Prop. 59 L

(2017–2018)
Proposisjon til Stortinget (forslag til lovvedtak)

Endringer i utlendingsloven (behandling av personopplysninger)

Tilråding fra Justis- og beredskapsdepartementet 23. mars 2018, godkjent i statsråd samme dag. (Regjeringen Solberg)

Dokumentet på regjeringen.no

1 Proposisjonens hovedinnhold

Justis- og beredskapsdepartementet foreslår i denne proposisjonen endringer i lov 15. mai 2008 nr. 35 om utlendingers adgang til riket og deres opphold her (utlendingsloven). Departementet foreslår en generell hjemmel for behandling av personopplysninger i ny § 83 a. Forslaget innebærer at det vil fremgå uttrykkelig av utlendingsloven at utlendingsmyndighetene kan behandle nødvendige personopplysninger ved utøvelse av offentlig myndighet eller utførelse av andre oppgaver etter loven, samt ved tildeling av økonomiske ytelser til beboere som er innkvartert i medhold av lovens § 95, ved utøvelse av omsorgsansvaret for enslige, mindreårige asylsøkere, eller i forbindelse med assistert retur. Lovforslaget omfatter særlige kategorier av personopplysninger og opplysninger om straffedommer og lovovertredelser, nærmere omtalt under punkt 4.2 og 4.3.

Bakgrunnen for forslaget er ny personvernforordning i EU (Europaparlaments- og rådsforordning (EU) 2016/679, heretter personvernforordningen eller forordningen).

Formålet med bestemmelsen er å gi myndighetene en klar hjemmel for behandling av personopplysninger i utlendingssaker. Utlendingsmyndighetenes oppgaver etter utlendingsregelverket forutsetter behandling av personopplysninger vedrørende et stort antall utenlandske og norske borgere. Mange av opplysningene som behandles er såkalte særlige kategorier av personopplysninger, som opplysninger om etnisk bakgrunn og helseforhold.

Etter lovforslagets første ledd skal behandlingen begrenses til personopplysninger som er nødvendige. Dette innebærer at det ikke skal innhentes eller på annen måte behandles flere opplysninger enn det som trengs for formålet som søkes oppnådd ved behandlingen, heller ikke for en tidsbegrenset periode. Videre må behandlingen av personopplysninger være nødvendig for å utøve myndighet eller utføre andre oppgaver etter loven. Behandlingen må således knyttes til lovpålagt myndighetsutøvelse eller lovpålagte oppgaver, med enkelte presiserte unntak i annet ledd.

Behandling som gjøres for uforenelige formål, krever ytterligere særskilt regulering for å være lovlig dersom slik behandling ikke er nødvendig for utlendingsmyndighetenes utøvelse av offentlig myndighet etter loven. Etter departementets syn er dette påkrevd for å oppfylle personvernforordningens krav til formålsbestemthet, jf. artikkel 5 nr. 1 bokstav b.

I tredje ledd foreslår departementet at Kongen kan gi nærmere regler i forskrift om behandlingen, herunder om formålet med behandlingen, behandlingsansvar, hvilke personopplysninger som kan behandles, hvem det kan behandles personopplysninger om, bruk av automatiserte avgjørelser, adgangen til viderebehandling, utlevering, registerføring og tilgang til registre.

Utlendingsloven § 80 foreslås endret, slik at det også henvises til personopplysningsloven (i tillegg til forvaltningsloven). Dette gjøres for å tydeliggjøre at personopplysningslovens regler gjelder dersom ikke annet uttrykkelig følger av loven her.

Lovens § 84 a foreslås opphevet. Som følge av at det gis en generell hjemmel for behandling av personopplysninger i ny § 83 a er det ikke lenger behov for § 84 a.

2 Bakgrunnen for forslaget

2.1 EUs personvernforordning

I april 2016 vedtok EU en ny forordning om behandling av personopplysninger. Forordningen erstatter og opphever EUs gjeldende personverndirektiv 95/46/EF, som er innlemmet i EØS-avtalen og gjennomført i norsk rett i personopplysningsloven. Forordningen er EØS-relevant, og den får anvendelse i EU fra 25. mai 2018.

For å gjennomføre forordningen i norsk rett, fremmet Justis- og beredskapsdepartementet 23. mars 2018 en lovproposisjon for Stortinget, hvor det er forslått en ny personopplysningslov som avløser personopplysningsloven av 2000. Det foreslås at forordningen gjennomføres i norsk rett ved inkorporasjon, det vil si at forordningen gjøres gjeldende som norsk rett gjennom en henvisningsbestemmelse i ny personopplysningslov. Ikrafttredelse i norsk rett på samme tidspunkt som i EU (25. mai 2018) forutsetter at forordningen er innlemmet i EØS-avtalen, og at Stortinget har samtykket til innlemmelsen.

De grunnleggende personvernprinsippene samsvarer i stor grad med prinsippene som følger av dagens personopplysningslov. Det er likevel behov for å gjøre enkelte endringer i utlendingsregelverket som følge av nytt personvernregelverk, da behandlingsgrunnlaget i større grad bør fremkomme av nasjonal rett og ikke baseres på samtykke eller tillatelse etter personopplysningsloven § 9 tredje ledd (konsesjon).

2.2 Utlendingsmyndighetenes behandling av personopplysninger

2.2.1 Generelt

Utlendingsmyndighetenes oppgaver etter utlendingsloven (utl.) og forskrift 15. oktober 2009 nr. 1286 om utlendingers adgang til riket og deres opphold her (utlendingsforskriften, utlf.) forutsetter behandling av personopplysninger vedrørende et stort antall norske og utenlandske borgere. Personopplysninger behandles blant annet i forbindelse med søknad om oppholdstillatelse (herunder beskyttelse), visum og ved tildeling av mottaksplass. Også i forbindelse med utøvelse av offentlig myndighet som ikke er direkte regulert i lovgivningen behandler myndighetene personopplysninger, for eksempel ved utbetaling av økonomiske ytelser til beboere i mottak eller ved innvilgelse av returstønad gjennom program for assistert retur. Mange av opplysningene som myndighetene behandler, er såkalte særlige kategorier av personopplysninger, som opplysninger om etnisk bakgrunn, religiøs oppfatning, seksuelle forhold og helseforhold. For behandling av slik personopplysninger stilles det ytterligere krav etter forordningen.

Utlendingsmyndighetene registrerer og lagrer personopplysninger i ulike registre. Utlendingsdatabasen (UDB) er utlendingsmyndighetenes sentrale personregister. Når myndighetene behandler utlendings- og statsborgerskapssaker benyttes ulike applikasjoner som er knyttet til registrene, herunder Datasystem for utlendings- og flyktningesaker (DUF), system for elektronisk samhandling i mottak (SESAM) og utlendingsforvaltningens visumsystem NORVIS. Disse applikasjonene henter relevante opplysninger om utlendingen lagret i registrene og gjør dem tilgjengelige for saksbehandleren. Det er også gjennom disse applikasjonene at saksbehandleren registrerer og lagrer oppdaterte og nye opplysninger i registrene.

2.2.2 Personene det behandles opplysninger om

Det er vanskelig å gi en uttømmende liste over hvem utover søkerens indre krets utlendingsmyndighetene vil kunne ha behov for å behandle personopplysninger om, da det ikke kan utelukkes at det i en konkret sak vil være aktuelt å behandle opplysninger om personer som i utgangspunktet står fjernt fra søkeren selv (eksempelvis kan det være aktuelt å behandle opplysninger om tidligere arbeidsgiver e.l.).

Det er likevel grunn til å knytte noen kommentarer til personkretsen:

Det er åpenbart at det må kunne behandles personopplysninger om utlendingen som saken gjelder. Videre må det kunne behandles opplysninger om andre personer som er omfattet av saken, som for eksempel referanseperson, jf. utl. § 39, garantist, jf. utl. § 10 første ledd bokstav b, jf. utlf. § 3-5, arbeidsgiver og oppdragsgiver, jf. utl. §§ 23 og 24 eller vertsfamilie for au pair, jf. utl. § 27 b, jf. utlf. § 6-25 og 10-25 a.

Også personopplysninger om andre enn dem som er direkte berørt i saken kan det være aktuelt å behandle. For eksempel kan det være nødvendig å behandle opplysninger om utlendingens eller referansepersonens familiemedlemmer, herunder barn, foreldre, søsken, søskens barn, ektefeller, tidligere ektefeller, samboer, foreldres søsken og foreldres søskens barn. I enkelte saker kan det også være nødvendig å behandle opplysninger om utlendingens omgangskrets.

2.2.3 Opplysningskategorier

I utlendingssaker er det relevant å behandle en rekke typer opplysninger. Nedenfor redegjøres det for de mest sentrale.

Identitetsopplysninger er opplysninger utlendingsmyndighetene behandler i så nær som enhver sak etter loven. Slike opplysninger omfatter blant annet navn, fødselsdato, kjønn, fødested, statsborgerskap, passnummer, dødsdato mv.

Opplysninger om relasjoner til andre personer kan være av betydning for å behandle en sak etter loven, for eksempel i saker om familieinnvandring, opphold i forbindelse med arbeid og studier, opphold til au pair mv. I denne forbindelse vil utlendingsmyndighetene ha behov for å behandle opplysninger om relasjoner til andre personer, som referanseperson, familiemedlem, garantist, arbeidsgiver, oppdragsgiver, vertsfamilie mv. Også familie- og omsorgsforhold vil være opplysninger utlendingsmyndighetene vil måtte behandle, herunder opplysninger om sivilstand, foreldreansvar og slektskap (foreldre, ektefelle, partner, samboerskap, adopsjon, barn mv.).

Kontaktopplysninger/kontaktinformasjon er nødvendig for at utlendingsmyndighetene skal kunne utføre sine oppgaver. For eksempel må utlendingsmyndighetene kunne kontakte utlendingen for å gi veiledning, forhåndsvarsle, underrette om vedtak mv. Kontaktopplysninger omfatter blant annet opplysninger om adresse (både post-, oppholds- og bostedsadresse) og digital kontaktinformasjon (både e-post og telefon).

Utlendingsmyndighetene har også behov for å behandle opplysninger om tilstedeværelse i og fravær fra mottak for å kunne kontrollere om asylsøkere faktisk oppholder seg i mottaket. Slik kontroll er nødvendig for å sikre at mottaksplasser ikke står tomme og at kun asylsøkere som faktisk oppholder seg i mottak får utbetalt økonomiske ytelser.

Opplysninger om økonomiske forhold er opplysninger utlendingsmyndighetene behandler for å kunne avgjøre om utlendingen fyller vilkårene for oppholdstillatelse i Norge. Det stilles som hovedregel krav til underhold og bolig for at oppholdstillatelse i Norge kan gis, jf. utl. § 58. Opplysninger om økonomiske forhold omfatter blant annet opplysninger om inntekt, formue, økonomiske ytelser mv.

Opplysninger om kompetanse, utdannings- og arbeidsforhold er opplysninger utlendingsmyndighetene behandler for å kunne vurdere om utlendingen oppfyller vilkårene for oppholdstillatelse i Norge. For eksempel stilles det krav til kompetanse, utdannings- eller arbeidsforhold i saker om arbeid og studier, familieinnvandring og permanent oppholdstillatelse. I tillegg skal utlendingsmyndighetene kartlegge asylsøkeres kompetanse i beskyttelsessaker. Kompetanseopplysninger inngår for eksempel i vurderingen av asylsøkeres identitet og benyttes også for tilrettelegging av botilbudet i mottak. Kompetanseopplysninger som innhentes av utlendingsmyndighetene er også viktige i integreringsarbeidet. Eksempler på kompetanseopplysninger er opplysninger om skolegang, kurs, sertifikater, autorisasjoner, arbeidserfaring, arbeidssted, mv.

Utlendingsmyndighetene behandler opplysninger om oppholdsstatus og oppholdsgrunnlag, herunder opplysninger om lovlig opphold (for eksempel gyldig visum eller oppholdstillatelse, arbeidsadgang, lengden på visumet eller oppholdstillatelsen mv.) og ulovlig opphold (for eksempel utløpt eller tilbakekalt tillatelse, utvisning, utreiseplikt, retur mv.).

