gallringsbestämmelserna i flertalet registerförfattningar var kon- struerade utifrån en omvänd princip i förhållande till arkivlagen, nämligen att gallring skall ske, om inte något annat uttryckligen föreskrivits. Enligt departementschefen var denna omvända princip rimlig med hänsyn till de integritetsintressen som kan föreligga på de särskilda registerförfattningarnas område. Det framhölls vidare att undantag från registerförfattningens gallringsskyldighet, som kan förestavas med hänsyn till insynsaspekten, myndighetens informationsbehov och rättssäkerhetsaspekter, som regel bör tas in direkt i den särskilda registerlagen. Sådana frågor kan nämligen normalt regleras genom generella bestämmelser. Däremot borde, menade departementschefen, konkreta avgöranden av vilka hand- lingar som bör bevaras med hänsyn till forskningens behov i princip överlåtas på fackkunnigt folk inom arkivmyndigheterna. När det gäller bevarande för forskningens behov förordade depar- tementschefen således att det i lagen slås fast att, utöver de undan- tag från gallringsplikten som konkret anges i lagen, ytterligare undantag fick föreskrivas av regeringen eller den myndighet som regeringen bestämmer. 
 Det är i linje med dessa förarbetsuttalanden vanligt att det i de förordningar som utfärdats i anslutning till särlagar i förhållande till personuppgiftslagen, har överlåtits åt Riksarkivet att meddela när- mare föreskrifter om undantag från gallringbestämmelser i särlagen. 
 Avslutningsvis kan nämnas att Offentlighets- och sekretess- kommittén, OSEK, i ett nyligen lämnat delbetänkande, Ordning och reda bland allmänna handlingar (SOU 2002:97) har föreslagit en ny lag om hantering av allmänna handlingar. Lagen samordnar regleringen i 15 kap. sekretesslagen om registrering av allmänna handlingar och utlämnande av allmänna handlingar m.m. med arkivlagen. Förslaget remissbehandlas för närvarande. 
 227 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 Personuppgiftslagen 
 Enligt 9 § första stycket i) personuppgiftslagen skall den person- uppgiftsansvarige se till att personuppgifter inte bevaras under en längre tid än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. Därefter måste uppgifterna avidentifieras eller utplånas. 
 För myndigheter gäller emellertid 8 § personuppgiftslagen om förhållandet till offentlighetsprincipen och myndigheternas arkiv- bildning. 
 Enligt bestämmelsen tillämpas inte personuppgiftslagen i den ut- sträckning det skulle inskränka en myndighets skyldighet enligt 2 kap. tryckfrihetsförordningen att lämna ut personuppgifter i all- männa handlingar. Lagen hindrar inte heller att en myndighet arki- verar och bevarar allmänna handlingar eller att arkivmaterial tas om hand av en arkivmyndighet. 
 Personuppgiftslagen ställer således inte något krav på att personuppgifter som är allmänna handlingar skall utplånas eller gallras. För personuppgifter som inte är allmänna handlingar gäller dock regeln i 9 § första stycket i), nämligen att personuppgifter inte bevaras under en längre tid än vad som är nödvändigt med hänsyn till ändamålen med behandlingen. 
  
 6.15.2 
  
 Nuvarande förhållanden i verksamhet enligt utlännings- och medborgarskapslagstiftningen 
  
 Några särbestämmelser om gallring finns inte i utlänningslagen eller annan författning som styr verksamhet som omfattas av den föreslagna utlänningsdatalagens tillämpningsområde. I utlännings- dataförordningen finns endast en bestämmelse om gallring. Denna gäller Migrationsverkets automatiserade fingeravtrycksregister, ur vilket uppgifter skall gallras när den registrerade blir svensk med- borgare, dock senast tio år efter det att uppgiften registrerades. För övriga uppgifter som förekommer i verksamhetsområdet gäller där- med de regler om bevarande och gallring som följer av arkivlagen. Det innebär att huvudprincipen är att allmänna handlingar inte skall gallras och att gallring får ske endast i enlighet med föreskrifter eller beslut av Riksarkivet eller, beträffande utlandsmyndigheter, av Regeringskansliet. 
 228 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 Riksarkivet har utfärdat några myndighetsspecifika beslut för Migrationsverket och Utlänningsnämnden som gäller gallring av vissa allmänna handlingar. Dessa föreskrifter rör enstaka typer av handlingar av ringa bevarandeintresse och har motiverats av andra intressen än hänsyn till enskildas integritet. 
 Riksarkivet har dessutom meddelat flera föreskrifter och all- männa råd som gäller generellt för de myndigheter som är under- kastade Riksarkivets normgivningskompetens. Riksarkivet har bl.a. meddelat föreskrifter om gallring av handlingar – såväl pappers- handlingar som elektroniskt lagrade upptagningar – av tillfällig eller ringa betydelse för myndigheternas verksamhet. 
 Som framgått av avsnitt 4 förekommer merparten av den automa- tiserade behandlingen av personuppgifter i verksamhet enligt utlän- nings- och medborgarskapslagstiftningen i datorbaserade system vari personregister ingår som härrör från datalagens giltighetstid. Dessa personregister inrättades och fördes före utlänningsdataförord- ningens införande med stöd av tillstånd från Datainspektionen. 
 Enligt datalagen gällde att Datainspektionen skulle meddela föreskrift om bl.a. bevarande och gallring av personuppgifter i den mån det behövdes för att förebygga risk för otillbörliga intrång i personlig integritet. I flera av Datainspektionens tillståndsbeslut – bl.a. tillståndet för Migrationsverkets STAMM från år 1994 och tillståndet för Utlänningsnämndens verksamhetsstödjande register UNik från år 1995 – finns föreskrifter om gallring. För UNik gällde att uppgifter generellt gallrades fortlöpande fem år efter beslutsdatum. För STAMM gällde en mängd särskilda gallrings- frister för olika typer av uppgifter. När det gäller STAMM framgår av tillståndet att gallringen endast gällde den elektroniskt lagrade informationen och inte dokument i sitt ursprungliga pappers- format. Detsamma torde ha gällt även för gallringen i UNik och i andra personregister. 
 Migrationsverket, som av de aktuella myndigheterna står för den i särklass mest omfattande och integritetskänsliga behandlingen av personuppgifter, har under detta år utvecklat ett system enligt vilket personuppgifter avställs, se härom avsnitt 4.1.1.1. Äldre personuppgifter, som bedöms vara inaktuella för myndighetens verksamhet, överförs från den verksamhetsstödjande databasen STAMM till en separat databas där de avställda uppgifterna fort- sättningsvis lagras. Någon gallring är det således inte frågan om, t.ex. är sök- och sammanställningsmöjligheterna oförändrade. De avställda uppgifterna är åtkomliga för behörig personal inom 
 229 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 Migrationsverket. Tidpunkten för när uppgifter avställs varierar med ärendeslag och personkategori. 
  
 Avställning  
 är en arkivterm som enligt Riksarkivets definition innebär att handlingar eller uppgifter som redan har givits en bestämd ordning tas ut för att ges en annan ordning, Detta sker i allmänhet för att överföra uppgifterna till en ordning, ett format, som är särskilt anpassad för slutlig långtidslagring. Avställning är en teknikoberoende åtgärd som kan användas just på det sätt Migrationsverket gjort, dvs. vissa data som finns i ett system i drift inaktiveras genom att överföras till ett arkiveringsbart sekundär- minne för långtidslagring. Avställning innebär således inte att information förstörs eller försämras utan avser närmast att ställa informationen i ordning för bevarande. 
 Från datasystemet LIFOS tas en gång om året sådana uppgifter bort som inte längre bedöms ha något värde ur informationssyn- punkt. 
  
 6.15.3 
  
 Utredningens överväganden 
  
 6.15.3.1 Bevarande och gallring 
 I verksamhet enligt utlännings- och medborgarskapslagstiftningen har stora mängder personuppgifter samlats och samlas fortlöpande i manuella och automatiserade register, datorbaserade ärendehante- ringssystem och i andra automatiserade uppgiftssamlingar hos de myndigheter som föreslås omfattas av utlänningsdatalagens tillämp- ningsområde. Frågan är om hänsynen till enskildas integritetsskydd motiverar att det – såsom vanligen gäller enligt motsvarande registerlagar – införs särbestämmelser i förhållande till personupp- giftslagen eller arkivlagen i fråga om hur länge personuppgifter får bevaras. 
 Personuppgifter som inte är allmänna handlingar 
 Som redovisats tidigare gäller enligt 9 § första stycket i) och tredje stycket personuppgiftslagen att personuppgifter inte får bevaras längre tid än vad som är nödvändigt med hänsyn till de ändamål för vilka uppgifterna behandlas  
 eller  
 så länge uppgifterna därefter behövs för historiska, statistiska eller vetenskapliga ändamål. Efter denna tid måste uppgifterna förstöras eller avidentifieras. 
 230 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 Enligt utredningens uppfattning saknas det anledning att föreslå en härifrån avvikande bestämmelse för personuppgifter som inte är allmänna handlingar. Det innebär bl.a. att personuppgifter i minnes- anteckningar, utkast och koncept som en befattningshavare vid någon av de aktuella myndigheterna har skrivit med hjälp av ett ordbehandlingsprogram och som inte tas om hand för arkivering, i allmänhet skall rensas ur datorsystemet eller avidentifieras så snart de inte längre behövs i verksamheten. Det torde nämligen sällan finnas anledning att bevara dessa uppgifter för sådana syften som medger en längre tids bevarande. Eftersom 9 § personuppgiftslagen gäller även då personuppgifter behandlas enligt utlänningsdata- lagen, behövs ingen uttrycklig bestämmelse om detta. 
 Manuellt behandlade personuppgifter i allmänna handlingar 
 Åtskilliga av de personuppgifter som behandlas i verksamheten är allmänna handlingar. Med den princip som för närvarande gäller skall handlingarna som huvudregel bevaras, dock med möjlighet till särskild gallring med stöd av arkivlagens och arkivförordningens bestämmelser. 
 För personuppgifter i allmänna handlingar som behandlas manuellt, alltså framställningar i skrift eller bild, och som omfattas av den föreslagna lagen, anser utredningen att en fortsatt tillämp- ning av de allmänna arkivbestämmelserna är godtagbar utifrån integritetssynpunkt, inte minst med tanke på det starka sekretess- skydd som gäller för uppgifterna. 
 Automatiserat behandlade personuppgifter i allmänna handlingar 
 När det gäller personuppgifter som behandlas automatiserat, alltså upptagningar som kan läsas endast med tekniskt hjälpmedel, är tekniken så utvecklad att ofattbart stora informationsmängder kan samlas i myndigheternas datorsystem. I princip kan allt vara åtkomligt för en rad tjänstemän vid myndigheterna. Även om sekretess gäller för många uppgifter, är denna typ av behandling integritetskänslig, bl.a. eftersom möjligheterna att sammanställa uppgifterna trots föreslagna sökbegränsningar är mycket stora. 
 För att minska risken för integritetskränkningar har utredningen därför övervägt att föreslå en lagbestämmelse om att personupp- 
 231 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 gifter, som behandlas automatiserat, som huvudregel skall gallras då de inte längre behövs för verksamheten. En sådan bestämmelse kan emellertid inte reglera detaljfrågor utan måste vara allmänt och principiellt hållen med hänsyn till verksamhetens mångfacetterade art och behov. En gallringsbestämmelse av nu berört slag skulle kunna utformas enligt följande lydelse. 
 Personuppgifter som behandlas automatiserat skall gallras så snart de inte behövs för de ändamål som anges i 5 § första stycket, dock senast tio år efter utgången av det kalenderår då det senaste ärendet som gäller den registrerade slutligt har avgjorts eller annan åtgärd beträffande honom eller henne har upphört. 
 Första stycket utgör dock inte hinder mot att personuppgifter bevaras för historiska, statistiska eller vetenskapliga ändamål. 
 Regeringen, eller den myndighet regeringen bestämmer (förslagsvis Riksarkivet efter samråd med personuppgifts- och arkivansvarig myndighet), skulle vidare kunna ges rätt att föreskriva såväl kortare gallringsfrister som undantag från gallring med hänsyn till verk- samhetens behov eller till arkivväsendets ändamål. 
 Det finns emellertid enligt utredningen tungt vägande skäl mot att ändra den nuvarande ordningen genom att införa gallring som huvudregel för automatiserat behandlade personuppgifter. Dessa skäl sammanhänger med senare års intensifiering av myndighe- ternas användning av modern informationsteknik samt utveckling mot en allt högre grad av elektronisk akt- och ärendehantering. 
 Av de myndigheter lagförslaget omfattar, har Migrationsverket planer på en fullständig övergång till en sådan hantering. Enligt planerna kommer information i ärenden och i mottagningsverk- samhet i allt väsentligt endast att behandlas och lagras elektroniskt utan att motsvarande information också finns på papper. Person- akterna, dossiererna, kommer då inte att vara pappersbaserade. Även den långsiktiga arkiveringen avses ske på medium för automatiserad behandling. Avsikten med planerna är att göra effektivitetsvinster och kostnadsbesparingar. Ett rimligt antagande är att också de andra myndigheter som skall tillämpa utlänningsdatalagen kommer att utvecklas åt samma håll inom en inte alltför avlägsen framtid. 
 Det är naturligtvis ett samhälleligt intresse att myndigheterna kan effektivisera sin verksamhet. Enligt utredningens uppfattning bör en registerlag inte försvåra en sådan utveckling, såvida inte ut- vecklingen leder till oacceptabla följder för den personliga integri- teten. Ett införande av gallring som huvudregel beträffande automa- 
 232 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 tiserat behandlade personuppgifter kan befaras komma att försvåra en övergång till elektronisk akthantering, eftersom den nya tekniken kan komma i konflikt med de intressen som bär upp arkivverk- samheten. 
 Med tanke på den stränga sekretess – med en sekretesstid för uppgifterna i allmänna handlingar ända upp till 50 år – som råder för stora delar av verksamhetsområdets personuppgifter, väger argument för bevarande i syfte att tillgodose allmänhetens intresse av insyn efter sekretesstidens utgång särskilt tungt. Det är en allvarlig konsekvens av att handlingar som enbart finns i elektro- nisk form gallras, om gallringen medför att allmänna handlingar som är sekretessbelagda inte alls finns kvar för allmänhetens insyn och för forskningens behov då tiden för handlingssekretessen har löpt ut. Den grundlagsfästa handlingsoffentligheten skulle därmed bli starkt urgröpt beträffande ett statligt område som har tydliga politiska dimensioner och ofta är omdiskuterat av sin samtid. Handlingar från verksamhetsområdet torde i framtiden ha ett stort forskningsvärde för historiker och andra som vill granska den förda politiken, invandrarnas historia m.m. 
 Efterkommande släktingar till invandrare som vill släktforska kan nämnas som exempel på enskilda som kommer att ha intresse av bevarat material. Att information finns bevarad kan också vara av vikt för den enskilde registrerade som i efterhand kan vilja söka klarhet i händelseförlopp i handläggning av ärenden som berört honom eller henne. Det kan alltså ifrågasättas om enskilda registre- rade alltid har ett intresse av att uppgifter från myndighetsutövning rörande honom eller henne inte bevaras. 
 Även om handlingsoffentligheten och arkivlagens krav torde kunna uppfyllas genom att elektronisk information i register och andra uppgiftssamlingar gallras genom att överföras till och sparas på papper, går bl.a. viktiga sök- och sammanställningsmöjligheter förlorade. Rätten att ta del av s.k. potentiella handlingar försvinner därmed. Att ersätta elektroniskt material med pappersutskrifter torde vidare kräva en hel del merarbete och medföra större för- varingskostnader. 
 Enligt utredningens mening är det dessutom mindre lämpligt att, såsom fallet blir med gallring som huvudregel, det i praktiken överlåts till de personuppgifts- och arkivansvariga myndigheterna att aktivt bevaka bevarandeintressena. Med gallring som huvudregel kan det nämligen antas att det blir dessa myndigheter som får ta initiativet till avsteg från huvudregeln genom att föreslå undantag 
 233 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 från gallring. Det kan också befaras att så många undantag från gallringsbestämmelsen måste göras att huvudregeln om gallring i själva verket blir undantag. 
 Det finns många andra sätt att skydda den enskildes integritet än att gallra uppgifter. Redan den sekretess som gäller för merparten av uppgifterna är ett starkt skydd. Vidare anser utredningen att det kan förutsättas att behörighetskontrollen blir strikt styrd enligt utredningens förslag om åtkomst samt att säkerhetsåtgärderna blir effektiva (se avsnittenen 6.10 och 6.12). 
 Utredningen är medveten om att en avsaknad av gallringsbestäm- melse utgör ett väsentligt avsteg från vad som brukar föreskrivas i registerlagar. Många av dessa gallringsbestämmelser torde emeller- tid förutsätta att samma information finns i sin originalform och sparas på papper. Förvisso motsvarar detta vad som i huvudsak nu gäller i verksamhet enligt utlännings- och medborgarskaps- lagstiftningen. Enligt utredningens uppfattning bör utlännings- datalagen emellertid vara mer anpassad till förväntade förhållanden, där andra metoder än gallring kan användas för att skydda enskildas personliga integritet. 
 Sammanfattningsvis föreslås således att det inte införs någon gallringsbestämmelse i lagen. När det gäller uppgifter i Migrations- verkets fingeravtrycksregister bör emellertid de nuvarande före- skrifterna om gallring bibehållas. En bestämmelse om detta kan lämpligen intas i en förordning som utfärdas i anslutning till lagen. 
 Utredningen vill dock påpeka att frågor om bevarande eller gallring i registerförfattningar av nu aktuellt slag är komplicerade och att alla aspekter härpå inte har kunnat beaktas inom ramen för utredningens arbete. Enligt utredningens mening finns det därför skäl att i ett annat sammanhang mera grundligt utreda den allmänna intressekonflikten mellan enskildas integritet och bevarande av allmänna handlingar i en offentlig förvaltning som alltmer övergår till elektronisk informationshantering. 
  
 6.15.3.2 
  
 Avskiljande av inaktuella personuppgifter från automatiserade uppgiftssamlingar 
  
 Förslaget att låta arkivlagens bestämmelser om bevarande och gall- ring gälla också för automatiserat behandlade personuppgifter inne- bär inte att utredningen anser att det är tillfredsställande från integritetssynpunkt att personuppgifter som inte längre behövs i 
 234 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 verksamheten är tillgängliga för behöriga handläggare i datoriserade register, ärendehanteringssystem och liknande uppgiftssamlingar tillsammans med uppgifter som är aktuella. Utredningen föreslår därför att särskilda åtgärder skall vidtas beträffande inaktuella upp- gifter som behandlas i verksamheten för ändamålen att handlägga ärenden, bedriva utlänningskontroll samt mottagningsverksamhet. Det är nämligen för dessa ändamål som stora integritetskänsliga uppgiftssamlingar generellt sett finns tillgängliga för stora grupper av anställd personal. 
 För denna typ av automatiserade uppgiftssamlingar föreslår utredningen att personuppgifter, som inte längre behövs för den löpande verksamheten, skall plockas bort,  
 avskiljas 
 , från uppgifts- samlingen så att de inte längre är åtkomliga via registrets, ärende- hanteringssystemets eller annan uppgiftssamlings applikation för den personal som är involverad i den löpande verksamheten. Endast personal som är i oundgängligt behov av de inaktuella uppgifterna skall därefter medges åtkomst till dem, t.ex. verksarkivarier eller högre beslutsfattare. Den personuppgiftsansvariga myndigheten måste därför göra en särskild behörighetsprövning beträffande de avskilda uppgifterna. Det får vidare inte förekomma att annan myndighets direktåtkomst till Migrationsverkets personuppgifter omfattar avskilda uppgifter. 
 Hur avskiljandet skall ske bör personuppgiftsansvarig myndighet själv få bestämma. Det får dock inte innebära informationsförlust av något slag. En metod är att uppgifterna avställs till en annan databas på det sätt Migrationsverket för närvarande gör med inaktu- ella uppgifter i STAMM. Att i lagen ge någon bestämd tidsfrist för när personuppgifterna skall avskiljas behövs inte heller. Självfallet bör personuppgifter om en utlänning avskiljas när han eller hon har beviljats svenskt medborgarskap. En stor mängd personuppgifter om utlänningar som inte varit aktuella i något ärende på lång tid, kan inte heller anses behövas i den löpande verksamheten. Det bör emellertid överlämnas till personuppgiftsansvarig myndighet att närmare beslu- ta när personuppgifter skall avskiljas. Utarbetande av fasta rutiner, tidsplan och dokumentation över avskiljandet torde underlätta för myndigheterna att uppfylla sina skyldigheter enligt den föreslagna bestämmelsen. 
 Utredningen anser alltså att det inte är nödvändigt att föreslå några särskilda föreskrifter i ämnet. Som utredningen återkommer till i avsnitt 6.18.6 bör dock regeringen, eller i vissa fall den myndighet regeringen bestämmer, ges möjlighet att meddela när- 
 235 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 mare föreskrifter om avskiljande. Syftet härmed är att Migrations- verket genom vidaredelegation från regeringen skall ges möjlighet att meddela särskilda föreskrifter om avskiljande beträffande personuppgifter som behandlas av Integrationsverket och utlands- myndigheterna under Migrationsverkets personuppgiftsansvar. 
 Även när det gäller ändamålen att återsöka rättslig och annan information finns stora mängder information i uppgiftssamlingar tillgänglig för ett stort antal användare, såsom i Migrationsverkets LIFOS. Eftersom många personuppgifter avidentifieras innan de förs in i databasen, bedömer utredningen att integritetshänsyn inte påkallar att dessa uppgifter avskiljs. När det gäller ändamålen fram- ställning av statistik samt planering och uppföljning m.m., är det endast ett fåtal användare som har tillgång till uppgiftssamlingar som förs för dessa ändamål. Något avskiljande behövs därför inte heller när det gäller personuppgifter av nu aktuellt slag. 
  
 6.16 
  
 Rättelse, skadestånd och straff 
  
 Utredningens förslag 
 : Personuppgiftslagens bestämmelser om rättelse av personuppgifter och om skadestånd skall gälla vid behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen. En hänvisning till person- uppgiftslagens regler om rättelse och skadestånd görs. 
 Överträdelser av bestämmelser i utlänningsdatalagen skall inte straffbeläggas. 
  
 6.16.1 
  
 Rättelse och skadestånd 
  
 Enligt 28 § personuppgiftslagen är den personuppgiftsansvarige skyldig att på begäran av den registrerade genast rätta, blockera eller utplåna sådana personuppgifter som inte har behandlats i enlighet med personuppgiftslagen eller föreskrifter som har med- delats med stöd av lagen, dvs. vidta rättelse. Att en uppgift rättas innebär att den ersätts eller kompletteras med korrekta uppgifter. Med blockering avses en åtgärd som vidtas för att personupp- gifterna skall vara förknippade med information om att de är spärrade och om anledningen till spärren och för att personupp- gifterna inte skall lämnas ut till tredje man annat än med stöd av 2 kap. tryckfrihetsförordningen (3 § personuppgiftslagen). Att en 
 236 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 uppgift utplånas innebär att den förstörs så att den inte kan återskapas. Det står den personuppgiftsansvarige fritt att välja vil- ken korrigeringsmetod som bör tillämpas (prop. 1997/98:44 s. 87). Den sist nämnda metoden, utplåning, torde emellertid inte kunna tillämpas när det gäller uppgifter i allmänna handlingar. 
 Vad som är en felaktig behandling och bör föranleda rättelse är inte möjligt att närmare definiera utan får avgöras efter en bedömning i det enskilda fallet. Felaktigheten kan t.ex. bestå såväl i att den behandlade personuppgiften inte är korrekt som i att en korrekt uppgift har använts på ett felaktigt sätt. 
 Sker rättelse skall den personuppgiftsansvarige också underrätta tredje man till vilken uppgifterna har lämnats ut om åtgärden, så- vida den registrerade begär det eller om mera betydande skada eller olägenhet för den registrerade skulle kunna undvikas genom en underrättelse. Någon sådan underrättelse behöver dock inte läm- nas, om detta visar sig vara omöjligt eller skulle innebära en oproportionerligt stor arbetsinsats. 
 Enligt 48 § personuppgiftslagen skall den personuppgiftsansva- rige ersätta den registrerade för skada och kränkning av den personliga integriteten som en behandling i strid mot lagen har orsakat. Ersättningsskyldigheten kan i den utsträckning det är skäligt jämkas, om den personuppgiftsansvarige visar att felet inte berodde på honom eller henne. 
 Enligt utredningens uppfattning bör den enskilde vara berättigad att begära rättelse och skadestånd vid behandling som utförts i strid mot de särskilda bestämmelserna i utlänningsdatalagen men inte samtidigt mot personuppgiftslagens bestämmelser. Personuppgifts- lagens bestämmelser är emellertid så utformade att de endast gäller vid behandling i strid mot den lagen. En uttrycklig föreskrift bör därför tas in i utlänningsdatalagen om att personuppgiftslagens bestämmelser om rättelse och skadestånd gäller även då person- uppgifter har behandlats i strid mot utlänningsdatalagen. 
 När det gäller rättelse bör noteras att det enligt 9 § första stycket h) personuppgiftslagen är ett grundläggande krav på den personuppgiftsansvarige att alla rimliga åtgärder vidtas för att rätta, blockera eller utplåna sådana personuppgifter som är felaktiga eller ofullständiga med hänsyn till ändamålen med behandlingen. I 9 § första stycket e) och g) ställs vidare krav på att den person- uppgiftsansvarige ser till att uppgifter som behandlas är adekvata och relevanta i förhållande till ändamålen med behandlingen och att de personuppgifter som behandlas är riktiga och, om det är 
 237 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 nödvändigt, aktuella. Den personuppgiftsansvarige måste således – oberoende av bestämmelsen i 28 § om skyldigheten att vidta rättelse på den registrerades begäran – självmant vara aktiv för att se till att behandlade uppgifter är korrekta. Dessa krav, liksom andra grundläggande krav i 9 § första stycket personuppgiftslagen, gäller även då personuppgifter behandlas enligt den föreslagna utlänningsdatalagen och någon uttrycklig bestämmelse om detta eller hänvisning till 9 § personuppgiftslagen behövs inte i särlagen (se avsnitt 6.3). 
 Den personuppgiftsansvariges skyldighet att självmant korrigera en felaktig eller ofullständig uppgift ställer givetvis krav på att det – i en stor organisation med många anställda som i praktiken behand- lar personuppgifter – finns lämpliga rutiner för hur den enskilde anställde skall agera när han eller hon finner att en uppgift bör korrigeras i något avseende. Inte minst viktigt är detta när det gäller utlandsmyndigheternas och Integrationsverket behandling av personuppgifter som sker under Migrationsverkets personuppgifts- ansvar. I dessa fall kan det inte sällan handla om korrigering av personuppgifter som tidigare har lämnats ut av Migrationsverket till Integrationsverket genom datasystemet ROSE eller till utlands- myndigheter på  
 CD-romskiva 
  enligt  
 Alma-systemet. 
  En förutsätt- ning för att Migrationsverket skall kunna uppfylla sina skyldigheter enligt 9 § första stycket personuppgiftslagen torde vara att Integra- tionsverket och utlandsmyndigheterna regelmässigt underrättar Migrationsverket om att en korrigering enligt 9 § första stycket h) personuppgiftslagen bör utföras eller har utförts vid myndigheten. 
  
