Prop. 47 L

(2019–2020)
Proposisjon til Stortinget (forslag til lovvedtak)

Endringer i statsborgerloven og introduksjonsloven (personopplysninger og automatiserte avgjørelser)

Tilråding fra Kunnskapsdepartementet 28. februar 2020, godkjent i statsråd samme dag. (Regjeringen Solberg)

Dokumentet på regjeringen.no

1 Proposisjonens hovedinnhold

Kunnskapsdepartementet foreslår i denne proposisjonen endringer i lov 10. juni 2005 om norsk statsborgerskap nr. 51 (statsborgerloven) og lov 4. juli 2003 nr. 80 om introduksjonsordning og norskopplæring for nyankomne innvandrere (introduksjonsloven).

Bakgrunnen for forslaget er ny personvernforordning i EU (Europaparlamentets- og rådsforordning (EU) 2016/679, heretter omtalt som personvernforordningen eller forordningen).

I statsborgerloven foreslår departementet en generell hjemmel for behandling av personopplysninger i ny § 29 a. Forslaget innebærer at det vil fremgå uttrykkelig av statsborgerloven at statsborgermyndigheten kan behandle personopplysninger, herunder personopplysninger som nevnt i personvernforordningen artikkel 9 og 10, når dette er nødvendig for å utøve myndighet eller utføre andre oppgaver etter statsborgerloven.

Formålet med bestemmelsen er å gi statsborgermyndighetene en klar hjemmel for behandling av personopplysninger i statsborgersaker. Statsborgermyndighetenes oppgaver etter statsborgerregelverket forutsetter behandling av personopplysninger om et stort antall utenlandske og norske borgere.

Etter lovforslagets § 29 a første ledd skal behandlingen begrenses til personopplysninger som er nødvendige. Dette innebærer at det ikke skal innhentes eller på annen måte behandles flere opplysninger enn det formålet med behandlingen krever. I henhold til lovforslaget skal behandlingen begrenses til personopplysninger som er nødvendige for å utøve myndighet eller utføre andre oppgaver etter loven.

Etter lovforslagets § 29 a annet ledd kan Kongen gi nærmere regler i forskrift om hvilke formål personopplysningene kan behandles for, behandlingsansvar, hvilke personopplysninger som kan behandles, hvem det kan behandles personopplysninger om, bruk av automatiserte avgjørelser, adgangen til viderebehandling av personopplysninger til nye formål, utlevering av personopplysninger, registerføring og tilgang til registre.

Søkerens plikt til å fremlegge opplysninger som har betydning for vedtaket, fremskaffe nødvendig dokumentasjon og å møte personlig følger av statsborgerloven § 29 første og annet ledd. Statsborgermyndighetenes adgang til å innhente nødvendige opplysninger, uten hinder av taushetsplikten, fra andre offentlige organer er hjemlet i statsborgerloven § 29 tredje ledd med tilhørende forskriftsbestemmelser. Departementet foreslår at statsborgerloven § 29 rendyrkes til kun å hjemle søkerens plikter, slik at dagens § 29 tredje og fjerde ledd om andre organers opplysningsplikt flyttes til ny § 29 b. Denne endringen vil gi en bedre struktur i loven og gjøre bestemmelsene mer brukervennlige.

Kontrollhensyn taler for at statsborgermyndighetene bør kunne innhente nødvendige utdanningsopplysninger uten å gå via søkeren. Departementet foreslår at statsborgermyndighetenes adgang til å innhente nødvendige opplysninger fra Kompetanse Norge, fylkeskommuner, universiteter og offentlige og private høyskoler og frittstående skoler, uten hinder av taushetsplikt, i forbindelse med kravene i statsborgerloven § 8 om norskopplæring og kunnskaper i norsk muntlig og samfunnskunnskap, jf. statsborgerloven § 7 første ledd bokstav f, hjemles i § 29 b første ledd.

I introduksjonsloven foreslår departementet å inkludere bruk av automatiserte avgjørelser i forskriftshjemmelen i introduksjonsloven § 25.

2 Bakgrunnen for lovforslaget

2.1 EUs personvernforordning

I april 2016 vedtok EU ny forordning om behandling av personopplysninger. Forordningen erstattet EUs personverndirektiv 95/46/EC, som var implementert i norsk rett gjennom tidligere personopplysningslov av 14. april 2000 nr. 31 (heretter omtalt som personopplysningsloven fra 2000).

Forordningen fikk anvendelse i EU fra 25. mai 2018. Forordningen er EØS-relevant, og Stortinget vedtok i mai 2018 en ny personopplysningslov (lov 15. juni 2018 nr. 38 om behandling av personopplysninger) som gjennomfører EUs personvernforordning i Norge. Den nye personopplysningsloven trådte i kraft 20. juli 2018, samme dag som beslutningen som innlemmer forordningen i EØS-avtalen trådte i kraft. Den nye personopplysningsloven gjør forordningen til norsk rett ved inkorporasjon, det vil si at forordningen gjøres gjeldende som norsk rett gjennom en henvisningsbestemmelse i ny personopplysningslov, se EØS-avtalens artikkel 7 bokstav a.

Forordningen er omfattende og inneholder blant annet grunnleggende prinsipper og vilkår for å behandle personopplysninger, rettigheter for enkeltpersoner, plikter for behandlingsansvarlige og databehandlere, vilkår for overføring av personopplysninger over landegrensene og regler om tilsyn og sanksjoner. Reglene gjelder for både private og offentlige aktører. Utover å inkorporere forordningen gir den nye personopplysningsloven også en rekke nasjonale lovbestemmelser som supplerer reglene i forordningen. De grunnleggende personvernprinsippene i forordningen svarer i stor grad til tidligere rett, men det finnes visse forskjeller blant annet knyttet til reglene om behandlingsgrunnlag.

Det er viktig at statsborgerloven gir statsborgermyndighetene et tilstrekkelig og klart rettslig grunnlag for behandling av personopplysninger og at den ivaretar grunnleggende personvernhensyn. Departementet ser derfor behov for å gjøre enkelte endringer i statsborgerloven og statsborgerforskriften.

2.2 Statsborgermyndighetenes behandling av personopplysninger

Før ikrafttredelsen av forordningen og ny personopplysningslov var statsborgermyndighetenes behandling av alminnelige personopplysninger hjemlet i nødvendighetskriteriene i tidligere personopplysningslov fra 2000 § 8 første ledd bokstav b (nødvendig for å oppfylle en rettslig forpliktelse), bokstav d (nødvendig for å utføre en oppgave av allmenn interesse) og bokstav e (nødvendig for å utøve offentlig myndighet). I tillegg hadde Utlendingsdirektoratet (UDI) konsesjon fra Datatilsynet for å behandle sensitive personopplysninger i medhold av tidligere personopplysningslov fra 2000 § 9 tredje ledd. Bestemmelsen åpnet for at sensitive personopplysninger kunne behandles på grunnlag av tillatelse fra Datatilsynet i tilfeller der samtykke ikke var tilstrekkelig, og det ikke fantes andre lovbestemmelser som kunne gi grunnlag for behandlingen.

Datatilsynets adgang til å gi slike tillatelser (konsesjon) for behandling av personopplysninger etter § 9 tredje ledd har ikke blitt videreført i den nye personopplysningsloven. Denne innsnevringen fører til at de behandlinger som tidligere har basert seg på § 9 tredje ledd-konsesjoner fordi det mangler lovhjemmel, må reguleres i lov eller forskrift for å ha et tilstrekkelig rettslig grunnlag.

Statsborgermyndighetene behandler personopplysninger når det er nødvendig for å oppfylle rettslige forpliktelser, utføre pålagte oppgaver i allmennhetens interesse og utøve offentlig myndighet. Slik behandling er omfattet av forordningen artikkel 6 nr. 1 bokstav c og e, og krever et supplerende rettsgrunnlag i unionsretten eller nasjonal rett, jf. artikkel 6 nr. 3. Behandling av særlige kategorier av personopplysninger i statsborgersaker krever også et særskilt rettsgrunnlag i unionsretten eller nasjonal rett, jf. artikkel 9 nr. 2 bokstav g og fortalepunkt 52.

Egne bestemmelser om behandling av personopplysninger i statsborgerloven og statsborgerforskriften vil kunne utgjøre et slikt supplerende rettsgrunnlag som tilfredsstiller kravene i lovlighetsprinsippet og prinsippet formålsbegrensning.

2.3 Høringen

Forslagene i denne proposisjonen ble sendt på høring til følgende institusjoner og organisasjoner:

Departementene

Arbeids- og velferdsforvaltningen (NAV)

Barneombudet

Barne-, ungdoms- og familiedirektoratet (Bufdir)

Datatilsynet

Direktoratet for forvaltning og IKT (Difi)

Direktoratet for samfunnssikkerhet og beredskap (DSB)

Folkehelseinstituttet

Integrerings- og mangfoldsdirektoratet (IMDi)

Kompetanse Norge

Kompetansesenter for kriminalitetsforebygging (Kfk)

Kriminalomsorgsdirektoratet

Likestillings- og diskrimineringsombudet (LDO)

Nasjonalt kompetansesenter for minoritetshelse (NAKMI)

Nasjonalt kunnskapssenter om vold og traumatisk stress (NKVTS)

Nasjonal sikkerhetsmyndighet (NSM)

Norges forskningsråd

Politidirektoratet

Politiets sikkerhetstjeneste (PST)

Politiets utlendingsenhet (PU)

Regjeringsadvokaten

Riksadvokaten

Statens helsetilsyn

Statistisk sentralbyrå

Statsadvokatembetene

Utdanningsdirektoratet

Utlendingsdirektoratet (UDI)

Utlendingsnemnda (UNE)

ØKOKRIM

Riksrevisjonen

Sametinget

Sivilombudsmannen

Fylkeskommunene

Fylkesmennene

Fylkesnemndene for barnevern og sosiale saker (fylkesnemndene)

Kommunene

Domstolene (alle landets domstoler)

Domstolsadministrasjonen

Forsvarets forskningsinstitutt (FFI)

Forsvarets høgskole

Høgskoler

Landets universiteter

Nordlandsforskning

Norsk institutt for by- og regionforskning (NIBR)

Norsk institutt for forskning om oppvekst, velferd og aldring (NOVA)

Norsk senter for barneforskning

Norsk senter for menneskerettigheter

NTNU Samfunnsforskning

Politihøgskolen

Private grunnskoler

Private skoler for funksjonshemmede

Private videregående skoler i Norge

Senter for kunnskap og likestilling (KUN)

Vitenskapelige Høgskoler

Adopsjonsforum

Advokatforeningen

Akademikerne

Amnesty International Norge

Antirasistisk senter

Arbeiderpartiet

Arbeidsgiverforeningen Spekter

Caritas Norge

Civita – Den liberale tankesmien

Den norske dommerforening

Den norske Helsingforskomite

Faglig forum for kommunalt flyktningarbeid

Flyktninghjelpen

Forskningsstiftelsen FAFO

Fremskrittspartiet

Frivillighet Norge

Gáldu – kompetansesenter for urfolks rettigheter

Human Rights Service (HRS)

Høyre

Innvandrernes landsorganisasjon (INLO)

InorAdopt

Institutt for samfunnsforskning (ISF)

Internasjonal helse- og sosialgruppe

Juridisk rådgivning for kvinner (JURK)

Juss-Buss

Kriminalomsorgens yrkesforbund

Kristelig folkeparti

Kristent interkulturelt arbeid

KS – Kommunesektorens interesse- og arbeidsgiverorganisasjon

Landsorganisasjonen i Norge (LO)

Likestilling, integrering og mangfold (LIM)

Miljøpartiet De grønne

Minotenk

MiRA-Senteret

Multikulturelt initiativ- og ressursnettverk (MIR)

Norges Juristforbund

Norges Røde Kors

Norsk fengsels- og friomsorgsforbund

Norsk Folkehjelp

Norsk legeforening

Norsk organisasjon for asylsøkere (NOAS)

Norsk psykiatrisk forening

Norsk psykologforening

Norut Alta

Næringslivets hovedorganisasjon (NHO)

Organisasjonen mot offentlig diskriminering (OMOD)

Oslosenteret for fred og menneskerettigheter

Politiets fellesforbund

PRIO

Redd Barna

Rødt

Samarbeidsrådet for tros- og livssynssamfunn

Selvhjelp for innvandrere og flyktninger (SEIF)

Senter for flerkulturell ungdom

Senter for fredsstudier

Tankesmien Agenda

Senterpartiet

Sosialistisk Venstreparti

Telemarksforskning

Unio – Hovedorganisasjonen for universitets- og høyskoleutdannede

Utdanningsforbundet

Venstre

Verdens barn

Virke

Yrkesorganisasjonenes sentralforbund

Høringsfristen var 2. september 2019

Departementet har mottatt høringsuttalelser med realitetsmerknader fra følgende instanser:

Justis- og beredskapsdepartementet

Utenriksdepartementet

Agder politidistrikt

Kompetanse Norge

Oslo politidistrikt

Politidirektoratet

Politiets sikkerhetstjeneste (PST)

Politiets utlendingsenhet

Sysselmannen på Svalbard

Utlendingsdirektoratet (UDI)

Utlendingsnemnda (UNE)

Universitetet i Sørøst-Norge

Advokatforeningen

Institutt for samfunnsforskning

Jussbuss

MiRA-Senteret

Rettspolitisk forening

Følgende instanser meddelte at de ikke hadde merknader til forslaget:

Arbeids- og velferdsdirektoratet, Forsvarsdepartementet, Handelshøyskolen BI, Helse- og omsorgsdepartementet, Norges miljø- og biovitenskapelige universitet, Samferdselsdepartementet, Statistisk sentralbyrå

3 Gjeldende rett

3.1 Behandling av personopplysninger

Generelt

Personopplysningsloven gjennomfører EUs personvernforordning i norsk rett. Forordningen gjelder som lov, jf. personopplysningsloven § 1. I overgangsregler til ny personopplysninglov er fastsatt at personopplysningsloven fra 2000 fortsetter å gjelde for blant annet Svalbard (jf. FOR-2018-06-15-877 § 1).

