5 Personvernkonsekvenser – rettslige rammer

5.1 Innledning

Eurodac ble opprinnelig opprettet for å lette anvendelsen av Dublin-konvensjonen. Når rettshåndhevende myndigheter gis anledning til å sammenligne fingeravtrykksopplysninger med opplysninger i registeret med henblikk på å forebygge, avdekke eller etterforske terrorhandlinger eller andre alvorlige straffbare handlinger, innebærer dette en utvidelse av Eurodacs opprinnelige formål. En slik utvidelse av formålet må skje innenfor visse rettslige rammer som gjelder ved behandling av personopplysninger, se nedenfor under punkt 5.2 og 5.3.

Departementet har vurdert konsekvenser av å innføre ordningen opp mot Grunnloven, EMK og personvernregelverket. Den konkrete vurderingen følger under punkt 5.4.

5.2 Grunnloven og EMK artikkel 8

Behandling av personopplysninger kan etter omstendighetene være et inngrep i den aktuelle personens grunnleggende rett til privatliv. Slike inngrep må skje innenfor konstitusjonelle og folkerettslige rammer, hvor Grunnloven § 102 om respekt for privatliv og familieliv, hjem og kommunikasjon, og Den europeiske menneskerettskonvensjonen (EMK) artikkel 8 om retten til respekt for privatliv og familieliv, står sentralt. EMK er gjennomført i norsk rett ved lov 21. mai 1999 nr. 30 om styring av menneskerettighetenes stilling i norsk rett (menneskerettsloven) § 2. Grunnloven § 102 har klare likhetstrekk med EMK artikkel 8, og må tolkes i lys av denne, jf. Rt. 2015 side 93 avsnitt 57. Grunnloven § 102 gir ikke anvisning på noen adgang til eller vilkår for å gjøre inngrep i retten til privatliv. Høyesterett har imidlertid lagt til grunn at det kan gjøres inngrep i retten dersom tiltaket har en tilstrekkelig hjemmel, forfølger et legitimt formål og er forholdsmessig, jf. Rt. 2014 side 1105 avsnitt 28. Etter departementets vurdering er det ikke holdepunkter for at vernet etter Grunnloven § 102 strekker seg lengre enn vernet etter EMK artikkel 8. Retten til privatliv beskyttes også av FNs konvensjon om sivile og politiske rettigheter (SP) artikkel 17, som også er gjennomført i norsk rett ved menneskerettsloven. Departementet legger til grunn at SP artikkel 17 ikke gir den enkelte et videre vern enn EMK artikkel 8.

EMK artikkel 8 nr. 1 fastsetter at den enkelte har krav på respekt for sitt privatliv og familieliv, sitt hjem og sin korrespondanse. Artikkel 8 nr. 2 oppstiller vilkår for å gjøre inngrep i denne retten. Slike inngrep må for det første være «i samsvar med loven». I dette ligger at inngrepet må ha grunnlag i en formell nasjonal norm som er tilgjengelig og gir forutsigbarhet for innbyggerne. Videre må inngrepet være «nødvendig i et demokratisk samfunn» av hensyn til ett eller flere av de angitte formålene: «den nasjonale sikkerhet, offentlige trygghet eller landets økonomiske velferd, for å forebygge uorden eller kriminalitet, for å beskytte helse eller moral, eller for å beskytte andres rettigheter og friheter». I kravet til nødvendighet ligger bl.a. at det må være forholdsmessighet mellom inngrepet og den samfunnsmessige verdien av dette. Inngrepet må ikke være uunnværlig, men det må være et tvingende samfunnsmessig behov, og det må være proporsjonalt i forhold til det legitime formålet inngrepet skal ivareta.

5.3 Personopplysningsloven og personvernforordningen

Behandling av personopplysninger er videre regulert i lov 15. juni 2018 nr. 38 om behandling av personopplysninger (personopplysningsloven). Loven gjennomfører forordning (EU) 2016/679 (personvernforordningen) i norsk rett. Personopplysningsloven, og derigjennom personvernforordningen, gjelder for behandlingen av opplysningene i utlendingsloven, og suppleres med særskilte bestemmelser.

