1 Brev fra Datatilsynet av 24. juni 2005 til Utlendingsdirektoratet

Konsesjonsvedtak – kommentarer til innsendt dokumentasjon og spørsmål

Datatilsynet viser til konsesjon meddelt den 10.12.2004 samt til senere korrespondanse og møte den 08.06.2005.

Som orientert om i møtet, anser Datatilsynet det nødvendig å revidere konsesjonen om ca ett år, da viktige lover som er styrende for Deres virksomhet er i endring. Dette gjelder Utlendingsloven og Statsborgerloven.

Datatilsynet har vurdert de innspill som er kommet fra UDI når det gjelder de ulike punktene i konsesjonen, og er innstilt på å foreta enkelte justeringer av konsesjonen før ovennevnte revisjon.

Tilsynet ber derfor om en tilbakemelding fra UDI når det gjelder de vurderinger som er foretatt nedenfor. Dersom det skulle være ytterligere utestående problemområder, ber vi om at disse beskrives og forelegges Datatilsynet.

1. Vandelsattest og opplysninger om bidragsgjeld ved søknad om statsborgerskap

Datatilsynet har vurdert de forelagte hjemler, og anser at disse er tilfredstillende i en overgangsperiode inntil klarere hjemmelsgrunnlag er etablert. Når det gjelder vandelsattesten, forutsetter Datatilsynet at attesten kun gir opplysninger om forhold vedkommende utlending er ilagt straff eller strafferettslig reaksjon for, og at vedkommende gjøres uttrykkelig oppmerksom på at slik attest vil bli innhentet fra politiet.

2. Alderstesting og DNA-testing

Etter en nærmere vurdering er Datatilsynet kommet frem til at alderstesting og DNA-testing i en overgangsperiode, kan baseres på samtykke. Som direktoratet er kjent med, anser ikke Datatilsynet samtykkekravet å være tilfredsstillende oppfylt, men mener at dette er en bedre løsning enn at tilsynet fatter vedtak etter personopplysningsloven § 9, 3. ledd. Tilsynet vil her også henlede oppmerksomheten på sin høringsuttalelse avgitt departementet i forbindelse med forslag til ny utlendingslov. Datatilsynet uttalte flg om DNA-testing og alderstesting;

6.1 DNA testing

(Lovforslaget § 97)

Utvalget foreslår å lovfeste en rett til å foreta DNA-test. I utvalgsrapporten side 340 fremgår det at dersom retten ikke benyttes, vil utfallet høyst sannsynlig bli at søknaden avslås.

Datatilsynet anser at så lenge det vil få negative konsekvenser for en person å nekte å avlegge DNA-test, er også frivillighetsaspektet illusorisk, og kan i stedet erstattes med en plikt til å avlegge DNA-prøve. På den måten reflekteres de reelle forhold ved tiltaket bedre.

For øvrig er Datatilsynet tilfreds med at det er inntatt en formålsbegrensning for bruk av DNA-test i bestemmelsen (familiegjenforening). Dette innebærer at testresultatet ikke kan anvendes til andre formål. Tilsynet mener imidlertid at bestemmelsen må suppleres med en slettebestemmelsen, der det klart fremgår at opplysninger knyttet til testen slettes (tilintetgjøres) når spørsmålet om slektskap er avgjort. Begrunnelsen for dette er det opplysningspotensialet som ligger i en DNA-test både når det gjelder personen selv og vedkommendes familie.

6.2 Alderstesting

(Lovforslaget § 98)

Det har i samfunnsdebatten, og i utvalgsrapporten vært diskutert hvorvidt resultater av alderstesting gir et pålitelig svar. Så vidt Datatilsynet kan se, hefter det fremdeles slik usikkerhet om pålitelighet ved metoden. På denne bakgrunn finner vi det vanskelig å kunne støtte et forslag der søker kan pålegges å underkaste seg slik undersøkelse.

I det minste bør bestemmelsen suppleres med en angivelse av hvilken vekt man skal tillegge resultatet av testen.

Datatilsynet antar at enkelte av de punkter som er tatt opp i høringsuttalelsen, har relevans for UDIs praktisering av tiltakene.

3. Opplysninger om gjeld ifbm tilbakevending

I e-post av 20.06.05, er rutinen for utlevering/innhenting av opplysninger hos kommunen, Husbanken og Statens lånekasse for utdanning nærmere beskrevet. Datatilsynet finner rutinen for tilfredsstillende og har ingen innvendinger mot en slik praksis forutsatt at utlendingen gis informasjon slik personopplysningsloven § 20 gir anvisning på.

4. Utlevering av opplysninger

I Deres brev av 07.02.05 stilles det spørsmål om hvorvidt opplysninger i konkrete tilfeller kan utleveres fra DUF uten samtykke eller lovhjemmel. Datatilsynet vil bemerke at samtykke og lovgrunnlag bør være hovedregelen, men vi ser samtidig at dette kan medføre unødige hindringer for et nødvendig samarbeid jf eksempelet over i pkt 3. Tilsynet foreslår derfor at det kan åpnes for unntak fra hovedregelen om samtykke/lovhjemmel i tilfeller der det ikke utleveres sensitive opplysninger.

4.1 Tilgang for Kommunal- og regionaldepartementet (KRD)

I e-post av 21.06.05 reises det spørsmål om utvidelse for KRDs tilgang til personopplysninger. Tilgang for KRD må begrenses til hvilket saklige behov departementet har. Datatilsynet er innstilt på å endre konsesjonen for tilfeller der KRD har instruksjonsrett. For tilgang utover dette, må behovet dokumenteres.

5. Lagring av personopplysninger

Hovedregelen i personopplysningsloven § 28 er at opplysninger skal slettes når formålet med behandlingen av dem er oppfylt. Datatilsynet antar at også annet regelverk vil være styrende for lagring av opplysningene (f.eks arkivloven). Datatilsynet anbefaler at man tar utgangspunkt i personopplysningsloven § 28 hva gjelder opplysninger som er tilgjengelig i DUF, og finner andre løsninger for opplysninger som skal arkiveres i henhold til annet lovverk.

6. Noen merknader til oversendt internkontroll

Datatilsynet viser til vedlagte notat om internkontroll, samt den orientering som ble gitt i møtet den 08.06.05. Som nevnt i møtet, må UDI komplettere internkontrollsystemet herunder enkelte punkter for gjennomførende del (informasjonssikkerhet) og utarbeide rutiner for den kontrollerende del. Nærmere veiledning for dette arbeidet kan gis av tilsyns- og sikkerhetsavdelingen i Datatilsynet.

7. Avsluttende merknader

Datatilsynet er tilfreds med at UDI har ansatt en personvernkoordinator. Tilsynet anbefaler UDI å vurdere en mer formalisert tilknytning ved at personvernkoordinator søkes godkjent som Personvernombud. Mer informasjon om dette finnes på vår hjemmeside og kontaktperson i Datatilsynet er seniorrådgiver Christine Ulrichsen.

Deres tilbakemelding imøtesees.

Med hilsen

Knut-Brede Kaspersen (e f)

avdelingsdirektør

Guro Slettemark

seniorrådgiver