Opplysninger om utlendingens oppførsel, herunder om vedkommende utgjør en sikkerhetsrisiko, kan være nødvendig å behandle av hensyn til mottaksbeboeres, ansattes, politiets (ved retur) og allmennhetens sikkerhet. Slike opplysninger anses ikke nødvendigvis som vandelsopplysninger.

Det vil også være nødvendig å behandle historiske opplysninger, herunder sakshistorikk (for eksempel tidligere utlendingssaker og utfallet av disse mv.) og historikk på personopplysninger (for eksempel navneendringer, endringer av fødselsdato, endringer i sivilstand mv.). Utlendingsmyndighetene behandler for eksempel historiske opplysninger i saker om fornyet oppholdstillatelse, permanent oppholdstillatelse og tilbakekall.

Utlendingsmyndighetene vil også ha behov for å behandle særlige kategorier av personopplysninger, herunder opplysninger om rase, etnisk opprinnelse, politisk, religiøs eller filosofisk overbevisning, fagforeningstilhørighet, genetiske data, biometriske data, helseforhold og opplysninger om en persons seksuelle forhold eller seksuelle orientering. Slike opplysninger vil kunne være av betydning ved behandlingen av en sak etter loven, særlig i forbindelse med vurdering av søknad om beskyttelse, jf. utl. § 28 første ledd bokstav a.

Opplysninger om straffbare forhold omfatter blant annet opplysninger om vandel, herunder opplysninger om straffereaksjoner (forelegg, dom eller tvungent psykisk helsevern), lovovertredelser, fengselsopphold mv., og opplysninger om hvorvidt en person er mistenkt eller siktet for å ha begått straffbare handlinger.

Innhenting av vandelsopplysninger i bestemte typer utlendingssaker er hjemlet i utl. § 59, § 84, jf. utlf. § 17-7 f, § 85 og § 86. Utlendingsmyndighetene har imidlertid også behov for å behandle, herunder registrere og lagre, opplysninger om straffbare forhold, som favner noe videre enn vandelsopplysninger. For eksempel vil opplysninger om at en person har vært mistenkt eller siktet, jf. straffeprosessloven § 82, være å regne som straffbare forhold, men ikke som vandelsopplysninger.

2.3 Høringen

Justis- og beredskapsdepartementet sendte 27. november 2017 på høring forslag til endringer i utlendingsloven og utlendingsforskriften. Høringsbrevet ble sent til følgende instanser:

Departementene

Arbeids- og velferdsdirektoratet (NAV)

Barneombudet

Barne-, ungdoms- og familiedirektoratet (BUFDIR)

Datatilsynet

Domstolsadministrasjonen

Helsedirektoratet

Integrerings- og mangfoldsdirektoratet (IMDi)

Kriminalomsorgsdirektoratet (KDI)

Likestillings- og diskrimineringsombudet

Nasjonalt ID-senter

Norad

Politidirektoratet (POD)

Politiets Sikkerhetstjeneste (PST)

Regjeringsadvokaten

Riksadvokaten

Språkrådet

Utlendingsdirektoratet (UDI)

Utlendingsnemnda (UNE)

Norges nasjonale institusjon for menneskerettigheter

Stortingets ombudsmann for forvaltningen

Fylkesmennene

Advokatforeningen

Akademikerne

Amnesty International Norge

Antirasistisk Senter

Arbeiderpartiet

Arbeidsgiverforeningen Spekter

Bispedømmene (11 stykker)

Demokratene

Den norske dommerforening

Den norske kirke – Kirkerådet

Det liberale folkepartiet

DROF – Driftsoperatørforum

Fagforbundet

Faglig forum for kommunalt flyktningarbeid

Flyktninghjelpen

Fremskrittspartiet For Fangers Pårørende (FFP)

Helsingforskomiteen

Hovedorganisasjonen Virke

Human Rights Service (HRS)

Høyre

Innvandrernes Landsorganisasjon (INLO)

Islamsk Råd

Juridisk Rådgivning for Kvinner (JURK)

Juss-Buss

Jussformidlingen

Kommunesektorens interesse- og arbeidsgiverorganisasjon (KS)

Kontoret for fri rettshjelp

Kristelig Folkeparti

Kristent Interkulturelt Arbeid (KIA)

KUN Senter for kunnskap og likestilling

Kystpartiet

Landsorganisasjonen i Norge (LO)

Landsrådet for Norges barne- og ungdomsorganisasjoner (LNU)

Miljøpartiet De grønne

MiRA Ressurssenter for innvandrer- og flyktningkvinner

Norges Juristforbund

Norges Kommunistiske Parti

Norges politilederlag

Norsk Folkehjelp

Norsk Innvandrerforum

Norsk organisasjon for asylsøkere (NOAS)

Norsk senter for menneskerettigheter (SMR)

Norsk Tjenestemannslag (NTL)

Næringslivets hovedorganisasjon (NHO)

Organisasjonen mot offentlig diskriminering (OMOD)

Pensjonistpartiet

Peoplepeace

Politiets Fellesforbund

Politijuristene

PRESS – Redd Barna Ungdom

Redd Barna

Rettspolitisk forening

Røde Kors

Rødt

Samarbeidsrådet for tros- og livssynssamfunn

Selvhjelp for innvandrere og flyktninger (SEIF)

Seniorsaken

Senterpartiet

SOS Rasisme

Sosialistisk Venstreparti

Stiftelsen barnas rettigheter

Uføre Landsorganisasjon (ULO)

UNHCR Stockholm

Unio – Hovedorganisasjonen for universitets- og høyskoleutdannede

Venstre

Vergeforeningen

Yrkesorganisasjonenes Sentralforbund (YS)

Høringsfristen var satt til 12. januar 2018.

Departementet har mottatt høringsuttalelser med merknader fra:

Datatilsynet

Politidirektoratet (POD)

Politiets sikkerhetstjeneste (PST)

Oslo politidistrikt

Politiets utlendingsenhet (PU)

Utenriksdepartementet

Integrerings- og mangfoldsdirektoratet

Unio

Redd Barna

Amnesty International

Utlendingsdirektoratet (UDI)

Utlendingsnemnda (UNE)

Møre biskop

Følgende instanser svarte at de ikke hadde merknader til forslaget:

Forsvarsdepartementet

Helse- og omsorgsdepartementet

Klima- og miljødepartementet

Kunnskapsdepartementet

Landbruk- og matdepartementet

Samferdselsdepartementet

Riksadvokaten

Fylkesmannen i Oslo og Akershus

Domstolsadministrasjonen

Hovedsynspunktene i sentrale høringsuttalelser gjengis i proposisjonen her. For detaljer i høringsinstansenes uttalelser, vises det til at alle høringsuttalelsene er tilgjengelige på Regjeringens nettsider.

3 Gjeldende rett

3.1 Personopplysningsloven

Grunnkravene til behandling av personopplysninger fremgår i dag av personopplysningsloven § 11 første ledd. Det er der bestemt at den behandlingsansvarlige skal sørge for at personopplysningene bare behandles når det foreligger et behandlingsgrunnlag i medhold av §§ 8 og 9 (bokstav a), bare nyttes til uttrykkelig angitte formål som er saklig begrunnet i den behandlingsansvarliges virksomhet (bokstav b), ikke brukes senere til formål som er uforenlig med det opprinnelige formålet med innsamlingen, med mindre den registrerte samtykker (bokstav c), er tilstrekkelige og relevante for formålet med behandlingen (bokstav d) og er korrekte og oppdatert og ikke lagres lenger enn det som er nødvendig ut fra formålet med behandlingen (bokstav e).

Det er ingen generell hjemmel for behandling av personopplysninger i utlendingsloven i dag. I forbindelse med utarbeidelse av utlendingsloven av 2008 var det et bevisst valg at behandling av personopplysninger, herunder registerføring, ikke skulle reguleres nærmere i loven, jf. Ot.prp. nr. 75 (2006–2007) punkt 17.8.5:

«Behandling av sensitive personopplysninger må fylle vilkårene i personopplysningsloven § 9. Det har vært lovgivers intensjon at behandling av personopplysninger i størst mulig grad skal baseres på samtykke, jf. Ot.prp. nr. 92 (1998–99) side 108, da dette «[vil] styrke den registrertes muligheter til å råde over opplysninger om seg selv». De aller fleste behandlingene av personopplysninger etter utlendingsloven i dag baserer seg på samtykke, typisk ved at den registrerte selv oppgir eller samtykker til innhenting av opplysningene i søknad.

Videre følger i flere tilfeller adgangen til å behandle personopplysninger forutsetningsvis av dagens utlendingslov, ved at de oppgaver utlendingsmyndighetene i henhold til loven skal utføre, forutsetter behandling av personopplysninger. Et eksempel er saker om familiegjenforening. Utlendingsloven og utlendingsforskriften oppstiller vilkårene for å få innvilget familiegjenforening. Det må da innfortolkes at UDI også kan registrere slike opplysninger (familierelasjoner) som ledd i saksbehandlingen. Enkelte steder i loven fremgår det klart at personopplysninger kan behandles ut fra konkrete formål, jf. for eksempel gjeldende utlendingslov § 37 femte ledd og departementets lovforslag § 100 annet ledd, som hjemler registrering av fingeravtrykk i et EDB-basert fingeravtrykkregister.

Endelig vil utlendingsmyndighetene kunne behandle personopplysninger etter de alminnelige reglene i personopplysningsloven, da personopplysningsloven åpner for behandling av personopplysninger blant annet dersom det er nødvendig for at den behandlingsansvarlige skal kunne oppfylle en rettslig forpliktelse (§ 8 bokstav b) eller for å utøve offentlig myndighet (§ 8 bokstav e).

Etter departementets oppfatning er det derfor ikke behov for en generell registreringshjemmel. En slik bestemmelse vil nødvendigvis bli så skjønnsmessig og vid at den ikke kan påberopes som selvstendig grunnlag for registrering av personopplysninger. Hjemmel for registrering vil i stedet kunne utledes fra avgitt samtykke eller følge direkte eller forutsetningsvis av loven for så vidt gjelder den enkelte personopplysningstype. Det samme vil gjelde i forhold til annen behandling av personopplysninger, som lagring og utlevering.»

Dagens rettsgrunnlag bygger altså på de alminnelige reglene i personopplysningsloven. Personopplysningsloven § 8 lyder i sin helhet:

«Personopplysninger (jf. § 2 nr. 1) kan bare behandles dersom den registrerte har samtykket, eller det er fastsatt i lov at det er adgang til slik behandling, eller behandlingen er nødvendig for

a) å oppfylle en avtale med den registrerte, eller for å utføre gjøremål etter den registrertes ønske før en slik avtale inngås,

b) at den behandlingsansvarlige skal kunne oppfylle en rettslig forpliktelse,

c) å vareta den registrertes vitale interesser,

d) å utføre en oppgave av allmenn interesse,

e) å utøve offentlig myndighet, eller

f) at den behandlingsansvarlige eller tredjepersoner som opplysningene utleveres til kan vareta en berettiget interesse, og hensynet til den registrertes personvern ikke overstiger denne interessen.»

Utlendingsmyndighetenes utøvelse av offentlig myndighet vil oftest være nødvendig av hensyn til utførelsen av en oppgave i samfunnets interesse, jf. bokstav e. Behandlingen kan også skje for å oppfylle en rettslig forpliktelse, jf. bokstav b, for eksempel i forbindelse med tildeling av ytelser etter Pengereglementet (RS 2008-035).

Utøvelsen av offentlig myndighet på området er i all hovedsak lovpålagt. Behandlingen av personopplysninger i forbindelse med slik myndighetsutøvelse må derfor kunne sies å følge forutsetningsvis av utlendingsregelverket.

Personopplysningsloven § 9 stiller ytterligere krav til behandling av sensitive personopplysninger, jf. også § 33 om konsesjon. Sensitive personopplysninger er i § 2 nr. 8 definert som opplysninger om rasemessig eller etnisk bakgrunn, eller politisk, filosofisk eller religiøs oppfatning (bokstav a), at en person har vært mistenkt, siktet, tiltalt eller dømt for en straffbar handling (bokstav b), helseforhold (bokstav c), seksuelle forhold (bokstav d) og medlemskap i fagforeninger (bokstav e). Slike opplysninger kan bare behandles dersom behandlingen oppfyller både ett av vilkårene i § 8 og ett av vilkårene i § 9 første ledd bokstav a til h. Behandlingen av sensitive personopplysninger på utlendingsfeltet vil i hovedsak basere seg på bokstav a (samtykke), eller b (fastsatt i lov at det er adgang til slik behandling).

