8 Behandling av personopplysninger

8.1 Innledning

I dette kapittelet foreslår departementet endringer i bestemmelsen om behandling av personopplysninger i introduksjonsloven § 25. Formålet er at bestemmelsen skal være i tråd med EUs nye personvernforordning og at den er fleksibel nok til at det kan settes i gang nye tiltak for introduksjonslovens målgruppe. Departementet foreslår at bestemmelsen deles i tre nye bestemmelser, der § 25 gir et generelt behandlingsgrunnlag og hjemmel for utveksling av personopplysninger, § 25 a gir hjemmel for opprettelse av personregistre og regulerer kommunens plikt til å registrere personopplysninger og § 25 b regulerer adgangen til å pålegge personopplysninger utlevert.

8.2 Bakgrunn

8.2.1 Aktører som behandler personopplysninger

En rekke ulike aktører behandler i dag personopplysninger for introduksjonslovens målgruppe.

Integrerings- og mangfoldsdirektoratet (IMDi) er departementets fagorgan og skal iverksette integreringspolitikken på departementets ansvarsområde. IMDi har hovedansvar for bosetting av nyankomne innvandrere, er kompetansesenter for kommuner og øvrige aktører og forvalter en rekke tilskudd til kommunene. Direktoratet følger også opp kommunenes gjennomføring av opplæring i norsk og samfunnskunnskap og introduksjonsprogram, og utbetaler tilskudd for dette.

Kommunene har ansvar for gjennomføring av introduksjonsprogrammet og opplæring i norsk og samfunnskunnskap. Vertskommuner for mottak har mulighet til å organisere opplæring i norsk og opplæring i norsk kultur og norske verdier for asylsøkere. Etter anmodning fra IMDi har kommunene ansvar for å bosette nyankomne innvandrere med oppholdstillatelse. Kommunene vedtar hvor mange personer de kan ta imot, skaffer boliger og legger til rette for et likeverdig tjenestetilbud.

Barne-, ungdoms- og familieetaten (Bufetat) har ansvar for enslige mindreårige asylsøkere under 15 år og skal tilby dem opphold på omsorgssenter frem til bosetting eller retur, jf. lov 17. juli 1992 nr. 100 om barneverntjenester (barnevernloven) § 5A-1. Etter innvilget oppholdstillatelse inngår Bufetat (ved regionkontoret) avtale med en kommune om bosetting av barnet, etter at IMDi har skaffet kommuneplass.

Kompetanse Norge skal ivareta faglig og pedagogisk utvikling av opplæring i norsk og samfunnskunnskap for voksne innvandrere samt opplæring i norsk og opplæring i norsk kultur og norske verdier for asylsøkere. I tillegg har Kompetanse Norge ansvar for utvikling, vedlikehold og tilrettelegging for avvikling av avsluttende prøver i norsk og samfunnskunnskap, i tillegg til statsborgerprøven.

Fylkesmannen er klageinstans for enkeltvedtak truffet etter introduksjonsloven, jf. introduksjonsloven § 22 annet ledd. Alle sider av vedtaket kan prøves, med den begrensning at endring av vedtak etter prøving av det frie skjønn bare kan skje når skjønnet er åpenbart urimelig, jf. § 22 annet ledd. Fylkesmannen fører også tilsyn med ordningene, jf. introduksjonsloven § 23.

Utlendingsdirektoratet (UDI) bruker personopplysningene i sin behandling av søknader om permanent oppholdstillatelse og statsborgerskap. Mottakene behandler opplysninger om kompetanse som oppfølging av bosettingsforberedende samtale med asylsøkerne. I tillegg brukes opplysningene for beboermedvirkning i mottakene. Offentlige karrieresentre eies av fylkeskommunene og driver karriereveiledning, blant annet for beboere i mottak. Karrieresentrene behandler personopplysninger for dette formålet. Arbeids- og velferdsetaten samarbeider med kommunene om planlegging og gjennomføring av introduksjonsprogram og driver blant annet karriereveiledning i integreringsmottak. Statistisk sentralbyrå (SSB) bruker anonymiserte opplysninger i sin statistikk og Direktoratet for økonomistyring (DFØ) får informasjon om hvilket tilskuddsbeløp som skal utbetales til kommunene.