 6.16.2 
  
 Straff 
  
 Personuppgiftslagen innehåller också en straffbestämmelse (49 §). Enligt den bestämmelsen kan bl.a. den som uppsåtligen eller av oaktsamhet behandlar uppgifter i strid mot vissa bestämmelser i lagen dömas till straff. 
 Behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen utförs emellertid vid myndig- heter. Den person som gör sig skyldig till en straffbar behandling i strid mot personuppgiftslagen torde ådra sig ansvar för tjänstefel enligt brottsbalkens bestämmelser. Av allt att döma blir det därför inte aktuellt att tillämpa personuppgiftslagens straffbestämmelse i dessa fall. Det kan nämnas att regeringen har gjort motsvarande 
 238 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 bedömningar beträffande en del andra särlagar, se t.ex. polisdata- lagen och prop. 1997/98:97 s. 109 eller lagen om behandling av personuppgifter inom kriminalvården och prop. 2000/01:126 s. 42. 
 Mot bakgrund av det anförda anser utredningen att det saknas anledning att straffbelägga överträdelser av bestämmelser i utlän- ningsdatalagen. Någon särbestämmelse om straff eller hänvisning till 49 § personuppgiftslagen föreslås därför inte. 
  
 6.17 
  
 Överklagande 
  
 Utredningens förslag 
 : En myndighets beslut om rättelse eller om information enligt 26 § personuppgiftslagen skall kunna överklagas hos allmän förvaltningsdomstol. Prövningstillstånd skall krävas vid överklagande till kammarrätten. 
 Andra beslut får inte överklagas. 
 Beslut som fattas rörande personuppgifter och som direkt berör den enskilde är beslut att avslå en ansökan om information enligt 26 § personuppgiftslagen samt beslut att avslå en begäran om rättelse. 
 Enligt utredningens uppfattning bör sådana beslut kunna över- klagas då personuppgifter behandlas enligt utredningens lagförslag. 
 Den normala ordningen när en myndighet fattar ett beslut av förvaltningskaraktär är enligt 22 a § förvaltningslagen (1986:223) att beslutet kan överklagas hos allmän förvaltningsdomstol och att det krävs prövningstillstånd för vidare överklagande till kammar- rätten. Samma ordning bör gälla då beslut om information och rättelse enligt personuppgiftslagen överklagas. Detta är också vad som generellt gäller i nyare s.k. registerförfattningar som är an- passade till personuppgiftslagens bestämmelser, se t.ex. 16 § utlän- ningsdataförordningen och 12 § lagen (2001:617) om behandling av personuppgifter inom kriminalvården. 
 Övriga beslut enligt lagen torde inte direkt beröra den enskilde och bör därför inte kunna överklagas (jfr prop. 2000/01:33 s. 109 f.). 
 239 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 6.18 
  
 Detaljreglering i förordning eller myndighetsföreskrifter 
  
 Utredningens förslag 
 : I lagen föreskrivs att regeringen – utöver bemyndiganden rörande fingeravtrycksregistret och utlämnande till enskild på medium för automatiserad behandling – får meddela ytterligare föreskrifter som innebär begränsningar i förhållande till lagens bestämmelser såvitt avser ändamål, per- sonuppgiftskategorier, sökbegrepp, direktåtkomst och överföring till tredje land. 
 Vidare föreslås att regeringen får meddela föreskrifter om avskiljande av personuppgifter och säkerhetsåtgärder till skydd för personuppgifter. 
 Slutligen föreslås att regeringen får delegera föreskriftsrätten till annan myndighet i fråga om behandling som utförs av Integrationsverket och utlandsmyndigheterna under Migrations- verkets personuppgiftsansvar. Rätten till vidaredelegation gäller dock inte sökbegränsningar. 
 I avsnitt 5.3 har utredningen framhållit att detaljfrågor inte bör regleras i utlänningsdatalagen utan i författningar av lägre rang där närmare integritetsavvägningar vid behov kan göras. I avsnitten 6.7. och 6.9 har också föreslagits att regeringen skall meddela närmare föreskrifter om Migrationsverkets fingeravtrycksregister samt att personuppgifter får lämnas ut till enskild på medium för automati- serad behandling endast om regeringen har meddelat föreskrifter om det. 
 Därutöver bör särskilda bestämmelser tas in i lagen enligt vilken regeringen, eller i vissa fall den myndighet regeringen bestämmer, bemyndigas att meddela ytterligare föreskrifter i frågor som det kan finnas skäl att närmare reglera. Vilka dessa frågor är utvecklas i det följande. I samband därmed behandlas bestämmelserna i den förordning som enligt utredningens förslag skall utfärdas i anslut- ning till utlänningsdatalagen. 
 240 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 6.18.1 
  
 Begränsningar i fråga om vissa ändamål och personuppgiftsslag 
  
 Det kan i många fall finnas anledning att av hänsyn till enskildas integritet begränsa vilka personuppgifter som får behandlas för ett visst ändamål. Utredningen föreslår därför att regeringen i lagen bemyndigas att meddela begränsningar i förhållande till utlännings- datalagen i fråga om vilka uppgifter som får behandlas och i fråga om ändamålen för vilka personuppgifter får behandlas. Såsom utredningen återkommer till i avsnitt 6.18.7 bör detaljerade bestäm- melser härom kunna, efter vidarebemyndigande i förordning, med- delas i Migrationsverkets myndighetsföreskrifter när det gäller personuppgifter som behandlas av Integrationsverket och utlands- myndigheterna under Migrationsverkets personuppgiftsansvar. 
 Vad gäller vissa personuppgifter eller uppgifter om särskilda personkategorier föreslås dock att några begränsningar framgår av den föreslagna förordningen. 
 I verksamhet enligt utlännings- och medborgarskapslagstiftningen förekommer ofta personuppgifter om andra personer än dem som omfattas av myndigheternas direkta verksamhet, t.ex. uppgifter om släktingar, referenter, uppgiftslämnare m.m. Likaså är det vanligt att uppgifter om en utlänning som omfattas eller har omfattats av verksamheten förekommer i ett ärende som gäller en annan utlän- ning. Personuppgifter som på detta sätt används i ärenden eller angelägenheter som inte gäller de registrerade själva bör behandlas med särskild försiktighet. Utredningen föreslår därför att dessa får behandlas för ändamålen handläggning av ärenden och utlännings- kontroll enligt 5 kap. utlänningslagen samt för mottagnings- och bosättningsändamål endast om det är oundgängligen nödvändigt. Vad som avses med kravet  
 oundgängligen nödvändigt  
 har utvecklats i avsnitt 6.6. 
 I förordningen bör vidare införas en motsvarighet till utlännings- dataförordningens bestämmelse om att personuppgifter som direkt pekar ut den registrerade inte får behandlas i Migrationsverkets eller Utlänningsnämndens rättsfallsregister. Något behov av att i den vägledande rättsliga informationen t.ex. namnge registrerade finns inte. Det bör noteras att den föreslagna begränsningen inte gäller behandling av personuppgifter som sker för att ge vägledande information om förhållanden i andra länder. I det sammanhanget är identiteten på en uppgiftslämnare eller andra registrerade ofta mycket viktig för bedömningen av informationens tillförlitlighet. 
 241 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 Enligt utredningens mening finns det vidare inte något tungt vägande behov av att behandla känsliga personuppgifter om ras, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening eller sexualliv för ändamålen utlänningskontroll enligt 5 kap. utlänningslagen eller för mottagnings- och bosättningsverk- samhet som inte utgör ärendehandläggning. Av förordningen bör framgå att dessa uppgifter inte får behandlas för nämnda ändamål. Däremot får uppgifter som avslöjar etniskt ursprung – t.ex. språk, hemort eller tillhörighet till viss minoritetsgrupp – eller rör hälsa behandlas för ändamålen, om utlänningsdatalagens krav på att upp- gifterna skall vara oundgängligen nödvändiga är uppfyllt. 
 För ändamålet informationsåtersökning får enligt den nu gällande utlänningsdataförordningen känsliga personuppgifter enbart be- handlas i löpande text. Den ordningen bör fortfarande gälla och en motsvarande bestämmelse föras in i den nya förordningen. 
  
 6.18.2 
  
 Utlämnande till enskild på medium för automatiserad behandling 
  
 I avsnitt 6.9 har framhållits att utlämnande av personuppgifter på medium för automatiserad behandling innebär särskilda risker för intrång i registrerades personliga integritet. Utredningen har därför föreslagit att regeringen närmare föreskriver om när det sättet för utlämnande till enskild mottagare skall vara tillåtet. I det följande redovisas de fall som enligt utredningens uppfattning kan ske utan otillbörliga intrång i enskildas integritet och som därför bör tillåtas. Givetvis förutsätter förslagen i det följande att uppgifterna över huvud taget får behandlas genom att lämnas ut samt att sekretess- lagen inte hindrar ett utlämnande. 
 För det första anser utredningen att elektroniskt utlämnande av personuppgifter skall tillåtas om den registrerade samtycker till detta. 
 Oberoende av samtycke bör myndigheterna dessutom ha möjlig- het att t.ex. använda  
 e-post 
  för kommunikation med enskilda sökande eller andra som berörs av verksamhet som omfattas av utlänningsdatalagens tillämpningsområde. I den mån personupp- gifter som hör till ett ärende eller en angelägenhet som gäller den enskilde skall lämnas ut, bör det kunna få ske elektroniskt utan särskilt krav på samtycke från den registrerade vare sig denne är 
 242 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 identisk med den enskilde eller inte. Bestämmelsen avses emellertid inte medge att beslut expedieras elektroniskt. 
 Vidare anser utredningen att personuppgifter även skall kunna få lämnas ut elektroniskt till enskild, om detta utlämnandesätt är nödvändigt för den utlämnande myndighetens handläggning av ärenden eller biträde i sådan handläggning eller för Migrations- verkets och Integrationsverkets faktiska mottagnings- respektive bosättningsverksamhet. Kan uppgifterna lika enkelt och säkert utlämnas utan användning av automatiserat medium, bör nödvän- dighetskravet inte anses uppfyllt. Exempel på när elektroniskt utlämnande till enskild torde vara nödvändigt är Migrationsverkets utlämnande till AB Svenska Pass av personuppgifter på  
 CD-rom- 
  skiva såsom underlag för bolagets framställning av resedokument och främlingspass. Andra tänkbara exempel på nödvändigt elektro- niskt utlämnande till enskild av större mängder personuppgifter är när Migrationsverket anlitar en privat entreprenör för att driva mottagningsförläggning eller annan verksamhet som har samband med mottagningsverksamheten. 
 Slutligen bör Migrationsverket ges rätt att elektroniskt lämna ut personuppgifter om registrerade utlänningars namn, födelsedatum och adress till Svenska röda korset. Svenska röda korset bedriver en relativt omfattande verksamhet beträffande efterforskningar och familjeåterföreningar av försvunna krigsflyktingar. Enligt en skrift som regeringen har överlämnat till utredningen, se bilaga 2, är Svenska röda korset i behov av de nämnda personuppgifterna för att kunna genomföra denna verksamhet. Att personuppgifterna utlämnas elektroniskt i stället för manuellt anser utredningen kan godtas ur integritetssynpunkt. Som inledningsvis anmärkts krävs dock också att utlämnandet är möjligt enligt sekretesslagen. I avsnitt 7.5 återkommer utredningen till denna sekretessfråga. 
  
 6.18.3 
  
 Begränsningar i fråga om direktåtkomst 
  
 Som utredningen nämnt i avsnitt 6.10 bör närmare preciseringar eller begränsningar av den i utlänningsdatalagen tillåtna direktåt- komsten till Migrationsverkets personuppgifter kunna ges i för- ordning. Utredningen föreslår därför att regeringen bemyndigas att meddela föreskrifter som innebär begränsningar av de person- uppgifter som får omfattas av direktåtkomst. I utredningens förslag till en förordning finns sådana begränsande bestämmelser. Syftet 
 243 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 med dessa är att minimera de integritetsrisker som, enligt vad som sagts i avsnitt 6.10, är förknippade med att personuppgifter lämnas ut från Migrationsverket genom annan myndighets direktåtkomst. 
 Enligt utredningens bedömning finns det inget behov av att ge regeringen möjlighet att vidaredelegera denna begränsande före- skriftsrätt till Migrationsverket. Det följer nämligen av verkets personuppgiftsansvar att myndigheten inom utlänningsdatalagens ram kan närmare besluta vilka uppgifter som lämnas ut genom direktåtkomst. Det kan här påpekas att utlänningsdatalagens bestäm- melser om direktåtkomst inte utgör bestämmelser om uppgifts- skyldighet utan bara anger i vilken omfattning personuppgifter får lämnas ut genom direktåtkomst. Migrationsverket är alltså inte genom utlänningsdatalagen förpliktad att lämna ut uppgifter genom direktåtkomst. Inte heller behövs vidaredelegation för sådan personuppgiftsbehandling som utförs av Integrationsverket och utlandsmyndigheterna under Migrationsverkets personuppgifts- ansvar, eftersom Integrationsverket och utlandsmyndigheterna enligt den föreslagna utlänningsdatalagen inte får lämna ut person- uppgifter till annan genom direktåtkomst. 
 Regeringskansliet, Utlänningsnämnden, Integrationsverket samt utlandsmyndigheterna 
 När det gäller Regeringskansliets, Utlänningsnämndens samt ut- landsmyndigheternas direktåtkomst för ändamålet handläggning av ärende anser utredningen att de endast skall kunna ges direkt- åtkomst till personuppgifter som de är i oundgängligt behov av för sin handläggning av eller utredning i ärenden enligt utlänningslagen eller medborgarskapslagen. Regeringskansliets direktåtkomst före- slås således inte få avse uppgifter som krävs för handläggning av ärenden enligt lagen om särskild utlänningskontroll. Personupp- gifterna i sist nämnda ärenden torde vara särskilt integritetskänsliga och bör därför inte vara åtkomliga via direktåtkomst. 
 I förordningen bör också föreskrivas att Integrationsverkets direktåtkomst endast får omfatta personuppgifter som verket är i oundgängligt behov av för sin handläggning av ärenden enligt för- ordningen om statlig ersättning för flyktingmottagande m.m. 
 Av hänsyn till de registrerades personliga integritet bör samtliga dessa myndigheters direktåtkomst begränsas så till vida att åt- komsten inte får avse personuppgifter i Migrationsverkets fingerav- 
 244 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 trycksregister eller personuppgifter om andra uppgifter om lagöver- trädelser m.m. än sådana som avser beslut om förvar enligt utlänningslagen. Av samma skäl föreslås att direktåtkomsten inte heller får omfatta känsliga personuppgifter som avslöjar ras, politiska åsikter, religiös eller filosofisk övertygelse, eller medlemskap i fackförening eller som rör hälsa eller sexualliv. Personuppgifter som avslöjar ett etniskt ursprung bör dock tillåtas med tanke på verksamhetens karaktär. 
 Rikspolisstyrelsen och polismyndigheterna 
 Såvitt utredningen erfarit har polisen i dag tillgång till i Migrations- verkets  
 STAMM-bas 
  registrerade uppgifter om sökandes dossier- nummer, namn, person- eller samordningsnummer, kön, nuvarande och tidigare medborgarskap, adress, samhörigheter, inresedatum, individstatus (avliden, avviken, verkställd utresa eller hämtning, kon- staterad utresa, trolig utresa, frivillig hemresa, avhyst), uppgift om förekomsten av  
 LMA-kort, 
  öppna och avslutade ärenden samt beslut. Dessa uppgifter bör polisen även i fortsättningen kunna få ha direktåtkomst till. Enligt utredningens uppfattning bör det i förordningen anges att Rikspolisstyrelsens och polismyndigheter- nas direktåtkomst får avse dessa uppgifter. 
 Dessutom bör Migrationsverket genom föreskrifter kunna medge direktåtkomst till ytterligare personuppgifter som är oundgängligen nödvändiga för polisens fullgörande av sina arbetsuppgifter enligt utlänningslagen. Eftersom sådana föreskrifter utvidgar direktåt- komstens omfattning i förhållande till förordningens begränsnings- regel, krävs att Migrationsverket uttryckligen bemyndigas därtill. Direktåtkomst bör dock inte tillåtas till fingeravtrycksregistret eller till känsliga personuppgifter. Migrationsverket skall samråda med Datainspektionen innan direktåtkomst medges till ytterligare per- sonuppgifter än de i förordningen angivna. 
  
 6.18.4 
  
 Begränsningar i fråga om överföring till tredje land 
  
 I avsnitt 6.13 har utredningen föreslagit en särreglering i förhållande till personuppgiftslagen som tillåter överföring av personuppgifter till tredje land i långt större utsträckning än vad som kan ske med stöd av personuppgiftslagen. Utredningen föreslår emellertid att 
 245 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 regeringen skall kunna meddela begräsningar i fråga om överföring till tredje land. Detta bör uttryckligen framgå av utlännings- datalagen. Vidare föreslås att regeringen skall kunna bemyndiga annan myndighet, dvs. Migrationsverket, att meddela föreskrifter om begränsningar såvitt avser annan myndighets överföring till tredje land som sker under verkets personuppgiftsansvar. 
 De begränsningar som enligt utredningens förslag bör tas in i förordningen avser för det första en begränsning i fråga om över- föring av personuppgifter som behandlas för ändamålet att ge vägledande information om förhållanden i andra länder. Som påpekats i avsnitt 6.18.1 föreslås för detta ändamål ingen begräns- ning i fråga om personuppgifter som direkt pekar ut en registrerad. Av hänsyn till de registrerades integritet bör dock överföring till tredje land tillåtas endast efter det att direkt utpekande uppgifter borttagits. 
 Den andra begränsningen som utredningen föreslår gäller utlands- myndigheterna som utan den registrerades samtycke endast bör få överföra personuppgifter till tredje land, om det krävs för den egna myndighetens handläggning eller för det biträde åt annan myndig- het med utredningar i ärenden enligt utlänningslagen eller med- borgarskapslagen. 
  
 6.18.5 
  
 Migrationsverkets fingeravtrycksregister 
  
 I avsnitt 6.7 har utredningen föreslagit att regeringen bemyndigas att meddela närmare föreskrifter om Migrationsverkets fingerav- trycksregister. Enligt utredningens uppfattning bör utlänningsdata- förordningens regler om registrets innehåll och gallring gälla också fortsättningsvis. Motsvarande bestämmelser bör därför tas in i den föreslagna förordningen. I övrigt bör utlänningsdatalagens och förordningens allmänna bestämmelser tillämpas även i fråga om fingeravtrycksregistret. När det gäller utlämnande av personupp- gifter ur registret på medium för automatiserad behandling anser utredningen att utlänningsdatalagens generella regler om sådant utlämnande skall gälla. Någon motsvarighet till utlänningsdataför- ordningens bestämmelse om sådant utlämnande bör därför inte tas in i förordningen. 
 246 
  
 SOU 2003:40 
  
 Utlänningsdatalag 
  
 6.18.6 
  
 Föreskrifter om säkerhetsåtgärder och avskiljande 
  
 Som föreslagits i avsnitt 6.11 skall personuppgiftslagens bestäm- melser om den personuppgiftsansvariges skyldighet att vidta åtgärder till skydd för behandlade personuppgifter gälla även vid behandling som omfattas av utlänningsdatalagens tillämpnings- område. Den personuppgiftsansvariga myndigheten beslutar om vilka säkerhetsåtgärder som skall vidtas inom den egna myndig- heten. Någon uttrycklig bestämmelse om detta behövs inte utan följer av personuppgiftslagen (se 31 § personuppgiftslagen). 
 Emellertid skall Migrationsverket vara personuppgiftsansvarigt även för utlandsmyndigheternas och i viss utsträckning för Integra- tionsverkets behandling av personuppgifter som sker med stöd av lagen. Förslaget har motiverats i avsnitt 6.4 där utredningen också framfört att detta personuppgiftsansvar bör förenas med en möjlig- het för Migrationsverket att meddela föreskrifter om säkerhets- åtgärder till skydd för de av utlandsmyndigheterna och Integrations- verket behandlade personuppgifterna. Härigenom kan Migrations- verket inom lagens ram närmare reglera t.ex. vilka faktiska skyddsåtgärder utlandsmyndigheterna och Integrationsverket skall vidta i fråga om personuppgifter som behandlas vid myndigheterna under Migrationsverkets personuppgiftsansvar. Eftersom de först nämnda myndigheterna är helt fristående myndigheter i förhållande till Migrationsverket torde en uttrycklig föreskriftsrätt krävas. 
 Av samma skäl som beträffande säkerhetsåtgärder anser utred- ningen att Migrationsverket är i behov av en föreskriftsrätt även när det gäller avskiljande av personuppgifter som behandlas av Integrationsverket och utlandsmyndigheterna under Migrations- verkets personuppgiftsansvar. För personuppgifter som behandlas inom den egna myndigheten är de i lagen föreslagna bestämmel- serna om avskiljande tillräckliga för att ge personuppgiftsansvariga myndigheter befogenhet att närmare besluta i fråga om avskiljande. 
 Bemyndigande i lag kan dock inte ges direkt till en förvalt- ningsmyndighet. I lagen bör därför en bestämmelse tas in om att regeringen får bemyndiga annan myndighet att meddela före- skrifter om säkerhetsåtgärder och avskiljande. Den vidare delega- tionen från regeringen till Migrationsverket bör tas in i den förordningen som föreslås utfärdas i anslutning till utlännings- datalagen. 
 Bemyndigandet i fråga om säkerhetsåtgärder utesluter inte att Datainspektionen beslutar om säkerhetsåtgärder i enskilda fall enligt 
 247 
  
 Utlänningsdatalag 
  
 SOU 2003:40 
  
 32 § personuppgiftslagen eller meddelar föreskrifter om säkerhets- åtgärder enligt 16 § 2 personuppgiftsförordningen jämförd med 50 § b personuppgiftslagen. 
  
 6.18.7 
  
 Ytterligare föreskrifter 
  
 Regeringen bör i lagen bemyndigas att meddela föreskrifter om ytterligare begränsningar såvitt avser sökbegrepp än de som anges i utlänningsdatalagen. Utredningen har dock inte funnit anledning att föreslå någon ytterligare begränsning i förordningen. 
 Såsom redovisats i avsnitt 6.8.1 kan en myndighet på grund av sökbegränsningar som föreskrivs i lag eller förordning sakna befogen- het att göra sammanställningar av personuppgifter ur en upptag- ning för automatiserad behandling. En sådan sammanställning anses inte förvarad hos myndigheten och utgör därmed inte heller en allmän handling. Att föreskriva begränsningar i fråga om sökbegrepp är den i registerförfattningar vanliga metoden att begränsa myndigheternas befogenheter att göra sammanställningar. 
 Sådana sökbegränsningar som beslutas på annat sätt än i lag eller förordning har ingen verkan när det gäller vad som skall anses vara en allmän handling. Enligt utredningens mening är det därför olämpligt att regeringen bemyndigar myndigheterna att meddela föreskrifter om sökbegrepp. Möjlighet till vidaredelegation från regeringen i fråga om sökbegrepp föreslås således inte. 
 Migrationsverket bör slutligen få meddela ytterligare begräns- ningar i fråga om de ändamål för vilka personuppgifter får behand- las och av vilka slags personuppgifter som får behandlas när det gäller Integrationsverkets och utlandsmyndigheternas behandling under Migrationsverkets personuppgiftsansvar. 
 248 
  
 7 
  
 Sekretess 
  
 7.1 
  
 Inledning 
  
 Utredningens förslag till utlänningsdatalag syftar till att – inom den ram som är acceptabel med hänsyn till enskildas personliga integritet – möjliggöra för myndigheterna att utbyta personuppgif- ter med användande av modern och rationell informationsteknik. Detta förutsätter dock att personuppgifterna kan utlämnas även med hänsyn till sekretesslagens (1980:100) bestämmelser. 
 I utredningsdirektiven anges att det är naturligt att sekretess- frågor kommer upp i sammanhang som rör överföring av känsliga uppgifter mellan olika myndigheter. I det helhetsperspektiv som utredningen skall anlägga ingår även att beakta vad Utredningen om sekretess hos utlandsmyndigheter m.m. har kommit fram till i frågor om sekretess och överföring av uppgifter (SOU 2001:110) och vid behov föreslå kompletterande författningsändringar eller andra åtgärder. 
 Nedan redogörs för de sekretessregler som i allmänhet kan vara tillämpliga på personuppgifter som behandlas i verksamhet enligt utlännings- och medborgarskapslagstiftningen, avsnitt 7.1. Dess- utom redogörs för sådana sekretessbrytande bestämmelser som är aktuella när det gäller utlämnande av sekretessbelagda uppgifter från myndigheter som bedriver sådan verksamhet, avsnitt 7.2. Utredningens kartläggning av den nuvarande behandlingen av personuppgifter i verksamhet enligt utlännings- och medborgar- skapslagstiftningen har visat att det i dag förekommer rutinmässiga överföringar mellan myndigheter av stora mängder sekretessbelag- da personuppgifter genom sådan behandling som avses omfattas av utlänningsdatalagens bestämmelser. I avsnitt 7.3. redovisas vilka bestämmelser myndigheterna synes stödja sig på för att lämna ut dessa uppgifter. Därefter, i avsnitt 7.4, redovisas utredningens överväganden i de sekretessfrågor som redogörelsen i det före- gående föranleder. Slutligen behandlas i avsnitt 7.5 den sekretess- 
 249 
  
 Sekretess 
  
 SOU 2003:40 
  
 fråga som ställts av Svenska röda korset i den till utredningen överlämnade skrivelsen, bilaga 2. 
  