Behandlingsgrunnlag

Behandling av personopplysninger krever et rettslig grunnlag, et såkalt behandlingsgrunnlag. Reglene om rettslig grunnlag fremkommer av personvernforordningen artikkel 6, 9 og 10. Systematikken i regelverket er slik at all behandling av personopplysninger må ha grunnlag i artikkel 6, mens behandling av «særlige kategorier av personopplysninger» må ha hjemmel i artikkel 9 i tillegg til artikkel 6. Behandling av «personopplysninger om straffedommer eller lovovertredelser» må ha hjemmel i artikkel 10 i tillegg til artikkel 6.

Grunnlaget for innsamling og behandling av opplysninger for Eurodac-registeret er for Norges vedkommende utlendingsloven § 101, jf. personvernforordningen artikkel 6 nr. 1 bokstav e, jf. artikkel 9 nr. 2 bokstav g. Utlendingsloven § 101 gjør i dag Eurodac II-forordningen til norsk rett med unntak av bestemmelser om rettshåndhevende myndigheters tilgang til Eurodac med henblikk på å forebygge, avdekke eller etterforske terrorhandlinger eller andre alvorlige straffbare handlinger. Det er dermed kun behandling av opplysninger knyttet til formålet om å lette anvendelsen av Dublin-konvensjonen som er dekket av gjeldende behandlingsgrunnlag.

Viderebehandling

Personvernforordningen artikkel 5 nr. 1 bokstav b omhandler prinsippet om at personopplysninger bare skal samles inn for spesifikke, uttrykkelig angitte og berettigede formål, og ikke viderebehandles på en måte som er uforenlig med disse formålene (formålsbegrensning). Med viderebehandling menes behandling av personopplysninger for nye formål, det vil si andre formål enn innsamlingsformålet. Viderebehandlingen kan være forenlig eller uforenlig med innsamlingsformålet. En viderebehandling som er uforenlig med innsamlingsformålet, er i utgangspunktet forbudt.

Dersom viderebehandling som er uforenlig med innsamlingsformålet, skal være lovlig, må den enten ha et særskilt rettsgrunnlag i nasjonal rett eller være basert på samtykke fra den registrerte, jf. personvernforordningen artikkel 6 nr. 4.

Rettsgrunnlaget som skal åpne for viderebehandling for uforenlige formål, må i henhold til artikkel 6 nr. 4 utgjøre «et nødvendig og forholdsmessig tiltak i et demokratisk samfunn for å sikre oppnåelse av målene nevnt i artikkel 23 nr. 1». Disse målene omfatter bl.a. kriminalitetsbekjempelse og andre viktige mål av generell samfunnsinteresse

5.4 Departementets vurdering

Ettersom Eurodac opprinnelig ble opprettet for å lette anvendelsen av Dublin-konvensjonen, utgjør rettshåndhevende myndigheters tilgang til Eurodac med henblikk på å forebygge, avdekke eller etterforske terrorhandlinger eller andre alvorlige straffbare handlinger en utvidelse av Eurodacs opprinnelige formål. Det må legges til grunn at denne utvidelsen som utgangspunkt er uforenlig med det opprinnelige formålet, jf. personvernforordningen artikkel 6 nr. 4. En slik utvidelse av formålet berører den grunnleggende rett til privatliv for de personer hvis personopplysninger behandles i Eurodac. Inngrepet, eller tiltaket, må være forenelig med Grunnloven § 102 og EMK artikkel 8 nr. 2 og personvernregelverket.

Vurderingene etter EMK artikkel 8 og de kravene som stilles i henhold til personvernforordningen er i stor grad sammenfallende og behandles i det følgende under ett.