Utlendingsdirektoratet (UDI) er gitt tillatelse (konsesjon) i medhold av personopplysningsloven § 9 tredje ledd for behandling av sensitive personopplysninger. Bestemmelsen åpner for at sensitive personopplysninger kan behandles på grunnlag av tillatelse fra Datatilsynet i tilfeller der samtykke ikke er tilstrekkelig, og det ikke finnes andre lovbestemmelser som kan gi grunnlag for behandlingen.

3.2 Enkelte særregler i utlendingsloven

Utlendingsloven inneholder flere bestemmelser som pålegger utlendinger en plikt til å gi relevante opplysninger. Etter utl. § 83 første ledd kan politiet og UDI pålegge den utlendingen saken gjelder å møte personlig for å gi opplysninger som kan ha betydning for vedtaket. Ved innreise, og frem til korrekt identitet er registrert, har utlendinger plikt til å medvirke til å avklare sin identitet i den grad utlendingsmyndighetene krever det. Utlendingsmyndighetene kan også senere pålegge utlendingen en slik plikt dersom det er grunn til å anta at den registrerte identiteten ikke er den riktige, jf. utl. § 83 annet ledd.

Utlendingsmyndighetene kan pålegge andre offentlige organer å utlevere opplysninger uten hinder av taushetsplikt når dette er nødvendig for opplysning av utlendingssaken, jf. utl. § 84. Myndigheter som kan pålegges en slik plikt er barnevernsmyndighetene, kommunene i tilknytning til introduksjonsprogrammet, Statens lånekasse for utdanning, arbeids- og velferdsforvaltningen, skattemyndighetene og politiet. Fra 1. oktober 2017 gjelder en tilsvarende plikt også for folkeregistermyndigheten.

Utlendingslovens § 85 gir politiet hjemmel til å benytte vandelsopplysninger om referansepersonen eller den referansepersonen har fått familieetablering med, når søkeren er referansepersonens særkullsbarn. Etter bestemmelsen kan politiet også gi en uttalelse om vandelsopplysninger av betydning for om oppholdstillatelse skal nektes til det organet som avgjør saken. Lovens § 86 gir UDI og Utlendingsnemnda (UNE) adgang til å innhente uttalelse fra politiet om det er særlig grunn til å undersøke referansepersonens vandel. Etter utl. § 87 kan søkeren og referansepersonen anmodes om å avlegge en DNA-test når det er nødvendig å fastslå om det eksisterer en familierelasjon. Bestemmelsen gir også regler om sletting og tilintetgjøring av opplysningene. Lovens § 88 gir hjemmel for å anmode utlendingen om å la seg undersøke for å klargjøre alder i saker hvor det er tvil om vedkommende er over eller under 18 år.

Lovens kapittel 11 del II inneholder saksbehandlingsregler som kun gjelder i beskyttelsessaker. En asylsøker har plikt til å fremlegge nødvendig dokumentasjon og medvirke til innhenting av nødvendige opplysninger, jf. utl. § 93 fjerde ledd. I tillegg pålegger bestemmelsen utlendingsmyndighetene et selvstendig ansvar for å innhente nødvendige og tilgjengelige opplysninger før avgjørelse blir truffet i tråd med forvaltningsloven § 17 første ledd. Bestemmelsen inneholder følgelig særregler om utlendingsmyndighetenes utredningsplikt i beskyttelsessaker, men den har klare paralleller til den generelle bestemmelsen om møte- og opplysningsplikt i utl. § 83. Hjemmelsgrunnlag for behandling av disse opplysningene følger forutsetningsvis.

Etter utl. §§ 100 til 100 b kan det opptas og behandles biometrisk personinformasjon i form av ansiktsfoto og fingeravtrykk av en utlending for identifisering og verifisering av identitet.

3.3 Grunnloven og internasjonale forpliktelser

3.3.1 Generelt

Grunnloven § 102 lyder:

«Enhver har rett til respekt for sitt privatliv og familieliv, sitt hjem og sin kommunikasjon. Husransakelse må ikke finne sted, unntatt i kriminelle tilfeller.

Statens myndigheter skal sikre et vern om den personlige integritet.»

Bestemmelsen kom inn i Grunnloven som ledd i grunnlovsreformen i 2014. Komiteen ga i Innst. 186 S (2013–2014) punkt 2.1.9 side 27 uttrykk for at bestemmelsen «skal leses som at systematisk innhenting, oppbevaring og bruk av opplysninger om andres personlige forhold bare kan finne sted i henhold til lov, benyttes i henhold til lov eller informert samtykke og slettes når formålet ikke lenger er til stede».

Grunnloven § 102 gir ikke anvisning på noen adgang til eller vilkår for å gjøre inngrep i rettigheten. Høyesterett har imidlertid lagt til grunn at det kan gjøres inngrep i retten etter Grunnloven § 102 dersom tiltaket har en tilstrekkelig hjemmel, forfølger et legitimt formål og er forholdsmessig, se Rt. 2014 side 1105 avsnitt 28 og Rt. 2015 side 93 avsnitt 60.

Grunnloven § 102 har klare likhetstrekk med Den europeiske menneskerettskonvensjon (EMK) artikkel 8 og må tolkes i lys av denne, jf. Rt. 2015 side 93 avsnitt 57.

EMK artikkel 8 lyder (i autentisk engelsk versjon):

«1. Everyone has the right to respect for his private and family life, his home and his correspondence.

2. There shall be no interference by a public authority with the exercise of this right except such as is in accordance with the law and is necessary in a democratic society in the interests of national security, public safety or the economic well-being of the country, for the prevention of disorder or crime, for the protection of health or morals, or for the protection of the rights and freedoms of others.»

Den europeiske menneskerettsdomstol (EMD) har i sin praksis lagt til grunn at offentlige myndigheters lagring av personopplysninger som knytter seg til privatlivet i bestemmelsens forstand, utgjør et inngrep i retten etter EMK artikkel 8 nr. 1, se Amann mot Sveits 16.2.2000 avsnitt 65 og S. og Marper mot Storbritannia 4.12.2008 avsnitt 67.

3.3.2 Krav om rettsgrunnlag etter Grunnloven og EMK

Særlig relevant i vår sammenheng er hvilke krav Grunnloven og EMK stiller til hjemmelsgrunnlaget. I Prop 56 LS (2017–2018) Lov om behandling av personopplysninger (personopplysningsloven) og samtykke til deltakelse i en beslutning i EØS-komiteen om innlemmelse av forordning (EU) nr. 2016/679 (generell personvernforordning) i EØS-avtalen punkt 6.4 omtaler Justis- og beredskapsdepartementet kravet om rettsgrunnlag etter Grunnloven og EMK:

«[…]

Inngrep i retten etter EMK artikkel 8 nr. 1 må kunne rettferdiggjøres etter artikkel 8 nr. 2, som krever at inngrepet må ha tilstrekkelig hjemmel, ha et legitimt formål og være forholdsmessig. Det er kravet om tilstrekkelig hjemmel som er særlig interessant i denne sammenhengen.

Hjemmelskravet («in accordance with the law») innebærer for det første at det er nødvendig med et rettsgrunnlag, noe som gjerne uttrykkes som at inngrepet må ha «sufficient legal basis in domestic law», jf. for eksempel Bernh Larsen Holding AS m.fl. mot Norge 14.3.2013 avsnitt 126. Det følger av EMDs praksis at bestemmelsen ikke oppstiller formelle krav til rettsgrunnlaget, noe som innebærer at både lov, forskrift og uskreven rett mv. kan oppfylle kravet. Det stilles imidlertid krav om at rettsgrunnlaget skal være tilgjengelig og forutberegnelig. Det er kravet om forutberegnelighet som er relevant i denne sammenhengen. I L.H. mot Latvia 29.4.2014 avsnitt 47 er kravet formulert slik:

«Of particular relevance in the present case is the requirement for the impugned measure to have some basis in domestic law, which should be compatible with the rule of law, which, in turn, means that the domestic law must be formulated with sufficient precision and must afford adequate legal protection against arbitrariness. Accordingly the domestic law must indicate with sufficient clarity the scope of discretion conferred on the competent authorities and the manner of its exercise.»

Kravet om tilstrekkelig presisjon og vern mot vilkårlighet kan også innebære et krav om garantier («safeguards»), jf. S. og Marper mot Storbritannia. Saken gjaldt lagring av fingeravtrykk, celleprøver og DNA-profiler, og domstolen uttalte i avsnitt 99:

«The Court agrees with the applicants that at least the first of these purposes is worded in rather general terms and may give rise to extensive interpretation. It reiterates that it is as essential, in this context, as in telephone tapping, secret surveillance and covert intelligence-gathering, to have clear, detailed rules governing the scope and application of measures, as well as minimum safeguards concerning, inter alia, duration, storage, usage, access of third parties, procedures for preserving the integrity and confidentiality of data and procedures for its destruction, thus providing sufficient guarantees against the risk of abuse and arbitrariness.»

Hvilke garantier som er nødvendig, må vurderes i lys av inngrepets art og omfang, se P.G. og J.H. mot Storbritannia 25.9.2001 avsnitt 46. Vurderingen av garantier henger for øvrig tett sammen med proporsjonalitetsvurderingen. I S. and Marper mot Storbritannia fant EMD at det i lys av proporsjonalitetsvurderingen ikke var nødvendig å ta stilling til om lovskravet var oppfylt, jf. avsnitt 99.

Hva som er tilstrekkelig rettsgrunnlag for inngrep, beror på en konkret vurdering, blant annet av hvor inngripende behandlingen er. Etter departementets syn er det imidlertid ikke holdepunkter i EMDs praksis for at det gjelder et unntaksfritt krav om uttrykkelig hjemmel i særlovgivning for behandling av personopplysninger. Departementet legger til grunn at forordningen artikkel 6 nr. 1 bokstav a, b, d og f i seg selv etter omstendighetene kan være tilstrekkelige lovhjemler. Også forordningen artikkel 6 nr. 1 bokstav c og e i kombinasjon med et supplerende rettslig grunnlag som oppfyller kravene etter ordlyden i nr. 3, kan være tilstrekkelig. Videre vil forordningens generelle regler, eksempelvis om personvernombud, forhåndsdrøftinger, den registrertes rettigheter mv., utgjøre garantier i EMKs forstand.

Samtidig er det ikke tvilsomt at forordningens generelle regler, eventuelt i kombinasjon med et supplerende rettsgrunnlag som bare oppfyller minimumskravene etter ordlyden i artikkel 6 nr. 3, ikke alltid vil gi tilstrekkelig spesifikt rettsgrunnlag eller nødvendige garantier i tråd med Grunnloven og EMK. Det blir da nødvendig å utforme mer spesifikke rettsgrunnlag og ytterligere garantier i nasjonal rett, og det vil i mange tilfeller være nødvendig med uttrykkelig hjemmel i særlovgivning. Forordningen må med andre ord tolkes og anvendes i lys av Grunnloven og EMK.

[…]»

Utlendingsmyndighetenes behandling, herunder innsamling, bruk og lagring, av personopplysninger vil innebære et inngrep i den registrertes privatliv, som krever tilstrekkelig rettsgrunnlag etter Grunnloven § 102 og EMK artikkel 8 for å være lovlig. Behandling av saker etter utlendingsregelverket knytter seg til personopplysninger av et stort omfang, og opplysningene vil ofte være av sensitiv art. Myndighetene vil som regel også ha behov for at opplysningene lagres over lang tid. Dette får betydning for hvilke krav som stilles til rettslig grunnlag for behandling av personopplysninger.