 7.2 
  
 Sekretess i verksamhet enligt utlännings- och medborgarskapslagstiftningen 
  
 7.2.1 
  
 Allmänt om sekretess 
  
 I avsnitt 6.15.1 har översiktligt redogjorts för begreppet allmän handling och för allmänhetens grundlagsskyddade rätt att ta del av myndigheternas allmänna handlingar, den s.k. handlingsoffentlig- heten. Rätten att ta del av allmänna handlingar gäller dock inte undantagslös. I 2 kap. 2 § första stycket tryckfrihetsförordningen anges att denna rätt får begränsas om det är påkallat med hänsyn till vissa särskilt angivna intressen, bl.a. till rikets förhållande till annan stat eller mellanfolklig organisation och till skyddet för enskildas personliga eller ekonomiska förhållanden. Enligt bestämmelsens andra stycke skall sådana begränsningar anges noga i bestämmelse i särskild lag eller i annan lag till vilken den särskilda lagen hänvisar. Den särskilda lag som åsyftas är sekretesslagen. 
 Sekretesslagen innehåller bl.a. bestämmelser om tystnadsplikt i det allmännas verksamhet och förbud att lämna ut allmänna hand- lingar. Enligt 1 kap. 1 § sekretesslagen innebär sekretess förbud att röja en uppgift, vare sig det sker muntligen eller genom att en handling lämnas ut eller om det sker på annat sätt. 
 En uppgift som omfattas av sekretess får inte röjas för enskild eller för annan myndighet i andra fall än som anges i sekretesslagen eller i lag eller förordning till vilken sekretesslagen hänvisar. 
 Förbudet att lämna ut en uppgift är i regel inte absolut, vilket tar sig uttryck i att det uppställs skaderekvisit i flertalet materiella sekretessbestämmelser. En avvägning skall göras mot den risk för skada som ett utlämnande kan medföra. Det innebär bl.a. att en uppgift inte skall omfattas av sekretess, om man inte kan förutse någon skada av angiven typ som resultat av att uppgiften lämnas ut. 
 I lagen förekommer två typer av skaderekvisit, ett rakt och ett omvänt. Det  
 raka skaderekvisitet  
 innebär att sekretess föreligger, om det kan antas att en viss angiven skada uppkommer om upp- giften röjs. Det  
 omvända skaderekvisitet  
 innebär att sekretess föreligger, om det inte står klart att uppgiften kan röjas utan skada. När ett rakt skaderekvisit har ställts upp, presumeras alltså att 
 250 
  
 SOU 2003:40 
  
 Sekretess 
  
 uppgiften är offentlig medan presumtionen vid ett omvänt skade- rekvisit är att uppgiften omfattas av sekretess. 
 Det raka skaderekvisitet innebär att skadebedömningen kan göras inom ganska vida ramar (prop. 1979/80:2 del A, s. 80). Avsikten är att bedömningen som regel skall göras med utgångs- punkt i själva uppgiften och således inte behöva knytas till en skadebedömning i det enskilda fallet. Avgörande för om sekretess gäller eller inte är om uppgiften som sådan är av den arten att ett utlämnande typiskt sett kan vara ägnat att medföra skada för det intresse som skall skyddas genom en viss sekretessbestämmelse. Är uppgiften sådan att den genomsnittligt sett måste betraktas som harmlös, skall den normalt sett falla utanför sekretessen. Om uppgiften å andra sidan är av sådant slag att den lätt kan komma att missbrukas, skall den omfattas av sekretess. 
 Det omvända skaderekvisitet utgår från att sekretess är huvud- regel, vilket innebär att utlämnaren har ett ganska begränsat ut- rymme för sin bedömning. I praktiken innebär detta att en uppgift som omfattas av en sådan sekretessregel inte kan lämnas ut, om det saknas kännedom om mottagarens identitet och dennes avsikter med uppgiften. Som framhålls i sekretesslagens förarbeten (a. prop. s. 81) innebär konstruktionen med skaderekvisit att frågan om vem som begär en uppgift eller vad som är ändamålet med en begäran kan få betydelse när sekretessfrågan skall avgöras (jfr 2 kap. 14 § tredje stycket tryckfrihetsförordningen). 
 För att en enskild skall anses lida skada eller men krävs naturligt- vis att uppgifterna kan hänföras till denne. Som regel bör man alltså kunna lämna ut avidentifierade uppgifter utan att risk för skada eller men uppkommer. 
 Flertalet sekretessregler är begränsade till verksamhet av ett visst slag, till ärenden av en angiven art eller till viss myndighet (s.k. primär sekretess). Som huvudregel följer sekretess inte med då en uppgift lämnas ut till en annan myndighet. Uppgiften kan emeller- tid i många fall vara hemlig även hos den mottagande myndighet på grund av en sekretessbestämmelse som gäller för den myndighetens verksamhet. Särskilda bestämmelser om överföring av sekretess finns dock i  
 11–13 
  kap. sekretesslagen. 
 Om uppgifter som omfattas av sekretess lämnas från en myndighet till en annan och den mottagande myndigheten inte kan åberopa vare sig en primär sekretessregel eller en regel om över- föring av sekretess, blir uppgiften som var hemlig hos den ut- 
 251 
  
 Sekretess 
  
 SOU 2003:40 
  
 lämnande myndigheten offentlig hos den mottagande myndig- heten. 
  
 7.2.2 
  
 Sekretessbestämmelser som gäller i verksamhet enligt utlännings- och medborgarskapslagstiftningen 
  
 I det följande beskrivs de materiella sekretessregler som ofta är tillämpliga för personuppgifter som behandlas i verksamhet enligt utlännings- och medborgarskapslagstiftningen, nämligen utrikes- sekretessen, utlänningssekretessen, socialtjänstsekretessen, sekre- tessen för Lucas informationssystem samt statistiksekretessen. Även annan sekretess kan ibland bli aktuell. Sådana andra sekretessbestämmelser som spelar en mindre roll för de stora personuppgiftsflödena mellan eller från de aktuella myndigheterna lämnas emellertid utanför redovisningen. 
 Utrikessekretessen 
 Utrikessekretessen regleras i 2 kap. 1 § sekretesslagen och är tillämplig inom all offentlig verksamhet som omfattas av sekretess- lagen. Enligt bestämmelsen gäller sekretess för uppgifter som angår Sveriges förbindelser med annan stat eller i övrigt rör annan stat, mellanfolklig organisation, myndighet, medborgare eller juridisk person i annan stat eller statslös, om det kan antas att det stör Sveriges mellanfolkliga förbindelser eller på annat sätt skadar landet om uppgiften röjs. Ett rakt skaderekvisit gäller vid sekretesspröv- ningen. Utgångspunkten är alltså att alla uppgifter inom utrikes- sekretessens område är offentliga. 
 I verksamhet enligt utlännings- och medborgarskapslagstift- ningen, såsom denna definieras i utlänningsdatalagen, se avsnitt 6.2, är bestämmelsen om utrikessekretess tillämplig främst beträffande uppgifter som förekommer hos Migrationsverket och Utlännings- nämnden. Utrikessekretessens syfte är att skydda svenska intressen och inte enskilda. Det innebär att personuppgifter kan omfattas av utrikessekretess endast om ett röjande skadar svenska intressen. Så kan vara fallet t.ex. beträffande uppgiftslämnare i reserapporter från s.k. fact findingresor eller i diplomatiska rapporter som Utrikes- departementet översänder till myndigheterna. 
 252 
  
 SOU 2003:40 
  
 Sekretess 
  
 Såsom beskrivits i avsnitt 4.1.6 innehåller Migrationsverkets datasystem LIFOS sådan allmän länderinformation som här avses, däribland personuppgifter om uppgiftslämnare för vilka utrikes- sekretess torde gälla. Det bör noteras att samma personuppgifter också kan omfattas av sekretess enligt 7 kap. 14 § första stycket sekretesslagen som behandlas i det följande. 
 Ibland kan också utredningsuppgifter i enskilda ärenden om- fattas av utrikessekretess, t.ex. i fråga om identiteten på en informationskälla, om ett röjande bedöms allvarligt kunna försvåra Sveriges fortsatta möjligheter att få tillgång till dylik information (se SOU 2001:110 s. 40). 
 Utlänningssekretessen 
 I 7 kap. 14 § sekretesslagen finns bestämmelser om skydd för ut- länningar. Sekretesskyddet för utlänningar är avsett att förhindra att röjande av uppgift om utlänning leder till skada som hänger samman med hans eller hennes särskilda förhållanden som utlän- ning (prop. 1997/80:2 del A, s. 208). 
 Av paragrafens  
 första stycke  
 framgår att sekretess gäller för uppgift som rör en utlänning, om det kan antas att röjande av uppgiften skulle medföra fara för att någon utsätts för övergrepp eller annat allvarligt men som föranleds av förhållandet mellan utlänningen och utländsk stat eller myndighet eller organisation av utlänningar. Bestämmelsen tar sikte på varje slag av uppgifter som rör utlänningar, oavsett i vilket sammanhang uppgifterna före- kommer. Skaderekvisitet är rakt, vilket innebär en presumtion för offentlighet. Skadebedömningen skall, som tidigare nämnts, göras med utgångspunkt i själva uppgiften. Avgörande är om uppgiften som sådan är av den arten att ett utlämnande typiskt sett kan vara ägnat att medföra skada för det intresse som skall skyddas genom bestämmelsen. Endast en relativt allvarlig skada skall leda till sekretess. Det krävs nämligen att det kan antas att ett röjande av uppgiften skulle medföra att någon utsätts för övergrepp eller allvarligt men. Enligt uttalanden i förarbetena fordras visserligen inte någon högre grad av sannolikhet för sådan skada för att sekre- tessen skall gälla, redan en beaktansvärd skaderisk är tillräcklig. Skaderisken skall dock vara föranledd av förhållandet mellan utlänningen och utländsk stat eller organisation av utlänningar (a. prop. s. 209). Som typexempel på fall där sekretess bör gälla, nämns 
 253 
  
 Sekretess 
  
 SOU 2003:40 
  
 i förarbetena situationer där röjande av uppgifter om en politisk flykting här i landet leder till repressalier mot flyktingen eller hans anhöriga i hemlandet (a. prop. s. 208). Utredningar och skäl till beslut i asylärenden som handläggs av Migrationsverket respektive Utlänningsnämnden torde inte sällan innehålla sådana uppgifter. Som nyss sagts kan även uppgifter i LIFOS angående enskilda uppgiftslämnare eller andra personer i t.ex. Migrationsverkets rese- rapporter omfattas av sekretess enligt den aktuella bestämmelsen. 
 Tillämpningsområdet för utlänningssekretessen enligt paragra- fens första stycke är inte begränsat till viss myndighet eller verk- samhet eller vissa ärenden. Sekretessen gäller inom hela den offentliga förvaltningen. 
 Enligt  
 andra stycket  
 i samma paragraf gäller – utöver vad som framgår av första stycket – sekretess för uppgift om enskilds personliga förhållanden i myndighets verksamhet för kontroll över utlänningar och i ärenden om medborgarskap, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon honom närstående lider men. Med begreppet  
 men  
 avses främst integritetskränkningar av olika slag som kan uppstå på grund av att uppgifter om någons personliga förhållanden lämnas ut. Det kan också inbegripa ekonomiska konsekvenser för en enskild. Utgångs- punkten för en bedömning av om men föreligger är den berörda personens egen upplevelse. Bedömningen kan emellertid i viss utsträckning korrigeras med utgångspunkt i gängse värderingar i samhället. 
  
 Uttrycket  
 enskilds personliga förhållanden  
 förekommer på många ställen i sekretesslagen. Vad som menas härmed skall bestämmas med ledning av vanligt språkbruk. Uttrycket avser så vitt skilda förhållanden som t.ex. en persons adress och yttringarna av ett psykiskt sjukdomstillstånd (a. prop. s. 84). 
  
 När det gäller verksamhet för kontroll över utlänningar avses inte bara förvaltningsärenden om t.ex. visering, uppehållstillstånd, arbetstillstånd, avvisning eller utvisning utan också kontrollåt- gärder eller annan löpande tillsyn (a. prop. s. 210). När det gäller uppgift i ärende om arbetstillstånd för utlänning omfattas den av sekretess även enligt 8 kap. 2 § sekretesslagen, om det kan antas att den enskilde lider skada om uppgiften röjs. 
 Med ärende om medborgarskap förstås alla ärenden enligt medborgarskapslagen. 
 Bestämmelsen i andra stycket innebär att sekretess är huvud- regel. Tillämparen har alltså ett betydligt mer begränsat utrymme 
 254 
  
 SOU 2003:40 
  
 Sekretess 
  
 för sin bedömning än vad som gäller enligt paragrafens första stycke. Vid bedömning av sekretessfrågan måste hänsyn tas till att uppgifter som i Sverige kan anses som tämligen harmlösa, kan uppfattas som mycket ömtåliga för den som kommer från ett annat land (Reynolds, Martin, Sharp: Sekretesslagen, en kommentar, 1998, i fortsättningen Reynolds m.fl., s. 7:73). 
 Sekretessen enligt paragrafens andra stycke gäller även anmälan eller annan utsaga som lämnats av enskild i verksamhet för kontroll över utlänningar, t.ex. i ett asylärende. Syftet är att skydda upp- giftslämnaren och dennes närstående. Skyddet gäller emellertid endast om det kan antas att den enskilde löper risk att utsättas för repressalier av allvarligt slag om de lämnade uppgifterna röjs. 
 Beslut i utlännings- eller medborgarskapsärenden omfattas inte av sekretessbestämmelsen i andra stycket utom såvitt avser upp- gifter i skälen. 
 Paragrafens andra stycke är tillämpligt på en stor del av de personuppgifter som Migrationsverket, Utlänningsnämnden, Riks- polisstyrelsen och polismyndigheterna samt utlandsmyndigheterna behandlar när de handlägger utlännings- och medborgarskaps- ärenden eller annars uppfyller åligganden enligt utlänningslagen. I och med det omvända skaderekvisitet presumeras flertalet person- uppgifter som Migrationsverkets behandlar i sitt verksamhets- stödjande system STAMM vara hemliga enligt den ifrågavarande bestämmelsen. 
 Paragrafen om utlänningssekretess har ändrats vid ett flertal tillfällen sedan sekretesslagen trädde i kraft den 1 januari 1981. Från den 1 mars 2003 gäller  
 ett nytt tredje stycke  
 (SFS 2002:1124) som föreskriver sekretess för utlänningars personliga förhållanden hos Integrationsverket. Sekretess gäller enligt bestämmelsen i 1) ärende om statlig ersättning för kostnader för mottagande av flyktingar och andra skyddsbehövande som beviljats uppehålls- tillstånd och av personer som beviljats uppehållstillstånd på grund av anknytning till sådana utlänningar – dvs. ärenden enligt för- ordningen (1990:927) om statlig ersättning för flyktingmottagande m.m. – samt i 2) verksamhet som avser medverkan till bosättning för personer som omfattas av 1). Sekretessen är begränsad med ett rakt skaderekvisit. Sekretess gäller således endast om det kan antas att den enskilde eller någon närstående till den enskilde lider men om uppgiften röjs. Som huvudprincip är uppgifterna i ärendena och i bosättningsverksamheten alltså offentliga. Enligt bestämmelsens förarbeten är avsikten att Integrationsverket skall kunna hemlig- 
 255 
  
 Sekretess 
  
 SOU 2003:40 
  
 hålla typiskt sett integritetskänsliga uppgifter om den enskilde utlänningen, t.ex. om dennes hälsotillstånd eller politiska inställ- ning och liknande uppgifter om anhöriga i hemlandet (prop. 2001/02:191 s. 94 och 115). 
  
 Fjärde stycket  
 infördes år 1997 med anledning av Sveriges anslut- ning till Dublinkonventionen samma år. Dublinkonventionen har, som redovisats i avsnitt 3.1, tillkommit för att garantera att var och en som ansöker om asyl i någon medlemsstat skall få sin asyl- ansökan prövad. I Dublinkonventionens artikel 15 behandlas informationsskyldigheten i individuella asylärenden med närmare angivande av under vilka förutsättningar olika slags personupp- gifter skall utväxlas mellan staterna. Av artikel 15.5. framgår att uppgifter som Sverige tar emot bara får användas för i artikeln 15.1 angivna ändamål samt att de bara får lämnas vidare till sådana myndigheter och rättsinstanser som i något avseende handlägger utlänningsärenden. 
 Enligt den aktuella sekretessbestämmelsen gäller absolut sekretess, i den mån riksdagen har godkänt avtal om detta med främmande stat eller mellanfolklig organisation, för uppgifter som avses i första och andra styckena och som en myndighet har fått enligt avtalet. Något skaderekvisit är alltså inte uppställt. Föreskrifterna i 14 kap.  
 1–3 
  §§ får i fråga om denna sekretess inte tillämpas i strid mot avtalet. Bestämmelsens syfte är enligt för- arbetena att säkerställa att uppgifter som Sverige tagit emot enligt artikel 15 i Dublinkonventionen endast lämnas vidare till sådana myndigheter och rättsinstanser som nyss nämnts och som avses i artikel 15 punkt 5 (prop. 1996/97:87 s. 19 och 23). När Migrations- verket eller Utlänningsnämnden gör eller får förfrågningar i enlighet med artikel 15 i Dublinkonventionen är den aktuella sekretessbestämmelsen alltså tillämplig på den från utländsk myn- dighet mottagna informationen. De mottagna personuppgifterna behandlas sedan i myndigheternas automatiserade system. 
 Inom EU har nyligen antagits en  
 EG-förordning 
  – rådets förordning 343/2003 av den 18 februari 2003 om kriterier och mekanismer för att avgöra vilken medlemsstat som har ansvaret för att pröva en asylansökan som en medborgare i tredje land har gett in i någon medlemsstat – som ersätter Dublinkonventionen. För- ordningen trädde i kraft den 16 mars 2003 och skall börja tillämpas på asylansökningar som lämnas in fr.o.m. den sjätte månaden från ikraftträdandet. Vilken medlemsstat som har ansvaret för att pröva 
 256 
  
 SOU 2003:40 
  
 Sekretess 
  
 en asylansökan som lämnas in dessförinnan skall enligt artikel 29 i förordningen avgöras enligt Dublinkonventionens kriterier. 
 Ytterligare ändringar i paragrafen har föreslagits av Utredningen om sekretess hos utlandsmyndigheter m.m. I utredningens betänkande Utlandsmyndigheternas medverkan i utlänningsärenden m.m. (SOU 2001:110) föreslås en skärpning av sekretessen hos utlandsmyndigheterna genom att sekretess enligt andra stycket skall gälla inte bara då en utlandsmyndighet handlägger utlännings- och medborgarskapsärenden utan också då en utlandsmyndighet  
 medverkar  
 i verksamhet för kontroll över utlänningar och i ärende om svenskt medborgarskap genom att biträda handläggande myn- dighet – dvs. Migrationsverket, Utlänningsnämnden eller polis- myndigheter – med utredning. Dessutom föreslås ändringar av utlänningslagen och medborgarskapslagen genom införande av bestämmelser som anger att uppgifter om utlänningar eller enskilds personliga förhållanden får utbytas mellan utlandsmyndigheter och den myndighet som biträds. För att uppgifter skall få lämnas till en utlandsmyndighet krävs, enligt förslaget, att de behövs för att utlandsmyndigheten skall kunna fullgöra sin utredning och att det föreligger särskilda skäl för att uppgiften lämnas. Något krav på särskilda skäl föreslås inte när det gäller utlandsmyndighetens återrapportering till den handläggande myndigheten. Ändringsför- slagen i denna del kompletteras med ett förslag till ytterligare ett nytt stycke i 7 kap. 14 § sekretesslagen som anger att uppgifter som avses i första och andra styckena i 7 kap. 14 § får lämnas ut utan hinder av sekretess enligt vad som föreskrivs i utlänningslagen och medborgarskapslagen. Förslaget har remissbehandlats och bereds för närvarande i Regeringskansliet. Enligt vad utredningen in- hämtat, är det emellertid osäkert huruvida regeringen kommer att föreslå någon ändring av sekretesslagen när det gäller utlands- myndigheternas medverkan i utlännings- och medborgarskaps- ärenden. 
 Slutligen kan nämnas att Utredningen om översyn av regler och praxis vid verkställighet av avvisnings- och utvisningsbeslut i sitt nyligen lämnade betänkande Verkställighet vid oklar identitet m.m. (SOU 2003:25) bl.a. har funnit att gällande sekretessregler skapar problem i samarbetet mellan Migrationsverket och polismyndig- heter i ärenden avseende verkställighet av avvisnings- eller utvis- ningsbeslut. Utredningen har därför bl.a. föreslagit att Migrations- verket och Utlänningsnämnden åläggs en generell skyldighet att till polismyndighet lämna uppgifter som behövs i sådana ärenden. 
 257 
  
 Sekretess 
  
 SOU 2003:40 
  
 Enligt förslaget författningsregleras uppgiftsskyldigheten genom en ny bestämmelse i utlänningslagen. 
 Socialtjänstsekretessen 
 I 7 kap. 4 § sekretesslagen regleras sekretess inom socialtjänstens område. I paragrafens tredje stycke beskrivs närmare den s.k. socialtjänstsekretessens omfång. Där anges bl.a. att med social- tjänst jämställs verksamhet rörande ärenden om bistånd åt asyl- sökande och andra utlänningar. Sekretessen omfattar uppgifter om enskildas personliga förhållanden. I förarbetena till bestämmelsen framhålls att de uppgifter som asylsökande m.fl. kan behöva lämna för att få bistånd kan vara av lika ömtålig art och förtjäna samma skydd som uppgifter som lämnas i ärenden om socialbidrag, t.ex. uppgifter som belyser den enskilde utlänningens hälsotillstånd (prop. 1987/88:80 s. 35). 
 Presumtionen är för sekretess i och med att ett omvänt skaderekvisit föreskrivs. Uppgifter får lämnas ut, endast om det står klart att uppgifterna kan röjas utan att den enskilde eller någon honom närstående lider men. 
 Av de myndigheter som enligt utredningens förslag har att tillämpa utlänningsdatalagen är det Migrationsverket som ger sådant bistånd åt asylsökande och andra utlänningar som avses i 7 kap. 4 §. Bestämmelsen om socialtjänstsekretess är således tillämp- lig beträffande uppgifter om enskildas personliga förhållanden som finns i den ärendehandläggning som Migrationsverket utför enligt lagen (1994:137) om mottagande av asylsökande m.fl. (LMA). Enligt den lagen lämnas bistånd i form av logi, bostadsersättning, dagersättning eller särskilt bidrag (se även avsnitt 3.3). Sekretessen torde vidare även kunna omfatta uppgifter i Migrationsverkets ärenden enligt förordningen (1984:890) om bidrag till utlänningars resor från Sverige för bosättning i annat land och enligt för- ordningen (1984:936) om bidrag till flyktingar för kostnader för anhörigas resor till Sverige. 
 258 
  
 SOU 2003:40 
  
 Sekretess 
  
 Sekretess för Schengens informationssystem 
 Enligt 7 kap. 41 § sekretesslagen gäller sekretess hos bl.a. polis- myndighet, Rikspolisstyrelsen och Migrationsverket för uppgift om enskilds personliga förhållanden i en angelägenhet som avser en framställning enligt 3 § lagen (2000:344) om Lucas informa- tionssystem om bl.a. att en person skall nekas tillträde till eller uppehållstillstånd i Schengenstaterna (spärrlistan). Ett omvänt skaderekvisit uppställs. Uppgift får således inte lämnas ut, om det inte står klart att så kan ske utan att den enskilde eller någon honom närstående lider men. När det gäller spärrlistan omfattar sekretessen motsvarande uppgifter också hos annan myndighet som prövar ansökningar om visering och uppehållstillstånd, dvs. utlandsmyndigheter eller Utlänningsnämnden. I tredje stycket görs undantag från sekretessen för sådant uppgiftsutlämnande som regleras i polisdatalagen (1998:622) eller i lagen om Lucas informationssystem. 
 De uppgifter som Migrationsverket har i sitt Sirenedatasystem (som är en kopia av spärrlistan i Rikspolisstyrelsens nationella SIS- register, se avsnitt 4.1.2) omfattas av paragrafens tillämpnings- område liksom de uppgifter som utlandsmyndigheterna erhåller vid sina kontroller i viserings- och uppehållstillståndsärenden av om sökandena förekommer i spärrlistan. För utlandsmyndigheter som använder Almasystemet (se avsnitt 4.1.3) kan tilläggas att sekretessbestämmelsen gäller beträffande de utdrag ur spärrlistan som Migrationsverket lagrar på  
 CD-romskivor 
  och lämnar till utlandsmyndigheterna var fjortonde dag. 
 Statistiksekretess 
 I 9 kap. 4 § regleras den s.k. statistiksekretessen. Sekretess gäller i sådan verksamhet hos myndigheter som avser framställning av statistik samt, i den utsträckning regeringen föreskriver det, i annan därmed jämförbar undersökning som utförs av myndighet för uppgift som avser enskilds personliga eller ekonomiska för- hållanden och som kan hänföras till den enskilde. Sekretessen är enligt huvudregeln absolut, men det finns undantag för vilka ett omvänt skaderekvisit gäller. 
 Statistiksekretessen är i verksamhet enligt utlännings- och med- borgarskapslagstiftningen tillämplig främst i fråga om den statistik 
 259 
  
 Sekretess 
  
 SOU 2003:40 
  
 som Migrationsverket och Integrationsverket kontinuerligt för i datoriserade uppgiftssamlingar och som närmare har beskrivits i avsnitt 4.1.5 och 4.3. För uppgifterna torde ofta gälla även utlännings- eller socialtjänstsekretess. 
  