For at tiltaket skal være «nødvendig i et demokratisk samfunn» må det foreligge grunnleggende samfunnsbehov, det må være forholdsmessighet mellom inngrepet og den samfunnsmessige verdien av tiltaket, og tiltaket må være relevant og ha tilstrekkelig begrunnelse. Det er et krav til proporsjonalitet som innebærer at behandlingen av personopplysninger ikke skal være mer omfattende enn det som er nødvendig ut fra formålet. Behandling av biometriske opplysninger, som fingeravtrykk er, med det formål å entydig identifisere en person, kan bare nyttes i behandlingen når metoden er «nødvendig» av hensyn til viktige allmenne interesser.

Samfunnsbehovet

Departementet mener at det er tungtveiende samfunnsmessige behov for at politiet gis gode virkemidler i sitt arbeid med å forebygge og etterforske terrorhandlinger og andre alvorlige straffbare forhold. Gjennomføring av forordningens bestemmelser om rettshåndhevende myndigheters tilgang til Eurodac vil legge til rette for dette, ved at politiet gis et ekstra verktøy slik at det vil være mulig å avlese fingeravtrykk mot fingeravtrykksbasen over personer som bl.a. har søkt asyl i andre europeiske stater. Mulighet for å sammenligne fingeravtrykk med disse opplysningene, vil kunne gi betydelig hjelp i arbeidet med å avklare en persons identitet. Videre kan et treff i registeret gi politiet grunnlag for å hente inn ytterligere informasjon om en person fra en annen stat.

Det å ikke ratifisere protokollen, og dermed heller ikke gjennomføre de aktuelle bestemmelsene i Eurodac II-forordningen som gir grunnlag for viderebehandling av opplysninger i Eurodac, vil medføre at norsk politi ikke får tilgang til et verktøy de øvrige europeiske politimyndighetene har tilgang til. Med dagens utfordringer knyttet til grenseoverskridende kriminalitet og terrorisme vil dette være bekymringsfullt. Det vil være svært uheldig om personer som representerer en sikkerhetsrisiko, vil kunne unndra seg oppmerksomhet fordi norsk politi ikke har tilgang til verktøy som eksisterer blant våre samarbeidspartnere og som kan bidra til å lette arbeidet med å klarlegge en persons identitet. Det samme gjelder for en person som er registrert av norske myndigheter i Eurodac, men som utenlandsk rettshåndhevende myndighet etterforsker for terrorisme eller annen alvorlig kriminalitet. I arbeidet med å bekjempe terrorhandlinger og andre alvorlige straffbare handlinger, er det av stor betydning at politiet har så fullstendige og oppdaterte opplysninger som mulig.

Forholdsmessighet/proporsjonalitet

De fleste personene som er registrert med fingeravtrykk i Eurodac, har avgitt fingeravtrykk i forbindelse med en lovlig inngitt asylsøknad, og er personer som ikke antas å ha begått en terrorhandling eller annen alvorlig straffbar handling. At det gis tilgang til søk i databasen for rettshåndhevelsesformål, vil i så måte kunne oppleves som stigmatiserende og inngripende for personene hvis fingeravtrykk er registrert. Et slikt tiltak må ikke være mer omfattende enn det som er nødvendig ut fra formålet.

Departementet har derfor vurdert hvorvidt dagens tilgang til å sammenligne fingeravtrykk med fingeravtrykk i andre registre kan anses som tilstrekkelig effektivt i politiets arbeid med å forebygge, avdekke eller etterforske terrorisme og andre alvorlige straffbare handlinger. Norsk politi har i dag, på visse vilkår, tilgang til søk i ca. 400 000 fingeravtrykk nasjonalt. Når Prüm-avtalen og PCSC-avtalen (avtale mellom Norge og USA om styrket samarbeid om forebygging og bekjempelse av alvorlig kriminalitet, av 8. mai 2012) er operative, vil norsk politi kunne få tilgang til automatiserte søk i ca. 270 millioner fingeravtrykk i USA og Europa. Vi gjør oppmerksom på at det er noe usikkerhet knyttet til disse tallene.