3.4 Behandling av personopplysninger om barn

Utgangspunktet etter gjeldende rett er at barn og voksne har samme rettigheter etter personopplysningsloven. Gjennom personopplysningsloven § 11 tredje ledd er barns personopplysninger likevel gitt et særlig vern. Det er der bestemt at opplysningene ikke skal behandles på en måte som er uforsvarlig av hensyn til barnets beste. Med barn menes personer under 18 år, jf. spesialmerknadene til § 11 i Prop. 47 L (2011–2012) side 41. Bestemmelsen ble vedtatt for å styrke mindreåriges rettsstilling ved behandling av personopplysninger og innebærer både et forbud og en forpliktelse til å ta ekstra hensyn ved håndtering av personopplysninger som gjelder barn.

Når det gjelder mindreårige i utlendingssaker vil det ofte være den som har foreldreansvaret som opptrer på vegne av barnet. Enslige, mindreårige asylsøkere får oppnevnt representant, jf. utlendingsloven kapittel 11 A. Representanten skal ivareta den mindreåriges interesser i asylsaken og ellers utføre de oppgaver som tilkommer en verge i henhold til annen lovgivning.

4 Behandlingsgrunnlag

4.1 Generell bestemmelse

4.1.1 Forslag i høringsnotatet

Departementet forslo i høringsnotatet en generell hjemmel i utlendingsloven for behandling av personopplysninger.

Forslaget lød:

«Utlendingsmyndighetene kan behandle personopplysninger, herunder særlige kategorier personopplysninger og opplysninger om straffbare forhold, når dette er nødvendig for å utøve myndighet eller utføre andre oppgaver etter loven.

Utlendingsmyndighetene kan behandle opplysninger som nevnt i første ledd når det er nødvendig for tildeling av økonomiske ytelser til utlending som er innkvartert etter lovens § 95 eller i forbindelse med assistert retur.»

Kongen kan gi nærmere regler i forskrift om behandlingen, herunder om formålet med behandlingen, behandlingsansvar, hvilke personopplysninger som kan behandles, adgangen til viderebehandling og utlevering av opplysninger, registerføring og tilgang til registre.»

Første ledd gir myndighetene behandlingsgrunnlag ved lovpålagte oppgaver. Som det fremgår av annet ledd foreslo departementet at det uttrykkelig fastslås at myndighetene også kan behandle personopplysninger der dette er nødvendig for å tildele ytelser til beboere som er innkvartert etter utl. § 95, samt i forbindelse med program for assistert retur. Dette er utøvelse av offentlig myndighet som ikke følger eksplisitt av loven, og behandlingen omfattes følgelig ikke av bestemmelsens første ledd.

Forslaget anga ikke hvem det kan innhentes personopplysninger om, men departementet viste til at det primært vil gjelde personer som omfattes av de ulike bestemmelsene i utlendingsloven.

I siste ledd ble det foreslått at Kongen i forskrift kan gi nærmere regler om behandlingen. Enkelte presiseringer av rekkevidden av behandlingsgrunnlaget egnet seg etter departementets syn best i forskrifts form.

4.1.2 Høringsinstansenes syn

Ingen av høringsinstansene er kritiske til at det innføres en generell hjemmel i utlendingsloven som uttrykkelig regulerer utlendingsmyndighetenes behandlingsgrunnlag, men flere har innspill til utformingen av bestemmelsen.

Datatilsynet støtter i utgangspunktet forslaget, men er skuffet over at departementet ikke benytter anledningen til å få på plass en mer presis hjemmel og helhetlig regulering. Datatilsynet uttaler:

«Slik vi ser det er den foreslåtte lovbestemmelsen formulert så åpent og skjønnsmessig at den i realiteten ikke sier noe mer enn det som uansett følger av forordningen, bortsett fra å klargjøre at det er lov som er rettslig behandlingsgrunnlag. Verken den foreslåtte lovbestemmelsen eller de foreslåtte forskriftsbestemmelsene inneholder en konkretisering av hvilke personopplysninger som kan behandles. Forslaget angir heller ikke hvem det behandles personopplysninger om eller hvor opplysningene kan innhentes fra eller hvem som har tilgang.

[…]

Når det gjelder personkrets skriver departementet at de ikke kan se at forordningen oppstiller krav om at det må konkretiseres hvem det kan behandles opplysninger om, så lenge det angis hvilke formål personopplysningene innhentes for. Selv om dette ikke kommer uttrykkelig til uttrykk i forordningen, mener vi at dette kan innfortolkes som et krav til nasjonal lovgivning, blant annet begrunnet i gjennomsiktighetsprinsippet.

[…]

Vi har forståelse for at det, som departementet skriver, kan være vanskelig å liste opp alle opplysninger som kan komme til å bli behandlet. Det bør imidlertid være åpenhet og forutsigbarhet rundt dette og vi mener at det i det minste bør angis i regelverket hvilke kategorier av opplysninger som kan behandles. Særlig på mottaksfeltet, som generelt er svært lite regulert, er det behov for å synliggjøre hvilke opplysninger som behandles om beboerne.

For å oppsummere: Datatilsynet mener at behandling av personopplysninger på utlendingsfeltet burde vært utredet nærmere og regulert langt mer helhetlig enn det som er foreslått. Regelverket om behandling av personopplysninger, selv med de endringer som foreslås, fremstår fragmentert og uoversiktlig. Til sammenligning har Sverige en egen lov om behandling av personopplysninger på utlendingsfeltet, som vil bli oppdatert i forbindelse med innføringen av forordningen.»

Utlendingsdirektoratet (UDI) benytter anledning til å påpeke behovet for ytterligere endringer i regelverket, og uttaler:

«Utlendingsdirektoratet (UDI) er positive til de foreslåtte endringene. Vi mener imidlertid at det kreves flere endringer i regelverket for å sikre at utlendingsmyndighetene har et tilstrekkelig rettslig behandlingsgrunnlag. […] UDI mener det er behov for en nærmere regulering i utlendingsforskriften av mottaksfeltet (innkvartering, omsorgsansvaret og tildeling av økonomiske ytelser) og av assistert retur. Grunnen til dette er at reglene skal være transparente, tydelige og presise, og at anvendelsen skal være forutsigbar for de registrerte, jf. punkt 41 i fortalen som omhandler artikkel 6 nr. 3.

UDI mener videre at forslaget ikke er dekkende for alle de oppgaver UDI er pålagt. Rapportering på saksbehandling er verken utøvelse av offentlig myndighet eller en oppgave de er pålagt etter utlendingsloven. UDI viser også til at utøvelsen av omsorgsansvaret ikke følger av loven, og at behandling av personopplysninger knyttet til dette derfor krever særskilt regulering i loven.

UDI stiller videre spørsmål ved om bestemmelsen omfatter behandling av personopplysninger knyttet til automatiserte avgjørelser uten samtykke fra den registrerte, og uttaler:

«Moderniseringsprogrammet i UDI er i gang med å utvikle løsninger for automatisert saksbehandling på mottaksfeltet. Både tildeling av mottaksplass og utbetaling av basisytelser skal etter hvert skje gjennom bruk av automatiserte avgjørelser.

Den registrerte har i henhold til personvernforordningen artikkel 22 rett til ikke å være gjenstand for automatiserte avgjørelser dersom den har rettsvirkning for eller i betydelig grad påvirker vedkommende. Det fremgår videre av fortalen punkt 71 at slike avgjørelser er tillatt dersom medlemsstatenes nasjonale rett uttrykkelig gir adgang til det eller dersom den registrerte har gitt sitt uttrykkelige samtykke.

Tildeling av mottaksplass og utbetaling av økonomiske ytelser til beboere i mottak er prosesser som må skje raskt og effektivt, særlig i perioder med høye ankomster. Det er derfor svært uheldig dersom personer gis rett til å kreve manuell behandling i slike saker. Adgangen til å benytte automatiserte avgjørelser uten samtykke begrenser den registrertes rettigheter etter personvernforordningen og må hjemles i lov, jf. forordningen artikkel 22 nr. 2 bokstav b.

Fortalen punkt 71 avsluttes med setningen «Nevnte tiltak bør ikke gjelde barn» uten at det fremgår tydelig hva det siktes til. Det er derfor uklart om adgangen til å benytte automatiserte avgjørelser i sin helhet ikke bør gjelde for barn eller om de tiltakene for å sikre nødvendige garantier som det gis eksempler på i forutgående setning ikke bør gjelde for barn. UDI mener imidlertid at også barn bør være gjenstand for automatiserte avgjørelser på mottaksfeltet.

Vi mener at de foreslåtte lovendringene ikke gir tilstrekkelig hjemmel for bruk av automatiserte avgjørelser uten den registrertes samtykke. UDI ber derfor om at det tydeliggjøres i utlendingsregelverket at tildeling av botilbud og utbetaling av økonomiske ytelser kan skje ved bruk av automatiserte avgjørelser, også overfor barn. Vi foreslår at det fremgår eksplisitt av utl. § 83 a tredje ledd at Kongen kan gi nærmere regler i forskrift om bruken av automatiserte avgjørelser, og at slike regler gis i en egen forskriftsbestemmelse.»

UDI og Utenriksdepartementet (UD) er usikre på om gjennomføringen av personvernforordningen får betydning for saker som UD behandler på grunnlag av utl. § 5 tredje ledd og utlf. §§ 1-4, 1-5 og 1-5 A.

Politiets utlendingsenhet (PU) uttrykker at det i lovteksten bør gis veiledning om hvilke hensyn som kan være relevante i nødvendighetsvurderingen og foreslår at det i § 83 a første ledd tas med en henvisning til utlendingslovens formålsbestemmelse som kan lyde: «Ved vurderingen av hva som anses som nødvendig for å utøve myndighet eller utføre andre oppgaver etter loven vises det til utlendingsloven § 1». Videre uttaler PU:

«Det er uklart ut fra departementets redegjørelse under dette punktet om formålet med innsamlingen av opplysningene skal avgrenses til «sak etter loven», i betydningen enkeltsaker. […] PU mener hensynet til politiets behov for opplysninger fra utlendingsmyndighetene ved direkte søk i ulike sammenhenger taler for at formålet med å innhente opplysninger ikke bare gjelder ved «sak etter loven», men også er nødvendig i forbindelse med ulike kontrolloppgaver som politiet ivaretar […].

Amnesty International uttaler:

«Amnesty International er positive til de foreslåtte endringene, men ønsker likevel å kommentere enkelte av punktene i departementets forslag. […] Etter vår vurdering foreligger det en manglende presisering og tydeliggjøring av rettighetene til personer som omfattes av utlendingsloven og utlendingsforskriften som følge av gjennomføringen av EUs personvernforordning i disse. Dette gjelder særlig behandlingsgrunnlaget, nødvendighetskriteriet og forholdsmessighetskriteriet og viderebehandling av personopplysninger.

Redd barna påpeker at deler av høringsnotatet faller utenfor deres mandat, men knytter noen generelle kommentarer til forslaget. De uttaler:

«Redd barna lanserte nylig en rapport der vi kartlegger rammene for barns beskyttelse mot vold og seksuelle overgrep på asylmottak. For å kunne gi god og tilpasset omsorg for barnet det gjelder, er det en forutsetning at omsorgspersonene har tilgang til personopplysninger om barnet. Dette hviler på den samme forutsetning som at det normalt er innehaver av foreldreansvar som har rett til innsyn og behandling av personopplysninger. Det er vanskelig å se for seg at barnet får fullgod oppfølging av helsevesen og skole, uten at disse mottar helt elementære opplysninger.»

Redd barna mener videre at departementet burde benytte anledningen til å lovfeste omsorgsansvaret for enslige, mindreårige asylsøkere mellom 15 og 18 år.

4.1.3 Departementets vurdering

4.1.3.1 Generell hjemmel

Departementet fastholder behovet for en uttrykkelig regulering av behandling av personopplysninger i utlendingsloven, som følge av foreslåtte endringer i personvernregelverket.

I forslag til ny personopplysningslov foreslås det å snevre inn Datatilsynets adgang til å gi tillatelser etter personopplysningsloven § 9 tredje ledd. Denne innsnevringen fører til at de behandlinger som i dag baserer seg på § 9 tredje ledd-tillatelser fordi det mangler lovhjemmel, må reguleres i lov eller forskrift for å ha tilstrekkelig grunnlag når ny personopplysningslov trer i kraft.