 7.2.3 
  
 Begränsningar i sekretessen i förhållande till andra myndigheter 
  
 Gemensamt för de myndigheter som föreslås tillämpa utlännings- datalagen vid sin behandling av personuppgifter är att åtskilliga personuppgifter omfattas av någon eller några av de sekretess- bestämmelser som redovisats i det föregående. Som tidigare sagts gäller sekretess också mellan myndigheter. Därutöver kan nämnas att sekretess även gäller mellan olika verksamhetsgrenar inom samma myndighet, när de är att betrakta som självständiga i förhållande till varandra (1 kap. 3 § andra stycket sekretesslagen). 
 Huvudprincipen om sekretess mellan myndigheter (och mellan olika verksamhetsgrenar) motiveras enligt förarbetena främst av att den skyddar den enskilde (prop. 1979/80 del A s. 90). Den omständigheten att ett större antal tjänstemän får kunskap om ett känsligt förhållande kan upplevas som menligt av den som upp- giften rör. Även om de funktionärer hos en annan myndighet som får del av informationen i sin tur har tystnadsplikt, ökar risken för obehörig vidarespridning. Uppgifter hos annan myndighet kan läggas till grund för åtgärder som, även om de är helt lagenliga, har en negativ innebörd för den enskilde. Sådana åtgärder kan i sekretesslagens mening innebära skada och men för den enskilde. I förarbetena framhålls att ståndpunkten att helt rättsenliga åtgärder ibland kan få bedömas som skada eller men är nödvändig för att sekretess skall kunna upprätthållas även mellan myndigheter (a. prop. s. 83). 
 Det är emellertid givet att myndigheter ofta behöver utbyta information med varandra, däribland personuppgifter. Myndigheter har dessutom en skyldighet att samverka med andra myndigheter genom att lämna dem hjälp inom ramen för den egna verksam- heten, se 6 § förvaltningslagen (1986:223). I 15 kap. 5 § sekretess- lagen preciseras denna samverkansskyldighet. I bestämmelsen föreskrivs att en myndighet är skyldig att på begäran av en annan myndighet lämna uppgift som den förfogar över, om inte hinder föreligger på grund av sekretess eller av hänsyn till arbetets 
 260 
  
 SOU 2003:40 
  
 Sekretess 
  
 behöriga gång. När det gäller sekretessbelagda uppgifter innebär bestämmelsen att en myndighet är skyldig att lämna ut uppgifterna, om den finner att en sekretessbrytande bestämmelse är tillämplig. 
 Enligt  
 1 kap. 3 §  
 sekretesslagen får sekretessbelagda uppgifter lämnas till annan myndighet i de fall som anges i sekretesslagen eller i lag eller förordning som sekretesslagen hänvisar till. Följande sekretessbrytande bestämmelser är de mest väsentliga för verksamhet enligt utlännings- och medborgarskapslagstiftningen. 
 Enligt  
 1 kap. 5 §  
 sekretesslagen får sekretessbelagda uppgifter lämnas från en myndighet till en annan (eller till en enskild), om det är nödvändigt för att den  
 utlämnande  
 myndigheten skall kunna fullgöra sin egen verksamhet. Bestämmelsen är avsedd att tillämpas restriktivt och får t.ex. inte användas endast i syfte att höja myndigheternas effektivitet. 
 I 14 kap.  
 1–3 
  §§ sekretesslagen finns generella begränsningar i sekretessen mellan olika myndigheter i Sverige (eller olika verk- samhetsgrenar). 
 Sekretess hindrar enligt  
 14 kap. 1 §  
 inte att en uppgift lämnas till regeringen eller riksdagen. Inte heller hindrar sekretess att sekretess- belagd uppgift lämnas till annan myndighet, om en uppgiftsskyldig- het följer av lag eller förordning. För att en bestämmelse om uppgiftsskyldighet skall ha företräde framför en sekretessregel krävs att det är fråga om en uttrycklig uppgiftsskyldighet, uppgiften  
 skall  
 lämnas ut. Enligt förarbetena är det inte nödvändigt att föreskriften i fråga har avfattats med tanke på att uppgifterna kan vara hemliga (prop. 1979/80 del A, s. 322 f.). Däremot krävs för att bestäm- melsen skall vara tillämplig att den uppfyller vissa krav på konkretion. Den kan ta sikte på utlämnande av uppgifter av speciellt slag, gälla en viss myndighets rätt att få del av uppgifter i allmänhet eller avse skyldighet för viss myndighet att lämna andra myndigheter information. En författningsreglerad uppgiftsskyldig- het innebär att någon sekretessprövning inte behöver göras. Den prövning som görs avser i stället vilka uppgifter som skall lämnas ut till följd av uppgiftsskyldigheten. 
 En bestämmelse som mera generellt ålägger en myndighet att samarbeta med andra myndigheter anses inte innefatta en upp- giftsskyldighet som här avses. Detsamma gäller bestämmelserna i 15 kap. 5 § sekretesslagen om myndigheternas upplysningsplikt gentemot varandra respektive den allmänna samverkansskyldig- heten myndigheter emellan som föreskrivs i 6 § förvaltningslagen (1986:223) (Regner m.fl. s. 14:6). 
 261 
  
 Sekretess 
  
 SOU 2003:40 
  
 Författningsreglerad uppgiftsskyldighet med sekretessbrytande verkan som berör verksamhet enligt utlännings- och medborgar- skapslagstiftningen är t.ex. Migrationsverkets respektive Integrations- verkets skyldighet enlig förordningen (1990:1361) om lån till hemutrustning för flyktingar och vissa andra utlänningar att lämna vissa särskilt angivna uppgifter till Centrala studiestödsnämnden. Ytterligare exempel är Migrationsverkets skyldigheter enligt 6 kap. 13 § a studiestödsförordningen (2000:655) respektive 19 c § för- ordningen (2002:744) om rekryteringsbidrag till vuxenstuderande att lämna vissa angivna uppgifter till Centrala studiestödsnämnden eller Överklagandenämnden för studiestöd. 
 I  
 14 kap. 2 §  
 regleras uppgiftslämnande i vissa särskilda situa- tioner. Av intresse i förevarande sammanhang är andra punkten i paragrafens första stycke enligt vilken sekretess inte hindrar att uppgift, i annat fall än som avses i 14 kap. 1 §, lämnas till en annan myndighet, om uppgiften behövs där för omprövning av beslut eller åtgärd av den myndighet där uppgiften förekommer. En sådan omprövning föranleds i allmänhet av ett överklagande. Ompröv- ningen kan också följa av att beslut författningsenligt skall under- ställas en överordnad myndighet eller att sistnämnd myndighet har befogenhet att på eget initiativ förnya prövningen. Bestämmelsen är t.ex. tillämplig när Migrationsverkets beslut överklagas till Utlänningsnämnden. Det kan anmärkas att det – utöver bestäm- melserna i 14 kap. 2 § och sådan särskild författningsreglerad uppgiftsskyldighet som avses i 14 kap. 1 § – inte finns någon allmän befogenhet att lämna en överordnad myndighet sekretessbelagda uppgifter. 
 I  
 14 kap. 3 § första stycket  
 finns den s.k. generalklausulen som införts för att inte oförutsedda hinder skall uppkomma i myndig- heternas verksamhet. Generalklausulen innebär att en sekretess- belagd uppgift får lämnas till en annan myndighet, om det är uppenbart att intresset av att uppgiften lämnas ut har företräde framför det intresse som sekretessen skall skydda. Den mottagande myndighetens behov av uppgifterna skall vägas mot det intresse som sekretesskyddet typiskt sett tillgodoser. Bestämmelsen är subsidiär i förhållande till 14 kap. 1 och 2 §§. 
 I förarbetena uttalades att generalklausulen ger särskilt utrymme för informationsutbyte mellan myndigheter med samma sakliga behörighet men med skilda lokala kompetensområden eller mellan myndigheter som har närbesläktade funktioner och som båda har 
 262 
  
 SOU 2003:40 
  
 Sekretess 
  
 rättslig befogenhet att direkt fordra in de utväxlade uppgifterna (prop. 1979/80:2 del A, s. 326 f.). 
 Generalklausulen hindrar i och för sig inte att utbyte av uppgifter mellan myndigheter sker rutinmässigt även utan särskild författningsreglering. Den bygger emellertid på att rutinmässigt uppgiftsutbyte i regel skall vara författningsreglerat. I de undan- tagsfall när rutinmässigt uppgiftslämnande inte är författningsreglerat men likväl anses tillräckligt motiverat, måste den intresseavvägning som skall göras enligt generalklausulen ske på förhand. Den behöver då inte avse prövning av individuella fall utan kan göras på ett sätt som liknar den som enligt förarbetena skall ske i fråga om massuttag (a. prop. s. 327). Den särskilda skaderisk som kan vara förbunden med varje enskild uppgift kan man vid massuttag inte bilda sig en uppfattning om. Å andra sidan är beställarens identitet alltid känd och oftast också dennes avsikt med uppgifterna. Dessa kunskaper i förening med en bedömning av den skaderisk som typiskt sett är förbunden med uppgifter av det slag som avses med beställningen bör i de allra flesta fall ge fullt tillräckligt underlag för bedömningen av om sekretessregleringen skall anses hindra ett utlämnande eller inte (a. prop. s. 81). Det sagda innebär enligt utredningen att utrymmet att tillämpa generalklausulen på ett rutinmässigt utlämnande av sådana uppgifter som omfattas av ett omvänt skaderekvisit är begränsat. 
 Vid tillämpningen av generalklausulen bör hänsyn tas bl.a. till om uppgifterna kommer att omfattas av sekretess hos den mottagande myndigheten i samma utsträckning som hos den utlämnande. Har det i en lag eller förordning föreskrivits att uppgifter bör eller får lämnas från en myndighet till en annan, finns det särskild anledning att anse att generalklausulen är tillämplig (Regner m.fl., s. 14:27). 
 Generalklausulen gäller inte i fråga om all sekretess. I 14 kap. 3 § andra stycket anges vissa undantag från bestämmelsens tillämp- ningsområde. Av intresse i detta sammanhang är undantaget för socialtjänstsekretessen, som enligt vad som tidigare sagts avser bl.a. ärenden om bistånd åt asylsökande och andra utlänningar (se avsnitt 7.2.2). Undantaget innebär alltså att Migrationsverket inte med stöd av generalklausulen kan lämna till annan myndighet sådana uppgifter som hör till ett ärende om bistånd enligt lagen om mottagande av asylsökande m.fl. Vidare kan generalklausulen inte tillämpas, om utlämnandet strider mot lag eller förordning eller föreskrift som har meddelats med stöd av personuppgiftslagen. 
 263 
  
 Sekretess 
  
 SOU 2003:40 
  
 Som huvudregel gäller sekretess till skydd för enskild inte i förhållande till den enskilde själv. Vidare kan den enskilde helt eller delvis efterge sekretessen ( 14 kap. 4 § sekretesslagen). 
 Slutligen kan nämnas att utlämnande av sekretessbelagda uppgifter till utländsk myndighet får ske under de förutsättningar som anges i 1 kap. 3 § tredje stycket sekretesslagen. Där sägs att sekretessbelagd uppgift får lämnas ut till utländsk myndighet eller mellanfolklig organisation, endast om utlämnandet sker i enlighet med särskild föreskrift om det i lag eller förordning eller om uppgiften i motsvarande fall skulle få lämnas ut till svensk myndighet och det enligt den utlämnande myndighetens prövning står klart att det är förenligt med svenska intressen att uppgiften lämnas till den utländska myndigheten eller den mellanfolkliga organisationen. En  
 EG-förordning 
  jämställs med lag. I artikel 249 i Romfördraget anges att en  
 EG-förordning 
  skall vara bindande och direkt tillämplig i varje medlemsstat. En  
 EG-förordning 
  gäller därmed på samma sätt som en nationell lag, dock med företräde framför lagen i händelse av en kollision. 
  
 7.3 
  
 Personuppgiftsflödet och sekretess 
  
 I avsnitt 4.1. har beskrivits hur personuppgifter rutinmässigt och ibland i stor omfattning lämnas ut från Migrationsverkets datasystem till andra svenska myndigheter och till vissa enskilda mottagare. Till några av de mottagande myndigheterna – Utlänningsnämnden, Integrationsverket, Rikspolisstyrelsen och polismyndigheterna, Wilmaanslutna utlandsmyndigheter samt Centrala studiestöds- nämnden – sker utlämnandet i dag genom dessa myndigheters direktåtkomst till någon eller några delar av Migrationsverkets datasystem. Till övriga utlandsmyndigheter, Arbetsmarknads- styrelsen och landstingen sker utlämnandet på annat sätt men ändå på medium för automatiserad behandling medan uppgifter åtminstone än så länge lämnas till Riksskatteverket genom ordinär post. De enskilda mottagare som får personuppgifter i större omfattning är AB Svenska Pass och Nordea (Postgirot). I båda fallen lämnas uppgifterna ut på medium för automatiserad behand- ling. 
 Härutöver registrerar Utlänningsnämnden, Integrationsverket, polismyndigheterna och Wilmaanslutna utlandsmyndigheter per- sonuppgifter i Migrationsverkets  
 STAMM-bas 
  för fortsatt lagring i 
 264 
  
 SOU 2003:40 
  
 Sekretess 
  
 det systemet. I avsnitt 6.10.3 har framhållits att detta uppgiftsflöde från Integrationsverket och utlandsmyndigheterna till Migrations- verket enligt utredningens bedömning inte innebär att uppgifterna lämnas ut till Migrationsverket i personuppgiftslagens mening, eftersom Migrationsverket är personuppgiftsansvarigt för de andra myndigheternas behandling av uppgifterna i form av registrering. Enligt sekretesslagens regelsystem är det dock fråga om uppgifts- lämnande från en myndighet till en annan. 
 Eftersom de materiella sekretessbestämmelser som beskrivits i avsnitt 7.2.2 är tillämpliga beträffande åtskilliga av de person- uppgifter som lämnas ut i enlighet med det sagda, finns det anledning att närmare belysa vilka sekretessregler som aktualiseras vid informationsflödet och vilka sekretessbrytande bestämmelser myndigheterna torde tillämpa då de lämnar ut sekretessbelagda uppgifter. I nästa avsnitt, 7.4, analyseras om regleringen är tillfreds- ställande och, om så inte är fallet, om det finns skäl att förslå någon författningsändring eller annan åtgärd. 
 Naturligtvis lämnar, som redan har sagts, de aktuella myndig- heterna ut sekretessbelagda personuppgifter även i andra fall än som här berörs. Utredningen har emellertid inte närmare under- sökt förekomsten av sådant informationsflöde utan har inriktat granskningen på rutinmässigt informationsflöde som sker i större omfattning utan någon egentlig sekretessprövning i det enskilda fallet. 
  
 7.3.1 
  
 Direktåtkomst och sekretess 
  
 I avsnitt 6.10.3 har påpekats att uppgifter som en myndighet har tillgång till genom direktåtkomst till en annan myndighets automatiserade uppgiftssamlingar, blir allmänna handlingar hos den mottagande myndigheten när upptagningarna har gjorts tillgängliga för myndigheten, se 2 kap. 6 § första stycket tryckfrihetsförord- ningen. Alldeles oavsett huruvida myndigheten faktiskt använder direktåtkomsten eller inte, är därför  
 varje  
 åtkomlig enskild person- uppgift utlämnad till myndigheten redan genom att den blir åt- komlig. Direktåtkomst beträffande uppgifter för vilka gäller sekretess förutsätter således att en sekretessbrytande regel är till- lämplig på utlämnandet. 
 Här kan anmärkas att all direktåtkomst som förekommer i verksamhet enligt utlännings- och medborgarskapslagstiftningen 
 265 
  
 Sekretess 
  
 SOU 2003:40 
  
 grundas på de mottagande myndigheternas behov av uppgifterna. Bestämmelsen i 1 kap. 5 § sekretesslagen om nödvändigt utläm- nande för att den  
 utlämnande  
 myndigheten skall kunna fullgöra sin verksamhet torde alltså inte tillämpas. 
 Som framgått av det tidigare sagda har samtliga myndigheter som i dag har direktåtkomst till personuppgifter i  
 STAMM-basen 
  tillgång till mycket stora mängder personuppgifter för vilka sekretess enligt främst 7 kap. 14 § andra stycket sekretesslagen normalt gäller. Integrationsverkets direktåtkomst till delsystemet ROSE, som verket har för sin handläggning av ärenden om ersättning till kommuner och landsting, omfattar även uppgifter för vilka torde gälla sekretess enligt 7 kap. 4 § sekretesslagen. 
 Den direktåtkomst Utlänningsnämnden i dag har till LIFOS kan omfatta personuppgifter för vilka gäller sekretess enligt främst 2 kap. 1 § eller 7 kap. 14 § första stycket sekretesslagen. Det bör anmärkas att vägledande beslut i allmänhet avidentifieras innan de görs tillgängliga i LIFOS, varför det i praktiken endast i mycket ringa utsträckning förekommer personuppgifter som är sekretess- belagda enligt 7 kap. 14 § andra stycket sekretesslagen. 
 Nedan beskrivs vilka sekretessbrytande bestämmelser som Migrationsverket i dag torde tillämpa vid utlämnandet till de olika myndigheter som har direktåtkomst. Utredningen återkommer i nästa avsnitt till hur man kan se på de mottagande myndigheternas registrering av uppgifter i STAMM. 
 För  
 Utlänningsnämndens  
 direktåtkomst till sekretessbelagda uppgifter i STAMM får det förutsättas att Migrationsverket tillämpar generalklausulen i 14 kap. 3 § sekretesslagen till stöd för utlämnandet. Visserligen tillåter bestämmelsen i 14 kap. 2 § första stycket 2 att uppgifter lämnas till en myndighet som skall ompröva beslut eller åtgärd av den myndighet där uppgiften förekommer. Den bestämmelsen omfattar emellertid endast uppgifter om personer som är aktuella i överklagade ärenden vid Utlännings- nämnden. Nämndens nuvarande tillgång till uppgifter avser, enligt vad utredningen upplysts om, alla i STAMM registrerade utländska sökande. Även när det gäller Utlänningsnämndens direktåtkomst till sekretessbelagda uppgifter i LIFOS sker utlämnandet under åberopande av generalklausulen i 14 kap. 3 § sekretesslagen. 
  
 Integrationsverket 
 s direktåtkomst avser personuppgifter som Integrationsverket behöver som underlag vid sin handläggning av ärenden enligt förordningen (1990:927) om statlig ersättning för flyktingmottagande m.m. Förordningen har ändrats fr.o.m. den 
 266 
  
 SOU 2003:40 
  
 Sekretess 
  
 1 januari 2003 (SFS 2002:1056), bl.a. genom att det i 40 § föreskrivs att Migrationsverket på begäran skall lämna uppgifter till Integrationsverket om uppgifterna behövs i ärenden om ersättning till kommuner och landsting enligt förordningen. Detta innebär att Migrationsverket numera kan tillämpa 14 kap. 1 § sekretesslagen i fråga om Integrationsverkets direktåtkomst. 
  
 Beträffande  
 Rikspolisstyrelsens och polismyndigheternas samt Wilmaanslutna utlandsmyndigheter 
 s direktåtkomst saknas någon sär- reglering av Migrationsverkets uppgiftslämnande. Direktåtkomsten till de sekretessbelagda uppgifterna förutsätter således för närvaran- de att Migrationsverket, enligt en prövning på förhand, lämnar ut uppgifterna med stöd av generalklausulen i 14 kap. 3 § sekretess- lagen. 
  
 Som nämnts i avsnitt 7.2.3 har Migrationsverket en författnings- reglerad skyldighet att lämna vissa uppgifter till  
 Centrala studiestöds- nämnden 
 . Nämnden har direktåtkomst till STAMM. Utlämnandet till nämnden såvitt avser dessa uppgifter kan således ske enligt 14 kap. 1 § sekretesslagen. Uppgiftsskyldigheten omfattar dock endast utlänningar som är parter i ärenden vid nämnden. Åtkomliga uppgifter om andra utlänningar torde Migrationsverket lämna ut med åberopande av generalklausulen. 
  
 7.3.2 
  
 Annat rutinmässigt utlämnande och sekretess 
  
 För Migrationsverkets utlämnande av uppgifter på  
 CD-rom 
  till  
 utlandsmyndigheter enligt Almasystemet  
 gäller samma som beträf- fande Wilmaanslutna utlandsmyndigheter, nämligen att uppgifter som omfattas av sekretess enligt 7 kap. 14 § andra stycket sekretess- lagen torde lämnas ut av Migrationsverket med tillämpning av generalklausulen i 14 kap. 3 § sekretesslagen. 
 Samma sekretess gäller för personuppgifter som Migrations- verket rutinmässigt lämnar på medium för automatiserad behand- ling till  
 Integrationverket  
 i samband med att Integrationsverket skall medverka vid enskilda utlänningars bosättning efter erhållet uppehållstillstånd. I dessa fall inhämtas dock regelmässigt den enskildes samtycke till att uppgifterna lämnas ut till Integrations- verket. Uppgifterna kan därmed lämnas ut med stöd av 14 kap 4 § sekretesslagen. 
 Från Migrationsverket sänds uppgifter genom on  
 line-förbin- 
  delse till  
 Arbetsmarknadsstyrelsen  
 om alla beviljade arbetstillstånd. 
 267 
  
 Sekretess 
  
 SOU 2003:40 
  
 Vidare underrättas  
 Riksskatteverket  
 om alla beviljade svenska med- borgarskap. Uppgifterna avser således endast själva besluten i dessa utlännings- och medborgarskapsärenden. För uppgifter i sådana beslut gäller inte bestämmelsen om sekretess enligt 7 kap. 14 § andra stycket. Inte heller är uppgifterna rimligen av den karaktären att de omfattas av sekretess enligt samma paragrafs första stycke. De utlämnade uppgifterna är alltså offentliga. 
 Enligt folkbokföringsförordningen (1991:749) åligger det Mig- rationsverket och Integrationsverket att under vissa förhållanden underrätta skattemyndighet om enskilds adress. På förslag av Riksskatteverket övervägs för närvarande en ändring av förordningen som innebär att Migrationsverket skall underrätta skattemyndig- heterna om att utlänning, som haft tillfälligt uppehållstillstånd, inte har sökt förlängning av tillståndet inom tre månader från det tillståndet löpt ut. Uppgiftsskyldighet enligt folkbokföringsförord- ning innebär att de i förordningen avsedda uppgifterna, som kan omfattas av utlänningssekretess, lämnas ut med stöd av 14 kap. 1 § sekretesslagen. 
 Även till  
 landstingen  
 lämnar Migrationsverket rutinmässigt ut personuppgifter. Det sker på disketter med lagrade personuppgifter om vilka asylsökande som har skrivits in på olika flyktingför- läggningar. Visserligen är logi en form av bistånd som lämnas till en utlänning enligt 13 § lagen om mottagande av asylsökande m.fl., vilket kan tala för att bestämmelsen om socialtjänstsekretess i 7 kap. 4 § sekretesslagen skulle vara tillämplig. Uppgiften hos Migrationsverket om på vilken flyktingförläggning en utlänning är inskriven torde emellertid, enligt utredningens bedömning, inte kunna hänföras till ett ärende om bistånd enligt lagen om mottagande av asylsökande m.fl. Däremot kan normalt sekretess gälla för uppgiften enligt 7 kap. 14 § andra stycket sekretesslagen. Migrationsverket torde därmed tillämpa generalklausulen vid utlämnandet. 
 Härutöver har framkommit att det finns ett behov av att Migrationsverket skall kunna rutinmässigt lämna ut uppgifter om asylsökande barn och ungdomar till  
 kommuner  
 för att kommu- nerna skall kunna uppfylla sina skyldigheter enligt förordningen (2001:976) om utbildning, förskoleverksamhet och skolbarnomsorg för asylsökande barn m.fl. Behovet omfattar uppgifter om barnens och ungdomarnas namn, födelsedatum och bostadsadress. Utan dessa uppgifter kan kommunerna t.ex. inte tillskriva barnens målsman med kallelse till skola. 
 268 
  
 SOU 2003:40 
  
 Sekretess 
  
 Såsom nämnts tidigare lämnar Migrationsverket på  
 CD-rom- 
  skiva ut uppgifter om utlänningars namn, födelsedatum, fotografi, namnteckning m.m. till  
 AB Svenska Pass,  
 som ombesörjer den faktiska framställningen av resedokument och främlingspass. Sekretess gäller hos verket för uppgifterna enligt 7 kap. 14 § andra stycket sekretesslagen. Utfärdande av resedokument och främ- lingspass är emellertid uppgifter som åvilar Migrationsverket enligt utlänningslagstiftningen. Enligt uppgift tillämpar Migrationsverket 1 kap. 5 § sekretesslagen vid utlämnandet i den mån den enskilde inte lämnar sitt samtycke till utlämnandet. 
 Vid Migrationsverkets filöverföring av uppgifter om belopp och enskildas kontonummer till  
 Nordea (Postgirot)  
 i samband med utbetalningar av ersättningar enligt lagen om mottagande av asylsökande m.fl., får det enligt utredningens bedömning anses vara klart att dessa uppgifter kan lämnas ut till Nordea utan att den enskilde eller någon honom eller henne närstående lider men. Sekretess gäller således inte för uppgifterna. 
 När det gäller Utlänningsnämndens, polismyndigheternas och Wilmaanslutna utlandsmyndigheters registrering av personupp- gifter i Migrationsverkets automatiserade uppgiftssamlingar avser det uppgifter som normalt är sekretessbelagda enligt 7 kap. 14 § andra stycket sekretesslagen. Någon särreglering av uppgifts- lämnandet finns inte utan myndigheterna torde tillämpa general- klausulen till stöd för att lämna uppgifterna till Migrationsverket. 
 För Integrationsverkets utlämnande av personuppgifter till Migrationsverket genom registrering i  
 STAMM-basens 
  delsystem ROSE i samband med handläggningen av ärenden om statlig ersättning för kostnader för flyktingmottagande, kan uppgifterna omfattas av sekretess enligt den nya bestämmelsen i 7 kap. 14 § tredje stycket sekretesslagen. I den mån så är fallet, torde Integrationsverket tillämpa generalklausulen till stöd för att lämna ut uppgifterna. 
  
