1.1 Proposisjonens hovedinnhold og bakgrunnen for lovforslaget

Justis- og beredskapsdepartementet foreslår i proposisjonen endringer i lov 15. mai 2008 nr. 35 om utlendingers adgang til riket og deres opphold her (utlendingsloven). Departementet foreslår en generell hjemmel for behandling av personopplysninger i ny § 83 a. Bakgrunnen for forslaget er ny personvernforordning i EU (Europaparlaments- og rådsforordning (EU) 2016/679, heretter personvernforordningen eller forordningen).

Formålet med bestemmelsen er å gi myndighetene en klar hjemmel for behandling av personopplysninger i utlendingssaker. Etter lovforslagets første ledd skal behandlingen begrenses til personopplysninger som er nødvendige. Videre må behandlingen av personopplysninger være nødvendig for å utøve myndighet eller utføre andre oppgaver etter loven. Behandling som gjøres for uforenelige formål, krever ytterligere særskilt regulering for å være lovlig dersom slik behandling ikke er nødvendig for utlendingsmyndighetenes utøvelse av offentlig myndighet etter loven. I tredje ledd foreslår departementet at Kongen kan gi nærmere regler i forskrift om behandlingen.

Utlendingsloven § 80 foreslås endret, slik at det også henvises til personopplysningsloven (i tillegg til forvaltningsloven). Lovens § 84 a foreslås opphevet.

Forslaget til endringer i utlendingsloven og utlendingsforskriften har vært sendt på høring.

1.2 Gjeldende rett

1.2.1 Personopplysningsloven

Grunnkravene til behandling av personopplysninger fremgår i dag av personopplysningsloven § 11 første ledd. Det er der bestemt at den behandlingsansvarlige skal sørge for at personopplysningene bare behandles når det foreligger et behandlingsgrunnlag i medhold av §§ 8 og 9 (bokstav a), bare nyttes til uttrykkelig angitte formål som er saklig begrunnet i den behandlingsansvarliges virksomhet (bokstav b), ikke brukes senere til formål som er uforenlig med det opprinnelige formålet med innsamlingen, med mindre den registrerte samtykker (bokstav c), er tilstrekkelige og relevante for formålet med behandlingen (bokstav d) og er korrekte og oppdatert og ikke lagres lenger enn det som er nødvendig ut fra formålet med behandlingen (bokstav e).

Det er ingen generell hjemmel for behandling av personopplysninger i utlendingsloven i dag, jf. Ot.prp. nr. 75 (2006–2007) punkt 17.8.5. Se omtale i proposisjonens pkt. 3.1.

Det vises i proposisjonen til at dagens rettsgrunnlag altså bygger på de alminnelige reglene i personopplysningsloven. Personopplysningsloven § 8 er gjengitt i proposisjonen.

Utlendingsmyndighetenes utøvelse av offentlig myndighet vil oftest være nødvendig av hensyn til utførelsen av en oppgave i samfunnets interesse, jf. bokstav e. Behandlingen kan også skje for å oppfylle en rettslig forpliktelse, jf. bokstav b.

Utøvelsen av offentlig myndighet på området er i all hovedsak lovpålagt. Behandlingen av personopplysninger i forbindelse med slik myndighetsutøvelse må derfor kunne sies å følge forutsetningsvis av utlendingsregelverket.

Personopplysningsloven § 9 stiller ytterligere krav til behandling av sensitive personopplysninger, jf. også § 33 om konsesjon. Slike opplysninger kan bare behandles dersom behandlingen oppfyller både ett av vilkårene i § 8 og ett av vilkårene i § 9 første ledd bokstav a til h. Behandlingen av sensitive personopplysninger på utlendingsfeltet vil i hovedsak basere seg på bokstav a (samtykke), eller b (fastsatt i lov at det er adgang til slik behandling).

Utlendingsdirektoratet (UDI) er gitt tillatelse (konsesjon) i medhold av personopplysningsloven § 9 tredje ledd for behandling av sensitive personopplysninger.

1.2.2 Enkelte særregler i utlendingsloven

Utlendingsloven inneholder flere bestemmelser som pålegger utlendinger en plikt til å gi relevante opplysninger. Det gjelder ulike opplysninger av betydning for vedtaket og om identitet.

Utlendingsmyndighetene kan pålegge andre offentlige organer å utlevere opplysninger uten hinder av taushetsplikt når dette er nødvendig for opplysning av utlendingssaken.

I utlendingsloven er det også hjemler om opplysninger om vandel, DNA, alder og biometri.

Lovens kapittel 11 del II inneholder saksbehandlingsregler som kun gjelder i beskyttelsessaker.

Se proposisjonens pkt. 3.2 for en nærmere beskrivelse.