Forordningen skal verne fysiske personers grunnleggende rettigheter og friheter ved behandlingen av personopplysninger, samtidig som den skal sikre fri flyt av personopplysninger mellom medlemsstatene. Forordningen gjelder som norsk lov, og personopplysningsloven utfyller bestemmelsene i forordningen.

Personopplysninger defineres i forordningen som enhver opplysning om en identifisert eller identifiserbar fysisk person, jf. forordningen artikkel 4.

Grunnprinsipper for behandling av personopplysninger

Forordningen fastsetter nærmere angitte grunnprinsipper for behandlingen av personopplysninger, se artikkel 5 nr. 1 bokstav a til f. Hvert prinsipp har en egen betegnelse.

Artikkel 5 nr. 1 bokstav a bestemmer at personopplysningene skal behandles på en lovlig, rettferdig og gjennomsiktig måte med hensyn til den registrerte – prinsippet om «lovlighet, rettferdighet og åpenhet».

Artikkel 5 nr. 1 bokstav b bestemmer at personopplysningene skal samles inn for spesifikke, uttrykkelig angitte og berettigede formål og ikke behandles videre på en måte som er uforenlig med disse formålene. Det er videre fastsatt at viderebehandling av opplysningene for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål, ikke skal anses som uforenlig med de opprinnelige formålene. Dette utgjør prinsippet om «formålsbegrensning». Nærmere regler om når ny behandling av personopplysninger skal anses uforenlig med det opprinnelige formålet de ble innhentet for, er gitt i artikkel 6 nr. 4.

Artikkel 5 nr. 1 bokstav c bestemmer at personopplysningene skal være adekvate, relevante og begrenset til det som er nødvendig for formålene de behandles for. Dette utgjør prinsippet om «dataminimering».

Artikkel 5 nr. 1 bokstav d bestemmer at personopplysningene skal være korrekte og, dersom det er nødvendig, oppdaterte. Videre er det bestemt at det må treffes ethvert rimelig tiltak for å sikre at personopplysninger som er uriktige med hensyn til formålene de behandles for, uten opphold slettes eller korrigeres. Dette utgjør prinsippet om «riktighet».

Artikkel 5 nr. 1 bokstav e bestemmer at personopplysningene skal lagres slik at det ikke er mulig å identifisere de registrerte i lengre perioder enn det som er nødvendig for formålene som personopplysningene behandles for. Det er fastsatt at opplysningene kan lagres i lengre perioder dersom de utelukkende vil bli behandlet for arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål, forutsatt at det gjennomføres egnede tekniske og organisatoriske tiltak for å sikre de registrertes rettigheter og friheter. Dette er prinsippet om «lagringsbegrensning».

Artikkel 5 nr. 1 bokstav f bestemmer at personopplysninger skal behandles på en måte som sikrer tilstrekkelig sikkerhet for personopplysningene, herunder vern mot uautorisert eller ulovlig behandling og mot utilsiktet tap, ødeleggelse eller skade, ved bruk av egnede tekniske eller organisatoriske tiltak – prinsippet om «integritet og konfidensialitet».

Artikkel 5 nr. 2 fastslår at det er den behandlingsansvarlige som er ansvarlig for og skal kunne dokumentere at prinsippene overholdes.

De spesifikke rettighetene som tilkommer den registrerte etter forordningen kapittel III, slik som retten til informasjon, innsyn, retting, begrensning og sletting mv., kan anses som en konkretisering av de mer overordnede prinsippene i artikkel 5. Som en konsekvens av dette kan det i medhold av artikkel 23 fastsettes unntak også fra prinsippene i artikkel 5 når det fastsettes unntak fra den registreres spesifikke rettigheter, i den grad prinsippene i artikkel 5 svarer til disse rettighetene.

For å kunne behandle personopplysninger kreves det et behandlingsgrunnlag. Reglene om behandlingsgrunnlag følger av forordningen artikkel 6, som sier at behandlingen bare er lovlig dersom ett av vilkårene i nr. 1 bokstav a til f er oppfylt.

Med «behandle» menes enhver operasjon eller rekke av operasjoner som gjøres med personopplysninger – automatisert eller ikke – som innsamling, registrering, organisering, strukturering, lagring, tilpasning eller endring, gjenfinning, konsultering, bruk, utlevering ved overføring, spredning eller andre former for tilgjengeliggjøring, sammenstilling eller samkjøring, begrensning, sletting eller tilintetgjøring, jf. også forordningens artikkel 4 nr. 2.

Behandling av personopplysninger i statsborgersaker er nødvendig for at statsborgermyndighetene skal kunne oppfylle sine rettslige forpliktelser, utføre pålagte oppgaver i allmennhetens interesse og utøve offentlig myndighet. Statsborgermyndighetenes behandling kan derfor hjemles i artikkel 6 nr. 1 bokstav c og e, samt artikkel 9 nr. 2 bokstav g og artikkel 10.

Et annet behandlingsgrunnlag er samtykke fra den registrerte, jf. artikkel 6 nr. 1 bokstav a og artikkel 9 nr. 2 bokstav a. Samtykke er imidlertid ikke egnet som et rettslig grunnlag for behandling av personopplysninger ved utøvelse av offentlig myndighet. Årsaken til dette er at det kan stilles spørsmål ved om samtykke gis frivillig til myndighetene når personer ønsker tjenester, tillatelse mv. fra det offentlige. I slike tilfeller vil det foreligge en klar skjevhet i styrkeforholdet mellom den registrerte og den behandlingsansvarlige (den offentlige myndigheten). Manglende samtykke vil også resultere i at personen ikke kan få den ønskede tjenesten, tillatelsen mv., og den registrerte har dermed ikke noe annet reelt valg enn å gi fra seg opplysningene til myndighetene. Det fremgår derfor av fortalepunkt 43 at samtykke bør unngås som rettslig grunnlag der det er en klar skjevhet mellom den registrerte og den behandlingsansvarlige, særlig dersom den behandlingsansvarlige er en offentlig myndighet.

Krav til supplerende grunnlag for behandlingen

Forordningen artikkel 6 nr. 1 bokstav c svarer til tidligere personopplysningslov fra 2000 § 8 første ledd bokstav b, og gir grunnlag for behandling som er nødvendig for å oppfylle en rettslig forpliktelse som påhviler den behandlingsansvarlige. Artikkel 6 nr. 1 bokstav e viderefører tidligere personopplysningslov fra 2000 § 8 første ledd bokstav d og e, og gir adgang til behandling når dette er nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt.

Det følger imidlertid av artikkel 6 nr. 3 at «grunnlaget for behandlingen» nevnt i nr. 1 bokstav c og e «skal fastsettes» i unionsretten eller i medlemsstatenes nasjonale rett. Dette innebærer at artikkel 6 nr. 1 bokstav c eller e ikke alene kan utgjøre behandlingsgrunnlaget, men at den behandlingsansvarlige i tillegg må kunne vise til et supplerende grunnlag for behandlingen i unionsretten eller nasjonal rett som den behandlingsansvarlige er underlagt. Forordningen skiller seg på dette punktet fra kravene i tidligere personopplysningslov fra 2000 § 8 bokstav b, d og e, som ikke stilte krav om et slikt supplerende rettsgrunnlag.

Det rettslige grunnlaget må i tillegg oppfylle kravet til klarhet, nødvendighet og forholdsmessighet i artikkel 5 nr. 1 bokstav a og b, samt fortalepunkt 39. Det fremgår også av forordningens fortalepunkt 41 at det rettslige grunnlaget bør være tydelig og presist, og at anvendelsen bør være forutsigbar for personer som omfattes av det.

Særlige kategorier av personopplysninger

Reglene om behandling av særlige kategorier av personopplysninger følger av forordningen artikkel 9. Særlige kategorier av personopplysninger er opplysninger om

rasemessig eller etnisk opprinnelse,

politisk oppfatning,

religion,

filosofisk overbevisning,

fagforeningsmedlemskap

genetiske og biometriske kjennetegn som entydig identifiserer en fysisk person,

helseopplysninger, og

en fysisk persons seksuelle forhold eller seksuelle orientering

Disse personopplysningskategoriene er av natur særlig sensitive og fortjener et særskilt vern, ettersom sammenhengen de behandles i, kan skape betydelige risikoer for den enkeltes grunnleggende rettigheter og friheter. I henhold til artikkel 9 nr. 1 er behandling av slike personopplysninger i utgangspunktet forbudt, med mindre én av unntaksbestemmelsene i artikkel 9 nr. 2 kommer til anvendelse. I tillegg til de særlige kravene i artikkel 9 nr. 2 må det også foreligge et behandlingsgrunnlag etter artikkel 6, jf. fortalepunkt 51.

Artikkel 9 nr. 2 bokstav g åpner for behandling av særlige kategorier av personopplysninger når dette er nødvendig av hensyn til «viktige allmenne interesser». Det er en forutsetning at behandlingen står i et rimelig forhold til det mål som søkes oppnådd, at unntaket er fastsatt i unionsretten eller nasjonal rett og at det sikres egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser.

Opplysninger om straffedommer og lovovertredelser

Behandling av opplysninger om straffedommer og lovovertredelser må ha et behandlingsgrunnlag etter forordningen artikkel 6 nr. 1, og er i utgangspunktet kun tillatt når det skjer under kontroll av offentlig myndighet, jf. artikkel 10. Opplysninger om lovovertredelser omfatter opplysninger om mistanke, siktelse, dom eller en annen form for konstatering av at det er skjedd en lovovertredelse.

Behandling av personopplysninger om barn

Utgangspunktet i forordningen er at barn og voksne har samme rettigheter i forbindelse med behandling av personopplysninger. Forordningen inneholder enkelte spredte artikler og fortalepunkter om behandling av barns personopplysninger, men gir ingen samlet enhetlig regulering av temaet. Forordningen inneholder heller ingen definisjon av hvem som skal regnes som barn i forordningens forstand. Departementet antar at en person ikke lenger er et barn i forordningens forstand når vedkommende har fylt 18 år. Dette er i overensstemmelse med utgangspunktet i FNs konvensjon 20. november 1989 om barnets rettigheter artikkel 1 som gjelder som norsk rett, jf. menneskerettsloven § 2 nr. 4.

Det følger av fortalepunkt 38 at barns personopplysninger fortjener et særlig vern, ettersom barn kan være mindre bevisste på aktuelle risikoer, konsekvenser og garantier samt på de rettigheter de har når det gjelder behandling av personopplysninger. Dette gjelder især ved bruk av barns personopplysninger for markedsføringsformål eller for å opprette personlighets- eller brukerprofiler, samt ved innsamling av personopplysninger om barn når de bruker tjenester som tilbys direkte til barn.

Departementet mener at disse hensynene ikke i like stor grad gjør seg gjeldende for barn i statsborgersaker, da det ofte vil være den som har foreldreansvaret eller vergen som opptrer på vegne av barnet overfor myndighetene.

Bruk av automatiserte avgjørelser

Forordningen artikkel 22 regulerer adgangen til å bruke automatiserte individuelle avgjørelser, herunder profilering.

For at artikkel 22 skal komme til anvendelse, må det for det første skje en behandling av personopplysninger. For det andre må avgjørelsen «utelukkende være basert» på automatisert behandling. Det betyr at delvis automatiserte avgjørelser ikke er omfattet av artikkel 22. For det tredje må avgjørelsen ha «rettsvirkning» eller «på tilsvarende måte i betydelig grad påvirk[e]». Enkeltvedtak og andre avgjørelser i statsborgersaker vil ha slik virkning for den enkelte.

Artikkel 22 gir særskilte regler for noen former for automatisert behandling av personopplysninger. Den enkelte har i utgangspunktet rett til å ikke være gjenstand for avgjørelser som utelukkende baserer seg på automatisert behandling, herunder profilering, med mindre en av unntaksbestemmelsene kommer til anvendelse, jf. artikkel 22 nr. 1 og 2.

Retten til å ikke være gjenstand for automatiserte avgjørelser, herunder profilering, får ikke anvendelse hvis automatiserte avgjørelser er tillatt i henhold til unionsretten eller nasjonal rett og det er fastsatt egnede tiltak for å verne den registrertes rettigheter, friheter og berettigede interesser, jf. artikkel 22 nr. 2 bokstav b. I henhold til artikkel 22 nr. 4 skal en avgjørelse som nevnt i nr. 2 ikke bygge på særlige kategorier av personopplysninger «med mindre artikkel 9 nr. 2 bokstav a eller g får anvendelse og det er innført egnede tiltak for å verne den registrertes rettigheter, friheter og berettigede interesser».