Denne gjennomgangen viser bare hovedaktørene per i dag. I fremtiden kan det både tilkomme nye aktører og oppgaver kan omfordeles.

8.2.2 Personkrets

Hvem som er omfattet av ordningene i introduksjonsloven følger av §§ 2 og 17. Som følge av forslaget om å innføre en plikt til å delta i opplæring for asylsøkere i mottak, foreslås det også å utvide lovens formålsbestemmelse, slik at asylsøkere også inngår i lovens personkrets.

Med virkning fra 1. januar 2017 stilles det krav om dokumenterte språklige ferdigheter og bestått prøve i samfunnskunnskap for å få permanent oppholdstillatelse og statsborgerskap, jf. henholdsvis utlendingsloven § 62 første ledd bokstav d og e og statsborgerloven § 8 annet ledd. Kravene gjelder også for personer som ikke har hatt rettigheter eller plikter etter introduksjonsloven, altså for innvandrere som ikke er nyankomne. Disse personene melder seg opp til prøvene som privatister. På bakgrunn av dette er det behov for å behandle personopplysninger for flere enn de som omfattes av introduksjonsloven.

Privatistene avlegger de samme prøvene som personer som omfattes av introduksjonsloven. De avlegges også samtidig. Det er derfor mest hensiktsmessig om behandling av personopplysninger for begge gruppene har samme hjemmelsgrunnlag.

8.2.3 Behovet for endringer i introduksjonsloven § 25

Se generell omtale av den nye personvernforordningen i punkt 2.2 ovenfor. Som nevnt er forordningen enda ikke en del av EØS-avtalen, og ikke all behandling av personopplysninger etter introduksjonsloven vil falle under forordningens virkeområde. Det er imidlertid hensiktsmessig å ta utgangspunkt i forordningen ved endringer i introduksjonsloven, da det er foreslått at forordningen skal gjelde tilsvarende utenfor EØS-avtalens virkeområde. I det følgende omtales noen endringsbehov på introduksjonslovens område.

Samtykke

Det må vurderes hvorvidt gjeldende praksis om bruk av samtykke må endres. Den nye personvernforordningen stiller strengere krav til bruk av samtykke som behandlingsgrunnlag enn gjeldende rett.

I dag innhentes helseopplysninger fra helsepersonell gjennom bruk av samtykkeerklæring. Samtykkeerklæringen gjelder både unntak fra helsepersonellets taushetsplikt og samtykke til behandling av opplysningene. Opplysningene brukes blant annet for å tilrettelegge tilbudet i kommunen og i søknader om tilskudd for bosetting av personer med alvorlige funksjonshemminger eller atferdsvansker. Samtykke er en frivillig, spesifikk, informert og utvetydig aksept fra den registrerte om at vedkommende aksepterer behandling av egne personopplysninger, jf. forordningen artikkel 4 nr. 11.

Adgangen til å bruke samtykke som behandlingsgrunnlag beror på en nærmere vurdering, der det tas utgangspunkt i kravene som stilles til samtykke, herunder kravet til frivillighet. Dersom samtykke ikke kan anses frivillig avgitt er det ikke adgang til å bruke samtykke som behandlingsgrunnlag. I vurderingen skal det blant annet tas hensyn til skjevheten mellom den behandlingsansvarlige og den registrerte samt eventuelle negative konsekvenser ved ikke å samtykke.

Offentlige myndigheters behandling av personopplysninger er i forordningens fortale punkt 43 trukket frem som eksempel på et tilfelle der det kan foreligge en klar skjevhet mellom den behandlingsansvarlige og den registrerte. Denne skjevheten kan gjøre det usannsynlig at samtykket er avgitt frivillig med hensyn til alle omstendigheter som kjennetegner situasjonen.