1.2.3 Grunnloven og internasjonale forpliktelser

1.2.3.1 Generelt

Grunnloven § 102 lyder:

«Enhver har rett til respekt for sitt privatliv og familieliv, sitt hjem og sin kommunikasjon. Hus-ransakelse må ikke finne sted, unntatt i kriminelle tilfeller.

Statens myndigheter skal sikre et vern om den personlige integritet.»

Bestemmelsen kom inn i Grunnloven som ledd i grunnlovsreformen i 2014. Komiteen ga i Innst. 186 S (2013–2014) punkt 2.1.9 side 27 uttrykk for at bestemmelsen «skal leses som at systematisk innhenting, oppbevaring og bruk av opplysninger om andres personlige forhold bare kan finne sted i henhold til lov, benyttes i henhold til lov eller informert samtykke og slettes når formålet ikke lenger er til stede».

Høyesterett har lagt til grunn at det kan gjøres inngrep i retten etter Grunnloven § 102 dersom tiltaket har en tilstrekkelig hjemmel, forfølger et legitimt formål og er forholdsmessig, se Rt. 2014 side 1105 avsnitt 28 og Rt. 2015 side 93 avsnitt 60.

Det pekes i proposisjonen på at Grunnloven § 102 har klare likhetstrekk med Den europeiske menneskerettskonvensjon (EMK) artikkel 8 og må tolkes i lys av denne, jf. Rt. 2015 side 93 avsnitt 57.

1.2.3.2 Krav om rettsgrunnlag etter Grunnloven og EMK

Særlig relevant er hvilke krav Grunnloven og EMK stiller til hjemmelsgrunnlaget. I Prop. 56 LS (2017–2018) Lov om behandling av personopplysninger (personopplysningsloven) og samtykke til deltakelse i en beslutning i EØS-komiteen om innlemmelse av forordning (EU) nr. 2016/679 (generell personvernforordning) i EØS-avtalen punkt 6.4 omtaler Justis- og beredskapsdepartementet kravet om rettsgrunnlag etter Grunnloven og EMK. Det er referert i denne proposisjonen pkt. 3.3.2.

Utlendingsmyndighetenes behandling, herunder innsamling, bruk og lagring, av personopplysninger, vil innebære et inngrep i den registrertes privatliv, som krever tilstrekkelig rettsgrunnlag etter Grunnloven § 102 og EMK artikkel 8 for å være lovlig. Behandling av saker etter utlendingsregelverket knytter seg til personopplysninger av et stort omfang, og opplysningene vil ofte være av sensitiv art. Myndighetene vil som regel også ha behov for at opplysningene lagres over lang tid. Dette får betydning for hvilke krav som stilles til rettslig grunnlag for behandling av personopplysninger.

1.2.4 Behandling av personopplysninger om barn

Utgangspunktet etter gjeldende rett er at barn og voksne har samme rettigheter etter personopplysningsloven. Gjennom personopplysningsloven § 11 tredje ledd er barns personopplysninger likevel gitt et særlig vern.

1.3 Behandlingsgrunnlag

1.3.1 Generell bestemmelse

1.3.1.1 Forslag i høringsnotatet

Departementet foreslo i høringsnotatet en generell hjemmel i utlendingsloven for behandling av personopplysninger.

Første ledd gir myndighetene behandlingsgrunnlag ved lovpålagte oppgaver. Som det fremgår av annet ledd foreslo departementet at det uttrykkelig fastslås at myndighetene også kan behandle personopplysninger der dette er nødvendig for å tildele ytelser til beboere som er innkvartert etter utl. § 95, samt i forbindelse med program for assistert retur. Forslaget anga ikke hvem det kan innhentes personopplysninger om, men departementet viste til at det primært vil gjelde personer som omfattes av de ulike bestemmelsene i utlendingsloven.

I siste ledd ble det foreslått at Kongen i forskrift kan gi nærmere regler om behandlingen.

1.3.1.2 Høringsinstansenes syn

Ingen av høringsinstansene er kritiske til at det innføres en generell hjemmel i utlendingsloven som uttrykkelig regulerer utlendingsmyndighetenes behandlingsgrunnlag, men flere har innspill til utformingen av bestemmelsen.

1.3.1.3 Departementets vurdering

1.3.1.3.1 Generell hjemmel

Departementet fastholder i proposisjonen behovet for en uttrykkelig regulering av behandling av personopplysninger i utlendingsloven, som følge av foreslåtte endringer i personvernregelverket.

I forslag til ny personopplysningslov foreslås det å snevre inn Datatilsynets adgang til å gi tillatelser etter personopplysningsloven § 9 tredje ledd. Denne innsnevringen fører til at de behandlinger som i dag baserer seg på § 9 tredje ledd-tillatelser fordi det mangler lovhjemmel, må reguleres i lov eller forskrift for å ha tilstrekkelig grunnlag når ny personopplysningslov trer i kraft.

Videre viser departementet til at samtykke etter forordningen bør unngås som behandlingsgrunnlag der det er en klar skjevhet mellom den registrerte og den behandlingsansvarlige.