Bestemmelsen fastsetter at adgangen til å ta i bruk automatiserte individuelle avgjørelser uttrykkelig skal forankres i et rettsgrunnlag, og at det skal gis nødvendige garantier for å verne den registrerte. I henhold til fortalepunkt 71 bør slike garantier omfatte spesifikk informasjon til den registrerte og rett til menneskelig inngripen, til å uttrykke synspunkter, til å få en forklaring på avgjørelser truffet etter automatisert behandling og til å klage over avgjørelsen.

Viderebehandling av personopplysninger

Personopplysninger skal samles inn for spesifikke, uttrykkelig angitte og berettigede formål, jf. forordningen artikkel 5 nr. 1 bokstav b. Det følger videre av bestemmelsen at opplysningene ikke må viderebehandles på en måte som er uforenlig med disse formålene. Behandling av opplysninger til et formål som ikke er forenlig med det opprinnelige formålet er dermed i utgangspunktet forbudt.

Nærmere regler om behandling av personopplysninger for andre formål enn det de er innhentet for fremgår av artikkel 6 nr. 4. Bestemmelsen angir en ikke-uttømmende liste over momenter som skal inngå i vurderingen av om et formål er forenlig. Det følger videre av artikkel 6 nr. 4 og fortalepunkt 50 at behandling for uforenlige formål er tillatt hvis det er hjemlet i nasjonal rett og behandlingen er nødvendig og forholdsmessig for å verne viktige samfunnsmessige mål som fremgår av artikkel 23 nr. 1 (herunder viktige mål av generell allmenn interesse, jf. bokstav e).

3.2 Grunnloven og internasjonale forpliktelser

Grunnloven

Grunnloven § 102 verner om privatlivet og familielivet og setter derigjennom en ramme for lovlig behandling av personopplysninger. Bestemmelsen kom inn i Grunnloven som ledd i Grunnlovsreformen i 2014, og bakgrunnen for denne fremgår av Rapport fra Menneskerettighetsutvalget om menneskerettigheter i Grunnloven (særlig punkt 30) og Innst. 186 S (2013–2014).

Stortinget har blant annet understreket at forslaget til Grunnloven § 102 skal leses som at systematisk innhenting, oppbevaring og bruk av opplysninger om andres personlige forhold bare kan finne sted i henhold til lov, benyttes i henhold til lov eller informert samtykke, og slettes når formålet ikke lenger er til stede. Bestemmelsen bygger bl.a. på tilsvarende bestemmelser i Den europeiske menneskerettskonvensjonen (EMK) artikkel 8 og FNs konvensjon om sivile og politiske rettigheter artikkel 17, som er inkorporert i norsk rett gjennom menneskerettsloven.

Bestemmelsens første ledd første punktum gir et generelt vern for privatlivets fred. Vernet etter første punktum er likevel ikke absolutt. Høyesterett har i flere nyere avgjørelser lagt til grunn at vernet etter første punktum vil bero på en vurdering av om inngrep i de vernede interesser ivaretar et legitimt formål, er forholdsmessig og har tilstrekkelig hjemmel, se blant annet Rt. 2014 side 1105 og Rt. 2015 side 93.

Internasjonale forpliktelser

EMK artikkel 8 gir den enkelte rett til respekt for privatliv og familieliv. Retten til privatliv omfatter beskyttelse av den enkeltes personopplysninger. Selve vernet fremgår av artikkel 8 første ledd, mens annet ledd gir regler om hvilke vilkår som må være oppfylt for at inngrep i retten til privatliv er berettiget. At det foreligger et inngrep i den enkeltes privatliv, betyr likevel ikke at retten til privatliv er krenket. Inngrepet vil være lovlig om det er i samsvar med loven og nødvendig i et demokratisk samfunn for å ivareta legitime formål, slik som offentlig trygghet og landets økonomiske velferd.

Den europeiske menneskerettsdomstol (EMD) har i sin praksis lagt til grunn at offentlige myndigheters lagring av personopplysninger som knytter seg til privatlivet i bestemmelsens forstand, utgjør et inngrep i retten etter EMK artikkel 8 nr. 1, se Amann mot Sveits 16.2.2000 avsnitt 65 og S. og Marper mot Storbritannia 4.12.2008 avsnitt 67. Behandling av personopplysninger må følgelig være hjemlet i lov og være proporsjonalt i forhold til det formålet behandlingen skal ivareta.

En tilsvarende rettighet følger også av FNs konvensjon om sivile og politiske rettigheter (SP) artikkel 17. Både EMK og SP gjelder som norsk lov, jf. lov 21. mai 1999 nr. 30 om styrking av menneskerettighetenes stilling i norsk rett (menneskerettsloven) § 2. Det fremgår av SP artikkel 17 at ingen må utsettes for vilkårlige eller ulovlige inngrep i privatliv, familieliv, hjem eller korrespondanse. Retten til privatliv innebærer at myndighetene bare kan kreve opplysninger om private forhold som er strengt nødvendige for samfunnslivet. Ethvert lovhjemlet inngrep må være i overensstemmelse med konvensjonens bestemmelser og formål, og inngrepet må fremstå som rimelig under de konkrete omstendigheter. SP artikkel 17 er ikke ansett å gi en videre rett til privatliv enn EMK artikkel 8. FNs barnekonvensjon artikkel 16 om vern mot vilkårlige eller ulovlige inngrep i privatliv, familieliv, hjem eller korrespondanse dekker samme rett som EMK artikkel 8 og SP artikkel 17.

Krav om rettsgrunnlag etter Grunnloven og EMK

Særlig relevant i denne sammenheng er hvilke krav Grunnloven og EMK stiller til hjemmelsgrunnlaget. I Prop. 56 LS (2017–2018) Lov om behandling av personopplysninger (personopplysningsloven) og samtykke til deltakelse i en beslutning i EØS-komiteen om innlemmelse av forordning (EU) nr. 2016/679 (generell personvernforordning) i EØS-avtalen punkt 6.4 omtaler Justis- og beredskapsdepartementet kravet om rettsgrunnlag etter Grunnloven og EMK:

«[…] Inngrep i retten etter EMK artikkel 8 nr. 1 må kunne rettferdiggjøres etter artikkel 8 nr. 2, som krever at inngrepet må ha tilstrekkelig hjemmel, ha et legitimt formål og være forholdsmessig. Det er kravet om tilstrekkelig hjemmel som er særlig interessant i denne sammenhengen.

Hjemmelskravet («in accordance with the law») innebærer for det første at det er nødvendig med et rettsgrunnlag, noe som gjerne uttrykkes som at inngrepet må ha «sufficient legal basis in domestic law», jf. for eksempel Bernh Larsen Holding AS m.fl. mot Norge 14.3.2013 avsnitt 126. Det følger av EMDs praksis at bestemmelsen ikke oppstiller formelle krav til rettsgrunnlaget, noe som innebærer at både lov, forskrift og uskreven rett mv. kan oppfylle kravet. Det stilles imidlertid krav om at rettsgrunnlaget skal være tilgjengelig og forutberegnelig. Det er kravet om forutberegnelighet som er relevant i denne sammenhengen. I L.H. mot Latvia 29.4.2014 avsnitt 47 er kravet formulert slik:

‘Of particular relevance in the present case is the requirement for the impugned measure to have some basis in domestic law, which should be compatible with the rule of law, which, in turn, means that the domestic law must be formulated with sufficient precision and must afford adequate legal protection against arbitrariness. Accordingly the domestic law must indicate with sufficient clarity the scope of discretion conferred on the competent authorities and the manner of its exercise.’

Kravet om tilstrekkelig presisjon og vern mot vilkårlighet kan også innebære et krav om garantier («safeguards»), jf. S. og Marper mot Storbritannia. Saken gjaldt lagring av fingeravtrykk, celleprøver og DNA-profiler, og domstolen uttalte i avsnitt 99:

‘The Court agrees with the applicants that at least the first of these purposes is worded in rather general terms and may give rise to extensive interpretation. It reiterates that it is as essential, in this context, as in telephone tapping, secret surveillance and covert intelligence- gathering, to have clear, detailed rules governing the scope and application of measures, as well as minimum safeguards concerning, inter alia, duration, storage, usage, access of third parties, procedures for preserving the integrity and confidentiality of data and procedures for its destruction, thus providing sufficient guarantees against the risk of abuse and arbitrariness.’

Hvilke garantier som er nødvendig, må vurderes i lys av inngrepets art og omfang, se P.G. og J.H. mot Storbritannia 25.9.2001 avsnitt 46. Vurderingen av garantier henger for øvrig tett sammen med proporsjonalitetsvurderingen. I S. and Marper mot Storbritannia fant EMD at det i lys av proporsjonalitetsvurderingen ikke var nødvendig å ta stilling til om lovkravet var oppfylt, jf. avsnitt 99.

Hva som er tilstrekkelig rettsgrunnlag for inngrep, beror på en konkret vurdering, blant annet av hvor inngripende behandlingen er. Etter departementets syn er det imidlertid ikke holdepunkter i EMDs praksis for at det gjelder et unntaksfritt krav om uttrykkelig hjemmel i særlovgivning for behandling av personopplysninger.

Departementet legger til grunn at forordningen artikkel 6 nr. 1 bokstav a, b, d og f i seg selv etter omstendighetene kan være tilstrekkelige lovhjemler. Også forordningen artikkel 6 nr. 1 bokstav c og e i kombinasjon med et supplerende rettslig grunnlag som oppfyller kravene etter ordlyden i nr. 3, kan være tilstrekkelig. Videre vil forordningens generelle regler, eksempelvis om personvernombud, forhåndsdrøftinger, den registrertes rettigheter mv., utgjøre garantier i EMKs forstand.

Samtidig er det ikke tvilsomt at forordningens generelle regler, eventuelt i kombinasjon med et supplerende rettsgrunnlag som bare oppfyller minimumskravene etter ordlyden i artikkel 6 nr. 3, ikke alltid vil gi tilstrekkelig spesifikt rettsgrunnlag eller nødvendige garantier i tråd med Grunnloven og EMK. Det blir da nødvendig å utforme mer spesifikke rettsgrunnlag og ytterligere garantier i nasjonal rett, og det vil i mange tilfeller være nødvendig med uttrykkelig hjemmel i særlovgivning. Forordningen må med andre ord tolkes og anvendes i lys av Grunnloven og EMK. […]»

Statsborgermyndighetenes behandling, herunder innhenting, bruk, sammenstilling og lagring, av personopplysninger vil innebære et inngrep i den registrertes privatliv, som krever tilstrekkelig rettsgrunnlag etter Grunnloven § 102 og EMK artikkel 8. I statsborgersaker vil myndighetene behandle personopplysninger av et stort omfang og disse kan være av sensitiv karakter. Opplysningene vil også lagres over lang tid i henhold til reglene i arkivlova. Dette får betydning for hvilke krav som stilles til det rettslige grunnlaget for behandling av personopplysninger på statsborgerfeltet.

3.3 Statsborgerloven

Statsborgerloven har ingen generell regulering av behandling av personopplysninger i dag, men inneholder enkelte bestemmelser som regulerer særskilte forhold knyttet til behandling av personopplysninger. For eksempel har den saken gjelder plikt til å fremlegge alle opplysninger som kan ha betydning for saken, jf. statsborgerloven § 29 første ledd og annet ledd. Statsborgermyndighetene kan også pålegge andre offentlige organer å utlevere opplysninger, uten hinder av taushetsplikt, når dette er nødvendig for opplysning av saken, jf. statsborgerloven § 29 tredje ledd. Myndighetene som kan pålegges en slik plikt er politiet, skattemyndighetene, arbeids- og velferdsforvaltningen, Lånekassen, kommunene og folkeregistermyndigheten, jf. § 29 tredje ledd bokstav a-f. Disse organenes opplysningsplikt er nærmere regulert i statsborgerforskriften kapittel 14.

Før ikrafttredelsen av forordningen og ny personopplysningslov var statsborgermyndighetenes behandling av alminnelige personopplysninger hjemlet i nødvendighetskriteriene i tidligere personopplysningslov fra 2000 § 8 første ledd bokstav b (nødvendig for å oppfylle en rettslig forpliktelse), bokstav d (nødvendig for å utføre en oppgave av allmenn interesse) og bokstav e (nødvendig for å utøve offentlig myndighet). I tillegg hadde UDI konsesjon fra Datatilsynet for å behandle sensitive personopplysninger i medhold av tidligere personopplysningslov fra 2000 § 9 tredje ledd. Bestemmelsen åpnet for at sensitive personopplysninger kunne behandles på grunnlag av tillatelse fra Datatilsynet i tilfeller der samtykke ikke var tilstrekkelig, og det ikke fantes andre lovbestemmelser som kunne gi grunnlag for behandlingen.

Datatilsynets adgang til å gi slike tillatelser (konsesjon) for behandling av personopplysninger etter § 9 tredje ledd har ikke blitt videreført i den nye personopplysningsloven. Denne innsnevringen fører til at de behandlinger som tidligere har basert seg på § 9 tredje ledd-konsesjoner fordi det mangler lovhjemmel, må reguleres i lov eller forskrift for å ha et tilstrekkelig rettslig grunnlag.