Det fremgår av fortalen punkt 42 at et samtykke ikke anses for å være frivillig dersom det ikke foreligger reell valgfrihet eller der nektelse av samtykke er til skade for vedkommende. Videre fremgår det av punkt 43 at et samtykke ikke antas å være gitt frivillig der en avtale ikke kan oppfylles uten at samtykke gis. Dette må vurderes for hvert enkelt tilfelle der det kan være aktuelt å benytte samtykke som behandlingsgrunnlag ved utøvelse av offentlig myndighet.

Viderebehandling av personopplysninger

Mange personopplysninger som behandles for introduksjonslovens målgruppe er innhentet for andre formål. Det kan også være behov for å bruke personopplysninger som er innhentet for formålene etter introduksjonsloven til andre formål. Dette utgjør viderebehandling av personopplysninger. I forordningens fortale punkt 50 fremgår det at behandling av personopplysninger for andre formål enn de opprinnelig ble innsamlet for bare bør være tillatt dersom behandlingen er forenlig med de opprinnelige formålene. Dette prinsippet følger også av gjeldende rett, jf. personopplysningsloven § 11 første ledd bokstav c, men er ytterligere presisert i den nye forordningen. Videre i punkt 50 følger det at det kan fastsettes i nasjonal rett hvilke formål viderebehandling av opplysningene bør anses forenlig og lovlig for. Det er en forutsetning at behandlingen er nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet. I utgangspunktet kreves det ikke at formålene er forenlige dersom viderebehandling bygger på hjemmel i nasjonal rett.

Det følger av forordningen artikkel 5 nr. 1 bokstav b at personopplysninger ikke skal viderebehandles på en måte som er uforenlig med formålene de opprinnelig ble innhentet for. I vurderingen av om behandling for et annet formål er forenlig med formålet personopplysningene opprinnelig ble innhentet for, tas det blant annet hensyn til enhver forbindelse mellom formålene, forholdet mellom den registrerte og den behandlingsansvarlige, personopplysningenes art og mulige konsekvenser av viderebehandlingen, jf. artikkel 6 nr. 4.

Artikkel 6 nr. 4 åpner også for at personopplysninger kan viderebehandles til andre formål når viderebehandlingen bygger på nasjonal rett. Det nasjonale rettsgrunnlaget må utgjøre et nødvendig og forholdsmessig tiltak i et demokratisk samfunn for å verne de viktige samfunnsmessige målene som er nevnt i artikkel 23 nr. 1. Målene i artikkel 23 nr. 1 gjelder blant annet nasjonal og offentlig sikkerhet, andre mål av generell samfunnsinteresse for medlemsstaten, straffeforfølgning og vern av den registrertes interesser eller andres rettigheter og friheter. I en forholdsmessighetsvurdering kan det ha betydning om formålene er forenlige, og det vil derfor være en fordel om det gjøres en vurdering av forenligheten ved utarbeidelsen av det nasjonale rettsgrunnlaget.

Fleksibilitet og forenkling

Det settes stadig i gang nye tiltak og ordninger for personer i introduksjonslovens målgruppe. Bestemmelsen om behandling av personopplysninger i introduksjonsloven gir i dag en konkret opplisting av tiltak det kan behandles personopplysninger for. En utfordring ved dette er at opplistingen blir utdatert når nye tiltak prøves ut. Forrige endring av introduksjonsloven § 25 skjedde i 2015, se Prop. 70 L (2014–2015). Det måtte da gis hjemmel for behandling av personopplysninger for bosetting av innvandrere og utbetaling av tilskudd. Siden 2015 har det skjedd mye på introduksjonslovens område, noe som gjør at § 25 ikke lenger er dekkende for den behandlingen av personopplysninger som er nødvendig.

Ønsket om økt fleksibilitet innebærer at bestemmelsen må gi et mer overordnet behandlingsgrunnlag enn i dag. Det må legges til rette for at aktører kan endre navn og at oppgaver omfordeles uten at dette krever endring av loven. Aktører som til enhver tid har oppgaver innenfor introduksjonsloven må få tilgang til nødvendige personopplysninger. Svært få aktører gis i dag tilgang til opplysningene gjennom bestemmelsen om utlevering i § 25 fjerde ledd, selv om den er formulert generelt. I praksis er det bare IMDi og kommunene som får direkte tilgang til Nasjonalt introduksjonsregister (NIR). Fylkesmannen er gitt uttrykkelig lesetilgang gjennom NIR-forskriften § 10 og utlendingsmyndighetene får overført nødvendige opplysninger, jf. NIR-forskriften § 11. Som gjennomgangen ovenfor har vist, er det flere aktører som har oppgaver innenfor formålene, og disse bør kunne få tilgang til personopplysningene der det er hensiktsmessig.

