6 Tilgang til Nasjonalt introduksjonsregister

6.1 Gjeldende rett

Integreringsloven §§ 41 til 44 regulerer behandling av personopplysninger. Behandlingsgrunnlaget reguleres i lovens § 41. Bestemmelsens første ledd gir offentlige organer hjemmel til å behandle personopplysninger når det er nødvendig for å utføre oppgaver i forbindelse med flere opplistede formål. Integreringsloven § 42 regulerer innhenting og utveksling av personopplysninger. Det følger av § 41 fjerde ledd og § 42 tredje ledd at private som utfører oppgaver nevnt i § 41 første ledd for stat, fylkeskommune eller kommune regnes som offentlige organer etter disse paragrafene.

Det følger av integreringsloven § 43 første ledd at det skal opprettes nasjonale personregistre for formålene nevnt i lovens § 41 første ledd. Det mest sentrale registeret som er opprettet med hjemmel i bestemmelsen er Nasjonalt introduksjonsregister (NIR), som blant annet inneholder opplysninger om enkeltpersoners deltagelse i introduksjonsprogram og opplæring etter integreringsloven.

Det følger videre av integreringsloven § 43 første ledd at utlevering av personopplysninger til organer nevnt i § 41 første ledd kan skje gjennom direkte søketilgang i personregistre. § 43 inneholder ikke en tilsvarende presisering som § 41 fjerde ledd og § 42 tredje ledd om at private som utfører oppgaver nevnt i § 41 første ledd for stat, fylkeskommune eller kommune regnes som offentlige organer.

6.2 Forslaget i høringsnotatet

Departementet foreslo i høringen å legge inn en henvisning til § 41 fjerde ledd i integreringsloven § 43 første ledd, for å tydeliggjøre at private aktører regnes som offentlige organer også når det gjelder hvem som kan få utlevert opplysninger gjennom direkte søketilgang i nasjonale personregistre etter § 43.

6.3 Høringsinstansenes syn

De fleste høringsinstansene som hadde innspill til dette forslaget var positive. Det gjelder fylkeskommunene Møre og Romsdal, Agder, Viken, Rogaland, Innlandet og Troms og Finnmark, Statsforvaltaren i Vestland, Utdanningsforbundet og Integrerings- og mangfoldsdirektoratet (IMDi).

Datatilsynet stiller seg positive til forslaget om tydeliggjøring i loven. Datatilsynet bemerker at avklaring av behandlingsansvaret er sentralt for å sikre etterlevelse av personvernregelverket, og tilsynet forutsetter at dette avklares.

Samtidig har fylkeskommunene Møre og Romsdal, Agder, Viken, Rogaland, Innlandet og Troms og Finnmark påpekt at de ikke har tilgang til NIR, til tross for at fylkeskommune har et ansvar knyttet til personer som er omfattet av registeret.

IMDi gjør oppmerksom på at dersom private aktører skal gis tilgang til IMDinett (NIR) må det utvikles en teknisk løsning.

MiRA-Senteret er kritisk til at det foreslås å utvide muligheten for å innhente personopplysninger, slik at også private aktører skal kunne innhente slik informasjon.

6.4 Departementets vurderinger og forslag

Departementet opprettholder forslaget om å tydeliggjøre i integreringsloven § 43 at også private aktører kan få utlevert personopplysninger gjennom tilgang til nasjonale personregistre. Forslaget fikk i hovedsak støtte i høringen.

Integreringsloven § 43 er bygget opp annerledes enn integreringsloven §§ 41 og 42. Mens det i både §§ 41 og 42 brukes begrepet «offentlige organer» og henvises til personopplysninger og oppgaver nevnt i integreringsloven § 41 første ledd, vises det i § 43 til «organer nevnt i § 41 første ledd» for å definere hvilke organer som kan få utlevert opplysninger gjennom tilgang til registrene.

Integreringsloven § 41 første ledd angir en liste med formål for behandling av personopplysninger. Offentlige organer som har oppgaver i forbindelse med de nevnte formålene, har hjemmel til å behandle personopplysninger etter bestemmelsen. Dette inkluderer også private som utfører oppgaver for de nevnte formålene for stat, fylkeskommune eller kommune, jf. § 41 fjerde ledd. Etter departementets vurdering er det ikke naturlig å tolke henvisningen i integreringsloven § 43 til «organer nevnt i § 41 første ledd» snevrere enn det som følger av § 41 første ledd jf. fjerde ledd. Det er heller ikke holdepunkter i forarbeidene til integreringsloven for at definisjonen av et organ i lovens § 43 skulle være mer begrenset enn definisjonen etter de øvrige bestemmelsene.