Videre viser departementet til at samtykke etter forordningen bør unngås som behandlingsgrunnlag der det er en klar skjevhet mellom den registrerte og den behandlingsansvarlige.

Dette er behandlingsgrunnlag utlendingsmyndighetene til dels bygger på i dag.

Når det gjelder bruk av samtykke som behandlingsgrunnlag bemerker departementet for øvrig at dette vil utgjøre et svakere rettslig grunnlag for behandling av personopplysninger når forordningen får virkning. Det bør derfor i hovedsak unngås for de oppgaver utlendingsmyndighetene skal utføre etter utlendingslovgivningen eller annen tilstøtende utøvelse av offentlig myndighet på området. Utlendingssaker dreier seg om enkeltmennesker, som ofte befinner seg i en sårbar situasjon, og styrkeforholdet mellom det offentlige og individet vil ofte være skjevt.

Departementet ser imidlertid ikke bort fra at det kan tenkes tilfeller der bruk av samtykke kan være egnet som behandlingsgrunnlag også i forbindelse med behandling av personopplysninger etter utlendingsloven, men dette vil slik departementet ser det primært være aktuelt i situasjoner der behandlingen utgjør et mindre inngrep.

Krav om behandlingens lovlighet følger av forordningens artikkel 6, som sier at behandlingen bare er lovlig dersom ett av vilkårene i nr. 1 bokstav a–f er oppfylt. I henhold til bokstav e er behandlingen lovlig dersom den er «nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt». Departementets forslag til ny § 83 a bygger på dette grunnlaget.

Departementet legger til grunn at det ikke er tvilsomt at utlendingsmyndighetenes behandling av personopplysninger er nødvendig for å «utføre en oppgave i allmennhetens interesse», jf. kravet i artikkel 6 nr. 1 bokstav e. Utlendingslovens hovedformål er å gi grunnlag for regulering av og kontroll med inn- og utreise, og utlendingers opphold i riket, legge til rette for lovlig bevegelse over landegrensene, ivareta rettssikkerheten til utlendinger, samt gi grunnlag for vern for utlendinger som har krav på beskyttelse, jf. lovens formålsbestemmelse i § 1. Utlendingsmyndighetene behandler blant annet saker om opphold i forbindelse med arbeid og studier, beskyttelse, familieinnvandring, visum og utvisning. I tillegg har UDI ansvar for omsorgen til enslige, mindreårige asylsøkere over 15 år som bor i mottak. Dette er oppgaver av stor betydning både for samfunnet generelt og for den enkelte utlending.

Forordningens artikkel 6 nr. 1 bokstav e gir alternativt adgang til behandling av personopplysninger når det er nødvendig for å «utøve offentlig myndighet som den behandlingsansvarlige er pålagt». Også dette vilkåret må anses oppfylt, da utlendingsmyndighetenes oppgaver i all hovedsak er pålagt gjennom lov, forskrift, instruks eller alminnelig instruksjonsadgang.

For behandling hjemlet i forordningens artikkel 6 nr. 1 bokstav e stilles det krav om et supplerende rettsgrunnlag, jf. artikkel 6 nr. 3. For rekkevidden av kravet til supplerende rettsgrunnlag vises det til Justis- og beredskapsdepartementet drøftelse av vilkårene for behandling på grunnlag av artikkel 6 nr. 1 bokstav c og e, jf. artikkel 6 nr. 3, i Prop. 56 LS (2017–2018) punkt 6.3.2:

«Det følger av forordningen artikkel 6 nr. 3 at «grunnlaget for behandlingen» nevnt i nr. 1 bokstav c og e «skal fastsettes» i unionsretten eller i medlemsstatenes nasjonale rett. Dette innebærer etter departementets vurdering at artikkel 6 nr. 1 bokstav c eller e ikke alene kan utgjøre behandlingsgrunnlag, men at den behandlingsansvarlige i tillegg må kunne vise til et supplerende grunnlag for behandlingen, som må finnes i nasjonal rett som den behandlingsansvarlige er underlagt, eller i unionsretten. Forordningen skiller seg på dette punktet fra gjeldende lov § 8 bokstav b, d og e, som ikke stiller krav om slikt supplerende rettsgrunnlag.

Kravet om supplerende rettsgrunnlag for behandling på grunnlag av artikkel 6 nr. 1 bokstav c og e reiser to hovedspørsmål. For det første må det avgjøres hva som kan utgjøre et slikt supplerende rettsgrunnlag etter bokstav c og e. For det andre må det tas stilling til hvilke nærmere krav forordningen stiller til innholdet i det supplerende rettsgrunnlaget.

Når det gjelder det første spørsmålet – hva som kan utgjøre et supplerende rettslig grunnlag etter bokstav c og e – kreves det etter ordlyden et «grunnlag» («basis»). Det følger av fortalepunkt 41 at «når det i denne forordning vises til et rettslig grunnlag eller et lovgivningsmessig tiltak, krever dette ikke nødvendigvis en regelverksakt vedtatt av et parlament». Etter departementets syn må det legges til grunn at i alle fall lov- og forskriftsbestemmelser kan utgjøre supplerende rettsgrunnlag. Departementet antar at også vedtak fattet i medhold av lov eller forskrift omfattes, ettersom det også i disse tilfellene foreligger et lov- eller forskriftsgrunnlag.

Når det gjelder det andre spørsmålet – hvilke nærmere krav forordningen stiller til innholdet i det supplerende rettslige grunnlaget – må det tas utgangspunkt i ordlyden i artikkel 6 nr. 3. Det følger av ordlyden at «[f]ormålet med behandlingen skal være fastsatt i nevnte rettslige grunnlag eller, når det gjelder behandlingen nevnt i nr. 1 bokstav e), være nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt.» Videre følger det at rettsgrunnlaget «kan inneholde særlige bestemmelser for å tilpasse anvendelsen av reglene i denne forordning», blant annet vilkårene for behandling, hvilken type opplysninger som skal behandles, berørte registrerte, enhetene som personopplysningene kan utleveres til, og formålene med dette, formålsbegrensning, lagringsperioder samt behandlingsaktiviteter. Endelig følger det at unionsretten eller nasjonal rett «skal oppfylle et mål i allmennhetens interesse og stå i et rimelig forhold til det berettigede målet som søkes oppnådd», jf. artikkel 6 nr. 3 siste punktum.

Ordlyden i artikkel 6 nr. 3 sondrer mellom hva det supplerende rettsgrunnlaget «skal» inneholde, og hva rettsgrunnlaget «kan» inneholde. Når det gjelder hva det supplerende rettslige grunnlaget må inneholde, tilsier ordlyden etter departementets syn at forordningen stiller forskjellige krav for henholdsvis bokstav c og e.

For så vidt gjelder bokstav c om rettslige forpliktelser, stilles det krav om at formålet med behandlingen skal være «fastsatt» («determined») i det aktuelle rettsgrunnlaget. At formålet skal være «fastsatt» i det supplerende rettsgrunnlaget, kan etter departementets vurdering ikke leses som at det supplerende rettsgrunnlaget må regulere behandling av personopplysninger uttrykkelig. Særlig i lys av den engelske språkversjonen («determined») synes meningen å være at behandlingsformålet skal være bestemt i det supplerende rettsgrunnlaget. Etter ordlyden synes det derfor å være tilstrekkelig at det supplerende rettsgrunnlaget pålegger den behandlingsansvarlige en rettslig forpliktelse som det er nødvendig å behandle personopplysninger for å oppfylle.

For behandling etter bokstav e kreves det etter ordlyden kun at formålet med behandlingen skal være nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet, noe som kun er en gjentagelse av ordlyden i bokstav e. Det synes derfor å være tilstrekkelig etter ordlyden at det supplerende rettsgrunnlaget gir grunnlag for å utøve myndighet eller å utføre en oppgave i allmennhetens interesse, og at det er nødvendig for den behandlingsansvarlige å behandle personopplysninger for å utøve myndigheten eller utføre oppgaven som følger av det supplerende rettsgrunnlaget.

Samlet sett taler altså ordlyden i artikkel 6 nr. 3 for at det må påvises et supplerende rettsgrunnlag i unionsretten eller nasjonal rett, men at det ikke er nødvendig at det supplerende rettsgrunnlaget uttrykkelig regulerer behandling av personopplysninger. Departementet viser i denne forbindelse også til artikkel 35 nr. 10, hvor det forutsetningsvis fremgår at det rettslige grunnlaget for behandling etter artikkel 6 nr. 1 bokstav c og e ikke behøver å spesifikt regulere behandlingsaktivitetene.

Heller ikke forordningens fortale gir støtte for et ubetinget krav om at behandlingen av personopplysninger må være regulert uttrykkelig i det supplerende rettsgrunnlaget. Fortalepunkt 45 gir uttrykk for at behandlingen i disse tilfellene bør «ha rettslig grunnlag i unionsretten eller medlemsstatenes nasjonale rett», men at det ikke kreves «en særlig lovbestemmelse for hver enkelt behandling».

Dersom behandlingen av personopplysninger utgjør et inngrep i retten til privatliv etter Grunnloven § 102 eller EMK artikkel 8, kan det imidlertid være nødvendig med et mer spesifikt rettslig grunnlag for behandlingen enn det ordlyden i forordningen kan tilsi. Det følger også uttrykkelig av fortalepunkt 41 at et rettslig grunnlag bør være «tydelig og presist, og anvendelsen av det bør være forutsigbar for personer som omfattes av det, i samsvar med rettspraksisen til Den europeiske unions domstol («Domstolen») og Den europeiske menneskerettighetsdomstol». Med andre ord må forordningens krav om supplerende rettsgrunnlag for behandlingen tolkes og anvendes i tråd med de menneskerettslige kravene til rettsgrunnlag for inngrep i retten til privatliv. Dette innebærer at det må foretas en nærmere vurdering av rettsgrunnlaget og behandlingen, hvor det blant annet må legges vekt på hvor inngripende behandlingen er. Etter omstendighetene kan utfallet av en slik vurdering bli at det kreves et mer spesifikt grunnlag enn det som kan synes å være minimumskravene etter ordlyden i forordningen. Grunnloven § 102 og EMK artikkel 8 behandles nærmere i neste punkt.»

Kravet om supplerende rettsgrunnlag etter forordningens artikkel 6 nr. 3 synes dermed oppfylt dersom behandlingen forutsetningsvis fremgår av lov. For utøvelse av offentlig myndighet som i dag fremgår av utlendingsloven, stiller, slik departementet ser det, forordningen artikkel 6 nr. 3 i utgangspunktet ikke krav om noen ytterligere uttrykkelig presisering.

Forordningen må imidlertid på dette punktet tolkes og anvendes i lys av Grunnloven § 102 og EMK artikkel 8, noe som kan innebære strengere krav til spesifikt rettsgrunnlag enn det ordlyden i forordningen kan tilsi. Etter Grunnloven § 102 og EMK artikkel 8 beror kravene til rettsgrunnlag på en nærmere vurdering av blant annet hvor inngripende behandlingen er.

Behandling av saker etter utlendingsregelverket omfatter personopplysninger av et stort omfang, og opplysningene vil ofte være av sensitiv art. Myndighetene vil som regel også ha behov for at opplysningene lagres over lang tid. Departementet mener derfor at behandlingens omfang og varighet, og opplysningens karakter, innebærer at inngrepet er betydelig, noe som tilsier at behandlingen bør hjemles i lov. Dette gjelder særlig for behandling av særlige kategorier av personopplysninger. En uttrykkelig bestemmelse som foreslås her vil etter departementets syn være bedre i tråd med forordningens henstilling om tydelighet og forutsigbarhet, jf. fortalepunkt 41.

En lovbestemmelse som uttrykkelig gir myndighetene behandlingsgrunnlag, vil slik departementet ser det også styrke rettsgrunnlaget etter Grunnloven § 103 og EMK artikkel 8 sammenlignet med bruk av samtykke og tillatelse fra Datatilsynet, som utlendingsmyndighetene i stor grad baserer sin behandling på i dag.