Statsborgermyndighetene behandler personopplysninger når det er nødvendig for å oppfylle rettslige forpliktelser, utføre pålagte oppgaver i allmennhetens interesse og utøve offentlig myndighet. Slik behandling er omfattet av forordningen artikkel 6 nr. 1 bokstav c og e, og krever et supplerende rettsgrunnlag i unionsretten eller nasjonal rett, jf. artikkel 6 nr. 3. Behandling av særlige kategorier av personopplysninger i statsborgersaker krever også et særskilt rettsgrunnlag i unionsretten eller nasjonal rett, jf. artikkel 9 nr. 2 bokstav g og fortalepunkt 52.

Egne bestemmelser om behandling av personopplysninger i statsborgerloven og statsborgerforskriften vil kunne utgjøre et slikt supplerende rettsgrunnlag som tilfredsstiller kravene i lovlighetsprinsippet og prinsippet formålsbegrensning.

Når og hvordan opplysninger behandles

Behandlingen av personopplysninger må knytte seg til uttrykkelig angitte formål som er saklig begrunnet i den behandlingsansvarliges virksomhet. Det sentrale formålet med statsborgermyndighetenes arbeid følger av statsborgerloven § 1, som sier at loven «regulerer erverv og tap av norsk statsborgerskap». I forbindelse med ivaretakelsen av dette hovedformålet utfører statsborgermyndighetene oppgaver som knytter seg til behandling av melding om norsk statsborgerskap etter lovens kapittel 4 og § 37, søknad om norsk statsborgerskap etter kapittel 3, søknad om å beholde norsk statsborgerskap etter § 6 annet ledd og § 24 annet ledd og tap av norsk statsborgerskap etter kapittel 5, herunder tilbakekall av norsk statsborgerskap etter § 26.

Statsborgermyndighetenes oppgaver etter statsborgerloven og statsborgerforskriften forutsetter behandling av personopplysninger om et stort antall utenlandske og norske borgere.

Statsborgermyndighetene utfører også oppgaver som ikke er direkte regulert i lov, men som har nær sammenheng med deres rolle og ansvar. For eksempel behandler statsborgermyndighetene personopplysninger for statistikk- og forskningsformål, samt ved rapportering til overordnet myndighet.

Utlendingsdatabasen (UDB) er utlendings- og statsborgermyndighetenes sentrale personregister. Når myndighetene behandler utlendings- og statsborgersaker benyttes ulike applikasjoner som er knyttet til registeret. I statsborgersaker benyttes Datasystem for utlendings- og flyktningesaker (DUF) og datasystem for visumsaker (NORVIS). DUF og NORVIS henter relevante opplysninger om søkeren som er lagret i registeret og gjør dem tilgjengelige for saksbehandleren. Det er også gjennom DUF og NORVIS at saksbehandleren registrerer og lagrer oppdaterte og nye opplysninger i registeret.

Personene det behandles opplysninger om

Statsborgermyndighetene behandler personopplysninger om ulike personer for å utføre sine pålagte oppgaver. Personopplysninger behandles om både

utenlandske borgere som erverver norsk statsborgerskap (lovens kapittel 2–4 og § 37), og

norske borgere ved søknad om å beholde norsk statsborgerskap (§§ 6 annet ledd og 24 annet ledd) og ved saker om tap av norsk statsborgerskap (kapittel 5), herunder tilbakekall.

Under saksbehandlingen kan det også være nødvendig å behandle personopplysninger om andre personer enn de saken direkte gjelder.

Det er et vilkår for norsk statsborgerskap etter søknad at søkeren fyller vilkårene for permanent oppholdstillatelse i utlendingsloven § 62, jf. statsborgerloven § 7 første ledd bokstav d. Statsborgermyndighetenes behandling av søknader om statsborgerskap er følgelig todelt, ettersom det må vurderes om personen både

har eller fyller vilkårene for permanent oppholdstillatelse, og

fyller de øvrige vilkårene for norsk statsborgerskap.

I saker der søkeren ikke har permanent oppholdstillatelse forut for søknaden om norsk statsborgerskap, må statsborgermyndighetene også vurdere om vedkommende de siste tre årene har oppholdt seg i riket med midlertidig oppholdstillatelse som danner grunnlag for permanent oppholdstillatelse, jf. utlendingsloven § 62 første ledd. I den forbindelse vil statsborgermyndighetene ha behov for å behandle opplysninger om personer som er omfattet av søkerens forutgående utlendingssaker, slik som referanseperson (jf. utlendingsloven § 39) eller arbeidsgiver og oppdragsgiver (jf. utlendingsloven §§ 23 og 24).

Opplysningstyper i statsborgersaker

Statsborgermyndighetene behandler ulike typer personopplysninger for å utføre sine pålagte oppgaver. Enkelte av opplysningene statsborgermyndighetene behandler er såkalte særlige kategorier av personopplysninger nevnt i forordningen artikkel 9 nr. 1, slik som opplysninger om etnisitet, helse, religion, politisk oppfatning og seksuelle forhold. I tillegg behandler statsborgermyndighetene opplysninger om straffedommer og lovovertredelser. For behandling av slike personopplysninger stilles det særlig strenge krav til behandlingsgrunnlag.

Det er vanskelig å gi en uttømmende liste over alle relevante opplysningstyper i statsborgersaker. Enkelte opplysningstyper er relevante for alle statsborgerskapssaker, f.eks. opplysninger om identitet og kontaktinformasjon. Andre opplysningstyper vil kun være relevante i utvalgte saksporteføljer. Nedenfor gjøres det rede for de mest sentrale opplysningstypene i statsborgersaker.

Identitetsopplysninger er opplysninger statsborgermyndighetene behandler i enhver sak etter loven. Det er et vilkår for norsk statsborgerskap at søkeren har klarlagt sin identitet, jf. statsborgerloven § 7. Identitetsopplysninger omfatter blant annet navn, fødselsdato, etnisitet, kjønn, fødested, statsborgerskap, passnummer, familierelasjoner mv.

Kontaktopplysninger er nødvendige for at statsborgermyndighetene skal kunne utføre sine oppgaver. For eksempel må myndighetene kunne kontakte utlendingen for å gi veiledning, forhåndsvarsle, underrette om vedtak mv. Kontaktopplysninger omfatter blant annet opplysninger om adresse (både post-, oppholds- og bostedsadresse) og digital kontaktinformasjon (både e-postadresse og telefonnummer). Det er også et vilkår for norsk statsborgerskap at søkeren er og forblir bosatt i Norge. Statsborgermyndighetene har derfor behov for å innhente opplysninger om bostedsadresse fra folkeregistermyndigheten. Innhentingen av folkeregisteropplysninger er hjemlet i statsborgerforskriften § 14-6, jf. statsborgerloven § 29 tredje ledd.

Opplysninger om kompetanse, utdannings- og arbeidsforhold er opplysninger statsborgermyndighetene behandler for å kunne vurdere om utlendingen fyller kravene til norskopplæring og kunnskaper i norsk muntlig og samfunnskunnskap etter statsborgerloven § 8. Det kan også være nødvendig å behandle opplysninger om kompetanse, utdannings- eller arbeidsforhold ved søknader om norsk statsborgerskap fra personer som ikke har permanent oppholdstillatelse forut for søknaden og som tidligere har hatt oppholdstillatelse på grunnlag av arbeid eller studier. I tillegg vil statsborgermyndighetene måtte behandle opplysninger om kompetanse, utdannings- og arbeidsforhold til referansepersonen for å kunne vurdere om søkeren med familieinnvandringstillatelse fyller vilkårene for permanent oppholdstillatelse.

Opplysninger om økonomiske forhold er opplysninger statsborgermyndighetene behandler for å kunne avgjøre om utlendingen fyller vilkårene for permanent oppholdstillatelse etter utlendingsloven § 62, jf. statsborgerloven § 7 første ledd bokstav b. For permanent oppholdstillatelse gjelder som hovedregel et krav om at utlendingen har vært selvforsørget de siste tolv månedene. Opplysninger om økonomiske forhold omfatter blant annet opplysninger om inntekt, formue, økonomiske ytelser fra det offentlige mv.

Opplysninger om straffbare forhold omfatter blant annet opplysninger om vandel, herunder opplysninger om straffereaksjoner (forelegg, dom eller tvungent psykisk helsevern), lovovertredelser, fengselsopphold mv., og opplysninger om hvorvidt en person er mistenkt eller siktet for å ha begått straffbare handlinger. Det følger av statsborgerloven § 9 at den som er ilagt straff eller strafferettslig særreaksjon ikke har rett til norsk statsborgerskap før denne er gjennomført og all prøvetid er utholdt, samt at det er gått en viss tid (karenstid). Innhenting av vandelsopplysninger i statsborgersaker er hjemlet i statsborgerforskriften § 14-1, jf. statsborgerloven § 29 tredje ledd.

Det vil også være nødvendig å behandle historiske opplysninger, herunder sakshistorikk (for eksempel tidligere utlendingssaker og utfallet av disse mv.) og personopplysningshistorikk (for eksempel navneendringer, endringer av fødselsdato, endringer i sivilstand mv.). Ett av vilkårene for norsk statsborgerskap er at søkeren har til sammen syv års opphold i Norge i løpet av de siste ti årene med oppholdstillatelser av minst ett års varighet.

Opplysninger om relasjoner til andre personer kan være av betydning for å behandle en sak etter loven. For eksempel vil statsborgermyndighetene i vurderingen av om søkeren fyller vilkårene for norsk statsborgerskap, herunder om vedkommende fyller vilkårene for permanent oppholdstillatelse, behandle opplysninger om referanseperson, arbeidsgiver, oppdragsgiver mv. Statsborgermyndighetene vil også behandle opplysninger om familie- og omsorgsforhold, herunder opplysninger om sivilstand, relasjonens statsborgerskap, foreldreansvar og slektskap (foreldre, ektefelle, partner, samboerskap, adopsjon, barn mv.).

Viderebehandling av personopplysninger

Kontroll med erverv og tap av norsk statsborgerskap er av viktig allmenn interesse. Statsborgermyndighetene viderebehandler personopplysninger fra forutgående utlendingssaker og statsborgersaker når de behandler saker om erverv og tap av norsk statsborgerskap (herunder tilbakekall av norsk statsborgerskap). Slik viderebehandling er nødvendig for å kunne vurdere om vilkårene for erverv og tap (herunder tilbakekall) av norsk statsborgerskap er oppfylt. For eksempel er det et vilkår for norsk statsborgerskap at utlendingen har til sammen syv års oppholdstid i Norge i løpet av de siste ti årene, jf. statsborgerloven § 7 første ledd bokstav e.

3.4 Forholdet til utlendingsloven

Justis- og beredskapsdepartementet har gitt nærmere regler for behandlingen av personopplysninger på utlendingsfeltet, se utlendingsloven § 83 a og utlendingsforskriften §§ 17-7 a og 17-7 b. Videre er det presisert i utlendingsloven § 80 at personopplysningsloven gjelder når ikke annet følger av utlendingsloven.

Det følger av utlendingsloven § 83 a at utlendingsmyndighetene kan behandle personopplysninger, herunder personopplysninger som nevnt i forordningen artikkel 9 og 10, når dette er nødvendig for å utøve myndighet eller utføre andre oppgaver etter utlendingsloven. Behandlingen begrenses til opplysninger som er nødvendige for å oppnå formålet. I tillegg må behandlingen knytte seg til myndighetsutøvelse eller andre oppgaver som følger av utlendingsloven. Kongen er gitt hjemmel til å gi forskrift om behandlingen, blant annet formålet med behandlingen, behandlingsansvar, hvilke personopplysninger som kan behandles, hvem det kan behandles personopplysninger om, bruk av automatiserte avgjørelser, adgangen til viderebehandling, utlevering, registerføring og tilgang til registre.

Hvilke formål personopplysninger kan samles inn for er uttrykkelig angitt i utlendingsforskriften § 17-7 a bokstav a-o. Behandlingsansvaret er nærmere regulert i § 17-7 b. UDI, UNE, politiet og utenrikstjenesten er hver for seg behandlingsansvarlig for behandling av personopplysninger til egne formål, herunder opplysninger registrert i Utlendingsdatabasen (UDB). I tillegg er UDI behandlingsansvarlig for UDB.

En nærmere redegjørelse for bestemmelsene på utlendingsfeltet fremgår av lovproposisjonen Prop. 59 L (2017–2018) og høringsbrevet av 27. november 2017 om endringer i utlendingsloven som følge av personvernforordningen.

3.5 Introduksjonsloven

Introduksjonsloven § 25 til § 25 b regulerer behandling av personopplysninger. Etter introduksjonsloven § 25 kan offentlige organer behandle personopplysninger, herunder sensitive personopplysninger, når det er nødvendig for å utføre oppgaver i forbindelse med

tiltak for å gi asylsøkere kjennskap til norsk språk, kultur og samfunnsliv

tiltak for å gi innvandrere kunnskap og ferdigheter for å kunne delta i det norske samfunnslivet

gjennomføring av prøver for dokumentasjon av norskkunnskaper og samfunnskunnskap

bosetting av innvandrere

utbetaling av tilskudd for tiltak som nevnt i bokstav a, b og d

I § 25 annet ledd reguleres innhenting av personopplysninger fra utlendingsmyndighetene, folkeregistermyndigheten, barnevernet og krisesentre. Tredje ledd regulerer adgangen til å utveksle personopplysninger. Siste ledd gir departementet myndighet til å gi forskrift om behandlingen av personopplysninger etter introduksjonsloven.