Når det gjelder bruk av samtykke som behandlingsgrunnlag bemerker departementet for øvrig at dette vil utgjøre et svakere rettslig grunnlag for behandling av personopplysninger når forordningen får virkning. Det bør derfor i hovedsak unngås for de oppgaver utlendingsmyndighetene skal utføre etter utlendingslovgivningen eller annen tilstøtende utøvelse av offentlig myndighet på området.

Departementet ser imidlertid ikke bort fra at det kan tenkes tilfeller der bruk av samtykke kan være egnet som behandlingsgrunnlag også i forbindelse med behandling av personopplysninger etter utlendingsloven, men dette vil slik departementet ser det, primært være aktuelt i situasjoner der behandlingen utgjør et mindre inngrep.

Krav om behandlingens lovlighet følger av forordningens artikkel 6, som sier at behandlingen bare er lovlig dersom ett av vilkårene i nr. 1 bokstav a–f er oppfylt. I henhold til bokstav e er behandlingen lovlig dersom den er «nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt». Departementets forslag til ny § 83 a bygger på dette grunnlaget.

Departementet legger i proposisjonen til grunn at det ikke er tvilsomt at utlendingsmyndighetenes behandling av personopplysninger er nødvendig for å «utføre en oppgave i allmennhetens interesse», jf. kravet i artikkel 6 nr. 1 bokstav e.

Forordningens artikkel 6 nr. 1 bokstav e gir alternativt adgang til behandling av personopplysninger når det er nødvendig for å «utøve offentlig myndighet som den behandlingsansvarlige er pålagt». Også dette vilkåret må anses oppfylt, da utlendingsmyndighetenes oppgaver i all hovedsak er pålagt gjennom lov, forskrift, instruks eller alminnelig instruksjonsadgang.

For behandling hjemlet i forordningens artikkel 6 nr. 1 bokstav e stilles det krav om et supplerende rettsgrunnlag, jf. artikkel 6 nr. 3. For rekkevidden av kravet til supplerende rettsgrunnlag vises det til Justis- og beredskapsdepartementets drøftelse av vilkårene for behandling på grunnlag av artikkel 6 nr. 1 bokstav c og e, jf. artikkel 6 nr. 3, i Prop. 56 LS (2017–2018) punkt 6.3.2 (referert i proposisjonen).

Kravet om supplerende rettsgrunnlag etter forordningens artikkel 6 nr. 3 synes oppfylt dersom behandlingen forutsetningsvis fremgår av lov. For utøvelse av offentlig myndighet som i dag fremgår av utlendingsloven, stiller, slik departementet ser det, forordningens artikkel 6 nr. 3 i utgangspunktet ikke krav om noen ytterligere uttrykkelig presisering.

Det vises i proposisjonen til at forordningen imidlertid på dette punktet må tolkes og anvendes i lys av Grunnloven § 102 og EMK artikkel 8, noe som kan innebære strengere krav til spesifikt rettsgrunnlag enn det ordlyden i forordningen kan tilsi, etter en nærmere vurdering av blant annet hvor inngripende behandlingen er.

Behandling av saker etter utlendingsregelverket omfatter personopplysninger av et stort omfang, og opplysningene vil ofte være av sensitiv art. Myndighetene vil som regel også ha behov for at opplysningene lagres over lang tid. Departementet mener derfor at behandlingens omfang og varighet, og opplysningens karakter, innebærer at inngrepet er betydelig, noe som tilsier at behandlingen bør hjemles i lov. En lovbestemmelse som uttrykkelig gir myndighetene behandlingsgrunnlag, vil slik departementet ser det, også styrke rettsgrunnlaget sammenlignet med bruk av samtykke og tillatelse fra Datatilsynet. Datatilsynet stiller spørsmål ved om bestemmelsen er formulert så skjønnsmessig og åpent at den i realiteten ikke sier noe mer enn det som følger av forordningen, og om kravene til klarhet og forutsigbarhet er tilstrekkelig oppfylt. Datatilsynet savner særlig en henvisning til personkrets og opplysningskategorier, hvor opplysningene kan hentes, og hvem som har tilgang.

Det vises i proposisjonen til at hovedformålet med endringen er å gi utlendingsmyndighetene en overordnet hjemmel som angir rammene for behandlingen av personopplysninger. Slik departementet ser det, er det vanskelig å komme utenom at bestemmelsen i en viss grad må være av overordnet karakter og inneholde elementer av skjønn. Det vil være vanskelig, om ikke umulig, å angi uttrykkelig alle det kan være behov for å behandle personopplysninger om, eller hvilke personopplysninger som kan behandles i forskjellige typetilfeller. En slik oppramsing ville dermed uansett blitt ufullstendig. Departementet legger til grunn at bestemmelsen er i tråd med kravene i forordningen. Det understrekes i proposisjonen at den foreslåtte bestemmelsen ikke skal anvendes alene, men at den i det enkelte tilfelle må holdes opp mot øvrige bestemmelser i lov eller forskrift som tillegger myndighet eller pålegger oppgaver. I lys av kravet om nødvendighet vil disse bestemmelsene være vesentlige for å fastlegge nærmere i hvilken utstrekning det kan behandles personopplysninger.