Datatilsynet stiller spørsmål ved om bestemmelsen er formulert så skjønnsmessig og åpent at den i realiteten ikke sier noe mer enn det som følger av forordningen, og om kravene til klarhet og forutsigbarhet er tilstrekkelig oppfylt. Datatilsynet savner særlig en henvisning til personkrets og opplysningskategorier, hvor opplysningene kan hentes og hvem som har tilgang.

Hovedformålet med endringen er å gi utlendingsmyndighetene en overordnet hjemmel som angir rammene for behandlingen av personopplysninger. Slik departementet ser det, er det vanskelig å komme utenom at bestemmelsen i en viss grad må være av overordnet karakter og inneholde elementer av skjønn. Det vil være vanskelig, om ikke umulig, å angi uttrykkelig alle det kan være behov for å behandle personopplysninger om, eller hvilke personopplysninger som kan behandles i forskjellige typetilfeller. En slik oppramsing ville dermed uansett blitt ufullstendig. Departementet legger til grunn at bestemmelsen er i tråd med kravene i forordningen. Det understrekes at den foreslåtte bestemmelsen ikke skal anvendes alene, men at den i det enkelte tilfelle må holdes opp mot øvrige bestemmelser i lov eller forskrift som tillegger myndighet eller pålegger oppgaver. I lys av kravet om nødvendighet vil disse bestemmelsene være vesentlige for å fastlegge nærmere i hvilken utstrekning det kan behandles personopplysninger.

Forslagets tredje ledd åpner for at Kongen i forskrift kan gi nærmere regler om behandlingen, herunder sentrale formål behandlingen kan knyttes til, personkrets og opplysningskategorier. En eventuell forskriftsbestemmelse vil utgjøre et supplerende rettsgrunnlag etter forordningen, jf. departementets drøftelse i Prop. 56 LS (2017–2018) gjengitt over. Det understrekes at den foreslåtte forskriftshjemmelen kan brukes til å gi mer spesifikke bestemmelser dersom det skulle vise seg å være nødvendig for visse typer behandlinger.

4.1.3.2 Nærmere om nødvendighetskriteriet

Forslaget til ny § 83 a første ledd sier uttrykkelig at behandlingen kan skje der dette er «nødvendig», i tråd med forordningens artikkel 6 nr. 1 bokstav e, som oppstiller et nødvendighetskriterium. Krav om at behandlingen må være «nødvendig» følger også av forordningens artikkel 5 nr. 1 bokstav c, som angir prinsippet om «dataminimering».

PU har etterlyst nærmere veiledning i hva som ligger i nødvendighetskravet og ønsker en henvisning til lovens formålsbestemmelse i § 1.

Hva som ligger i begrepet «nødvendig» fremgår ikke direkte av forordningens bestemmelser eller fortale, men etter en naturlig språklig forståelse avskjærer den vilkårlig behandling som ikke har relevans for saken. Etter departementets syn innebærer kravet blant annet at det ikke skal innhentes eller på annen måte behandles flere opplysninger enn det som trengs for formålene. Opplysningene skal ha saklig sammenheng med formålet eller formålene som søkes oppnådd ved behandlingen. Det er ikke tilstrekkelig at opplysningene kan være nyttige. Opplysningene må enten alene, eller sett i sammenheng med andre opplysninger, ha betydning i arbeidet eller for å utøve myndighet.

Nødvendighetskriteriet må imidlertid ikke forstås så snevert som at det er et vilkår at opplysningene faktisk får betydning i den konkrete saken, eller er avgjørende for myndighetsutøvelsen. I mange tilfeller vil det være vanskelig å ta stilling til om en opplysning er nødvendig før den er vurdert. Ofte vil også enkeltopplysninger som i seg selv ikke har relevans, etter en helhetsvurdering kunne få betydning.

Nødvendighetskravet får ikke bare betydning i vurderingen av hvilke opplysninger som kan innhentes eller på annen måte behandles, men også i vurderingen av hvilken behandlingsaktivitet utlendingsmyndighetene kan foreta seg. Eksempelvis kan innhenting av en opplysning være nødvendig for et gitt formål, men ikke utlevering.

Departementet har vurdert om det bør inntas en henvisning til lovens formålsbestemmelse i § 83 a, men kan ikke se at en slik henvisning vil gi noe nærmere veiledning i hva som ligger i nødvendighetskriteriet.

4.1.3.3 Nærmere om begrepet «utøve myndighet eller utføre andre oppgaver»

Forslaget er begrenset til å gjelde behandling som er nødvendig for å utøve myndighet eller utføre andre oppgaver etter loven her.

Formuleringen «utøve myndighet eller utføre andre oppgaver» er vid, og omfatter alle oppgaver organet utfører, uavhengig av om det foreligger en søknad eller om det skal treffes et vedtak. Formuleringen er ikke ment å begrenses til behandling knyttet til «enkeltsaker».

Som eksempel vil identitetskontroll i tilfeller der en utlending ikke søker om tillatelse (som for eksempel ved registrering av EØS-borgere), være omfattet. Forberedelse av en sak vil også være omfattet, selv om det organet som forbereder saken ikke er det organet som avgjør den. Også behandling knyttet til oppfølgingen av et vedtak omfattes. Rapportering til overordnet myndighet i forbindelse med sakshåndtering er også ment omfattet av formuleringen.

Videre må behandlingen knytte seg til myndighetsutøvelse eller andre oppgaver «etter loven her».

Først og fremst bidrar en slik henvisning til å tydeliggjøre rammen for hva slags myndighet behandlingen kan knytte seg til. At behandlingen må knytte seg til lovpålagte oppgaver bidrar til å ivareta hensynene til forutsigbarhet og klarhet, da lovens nærmere bestemmelser blant annet vil gi veiledning om hvilke opplysninger som er relevante for en sak, eller hvilken personkrets som vil kunne omfattes.

I annet ledd åpnes det for behandling der det er nødvendig «i forbindelse med tildeling av økonomiske ytelser til utlending som er innkvartert etter § 95, ved utøvelse av omsorgsansvaret for enslige, mindreårige asylsøkere eller i forbindelse med assistert retur». Dette er utøvelse av offentlig myndighet eller oppgaver som i dag ikke følger eksplisitt av loven, og behandlingen vil følgelig ikke kunne omfattes av første ledd. Bestemmelsen er ment å gi utlendingsmyndighetene grunnlag for behandling i samme utstrekning som etter første ledd.

Retten til økonomiske ytelser til livsopphold for beboere i mottak følger i dag av UDIs rundskriv, RS 2008-035 (Pengereglementet), som baserer seg på Stortingets budsjettvedtak og departementets tildelingsbrev og instruks for UDI. Lovforslagets annet ledd åpner for behandling av personopplysninger ved både utmåling og tildeling av slike ytelser. Tildeling av ytelser kan blant annet skje i form av naturalia, økonomiske godtgjørelser, kuponger eller utbetaling ved bruk av betalingskort, og bestemmelsen er ment å omfatte behandling av personopplysninger knyttet til det å administrere slike ordninger.

UDI har i dag omsorgsansvaret for enslige, mindreårige asylsøkere mellom 15 og 18 år i mottak inntil vedkommende bosettes i en kommune eller forlater riket. Driftsoperatørene for asylmottak utøver den daglige omsorgen i mottakene på vegne av UDI. Omsorgsansvaret og utøvelsen av dette ansvaret er i dag ikke hjemlet i lov eller forskrift, men det fremgår av departementets instruks til UDI om innkvartering av asylsøkere (GI-13/2017) og av UDIs egne rundskriv. Forslaget til ny § 83 a annet ledd gir utlendingsmyndighetene grunnlag for behandling av personopplysninger ved utøvelse av dette omsorgsansvaret.

Assistert retur er retur med praktisk og økonomisk bistand fra norske myndigheter og består av to komponenter: Reisestønad og reintegreringsstønad. Per i dag er det UDI som har hovedansvaret for å administrere ordningen med assistert retur, men den blir tilrettelagt av International Organization for Migration (IOM). Ordningen er regulert i departementets rundskriv G-02/2016 Retningslinjer for arbeidet med assistert retur. Dette regelverket oppdateres årlig, blant annet på grunnlag av Stortingets budsjettvedtak. Forslagets annet ledd er ment å gi grunnlag for behandling av opplysninger i forbindelse med norske myndigheters tilbud, administrering og gjennomføring av assistert retur.

UDI har spilt inn at forslagets annet ledd ikke er dekkende for alle de oppgaver UDI er pålagt. UDI foreslår at ordlyden i første ledd endres til å omfatte «pålagte oppgaver», ikke bare oppgaver knyttet til lov.

Departementet har vurdert om ordlyden i forslagets første ledd bør endres til å omfatte all myndighetsutøvelse og alle oppgaver som utlendingsmyndighetene er «pålagt», selv der disse oppgavene ikke fremgår av loven. Dette ville medføre at det ikke er behov for en uttrykkelig regulering i annet ledd av myndighetsutøvelse som ikke fremkommer av loven. En slik formulering vil gi større fleksibilitet, ved at all myndighetsutøvelse omfattes, også der myndighetene i fremtiden blir pålagt nye oppgaver som ikke fremgår av loven.

Etter departementets syn vil en slik endring imidlertid gi et for svakt rettsgrunnlag for behandlingen. Hensynene til forutsigbarhet og klarhet tilsier etter departementets syn at rettsgrunnlaget bør basere seg på myndighetsutøvelse som følger av loven. Det gjøres derfor ikke endringer i forslaget til bestemmelse på dette punkt.

4.1.3.4 Formålsbestemthet og adgangen til viderebehandling

Forordningens artikkel 5 nr. 1 bokstav b bestemmer at personopplysningene skal samles inn for spesifikke, uttrykkelig angitte og berettigede formål.

Videre slår bestemmelsen fast at opplysningene ikke må viderebehandles på en måte som er uforenlig med disse formålene. Behandling av opplysninger til et formål som ikke er forenlig med det opprinnelige formålet er dermed i utgangspunktet forbudt. Dette omtales som prinsippet om «formålsbegrensning».

Forordningens artikkel 6 nr. 4 inneholder nærmere bestemmelser om behandling av personopplysninger for andre formål enn det de er innhentet for. Artikkelen fastslår at behandling for uforenlige formål er tillatt hvis den registrerte har gitt sitt samtykke eller det i nasjonal rett er åpnet for behandling for uforenlige formål for ivaretakelse av de formål som fremgår av artikkel 23 nr. 1 (herunder viktige mål av generell samfunnsinteresse, jf. bokstav e). Artikkel 6 nr. 4 stiller videre krav om at bestemmelser som åpner for viderebehandling for uforenelige formål, må være nødvendige og forholdsmessige. Bestemmelsen gir også anvisning på en ikke-uttømmende liste over momenter som skal inngå i vurderingen av om et formål er forenelig

Forordningens artikkel 5 nr. 1 bokstav b sier uttrykkelig at viderebehandling for «arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål skal i samsvar med artikkel 89 nr. 1 ikke anses som uforenlige med de opprinnelige formålene».

Forslag til ny § 83 a første ledd gir utgjør ikke alene grunnlag for uforenelig viderebehandling. Dette innebærer at bestemmelsen ikke kan benyttes som grunnlag for å innhente opplysninger som allerede er samlet inn for uforenelige formål, eller å utlevere opplysninger som er samlet inn i medhold av bestemmelsen, til uforenelige formål. Slik innhenting og utlevering vil kreve et særskilt viderebehandlingsgrunnlag som oppfyller kravene i artikkel 6 nr. 4. Det understrekes imidlertid at det på den annen side ikke er behov for særskilt viderebehandlingsgrunnlag dersom det innhentes fra eller utleveres til forenelige formål. Den forvaltningsrettslige taushetsplikten kan imidlertid sette grenser for adgangen til viderebehandling.

Forslagets tredje ledd åpner for at Kongen i forskrift kan gi nærmere regler om viderebehandling. Et særlig aktuelt tilfelle vil være å gi regler om bruk av opplysninger utlendingsmyndighetene har fra tidligere saksbehandling. I praksis vil det ikke være uvanlig at en utlending over tid har flere saker til behandling hos utlendingsmyndighetene. I slike tilfeller vil utlendingsmyndighetene ha et reelt behov for å behandle personopplysninger som er innhentet tidligere. Flere hensyn taler for at utlendingsmyndighetene ser hen til opplysninger fra tidligere saksbehandling eller opplysninger innhentet fra en annen utlending i annen sak. Særlig ressurshensyn og hensynet til å opplyse saken best mulig er viktige hensyn, men også kontrollhensyn gjør seg sterkt gjeldende.