Introduksjonsloven § 25 er til dels uklar slik den er utformet i dag. Det har blant annet vært uklart hvilket ledd som gir hjemmel for utlevering av opplysningene og til hvilke aktører, samt hvorvidt organisasjoner og private likestilles med offentlige organer ved både innhenting og utlevering av opplysninger. Dette nødvendiggjør en opprydning.

8.3 Gjeldende rett

8.3.1 Grunnloven

Grunnloven § 102 verner den enkeltes rett til respekt for privatliv, familieliv, hjem og kommunikasjon. Dette omfatter den enkeltes personvern og beskyttelse av egne personopplysninger. Bestemmelsen er basert på Den europeiske menneskerettighetskonvensjonen (EMK) artikkel 8, som omtales nedenfor.

8.3.2 Internasjonalt regelverk

EMK artikkel 8 gir rett til respekt for privatliv og familieliv. Retten til privatliv omfatter beskyttelse av den enkeltes personopplysninger. Selve vernet fremgår av artikkel 8 første ledd, mens annet ledd gir regler om hvilke vilkår som må være oppfylt for at inngrep i retten til privatliv er berettiget. Aktørenes behandling av personopplysninger er et inngrep i retten til privatliv som må oppfylle vilkårene i annet ledd dersom de skal gjennomføres. I henhold til annet ledd må behandlingen være i samsvar med loven og nødvendig i et demokratisk samfunn (forholdsmessig) for å ivareta ulike legitime formål, blant annet offentlig trygghet, forebygge uorden eller kriminalitet og beskyttelse av andres rettigheter og friheter.

Tilsvarende rettighet følger også av FNs konvensjon om sivile og politiske rettigheter (SP) artikkel 17. Både EMK og SP gjelder som norsk lov, jf. lov 21. mai 1999 nr. 30 om styrking av menneskerettighetenes stilling i norsk rett (menneskerettsloven) § 2.

Europaparlaments- og rådsdirektiv 95/46/EF av 24. oktober 1995 om beskyttelse av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger (personverndirektivet) har som siktemål å etablere felles reguleringsprinsipper og et ensartet vern for behandling av personopplysninger i hele EU-området. Personverndirektivet er gjennomført i norsk rett ved personopplysningsloven. I mai 2018 erstattes direktivet av den nye personvernforordningen, se punkt 2.2 ovenfor.

Europarådets konvensjon 28. januar 1981 nr. 108 om personvern i forbindelse med elektronisk databehandling av personopplysninger ble ratifisert av Norge 20. februar 1984. Formålet med konvensjonen er å sikre respekten for frihet og andre grunnleggende rettigheter i forbindelse med lagring og håndtering av personopplysninger. Europarådskonvensjonen er senere fulgt opp av ulike rekommandasjoner (anbefalinger) som tar for seg mer avgrensede områder og gir mer detaljerte regler enn konvensjonen.

EUs charter om grunnleggende rettigheter fra 2000 artikkel 7 gir rett til respekt for privatliv, familieliv, hjem og kommunikasjon. Charteret er ikke innlemmet i EØS-avtalen, men får betydning for norsk rett gjennom praksis fra EU-domstolen og dens forbindelse til EMK. Artikkel 8 i charteret gir en selvstendig rett til beskyttelse av personlig informasjon. Den registrerte har også rett til innsyn i opplysninger som er innsamlet om vedkommende selv.