Forslagets tredje ledd åpner for at Kongen i forskrift kan gi nærmere regler om behandlingen, herunder sentrale formål behandlingen kan knyttes til, personkrets og opplysningskategorier. En eventuell forskriftsbestemmelse vil utgjøre et supplerende rettsgrunnlag etter forordningen, jf. departementets drøftelse i Prop. 56 LS (2017–2018) gjengitt over. Det understrekes at den foreslåtte forskriftshjemmelen kan brukes til å gi mer spesifikke bestemmelser dersom det skulle vise seg å være nødvendig for visse typer behandlinger.

1.3.1.3.2 Nærmere om nødvendighetskriteriet

Forslaget til ny § 83 a første ledd sier uttrykkelig at behandlingen kan skje der dette er «nødvendig», i tråd med forordningens artikkel 6 nr. 1 bokstav e. Krav om at behandlingen må være «nødvendig» følger også av forordningens artikkel 5 nr. 1 bokstav c, som angir prinsippet om «dataminimering».

PU har etterlyst nærmere veiledning i hva som ligger i nødvendighetskravet og ønsker en henvisning til lovens formålsbestemmelse i § 1.

Det vises i proposisjonen til at hva som ligger i begrepet «nødvendig», ikke fremgår direkte av forordningens bestemmelser eller fortale, men etter en naturlig språklig forståelse avskjærer den vilkårlig behandling som ikke har relevans for saken. Etter departementets syn innebærer kravet blant annet at det ikke skal innhentes eller på annen måte behandles flere opplysninger enn det som trengs for formålene. Opplysningene skal ha saklig sammenheng med formålet eller formålene som søkes oppnådd ved behandlingen. Det er ikke tilstrekkelig at opplysningene kan være nyttige.

Nødvendighetskriteriet må imidlertid ikke forstås så snevert som at det er et vilkår at opplysningene faktisk får betydning i den konkrete saken, eller er avgjørende for myndighetsutøvelsen. I mange tilfeller vil det være vanskelig å ta stilling til om en opplysning er nødvendig før den er vurdert.

Nødvendighetskravet får ikke bare betydning i vurderingen av hvilke opplysninger som kan innhentes eller på annen måte behandles, men også i vurderingen av hvilken behandlingsaktivitet utlendingsmyndighetene kan foreta seg.

Departementet har vurdert om det bør inntas en henvisning til lovens formålsbestemmelse i § 83 a, men kan ikke se at en slik henvisning vil gi noe nærmere veiledning i hva som ligger i nødvendighetskriteriet.

1.3.1.3.3 Nærmere om begrepet «utøve myndighet eller utføre andre oppgaver»

Det vises i proposisjonen til at forslaget er begrenset til å gjelde behandling som er nødvendig for «å utøve myndighet eller utføre andre oppgaver» etter loven her.

Formuleringen er vid, og omfatter alle oppgaver organet utfører, uavhengig av om det foreligger en søknad eller om det skal treffes et vedtak.

Videre må behandlingen knytte seg til myndighetsutøvelse eller andre oppgaver «etter loven her». Først og fremst bidrar en slik henvisning til å tydeliggjøre rammen for hva slags myndighet behandlingen kan knytte seg til. At behandlingen må knytte seg til lovpålagte oppgaver, bidrar til å ivareta hensynene til forutsigbarhet og klarhet. I annet ledd åpnes det for behandling der det er nødvendig «i forbindelse med tildeling av økonomiske ytelser til utlending som er innkvartert etter § 95, ved utøvelse av omsorgsansvaret for enslige, mindreårige asylsøkere eller i forbindelse med assistert retur». Dette er utøvelse av offentlig myndighet eller oppgaver som i dag ikke følger eksplisitt av loven. Bestemmelsen er ment å gi utlendingsmyndighetene grunnlag for behandling i samme utstrekning som etter første ledd.

UDI har spilt inn at forslagets annet ledd ikke er dekkende for alle de oppgaver UDI er pålagt. UDI foreslår at ordlyden i første ledd endres til å omfatte «pålagte oppgaver», ikke bare oppgaver knyttet til lov.

Departementet har vurdert om ordlyden i forslagets første ledd bør endres til å omfatte all myndighetsutøvelse og alle oppgaver som utlendingsmyndighetene er «pålagt», selv der disse oppgavene ikke fremgår av loven. En slik formulering vil gi større fleksibilitet. Etter departementets syn vil en slik endring imidlertid gi et for svakt rettsgrunnlag for behandlingen. Det vises i proposisjonen til at det derfor ikke gjøres endringer i forslaget til bestemmelse på dette punkt.