Introduksjonsloven § 25 a regulerer personregistre og plikt til å registrere opplysninger i slike registre. Pålegg om å utlevere personopplysninger reguleres i § 25 b.

Ingen av bestemmelsene gir eksplisitt hjemmel for bruk av automatiserte avgjørelser i saker etter introduksjonsloven.

4 Behandlingsgrunnlag

4.1 Forslaget i høringsnotatet

Departementet foreslo en generell lovhjemmel for behandling av personopplysninger i statsborgerloven ny § 29 a, herunder personopplysninger som nevnt i personvernforordningen artikkel 9 og 10.

Departementet foreslo at det skal fremgå uttrykkelig av ny § 29 a første ledd at behandlingen av personopplysninger må være «nødvendig» for å utøve myndighet eller utføre andre oppgaver etter loven. Dette er i samsvar med nødvendighetskravet i forordningen artikkel 6 nr. 1 bokstav e. Et nødvendighetskriterium følger også av artikkel 5 nr. 1 bokstav c, som angir prinsippet om «dataminimering».

Personopplysninger på statsborgerfeltet behandles i all hovedsak som ledd i utøvelse av offentlig myndighet. I tillegg er statsborgermyndighetenes oppgaver i stor grad lovpålagte og behandling av personopplysninger vil oftest være nødvendig for å utføre disse oppgavene. Departementet foreslo derfor at det overordnede formålet med behandlingen av opplysningene, «utøve myndighet eller utføre andre oppgaver etter loven», fremgår av selve lovbestemmelsen, mens de konkrete formålene utdypes i statsborgerforskriften.

Departementet foreslo at det i ny § 29 a annet ledd åpnes for at Kongen kan gi nærmere regler om behandlingen i forskrift, blant annet om formålet med behandlingen, hvem det kan behandles personopplysninger om, hvilke personopplysninger som kan behandles, behandlingsansvar, bruk av automatiserte avgjørelser, adgangen til viderebehandling, utlevering, registerføring og tilgang til registre.

4.2 Høringsinstansenes syn

Advokatforeningen, Jussbuss, Kompetanse Norge, Oslo politidistrikt, Politiets utlendingsenhet, Politidirektoratet (POD), Rettspolitisk forening, Utenriksdepartementet, UDI og Utlendingsnemnda (UNE) støtter forslaget om innføring av hjemler for behandling av personopplysninger i saker etter statsborgerloven i samsvar med reglene som følger av personopplysningsloven og personvernforordningen.

Utenriksdepartementet anser at endringene generelt vil bidra positivt i utenriksstasjonenes forvaltningsmessige oppgaver ved at rammene, behandlingsgrunnlaget og ansvaret for bruken av personopplysninger tydeliggjøres.

UNE fremhever at det er fornuftig å ha likelydende bestemmelser i statsborgerloven som i utlendingsloven hva gjelder hjemmel for behandling av personopplysninger, og at det kan skape unødvendig tvil om forståelsen at bestemmelsene ikke er likelydende der de kan være det.

Advokatforeningen støtter at det skal fremgå uttrykkelig at behandlingen av personopplysninger må være «nødvendig» for å utøve myndighet eller utføre andre oppgaver etter loven, men er opptatt av at sistnevnte ikke skal praktiseres for vidt.

MiRA-Senteret er enig i at det er en skjevhet i styrkeforholdet mellom søker og UDI som gjør det vanskelig å motsette seg å gi samtykke, men mener at det å skulle gi samtykke bidrar til å gi søkeren informasjon om hvilke opplysninger som innhentes, slik at søker kan ta et selvstendig og informativt valg. Det uttales at selv om forordningen anbefaler at det ikke innhentes samtykke i slike tilfeller, kan man likevel så langt det lar seg gjøre kunne gi den registrerte riktig informasjon om den offentlige myndighets behandling av personopplysninger og at dette er spesielt viktig fordi statsborgermyndighetene under en søknadsprosess også kan behandle personopplysninger om andre enn den som direkte søker. MiRA-Senteret mener at barn fortjener et særskilt vern også når det gjelder søknad om statsborgerskap.

Institutt for samfunnsforskning oppfordrer departementet til å vurdere om spørsmål knyttet til bruk av opplysninger fra sosiale medier bør omtales i forbindelse med de foreslåtte endringene.

Sysselmannen på Svalbard har ikke merknader til høringen, men opplyser for ordens skyld at det i overgangsregler til ny personopplysningslov er fastsatt at personopplysningsloven fra 2000 fortsetter å gjelde for blant annet Svalbard.

4.3 Departementets vurderinger

Departementet opprettholder forslaget om generell lovhjemmel for behandling av personopplysninger i statsborgerloven ny § 29 a.

Bestemmelsen angir de overordnede rammene for statsborgermyndighetenes behandling av personopplysninger, herunder personopplysninger som nevnt i personvernforordningen artikkel 9 og 10. Bestemmelsen skal sikre statsborgermyndighetene et tilstrekkelig behandlingsgrunnlag i henhold til kravene i forordningen artikkel 6 nr. 3 og artikkel 9 nr. 2 bokstav g.

Departementet foreslår at det skal fremgå uttrykkelig av ny § 29 a første ledd at behandlingen av personopplysninger må være «nødvendig» for å utøve myndighet eller utføre andre oppgaver etter loven. Formuleringen omfatter alle oppgaver statsborgermyndighetene utfører, uavhengig av om det foreligger en søknad eller om det skal treffes et vedtak. For eksempel vil forberedelse av en sak også være omfattet, selv om det saksforberedende organet ikke skal avgjøre saken. Behandling knyttet til oppfølging av et vedtak og rapportering til overordnet myndighet i forbindelse med sakshåndtering er også ment å være omfattet av formuleringen.

Forslaget er i samsvar med nødvendighetskravet i forordningen artikkel 6 nr. 1 bokstav e. Et nødvendighetskriterium følger også av artikkel 5 nr. 1 bokstav c, som angir prinsippet om «dataminimering». For en nærmere vurdering av nødvendighetskravet i forordningen vises det til Prop. 59 L (2017–2018) punkt 4.1.3.2, som gjelder behandling av personopplysninger på utlendingsfeltet. Departementet vurderer at det samme bør gjelde for statsborgerfeltet. Behandling av personopplysninger må knytte seg til myndighetsutøvelse eller andre oppgaver «etter loven». En slik begrensning gjelder også for utlendingsmyndighetenes behandling av personopplysninger og er inntatt i utlendingsloven § 83 a. Departementet viste til vurderingene i forarbeidene til denne bestemmelsen (se Prop. 59 L (2017–2018) s. 19), som er dekkende også for statsborgerfeltet:

«Først og fremst bidrar en slik henvisning til å tydeliggjøre rammen for hva slags myndighet behandlingen kan knytte seg til. At behandlingen må knytte seg til lovpålagte oppgaver bidrar til å ivareta hensynene til forutsigbarhet og klarhet, da lovens nærmere bestemmelser blant annet vil gi veiledning om hvilke opplysninger som er relevante for en sak, eller hvilken personkrets som vil kunne omfattes.»

Den generelle lovbestemmelsen i ny § 29 a første ledd vil fungere som et supplement til de særskilte behandlingsgrunnlag som allerede finnes i statsborgerloven, og den vil klargjøre behandlingsgrunnlaget for de behandlingene som i dag følger forutsetningsvis av oppgavene statsborgermyndighetene skal utføre etter statsborgerloven. Begrepet «statsborgermyndighetene» omfatter her alle myndigheter som utfører oppgaver etter statsborgerloven; UDI, UNE, polititet, Utenriksdepartementet v/ utenriksstasjonene og Kunnskapsdepartementet.

Departementet foreslår at det i ny § 29 a annet ledd åpnes for at Kongen kan gi nærmere regler om behandlingen i forskrift, blant annet om formålet med behandlingen, hvem det kan behandles personopplysninger om, hvilke personopplysninger som kan behandles, behandlingsansvar, bruk av automatiserte avgjørelser, adgangen til viderebehandling, utlevering, registerføring og tilgang til registre. Utdypende bestemmelser for å klargjøre hjemmelsgrunnlaget egner seg etter departementets syn best i forskrifts form, da utformingen kan bli både detaljert og omfangsrik.

Departementet mener det er hensiktsmessig å tydeliggjøre formålet med statsborgermyndighetenes behandling av personopplysninger i større grad enn i dag, ved at det tas inn en liste over sentrale formål behandlingen kan knyttes til i statsborgerforskriften. Angivelsen av formålene vil tydeliggjøre behandlingens rekkevidde og bevisstgjøre rettsanvenderen, samt være i tråd med forordningen, jf. fortalens punkt 45. Dette vil etter departementets syn også bidra til å ivareta den registrertes rettigheter i større grad, jf. forordningen artikkel 9 nr. 2 bokstav g. I tillegg vil forskriftsfestingen i større grad legge til rette for lovlig viderebehandling til nye formål når dette er nødvendig.

Departementet vurderer at det vil være en umulig øvelse å definere i forskrift alle opplysningstypene som kan være relevante å behandle. Lovligheten av behandlingen vil imidlertid avgrenses gjennom vilkåret om at behandlingen må være nødvendig for det konkrete formålet. Den foreslått hjemmelen for å gi forskrift om hvilke opplysningstyper statsborgermyndighetene kan behandle, kan imidlertid brukes til å gi spesifikke bestemmelser dersom det skulle vise seg å være nødvendig for visse typer behandlinger.

Behandlingsansvaret er ikke uttrykkelig regulert i statsborgerregelverket i dag. Den behandlingsansvarlige er den som bestemmer formålet med behandlingen av personopplysninger og hvilke hjelpemidler som skal brukes, jf. definisjonen i forordningen artikkel 4 nr.7. Det følger videre av artikkel 4 nr. 7 at behandlingsansvaret kan fastsettes i nasjonal rett når formålet med behandlingen og midlene for behandlingen er angitt i nasjonal rett. Den behandlingsansvarlige har ansvaret for at personopplysninger behandles i samsvar med reglene i forordningen og personopplysningsloven. De myndighetene som behandler personopplysninger etter statsborgerloven er UDI, UNE, politiet, Utenriksdepartementet v/ utenriksstasjonene og Kunnskapsdepartementet. Selv om det ikke fremkommer uttrykkelig av regelverket, anser departementet i utgangspunktet de ulike organene for å være behandlingsansvarlig for behandling av personopplysninger knyttet til de oppgaver de er pålagt, delegert og utfører etter loven. Det er dermed det enkelte organs plikt å påse at behandlingen av personopplysninger er i overensstemmelse med de kravene som stilles i personvernlovgivningen.

Departementet vurderte at viderebehandling av opplysninger fra tidligere saker i en persons etterfølgende sak(er) er forenlig med det opprinnelige formålet de er blitt innhentet for. Det kreves ingen særskilt hjemmel for viderebehandling til forenlige formål. Statsborgermyndighetene har imidlertid også behov ha for å viderebehandle opplysninger fra andre personers saker for å vurdere om vilkårene for norsk statsborgerskap er oppfylt. Viderebehandling av personopplysninger fra én persons sak til bruk i en annen persons sak, kan være uforenlig med det opprinnelige formålet disse opplysningene ble innhentet for. Hvorvidt behandlingen vil være forenlig eller ikke med det opprinnelige for målet, vil avhenge av en konkret vurdering i det enkelte tilfellet, se personvernforordningen artikkel 6 nr. 4 bokstav a til e. I dag må statsborgermyndighetene foreta en slik vurdering hver gang de skal gjenbruke personopplysninger som er samlet inn tidligere. Det følger av artikkel 6 nr. 4 og fortalepunkt 50 at behandling for uforenlige formål er tillatt hvis det er hjemlet i nasjonal rett og behandlingen er nødvendig og forholdsmessig for å verne viktige samfunnsmessige mål som fremgår av artikkel 23 nr. 1 (herunder viktige mål av generell allmenn interesse, jf. bokstav e). Departementet viser i den forbindelse til at kontroll med erverv og tap av norsk statsborgerskap er av viktig allmenn interesse. Departementet vurderer at forordningens krav til nødvendighet og forholdsmessighet, jf. artikkel 6 nr. 4, er oppfylt. Departementet viser til at det i statsborgersaker ofte vil være et reelt behov for å se hen til tidligere innsamlede opplysninger for å løse lovpålagte oppgaver. Det åpnes ikke for rutinemessig gjennomgang av tidligere saker der hensynet til kontroll ikke gjør seg gjeldende.

Departementet redegjør for den foreslåtte hjemmelen for å gi nærmere regler i forskrift om bruk av automatiserte avgjørelser i punkt 5.

Forskriftsbestemmelsene som gis i medhold av ny § 29 a annet ledd vil supplere det overordnede hjemmelsgrunnlaget, og de må tolkes i lys av dette. Det innebærer at de begrensningene som gjelder etter ny § 29 a første ledd, gjelder tilsvarende.

UNE har påpekt at bestemmelsene i utlendingsloven og i statsborgerloven bør være likelydende der de kan være det. Departementet viser til at bestemmelsene er tilnærmet likt formulert som bestemmelsene i utlendingsloven §§ 83 a og 84.