8.3.3 Personopplysningsloven og personopplysningsforskriften

Lov 14. april 2000 nr. 31 om behandling av personopplysninger (personopplysningsloven) regulerer behandling av personopplysninger som helt eller delvis skjer med elektroniske hjelpemidler og annen behandling av personopplysninger når disse inngår eller skal inngå i et personregister, jf. § 3 første ledd. Loven får anvendelse også på behandling av personopplysninger som skjer i medhold av særlovgivningen.

Personopplysningsloven § 2 definerer en rekke sentrale begreper. «Personopplysninger» defineres som opplysninger og vurderinger som kan knyttes til en enkeltperson. Med «behandling av personopplysninger» menes enhver bruk av personopplysninger, som for eksempel innsamling, registrering, sammenstilling, lagring og utlevering eller en kombinasjon av slike bruksmåter. «Behandlingsansvarlig» defineres som den som bestemmer formålet med behandling av personopplysninger og hvilke hjelpemidler som skal brukes. «Databehandler» er den som behandler personopplysninger på vegne av den behandlingsansvarlige og «registrert» er den som en personopplysning kan knyttes til. «Samtykke» forstås som en frivillig, uttrykkelig og informert erklæring fra den registrerte om at han eller hun godtar behandling av opplysninger om seg selv.

I personopplysningsloven § 2 skilles det mellom personopplysninger og sensitive personopplysninger. Sensitive personopplysninger defineres i § 2 nr. 8 som opplysninger om rasemessig eller etnisk bakgrunn, eller politisk, filosofisk eller religiøs oppfatning; at en person har vært mistenkt, siktet, tiltalt eller dømt for en straffbar handling; helseforhold; seksuelle forhold og medlemskap i fagforeninger. Det stilles strengere krav til behandling av sensitive personopplysninger enn til behandling av ikke-sensitive personopplysninger, jf. personopplysningsloven §§ 8 og 9.

Grunnkravene til behandling av personopplysninger fremgår av personopplysningsloven § 11. Det følger av bestemmelsens første ledd bokstav a at den behandlingsansvarlige skal sørge for at personopplysninger bare behandles når det er tillatt etter §§ 8 og 9. Etter § 8 i personopplysningsloven kan personopplysninger bare behandles dersom den registrerte har samtykket, eller det er fastsatt i lov at det er adgang til slik behandling, eller behandlingen er nødvendig for:

• å oppfylle en avtale med den registrerte,

• at den behandlingsansvarlige skal kunne oppfylle en rettslig forpliktelse,

• å vareta den registrertes vitale interesser,

• å utføre en oppgave av allmenn interesse,

• å utøve offentlig myndighet, eller

• at den behandlingsansvarlige eller tredjepersoner opplysningene utleveres til kan vareta en berettiget interesse og hensynet til den registrertes personvern ikke overstiger denne interessen.

Etter personopplysningsloven § 11 første ledd bokstav b skal den behandlingsansvarlige sørge for at personopplysningene bare benyttes til uttrykkelig angitte formål som er saklig begrunnet i den behandlingsansvarliges virksomhet. Opplysningene kan heller ikke uten samtykke fra den registrerte brukes til andre formål som er uforenlig med det opprinnelige formålet med innsamlingen, jf. § 11 første ledd bokstav c.

Den registrerte har en rekke rettigheter overfor den behandlingsansvarlige ved behandling av personopplysninger. Disse rettighetene fremgår av personopplysningsloven kapittel III og IV. Etter personopplysningsloven § 18 har den registrerte rett til innsyn i hva slags behandling av personopplysninger en behandlingsansvarlig foretar, herunder formålet med behandlingen, hvor opplysningene er hentet fra, hvem opplysningene utleveres til, hvilke opplysninger som behandles og sikkerhetstiltakene ved behandlingen.

Behandlingsansvarlig har plikt til å informere den registrerte om behandlingen etter personopplysningsloven §§ 19 og 20. Den registrerte kan kreve at denne informasjonen gis skriftlig.

Videre kan den registrerte fremme begjæring om retting hvis det behandles personopplysninger som er uriktige, ufullstendige eller som det ikke er lovlig adgang til å behandle, jf. personopplysningsloven § 27.