1.3.1.3.4 Formålsbestemthet og adgangen til viderebehandling

Forordningens artikkel 5 nr. 1 bokstav b bestemmer at personopplysningene skal samles inn for spesifikke, uttrykkelig angitte og berettigede formål.

Videre slår bestemmelsen fast at opplysningene ikke må viderebehandles på en måte som er uforenlig med disse formålene.

Forordningens artikkel 6 nr. 4 inneholder nærmere bestemmelser om behandling av personopplysninger for andre formål enn det de er innhentet for. Artikkelen fastslår at behandling for uforenlige formål er tillatt hvis den registrerte har gitt sitt samtykke eller det i nasjonal rett er åpnet for behandling for uforenlige formål for ivaretakelse av de formål som fremgår av artikkel 23 nr. 1 (herunder viktige mål av generell samfunnsinteresse, jf. bokstav e). Artikkel 6 nr. 4 stiller videre krav om at bestemmelser som åpner for viderebehandling for uforenelige formål, må være nødvendige og forholdsmessige. Bestemmelsen gir også anvisning på en ikke-uttømmende liste over momenter som skal inngå i vurderingen av om et formål er forenelig.

Forordningens artikkel 5 nr. 1 bokstav b sier uttrykkelig at viderebehandling for «arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål skal i samsvar med artikkel 89 nr. 1 ikke anses som uforenlige med de opprinnelige formålene».

Forslag til ny § 83 a første ledd gir ikke alene grunnlag for uforenelig viderebehandling. Slik innhenting og utlevering av opplysninger vil kreve et særskilt viderebehandlingsgrunnlag som oppfyller kravene i artikkel 6 nr. 4. Det understrekes imidlertid i proposisjonen at det på den annen side ikke er behov for særskilt viderebehandlingsgrunnlag dersom det innhentes fra eller utleveres til forenelige formål. Den forvaltningsrettslige taushetsplikten kan imidlertid sette grenser for adgangen til viderebehandling.

Forslagets tredje ledd åpner for at Kongen i forskrift kan gi nærmere regler om viderebehandling. Flere hensyn taler for at utlendingsmyndighetene ser hen til opplysninger fra tidligere saksbehandling eller opplysninger innhentet fra en annen utlending i annen sak. Særlig ressurshensyn og hensynet til å opplyse saken best mulig er viktige hensyn, men også kontrollhensyn gjør seg sterkt gjeldende.

Hvorvidt behandling av opplysninger som myndighetene har fra tidligere saksbehandling, vil være forenelig eller ikke med det opprinnelige formålet de ble samlet inn for, vil avhenge av en konkret vurdering i det enkelte tilfelle. Forslaget i proposisjonen er ment å gi hjemmel for at det i forskrift kan gis nærmere regler om bruk også for uforenelige formål. Det understrekes imidlertid i proposisjonen at eventuelle forskriftsbestemmelser på dette punkt må utformes i tråd med kravet om nødvendighet og forholdsmessighet i artikkel 6 nr. 4.

1.3.1.3.5 Bruk av automatiserte avgjørelser

UDI stiller spørsmål ved om bestemmelsen omfatter behandling av personopplysninger knyttet til automatiserte avgjørelser uten samtykke fra den registrerte, og viser til moderniseringsprogrammet i UDI som er i gang med å utvikle løsninger for automatisert saksbehandling på mottaksfeltet.

Retten til ikke å være gjenstand for automatiserte avgjørelser, herunder profilering, følger av forordningens artikkel 22 nr. 1. Unntak fra denne retten følger av nr. 2. Av nr. 2 bokstav b følger det at nr. 1 ikke får anvendelse dersom avgjørelsen følger av nasjonal rett, og der det også er fastsatt egnede tiltak for å verne den registrertes rettigheter, friheter og berettigede interesser.

Departementet legger til grunn at det er tilstrekkelig at regler om bruk av automatiserte avgjørelser gis i forskrift. I henhold til artikkel 22 nr. 2 bokstav b, er det krav om at det må fastsettes egnede tiltak for å verne den registrertes rettigheter, friheter og berettigede interesser. Det synes noe uklart hvilke krav artikkel 22 nr. 2 bokstav b stiller til lovgivningen, og hvilke tiltak som vil være nødvendige i de konkrete tilfellene hvor bruk av automatiserte avgjørelser vurderes innført. Imidlertid synes retten til klageadgang og retten til menneskelig inngripen å være sentrale tiltak.

1.3.1.3.6 Behandling av personopplysninger om barn

Som etter gjeldende rett er utgangspunktet etter forordningen at barn og voksne har samme rettigheter i forbindelse med behandling av personopplysninger.

