3 Gjeldende rett

3.1 Personvernforordningen

Lov 15. juni 2018 nr. 38 om behandling av personopplysninger (personopplysningsloven) gjennomfører EUs personvernforordning. Forordningen gjelder som lov, med visse tilpasninger, jf. personopplysningsloven § 1.

Personopplysninger er enhver opplysning om en identifisert eller identifiserbar fysisk person, jf. forordningen artikkel 4 nr. 1. Behandling er enhver operasjon eller rekke av operasjoner som gjøres med personopplysninger, enten automatisert eller ikke, for eksempel innsamling, lagring eller tilgjengeliggjøring, jf. forordningen artikkel 4 nr. 2.

Forordningen artikkel 5 regulerer prinsipper for behandling av personopplysninger. Artikkel 5 nr. 1 bokstav b regulerer prinsippet om formålsbegrensning. Dette innebærer at personopplysninger skal samles inn for spesifikke, uttrykkelig angitte og berettigede formål og ikke viderebehandles på en måte som er uforenlig med disse formålene. Prinsippet om dataminimering i nr. 1 bokstav c innebærer at personopplysninger skal være adekvate, relevante og begrenset til det som er nødvendig for formålene de behandles for. Det følger av nr. 1 bokstav d at personopplysningene skal være korrekte og om nødvendig oppdaterte.

Behandling av personopplysninger er bare lovlig dersom det foreligger et behandlingsgrunnlag som angitt i forordningen artikkel 6 nr. 1. Behandlingsgrunnlaget kan for eksempel være samtykke fra personen opplysningene gjelder, at behandlingen er nødvendig for å oppfylle en rettslig forpliktelse som påhviler den behandlingsansvarlige eller at behandlingen er nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet. Når behandlingen er nødvendig for å oppfylle en rettslig forpliktelse, utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet kreves det et supplerende rettsgrunnlag i nasjonal rett, der formålet med behandlingen framgår, jf. artikkel 6 nr. 3.

Personvernforordningen artikkel 6 nr. 4 gir anvisning på hvilke momenter som er relevante i vurderingen av om behandling av opplysninger for et annet formål er forenlig med formålet som personopplysningene opprinnelig ble samlet inn for. Det skal blant annet tas hensyn til enhver forbindelse mellom formålene som personopplysningene har blitt samlet inn for og formålene med den tiltenkte viderebehandlingen, i hvilken sammenheng personopplysningene har blitt samlet inn, personopplysningenes art og de mulige konsekvensene av den tiltenkte viderebehandlingen for de registrerte. Vurderingen gjøres dersom behandlingen for et annet formål ikke bygger på den registrertes samtykke eller på et grunnlag i nasjonal rett. Samtykke regnes normalt ikke som et gyldig behandlingsgrunnlag når det er offentlige myndigheter som skal behandle personopplysningene.

Forordningen artikkel 9 regulerer behandling av særlige kategorier av personopplysninger. Dette er blant annet opplysninger om etnisk opprinnelse, politisk oppfatning og religion. Behandling av slike opplysninger er i utgangspunktet forbudt, med mindre et av vilkårene i artikkel 9 nr. 2 er oppfylt. Behandling er for eksempel tillatt dersom den registrerte har gitt sitt samtykke, jf. bokstav a, eller behandlingen er nødvendig av hensyn til viktige allmenne interesser, jf. bokstav b. For det sistnevnte behandlingsgrunnlaget kreves nasjonal lovregulering i tillegg. Lovbestemmelsen må stå i et rimelig forhold til det mål som søkes oppnådd, være forenlig med det grunnleggende innholdet i retten til vern av personopplysninger og sikre egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser. Forordningen artikkel 10 regulerer behandling av personopplysninger om straffedommer og lovovertredelser. Lovlig behandling av slike opplysninger forutsetter en offentlig myndighets kontroll eller at behandling er tillatt etter unionsretten eller nasjonal rett som sikrer nødvendige garantier for de registrertes rettigheter og friheter.

3.2 Integreringsloven

Integreringsloven §§ 41 til 44 regulerer tilgang til og behandling av personopplysninger. Integreringsloven § 41 første ledd åpner for at offentlige organer kan behandle personopplysninger når det er nødvendig for å utføre oppgaver i forbindelse med:

1. tiltak for å gi asylsøkere kjennskap til norsk språk og samfunnsliv

2. tiltak for å gi innvandrere kunnskap og ferdigheter for å kunne delta i det norske samfunnslivet

3. gjennomføring av prøver for dokumentasjon av norskkunnskaper og samfunnskunnskap

4. bosetting av innvandrere

5. utbetaling av tilskudd for tiltak som nevnt i bokstav a, b og d

Det er ikke definert i loven hvilke offentlige organer som har oppgaver i forbindelse med formålene. Dette innebærer at alle offentlige organer som har slike oppgaver, omfattes av hjemmelen, uavhengig av om oppgaven er lovregulert eller ikke. Private aktører som utfører oppgaver nevnt i § 41 første ledd for stat, fylkeskommune eller kommune regnes som offentlige organer, jf. § 41 tredje ledd.

Listen over formål i § 41 første ledd bokstav a til e er uttømmende.

Integreringsloven § 42 andre ledd åpner for at personopplysninger nevnt i § 41 første ledd kan utveksles mellom offentlige organer som har behov for opplysningene for å utføre oppgaver nevnt i § 41 første ledd, uten hinder av lovbestemt taushetsplikt. Dersom det er tilstrekkelig for å oppnå formålet, skal opplysningene kun utleveres i statistisk form eller ved at individualiserende kjennetegn utelates på annen måte.

Når det er nødvendig for å utføre et offentlig organs oppgaver etter loven, kan organet med hjemmel i integreringsloven § 44 pålegge andre organer å utlevere personopplysninger om asylsøkere og innvandrere uten hinder av lovbestemt taushetsplikt.