Forskrift 15. desember 2000 nr. 1265 om behandling av personopplysninger (personopplysningsforskriften) gir utfyllende regler til personopplysningsloven, blant annet om informasjonssikkerhet og melde- og konsesjonsplikt. Krav til informasjonssikkerhet reguleres i kapittel 2, der det i § 2-1 fremgår at informasjonssikkerhetstiltak som treffes skal stå i forhold til sannsynligheten for og konsekvensen av sikkerhetsbrudd. Dette innebærer at det stilles strengere krav til informasjonssikkerheten for sensitive personopplysninger enn ikke-sensitive personopplysninger.

8.3.4 Taushetsplikt

8.3.4.1 Forvaltningsloven

Taushetsplikt i offentlig forvaltning reguleres i forvaltningsloven §§ 13 flg. Alle som utfører arbeid eller tjeneste for et forvaltningsorgan skal hindre at andre får kjennskap til informasjon vedkommende får vite om «noens personlige forhold», jf. § 13. Presiseringer og unntak følger av §§ 13a flg.

De fleste opplysningene som behandles etter introduksjonsloven angår «noens personlige forhold» og er dermed taushetsbelagte.

Forvaltningsloven § 13 f annet ledd fastsetter at bestemmelser i andre lover om rett eller plikt til å gi opplysninger ikke begrenser lovbestemt taushetsplikt, bortsett fra hvis bestemmelsen fastsetter eller klart forutsetter at taushetsplikten ikke gjelder.

8.3.4.2 Helsepersonell

Hovedregelen om helsepersonells taushetsplikt fremgår av lov 2. juli 1999 nr. 64 om helsepersonell m.v. (helsepersonelloven) § 21. Helsepersonell som i egenskap av å være helsepersonell får adgang eller kjennskap til opplysninger om folks «legems- eller sykdomsforhold eller andre personlige forhold», skal hindre at andre får kjennskap til dette.

Lov 24. juni 2011 nr. 30 om kommunale helse- og omsorgstjenester m.m. (helse- og omsorgstjenesteloven) § 12-1 fastsetter at personer som utfører tjeneste eller arbeid etter loven har taushetsplikt i medhold av forvaltningsloven §§ 13 flg.

Taushetsplikten etter helsepersonelloven § 21 er ikke til hinder for at opplysninger gis videre etter regler fastsatt i lov eller i medhold av lov, men det er en forutsetning at det er uttrykkelig fastsatt eller klart forutsatt at taushetsplikten ikke skal gjelde, jf. helsepersonelloven § 23 nr. 6. Dersom dette ikke er tilfelle kan opplysninger ikke gis videre selv om det foreligger lovhjemmel.

8.3.5 Utvalgte personvernprinsipper

Ut fra det internasjonale personvernregelverket kan det utledes noen grunnleggende prinsipper for personvern. Prinsippene er generelle rettslige normer som fungerer som retningslinjer for datatilsynsmyndigheter, domstoler og andre som foretar skjønnsmessige avveininger, og ved utforming av lov og forskrift. Personvernforordningen angir prinsipper for behandling av personopplysninger i artikkel 5. Noen personvernprinsipper gjennomgås kort i det følgende.

8.3.5.1 Formålsbestemthet

Innsamling av personopplysninger skal bare skje for å oppnå bestemte, legitime formål. Opplysningene skal brukes i samsvar med disse formålene. Formålene må angis presist og ha saklig sammenheng med den behandlingsansvarliges virksomhet.

Dette prinsippet kommer til uttrykk i personverndirektivet artikkel 6 nr. 1 bokstav b, personopplysningsloven § 11 første ledd bokstav b og c og personvernforordningen artikkel 5 nr. 1 bokstav b.

8.3.5.2 Minimalitet og proporsjonalitet

Prinsippet om minimalitet innebærer at bare personopplysninger som er nødvendige for å realisere formålet skal innsamles og behandles, se personverndirektivet artikkel 6 nr. 1 bokstav c, personopplysningsloven § 11 første ledd bokstav d og personvernforordningen artikkel 5 nr. 1 bokstav c. Opplysningene må være nødvendige. Det er ikke tilstrekkelig at opplysningene kan være nyttige. Minimalitetsprinsippet innebærer også at opplysninger skal slettes når de ikke lenger er nødvendige for formålet, se personverndirektivet artikkel 6 nr. 1 bokstav e og personopplysningsloven § 11 første ledd bokstav e. Dersom identitet ikke er nødvendig for å oppnå formålet skal identifiserende opplysninger utelates.