Artikkel 6 nr. 1 bokstav f fastsetter at det skal tas særlig hensyn til om den registrerte er barn ved fastleggelsen av om vilkårene i dette behandlingsgrunnlaget er oppfylt. Tilsvarende følger ikke av bokstav e.

Barnekonvensjonens artikkel 3 sier imidlertid at ved alle handlinger som berører barn, skal barnets beste være et grunnleggende hensyn. Dette gjelder også ved bruk av personopplysninger om barn.

Forslaget til ny § 83 a gir utlendingsmyndighetene, under de forutsetninger som oppstilles, adgang til å behandle personopplysninger om barn. At myndighetene har hjemmel til å behandle opplysningene, sier imidlertid ikke noe om hvilken vekt eller betydning opplysningene skal tillegges i vurderinger knyttet til enkeltsaker.

1.3.1.3.7 Nærmere om adgangen til å gi regler i forskrift

I forslag til ny § 83 a siste ledd åpnes det for at Kongen kan gi nærmere regler i forskrift om behandlingen, blant annet «om formålet med behandlingen, behandlingsansvar, hvilke person-opplysninger som kan behandles, hvem det kan behandles personopplysninger om, bruk av automatiserte avgjørelser, adgangen til viderebehandling, utlevering, registerføring og tilgang til registre. Oppramsingen er ikke uttømmende.

Utdypende bestemmelser i forskrift for å klargjøre hjemmelsgrunnlaget egner seg etter departementets syn best i forskrifts form. Utformingen kan bli både detaljert og omfangsrik.

Bestemmelsen gir adgang til å regulere «behandlingen». Formuleringen er vid, og omfatter alt som knytter seg til behandlingen. De forskriftsbestemmelsene som gis i medhold av tredje ledd vil supplere det overordnede hjemmelsgrunnlaget, og de må tolkes i lys av dette. Det innebærer at de begrensningene som gjelder etter første ledd, gjelder tilsvarende.

Bestemmelsen åpner for forskrifter om viderebehandling for uforenelige formål.

1.3.2 Særlige kategorier av personopplysninger

Departementet foreslo i høringsnotatet at første ledd § 83 a uttrykkelig skulle henvise til «særlige kategorier av personopplysninger». Henvisningen erstattes med en ren referanse til personvernforordningens artikkel 9.

I vurderingen av saker etter utlendingsloven vil utlendingsmyndighetene ha behov for å behandle personopplysninger som etter artikkel 9 nr. 1 utgjør særlige kategorier av personopplysninger. Ikke sjelden vil utlendinger anføre opplysninger som nevnt som grunnlag for opphold i Norge.

For at behandling av personopplysninger som omfattes av forbudet i artikkel 9 nr. 1 skal være lovlig, må vilkårene i ett av unntakene i artikkel 9 nr. 2 bokstav a–j være oppfylt. I tillegg må det foreligge behandlingsgrunnlag etter artikkel 6, jf. fortalepunkt 51, hvor det fremgår at også de allmenne prinsippene og de andre reglene i forordningen får anvendelse, «særlig når det gjelder vilkårene for lovlig behandling».

Forordningens artikkel 9 nr. 2 bokstav g åpner for behandling av særlige kategorier av personopplysninger når dette er nødvendig av hensyn til «viktige samfunnsinteresser», på grunnlag av unionsretten eller nasjonal rett som skal stå i forhold til det mål som søkes oppnådd, være forenlig med det vesentligste innholdet i retten til vern av personopplysninger og sikre egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser».

Forslaget til ny § 83 a åpner for behandling av særlige kategorier personopplysninger, og må ses som et unntak fra forbudet i forordningens artikkel 9 nr. 1.

Departementet legger til grunn at det ikke er tvilsomt at utlendingsmyndighetenes behandling av særlige kategorier av personopplysninger er nødvendig av hensyn til «viktige samfunnsinteresser», jf. forordningens artikkel 9 nr. 20. De samfunnsinteressene som er særlig sentrale i denne sammenheng, er samfunnets interesse i å kjenne identiteten til utlendinger som kommer til og oppholder seg i Norge, og behovet for å kontrollere innvandringen på de vilkår som følger av regelverket.

Identitetsproblematikken på utlendingsfeltet er kompleks, og konsekvensene av identitetsjuks er alvorlige både i et kriminalitetsperspektiv og i et økonomisk perspektiv. Behandlingen må videre i henhold til bokstav g «stå i forhold til det mål som søkes oppnådd». Denne begrensningen innebærer slik departementet ser det, at det må være balanse mellom de beskyttede individuelle interessene på den ene siden og de legitime samfunnsbehovene som begrunner tiltaket på den andre siden.