Hvorvidt behandling av opplysninger som myndighetene har fra tidligere saksbehandling, vil være forenelig eller ikke med det opprinnelige formålet de ble samlet inn for, vil avhenge av en konkret vurdering i det enkelte tilfelle. Forslaget her er ment å gi hjemmel for at det i forskrift kan gis nærmere regler om bruk også for uforenelige formål. Det understrekes imidlertid at eventuelle forskriftsbestemmelser på dette punkt må utformes i tråd med kravet om nødvendighet og forholdsmessighet i artikkel 6 nr. 4.

4.1.3.5 Bruk av automatiserte avgjørelser

UDI stiller spørsmål ved om bestemmelsen omfatter behandling av personopplysninger knyttet til automatiserte avgjørelser uten samtykke fra den registrerte, og viser til moderniseringsprogrammet i UDI som er i gang med å utvikle løsninger for automatisert saksbehandling på mottaksfeltet.

Retten til ikke å være gjenstand for automatiserte avgjørelser, herunder profilering, følger av forordningens artikkel 22 nr. 1. Unntak fra denne retten følger av nr. 2. Av nr. 2 bokstav b følger det at nr. 1 ikke får anvendelse dersom avgjørelsen følger av nasjonal rett, og der det også er fastsatt egnede tiltak for å verne den registrertes rettigheter, friheter og berettigede interesser.

Departementet legger til grunn at det er tilstrekkelig at regler om bruk av automatiserte avgjørelser gis i forskrift. Bestemmelsens tredje ledd åpner for at det vil kunne gis nærmere regler om «bruk av automatiserte avgjørelser». I henhold til artikkel 22 nr. 2 bokstav b, er det krav om at det må fastsettes egnede tiltak for å verne den registrertes rettigheter, friheter og berettigede interesser. Det synes noe uklart hvilke krav artikkel 22 nr. 2 bokstav b stiller til lovgivningen, og hvilke tiltak som vil være nødvendige i de konkrete tilfellene hvor bruk av automatiserte avgjørelser vurderes innført. Imidlertid synes retten til klageadgang, og retten til menneskelig inngripen å være sentrale tiltak.

4.1.3.6 Behandling av personopplysninger om barn

Som etter gjeldende rett er utgangspunktet etter forordningen at barn og voksne har samme rettigheter i forbindelse med behandling av personopplysninger.

Artikkel 6 nr. 1 bokstav f fastsetter at det skal tas særlig hensyn til om den registrerte er barn ved fastleggelsen av om vilkårene i dette behandlingsgrunnlaget er oppfylt. Tilsvarende følger ikke av bokstav e.

Barnekonvensjonen artikkel 3 sier imidlertid at ved alle handlinger som berører barn, skal barnets beste være et grunnleggende hensyn. Dette gjelder også ved bruk av personopplysninger om barn.

Forslaget til ny § 83 a gir utlendingsmyndighetene, under de forutsetninger som oppstilles, adgang til å behandle personopplysninger om barn. At myndighetene har hjemmel til å behandle opplysningene, sier imidlertid ikke noe om hvilken vekt eller betydning opplysningene skal tillegges i vurderinger knyttet til enkeltsaker.

4.1.3.7 Nærmere om adgangen til å gi regler i forskrift

I forslag til ny § 83 a siste ledd åpnes det for at Kongen kan gi nærmere regler i forskrift om behandlingen, blant annet «om formålet med behandlingen, behandlingsansvar, hvilke personopplysninger som kan behandles, hvem det kan behandles personopplysninger om, bruk av automatiserte avgjørelser, adgangen til viderebehandling, utlevering, registerføring og tilgang til registre. Oppramsingen er ikke uttømmende.

Utdypende bestemmelser i forskrift for å klargjøre hjemmelsgrunnlaget, som å angi sentrale formål behandlingen kan knytte seg til, adgangen til viderebehandling og behandlingsansvar, egner seg etter departementets syn best i forskrifts form. Utformingen kan bli både detaljert og omfangsrik.

Bestemmelsen gir adgang til å regulere «behandlingen». Formuleringen er vid, og omfatter alt som knytter seg til behandlingen. De forskriftsbestemmelsene som gis i medhold av tredje ledd vil supplere det overordnede hjemmelsgrunnlaget, og de må tolkes i lys av dette. Det innebærer at de begrensningene som gjelder etter første ledd, gjelder tilsvarende.

Bestemmelsen åpner for forskrifter om viderebehandling for uforenelige formål, se nærmere omtale under punkt 4.1.3.4.

4.2 Særlige kategorier av personopplysninger

4.2.1 Forslaget i høringsnotatet

Departementet foreslo i høringsnotatet at første ledd uttrykkelig skulle henvise til «særlige kategorier av personopplysninger». Departementet bemerket at behandling av særlige kategorier av personopplysninger vil kunne utgjøre inngrep i svært sentrale deler av den personlige eller fysiske integritet, og at Grunnloven § 102 og EMK artikkel 8 stiller krav til hjemmelsgrunnlaget for det offentliges inngrep i den enkeltes privatsfære. Kravet til hjemmelens klarhet vil variere med hvor omfattende inngrepet er.

Departementet uttalte at lovforslaget vil bidra til å presisere og tydeliggjøre behandlingsgrunnlaget.

4.2.2 Høringsinstansenes syn

Det er få i høringsrunden som uttaler seg spesifikt om særlige kategorier av personopplysninger.

Amnesty International savner en nærmere redegjørelse av forholdsmessighetsprinsippet i forordningens artikkel 9 nr. 2 bokstav g. Amnesty International mener et forholdsmessighetskriterium bør angis særskilt i ny § 83 a.

Datatilsynet savner en nærmere beskrivelse av de aktuelle samfunnsinteressene som begrunner behandling av særlige kategorier av personopplysninger. Videre savner Datatilsynet en redegjørelse av hvorvidt vilkårene i artikkel 9 nr. 2 bokstav g, herunder kravet til forholdsmessighet, og krav til å sikre egnede og særlige tiltak (garantier) er oppfylt.

4.2.3 Departementets vurdering

Som nevnt forslo departementet i høringsnotatet at første ledd uttrykkelig skulle henvise til «særlige kategorier av personopplysninger». Henvisningen erstattes med en ren referanse til personvernforordningens artikkel 9.

I vurderingen av saker etter utlendingsloven vil utlendingsmyndighetene ha behov for å behandle personopplysninger som etter artikkel 9 nr. 1 utgjør særlige kategorier av personopplysninger. Dette er personopplysninger om «rasemessig eller etnisk opprinnelse, politisk oppfatning, religion, overbevisning eller fagforeningsmedlemskap, samt behandling av genetiske opplysninger og biometriske opplysninger med det formål å entydig identifisere en fysisk person, helseopplysninger eller opplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering». Ikke sjelden vil utlendinger anføre opplysninger som nevnt som grunnlag for opphold i Norge.

Artikkel 9 nr. 1 oppstiller en hovedregel om at behandling av slike personopplysninger er forbudt. For at behandling av personopplysninger som omfattes av forbudet i artikkel 9 nr. 1 skal være lovlig, må vilkårene i ett av unntakene i artikkel 9 nr. 2 bokstav a–j være oppfylt. I tillegg må det foreligge behandlingsgrunnlag etter artikkel 6, jf. fortalepunkt 51, hvor det fremgår at også de allmenne prinsippene og de andre reglene i forordningen får anvendelse, «særlig når det gjelder vilkårene for lovlig behandling».

Forordningens artikkel 9 nr. 2 bokstav g åpner for behandling av særlige kategorier av personopplysninger når dette er nødvendig av hensyn til «viktige samfunnsinteresser», på grunnlag av unionsretten eller nasjonal rett som skal stå i forhold til det mål som søkes oppnådd, være forenlig med det vesentligste innholdet i retten til vern av personopplysninger og sikre egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser».

Forslaget til ny § 83 a åpner for behandling av særlige kategorier personopplysninger, og må ses som et unntak fra forbudet i forordningens artikkel 9 nr. 1.

Departementet legger til grunn at det ikke er tvilsomt at utlendingsmyndighetenes behandling av særlige kategorier av personopplysninger er nødvendig av hensyn til «viktige samfunnsinteresser», jf. drøftelsen under punkt 4.1.3.1. De samfunnsinteressene som er særlig sentrale i denne sammenheng, er samfunnets interesse i å kjenne identiteten til utlendinger som kommer til og oppholder seg i Norge, og behovet for å kontrollere innvandringen på de vilkår som følger av regelverket.

Identitetsproblematikken på utlendingsfeltet er kompleks, og konsekvensene av identitetsjuks er alvorlige både i et kriminalitetsperspektiv og i et økonomiske perspektiv. Erfaringsmessig er det kun et mindretall av asylsøkerne som kommer til Norge som etterlever plikten til å innlevere reisedokument eller pass etter utl. § 93 første ledd annet punktum. Mange gir uriktige opplysninger om identitet og asylgrunnlag mv., og enkelte skjuler kriminell bakgrunn eller andre opplysninger av sikkerhetsmessig betydning. De samfunnsmessige konsekvensene av identitetsjuks eller omgåelse av reglene om opphold er således betydelige.

Behandlingen må videre i henhold til bokstav g «stå i forhold til det mål som søkes oppnådd». Denne begrensningen innebærer slik departementet ser det at det må være balanse mellom de beskyttede individuelle interessene på den ene siden og de legitime samfunnsbehovene som begrunner tiltaket på den andre siden.

Hvorvidt behandling i forbindelse med vurdering av en sak etter utlendingsregelverket «står i forhold til de mål som søkes oppnådd» vil måtte vurderes konkret. På generelt grunnlag finner departementet likevel grunn til å understreke at opplysningenes art sjelden alene vil tilsi at behandlingen er uforholdsmessig, særlig der opplysningene vil ha avgjørende betydning, og formålet med behandlingen er å ivareta sentrale samfunnsinteresser, som nevnt over. Det kan likevel unntaksvis tenkes tilfeller der behandlingen vil være uforholdsmessig. Eksempelvis må lagring av bildemateriale med seksuelt innhold som er fremlagt for å understøtte anførsel om seksuell legning, anses så inngripende at behandlingen er uforholdsmessig.

Dersom utlendingsmyndighetene kommer til at behandlingen vil være uforholdsmessig, åpner forslaget til ny § 83 a for at behandling ikke skal skje, jf. bruken av begrepet «kan» innledningsvis i bestemmelsen. Bestemmelsen pålegger ikke myndighetene en plikt til å foreta nødvendig behandling i alle tilfeller, men den gir rom for å foreta skjønnsmessige vurderinger.

Videre stiller artikkel 9 nr. 2 bokstav g krav om at det nasjonale rettsgrunnlaget sikrer «egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser». Dette kravet retter seg slik departementet ser det mot innholdet i det nasjonale rettsgrunnlaget. Også EMK stiller krav til «safeguards» ved inngrep i retten til privatlivet, jf. også under punkt 3.3.2 over.

En særlig aktuell form for tiltak på området, er regler om dataminimering og informasjonssikkerhet. Det behandles en stor mengde personopplysninger i forbindelse med vurdering av saker etter utlendingsregelverket, og opplysningene er ofte såkalte særlige kategorier av personopplysninger. I tillegg består utlendingsforvaltningen av flere aktører, og virksomhetene er store med mange ansatte. Det er derfor viktig å sikre at opplysningene ikke kommer på avveie, at de kun blir brukt til de tiltenkte formålene og at omfanget av opplysninger som behandles begrenses.

Utlendingsmyndighetene har allerede i dag en rekke tiltak som sørger for vern av personopplysninger. UDIs informasjonssikkerhetstiltak er omfattende, og består av ulike varianter av fysiske, systemtekniske og organisatoriske- og administrative tiltak. Som eksempel kan nevnes lås eller kodelås på dører, bruk av adgangskort og besøkslapp, innlåsing av fysiske saksmapper, brukeridentiteter og passord, brannmur og logging av nettverkstrafikk, samt etablering av ulike roller og ansvar for oppgaveløsningen (bl.a. personvernombud), varslingsplikt ved uønskede hendelser og kompetanseheving.