 7.3.3 
  
 Utlämnande till utländsk myndighet och sekretess 
  
 Till följd av Dublinkonventionen och samarbetet enligt Nelson konventionen lämnar Migrationsverket personuppgifter till utländska utlänningsmyndigheter i andra konventionsstater. 
 Enligt artikel 15 i Dublinkonventionen föreskrivs informations- skyldighet beträffande vissa angivna personuppgifter (se avsnitt 
 269 
  
 Sekretess 
  
 SOU 2003:40 
  
 3.1). Inom ramen för informationsutbytet enligt Dublinkonven- tionen har den centrala databasen Eurodac för uppgifter om finger- avtryck och kön inrättats (se avsnitt 4.1.7). 
 Som tidigare sagts (se bl.a. avsnitt 7.2.2) har Dublinkonven- tionen ersatts av en  
 EG-förordning. 
  Denna innehåller samma informationsskyldighet i fråga om personuppgifter som Dublin- konventionen. Samma uppgiftsslag kommer alltså att utlämnas även efter förordningens fulla ikraftträdande. I avsnitt 3.1 har redovisats vilka personuppgifter informationsskyldigheten omfattar. 
 I förarbetena till Sveriges anslutning till Dublinkonventionen framhölls att de uppgifter som enligt artikel 15 alltid skall delges en annan medlemsstat inte är av den karaktären att de normalt om- fattas av utlänningssekretess. Ofta står det enligt regeringen klart att sådana uppgifter kan lämnas ut utan att den enskilde lider men (prop. 1996/97:87 s. 20). Utredningen är dock något tveksam till den bedömningen, inte minst med tanke på att utlämnandet av uppgifter kan få till följd att den enskildes asylansökan här eller utomlands avslås, vilket många gånger måste anses innebära men för den enskilde. 
 Vid de automatiserade konsultationerna i viseringsärenden enligt Schengenstaternas särskilda Visionsystem (se avsnitt 4.1.3) utlämnar Migrationsverket väsentligen samma slags personupp- gifter som omfattas av Dublinkonventionens och den nämnda EG- förordningens informationsskyldighet. Enligt utredningens upp- fattning torde även detta utlämnande ibland kunna få menliga följder för enskilda sökande genom konsultationernas inverkan på beslutsfattandet i ärendena. 
 Personuppgiftslämnandet enligt artikel 15 i Dublinkonventionen respektive artikel 21 i  
 EG-förordningen 
  och i samband med konsultationerna enligt artikel 17 i Schengenkonventionen avser således uppgifter som enligt utredningens uppfattning många gånger torde omfattas av utlänningssekretess enligt 7 kap. 14 § andra stycket sekretesslagen. 
 Genom vad som framkommit stöder sig Migrationsverket på 1 kap. 3 § tredje stycket sekretesslagen vid utlämnandet av uppgifterna. När det gäller uppgifter om grunder för asylansökan och skäl för beslut som lämnas ut enligt Dublinkonventionen tillämpas i stället bestämmelsen i 14 kap. 4 § sekretesslagen om den enskildes medgivande till utlämnandet. Enligt artikel 15.3 i konventionen krävs nämligen den asylsökandes samtycke till kommunikation av dessa uppgifter. 
 270 
  
 SOU 2003:40 
  
 Sekretess 
  
 7.4 
  
 Utredningens överväganden 
  
 Utredningens förslag: 
  
 1. 
  
 I utlänningsdatalagen erinras uttryckligen om sekretesslagen. 
  
 2. 
  
 I utlänningslagen (1989:529) införs en sekretessbrytande upp- giftsskyldighet mellan Migrationsverket, Utlänningsnämnden, Rikspolisstyrelsen och polismyndigheterna samt utlandsmyndig- heterna i fråga om uppgifter som rör utlännings eller annan enskilds personliga förhållanden, om uppgifterna är nödvändiga för den mottagande myndighetens verksamhet enligt utlänningslagen. En motsvarande uppgiftsskyldighet mellan Migrationsverket, Utlänningsnämnden och utlandsmyndigheterna införs i lagen (2001:82) om svenskt medborgarskap. 
  
 3. 
  
 En skyldighet för Migrationsverket att till landsting lämna uppgifter om utlänningar som registrerats vid en mottagnings- förläggning införs i förordningen (1996:1357) om statlig ersättning för hälso- och sjukvård till asylsökande. 
  
 4. 
  
 En skyldighet för Migrationsverket att lämna vissa personupp- gifter till kommuner införs i förordningen (2001:976) om utbild- ning, förskoleverksamhet och skolbarnomsorg för asylsökande barn m.fl. 
  
 5. 
  
 Personuppgiftsutlämnandet till utländska myndigheter enligt Schengenkonventionens rådfrågningssystem författningsregleras i utlänningsförordningen (1989:547). 
  
 6. 
  
 Bestämmelsen i 7 kap. 14 § fjärde stycket sekretesslagen ändras genom att den anpassas till den nya  
  
 EG-förordning 
  som ersatt Dublinkonventionen. En övergångsbestämmelse införs som anger att sekretess enligt bestämmelsens äldre lydelse alltjämt gäller  
 dels  
 för uppgifter som före ändringen mottagits från utländsk myn- dighet,  
 dels  
 för uppgifter som efter ändringen tas emot enligt Dublinkonventionen till följd av  
 EG-förordningens 
  övergångs- bestämmelser. 
  
 7.4.1 
  
 Inledning 
  
 Med tanke på att personuppgifter som kommer att behandlas enligt utlänningsdatalagen i stor utsträckning omfattas av sekretess, är det befogat att erinra om att bestämmelserna i sekretesslagen måste iakttas utöver den prövning som skall göras av om ett utlämnande av en personuppgift är tillåtet enligt utlänningsdatalagen. Utred- 
 271 
  
 Sekretess 
  
 SOU 2003:40 
  
 ningen föreslår därför att en bestämmelse som uttryckligen erinrar om detta förs in i utlänningsdatalagen. 
 Förslaget till utlänningsdatalag syftar, såsom tidigare framhållits, till att möjliggöra att myndigheterna skall kunna utväxla person- uppgifter rationellt och effektivt med hjälp av modern informa- tionsteknik inom den ram som är acceptabel med hänsyn till enskildas personliga integritet. Samarbete och informationsutbyte mellan myndigheter som bedriver verksamhet enligt utlännings- och medborgarskapslagstiftningen gagnar inte bara effektiviteten i verksamheten utan också enskilda i och med att handläggningstider blir kortare och att rättsäkerheten ökar om myndigheterna får snabb tillgång till all relevant information. Detta förutsätter emellertid att sekretessbelagd information kan utväxlas i den omfattning som beskrivits i det föregående. Även när det gäller de beskrivna uppgiftslämnandena till andra än de myndigheter som föreslås omfattas av utlänningsdatalagens tillämpningsområde, anser utredningen att det finns ett påtagligt behov av att informationen kan lämnas ut. Utredningen syftar här bl.a. på landstingens och kommunernas informationsbehov samt på Visionkonsultationerna. Enligt utredningens bedömning är det således motiverat att det informationsutbyte som här avses också fortsättningsvis skall få omfatta sekretessbelagda personuppgifter. Frågan är då om nuvarande sekretessreglering medger det utlämnande som enligt det sagda behövs inom verksamhetsområdet. 
  
 7.4.2 
  
 Uppgiftslämnande som inte påkallar författningsändring 
  
 Som framgått i det föregående kan Migrationsverkets utlämnande av sekretessbelagda personuppgifter till  
 Integrationsverket  
 genom direktåtkomst till  
 ROSE-systemet 
  ske med stöd av 14 kap. 1 § sekretesslagen på grund av att det finns en författningsreglerad uppgiftsskyldighet som omfattar de lämnade uppgifterna. Med tanke härpå samt till vad som upplysts om att den enskildes samtycke inhämtas innan sekretessbelagda uppgifter lämnas ut till Integrationsverket i samband med bosättningsprocessen, anser utredningen att nuvarande sekretessbestämmelser ger tillfredsstäl- lande stöd för personuppgiftsflödet till Integrationsverket. 
 272 
  
 SOU 2003:40 
  
 Sekretess 
  
 Sekretessen hindrar inte heller uppgiftslämnandet avseende enskildas adresser till  
 Riksskatteverket,  
 vilket också det äger rum i enlighet med en författningsreglerad uppgiftsskyldighet. 
 Bestämmelsen i 14 kap. 1 § första meningen sekretesslagen ger vidare stöd för den direktåtkomst som  
 Regeringskansliet  
 föreslås få enligt utlänningsdatalagen. 
 Enligt utredningens förslag skall  
 Centrala studiestödsnämnden  
 inte längre att ha direktåtkomst till Migrationsverkets personupp- gifter. Det kan på grund därav förutsättas att utlämnandet inte längre kommer att avse andra enskilda utlänningar än dem som omfattas av Migrationsverkets författningsreglerade uppgifts- skyldighet enligt förordningen om lån till hemutrustning för flyktingar och vissa andra utlänningar. Uppgiftslämnandet kommer därmed i sin helhet att ske med stöd av 14 kap 1 § sekretesslagen. Något behov av en ytterligare reglering i fråga om utlämnandet till nämnden finns alltså inte. 
 Likaledes anser utredningen att 1 kap. 5 § sekretesslagen ger utrymme för Migrationsverkets utlämnande av personuppgifter till  
 AB Svenska Pass 
 . Det utlämnandet får nämligen anses nödvändigt för att Migrationsverket skall kunna fullgöra sin egen verksamhet. Det kan här erinras om möjligheten för en myndighet, som anlitar ett bolag, att i avtal med bolaget ta in en klausul om tystnadsplikt enligt vilken bolaget sluter avtal med sina anställda om tystnads- plikt (Regner m.fl. s. 1:20 f.). Myndigheten kan också ställa upp förbehåll om att utlämnade uppgifter som företagets arbetstagare får del av inte får röjas för utomstående (jfr 14 kap. 9 § sekretess- lagen). 
 Inte heller när det gäller den direktåtkomst som utredningen föreslår att  
 Utlänningsnämnden  
 alltjämt skall få ha och  
 utlands- myndigheterna  
 skall få till Migrationsverkets datasystem LIFOS anser utredningen att det påkallas någon författningsändring. Såsom tidigare framgått är det inte någon omfattande mängd sekretessbelagda personuppgifter som behandlas för ändamålet. Införandet av dessa personuppgifter i LIFOS sker inte på samma rutinmässiga sätt som när det t.ex. gäller registrering av uppgifter i ett ärendehanteringssystem. Bl.a. prövas i allmänhet informa- tionens värde som vägledande information samt i vad mån personuppgifter kan avidentifieras innan de görs tillgängliga i systemet. I samband med den bedömningen torde en prövning i sekretesshänseende också kunna göras beträffande en i vart fall överskådlig mängd information. Mot den bakgrunden anser 
 273 
  
 Sekretess 
  
 SOU 2003:40 
  
 utredningen att uppgifterna, i den mån de är sekretessbelagda, bör kunna lämnas ut med tillämpning av generalklausulen. 
 När det slutligen gäller Integrationsverkets registrering av personuppgifter i Migrationsverkets  
 STAMM-bas 
  via delsystemet ROSE, omfattar denna uppgifter om enskilda utlänningar som, enligt utredningens bedömning, i allt väsentligt är av mindre integritetskänslig karaktär. Uppgifterna torde därmed normalt kunna lämnas till Migrationsverket utan risk för sådant men som föreskrivs enligt det raka skaderekvisitet i 7 kap. 14 § tredje stycket sekretesslagen. Någon sekretessbrytande bestämmelse behöver således inte tillämpas för dessa uppgifter. I de mindre ofta före- kommande fall då Integrationsverkets uppgifter bedöms omfattas av sekretess, anser utredningen att generalklausulen bör kunna tillämpas till stöd för utlämnandet. Utredningen lämnar därför inte något förslag till författningsreglering av uppgiftslämnandet från Integrationsverket till Migrationsverket. 
  
 7.4.3 
  
 Uppgiftsutlämnande som påkallar författningsändring 
  
 Personuppgiftsutbytet mellan utlänningsmyndigheterna, polisen och utlandsmyndigheterna 
 Det mycket omfattande informationsutbytet mellan Migrations- verket, Utlänningsnämnden, Rikspolisstyrelsen och polismyndig- heterna samt utlandsmyndigheterna i samband med handläggning av utlännings- eller medborgarskapsärenden eller annan verksamhet enligt utlänningslagen kan enligt utredningen inte ske enbart med stöd av generalklausulen i 14 kap. 3 § sekretesslagen. Detta gäller såväl beträffande Migrationsverkets utlämnande av sekretessbelagda personuppgifter genom de andra myndigheternas direktåtkomst som beträffande dessa andra myndigheters uppgiftslämnande genom registrering av sekretessbelagda uppgifter i Migrations- verkets datasystem. Detsamma gäller Migrationsverkets utlämnande på  
 CD-romskiva 
  till vissa utlandsmyndigheter. Såsom beskrivits i avsnitt 4.1.3 pågår en utveckling mot en allt högre grad av elektronisk informationsöverföring mellan dessa myndigheter. Bl.a. avses fler utlandsmyndigheter anslutas till Wilmasystemet. Vidare planeras polisens direktåtkomst till systemet vidgas. Polisen planeras också få möjlighet att registrera uppgifter i systemet. 
 274 
 SOU 2003:40 Sekretess 
 Sannolikt kommer således med tiden ännu fler sekretessbelagda uppgifter att utbytas mellan myndigheterna. 
 Utlänningars intresse av ett starkt sekretesskydd för uppgifter om sina personliga förhållanden i utlännings- och medborgar- skapsärenden har motiverat presumtionen för sekretess enligt 7 kap. 14 § andra stycket sekretesslagen. Det omvända skaderek- visitet förutsätter en sekretessprövning som sker för varje indi- viduellt fall. Det uppgiftsutbyte som sker mellan här berörda myndigheter med stöd av generalklausulen grundar sig uppen- barligen inte på någon sådan prövning. Med tanke härpå och på det tidigare sagda om att rutinmässigt utbyte av sekretessbelagda upp- gifter mellan myndigheter bör vara författningsreglerat, är det otillfredsställande att uppgifterna lämnas ut enbart med tillämpning av generalklausulen. En författningsändring behövs således. 
 Den vanliga metoden för att få till stånd ett genombrott av en sekretessregel i förhållandet mellan myndigheter är att i lag eller förordning föreskriva om en skyldighet att lämna ut uppgifter. Uppgifterna kan då lämnas ut utan hinder av sekretess enligt 14 kap. 1 § sekretesslagen. 
 Utredningen har dock övervägt ett annat alternativ för att möjliggöra utbytet av sekretessbelagda uppgifter mellan de aktuella myndigheterna. Enligt detta alternativ skulle 7 kap. 14 § andra stycket sekretesslagen kompletteras med en ny bestämmelse av innebörd att Migrationsverket, Utlänningsnämnden, Rikspolis- styrelsen, polismyndigheterna och utlandsmyndigheterna skulle få lämna varandra uppgifter som avses i andra stycket, om uppgifterna behövdes för verksamhet som gäller kontroll över utlänningar eller medborgarskapsärenden. Sekretess skulle dock gälla för upp- gifterna, om det kunde antas att den enskilde eller någon närstående till den enskilde skulle lida betydande men av om uppgifterna röjdes. Alternativet har närmast sin förebild i 7 kap. 1 § femte stycket sekretesslagen som infördes bl.a. för att utöka möjligheterna till automatiserat och rutinmässigt uppgiftsutbyte mellan myndigheter med gemensamt verksamhetsområde (prop. 1990/91:111 s. 25 f.). Av sistnämnda bestämmelse följer att lands- tingskommunala myndigheter och kommuner med tillämpning av ett rakt skaderekvisit kan lämna uppgifter till varandra för forskning och framställning av statistik eller för administration inom hälso- och sjukvårdsområdet. Genom att regeln är försedd med ett rakt skaderekvisit gäller normalt ingen sekretess för upp- 
 275 
  
 Sekretess 
  
 SOU 2003:40 
  
 gifterna i förhållandet mellan de aktuella myndigheterna; i vart fall kan de lämnas ut med stöd av generalklausulen. 
 Utredningen har emellertid avstått från att föreslå en ändring av sekretesslagen enligt det redovisade alternativet. Anledningen här- till är de stora tillämpningsproblem som torde uppkomma i sam- band med skadebedömningen, dvs. när det skall bedömas vad som kan antas medföra betydande  
 men  
 för den enskilde eller dennes närstående. 
 Enligt utredningens bedömning talar övervägande skäl för att införa en uppgiftsskyldighet mellan de aktuella myndigheterna för att möjliggöra det rutinmässiga uppgiftsutbyte av sekretessbelagda personuppgifter som i dag sker och som är förutsatt enligt utlän- ningsdatalagen. Utredningen föreslår därför att det i utlänningslagen införs en skyldighet för Migrationsverket, Utlänningsnämnden, Rikspolisstyrelsen och polismyndigheterna att lämna uppgifter till varandra. Även i medborgarskapslagen föreslås en motsvarande uppgiftsskyldighet mellan Migrationsverket och Utlänningsnämn- den. Vidare föreslås beträffande båda lagarna att också utlands- myndigheter som bedriver verksamhet enligt lagarna skall omfattas av uppgiftsskyldigheten. De andra myndigheterna får en mot- svarande uppgiftsskyldighet till sådana utlandsmyndigheter. 
 För att samarbetet mellan myndigheterna skall kunna fungera smidigt, måste uppgiftsskyldigheten omfatta en mängd olika slags uppgifter som skall kunna utlämnas i olika situationer. Inom verk- samhetsområdet sker dessutom ofta förändringar som genererar behov av informationsutbyte avseende helt nya uppgifter. Att närmare precisera alla de olika slags uppgifter som skall lämnas ut är därför inte möjligt. Uppgiftsskyldigheten bör dock begränsas så till vida att det uppställs ett krav på att uppgifterna skall vara  
 nödvändiga  
 för den mottagande myndighetens verksamhet enligt respektive lag. Det är den utlämnande myndigheten som har att göra denna nödvändighetsprövning. 
 Uppgiftsskyldighetens syfte är alltså att underlätta myndig- heternas samarbete och informationsutbyte  
 i den aktuella verk- samheten  
 genom att sekretessen inte skall hindra att myndigheterna får tillgång till uppgifter som är nödvändiga i verksamheten enligt utlänningslagen eller medborgarskapslagen. Uppgiftsskyldigheten gäller däremot inte om uppgifterna behövs för annan verksamhet som inte omfattas av nämnda lagar. I sådana fall bryts inte sekretessen enligt 7 kap. 14 § andra stycket sekretesslagen. 
 276 
  
 SOU 2003:40 
  
 Sekretess 
  
 När det gäller automatiserade ärendehanteringssystem som är gemensamt tillgängliga för myndigheterna får nödvändighets- prövningen ske i första hand när man bestämmer vilka slags uppgifter som skall tillföras systemet. Bedömningen kan då ske med hänsyn till bl.a. uppgifternas art. Bedömer den utlämnande myndigheten att uppgifter av en viss typ inte är nödvändiga för annan myndighets verksamhet enligt utlänningslagen eller medborgar- skapslagen, skall uppgiften inte föras in i de delar av systemet som är tillgängliga för de andra myndigheterna. I praktiken kommer givetvis främst typiskt sett mindre integritetskänsliga uppgifter såsom namn, dossiernummer, adress, viseringsansökningar m.m. att vara nödvändiga för de andra myndigheterna. Mera integritets- känsliga uppgifter om politisk åskådning, sexuell läggning etc. som t.ex. finns i utredningar i asylärenden torde knappast generellt sett kunna bedömas som nödvändiga för en annan myndighet. Det innebär att sådana uppgifter inte kan utlämnas genom direktåt- komst eller annat rutinmässigt utlämnande med stöd av den här föreslagna uppgiftsskyldigheten. Endast efter särskild prövning i det individuella fallet torde sådana uppgifter kunna anses omfattas av den föreslagna uppgiftsskyldigheten. 
 Avslutningsvis kan nämnas att det inte framkommit något behov av en likartad uppgiftsskyldighet i lagen om mottagande av asylsökande m.fl. Uppgifter som omfattas av socialtjänstsekretess enligt 7 kap. 4 § sekretesslagen, dvs. uppgifter i ärenden om bistånd till utlänningar, torde således inte kunna lämnas ut genom direkt- åtkomst eller annat rutinmässigt förfarande för syften som här avses. 
 Utlämnande av personuppgifter till landstingen 
 Landstingen har behov av uppgifter om vilka asylsökande som skrivits in vid olika förläggningar inom landstingen för att i första hand kunna fullgöra åtagandet gentemot staten att erbjuda asyl- sökande m.fl. hälso- och sjukvård. Sammantaget innebär det att uppgifter om samtliga registrerade vid flyktingförläggningar utlämnas fortlöpande och regelbundet till landstingen. Uppgifterna torde omfattas av sekretess enligt 7 kap. 14 § andra stycket sekretess- lagen. Även om uppgifterna inte är att bedöma som påtagligt känsliga och kommer att omfattas av hälso- och sjukvårdssekretess enligt 7 kap. 1 § sekretesslagen hos landstingen, är det enligt 
 277 
  
 Sekretess 
  
 SOU 2003:40 
  
 utredningens uppfattning tveksamt om utlämnandet kan ske med tillämpning av generalklausulen. En författningsreglerad skyldighet för Migrationsverket att lämna ut uppgifterna föreslås därför. En sådan uppgiftsskyldighet innebär att uppgifterna lämnas ut med stöd av 14 kap. 1 § sekretesslagen. Författningsregleringen bör lämpligen ske genom en ny bestämmelse som förs in i förordning- en om statlig ersättning för hälso- och sjukvård till asylsökande. I bestämmelsen bör uttryckligen framgå vilka uppgifter som omfattas av uppgiftsskyldigheten. Enligt utredningens bedömning är följande personuppgifter nödvändiga för landstingens behov. Namn, födelsedatum, adress, Migrationsverkets dossiernummer och, i förekommande fall, familjesamhörighet samt tolkbehov. 
 Utlämnande av personuppgifter till kommuner 
 Enligt förordningen om utbildning, förskoleverksamhet och skol- barnomsorg för asylsökande barn m.fl. har asylsökande och vissa andra utländska barn och ungdomar som vistas i Sverige rätt till undervisning i det offentliga skolväsendet. De har också rätt till förskoleverksamhet och skolbarnomsorg. Enligt förordningen åligger det hemkommuner att svara för att undervisning, förskole- verksamhet och skolbarnomsorg kan komma till stånd. Med hemkommun avses den kommun där personen vistas. 
 En nödvändig förutsättning för att kommunerna skall kunna fullgöra sina uppgifter enligt förordningen är givetvis att de får fortlöpande information från Migrationsverket om vilka barn och ungdomar som kommunerna är skyldiga att bereda skolplats etc. Uppgift behövs om namn, födelsedatum och bostadsadress. 
 Av motsvarande skäl som beträffande det nyss behandlade upp- giftsutlämnandet till landstingen anser utredningen att Migrations- verket bör åläggas en författningsreglerad uppgiftsskyldighet i fråga om de nämnda personuppgifterna. Författningsregleringen bör lämpligen ske i förordningen om utbildning, förskoleverksamhet och skolbarnomsorg för asylsökande barn m.fl. 
 278 
  
 SOU 2003:40 
  
 Sekretess 
  
 Utlämnande av personuppgifter enligt Dublin- respektive 
 Schengenkonventionerna m.m. 
 Sverige har genom tillträdet till Dublinkonventionen förbundit sig att utlämna vissa personuppgifter till utländsk myndighet i en medlemsstat. Konventionens bestämmelse om uppgiftsskyldighet har inte införlivats med svensk rätt genom särreglering. Alltså saknas sådan särskild reglering som avses i 1 kap. 3 § tredje stycket sekretesslagen som tillåter utlämnandet till utländsk myndighet. Detsamma gäller beträffande utlämnandet av personuppgifter till utländsk myndighet genom Schengenkonventionens rådfrågnings- system, de s.k. Visionkonsultationerna. 
 Enligt utredningens mening är avsaknaden av uttryckligt för- fattningsstöd för detta omfattande utlämnande av sekretessbelagda uppgifter till utländsk myndighet inte helt i överensstämmelse med sekretessregleringen. Visserligen står det klart att ett uppfyllande av Sveriges åtagande enligt konventionerna är förenligt med svenska intressen. Mer tveksamt är det emellertid huruvida, såsom föreskrivs i 1 kap. 3 § tredje stycket, uppgifterna i motsvarande fall skulle få utlämnas till svenska myndigheter utan särskild för- fattningsreglering. 
 I propositionen som föregick Sveriges anslutning till Dublin- konventionen uttalade regeringen i fråga om uppgiftsskyldigheten att det i något undantagsfall skulle kunna förekomma att en sekretessprövning leder till att en uppgift inte bör lämnas ut. För att möjliggöra utlämnande i ett sådant fall bör, fortsatte regeringen, en bestämmelse om det föras in i utlänningsförordningen (prop. 1996/97:87 s. 20). Så har dock inte skett. 
 Uppgiftsskyldigheten enligt  
 EG-förordningen 
  nr. 343/2003 innebär emellertid en sådan särreglering som avses i 1 kap 3 § tredje stycket sekretesslagen, eftersom  
 EG-förordningen 
  gäller som direkt tillämplig lag i Sverige. Någon författningsändring är alltså inte påkallad för att sekretessbelagda uppgifter skall kunna lämnas ut enligt  
 EG-förordningen. 
  