Det vil måtte vurderes konkret, men på generelt grunnlag finner departementet likevel grunn til å understreke at opplysningenes art sjelden alene vil tilsi at behandlingen er uforholdsmessig. Det kan likevel unntaksvis tenkes tilfeller der behandlingen vil være uforholdsmessig. Dersom utlendingsmyndighetene kommer til at behandlingen vil være uforholdsmessig, åpner forslaget til ny § 83 a for at behandling ikke skal skje, jf. bruken av begrepet «kan» innledningsvis i bestemmelsen.

Videre stiller artikkel 9 nr. 2 bokstav g krav om at det nasjonale rettsgrunnlaget sikrer «egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser». Dette kravet retter seg slik departementet ser det, mot innholdet i det nasjonale rettsgrunnlaget. En særlig aktuell form for tiltak på området er regler om dataminimering og informasjonssikkerhet. Det behandles en stor mengde personopplysninger etter utlendingsregelverket, og opplysningene er ofte såkalte særlige kategorier av personopplysninger. I tillegg består utlendingsforvaltningen av flere aktører, og virksomhetene er store med mange ansatte. Det er derfor viktig å sikre at opplysningene ikke kommer på avveier, at de kun blir brukt til de tiltenkte formålene, og at omfanget av opplysninger som behandles, begrenses.

Utlendingsmyndighetene har allerede i dag en rekke tiltak som sørger for vern av personopplysninger. UDIs informasjonssikkerhetstiltak er omfattende, og består av ulike varianter av fysiske, systemtekniske og organisatoriske og administrative tiltak. Videre er det er gitt spesifikke bestemmelser om innhenting av opplysninger mellom ulike offentlige etater i lovens §§ 84, 84 b og 85, jf. utlf. §§ 17-7 a–17-7 g, 17-8 og 17-9. I tillegg gjelder de generelle reglene om taushetsplikt i forvaltningsloven.

Forslaget til ny § 83 a inneholder i seg selv tiltak som er ment å sikre grunnleggende prinsipper for behandlingen. Behandlingen er etter bestemmelsens første ledd begrenset til å gjelde opplysninger som er nødvendige.

Det understrekes videre at den foreslåtte bestemmelsen ikke skal anvendes alene, men at den i det enkelte tilfelle må holdes opp mot øvrige bestemmelser i lov eller forskrift som tillegger myndighet eller pålegger oppgaver. Som foreslått i høringsnotatet bør det i forskriften angis sentrale formål behandlingen kan knytte seg til, samt adgang til viderebehandling av opplysninger som myndighetene har fra tidligere saksbehandling. I tillegg til forskriftsbestemmelsene mener departementet at ytterligere tiltak bør vurderes regelfestet for å tydeliggjøre tiltakenes betydning og rekkevidde. Etter departementets vurdering er det tilstrekkelig at slike regler gis i forskrifts form. Lovbestemmelsens tredje ledd åpner for dette.

1.3.3 Behandling av personopplysninger om straffedommer og lovovertredelser

I høringsnotatet foreslo departementet av det uttrykkelig fremkommer av bestemmelsen at den omfatter behandling av opplysninger om «straffbare forhold», jf. forslagets første ledd.

Etter forordningen omfattes ikke personopplysninger om straffbare forhold mv. av reglene om særlige kategorier av personopplysninger. I stedet er slike opplysninger særlig regulert i artikkel 10 (behandling av personopplysninger om straffedommer og lovovertredelser). Forordningens artikkel 10 krever ikke at det fastsettes nasjonale lovbestemmelser for behandling av personopplysninger om straffbare forhold under en offentlig myndighets kontroll. I disse tilfellene stiller ikke artikkel 10 særlige krav utover det som følger av de alminnelige reglene om behandlingsgrunnlag, jf. artikkel 6 nr. 1.

Utlendingsmyndighetenes behandling av opplysninger om straffedommer og lovovertredelser trenger altså ingen nærmere regulering i loven etter forordningen. Det stilles heller ikke tilsvarende strenge krav til behandlingen som for behandling av særlige kategorier av personopplysninger. Departementet fastholder imidlertid i proposisjonen at det er hensiktsmessig å vise uttrykkelig til artikkel 10, for å unngå tvil om også slike opplysninger omfattes. Det gir også større forutberegnelighet for den registrerte.

Forordningen bruker begrepet «straffedommer og lovovertredelser». Departementet går i proposisjonen bort fra begrepet «straffbare forhold» som opprinnelig ble foreslått i høringsnotatet for å unngå tolkningstvil mellom forslaget og forordningen. Henvisningen erstattes med en ren referanse til personvernforordningens artikkel 10.

Når det gjelder rekkevidden av hvilke opplysninger som omfattes, viser departementet til at den foreslåtte bestemmelsen omfatter alle kategorier av personopplysninger, jf. henvisningen til personvernforordningens artikkel 9 og 10.