Videre er det er gitt spesifikke bestemmelser om innhenting av opplysninger mellom ulike offentlige etater i lovens §§ 84, 84 b og 85, jf. utlf. §§ 17-7 a–17-7 g, 17-8 og 17-9. I tillegg gjelder de generelle reglene om taushetsplikt i forvaltningsloven.

Forslaget til ny § 83 a inneholder i seg selv tiltak som er ment å sikre grunnleggende prinsipper for behandlingen. Behandlingen er etter bestemmelsens første ledd begrenset til å gjelder opplysninger som er nødvendige, jf. også nærmere omtale i punkt 4.1.3.2. Dette vil etter departementets vurdering bidra til å sikre prinsippet om dataminimering som fremkommer i forordningens artikkel 5 nr. 1 bokstav c.

Det understrekes videre at den foreslåtte bestemmelsen ikke skal anvendes alene, men at den i det enkelte tilfelle må holdes opp mot øvrige bestemmelser i lov eller forskrift som tillegger myndighet eller pålegger oppgaver. Som foreslått i høringsnotatet bør det i forskriften angis sentrale formål behandlingen kan knytte seg til, samt adgang til viderebehandling av opplysninger som myndighetene har fra tidligere saksbehandling. Dette er bestemmelser som er ment å sikre prinsippet om formålsbegrensning i forordningens artikkel 5 nr. 1 bokstav b. Departementet arbeider nå med å få på plass slike forskriftsbestemmelser, hjemlet i forslaget til ny § 83 a tredje ledd.

I tillegg til forskriftsbestemmelsene som det nå jobbes med, mener departementet at ytterligere tiltak bør vurderes regelfestet for å tydeliggjøre tiltakenes betydning og rekkevidde. Etter departementets vurdering er det tilstrekkelig at slike regler gis i forskrifts form. Lovbestemmelsens tredje ledd åpner for dette.

4.3 Behandling av personopplysninger om straffedommer og lovovertredelser

4.3.1 Forslaget i høringsnotatet

I høringsnotatet foreslo departementet av det uttrykkelig fremkommer av bestemmelsen at den omfatter behandling av opplysninger om «straffbare forhold», jf. forslagets første ledd. Presiseringen var ment å sikre at alle de opplysninger som i dag omfattes av begrepet «sensitive personopplysninger» etter personopplysningsloven § 2 nr. 8 ble omfattet av forslaget.

4.3.2 Høringsinstansenes syn

Oslo politidistrikt bemerker at utkast til § 83 a første ledd har en annen ordlyd enn det som følger av formuleringen i lovens § 85, og at dette skaper usikker om behandlingsgrunnlaget er dekkende for den videre behandling etter § 85. Oslo politidistrikt uttaler:

«Slik vi forstår systemet det nå legges opp til i lovgivningen, vil § 85 utgjøre et særskilt behandlingsgrunnlag for bruk av vandelsopplysninger i sak om familieinnvandring, jf. utl. § 40 femte og sjette ledd og § 48. […]. Vi antar at dersom vandelsopplysningene som utleveres etter § 85 skal brukes etter sin hensikt, forutsettes det at mottakers behandlingsgrunnlag er dekkende for den videre behandling. Det er noe uklart for politiet om ordlyden i § 83 a, herunder opplysninger om straffbare forhold, er tilstrekkelig for den praksis som er etablert for utlevering av vandelsopplysninger etter utl. § 85. På den bakgrunn ser vi et behov for at rekkevidden av § 83 a utdypes nærmere i lovens forarbeider.»

4.3.3 Departementets vurdering

Etter forordningen omfattes ikke personopplysninger om straffbare forhold mv. av reglene om særlige kategorier av personopplysninger. I stedet er slike opplysninger særlig regulert i artikkel 10 (behandling av personopplysninger om straffedommer og lovovertredelser). Bestemmelsen gjelder i tillegg til reglene om behandlingsgrunnlag i artikkel 6 og fastsetter visse nærmere vilkår for behandling av personopplysninger om straffedommer og lovovertredelser eller tilknyttede sikkerhetstiltak.

Hovedregelen er at behandling bare kan skje «under en offentlig myndighets kontroll». Forordningens artikkel 10 krever ikke at det fastsettes nasjonale lovbestemmelser for behandling av personopplysninger om straffbare forhold under en offentlig myndighets kontroll. I disse tilfellene stiller ikke artikkel 10 særlige krav utover det som følger av de alminnelige reglene om behandlingsgrunnlag, jf. artikkel 6 nr. 1.

Utlendingsmyndighetenes behandling av opplysninger om straffedommer og lovovertredelser trenger altså ingen nærmere regulering i loven etter forordningen. Det stilles heller ikke tilsvarende strenge krav til behandlingen som for behandling av særlige kategorier av personopplysninger. Departementet fastholder imidlertid at det er hensiktsmessig å vise uttrykkelig til artikkel 10, for å unngå tvil om også slike opplysninger omfattes. Det gir også større forutberegnelighet for den registrerte.

Forordningen bruker begrepet «straffedommer og lovovertredelser». I høringsnotatet foreslo departementet ordlyden «straffbare forhold». Dette var ment å ha samme innhold. Departementet går bort fra begrepet «straffbare forhold» som opprinnelig ble foreslått i høringsnotatet for å unngå tolkningstvil mellom forslaget og forordningen. Henvisningen erstattes med en ren referanse til personvernforordningens artikkel 10.

Når det gjelder rekkevidden av hvilke opplysninger som omfattes, viser departementet til at den foreslåtte bestemmelsen omfatter alle kategorier av personopplysninger, jf. henvisningen til personvernforordningens artikkel 9 og 10.

5 Økonomiske og administrative konsekvenser

Norge er forpliktet til å gjennomføre EUs personvernforordning i norsk rett, herunder å foreta nødvendige endringer i utlendingsregelverket. Samlet sett legger departementet til grunn at arbeidet med å gjennomføre forordningen vil være ressurskrevende, men at endringene på sikt vil kunne innebære visse besparelser. Personvernforordningen, og de foreslåtte nasjonale reglene i forslag til ny personopplysningslov, viderefører i hovedsak gjeldende rett, noe som også innebærer at forslaget her ikke vil ha vesentlige økonomiske og administrative kosekvenser.

Forslaget her legger opp til at behandlingen av personopplysninger skal skje med lovhjemmel som rettslig grunnlag. I dag benytter utlendingsmyndighetene i noen grad samtykke, med tilhørende samtykkeskjemaer og -erklæringer. Forslaget vil derfor kunne innebære noe mindre administrativt arbeid, ettersom samtykkeskjemaer vil erstattes med informasjonsskriv. Forslaget legger opp til at det gis en klar lovhjemmel for når behandling av personopplysninger er tillatt, med enkelte ytterligere presiseringer i forskrift. Dette vil kunne avskjære en del tvils- og tolkningsspørsmål som følger av dagens rettslige utgangspunkt. Eventuelle implementeringskostnader vil dekkes innenfor Justis- og beredskapsdepartementets gjeldende budsjettrammer.

6 Merknader til bestemmelsene

Til § 80

Bestemmelsen sier at forvaltningsloven og personopplysningsloven gjelder når ikke annet følger av loven her. Nytt med bestemmelsen er henvisningen til personopplysningsloven. Henvisningen i overskriften og i selve bestemmelsen er tatt inn for å tydeliggjøre at personopplysningslovens regler gjelder dersom det ikke uttrykkelig fremkommer noe annet.

Til § 83 a

Det følger av første ledd at utlendingsmyndighetene kan behandle personopplysninger, herunder personopplysninger som nevnt i personvernforordningen artikkel 9 og 10, når dette er nødvendig for å utøve myndighet eller utføre andre oppgaver etter loven her. Personvernforordningen artikkel 9 og 10 gjelder behandling av særlige kategorier av personopplysninger og personopplysninger om straffedommer og lovovertredelser. Behandlingen begrenses gjennom et krav om at den må være nødvendig. Behandlingen må knytte seg til myndighetsutøvelse eller andre oppgaver som følger av utlendingsloven. Også myndighetsutøvelsen må være forankret i loven. Begrepet «utlendingsmyndighetene» omfatter her alle myndigheter som utfører oppgaver etter utlendingsloven og -forskriften; Utlendingsdirektoratet, Utlendingsnemnda, politiet, utenriksstasjonene, Utenriksdepartementet, Arbeids- og sosialdepartementet samt det departementet som har hovedansvaret for utlendingsforvaltningen – i dag Justis- og beredskapsdepartementet.

Bestemmelsen gir ikke grunnlag for viderebehandling for uforenelige formål.

Bestemmelsen supplerer reglene i §§ 100, 100a og 100b, som omhandler bruk av ansiktsfoto og fingeravtrykk, og innhenting og lagring av biometrisk personinformasjon i standardisert oppholdskort.

Det følger av annet ledd at utlendingsmyndighetene kan behandle personopplysninger som nevnt i første ledd når det er nødvendig i forbindelse med tildeling av økonomiske ytelser til utlending som er innkvartert etter § 95, ved utøvelse av omsorgsansvaret for enslige, mindreårige asylsøkere eller i forbindelse med assistert retur. Dette er oppgaver som ikke fremkommer av loven i dag, og som følgelig ikke kan omfattes av bestemmelsens første ledd.

Det følger av tredje ledd at Kongen kan gi nærmere regler i forskrift om behandlingen, blant annet om formålet med behandlingen, behandlingsansvar, hvilke personopplysninger som kan behandles, hvem det kan behandles personopplysninger om, bruk av automatiserte avgjørelser, adgangen til viderebehandling, utlevering, registerføring og tilgang til registre.

Bestemmelsen åpner for forskrifter om viderebehandling for uforenelige formål.

Til § 84 a

Bestemmelsen oppheves. Regulering av behandling av personopplysninger som i dag følger av § 84 a videreføres i forslaget til generell bestemmelse i ny § 83 a.

Tilråding

Justis- og beredskapsdepartementet

tilrår:

At Deres Majestet godkjenner og skriver under et framlagt forslag til proposisjon til Stortinget om endringer i utlendingsloven (behandling av personopplysninger).

Vi HARALD, Norges Konge,

stadfester:

Stortinget blir bedt om å gjøre vedtak til lov om endringer i utlendingsloven (behandling av personopplysninger) i samsvar med et vedlagt forslag.

Forslag
til lov om endringer i utlendingsloven (behandling av personopplysninger)

I

I lov 15. mai 2008 nr. 35 om utlendingers adgang til riket og deres opphold her gjøres følgende endringer:

Kapittel 11 del I overskriften skal lyde:

I. Alminnelige regler om saksbehandlingen, behandlingen av personopplysninger m.m.

§ 80 skal lyde:

§ 80 Forholdet til forvaltningsloven og personopplysningsloven

Forvaltningsloven og personopplysningsloven gjelder når ikke annet følger av loven her.

Ny § 83 a skal lyde:

§ 83 a Behandling av personopplysninger

Utlendingsmyndighetene kan behandle personopplysninger, herunder personopplysninger som nevnt i personvernforordningen artikkel 9 og 10, når dette er nødvendig for å utøve myndighet eller utføre andre oppgaver etter loven her.

Utlendingsmyndighetene kan behandle personopplysninger som nevnt i første ledd når det er nødvendig i forbindelse med tildeling av økonomiske ytelser til utlending som er innkvartert etter § 95, ved utøvelse av omsorgsansvaret for enslige, mindreårige asylsøkere eller i forbindelse med assistert retur.

Kongen kan gi forskrift om behandlingen, blant annet om formålet med behandlingen, behandlingsansvar, hvilke personopplysninger som kan behandles, hvem det kan behandles personopplysninger om, bruk av automatiserte avgjørelser, adgangen til viderebehandling, utlevering, registerføring og tilgang til registre.

§ 84 a oppheves.

II

Loven gjelder fra den tid Kongen bestemmer.