 Även om uppgifter under en övergångstid kommer att lämnas ut enligt Dublinkonventionen, torde utlämnandets omfattning att minska betydligt redan från hösten år 2003. Med tanke härpå anser utredningen att det inte längre behövs någon författningsreglering av uppgiftslämnandet enligt Dublinkonventionen. 
 När det däremot gäller utlämnandet av personuppgifter enligt Schengenkonventionens rådfrågningssystem Vision anser utred- 
 279 
  
 Sekretess 
  
 SOU 2003:40 
  
 ningen att övervägande skäl talar för att det författningsregleras. Regleringen bör ske i utlänningsförordningen genom införandet av en bestämmelse som anger att personuppgifterna får lämnas ut. Uppgifterna bör specificeras i bestämmelsen och omfatta de personuppgifter som i dag utbyts, se redovisningen i avsnitt 4.1.3. 
 Slutligen är det utredningens uppfattning att 7 kap. 14 § fjärde stycket sekretesslagen måste anpassas med anledning av den EG- förordning som ersatt Dublinkonventionen. Artikel 21.7 i förord- ningen innehåller motsvarande föreskrift som artikel 15 Dublin- konventionen om begränsningar i möjligheterna att vidarebefordra personuppgifter som en svensk myndighet mottagit från en utländsk myndighet. Utredningen föreslår därför att bestämmelsen i sekretesslagen ändras genom att en direkt hänvisning till EG- förordningen ersätter den nuvarande hänvisningen till ett av riks- dagen godkänt avtal. 
 Förslaget innebär enligt utredningens mening ingen otillåten implementeringsåtgärd utan är en nödvändig åtgärd för att för- ordningen i just denna fråga skall få verkan i den svenska sekretess- regleringen (se även avsnitt 6.2.3.2). 
 Vidare föreslås en övergångsbestämmelse som medför att den nuvarande lydelsen av 7 kap. 14 § fjärde stycket sekretesslagen alltjämt gäller för uppgifter som redan mottagits och för uppgifter som framöver kommer att tas emot från utländsk myndighet enligt Dublinkonventionen. 
  
 7.5 
  
 Uppgiftsutlämnande till Svenska röda korset 
  
 Utredningens förslag 
 : En sekretessbrytande bestämmelse införs i 7 kap. 14 § sekretesslagen som innebär att Migrationsverket får lämna uppgift om enskilds namn, födelsedatum och adress till Svenska röda korset. En förutsättning för uppgiftslämnandet är att uppgifterna behövs i en angelägenhet som gäller föreningens verksamhet i fredstid för återförening av familjer som skingrats till följd av väpnade konflikter eller för efterforskning av personer som har förlorat kontakten med närstående på grund av krig, väpnad konflikt eller naturkatastrof. 
 280 
  
 SOU 2003:40 
  
 Sekretess 
  
 Regeringen har till utredningen överlämnat en skrivelse från Svenska röda korset, se bilaga 2. Skrivelsen innehåller en hemställan om att Svenska röda korset skall kunna få tillgång till vissa hos Migrationsverket sekretessbelagda adressuppgifter och födelsedata rörande utlänningar. 
 I internationellt samarbete med andra nationella röda kors- föreningar och internationella rödakorsföreningen (ICRC) är Svenska röda korset verksamt med att hjälpa familjer som splittrats i väpnade konflikter att återförenas. Samarbetet omfattar också efterforskning av personer som har rapporterats försvunna i samband med krig, väpnade konflikter och naturkatastrofer. 
 Mellan staten och Svenska röda korset finns ett skriftligt avtal angående föreningens efterforsknings- och familjeåterförenings- ärenden i fredstid. Enligt avtalet har staten förbundit sig att bl.a. lämna Svenska röda korset ekonomiskt bidrag till den nämnda verksamheten. Dessutom omfattar avtalet bidrag till Svenska röda korsets utväxlande av s.k. rödakorsmeddelanden mellan familje- medlemmar som skilts åt vid en konflikt. 
 När Svenska röda korset hanterar efterforsknings- och familje- återföreningsärenden behövs, enligt vad föreningen framfört, inte sällan upplysning från Migrationsverket huruvida den eftersökte befinner sig i Sverige. Om så är fallet, behövs uppgift om dennes postadress för att Svenska röda korset skall kunna skicka ett brev till denne med en förfrågan om han eller hon är den eftersökta personen. När uppgifter begärs från Migrationsverket, handlar det alltså om namngivna individers personuppgifter. I allmänhet rör det sig om enstaka eller ett fåtal personer vid varje förfrågan. Vidare vill Svenska röda korset kunna få uppgift om utlänningens födelse- datum, eftersom uppgiften behövs för att föreningen skall kunna bedöma om personen kan vara identisk med den eftersökte. Även uppgifter om eventuella namnändringar kan vara av betydelse för föreningen. 
 Migrationsverket lämnar dock endast i undantagsfall ut de begärda uppgifterna. Som regel avslår Migrationsverket Svenska röda korsets förfrågningar under åberopande av att uppgifterna är sekretessbelagda och inte kan lämnas ut till en enskild mottagare. I stället förekommer att Migrationsverket vidarebefordrar Svenska röda korsets brev till personerna i fråga. 
 De efterfrågade uppgifterna finns i Migrationsverkets verksam- het för kontroll över utlänningar. Någon gång torde sekretess- prövningen kunna leda till att det inte står klart att uppgifterna kan 
 281 
  
 Sekretess 
  
 SOU 2003:40 
  
 lämnas ut till Svenska röda korset utan att den enskilde berörde eller närstående till denne lider men. 
 Enligt Svenska röda korset medför de nuvarande svårigheterna att få del av önskad information en försvåring av föreningens verk- samhet. Även i de fall Migrationsverket vidarebefordrar Svenska röda korsets brev har föreningen erfarit problem. Risken ökar nämligen påtagligt för att adressaterna av en eller annan anledning inte vill medverka i föreningens utredningar, om försändelserna synes härröra från Migrationsverket. 
 Svenska röda korsets återförenings- och efterforskningsverk- samhet är en angelägen och humanitär uppgift som det ligger i samhällets intresse att underlätta. Sverige har vidare till följd av artikel 74 i tilläggsprotokoll I till Genèvekonventionerna den 12 augusti 1949 rörande skydd för offren i internationella väpnade konflikter en allmän skyldighet att i möjligaste mån underlätta återförening av familjer som skingrats till följd av väpnade konflik- ter i omvärlden. Av artikeln följer också en särskild förpliktelse att uppmuntra Svenska röda korsets arbete med familjeåterföreningar. Det tidigare nämnda avtalet mellan staten och Svenska röda korset om bl.a. familjeåterföreningsverksamhet i fredstid har sin grund i denna förpliktelse. 
 Enligt utredningen bör Migrationsverket kunna lämna ut uppgifter om enskilds namn, födelsedatum och adress till Svenska röda korset i den här aktuella verksamheten. En sådan begränsad inskränkning av sekretesskyddet rörande typiskt sett mindre känsliga uppgifter torde normalt inte medföra några negativa kon- sekvenser för den enskilde. Det kan tvärtom antas att Svenska röda korsets förbättrade möjligheter att bedriva verksamheten i de allra flesta fall är i den enskildes intresse. 
 Eftersom Svenska röda korset är en enskild mottagare, måste begränsningar i sekretessen regleras antingen i sekretesslagen eller i lag eller förordning till vilken sekretesslagen hänvisar (1 kap. 2 § sekretesslagen). Enligt utredningens mening bör författnings- regleringen i sin helhet ske i sekretesslagen genom införandet av ett nytt stycke i 7 kap.14 § sekretesslagen. I bestämmelsen bör ut- tryckligen framgå att uppgifterna bara får lämnas ut för ändamålet att användas för Svenska röda korsets verksamhet enligt avtalet med staten om familjeåterförening och efterforskning av försvunna personer. 
 282 
  
 8 
  
 Genomförandet 
  
 8.1 
  
 Ikraftträdande- och övergångsbestämmelser 
  
 Utredningens förslag 
 : När utlänningsdatalagen träder i kraft skall utlänningsdataförordningen upphöra att gälla. 
 I fråga om sådan manuell behandling av personuppgifter som har påbörjats före den 24 oktober 1998 eller manuell behandling som utförs för ett visst bestämt ändamål, om manuell behandling för ändamålet påbörjats före den 24 oktober 1998, skall lagen med ett undantag inte börja tillämpas förrän den 1 oktober 2007. Undan- taget gäller lagens bestämmelse om överföring av personuppgifter till tredje land. 
 Utlänningsdatalagens bestämmelse om skadestånd skall tillämpas endast om den omständighet som yrkandet hänför sig till har in- träffat efter det att utlänningsdatalagen har trätt i kraft beträffande den aktuella behandlingen. I annat fall tillämpas äldre bestämmelser i utlänningsdataförordningen eller datalagen. 
 Utlänningsdatalagen ersätter den reglering som nu finns i utlän- ningsdataförordningen. Utlänningsdataförordningen skall därför upphöra att gälla samtidigt som lagen träder i kraft. 
 När personuppgiftslagen trädde i kraft den 24 oktober 1998 före- skrevs i dess övergångsbestämmelser bl.a. att personuppgiftslagen skall tillämpas fullt ut först den 1 oktober 2007 när det gäller manuell personuppgiftsbehandling som påbörjats före ikraft- trädandet eller manuell behandling för ett visst bestämt ändamål, om manuell behandling för ändamålet påbörjats före den 24 oktober 1998 ( 
 punkten 3 
 ). För sådan redan pågående behandling skall bestämmelserna i personuppgiftslagen om grundläggande krav på behandling av personuppgifter (9 §), om när personuppgifts- behandling är tillåten (10 §), om förbud mot behandling av känsliga personuppgifter (13 §) samt om förbudet för andra än myndigheter 
 283 
  
 Genomförandet 
  
 SOU 2003:40 
  
 att behandla personuppgifter om lagöverträdelser m.m. (21 §) inte tillämpas förrän den 1 oktober 2007. Personuppgiftslagens övriga bestämmelser gäller dock, i vart fall alltsedan den 1 oktober 2001. Exempelvis gäller bestämmelserna om information, rättelse och om överföring av personuppgifter till tredje land. 
 Enligt den av utredningen valda lagtekniska lösningen skall per- sonuppgiftslagen tillämpas parallellt med utlänningsdatalagen. Några av utlänningsdatalagens centrala bestämmelser utgör precise- ringar eller undantag från bestämmelser i personuppgiftslagen som ännu inte gäller för manuell personuppgiftsbehandling som på- börjats redan före den 24 oktober 1998. Det sagda gäller utlän- ningsdatalagens bestämmelse om när personuppgifter över huvud taget får behandlas inom verksamhetsområdet. Den bestämmelsen ersätter 10 § personuppgiftslagen. Vidare innefattar utlännings- datalagens reglering av när känsliga personuppgifter får behandlas ett undantag från personuppgiftslagens förbud, ett förbud som inte omfattar sådan redan påbörjad manuell behandling som här avses. Flera bestämmelser i utlänningsdatalagen berör för övrigt inte alls manuell behandling av personuppgifter, t.ex. reglerna om elektro- niskt utlämnande, direktåtkomst och avskiljande. Mot bakgrund av det anförda anser utredningen att det för sådan manuell behandling som redan påbörjats före den 24 oktober 1998 är konsekvent att låta utlänningsdatalagen träda i kraft först den 1 oktober 2007, dvs. samtidigt med att 9, 10, 13 och 21 §§ personuppgiftslagen börjar gälla för behandlingen. En övergångsbestämmelse härom föreslås därför. 
 Ett undantag härifrån är dock motiverat, nämligen för utlän- ningsdatalagens bestämmelse om överföring av personuppgifter till tredje land. Som nyss sagts gäller personuppgiftslagens grundläg- gande förbud mot sådan överföring även för den aktuella manuella behandlingen. Enligt utredningens bedömning är behovet av att kunna överföra de här avsedda personuppgifterna till tredje land lika påtagligt som när det gäller andra personuppgifter. Följaktligen bör utlänningsdatalagen i detta avseende gälla från lagens ikraft- trädande för sådan manuell behandling som i övrigt är undantagen från lagens tillämpning fram till den 1 oktober 2007. 
 Slutligen anser utredningen att en övergångsbestämmelse behövs som reglerar att utlänningsdatalagens bestämmelse om skadestånd skall tillämpas endast om den omständighet som yrkandet hänför sig till har inträtt efter det att lagen har trätt i kraft. Har om- ständigheten inträffat tidigare, kan det i stället bli aktuellt att 
 284 
  
 SOU 2003:40 
  
 Genomförandet 
  
 tillämpa äldre skadeståndsbestämmelser i utlänningsdataförord- ningen eller i datalagen, beroende på om tidpunkten ligger före eller efter den 1 oktober 2001. För sådan behandling som är skade- ståndsgrundande också enligt 48 § personuppgiftslagen kan givetvis personuppgiftslagen vara tillämplig. 
  
 8.2 
  
 Konsekvensbeskrivningar 
  
 Utredningens bedömning 
 : Utredningens förslag innebär i allt väsentligt inga merkostnader för de myndigheter som omfattas av utlänningsdatalagens tillämpningsområde. Förslagen möjliggör i stället en ökad effektivitet vid informationshanteringen som på sikt kan vara kostnadsbesparande. 
 Förslaget att Centrala studiestödsnämnden inte längre skall tillåtas ha direktåtkomst till Migrationsverkets  
 STAMM-bas 
  kan möjligen medföra något ökade kostnader för nämnden och för Migrations- verket på grund av minskad effektivitet i uppgiftsflödet. 
 Några andra konsekvenser av förslagen som bör redovisas i betänkandet finns inte. 
 Den verksamhet som förslagen avser – behandling av personupp- gifter i verksamhet enligt utlännings- och medborgarskapslagstift- ningen – omfattas redan av personuppgiftslagens bestämmelser samt till övervägande del av utlänningsdataförordningens komplet- terande särreglering. I förarbetena till personuppgiftslagen uttalade regeringen att det vid lagens införande inte fanns grund för att anta att genomförandet av dataskyddsdirektivet skulle leda till ökade utgifter av sådan omfattning att de inte kunde finansieras inom ramen för befintliga medel (prop. 1997/98:44 s. 114 f.) De ekono- miska konsekvenserna av personuppgiftslagens införande för verk- samhet enligt utlännings- och medborgarskapslagstiftningens vid- kommande är, enligt utredningens uppfattning, knappast möjliga att beräkna. Kostnaderna för den informationsskyldighet som enligt dataskyddsdirektivet och personuppgiftslagen åligger de person- uppgiftsansvariga torde t.ex. vara svåra att redan nu uppskatta. Under alla förhållanden kan sådana kostnader inte anses vara en följd av utredningens förslag, som i huvudsak endast innebär vissa preciseringar och undantag i förhållande till personuppgiftslagen. 
 Dessa undantag och preciseringar möjliggör en minst lika effektiv informationshantering som för närvarande sker inom och 
 285 
  
 Genomförandet 
  
 SOU 2003:40 
  
 mellan de aktuella myndigheterna. Enligt utredningens bedömning kräver förslagen ingen förändring av myndigheternas befintliga datorsystem. Utlänningsdatalagens uppbyggnad med generella och teknikoberoende bestämmelser öppnar i stället för förändringar i eller utbyte av dessa datorsystem som på sikt torde medföra kostnadsbesparingar för myndigheterna. Initialt kan vissa utbild- ningsinsatser krävas på grund av utredningens förslag. Utredningen bedömer dock att kostnaderna härför kan täckas av ordinarie utbildningsanslag. 
 Det är möjligt att en viss merkostnad kan uppstå på grund av förslaget att Centrala studiestödsnämnden inte längre skall tillåtas ha direktåtkomst till personuppgifter som behandlas automatiserat av Migrationsverket. Båda myndigheterna kan påverkas av detta i och med att mindre effektiva rutiner möjligen måste användas då Migrationsverket uppfyller sin uppgiftsskyldighet i nämndens ärenden om hemutrustningslån. Enligt uppgift från Migrations- verket kan denna eventuella merkostnad för verkets del sannolikt uppvägas av den kostnadsbesparing för tekniska säkerhets- anordningar m.m. som direktåtkomst annars fortlöpande medför. Under alla förhållanden bör eventuella kostnadsökningar kunna rymmas inom myndigheternas ordinarie anslag. 
 De framlagda förslagen får, enligt utredningens uppfattning, inte någon sådan inverkan på den kommunala självstyrelsen eller andra i 15 § kommittéförordningen (1998:1474) angivna områden som motiverar en särskild konsekvensredovisning. 
 286 
  
 9 
  
 Författningskommentar 
  
 9.1 
  
 Förslaget till utlänningsdatalag 
  
 Lagens tillämpningsområde 
  
 1 §  
 Denna lag tillämpas vid behandling av personuppgifter i Regerings- kansliet, Migrationsverket, Utlänningsnämnden, Integrationsverket, Rikspolisstyrelsen och polismyndigheterna samt utlandsmyndigheterna i verksamhet som gäller 
  
 1. 
  
 utlänningars inresa i Sverige eller i en stat som ingår i Europeiska unionen eller i en stat som är ansluten till Europeiska ekonomiska sam- arbetsområdet, vistelse eller arbete i Sverige samt utresa från Sverige, 
  
 2. 
  
 mottagande av asylsökande och andra utlänningar, 
  
 3. 
  
 bistånd och bidrag till utlänningar, 
  
 4. 
  
 svenskt medborgarskap, 
  
 5. 
  
 statlig ersättning för kostnader för utlänningar, eller 
  
 6. 
  
 bosättning av utlänningar. 
  
 Lagen gäller endast om behandlingen är helt eller delvis automatise- rad eller om personuppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier 
 . 
  
 Paragrafen anger – med de begränsningar som följer av 2 § – lagens tillämpningsområde. Bestämmelsen har motiverats utförligt i av- snitt 6.2. 
 I  
 första stycket  
 regleras till en början vilka myndigheters behand- ling av personuppgifter som omfattas av utlänningsdatalagens be- stämmelser. Personuppgiftsbehandling som utförs av annan myn- dighet än någon av de i paragrafen nämnda faller utanför lagens till- lämpningsområde. Detsamma gäller behandling som utförs av en- skilda. Med begreppen  
 behandling  
 och  
 personuppgifter  
 avses det- samma som i personuppgiftslagen (1998:204). Behandling av upp- gifter om avlidna, ännu inte födda eller juridiska personer regleras 
 287 
  
 Författningskommentar 
  
 SOU 2003:40 
  
 alltså inte av lagen. Inget hindrar emellertid att personuppgiftslagen och utlänningsdatalagen i och för sig tillämpas vid behandling ock- så av sådana uppgifter. Skillnaden är att det för dessa uppgifter inte finns någon skyldighet att göra det. 
 I första stycket punkterna  
 1-6 
  regleras vidare vilken verksamhet behandlingen skall falla inom för att omfattas av lagens bestämmel- ser. Verksamheten har beskrivits översiktligt i avsnitt 3. Uppräk- ningen är uttömmande och kommenteras punktvis i det följande. 
 Med  
 punkten 1  
 avses i första hand verksamhet enligt utlännings- lagen (1989:529) samt utlänningsförordningen (1989:547) som be- drivs av Regeringskansliet, Migrationsverket, Utlänningsnämnden, Rikspolisstyrelsen och polismyndigheterna samt utlandsmyndighe- terna. 
 Förutom i utlänningslagen finns regler om utvisning av utlän- ningar i lagen (1991:572) om särskild utlänningskontroll. Polisens behandling av personuppgifter i verksamhet enligt den lagen omfat- tas inte av utlänningsdatalagens bestämmelser utan av regleringen i polisdatalagen (1998:622), se kommentaren nedan till 2 §. Däremot omfattas enligt punkten 1 Regeringskansliets, Migrationsverkets och Utlänningsnämndens behandling av personuppgifter i dessa ärenden av utlänningsdatalagen. 
 Punkten 1 innefattar även utlandsmyndigheters verksamhet för andra Schengenländers räkning som gäller viseringar till dessa län- der. Som beskrivits i avsnitt 6.2.3.1 representerar svenska utlands- myndigheter ibland också annan stat och beviljar i den rollen viser- ingar till de aktuella staterna. Däremot gäller inte utlänningsdatala- gens bestämmelser för utlandsmyndigheternas behandling av per- sonuppgifter vid handläggning av ärenden enligt lagen (1989:532) om tillstånd för anställning på fartyg. Den behandlingen regleras av personuppgiftslagen. 
 Integrationsverket bedriver ingen verksamhet enligt punkten 1.  
 Punkten 2  
 omfattar Migrationsverkets verksamhet enligt lagen (1994:137) om mottagande av asylsökande m.fl. och anslutande förordning (1994:361) om mottagande av asylsökande m.fl., som inte gäller ekonomiskt bistånd och bidrag till utlänningar. Verk- samhet rörande sådant bistånd och bidrag omfattas av punkten 3. Migrationsverkets verksamhet avseende överföring till Sverige av 
 kvotflyktingar omfattas också av punkten 2. 
 Med  
 punkten 3  
 avses sådant ekonomiskt bistånd och särskilt bi- drag som Migrationsverket utger till utlänningar enligt lagen om mottagande av asylsökande m.fl. I avsnitt 3.3 har närmare beskri- 
 288 
  
 SOU 2003:40 
  
 Författningskommentar 
  
 vits vilka bistånd och bidrag som lämnas enligt lagen. Även bidrag enligt förordningen (1984:890) om bidrag till utlänningars resor från Sverige för bosättning i annat land samt förordningen (1984:936) om bidrag till flyktingar kostnader för anhörigas resor till Sverige avses i denna punkt. 
  
 Punkten 4  
 omfattar Regeringskansliets, Migrationsverkets, Ut- länningsnämndens och utlandsmyndigheternas verksamhet enligt lagen (2001:82) om svenskt medborgarskap och medborgarskaps- förordningen (2001:218). Verksamheten har beskrivits i avsnitt 3.2. 
  
 Punkten 5  
 omfattar Migrationsverkets verksamhet enligt förord- ningen (2002:1118) om statlig ersättning för asylsökande m.fl re- spektive Integrationsverkets verksamhet enligt förordningen (1990:927) om statlig ersättning för flyktingmottagande m.m. Även Migrationsverkets verksamhet enligt förordningen (1996:1357) om statlig ersättning för hälso- och sjukvård till asyl- sökande samt enligt förordningen (2000:415) om statlig ersättning till kommuner och landsting för kostnader för vissa utlänningar med tidsbegränsade uppehållstillstånd omfattas av punkten 5. 
  
 Punkten 6  
 avser Integrationsverkets verksamhet med att träffa överenskommelser med kommuner om mottagande av skyddsbe- hövande och vissa andra utlänningar samt medverkan vid deras bo- sättning, se 1 § förordningen om statlig ersättning för flyktingmot- tagande m.m. och 2 § förordningen (1998:201) med instruktion för Integrationsverket. 
 Av uppräkningen i det föregående framgår bl.a. att behandling av personuppgifter i myndigheternas interna administration faller utanför lagens tillämpningsområde. Detsamma gäller verksamhet som rör den europeiska flyktingfonden samt statsbidrag till organi- sationer som främjar integration, se avsnitt 6.2.3.2. För denna be- handling gäller enbart personuppgiftslagen. 
 Av  
 andra stycket  
 framgår att utlänningsdatalagen skall tillämpas såväl vid helt eller delvis automatiserad behandling av personupp- gifter som vid manuell behandling av personuppgifter som ingår i eller är avsedda att ingå i ett register. Utlänningsdatalagen har alltså i detta avseende samma tillämpningsområde som personuppgiftsla- gen. 
  
