3 Gjeldende rett
3.1 Grunnloven og internasjonale forpliktelser
Grunnloven § 102 verner om privatlivet og familielivet og setter derigjennom en ramme for lovlig behandling av personopplysninger. Stortinget har bl.a. understreket at Grunnloven § 102 skal leses som at systematisk innhenting, oppbevaring og bruk av opplysninger om andres personlige forhold bare kan finne sted i henhold til lov, benyttes i henhold til lov eller informert samtykke, og slettes når formålet ikke lenger er til stede. Bestemmelsens første ledd første punktum gir et generelt vern for privatlivets fred. Vernet etter første punktum er likevel ikke absolutt. Høyesterett har i flere nyere avgjørelser lagt til grunn at vernet etter første punktum vil bero på en vurdering av om inngrep i de vernede interesser ivaretar et legitimt formål, er forholdsmessig og har tilstrekkelig hjemmel, se bl.a. Rt. 2014 side 1105 og Rt. 2015 side 93.
Bestemmelsen bygger bl.a. på tilsvarende bestemmelser i Den europeiske menneskerettskonvensjonen (EMK) artikkel 8 og FNs konvensjon om sivile og politiske rettigheter (SP) artikkel 17, som er inkorporert i norsk rett gjennom menneskerettsloven. Grunnloven § 102 tolkes i lys av disse konvensjonsbestemmelsene, jf. Rt. 2015 s. 93 avsnitt 57.
EMK artikkel 8 nr. 1 beskytter retten til respekt for privatliv, familieliv, hjem og korrespondanse (kommunikasjon). Retten til privatliv innebærer bl.a. vern av den fysiske integritet og vern mot misbruk av personopplysninger. Det kan ikke gjøres inngrep av offentlig myndighet i utøvelsen av retten til privatliv unntatt når det er i samsvar med loven og nødvendig i et demokratisk samfunn av de hensyn som følger av artikkel 8 nr. 2. Det fremgår videre av SP artikkel 17 at ingen må utsettes for vilkårlige eller ulovlige inngrep i privatliv, familieliv, hjem eller korrespondanse. Retten til privatliv innebærer at myndighetene bare kan kreve opplysninger om private forhold som er strengt nødvendige for samfunnslivet. Ethvert lovhjemlet inngrep må være i overensstemmelse med konvensjonens bestemmelser og formål, og inngrepet må fremstå som rimelig under de konkrete omstendigheter. SP artikkel 17 er ikke ansett å gi en videre rett til privatliv enn EMK artikkel 8. Det følger av dette at utlendingsmyndighetenes behandling av personopplysninger vil innebære et inngrep i den registrertes privatliv som krever tilstrekkelig rettsgrunnlag for å være lovlig.
3.2 Generelt om behandling av personopplysninger
Personvernforordningen har bl.a. som formål å harmonisere vernet av fysiske personers grunnleggende rettigheter og friheter ved behandling av personopplysninger. Forordningen gjelder som norsk lov, og personopplysningsloven utfyller bestemmelsene i forordningen.
«Personopplysninger» defineres i personvernforordningen som enhver opplysning om en identifisert eller identifiserbar fysisk person, jf. forordningens artikkel 4. Grunnleggende prinsipper for behandling av personopplysninger fremgår av forordningens artikkel 5. Opplysningene skal behandles på en lovlig, rettferdig og åpen måte, samles inn for spesifikke, uttrykkelig angitte og berettigede formål og ikke viderebehandles på en måte som er uforenelige med disse formålene. Opplysningene må videre være adekvate, relevante og begrenset til det som er nødvendig for formålene de behandles for, være korrekte og nødvendig oppdaterte, lagres slik at det ikke er mulig å identifisere de registrerte i en lengre periode enn det som er nødvendig for formålene, og behandles på en måte som sikrer tilstrekkelig sikkerhet for personopplysningene.
Krav om behandlingens lovlighet følger av forordningens artikkel 6, som sier at behandlingen bare er lovlig dersom ett av vilkårene i nr. 1 bokstav a til f er oppfylt. I henhold til bokstav e er behandlingen lovlig dersom den er «nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt».
Utlendingsloven § 83 a trådte i kraft samtidig med ny personopplysningslov. Bestemmelsen bygger på artikkel 6 nr. 1 bokstav e, jf. artikkel 6 nr. 3, samt artikkel 9 nr. 2 bokstav g, og gir utlendingsmyndighetene en generell hjemmel for å behandle opplysninger når det er «nødvendig for å utøve myndighet eller utføre andre oppgaver etter loven her».
3.3 Bruk av automatiserte avgjørelser
Retten til ikke å være gjenstand for automatiserte avgjørelser, herunder profilering, følger av forordningens artikkel 22 nr. 1. Unntak fra denne retten følger av nr. 2. Av nr. 2 bokstav b fremgår det at nr. 1 ikke får anvendelse dersom avgjørelsen følger av nasjonal rett, og der det også er fastsatt egnede tiltak for å verne den registrertes rettigheter, friheter og berettigede interesser.
I henhold til nr. 4 skal en avgjørelse som nevnt i nr. 2 ikke bygge på særlige kategorier av personopplysninger «med mindre artikkel 9 nr. 2 bokstav a eller g får anvendelse og det er innført egnede tiltak for å verne den registrertes rettigheter, friheter og berettigede interesser».