På denne bakgrunnen vurderer departementet at bestemmelsene i integreringsloven § 43, jf. § 41 første ledd i dag gir hjemmel til at private som utfører oppgaver nevnt i § 41 første ledd for stat, fylkeskommune eller kommune kan få utlevert opplysninger gjennom tilgang til personregistrene.

Departementet kan ikke se at private aktører som utfører oppgaver for stat, fylkeskommune eller kommune bør stilles annerledes enn de øvrige organene som behandler personopplysninger etter integreringsloven. For alle som skal ha tilgang til registrene gjelder kravene etter personvernforordningen. Hvilke opplysninger det gis tilgang til må begrenses ut fra det enkelte organs behov. At private kan få direkte tilgang til nødvendige opplysninger vil innebære redusert ressursbruk for fylkeskommunene og kommunene som leier inn private aktører for å utføre sine oppgaver. Datatilsynet bemerket i høringen at avklaring av behandlingsansvaret er sentralt for å sikre etterlevelse av personvernregelverket. Departementet viser til at private aktører i disse tilfellene utfører oppgaver for stat, fylkeskommune eller kommune og at behandlingsansvaret ligger hos den ansvarlige myndigheten.

Selv om departementet vurderer at dagens hjemler i integreringsloven §§ 41 og 43 åpner for at private aktører kan få utlevert opplysninger gjennom tilgang til personregistrene, vurderer departementet at det bør synliggjøres i § 43 av pedagogiske grunner. Departementet foreslår derfor å endre § 43 første ledd slik at det henvises til «organer nevnt i § 41 første ledd, jf. fjerde ledd». At henvisningen til § 41 både gjelder første og fjerde ledd, tydeliggjør at private aktører regnes som offentlige organer også når det gjelder tilgang til registrene.

MiRA-senteret er i høringen kritisk til at det foreslås å utvide muligheten for å innhente personopplysninger, slik at også private aktører skal kunne innhente slik informasjon. Departementet bemerker at forslaget ikke innebærer en utvidelse av private aktørers mulighet til å få utlevert personopplysninger. Forslaget innebærer kun en tydeliggjøring av at aktørene kan gis tilgang til registrene direkte, istedenfor å måtte få opplysningene utlevert fra sin oppdragsgiver med hjemmel i integreringsloven § 42.

I § 43 benyttes begrepet «direkte søketilgang». Med dette menes både tilgang til å lese opplysninger og til å registrere. Departementet ser at begrepet kan være misvisende når det gjelder adgangen til å registrere opplysninger og foreslår å erstatte begrepet «direkte søketilgang» med begrepet «tilgang til» registrene. Departementet understreker at det er organets oppgaver og behov som avgjør hva slags tilgang det skal ha til registrene, for eksempel om det er behov for å kunne registrere opplysninger.

Flere fylkeskommuner har i høringen tatt opp at fylkeskommunene mangler tilgang til NIR selv om de har klart definerte oppgaver etter loven. Fylkeskommunene peker på at private aktører uten slike klart definerte oppgaver ikke bør ha lettere tilgang til registeret enn fylkeskommunene. Departementet viser til at det ikke er hjemmelsgrunnlaget i seg selv som har medført utfordringer når det gjelder fylkeskommunenes tilgang til NIR. Utfordringene har oppstått på bakgrunn av ulike vurderinger av fylkeskommunenes tjenstlige behov for opplysninger på individnivå, ut fra lovens krav om at behandling av personopplysninger må være «nødvendig». Det er avklart at fylkeskommunene har tjenstlig behov for tilgang til noen personopplysninger på enkeltpersonnivå. Det pågår en dialog mellom IMDi og fylkeskommunene om tilgangen til opplysningene og IMDi arbeider med å utvikle en egen tilgang til registeret for fylkeskommunene.

IMDi påpeker i høringen at det er behov for en teknisk løsning for at private aktører kan gis tilgang til registrene. Departementet viser til at forslaget gjelder presiseringer i hjemlene for behandling av personopplysninger og at presiseringene foreslås av pedagogiske grunner. Hvordan bruken av hjemmelen skal skje i praksis vil bli fulgt opp i andre prosesser.