MIRA-Senteret mener at et samtykke vil bidra til å gi søkeren informasjon om hvilke opplysninger som innhentes, slik at søkeren kan ta et selvstendig og informativt valg. Departementet bemerker at det er relativt klart etter personvernforordningen at samtykke ikke er et egnet behandlingsgrunnlag for utøvelse av offentlig myndighet, ettersom et samtykket ikke vil kunne anses frivillig avgitt når konsekvensen av å nekte er at man ikke får behandlet sin søknad om norsk statsborgerskap. Etter personvernforordningen har den registrerte rett til informasjon om behandlingen av personopplysninger. Statsborgermyndighetene er forpliktet til å oppfylle disse rettighetene. Departementet mener derfor at søkerens behov for informasjon er tilstrekkelig ivaretatt.

Advokatforeningen støtter at det skal fremgå uttrykkelig at behandlingen av personopplysninger må være «nødvendig» for å utøve myndighet eller utføre andre oppgaver etter loven, men er opptatt av at sistnevnte ikke skal praktiseres for vidt. Departementet viser til at den foreslåtte bestemmelsen ikke skal anvendes alene, men at den i det enkelte tilfelle må holdes opp mot øvrige bestemmelser i lov eller forskrift som tillegger myndighet eller pålegger oppgaver. I lys av kravet om nødvendighet vil disse bestemmelsene være vesentlige for å fastlegge nærmere i hvilken utstrekning det kan behandles personopplysninger.

Ny personopplysningslov er per i dag ikke gjort gjeldende for Svalbard. I overgangsregler til ny personopplysninglov er det fastsatt at personopplysningsloven fra 2000 fortsetter å gjelde for blant annet Svalbard (jf. FOR-2018-06-15-877 § 1). Justis- og beredskapsdepartementet har imidlertid i høringsnotat av 3. september 2019 om endringer i personopplysningsloven mv. (unntaket for ytrings- og informasjonsfrihet, forholdet til offentleglova, anvendelse for Svalbard) foreslått at den nye personopplysningsloven gis anvendelse for Svalbard, med unntak av forordningen artikkel 56 og kapittel VII som bare gjelder «innenfor EØS-avtalens virkeområde».

Departementet vurderer at forslagene som fremmes i denne proposisjonen ikke gir behov for særbestemmelser for Svalbard, hverken etter overgangsreglene som gjelder per i dag eller etter Justis- og beredskapsdepartementets forslag til regulering av anvendelsen av personvernforordningen for Svalbard.

5 Særlig om bruk av automatiserte avgjørelser

5.1 Forslaget i høringsnotatet

Departementet foreslo hjemmel for at Kongen kan gi forskrift om adgang til å behandle statsborgersaker ved bruk av automatiserte avgjørelser. Bruk av helautomatiserte avgjørelser ved utøvelse av offentlig myndighet krever særskilt lovhjemmel, jf. personvernforordningen artikkel 22 nr. 2.

Hvor spesifikk en bestemmelse som åpner for automatiserte avgjørelser må være, vil slik departementet ser det avhenge av hvilke sakstyper som skal automatiseres, herunder hvilke opplysningskategorier som skal behandles, hvilken betydning og hvilke konsekvenser avgjørelsen har for søkeren. Departementet vurderte at det ikke er hensiktsmessig at bruken av automatiserte avgjørelser knyttes til spesifikke og angitte saksporteføljer, da det vil kunne forhindre nødvendig fleksibilitet ettersom behovet varierer over tid. På den annen side er det ikke ønskelig å åpne for bruk av automatisering i alle typer saker. Departementet foreslo på denne bakgrunn en forskriftsbestemmelse som stiller krav om at behandlingen må være «forsvarlig» og at «avgjørelsen ikke inneholder skjønnsmessige vurderinger».

Automatiserte avgjørelser kan omfatte både innvilgelse og avslag av norsk statsborgerskap og bygge på særlige kategorier av personopplysninger og opplysninger om straffedommer og lovovertredelser. Særlige kategorier av personopplysninger kan kun behandles ved bruk av automatiserte avgjørelser hvis det er nødvendig av hensyn til viktige allmenne interesser på grunnlag av unionsretten eller nasjonal rett, og behandlingen står i et rimelig forhold til det målet som søkes oppnådd og det innføres egnede tiltak for å verne den registrertes rettigheter, friheter og berettigede interesser, jf. artikkel 22. nr.4 og artikkel 9 nr. 2 bokstav g. Hvilke tiltak som kreves for å verne den registrerte vil være avhengig av hvilke opplysningskategorier som behandles, hvilken betydning og hvilke konsekvenser avgjørelsen vil ha for den registrerte. Det følger av forordningen fortalepunkt 71 at nødvendige garantier bør omfatte spesifikk informasjon til den registrerte og rett til menneskelig inngripen, til å uttrykke sine synspunkter, til å få en forklaring på avgjørelsen som er truffet etter en slik vurdering, og til å protestere mot avgjørelsen. Departementet vurderte at statsborgermyndighetenes plikter og den enkeltes rettigheter etter forvaltningsloven må anses som egnede tiltak for å verne den registrertes rettigheter, friheter og berettigede interesser. Det ble i den forbindelse vist særlig til reglene om veilednings- og utredningsplikt, forhåndsvarsling og kontradiksjon, begrunnelsesplikt og klageadgang.

Departementet viste til at kontroll med erverv og tap av norsk statsborgerskap er av viktig allmenn interesse. Videre vurderte departementet at bruk av automatiserte avgjørelser i statsborgersaker, for å oppnå en mer effektiv og rask saksbehandling, ikke vil være et uforholdsmessig inngrep i den registrertes privatliv. Som nevnt foreslo departementet en forskriftsbestemmelse som stiller krav om at behandlingen må være «forsvarlig» og at «avgjørelsen ikke inneholder skjønnsmessige vurderinger. I denne vurderingen vil det være relevant å se hen til både hvor inngripende avgjørelsen er for den registrerte, hvor kurant avgjørelsen er og hvilke opplysningskategorier som behandles.

Kravet om forsvarlighet innebærer at UDI må vurdere om de ulike saksporteføljene er egnet for helautomatisering. Kravet om at avgjørelsene ikke skal baseres på skjønnsmessige vurderinger vil sikre at avgjørelser med et skjønnselement ikke underlegges helautomatisering, selv om den teknologiske utviklingen skulle komme så langt at det ville vært «forsvarlig». Departementet utelukket ikke at det i fremtiden kan være aktuelt å underlegge mer kompliserte vurderinger helautomatisert behandling basert på kunstig intelligens og maskinlære. Slik behandling vil imidlertid kreve mer spesifikk og konkret regulering.

5.2 Høringsinstansenes syn

Oslo politidistrikt uttaler at forslaget om å avgrense mot skjønnsmessige vilkår ved helautomatiserte prosesser er en fornuftig avgrensning og fremhever viktigheten av førstelinjens arbeid i disse sakene. Oslo politidistrikt understreker at spørsmålet om automatiseringen kan anses å være forsvarlig på bakgrunn av profilering, i stor grad vil være avhengig av hva slags kriterier som settes for profileringen. Oppfølgingen av vurderingen av kriteriene må derfor vurderes nøye i hver enkelt portefølje og fortløpende revurderes dersom utfallene i de ulike sakene skulle tilsi det.

Agder politidistrikt er kritisk til forslaget om at behandling av statsborgerskapssøknader skal kunne helautomatiseres. Det vises til at det er viktige områder som angår saksbehandlingen av statsborgerskapssaker, som ikke kan automatiseres fordi de krever grundighet og skjønn. Agder politidistrikt ser at det muligens kan være hensiktsmessig og forsvarlig med helautomatisering i noen få og svært enkle sakstyper, men påpeker at en maskinell behandling i flertallet av sakene kan være problematisk og få uønskede konsekvenser.

POD mener at avgrensningen mot skjønnsmessige vilkår ved helautomatiserte prosesser er fornuftig. POD viser til merknadene fra Oslo politidistrikt om kriteriene i profileringen og til Agder politidistrikts spørsmål om hvem som i realiteten vil få arbeidet med å legge inn de ulike opplysningene som skal brukes i den automatiserte behandlingen. POD anbefaler at det utredes videre hvordan arbeidsflyten/oppgavene skal fordeles mellom etatene.

Politiets sikkerhetstjeneste (PST) forutsetter at kravet i statsborgerloven § 7 annet ledd ivaretas på en adekvat måte også i de sakene som skal behandles maskinelt, og at instruks F-05/18 tilpasses foreslåtte behandlingsmåte dersom det anses nødvendig.

Institutt for samfunnsforskning viser til at regler for innhenting, lagring og bruk av opplysninger fra sosiale medier må avklares i forbindelse med automatisering av statsborgerskapssaker.

MiRA-Senteret forstår behovet for effektivisering av behandlingen av en omfattende saksmengde og har forståelse for at en viss automatisering kan benyttes i enkle sakstyper, men er imot at det skal gis en generell hjemmel for automatisering, slik at automatisering kan anvendes i de aller fleste saker. Senteret viser til at ved automatisering vil generelle erfaringer med søkere fra samme område og samme bakgrunn legges til grunn for behandlingen av en søknad, og mener at dette kun er akseptabelt så lenge det i tillegg gjøres en individuell vurdering av søknaden, der individuelle forhold også legges til grunn. Det uttales at en praksis der søkere fra bestemte nasjonaliteter og sosiale kategorier automatisk avvises, vil innebære at disse gruppene diskrimineres på grunn av sin gruppetilhørighet, noe som vil være lovstridig. Senteret mener at det ikke er godt nok at UDI vil pålegges å gjennomføre jevnlige manuelle kontroller og anbefaler at saker hvor en søker får avslag ved en automatisert avgjørelse automatisk blir manuelt kontrollert for å ivareta søkers rettigheter. MiRA-Senteret uttaler at det ikke er nok at søkeren har adgang til å klage på vedtaket.

Rettspolitisk forening er negative til forslaget om adgang til å bruke automatiserte avgjørelser, og mener at vilkårene for bruk av automatiserte avgjørelser må lovfestes, slik at Stortinget får vurdert dem. Rettspolitisk forening mener at automatiserte avgjørelser bare bør brukes ved innvilgelser og uttaler at det strider mot den allmenne rettsfølelse dersom vedtak om avslag på søknad om statsborgerskap kan fattes uten at en menneskelig saksbehandler har vært involvert. Foreningen viser til at skjønnsmessige vurderinger skal gjøres manuelt og at dette må reguleres i loven. Videre uttaler foreningen at formuleringene i forslaget er uheldige og at det i større grad må konkretiseres hva som menes med «forsvarlig» og «skjønnsmessig». Rettspolitisk forening er enig i at det ikke skal være adgang til automatisert behandling i klageomgangen, men mener at dette bør lovfestes. Det uttales at manuelle kontroller også må gjelde på vedtak som ender med avslag og som ikke blir påklaget. Foreningen uttaler også at alle vedtak som berører barn må behandles manuelt og at maskinelle feil aldri kan legges søkeren til last, for eksempel gjennom tilbakekall av statsborgerskapet. Jussbuss stiller seg bak Rettspolitisk forenings høringsinnspill.

Universitetet i Sørøst-Norge slutter seg til den forsiktige linjen for bruk av automatiserte avgjørelser og fremhever at hyppig kontroll av særlig negative vedtak er naturlig å forvente i introduksjonsfasen, både av rettssikkerhetshensyn og av effektivitetshensyn.

Utenriksdepartementet har ikke innvendinger mot en automatisering av statsborgersaker, sett i lys av at dette ikke vil føre til administrative og økonomiske konsekvenser for utenriksstasjonene.

UDI viser til at selv om enkelte bestemmelser og vilkår i statsborgerregelverket er skjønnsmessig utformet, vil det likevel være mulig å avgjøre enkeltsaker på bakgrunn av forhåndsdefinerte kriterier som ikke innebærer bruk av skjønn. UDI legger til grunn at hjemmelen for bruk av automatiserte avgjørelser også er ment å gjelde vurdering av vilkår som er formulert skjønnsmessig, så lenge vurderingen kan gjøres på bakgrunn av objektive forhåndsdefinerte kriterier.

5.3 Departementets vurderinger

Bruk av helautomatiserte avgjørelser ved utøvelse av offentlig myndighet krever særskilt lovhjemmel, jf. personvernforordningen artikkel 22. Departementet opprettholder forslaget om å gi hjemmel i statsborgerloven § 29 a annet ledd om at Kongen kan gi forskrift om adgang til å behandle statsborgersaker ved bruk av automatiserte avgjørelser.

I tråd med den teknologiske og digitale utviklingen ønsker departementet å legge til rette for at UDI kan automatisere saksbehandlingen på statsborgerfeltet, herunder ta i bruk helautomatiserte individuelle avgjørelser. Helautomatiserte avgjørelser innebærer at individuell saksbehandling skjer utelukkende maskinelt, uten innblanding fra saksbehandlere.