Det følger av utlendingsloven § 83 a tredje ledd at Kongen kan gi forskrift om «bruk av automatiserte avgjørelser». Med virkning fra 5. mars 2020 er det innført hjemmel for bruk av automatiserte avgjørelser i forskrift 15. oktober 2009 nr. 1286 om utlendingers adgang til riket og deres opphold her (utlendingsforskriften) § 17-7 c. Etter bestemmelsen kan UDI treffe avgjørelser som utelukkende er basert på automatisert behandling av personopplysninger.
3.4 Taushetsplikt og opplysningsplikt
Hovedregelen i forvaltningsloven er at enhver som utfører tjeneste eller arbeid for et statlig eller kommunalt organ har taushetsplikt om «noens personlige forhold», jf. forvaltningsloven § 13 første ledd nr. 1. Det følger av bestemmelsen at fødested, fødselsdato, personnummer, statsborgerforhold, sivilstand, yrke, bopel og arbeidssted som utgangspunkt ikke regnes som personlige forhold, med mindre slike opplysninger røper andre forhold som må anses som personlige. Et forvaltningsorgan kan gi taushetsbelagte opplysninger om en persons forbindelse med organet, om avgjørelser som er truffet eller øvrige opplysninger som det er nødvendig å gi for å fremme avgiverorganets oppgaver, til et annet forvaltningsorgan, jf. forvaltningsloven § 13 b første ledd nr. 5.
Utlendingsloven § 84 åpner i dag for at utlendingsmyndighetene kan innhente nødvendige opplysninger for å behandle en sak etter loven fra barnevernsmyndighetene, en kommune i tilknytning til introduksjonsprogrammet, Statens lånekasse for utdanning (i dag Lånekassen), arbeids- og velferdsforvaltningen, skattemyndighetene, politiet og folkeregistermyndigheten.
Det er et vilkår etter utlendingsloven § 84 at det organet som anmoder om opplysninger fra andre myndigheter, anser opplysningene som «nødvendige» for «opplysning av saken». I dette kravet ligger at det ikke skal innhentes flere opplysninger enn det som trengs for formålet det innhentes for. Det er ikke tilstrekkelig at opplysningene kan være nyttige. De må enten alene eller sett i sammenheng med andre opplysninger ha betydning i arbeidet. Nødvendighetskriteriet må imidlertid ikke forstås så snevert som at det er et vilkår at opplysningene faktisk får betydning i den enkelte saken eller er avgjørende for utfallet av en enkeltsak. Det vil ofte være vanskelig å ta stilling til om en opplysning er nødvendig før den er vurdert. Det vil være det organ som anmoder om opplysningene som er ansvarlig for at det ikke samles inn flere opplysninger enn det som er nødvendig. Opplysningene skal gis uten hinder av taushetsplikt.
Det følger av bestemmelsens annet ledd at det «skal» gis nærmere regler i forskrift om hvilke organer som kan be om opplysninger, i hvilke sakstyper det kan innhentes opplysninger, hvem det kan innhentes opplysninger om og hvilke opplysninger som kan innhentes. I utlendingsforskriften §§ 17-7 c til 17-7 j er det gitt slike regler.
Forvaltningsloven § 13 g åpner for utvidet adgang til informasjonsdeling mellom offentlige organer. Det følger av bestemmelsen at «Kongen kan gi forskrift om at taushetsplikt etter § 13 ikke skal være til hinder for at bestemte organer kan dele opplysninger for å utføre oppgaver som er lagt til avgiver- eller mottakerorganet, så langt delingen ikke utgjør et uforholdsmessig inngrep overfor den opplysningene gjelder, og om annen behandling av opplysninger i forbindelse med delingen».
Kommuner, fylkeskommuner, universiteter og offentlige og private høyskoler, frittstående skoler og Direktoratet for høyere utdanning og kompetanse er bundet av reglene om taushetsplikt i forvaltningsloven, jf. opplæringslova § 15-1 annet ledd og universitets- og høyskoleloven § 7-6 nr. (1). Institusjonene kan følgelig bare utlevere taushetsbelagte opplysninger til andre hvis den som har krav på taushet samtykker eller hvis adgangen til å utlevere er hjemlet i lov. Samtykke er i denne sammenhengen ikke egnet som behandlingsgrunnlag, da det kan stilles spørsmål ved om samtykke gis frivillig til utlendingsmyndighetene når personer ønsker oppholdstillatelse. Behandling av søknader om oppholdstillatelse er utøvelse av offentlig myndighet, og det foreligger en klar skjevhet i styrkeforholdet mellom søkeren og utlendingsmyndighetene. Manglende samtykke vil også resultere i at personen ikke får oppholdstillatelse, og søkeren har dermed ikke noe annet reelt valg enn å gi fra seg opplysningene til utlendingsmyndighetene. Det fremgår derfor av forordningens fortalepunkt nr. 43 at samtykke bør unngås som rettslig grunnlag der det er en klar skjevhet mellom den registrerte og den behandlingsansvarlige, særlig dersom den behandlingsansvarlige er en offentlig myndighet. Adgangen til å kunne innhente nødvendige opplysninger fra utdanningsinstitusjonene direkte, uten hinder av taushetsplikt, må dermed hjemles særskilt, jf. forvaltningsloven § 13 f annet ledd.
Etter statsborgerloven § 29 b, jf. statsborgerforskriften §§ 14-7 og 14-8, er fylkeskommuner, universiteter, høyskoler, frittstående skoler og Kompetanse Norge (nå Direktoratet for høyere utdanning og kompetanse) gitt opplysningsplikt overfor politiet, UDI og UNE om søkerens utdanning og studier som er nødvendige for å behandle sak om erverv av norsk statsborgerskap og tilbakekall av norsk statsborgerskap.