1.4 Økonomiske og administrative konsekvenser

Det fremgår av proposisjonen at departementet samlet sett legger til grunn at arbeidet med å gjennomføre forordningen vil være ressurskrevende, men at endringene på sikt vil kunne innebære visse besparelser. Personvernforordningen, og de foreslåtte nasjonale reglene i forslag til ny personopplysningslov, viderefører i hovedsak gjeldende rett, noe som også innebærer at forslaget her ikke vil ha vesentlige økonomiske og administrative konsekvenser.

Forslaget legger opp til at behandlingen av personopplysninger skal skje med lovhjemmel som rettslig grunnlag. Forslaget vil derfor kunne innebære noe mindre administrativt arbeid, ettersom samtykkeskjemaer vil erstattes med informasjonsskriv. En klar lovhjemmel, med enkelte presiseringer i forskrift, vil kunne avskjære en del tvils- og tolkningsspørsmål som følger av dagens rettslige utgangspunkt. Eventuelle implementeringskostnader vil dekkes innenfor Justis- og beredskapsdepartementets gjeldende budsjettrammer.

2.1 Generelle merknader og om behandlingsgrunnlaget

Komiteen viser til at regjeringen foreslår å innføre en generell hjemmel for behandling av personopplysninger i utlendingsloven. Formålet med forslaget er å gi myndighetene en klar hjemmel for å behandle personopplysninger i utlendingssaker. Komiteen merker seg at bakgrunnen for forslaget er inkorporeringen av EUs personvernforordning.

Komiteen viser til at Justis- og beredskapsdepartementet sendte forslaget på høring den 27. november 2017. Høringen omfattet også endringer i utlendingsforskriften. Høringsfristen var satt til den 12. januar 2018. Departementet mottok høringsuttalelser med merknader fra 13 instanser. 9 høringsinstanser svarte at de ikke hadde merknader til forslaget.

Komiteen har ikke gjennomført høring i saken, men bedt om skriftlige innspill. Komiteen har ikke mottatt noen skriftlige innspill.

Komiteen viser til at EU vedtok ny personvernforordning i 2016. Forordningen erstatter og opphever EUs gjeldende personverndirektiv.

Komiteen er positiv til at det innføres strengere og tydeligere personvernregler i Norge som følge av implementeringen av personvernforordningen. Blant annet sikres mer åpenhet rundt innsamling og bruk av personopplysninger, og bruk av personopplysninger skal begrunnes og begrenses.

Komiteens medlemmer fra Senterpartiet og Sosialistisk Venstreparti mener det er uheldig at ny personopplysningslov foreslås vedtatt som en direkte overføring av EUs personvernforordning, og ikke gjennom utforming av personvernlovgivning ut fra nasjonale behov. Dette er imidlertid ikke til hinder for at behovet for en tydeliggjøring av personvernbestemmelsene i utlendingsloven ivaretas gjennom innarbeiding av ny lovparagraf.

Komiteen viser til at implementeringen av EUs personvernforordning krever at det gjøres enkelte endringer i utlendingsregelverket, da behandlingsgrunnlaget i større grad bør fremkomme av nasjonal rett og ikke baseres på samtykke eller konsesjon.

Komiteens medlem fra Sosialistisk Venstreparti er enig i det sterkere personvernet i forslaget til ny personopplysningslov, og til de endringene som ligger i personvernforordningen, og mener at disse bør implementeres som en del av norsk rett. Dette medlem støtter derfor at det innføres en slik hjemmel i utlendingsloven for å gi et tilstrekkelig grunnlag for å behandle personopplysninger.

Dette medlem vil likevel vise til at forslaget til ny lov og ny implementering av forordning ikke er i samsvar med det fremforhandlede resultatet i EØS-komiteen, og det er derfor usikkert hva EU-organene vil akseptere. I tillegg er dette medlem uenig i at Norges myndighetsorganer direkte skal underlegges et overordnet EU-organ. Dette medlem vil vise til Sosialistisk Venstrepartis merknader i Innst. 278 L (2017–2018).

Komiteen peker på at det må være en god balanse mellom de beskyttede individuelle personverninteresser på den ene siden, og samfunnsbehovene som begrunner at det er behov for tilstrekkelige hjemler for utlendingsmyndighetene for å ha tilgang til personvernopplysninger i utlendingssaker, på den andre siden. Komiteen viser til at utlendingsmyndighetene må ha adgang til å samle inn, oppbevare og behandle personopplysninger for å kunne behandle utlendingssaker. Dette gjelder personopplysninger både om utlendingen selv og også en videre personkrets. Videre er det mange ulike opplysninger det er relevant å samle inn, oppbevare og behandle i utlendingssaker.

2.2 Særskilt om § 80

Komiteen vil presisere at henvisningen i overskriften og i selve § 80 til personopplysningsloven gjøres av informasjonshensyn for å tydeliggjøre at personopplysningslovens regler gjelder dersom det ikke fremkommer noe annet. Henvisningen til personopplysningsloven er ikke ment å endre rettstilstanden.