Flere høringsinstanser har påpekt at avslag enten ikke bør kunne gis ved automatisert behandling eller at det må kreves manuell gjennomgang av alle avslag. Departementet påpeker at det i statsborgerforskriften skal oppstilles vilkår om at behandlingen må være forsvarlig, og at avgjørelsen ikke inneholder skjønnsmessige vurderinger. Dette vil sette grenser for hvilke saker som kan underlegges helautomatisering. I saker der vilkårene ikke kan vurderes på bakgrunn av objektive kriterier alene, vil det ikke være forsvarlig å bruke automatiserte avgjørelser. Slike saker skal behandles manuelt. Hjemmelen for automatiserte avgjørelser kan imidlertid også omfatte saker som er underlagt vilkår som er formulert skjønnsmessig, så lenge vurderingen av om søkeren skal innvilges norsk statsborgerskap kan gjøres på bakgrunn av objektive og forhåndsdefinerte kriterier. For eksempel gir vilkåret om klarlagt identitet i statsborgerloven § 7 første ledd bokstav a og statsborgerforskriften kapittel 1, i flere henseender rom for skjønn. Like fullt vil man ofte kunne ta stilling til vilkåret på bakgrunn av objektive kriterier, slik som at søkeren har fremlagt gyldig pass fra bestemte land, og at saken ikke inneholder inkonsistente registreringer om identitet. Hjemmelen for automatiserte avgjørelser bør også omfatte slike saker såfremt behandlingen er forsvarlig. Departementet mener at bestemmelsen gjennom disse grensene ivaretar søkernes rettigheter i tilstrekkelig grad og viser også til at alle klager skal behandles manuelt, både klagebehandling hos førsteinstansen og hos klageinstansen. Departementet vil videre pålegge UDI å gjennomføre jevnlige manuelle kontroller for å sikre at de automatiserte avgjørelsene er basert på riktig grunnlag. De manuelle kontrollene vil gjelde både positive vedtak og negative vedtak som ikke blir påklaget. Det blir opp til UDI å vurdere hvor ofte slike kontroller eller stikkprøver skal gjennomføres. I denne vurderingen vil det være relevant å se hen til resultater av tidligere kontroller og hvilken betydning og konsekvens avgjørelsen har for den registrerte.

Departementet vurderer at manuelle kontroller og manuell klagebehandling, er å anse som «egnede tiltak» for å verne den registrertes rettigheter, friheter og berettigede interesser etter personvernforordningen art. 22 nr. 2. bokstav b. Tilsvarende gjelder statsborgermyndighetenes plikter og den enkeltes rettigheter etter forvaltningsloven, slik som reglene om veilednings- og utredningsplikt, forhåndsvarsling, kontradiksjon, begrunnelse og klageadgang.

Institutt for samfunnsforskning uttaler at regler for innhenting, lagring og bruk av opplysninger fra sosiale medier må avklares i forbindelse med automatisering av statsborgerskapssaker. Departementet viser til at det ikke vil være aktuelt å hente opplysninger fra sosiale medier i saker som blir automatisert. Dersom slike opplysninger skal vektlegges, vil saken behandles manuelt.

Politiets sikkerhetstjeneste (PST) forutsetter at kravet i statsborgerloven § 7 annet ledd om at søkere ikke har rett til norsk statsborgerskap dersom grunnleggende nasjonale interesser taler mot, ivaretas på en adekvat måte også i de sakene som skal behandles maskinelt.

Departementet bemerker at UDI ikke skal innføre helautomatisert behandling i statsborgersaker uten å ta stilling til kravet i statsborgerloven § 7 annet ledd der hvor loven forutsetter dette. Dersom UDI i den automatiserte løsningen ikke på en forsvarlig måte kan undersøke og ta stilling til kravet i statsborgerloven § 7 annet ledd, skal ikke saksbehandlingen helautomatiseres.

Dersom UDI enten gjennom egne tidligere undersøkelser eller gjennom informasjon fra andre etater har avdekket at en sak kan berøre utenrikspolitiske hensyn eller grunnleggende nasjonale interesser, vil den ikke inngå i et automatisert behandlingsløp. Det er også naturlig at porteføljer som det kan knyttes usikkerhet ved, for eksempel søkere fra bestemte konfliktområder, ikke underlegges automatisert behandling. Imidlertid er det ikke alltid slik at særskilte kjennetegn som er registrert i UDI sine registre, slik som land, kjønn, alder etc. kan gi indikasjoner om en person kan utgjøre en trussel eller ikke. UDI vil derfor ha behov for å avklare med PST at søkeren ikke er i PST sitt søkelys og av sikkerhetsmessige grunner ikke bør gis norsk statsborgerskap, før saken inngår i et automatisk saksbehandlingsløp. Effektivitetshensyn tilsier at henvendelsen til PST og kontrollen i PST skjer maskinelt. UDI og PST er derfor i ferd med å utrede en løsning hvor søknader om statsborgerskap, før de skal inngå i automatiseringsløsningen, innledningsvis sjekkes mot PST sine registre for å identifisere saker som må underlegges en nærmere vurdering hos PST. Departementet vil forutsette at en slik løsning er etablert før helautomatisert behandling av statsborgersaker settes i verk. Utfyllende regler for samhandlingen vil bli fastsatt i forskrift.

MIRA-Senteret uttaler at en praksis der søkere fra bestemte nasjonaliteter og sosiale kategorier automatisk avvises, vil innebære at disse gruppene diskrimineres på grunn av sin gruppetilhørighet, noe som vil være lovstridig. Departementet bemerker at statsborgermyndighetene alltid vil vurdere hver enkelt sak individuelt. Dersom en søker fyller vilkårene, vil vedkommende få innvilget norsk statsborgerskap uavhengig av om saken behandles automatisk eller av en saksbehandler. Logikken som styrer den automatiserte behandlingen skal ikke innrettes slik at statsborgerskap nektes eller innvilges på uriktig grunnlag. Dersom det er tvil om vilkårene for norsk statsborgerskap er oppfylt, vil saken bli behandlet manuelt.

Rettspolitisk forening uttaler også at alle vedtak som berører barn må behandles manuelt. Departementet bemerker at det i forordningen artikkel 22 ikke skilles mellom helautomatiserte avgjørelser som gjelder voksne og barn. Det følger imidlertid av fortalepunkt 38 at barns personopplysninger fortjener et særlig vern, ettersom barn kan være mindre bevisste på aktuelle risikoer, konsekvenser og garantier samt på de rettigheter de har når det gjelder behandling av personopplysninger. Det fremgår videre av fortalepunkt 71 at helautomatiserte avgjørelser, inkludert profilering, ikke «bør» gjelde barn. Artikkel 29-gruppen, som var forløperen til Personvernrådet, har i «Guidelines on Automated individual decision-making and Profiling» uttalt at det ikke eksisterer et absolutt forbud mot helautomatiserte avgjørelse som gjelder barn, men at det bør utvises forsiktighet. Dette begrunnes med at barn er en sårbar gruppe som lett kan påvirkes på internett og gjennom reklame. Departementet vurderer at hensynene bak fortalepunkt 38 og Personrådets anbefaling ikke i like stor grad gjør seg gjeldende for barn i statsborgersaker, og viser at det ofte vil være den som har foreldreansvaret eller vergen som opptrer på vegne av barnet overfor myndighetene. Departementet legger til grunn at de foresatte vil ivareta barnets rettigheter og friheter. Adgangen til å bruke automatiserte avgjørelser er videre begrenset til saker som først og fremst baserer seg på objektive kriterier og avgjørelser som ikke inneholder skjønnsmessige vurderinger. Departementet mener derfor at barn i denne sammenhengen ikke vil være mer sårbar enn andre søkere. Barn vil ofte også søke om norsk statsborgerskap sammen med sine foreldre, og det vil være hensiktsmessig at sakene kan behandles samlet.

Rettspolitisk forening uttaler videre at maskinelle feil aldri kan legges søkeren til last, for eksempel gjennom tilbakekall av statsborgerskapet. Departementet viser til at det følger av statsborgerloven § 26 at et vedtak om statsborgerskap kan tilbakekalles der omgjøringsadgang følger av forvaltningsloven § 35 eller alminnelige forvaltningsrettslige regler. Tilbakekall av statsborgerskap som er bygget på uriktige eller ufullstendige opplysninger, kan likevel bare foretas hvis søkeren mot bedre vitende har gitt de uriktige opplysningene eller har fortiet forhold av vesentlig betydning for vedtaket. Departementet vurderer at bestemmelsen ivaretar hensynet til en part som på uriktig grunnlag har fått norsk statsborgerskap på en god nok måte.

Rettspolitisk forening uttaler at vilkårene for bruk av automatiserte avgjørelser bør fremgå av statsborgerloven, ikke forskriften. Til dette bemerker departementet at den foreslåtte strukturen i statsborgerregelverket er tilsvarende som for utlendingsregelverket, og at disse bør være like.

6 Opplysningsplikt og innhenting av utdanningsopplysninger

6.1 Forslaget i høringsnotatet

Departementet foreslo at statsborgerloven § 29 rendyrkes til kun å hjemle søkerens plikter, og at nåværende § 29 tredje og fjerde ledd om andre organers opplysningsplikt flyttes til ny § 29 b. Denne endringen vil gi en bedre struktur i loven og gjøre bestemmelsene mer brukervennlige.

Departementet foreslo videre hjemmel i § 29 b første ledd for at statsborgermyndighetene kan innhente utdanningsopplysninger fra fylkeskommuner, universiteter og offentlige og private høyskoler og frittstående skoler, uten hinder av taushetsplikt. Søkere mellom 18 og 67 år må som hovedregel fylle kravene til opplæring i norsk og prøver i norsk og samfunnskunnskap etter statsborgerloven § 8, jf. § 7 f, for å ha rett til norsk statsborgerskap etter søknad. Det kan gjøres unntak fra disse kravene hvis søkeren kan dokumentere tilstrekkelige kunnskaper i norsk og samfunnskunnskap i henhold til reglene i statsborgerforskriften §§ 4-2 til 4-6. Statsborgermyndighetene innhenter i dag disse opplysningene fra søkeren selv i form av opptaksbrev, karakterutskrift og vitnemål. Kontrollhensyn taler for at statsborgermyndighetene bør kunne innhente nødvendige utdanningsopplysninger uten å gå via søkeren. Den foreslåtte hjemmelen åpner for at opplysningene kan innhentes manuelt eller elektronisk. Statsborgermyndighetene har en veiledningsplikt etter forvaltningsloven og søkeren vil gis informasjon om elektronisk innhenting av opplysninger fra andre offentlige organer under registrering av søknaden. Videre har søkeren rett til innsyn etter forvaltningsloven og personvernforordningen, og kan klage på negative vedtak. Søkerens rett til kontradiksjon er dermed ivaretatt. Forslaget begrenser også adgangen til å innhente opplysninger til det som er nødvendig for å behandle en sak etter statsborgerloven. Disse opplysningene kan heller ikke utleveres fra statsborgermyndighetene til andre uten den registrertes samtykke eller særskilt lovhjemmel.

6.2 Høringsinstansenes syn

UDI, UNE og Universitetet i Sørøst-Norge støtter forslaget om hjemmel for innhenting av utdanningsopplysninger i statsborgersaker. Det vises til at det er hensiktsmessig at opplysningene hentes automatisk fra sentrale registre, men det forutsettes at uthentingen loggføres og at det kun hentes opplysninger som myndighetene har klar hjemmel til å hente ut. Det må være kjent for universitetet hva som kan hentes ut, slik at det kan gis lovpålagt informasjon til de som eier opplysningene.

Kompetanse Norge uttaler at dersom § 29 b skal være uttømmende, bør Kompetanse Norge også inngå i listen over organer som statsborgermyndighetene kan kreve opplysninger fra. Dersom Kompetanse Norge ikke inkluderes i listen er det en viss risiko for at det i statsborgerloven isolert sett vil virke som at statsborgermyndighetene kun har rett til å kreve opplysninger om prøveresultater fra kommunene. Å ta inn Kompetanse Norge i listen vil gi god konsistens i regelverket.

Oslo politidistrikt kommenterer at de eventuelle utleveringshjemlene i forskrift bør være så presise som mulig, slik at myndigheten som bes om å utlevere opplysninger enklest mulig kan sammenstille opplysningene som skal utleveres. POD stiller seg bak Oslo politidistrikts merknader om utleveringshjemlene i forskrift og uttaler at klare utleveringshjemler vil sikre en mer ensartet og rettssikker praksis.

MiRA-Senteret uttaler at departementet foreslår en omfattende utvidelse av utlendingsmyndighetenes rett til å kreve taushetsbelagte opplysninger fra andre offentlige etater. Senteret kan ikke se at departementets henvisning til kontrollhensyn og effektivitet som begrunnelse for så sterke inngrep i enkeltpersoners lovbestemte rettigheter står i et proporsjonalt forhold til den svekkelse av personvern og vern om privatlivet som inngrepene innebærer. MiRA-Senteret kan ikke se at departementet har redegjort for at endringene er «nødvendige» og viser til at effektivitetshensynene departementet henviser til ikke tilfredsstiller nødvendighetskravet i personvernforordningen.

Justis- og beredskapsdepartementet har språklige merknader til forslaget til ny § 29 b i statsborgerloven.

6.3 Departementets vurderinger

Departementet opprettholder forslaget om at statsborgerloven § 29 rendyrkes til å hjemle søkerens plikter, og at nåværende § 29 tredje og fjerde ledd om andre organers opplysningsplikt flyttes til ny § 29 b. Departementet opprettholder videre forslaget om å gi hjemmel i ny § 29 b første ledd for at statsborgermyndighetene kan innhente utdanningsopplysninger fra fylkeskommuner, universiteter og offentlige og private høyskoler og frittstående skoler, uten hinder av taushetsplikt. Departementet er enig i at Kompetanse Norge bør nevnes eksplisitt i forslaget til ny § 29 b og foreslår en ny bokstav j i bestemmelsen. Hvilke opplysninger som kan pålegges utlevert vil bli regulert i forskrift.