Selv om politiet allerede har, eller vil få, tilgang til et stort antall registrerte fingeravtrykk i Europa og USA gjennom Prüm og PCSC, mener departementet det er nødvendig at det også gis tilgang til å anmode om å sammenligne fingeravtrykk med opplysningene i Eurodacs sentralregister. Eurodac-registeret inneholder fingeravtrykk fra asylsøkere samt utlendinger som påtreffes i forbindelse med ulovlig passering av ytre Schengen-grense. I Eurodacs sentralregister er det registrert fingeravtrykk som ikke nødvendigvis er registrert i andre registre som politiet har tilgang til. Selv om de aller fleste som er registrert med fingeravtrykk i Eurodac er lovlydige borgere som har avgitt fingeravtrykk i forbindelse med en lovlig inngitt asylsøknad, er det eksempler på at asylinstituttet er utnyttet av personer som har begått terrorhandlinger eller annen alvorlig kriminalitet i Europa. Tilgang til registeret er i så måte svært relevant og viktig for politiet.

Eurodac II-forordningen har strenge vilkår og høy terskel for søk, og sikrer et godt vern av personopplysninger. Rettshåndhevende myndigheters tilgang til Eurodac er begrenset til å søke etter fingeravtrykk, og det kan først søkes i Eurodac etter at søk i nasjonale fingeravtrykksregistre, visuminformasjonssystemet (VIS) og Prüm-systemet ikke fører til identifisering av vedkommende. Videre skal sammenligningen være «nødvendig» for å forebygge, avdekke eller etterforske terrorhandlinger eller andre alvorlige straffbare handlinger, sammenligningen må være nødvendig i et særskilt tilfelle (dvs. at systematiske sammenligninger ikke skal utføres), og det må være rimelige grunner til å anta at sammenligningen «vil bidra i vesentlig grad til forebygging, avdekking og etterforskning av noen av de aktuelle straffbare handlinger». Det er også fastsatt nødvendige garantier som skal sikre beskyttelsen av den grunnleggende rett til privatlivet for personer hvis personopplysninger behandles i Eurodac. Det er bl.a. begrensninger på hvem som kan anmode om sammenligning, anmodningen må være begrunnet, og det er systemer for kontroll, merking og sperring av opplysninger samt loggføring. Videre er det krav om at direktiv (EU) 2016/680 (personverndirektivet) får anvendelse på nasjonale myndigheters behandling av personopplysninger for rettshåndhevelsesformål, og det er regler om sletting av personopplysninger og opplysninger om søk. Direktivet er, som allerede nevnt, implementert i politiregisterloven med tilhørende forskrift. Rettshåndhevende myndigheters videre behandling av opplysninger fra treff etter søk for rettshåndhevelsesformål reguleres av de alminnelige reglene om behandling av opplysninger i politiregisterlovgivningen.

For øvrig vises det til Eurodac II-forordningens fortale punkt 8 til 15 som bl.a. inneholder en vurdering av behovet for utvidelsen av formålet, konsekvenser for den registrerte og behovet for personverntiltak.

Departementets konklusjon

Departementet mener det er tungtveiende samfunnsmessig behov for å gi rettshåndhevende myndigheter og Europol tilgang til å sammenligne fingeravtrykksopplysninger med Eurodac-opplysninger med henblikk på å forebygge, avdekke eller etterforske terrorhandlinger eller andre alvorlige straffbare handlinger. Tiltaket er nødvendig og forholdsmessig, og det er ikke avgjørende personvernhensyn som taler mot at Eurodac II-forordningens bestemmelser om sammenligning av opplysninger for rettshåndhevelsesformål inkorporeres i norsk rett.

Departementet legger til grunn at ratifikasjon av protokollen og endringene i utlendingsloven § 101 er forenelig med de forpliktelsene vi har etter Grunnloven, personvernlovgivningen og internasjonale menneskerettigheter.