 2 §  
 Lagen tillämpas inte då personuppgifter behandlas med stöd av po- lisdatalagen (1998:622), lagen (2000:344) om Lucas informations- system eller rådets förordning (EG) nr 2725/2000 av den 11 december 
 289 
  
 Författningskommentar 
  
 SOU 2003:40 
  
 2000 om inrättande av Eurodac för jämförelse av fingeravtryck för en effektiv tillämpning av Dublinkonventionen. 
 Bestämmelsen – som motiverats i avsnitt 6.2.2 och 6.2.3.2 – anger vissa undantag för när utlänningsdatalagen inte är tillämplig trots att behandlingen i och för sig träffas av den beskrivning av tillämp- ningsområdet som ges i 1 §. De nämnda lagarna reglerar behandling av personuppgifter som utförs av Rikspolisstyrelsen eller polis- myndigheterna. Behandling av personuppgifter enligt Eurodacsys- temet kommer att utföras såväl av polisen som av Migrationsver- ket. Det bör noteras att all verksamhet enligt Schengenkonventio- nen inte regleras av lagen om Lucas informationssystem. Det innebär t.ex. att behandling av personuppgifter vid de s.k. Vision- konsultationerna, se avsnitt 4.1.3, regleras av utlänningsdatalagen. 
 Lagens förhållande till personuppgiftslagen 
  
 3 §  
 Personuppgiftslagen (1998:204) gäller vid behandling av person- uppgifter i verksamhet enligt 1 § första stycket, om inte annat följer av denna lag eller föreskrifter som har meddelats med stöd av denna lag el- ler annars av 2 § personuppgiftslagen. 
 Bestämmelsen har behandlats i avsnitt 6.3. 
 I paragrafen anges förhållandet mellan personuppgiftslagen och utlänningsdatalagen på så sätt att personuppgiftslagen gäller om inget annat sägs i utlänningsdatalagen eller i föreskrifter meddelade med stöd av lagen eller annars enligt 2 § personuppgiftslagen. 
 Utlänningsdatalagen har utformats så att den endast gör vissa undantag från personuppgiftslagen och i övrigt preciserar vissa för personuppgiftsbehandlingen viktiga förhållanden. Exempelvis gäll- er personuppgiftslagens definitioner som anges i 3 § samt grund- läggande krav på behandlingen enligt 9 § också vid tillämpning av utlänningsdatalagen. Likaså gäller bl.a. personuppgiftslagens be- stämmelser om information, säkerhetsåtgärder och Datainspektio- nens befogenheter, se avsnitt 6.11 och 6.12. 
 Hänvisningen till 2 § personuppgiftslagen innebär att från per- sonuppgiftslagen avvikande bestämmelser i lag och förordning är tillämpliga även vid behandling av personuppgifter enligt utlän- ningsdatalagen. 
 290 
  
 SOU 2003:40 
  
 Författningskommentar 
  
 Personuppgiftsansvar 
  
 4 §  
 Migrationsverket är personuppgiftsansvarigt för Integrationsver- kets och utlandsmyndigheternas behandling av personuppgifter för än- damål som anges i 5 § första stycket 1. I övrigt är den myndighet som anges i 1 § personuppgiftsansvarig för den behandling av personuppgif- ter som myndigheten utför eller som det åligger myndigheten att utfö- ra. 
 Bestämmelsen har behandlats i avsnitt 6.4. 
 I paragrafen regleras vem som skall vara personuppgiftsansvarig. Innebörden av personuppgiftsansvaret framgår av personuppgifts- lagen. Enligt bestämmelsen skall Migrationsverket, Utlännings- nämnden, Rikspolisstyrelsen samt polismyndigheterna vara per- sonuppgiftsansvariga för den behandling som myndigheten utför eller som det åligger myndigheten att utföra. 
 Migrationsverket är dessutom personuppgiftsansvarigt för ut- landsmyndigheternas behandling av personuppgifter som enligt 1 § omfattas av utlänningsdatalagens tillämpningsområde. När det gäll- er Integrationsverket är Migrationsverket personuppgiftsansvarigt för Integrationsverkets behandling av personuppgifter som har samband med verkets handläggning av ärenden enligt förordningen om statlig ersättning för flyktingmottagande m.m., dvs. verksamhet enligt 1 § första stycket 5. I övrigt är Integrationsverket person- uppgiftsansvarigt för behandlingen av personuppgifter inom den egna myndigheten. 
 När behandling av personuppgifter är tillåten 
  
 5 §  
 Personuppgifter får behandlas om det är nödvändigt för 
  
 1. 
  
 handläggning av ärenden eller en myndighets biträde i sådana ären- den, 
  
 2. 
  
 kontroll av utlänning i samband med inresa och utresa samt kontroll under vistelsen i Sverige, 
  
 3. 
  
 utförande av arbetsuppgifter som gäller mottagande och bosättning av asylsökande och andra utlänningar, 
  
 4. 
  
 uppgiftsutlämnande som sker med stöd av lag eller förordning, följer av Sveriges medlemskap i Europeiska unionen eller av uppgiftsskyldig- het enligt internationell konvention som Sverige tillträtt eller av riksda- gen godkänt avtal med främmande stat eller mellanfolklig organisation, 
  
 291 
  
 Författningskommentar 
  
 SOU 2003:40 
  
 5. 
  
 återsökning av avgöranden, rättsutredningar, annan rättslig informa- tion samt information rörande förhållanden i andra länder som är ägnad att ge vägledning åt handläggning av ärenden, 
  
 6. 
  
 tillsyn, kontroll, uppföljning och planering, eller 
  
 7. 
  
 framställning av statistik. 
  
 Personuppgifter som behandlas enligt lagen skall anses insamlade för samtliga ändamål som anges i första stycket, om inte annat angetts vid insamlingen. 
 I bestämmelsens  
 första stycke 
 , som ersätter 9 § första stycket c) och 10 § personuppgiftslagen, anges för vilka ändamål personuppgifter får behandlas i verksamhet som anges i 1 § första stycket. Bestäm- melsen har motiverats utförligt i avsnitt 6.5 där det också närmare utvecklats vad som avses med varje angivet ändamål. 
 Lagen innehåller inga särskilda bestämmelser om vilka uppgifter som får behandlas för ett visst ändamål. De angivna ändamålen ut- gör ramen för vilka uppgifter som får behandlas. Av 19 § framgår att regeringen, eller i vissa fall den myndighet regeringen bestäm- mer, får meddela föreskrifter som begränsar såväl ändamålen som de uppgifter som får behandlas för ett visst ändamål. Enligt lagen gäller dock att behandlingen alltid måste vara nödvändig för det eller de ändamål som behandlingen utförs för. Det sagda innebär att varje insamling och varje efterkommande behandling av en per- sonuppgift måste vara nödvändig för det ändamål som just den be- handlingen avser. I fråga om känsliga personuppgifter gäller sär- skilda begränsningar, se 6 §. 
 Av  
 andra stycket  
 framgår att personuppgifterna skall anses in- samlade för samtliga ändamål, om inte annat anges vid insamlingen. En personuppgift som samlas in som informationsunderlag i ären- dehandläggning kan därmed senare användas för ett annat i paragrafen angivet ändamål. Dock krävs, som påtalats i det föregående, att den senare behandlingen är nödvändig för det andra ändamålet. Uppgifterna kan också behandlas för annat ändamål än som anges i första stycket under förutsättning att detta ändamål är förenligt med det för vilket uppgifterna samlades in eller, om inte ändamålen inskränkts vid insamlingen, med i vart fall något av de i första stycket nämnda ändamålen. Detta följer av 9 § första stycket d) personuppgiftslagen som gäller även vid personuppgifts- behandling enligt utlänningsdatalagen. 
 292 
  
 SOU 2003:40 
  
 Författningskommentar 
  
 6 §  
 Känsliga personuppgifter som anges i 13 § personuppgiftslagen (1998:204) får behandlas om uppgifterna är oundgängligen nödvändiga för syftet med behandlingen. 
 Bestämmelsen har behandlats i avsnitt 6.6. 
 Personuppgiftslagen innehåller ett förbud mot behandling av känsliga personuppgifter om ras, etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse, medlemskap i fackförening samt uppgifter som rör hälsa eller sexualliv. Paragrafen gör undan- tag från förbudet genom att tillåta behandling av känsliga person- uppgifter i verksamhet enligt utlännings- och medborgarskapslag- stiftningen såsom verksamheten definieras i 1 § första stycket. Känsliga personuppgifter får behandlas för alla de ändamål som an- ges i 5 § första stycket. Dock krävs att uppgifterna är oundgängli- gen nödvändiga för syftet med behandlingen. Vad som avses med detta krav har preciserats i avsnitt 6.6. 
  
 7 §  
 Behandling av personuppgifter som är tillåten enligt denna lag får utföras även om den registrerade motsätter sig behandlingen. 
 Enligt dataskyddsdirektivet kan enskilda i vissa fall motsätta sig behandling av personuppgifter som rör honom eller henne, om det inte görs undantag i nationell lagstiftning. Av paragrafen framgår att enligt lagen tillåten behandling får utföras även om den registre- rade motsätter sig den. 
  
 8 §  
 Migrationsverket får föra ett automatiserat register över fingerav- tryck och fotografier (fingeravtrycksregister) som tas med stöd av 5 kap. 5 § utlänningslagen (1989:529). Registret får endast användas vid prövning av ansökningar om uppehållstillstånd där skäl som avses i 3 kap. 2 eller 3 § utlänningslagen åberopas samt i ärenden om avvisning och utvisning. Närmare föreskrifter om registret meddelas av rege- ringen. 
 I paragrafen anges att Migrationsverket får behandla personuppgif- ter i ett automatiserat register över de fingeravtryck och fotografier som tas med stöd av 5 kap. 5 § utlänningslagen. 
 Bestämmelsen är inte nödvändig för att möjliggöra registerfö- ringen, eftersom denna är tillåten redan enligt 1 § och 5 §. Såsom angetts i avsnitt 6.7 är bestämmelsen i stället en inskränkning i för- hållande till 5 § första stycket 1 i det att ett mer inskränkt ändamål 
 293 
  
 Författningskommentar 
  
 SOU 2003:40 
  
 för registret anges, nämligen att det får användas endast vid pröv- ning av vissa ansökningar om uppehållstillstånd och i ärenden om avvisning eller utvisning. 
 Ytterligare bestämmelser om registret meddelas av regeringen. I utredningens förslag till en förordning som utfärdas i anslutning till lagen finns dessa bestämmelser i 10 och 11 §§. 
 Sökbegrepp 
  
 9 §  
 Känsliga personuppgifter som anges i 13 § personuppgiftslagen (1998:204) får inte användas som sökbegrepp vid behandling av per- sonuppgifter för ändamål som anges i 5 § första stycket  
 1-4. 
  Vid behandling för ändamål som anges i 5 § första stycket 6 eller 7 får inga andra känsliga personuppgifter än sådana som avslöjar etniskt ursprung eller rör hälsa användas som sökbegrepp. 
 Personuppgifter om lagöverträdelser m.m. som anges i 21 § person- uppgiftslagen får inte användas som sökbegrepp. Beslut om förvar en- ligt utlänningslagen (1989:529) får dock användas som sökbegrepp. 
 Paragrafen begränsar användningen av sökbegrepp vid behandling av personuppgifter som omfattas av utlänningsdatalagens bestäm- melser. Bestämmelsen har behandlats i avsnitt 6.8. 
 Känsliga personuppgifter får användas som sökbegrepp vid be- handling som utförs för ändamålet att ge rättslig och annan infor- mation som anges i 5 § första stycket 5. Uppgifter som avslöjar et- niskt ursprung eller rör hälsa får vidare behandlas för ändamålen tillsyn, kontroll, uppföljning och planering, 5 § första stycket 6, eller framställning av statistik, 5 § första stycket 7. I övrigt får känsliga personuppgifter inte användas som sökbegrepp. 
 Inte heller får personuppgifter om lagöverträdelser som innefat- tar brott, domar i brottmål, straffprocessuella tvångsmedel och administrativa frihetsberövanden användas som sökbegrepp. Upp- gifter om beslut om förvar enligt utlänningslagen får dock användas som sökbegrepp. 
 Enligt 19 § får regeringen meddela föreskrifter om ytterligare begränsningar i fråga om sökbegrepp. 
 Sökbegränsningarna i bestämmelsen gäller naturligtvis inte vid sökning efter uppgifter i det dokument eller den handling med lö- pande text som för användaren är omedelbart tillgänglig via en da- tor. 
 294 
  
 SOU 2003:40 
  
 Författningskommentar 
  
 Begränsningar i fråga om utlämnande av personuppgifter på medium för automatiserad behandling 
  
 10 §  
 Personuppgifter får lämnas ut på medium för automatiserad be- handling till en institution inrättad av Europeiska unionen eller en ut- ländsk myndighet i en stat som ingår i Europeiska unionen eller som är ansluten till Europeiska ekonomiska samarbetsområdet endast om det är nödvändigt för ändamål som anges i 5 § första stycket 1, 2, 4 eller 5. 
 Personuppgifter får lämnas ut till enskild på medium för automatise- rad behandling endast om regeringen har meddelat föreskrifter om det. 
 Personuppgiftslagen innehåller inga bestämmelser som reglerar på vilket sätt personuppgifter får lämnas ut. I paragrafen finns emel- lertid vissa begränsningar i fråga om automatiserat utlämnande av personuppgifter. Begränsningarna har behandlats i avsnitt 6.9. 
 Enligt paragrafen får personuppgifter lämnas ut automatiserat till en  
 EU-institution 
  eller en myndighet inom EU eller EES endast om det sker för vissa ändamål, nämligen ärendehandläggning, ut- länningskontroll enligt 5 kap. utlänningslagen, uppgiftsutlämnande och informationsåtersökning såsom dessa ändamål närmare definie- ras i 5 § första stycket 1, 2, 4 och 5. 
 Någon motsvarande begränsning gäller inte för automatiserat ut- lämnande av personuppgifter till en svensk myndighet. Är övriga förutsättningar för uppgiftsutlämnande uppfyllda, kan utlämnandet ske på det sätt som den utlämnande myndigheten finner lämpligt. 
 Enligt bestämmelsen i andra stycket är det möjligt att automati- serat lämna ut personuppgifter till enskild endast om regeringen har föreskrivit detta. 
 Direktåtkomst m.m. 
  
 11 §  
 För ändamål som anges i 5 § första stycket 1 får Regeringskansliet, Utlänningsnämnden, Integrationsverket, Rikspolisstyrelsen och polis- myndigheterna samt utlandsmyndigheterna ha direktåtkomst till per- sonuppgifter som behandlas automatiserat av Migrationsverket för samma ändamål. Rikspolisstyrelsens och polismyndigheternas direktåt- komst gäller även för ändamål som anges i 5 § första stycket 2. 
 Direktåtkomsten får inte avse andra uppgifter än sådana som är oundgängligen nödvändiga för att arbetsuppgifter som ankommer på myndigheten skall kunna utföras. 
 295 
  
 Författningskommentar 
  
 SOU 2003:40 
  
 I 11 och 12 §§ regleras uttömmande i vilken utsträckning annan myndighet får ha direktåtkomst till personuppgifter som behandlas automatiserat av Migrationsverket. Bestämmelserna har behandlats i avsnitt 6.10, där det också redovisas vad som avses med direktåt- komst. 
 I 11 §  
 första stycket  
 regleras dels till vilka myndigheter Migra- tionsverket får lämna ut personuppgifter genom direktåtkomst, dels för vilka ändamål detta får ske. Samtliga myndigheter får ges direktåtkomst för ändamålet handläggning av ärenden enligt utlän- nings- och medborgarskapslagstiftningen eller biträde vid sådan handläggning. Rikspolisstyrelsens och polismyndigheterna får ock- så ges direktåtkomst till personuppgifter som polisen behöver för ändamålet utlänningskontroll enligt 5 kap. utlänningslagen. Direkt- åtkomst får enbart avse personuppgifter som Migrationsverket be- handlar för ändamålet handläggning av ärende m.m. enligt 5 § för- sta stycket 1. 
 I  
 andra stycket  
 görs den begränsningen att direktåtkomsten inte får avse andra uppgifter än sådana som är oundgängligen nödvändi- ga för att arbetsuppgifter som ankommer på myndigheten skall kunna utföras. Dessa arbetsuppgifter skall omfattas av de angivna ändamålen och avse verksamhet enligt utlännings- och medbor- garskapslagstiftningen såsom denna närmare preciserats i 1 § första stycket. 
 Regeringen får enligt 19 § meddela föreskrifter som begränsar el- ler preciserar omfattningen av den tillåtna direktåtkomsten. 
  
 12 §  
 För ändamål som anges i 5 § första stycket 5 får Utlänningsnämn- den och utlandsmyndigheterna ha direktåtkomst till personuppgifter som behandlas automatiserat av Migrationsverket för samma ändamål. 
 Bestämmelsen har behandlats i avsnitt 6.10. Se även kommentaren till 11 §. 
 Enligt paragrafen får Migrationsverket till Utlänningsnämnden och utlandsmyndigheter genom direktåtkomst lämna ut person- uppgifter som Migrationsverket behandlar för ändamålet återsök- ning av avgöranden, rättsutredningar, annan rättslig information samt av information rörande förhållanden i andra länder som är ägnad att ge vägledning åt handläggning av ärenden i verksamhet enligt utlännings- och medborgarskapslagstiftningen. 
 296 
  
 SOU 2003:40 
  
 Författningskommentar 
  
 13 §  
 Behörighet för åtkomst till personuppgifter som behandlas auto- matiserat får endast ges till de personer som behöver tillgång till upp- gifterna för att kunna utföra sina arbetsuppgifter. 
 Bestämmelsen har behandlats i avsnitt 6.10. 
 I denna paragraf regleras i vad mån befattningshavare inom en myndighet får ges åtkomst dels till personuppgifter som behandlas av den egna myndigheten, dels till personuppgifter som annan myndighet, dvs. Migrationsverket, behandlar men till vilka den egna myndigheten har direktåtkomst. En befattningshavares åt- komst skall alltid vara begränsad till vad denne behöver för att kunna utföra sina arbetsuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Det är den personuppgiftsan- svariga myndigheten som tilldelar behörighet. 
 Sekretess 
  
 14 §  
 I sekretesslagen (1980:100) finns begränsningar i fråga om utläm- nande av personuppgifter som behandlas i verksamhet som anges i 1 § första stycket. 
 Frågor om sekretess har behandlats i avsnitt 7. 
 I paragrafen erinras om de sekretessbestämmelser som kan gälla för utlämnande av personuppgifter som behandlas enligt lagen. 
 Överföring av personuppgifter till tredje land 
  
 15 §  
 Personuppgifter får föras över till en stat som inte ingår i Europe- iska unionen och heller inte är ansluten till Europeiska ekonomiska samarbetsområdet (tredje land), om den registrerade samtycker till det eller om det är oundgängligen nödvändigt för ändamål som anges i 5 § första stycket 1, 2, 4 eller 5. 
 I paragrafen görs undantag från personuppgiftslagens grundläggan- de förbud mot överföring av personuppgifter till tredje land. Be- stämmelsen har behandlats i avsnitt 6.13 och ersätter regleringen i 34 § första stycket personuppgiftslagen om sådan överföring. 
 Enligt bestämmelsen får personuppgifter som behandlas med stöd av utlänningsdatalagen överföras till tredje land, om den regi- strerade samtycker till det eller om det är oundgängligen nödvän- digt för den överförande myndighetens handläggning eller biträde 
 297 
  
 Författningskommentar 
  
 SOU 2003:40 
  
 vid handläggning av ärenden, utlänningskontroll enligt 5 kap. ut- länningslagen, uppgiftsutlämnande som avses i 5 § första stycket 4 eller informationsåtersökning som avses i 5 § första stycket 5. 
 Någon begränsning i fråga om på vilket sätt uppgifterna får över- föras är inte föreskriven. Är förutsättningarna för överföring upp- fyllda, kan den således ske elektroniskt likväl som på pappersut- skrift. 
 Regeringen, eller i vissa fall den myndighet regeringen bestäm- mer, får enligt 19 § meddela föreskrifter som innebär begränsningar i förhållande till 15 §. 
 Avskiljande 
  
 16 §  
 Personuppgifter som behandlas automatiserat för ändamål som anges i 5 § första stycket  
 1-3 
  skall avskiljas från register, ärendehan- teringssystem eller andra automatiserat behandlade uppgiftssamlingar, som används i löpande verksamhet, då uppgifterna inte längre är nöd- vändiga för denna verksamhet. 
 Behörighet för åtkomst till avskilda personuppgifter får endast ges till de personer som är i oundgängligt behov av uppgifterna för att kunna utföra sina arbetsuppgifter. 
 Regeringen, eller den myndighet regeringen bestämmer, meddelar närmare föreskrifter om avskiljande av personuppgifter som behandlas av Integrationsverket och utlandsmyndigheterna under Migrationsver- kets personuppgiftsansvar. 
 Bestämmelsen har behandlats i avsnitt 6.15.3.2. 
 Enligt paragrafens  
 första stycke  
 åläggs personuppgiftsansvarig myndighet en skyldighet att plocka bort,  
 avskilja 
 , personuppgifter från automatiserade uppgiftssamlingar som används i löpande verk- samhet – som gäller ärendehandläggning, utlänningskontroll enligt 5 kap. utlänningslagen samt mottagnings- och bosättningsverk- samhet – då uppgifterna inte längre behövs för denna löpande verk- samhet. På vilket sätt detta skall ske kan personuppgiftsansvariga myndigheter själva avgöra, dock att åtgärden inte får innebära att uppgifterna gallras i strid mot arkivlagens (1990:782) bestämmelser eller föreskrifter som har meddelat med stöd av den lagen. 
 Åtkomst till de avskilda uppgifterna skall vara starkt begränsad i enlighet med vad som anges i  
 andra stycket 
 . Av att uppgifterna är avskilda på grund av sin inaktualitet följer att avskilda personupp- gifter inte får omfattas av sådan direktåtkomst som avses i 11 §. 
 298 
  
 SOU 2003:40 
  
 Författningskommentar 
  
 I  
 tredje stycket  
 ges regeringen rätt att bemyndiga annan myndig- het, i praktiken Migrationsverket, att meddela föreskrifter om av- skiljande såvitt avser personuppgifter som behandlas av annan myndighet men för vars behandling verket är personuppgiftsansva- rig. 
 Rättelse och skadestånd 
  
 17 §  
 Bestämmelserna i personuppgiftslagen (1998:204) om rättelse och skadestånd gäller vid behandling av personuppgifter enligt denna lag el- ler författningar som har meddelats i anslutning till denna lag. 
 Bestämmelsen har behandlats i avsnitt 6.16. 
 Personuppgiftslagens bestämmelse om rättelse och skadestånd gäller enbart vid överträdelser av den lagen. Genom 17 § görs be- stämmelserna tillämpliga även då uppgifter behandlas i strid mot utlänningsdatalagen. 
 Överklagande 
  
 18 §  
 En myndighets beslut om rättelse eller om avslag på ansökan om information enligt 26 § personuppgiftslagen (1998:204) får överklagas hos allmän förvaltningsdomstol. Andra beslut enligt denna lag får inte överklagas. 
 Prövningstillstånd krävs vid överklagande till kammarrätten. 
 Bestämmelsen har behandlats i avsnitt 6.17. 
 Ytterligare föreskrifter 
  
 19 §  
 Regeringen meddelar föreskrifter som innebär begränsningar, ut- över vad som följer av denna lag, av de ändamål för vilka personuppgif- ter får behandlas, av vilka slags personuppgifter som får behandlas, av de sökbegrepp som får användas, av vilken direktåtkomst som får före- komma och av i vilken utsträckning personuppgifter får överföras till tredje land. 
 Regeringen får överlåta åt annan myndighet att för behandling av personuppgifter som utförs av Integrationsverket och utlandsmyndig- heterna under Migrationsverkets personuppgiftsansvar meddela före- skrifter om sådana begränsningar som avses i första stycket och som gäller ändamål, personuppgiftsslag eller överföring till tredje land. 
 299 
  
 Författningskommentar 
  
 SOU 2003:40 
  
 Bestämmelsen har behandlats i avsnitt 6.18. Se också kommenta- rerna till 5, 9, 11 och 15 §§. 
 Av denna paragraf och av 20 § framgår i vilka fall regeringen – el- ler i vissa fall den myndighet regeringen bestämmer – får meddela föreskrifter utöver vad som angetts i respektive paragraf i lagen. 
  
 20 §  
 Regeringen meddelar närmare föreskrifter om säkerhetsåtgärder till skydd för personuppgifter som behandlas 
 . 
  
 Regeringen får överlåta åt annan myndighet att meddela sådana före- skrifter för behandling av personuppgifter som utförs av Integrations- verket och utlandsmyndigheterna under Migrationsverkets personupp- giftsansvar. 
 Bestämmelsen har behandlats i avsnitt 6.18. 
 I paragrafen anges att regeringen, eller i vissa fall den myndighet regeringen bestämmer, meddelar närmare föreskrifter om avskil- jande och skyddsåtgärder. 
 _______________ 
  
 1. 
  
 Denna lag träder i kraft den . 
  
 2. 
  
 Med undantag för bestämmelsen i 15 § skall lagens bestämmelser inte börja tillämpas förrän den 1 oktober 2007 i fråga om sådan manuell be- handling av personuppgifter som påbörjats före den 24 oktober 1998 eller manuell behandling som utförs för ett visst bestämt ändamål, om manuell behandling för ändamålet påbörjats före den 24 oktober 1998. 
  
 3. 
  
 Bestämmelsen om skadestånd skall tillämpas endast om den omstän- dighet som yrkandet hänför sig till har inträffat efter det att lagen har trätt i kraft beträffande den aktuella behandlingen. I annat fall tillämpas äldre bestämmelser. 
  
 Frågor om ikraftträdande och övergångsbestämmelser har behand- lats i avsnitt 8.1. 
 300 
  
 SOU 2003:40 
  
 Författningskommentar 
  
 9.2 
  
 Förslaget till lag om ändring i sekretesslagen (1980:100) 
  
 7 kap 14 §  
 Sekretess gäller för uppgift som rör utlänning, om det kan antas att röjande av uppgiften skulle medföra fara för att någon utsätts för övergrepp eller annat allvarligt men som föranleds av förhållandet mellan utlänningen och utländsk stat eller myndighet eller organisation av utlänningar. 
 Utöver vad som följer av första stycket gäller sekretess i verksamhet för kontroll över utlänningar och i ärende om svenskt medborgarskap för uppgift om enskilds personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller någon närstående till den enskilde lider men. I verksamhet för kontroll över utlänningar gäll- er sekretess också för anmälan eller annan utsaga av enskild, om det kan antas att fara uppkommer för att den som har gjort anmälan eller avgi- vit utsagan eller någon närstående till honom eller henne utsätts för våld eller annat allvarligt men om uppgiften röjs Beträffande beslut i ärende som avses i detta stycke gäller sekretessen dock endast för upp- gifter i skälen. 
 Utöver vad som följer av första stycket gäller sekretess hos Integra- tionsverket 
  
 1. 
  
 i ärende om statlig ersättning för kostnader för mottagande av flyk- tingar och andra skyddsbehövande som beviljats uppehållstillstånd och av personer som beviljats uppehållstillstånd på grund av anknytning till sådana utlänningar och 
  
 2. 
  
 i verksamhet som avser medverkan till bosättning för personer som omfattas av 1, 
  
 för uppgift om enskilds personliga förhållanden, om det kan antas att den enskilde eller någon närstående till den enskilde lider men om upp- giften röjs. 
 Utöver vad som följer av första stycket gäller sekretess hos Totalför- svarets pliktverk och Migrationsverket i verksamhet som avser mottagande och vidarebefordran av upplysningar m.m. om krigsfångar och andra skyddade personer som avses i Genèvekonventionerna den 
  
 12 
  
 augusti 1949 rörande skydd för offren i internationella väpnade kon- flikter och tilläggsprotokollen till konventionerna, för uppgift om en- skilds vistelseort, hälsotillstånd eller andra personliga förhållanden, om det inte står klart att uppgiften kan röjas utan att den enskilde eller nå- gon närstående till den enskilde lider men. 
  