MiRA-Senteret uttaler at departementet foreslår en omfattende utvidelse av retten til å kreve taushetsbelagte opplysninger fra andre offentlige etater og at departementet ikke har redegjort for at endringene er nødvendige. Til dette viser departementet til at opplysningene som innhentes av statsborgermyndighetene er nødvendige for å vurdere vilkårene i loven og forskriften. Utdanningsopplysninger, som det nå åpnes for å innhente direkte fra utdanningsinstitusjonene, er opplysninger som søkere i dag selv må fremlegge for at søknaden skal bli vurdert. Forslaget vil altså gjøre det enklere for søkerne og være mer effektivt for forvaltningen. Søkere vil få informasjon om at dokumentasjon vil bli innhentet i forbindelse med at de fremsetter søknaden og har rett til innsyn etter forvaltningsloven og personvernforordningen, og kan klage på negative vedtak. Retten til kontradiksjon er dermed ivaretatt.

Departementet legger til grunn at forslaget om å gi statsborgermyndighetene adgang til å innhente nødvendige opplysninger for saksbehandlingen direkte fra fylkeskommuner, universiteter og offentlige og private høyskoler og frittstående skoler, ikke innebærer et uforholdsmessig inngrep overfor den enkelte.

Forslaget til § 29 b er språklig justert.

7 Bruk av automatiserte avgjørelser i introduksjonsloven

7.1 Forslaget i høringsnotatet

I forbindelse med høringen av forslag til ny integreringslov foreslo departementet å åpne for at det kan gis forskrift om bruk av automatiserte avgjørelser. Høringsfristen var 15. november 2019.

7.2 Høringsinstansenes syn

Ingen høringsinstanser hadde innspill til forslaget.

7.3 Departementets vurderinger

I høringen av forslag til ny integreringslov ble det tatt med en forskriftshjemmel om bruk av automatiserte avgjørelser i bestemmelsen om behandling av personopplysninger. Bakgrunnen var at noen av de avsluttende prøvene i norsk og samfunnskunnskap sensureres av et automatisk system, og at resultatet derfor kan utgjøre en automatisert avgjørelse. Departementet foreslår å innføre forskriftshjemmelen i introduksjonsloven, før ny integreringslov vedtas og trer i kraft.

Det følger av personvernforordningen artikkel 22 nr. 1 at den registrerte har rett til ikke å være gjenstand for en avgjørelse som utelukkende er basert på automatisert behandling, som har rettsvirkning for vedkommende. Etter artikkel 22 nr. 2 gjelder dette ikke hvis avgjørelsen er tillatt etter nasjonal rett eller hvis avgjørelsen er basert på den registrertes uttrykkelige samtykke, jf. bokstav b og c. Introduksjonsloven gir hjemmel for gjennomføring av prøvene og for behandling av personopplysninger for gjennomføring av prøver for dokumentasjon av norskkunnskaper og samfunnskunnskap. Hjemmelen omfatter ikke eksplisitt bruk av helautomatiserte avgjørelser.

Noen av de avsluttende prøvene i norsk og samfunnskunnskap sensureres av et automatisk system. Dette gjelder flervalgsprøver og andre prøver der det kun er ett riktig svar. Automatisk sensurering av disse prøvene er både effektivt, kostnadsbesparende og reduserer risikoen for feil. Prøveresultatene har imidlertid stor betydning for den enkelte ved at de er bestemmende for retten til permanent oppholdstillatelse og norsk statsborgerskap. Dette innebærer at et samtykke vanskelig vil kunne anses frivillig avgitt i disse tilfellene, og dermed ikke er egnet som selvstendig behandlingsgrunnlag. Da det ikke er endelig fastlagt hvilke krav som stilles til grunnlaget i nasjonal rett, mener departementet at det er en fordel å synliggjøre bruken av helautomatiserte avgjørelser i lov og forskrift, og foreslår derfor å innta «bruk av automatiserte avgjørelser» eksplisitt i forskriftshjemmelen i introduksjonsloven § 25.

Retten til å klage på prøvene som sensureres av et automatisk system er begrenset til formelle feil ved gjennomføringen. Bakgrunnen for dette er at det kun er ett riktig svar, og dermed lav risiko for at resultatet av sensuren ikke er riktig. Kompetanse Norge har opplyst at kandidater som har opplevd problemer med gjennomføringen eller har god grunn til å tro at det skjedde noe feil med prøvegjennomføringen kan få sine prøver gjennomgått og kontrollert. Den manuelle gjennomgangen innebærer å se på hvorvidt kandidatens svar skal gi poeng eller ikke, og om resultatet stemmer overens med summeringer av antall riktige svar opp mot maksimalt antall poeng. Dersom det oppdages feil i det automatiske systemet, for eksempel at feil svaralternativ er angitt som riktig, korrigerer Kompetanse Norge dette for alle berørte kandidater.

Hjemmelsgrunnlaget bør komme på plass så raskt som mulig, også før ny integreringslov trer i kraft. Det foreslås derfor å innta forskriftshjemmelen i introduksjonsloven § 25 siste ledd. Selve bruken av automatiserte avgjørelser vil bli regulert i forskrift.

8 Økonomiske og administrative konsekvenser

8.1 Endringer i statsborgerloven

Norge er forpliktet til å etterleve personvernforordningen, herunder å foreta nødvendige endringer i statsborgerregelverket. Departementet vurderer at eventuelle kostnader forbundet med de foreslåtte lovendringene kan dekkes innenfor gjeldende budsjettrammer.

Departementet foreslår hjemmel i statsborgerloven som åpner for å gi bestemmelser i forskrift om automatisert behandling av statsborgersaker. UDI var i statsbudsjettet for 2019 bevilget 25 millioner kroner til å utvikle IT-løsninger for automatisert behandling av statsborgersaker, og løsninger for automatisering kan dermed utvikles innenfor gjeldende budsjettrammer.

Saksbehandlingsløsningen for automatiserte avgjørelser i statsborgersaker som UDI er i ferd med å utvikle, vil legge til rette for sjekk av søkerlister mot PST sine registre. Utviklingskostnadene knyttet til saksbehandlingsløsningen dekkes av midlene som er avsatt til automatisering gjennom UDIs moderniseringsprogram.

Departementet legger til grunn at bruk av automatiserte avgjørelser over tid vil kunne innebære besparelser og frigjøre ressurser til andre, mer krevende saker. De største gevinstene ved automatisering knytter seg til bedre ressursutnyttelse i forvaltningen – enkle saker kan behandles maskinelt, mens saksbehandlere skal foreta skjønnsmessige vurderinger og behandle vanskelige saker som ikke egner seg for helautomatisering. For brukeren vil automatisering gi kortere saksbehandlingstid og redusert tidsbruk knyttet til søknadsprosessen. Automatisering vil bidra til en effektiv digitalisering av statsborgerfeltet og vil understøtte regjeringens hovedmål og prioriteringer på IKT-området (Digital agenda for Norge).

Departementet foreslår hjemmel i statsborgerloven ny § 29 b første ledd som åpner for at statsborgermyndighetene kan innhente nødvendige utdanningsopplysninger direkte fra Kompetanse Norge, fylkeskommuner, universiteter og offentlige og private høyskoler og frittstående skoler. Bestemmelsen åpner også for at det kan utvikles en løsning for elektronisk innhenting av utdanningsopplysninger. Kostnader i tilknytning til utvikling, drift og forvaltning av en slik løsning krever dekning innenfor gjeldende budsjettrammer.

8.2 Endringer i introduksjonsloven

Forslaget innebærer at det gis hjemmel i lov for å gi forskrift om bruk av automatiserte avgjørelser. Forslaget har ikke vesentlige økonomiske eller administrative konsekvenser.

9 Merknader til de enkelte bestemmelsene

9.1 Til endringer i statsborgerloven

Til § 29

Bestemmelsens tredje og fjerde ledd oppheves. Regulering av andre organers opplysningsplikt som i dag følger av § 29 tredje og fjerde ledd videreføres i forslaget til ny § 29 b.

Til ny § 29 a

Det følger av første ledd at organene som utøver myndighet etter statsborgerloven § 2 kan behandle personopplysninger, herunder personopplysninger som nevnt i personvernforordningen artikkel 9 og 10, når dette er nødvendig for å utøve myndighet eller utføre andre oppgaver etter loven her. Personvernforordningen artikkel 9 og 10 gjelder behandling av særlige kategorier av personopplysninger og personopplysninger om straffedommer og lovovertredelser. Behandlingen begrenses gjennom et krav om at den må være nødvendig. Behandlingen må knytte seg til myndighetsutøvelse eller andre oppgaver som følger av statsborgerloven. Også myndighetsutøvelsen må være forankret i loven. Første ledd gir ikke grunnlag for viderebehandling for uforenlige formål.

Det følger av annet ledd at Kongen kan gi nærmere regler i forskrift om behandlingen, blant annet om formålet med behandlingen, behandlingsansvar, hvilke personopplysninger som kan behandles, hvem det kan behandles personopplysninger om, bruk av automatiserte avgjørelser, adgangen til viderebehandling, utlevering, registerføring og tilgang til registre. Det åpnes for forskrifter om viderebehandling for uforenlige formål.

Til ny § 29 b

Bestemmelsens første ledd regulerer at organene som utøver myndighet etter statsborgerloven § 2, kan pålegge nærmere angitte organer å utlevere opplysninger uten hinder av taushetsplikt og viderefører gjeldende § 29 tredje ledd. Begrepet «organ» har her en videre betydning i § 29 b enn det tilsvarende begrepet i forvaltningsloven. Det innføres hjemmel for å innhente opplysninger fra Kompetanse Norge, fylkeskommuner, universiteter og offentlige høyskoler og frittstående skoler og private høyskoler. Hvilke opplysninger som kan pålegges utlevert vil bli regulert i forskrift.

Bestemmelsens annet ledd fastsetter at Kongen skal gi forskrift om hvilke organer som kan pålegge utlevering av opplysninger, i hvilke sakstyper det kan innhentes opplysninger, hvem det kan innhentes opplysninger om og hvilke opplysninger som kan innhentes. Bestemmelsen viderefører gjeldende § 29 fjerde ledd.

9.2 Til endringer i introduksjonsloven

Til § 25

I femte ledd legges det til en mulighet for departementet til å gi forskrift om bruk av automatiserte avgjørelser. Dette er særlig aktuelt for sensurering av avsluttende prøver i norsk og samfunnskunnskap. Nærmere regler vil bli fastsatt i forskrift.

Tilråding

Kunnskapsdepartementet

tilrår:

At Deres Majestet godkjenner og skriver under et framlagt forslag til proposisjon til Stortinget om endringer i statsborgerloven og introduksjonsloven (personopplysninger og automatiserte avgjørelser).

Vi HARALD, Norges Konge,

stadfester:

Stortinget blir bedt om å gjøre vedtak til lov om endringer i statsborgerloven og introduksjonsloven (personopplysninger og automatiserte avgjørelser) i samsvar med et vedlagt forslag.

Forslag
til lov om endringer i statsborgerloven og introduksjonsloven (personopplysninger og automatiserte avgjørelser)

I

I lov 4. juli 2003 nr. 80 om introduksjonsordning og norskopplæring for nyankomne innvandrere skal § 25 femte ledd lyde:

Departementet kan gi forskrift om behandlingen av personopplysninger​ etter denne loven, herunder om krav til behandlingen, bruk av automatiserte avgjørelser, innhenting av personopplysninger og hvilke personopplysninger som kan behandles. Det kan også gis forskrift om innhenting av personopplysninger fra helsepersonell og om utlevering av personopplysninger til utlendingsmyndighetene.

II

I lov 10. juni 2005 nr. 51 om norsk statsborgerskap gjøres følgende endringer:

§ 29 tredje og fjerde ledd oppheves.

Ny § 29 a skal lyde:

§ 29 a Behandling av personopplysninger

Organene nevnt i § 2 kan behandle personopplysninger, herunder personopplysninger som nevnt i personvernforordningen artikkel 9 og 10, når dette er nødvendig for å utøve myndighet eller utføre andre oppgaver etter loven her.

Kongen kan gi forskrift om behandlingen, blant annet om formålet med behandlingen, behandlingsansvar, hvilke personopplysninger som kan behandles, hvem det kan behandles personopplysninger om, bruk av automatiserte avgjørelser, adgangen til viderebehandling, utlevering, registerføring og tilgang til registre.

Ny § 29 b skal lyde:

§ 29 b Opplysningsplikt og unntak fra taushetsplikt

Dersom organet som behandler en sak etter denne loven, anser det nødvendig for opplysningen av saken, kan følgende organer pålegges å utlevere opplysninger, uten hinder av taushetsplikt:

a) politiet

b) skattemyndighetene

c) arbeids- og velferdsforvaltningen

d) Lånekassen

e) folkeregistermyndigheten

f) kommunene

g) fylkeskommunene

h) universiteter og offentlige høyskoler

i) frittstående skoler og private høyskoler

j) Kompetanse Norge.

Kongen skal gi forskrift om hvilke organer som kan pålegge utlevering av opplysninger etter første ledd, i hvilke sakstyper det kan innhentes opplysninger, hvem det kan innhentes opplysninger om og hvilke opplysninger som kan innhentes.

III

Loven gjelder fra den tid Kongen bestemmer.