 Sekretess gäller för uppgifter som avses i första och andra styckena och som en myndighet fått enligt  
 rådets förordning (EG) nr 343/2003 av 
  
 301 
  
 Författningskommentar 
  
 SOU 2003:40 
  
 den 18 februari 2003 om kriterier och mekanismer för att avgöra vilken medlemsstat som har ansvaret för att pröva en asylansökan som en med- borgare i tredje land har gett in i någon medlemsstat 
 . Föreskrifterna i 14 kap.  
  
 1-3 
  
  §§ får i fråga om denna sekretess inte tillämpas i strid med  
 förordningen 
 . 
  
 I fråga om uppgift i allmän handling gäller sekretessen i högst femtio år. 
 Utan hinder av sekretess enligt första eller fjärde stycket eller enligt 2 kap. 1 eller 2 § får uppgifter som avses i fjärde stycket lämnas till den nationella upplysningsbyrån enligt vad som föreskrivs i 8 kap. 13 § la- gen (1994:1720) om civilt försvar och förordningen (1996:1475) om skyldighet att lämna uppgifter m.m. om krigsfångar och andra skydda- de personer. 
 Utan hinder av sekretess enligt andra stycket får Migrationsverket lämna uppgift om enskilds namn, födelsedatum och adress till Svenska röda korset i angelägenhet som gäller sådan verksamhet för återförening av splittrade familjer som avses i artikel 74 i tilläggsprotokoll I till Ge- nèvekonventionerna den 12 augusti 1949 rörande skydd för offren i in- ternationella väpnade konflikter eller som gäller efterforskning i fredstid av personer som har förlorat kontakten med närstående på grund av krig, väpnad konflikt eller naturkatastrof. 
  
 ----- 
  
 Denna lag träder i kraft den 
 Äldre bestämmelse gäller fortfarande i fråga om uppgifter som avses i para- grafens första och andra stycke och som en myndighet fått enligt ett av riksdagen godkänt avtal med främmande stat eller mellanfolklig organisa- tion. 
 Frågor om sekretess har behandlats i avsnitt 7. 
 I paragrafen har ett stycke ändrats samt ett nytt stycke införts. Bestämmelsen i  
 fjärde stycket  
 är en anpassning till den nya EG- 
 förordning som ersatt Dublinkonventionen. Anpassningen har skett genom att bestämmelsen uttryckligen hänvisar till EG- förordningen. Enligt bestämmelsen gäller absolut sekretess för uppgifter som en svensk myndighet tar emot från utländsk myn- dighet på grund av  
 EG-förordningens 
  föreskrift om informations- utbyte. Härigenom säkerställs att uppgifter som Sverige tagit emot enligt artikel 21 i förordningen endast lämnas vidare till de myn- digheter och domstolar som har till uppgift att a) avgöra vilken 
 302 
  
 SOU 2003:40 
  
 Författningskommentar 
  
 medlemsstat som har ansvaret för att pröva asylansökan, b) pröva asylansökan eller c) uppfylla alla skyldigheter enligt EG- förordningen (artikel 21.7 i förordningen), dvs. för Sveriges del Regeringen, Migrationsverket och Utlänningsnämnden. Utläm- nande av mottagna personuppgifter torde inte kunna ske annat än mellan de nämnda myndigheterna. Genom en övergångsbestäm- melse gäller bestämmelsen i dess äldre lydelse för uppgifter som tas emot enligt Dublinkonventionen. 
  
 Åttonde stycket  
 är nytt. Bestämmelsen utgör en sekretessbrytande regel som innebär att sekretess enligt andra stycket inte hindrar att Migrationsverket lämnar ut uppgift om enskilds namn, födelseda- tum och adress till Svenska röda korset. Regeln är endast tillämplig vid utlämnande som syftar till att ge Svenska röda korset informa- tion i föreningens verksamhet med familjeåterförening och efter- forskning av försvunna anhöriga; en verksamhet som har sin grund i Genèvekonventionerna med tilläggsprotokoll samt omfattas av ett avtal med staten om statligt ekonomiskt stöd. 
  
 9.3 
  
 Förslaget till lag om ändring i utlänningslagen (1989:529) 
  
 11 kap 6 a §  
 Migrationsverket, Utlänningsnämnden, Rikspolisstyrelsen och polismyndigheterna skall till varandra lämna uppgifter som rör ut- lännings eller annan enskilds personliga förhållanden, om uppgifterna är nödvändiga för den mottagande myndighetens verksamhet enligt denna lag. 
 Första stycket gäller även utlandsmyndighet som efter bemyndigan- de av Migrationsverket handlägger ärenden om viseringar, uppehållstill- stånd och arbetstillstånd. 
 Paragrafen, som är ny, har behandlats i avsnitt 7.4.3. 
 Bestämmelsen syftar till att möjliggöra sådant nödvändigt utbyte av sekretessbelagda uppgifter mellan de myndigheter som samarbe- tar i verksamhet för kontroll över utlänningar enligt utlänningsla- gen. Genom bestämmelsen om uppgiftsskyldighet följer av 14 kap. 1 § sekretesslagen att uppgifter som omfattas av utlänningssekre- tess utan hinder av sekretessen kan utbytas mellan de nämnda myndigheterna. Det krävs dock att uppgifterna är nödvändiga för den mottagande myndighetens verksamhet enligt utlänningslagen. Det är den utlämnande myndigheten som har att pröva i vad mån 
 303 
  
 Författningskommentar 
  
 SOU 2003:40 
  
 uppgiften är nödvändig för den mottagande myndighetens verk- samhet. 
 Av paragrafens andra stycke framgår att bestämmelsen även gäll- er för utlandsmyndighet som efter bemyndigande av Migrations- verket handlägger utlänningsärenden. 
  
 9.4 
  
 Förslaget till lag om ändring i lagen (2001:82) om svenskt medborgarskap 
  
 29 §  
 Migrationsverket och Utlänningsnämnden skall till varandra lämna uppgifter som rör utlännings eller enskilds personliga förhållanden, om uppgifterna är nödvändiga för den mottagande myndighetens verksam- het enligt denna lag. 
 Första stycket gäller även utlandsmyndighet som utreder ärenden om svenskt medborgarskap. 
 Paragrafen, som är ny, har behandlats i avsnitt 7.4.3. 
 Bestämmelsen innehåller en sekretessbrytande uppgiftsskyldig- het mellan de myndigheter som handlägger ärenden om svenskt medborgarskap. Bestämmelsen omfattar även de utlandsmyndig- heter som enligt 7 § medborgarskapsförordningen (2001:218) gör den utredning som behövs för ärendets prövning. 
 Se vidare kommentaren till 11 kap. 6 a § i förslaget till lag om ändring i utlänningslagen (avsnitt 9.3). 
 304 
 BILAGOR 
 Bilaga 1 
 Kommittédirektiv 
  
 Behandlingen av personuppgifter i 
  
 Dir. 
  
 verksamhet enligt utlännings- och 
  
 2001:108 
  
 medborgarlagstiftning 
  
 Beslut vid regeringssammanträde den 20 december 2001. 
 Sammanfattning av uppdraget 
 En särskild utredare skall kartlägga behandlingen av personupp- gifter i verksamhet enligt utlännings- och medborgarskapslagstift- ningen. Utredaren skall utifrån ett helhetsperspektiv granska regel- systemet och föreslå de författningsändringar och andra åtgärder som behövs för att den rättsliga regleringen skall vara väl anpassad till personuppgiftslagen (1998:204). Utredaren skall särskilt beakta behovet av en rättslig reglering som inte är beroende av att vissa tekniska lösningar används och som ger myndigheterna möjlighet att hantera information på ett bra sätt. Samtidigt skall utredaren väga in rättssäkerhetsaspekter, främst enskildas behov av skydd för sin personliga integritet. 
 Gällande bestämmelser 
 Internationella regler om dataskydd 
 Den 24 oktober 1995 beslutade Europaparlamentet och rådet om direktiv 95/46/EG om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT nr L 281, 23.11.1995, s. 31, Celex 3 1995L0046), det s.k. dataskyddsdirektivet. Internationella riktlinjer för automa- tisk databehandling av personuppgifter finns bl.a. även i Europarådets konvention om skydd för enskilda vid automatisk databehandling av personuppgifter, antagen den 28 januari 1981  
 (CE-ETS-108/81). 
  
 307 
  
 Bilaga 1 
  
 SOU 2003:40 
  
 Datalagen och personuppgiftslagen 
 När personuppgiftslagen (1998:204) trädde i kraft i oktober 1998 ersatte den datalagen (1973:289). Genom övergångsbestämmel- serna till personuppgiftslagen gavs ytterligare tid för att anpassa den då gällande lagstiftningen på olika rättsområden. Enligt över- gångsbestämmelserna skulle datalagen fortsätta att tillämpas till och med den 30 september 2001 i fråga om bl.a. sådan behandling av personuppgifter som påbörjats före den 24 oktober 1998. Från den 1 oktober 2001 tillämpas således personuppgiftslagen fullt ut på all automatiserad behandling av personuppgifter om inte annat framgår av författning. 
 Dataskyddsdirektivet har genomförts i svensk rätt genom per- sonuppgiftslagen. Lagens bestämmelser innehåller därför motsvaran- de bestämmelser och följer samma struktur som finns i direktivet. Syftet med dataskyddsdirektivet och personuppgiftslagen är att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. 
 Innehållet i personuppgiftslagen bygger på att själva hanteringen av personuppgifter regleras. Regleringsmodellen innebär att behand- ling av personuppgifter som inte sker med stöd av personuppgifts- lagen är förbjuden. Enligt 2 § i lagen gäller särreglering i annan författning före personuppgiftslagen. En förutsättning är dock att författningen är förenlig med dataskyddsdirektivet på de områden där det direktivet är tillämpligt. Personuppgiftslagen gäller för all behandling av personuppgifter som är helt eller delvis automatise- rad (5 § första stycket). Lagen gäller också för manuell behandling av personuppgifter, om uppgifterna ingår i eller är avsedda att ingå i en strukturerad samling av personuppgifter som är tillgängliga för sökning eller sammanställning enligt särskilda kriterier (5 § andra stycket). I övrigt innehåller personuppgiftslagen bl.a. definitioner av centrala begrepp, förutsättningar för behandling av personupp- gifter, bestämmelser om information, rättelse, skadestånd och säker- het vid behandlingen. 
 I lagens 13 § finns ett principiellt förbud mot att behandla känsliga personuppgifter. Det finns dock möjlighet att göra undan- tag från förbudet, t.ex. får känsliga uppgifter behandlas om den registrerade har lämnat ett uttryckligt samtycke till behandlingen eller om behandlingen är nödvändig på grund av vissa särskilt an- givna förhållanden. Vidare får det föreskrivas generella föreskrifter 
 308 
  
 SOU 2003:40 
  
 Bilaga 1 
  
 om undantag, om det behövs med hänsyn till ett viktigt allmänt intresse (20 §). 
 Utlännings- och medborgarskapslagstiftningen 
 De myndigheter som bedriver verksamhet enligt utlännings- och medborgarskapslagstiftningen är främst Migrationsverket och Utlänningsnämnden. Även Integrationsverket, Rikspolisstyrelsen, polismyndigheterna och utlandsmyndigheterna bedriver sådan verk- samhet. Samtliga dessa myndigheters behandling av personupp- gifter påbörjades före den 24 oktober 1998. Det innebär att före den 1 oktober 2001 krävdes Datainspektionens tillstånd för behand- lingen. Sedan den 1 oktober 2001 gäller dock personuppgiftslagens bestämmelser för all automatiserad behandling av personuppgifter. 
 Utöver personuppgiftslagens allmänt gällande bestämmelser om behandling av personuppgifter finns specifika regler för utlännings- och medborgarskapsområdet i en särskild förordning som trädde i kraft den 1 oktober 2001, förordningen (2001:720) om behandling av personuppgifter i verksamhet enligt utlännings- och medborgar- skapslagstiftningen. Förutom bestämmelser om tillämpningsområde och personuppgiftsansvar, finns det i den nämnda förordningen en närmare reglering av automatiserad behandling av personuppgifter i verksamhetsregister, rättsfallsregister, fingeravtrycksregister och landinformationsregister. Under dessa huvudkategorier finns när- mare regler om de ändamål för vilka uppgifterna får behandlas i registren, vad registren får innehålla, under vilka förutsättningar känsliga personuppgifter får behandlas, myndigheters direktåt- komst till register och användningen av sökbegrepp. 
 Utredningsbehovet 
 Enligt 1 kap. 2 § tredje stycket regeringsformen (RF) skall det allmänna värna den enskildes privatliv och familjeliv. Vidare skall enligt 2 kap. 3 § RF varje medborgare, i den utsträckning som närmare anges i lag, skyddas mot att den personliga integriteten kränks genom registrering av uppgifter med hjälp av automatisk databehandling. Utlänningar som är i Sverige har i detta hänseende samma skydd som svenska medborgare (2 kap. 22 § första stycket 2 
 309 
  
 Bilaga 1 
  
 SOU 2003:40 
  
 RF). Detta skydd för den personliga integriteten kommer främst till uttryck i personuppgiftslagen. 
 Bestämmelser om rätten till respekt för privat- och familjelivet finns vidare i Europakonventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna (artikel 8). Europa- konventionen gäller sedan den 1 januari 1995 som lag i Sverige. 
 Riksdagen har i skilda sammanhang påpekat att myndighets- register som innehåller ett stort antal registrerade personer och som har ett särskilt känsligt innehåll skall regleras i lag (se bet. 1990/91:KU11 s. 11, jfr prop. 1997/98:44 s. 41). Myndigheter som Migrationsverket och Utlänningsnämnden har en verksamhet som i sig innebär att de ofta hanterar stora mängder av känsliga uppgifter. Regeringens uppfattning är, mot denna bakgrund, att mer specifika bestämmelser om behandlingen av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen skall regleras särskilt i lag. Sedan den 1 oktober 2001 gäller förordningen om behandling av personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Förordningen är dock avsedd att få en begränsad giltighet i avvaktan på att frågan om en lagreglering bereds vidare. 
 I en skrivelse till regeringen den 22 juni 2000 begärde Statens invandrarverk (numera Migrationsverket) och Utlänningsnämnden bl.a. att en utredning skulle tillsättas för att utreda behovet av en författningsreglering av en central databas för registrering av uppgifter om utlänningars rätt att vistas i Sverige. Den centrala databasen hos Migrationsverket, STAMM (System för Tillstånd, Asyl, Mottagning och Medborgarskap), innehåller uppgifter om utlänningar och flera myndigheter planeras få tillgång till STAMM. 
 Datainspektionen har vidare överlämnat ett beslut till regeringen från den 23 november 2000 (diarienummer  
 124-2000). 
  Beslutet gällde ändring av Migrationsverkets tillstånd för STAMM. I beslu- tet skriver Datainspektionen att STAMM innehåller delvis mycket känsliga uppgifter och att personuppgiftslagen i princip innebär förbud mot behandling av känsliga uppgifter. Datainspektionen anser i beslutet att överväganden om författningsstöd behövs för den behandling av känsliga uppgifter som sker i STAMM. 
 310 
  
 SOU 2003:40 
  
 Bilaga 1 
  
 Utredningsuppdraget 
 Lagrådet har i sitt yttrande i propositionen Behandling av person- uppgifter inom skatt, tull och exekution (prop. 2000/01:33) kriti- serat användandet av en mer självbärande författningsteknik i för- hållande till personuppgiftslagen. Enligt regeringens mening bör särlagstiftning i förhållande till personuppgiftslagen begränsas till att avse frågor som är specifika för de verksamheter som omfattas av lagstiftningen, i detta fall utlännings- och medborgarskapslag- stiftningen. Det kan handla om situationer då personuppgiftslagens mer allmänt hållna bestämmelser ger upphov till tolkningsproblem i förhållande till annan lagstiftning. Det kan också vara fråga om att det finns anledning att vara särskilt tydlig med att ange de undantag och preciseringar som är motiverade, exempelvis i fråga om be- handlingen av känsliga personuppgifter. 
 Utgångspunkten för utredarens uppdrag bör vara att kartlägga den nuvarande behandlingen och de framtida nödvändiga behoven av att behandla personuppgifter i verksamhet enligt utlännings- och medborgarskapslagstiftningen. Även frågor om bevarande och gall- ring samt behandling av personuppgifter för forsknings- och sta- tistikändamål bör uppmärksammas. 
 Utredaren bör anlägga ett helhetsperspektiv och inrikta sig på att den framtida regleringen av behandlingen av personuppgifter i verksamheter inom utlännings- och medborgarskapslagstiftningen skall passa väl in i personuppgiftslagens regelsystem. Ett mål för utredningsuppdraget är att skapa enkla, tydliga och moderna regler som inte är beroende av att vissa tekniska lösningar används och som uppfyller de krav i dataskyddshänseende som ställs i nationell och internationell rätt. Utredaren skall undvika att föreslagna författ- ningsändringar, satta i relation till gällande rätt, leder till överlappande lagstiftning och att flera olika regler är tillämpliga beträffande samma behandling av personuppgifter i en myndighets verksamhet enligt utlännings- och medborgarskapslagstiftningen. 
 Samtidigt bör den rättsliga analysen utgå från att myndigheterna skall kunna arbeta minst lika effektivt som idag. Det skall också finnas utrymme för flexibilitet inför framtiden. Verksamhet av det slag som Migrationsverket bedriver är till sin karaktär sådan att det är en förutsättning för ett rationellt arbetssätt att även större mängder känsliga personuppgifter kan hanteras smidigt. 
 Behandlingen av personuppgifter inom rättsområdet är vidare till betydande del av internationell karaktär. Överförande av uppgifter 
 311 
  
 Bilaga 1 
  
 SOU 2003:40 
  
 till andra  
 EU-länder 
  eller till tredje land är vanligt förekommande inom ramen för olika former av samarbete, såsom utbyte av information inom ramen för Sveriges medlemskap i Nelson samarbetet och i det konsulära samarbetet i viseringsfrågor. Det är således betydelsefullt att regelverket ger möjligheter att utveckla datasystem som underlättar utbytet av information såväl mellan olika myndigheter, nationellt och internationellt, som mellan enskilda och myndigheterna. 
 Myndigheternas behandling av personuppgifter handlar inte en- bart om att föra datoriserade register utan kan även avse t.ex. behandling av personuppgifter i en dator som sker uteslutande med hjälp av ord- och textbehandlingsprogram. Det är vidare viktigt att myndigheterna kan ge stöd för handläggningen av ärenden genom att de kan ha system för bakgrundsinformation, t.ex. landinforma- tionssystem. 
 Andra arbetsområden där det kan förekomma personuppgifter är interninformation till anställda eller publicering av avidentifierade avgöranden på internet. En del av myndigheternas behandling av personuppgifter finns också inom området för intern administra- tion, t.ex. ekonomi- och personaladministration. Även i den här typen av behandling kan det finnas känsliga personuppgifter, t.ex. om ledamöters politiska åskådning eller tolkars etnicitet. 
 Sedan ett par år pågår, med Migrationsverket som processansvarig myndighet, det s.k.  
 WILMA-projektet 
  om  
 IT-stöd 
  för ärendehan- teringen av ansökningar om visering samt uppehålls- och arbets- tillstånd som lämnas in vid svenska utlandsmyndigheter. Målet är att ansökningar om exempelvis uppehållstillstånd skall kunna registreras i systemet av utlandsmyndigheter i samband med att ansökningen görs och att vissa angivna myndigheter skall ha direkt- åtkomst till uppgifterna elektroniskt. En utgångspunkt för utred- ningen bör vara att det är viktigt att utbytet av information mellan t.ex. ambassader och Migrationsverket kan fungera smidigt och i enlighet med de lösningar som tas fram i projekt av det nu angivna slaget. 
 När det gäller Utlänningsnämnden har den s.k.  
 NIPU-kom- 
  mittén i betänkandet Ökad rättssäkerhet i asylärenden (SOU 1999:16) föreslagit att de ärenden som idag prövas av nämnden i framtiden skall prövas av allmänna förvaltningsdomstolar. En inter- departemental arbetsgrupp har vidare i promemorian En specialdom- stol för utlänningsärenden (Ds 2000:45) utrett hur en specialdomstol skulle kunna fungera som överinstans. 
 312 
  
 SOU 2003:40 
  
 Bilaga 1 
  
 Regeringens avsikt är att i enlighet med Socialförsäkringsut- skottets tillkännagivande i betänkandet över budgetpropositionen (bet. 2001/02:SfU2) under år 2002 kunna presentera ett förslag till ny instans- och processordning i utlännings- och medborgarskaps- ärenden. Utredaren skall följa reformarbetet och se till att eventu- ella förslag till författningsändringar eller andra åtgärder är anpassa- de till den framtida nya instans- och processordningen. 
 Regeringen beslutade den 29 november 2000 (UD 2000:05, dir. 2000:82) att tillkalla en särskild utredare med uppgift att bl.a. överväga sekretess hos utlandsmyndigheterna, författningsreglering av en central databas hos Migrationsverket samt behandlingen av utlänningar i förvar. Utredaren skall redovisa sitt uppdrag senast den 31 december 2001 (UD 2000:05). Med anledning av de nya direktiv som nu beslutas anser regeringen att det är naturligt att till den nya utredningen föra frågorna om författningsreglering och eventuella andra åtgärder för en modifierad central databas hos Migrationsverket, frågor som således tidigare ingått i uppdraget till Utredningen om sekretess hos utlandsmyndigheterna m.m. Rege- ringen har därför denna dag även beslutat om att genom tilläggs- direktiv begränsa den sistnämnda utredningens uppdrag i enlighet med detta. 
 Det är naturligt att sekretessfrågor kommer upp i sammanhang som rör överföring av känsliga uppgifter mellan olika myndigheter oavsett om behandlingen av uppgifterna i sin helhet sker i Sverige eller i vissa delar vid svenska utlandsmyndigheter. Den grund- läggande bestämmelsen om utlänningssekretess finns i 7 kap. 14 § sekretesslagen (1980:100). I det helhetsperspektiv som utredaren skall anlägga ingår även att beakta vad Utredningen om sekretess hos utlandsmyndigheterna m.m. kommer fram till i frågor om sekretess och överföring av uppgifter och vid behov föreslå komplet- terande författningsändringar eller andra åtgärder. 
 Uppdraget skall redovisas senast den 31 december 2002. 
 (Utrikesdepartementet) 
 313 
 Bilaga 2 
  
 2001-11-05 
  
 Utrikesdepartementet 
 Att: Dep råd Price Enheten för migrations och asylpolitik 
 103 39 STOCKHOLM 
 Frågor gällande personuppgiftslagen, PUL 
 Käre Price, 
 För att efterforska anhöriga i Sverige på uppdrag av andra röda- korsföreningar i världen samt av ICRC krävs många gånger att Svenska Röda Korset får tillgång till utdrag från Migrationsverkets adressregister. Migrationsverket har sedan införandet av person- uppgiftslagen endast rätt att lämna ut dessa uppgifter till annan myndighet, ej till organisationer såsom Svenska Röda Korset. Detta gör Röda Korsets verksamhet svår att utföra både i freds- och i en förhoppningsvis aldrig uppkommande krigssituation. 
 Att handlägga enskilda ärenden innebär att Svenska Röda Korset kommer i kontakt med personuppgifter och ibland känsliga uppgif- ter gällande de som söker Röda Korsets assistans. För att registrera uppgifter krävs samtycke enligt personuppgiftslagen. Det finns också en skyldighet att informera om registreringen. 
 Då regeringen, genom avtal som baseras på de konventioner Sverige undertecknat, givit Svenska Röda Korset förtroendet att arbeta med frågor gällande efterforskning och familjeåterförening bör denna fråga även vara av intresse för utrikesdepartementet att lösa på bästa sätt. Vi anhåller därför om att Svenska Röda Korset 
 315 
  
 Bilaga 2 
  
 SOU 2003:40 
  
 undantas från gällande bestämmelser i just denna sekretessfråga och därmed få rätten att få ut viss sekretessbelagd information när det gäller efterforsknings- och familjeåterföreningsärenden, främst gällande adressuppgifter och födelsedata. Vi skulle uppskatta att snarast möjligt få till stånd en dialog med Er i denna fråga samt om hur vi ska hantera frågan om känsliga uppgifter och samtycke. 
 Det finns ännu en gemensam fråga att diskutera som gäller den ansökan om extra medel som Svenska Röda Korset inlämnade till UD  
 2001-06-13. 
  Vi har ännu inte erhållit något svar från Er gällande detta. 
 Jag skulle uppskatta om Ni hör av Er till mig eller till Russell, samordnare Efterforskning och Familjeåterförening, och föreslår en tid för ett sammanträffande. 
 Med vänlig hälsning 
 SVENSKA RÖDA KORSET 
 Huvudkontoret 
 Folkrätt  Flykting 
 Beck 
 Chef Folkrätt  Flykting 
 316