Proporsjonalitetsprinsippet krever at behandlingen av personopplysninger er forholdsmessig opp mot formålet som skal oppnås. Behandlingen skal ikke føre til en urimelig belastning for den registrertes integritet eller selvråderett. Alternativet som griper minst inn i den enkeltes personvern skal velges, dersom man kan velge mellom flere måter å behandle personopplysninger på.

8.3.5.3 Informasjon og innsyn

Den registrerte har rett til å bli informert om innsamling og bruk av personopplysningene og rett til å få innsyn i hva som er registrert. Dersom opplysningene er feilaktige eller misvisende, skal det gis mulighet til å få slettet eller korrigert dem.

8.3.6 Introduksjonsloven

Introduksjonsloven § 25 første ledd første punktum gir hjemmel for opprettelse av nasjonale personregistre. I disse personregistrene kan det behandles opplysninger som er nødvendige for «gjennomføring, oppfølging og evaluering» av introduksjonsprogram, opplæring i norsk og samfunnskunnskap, norskopplæring for asylsøkere, bosetting av innvandrere og tilhørende tilskudd.

I første ledd andre punktum listes det opp hvilke aktører opplysningene kan innhentes fra. Dette er Utlendingsdirektoratet, Utlendingsnemnda, Folkeregisteret, Integrerings- og mangfoldsdirektoratet, barne-, ungdoms- og familieetaten, Vox (nå Kompetanse Norge), kommunene, omsorgssentrene og mottak. Det følger videre av første ledd at disse aktørene kan pålegges å utlevere de opplysninger departementet bestemmer og at opplysningene skal gis uten hinder av lovbestemt taushetsplikt. Unntaket fra taushetsplikten gjelder ikke for helsepersonell, jf. drøftelsen i Prop. 70 L (2014–2015) punkt 4.2.

For behandling av enkeltsaker gir annet ledd kommunen hjemmel til å innhente ytterligere opplysninger enn det som inngår i registre etter første ledd. Slike ytterligere opplysninger kan innhentes fra «andre offentlige organer», som også omfatter organisasjoner og private som utfører oppgaver for stat, fylkeskommune og kommune, jf. § 25 tredje ledd. Utlevering av ytterligere opplysninger skal skje etter taushetspliktreglene for avgiverorganet.

Fjerde ledd er den generelle hjemmelen for utlevering av opplysningene som behandles etter første ledd. Offentlige organer som har behov for opplysningene i forbindelse med gjennomføring, oppfølging og evaluering av «ordningene» kan få opplysningene utlevert. Med «ordningene» menes introduksjonsprogram, opplæring i norsk og samfunnskunnskap, norskopplæring for asylsøkere, bosetting av innvandrere og tilhørende tilskudd, jf. merknadene til § 25 fjerde ledd i Prop. 70 L (2014–2015) kapittel 9. Hvis det er tilstrekkelig skal opplysningene utleveres i statistisk form eller ved at individualiserende kjennetegn på annen måte utelates.

Femte ledd gir departementet adgang til å gi nærmere regler om behandling av opplysningene i forskrift. Dette inkluderer hvilke organer som kan behandle opplysningene, hvilke opplysninger som kan utleveres og til hvilke organer. Forskrift 20. april 2005 nr. 342 om et nasjonalt personregister for introduksjonsordning og opplæring i norsk og samfunnskunnskap for nyankomne innvandrere (Nasjonalt introduksjonsregister) (NIR-forskriften) regulerer blant annet hvilke personopplysninger som behandles for de forskjellige formålene og kommunens plikt til å registrere personopplysninger.

8.4 Behandlingsgrunnlag

8.4.1 Forslaget i høringsnotatet

Departementet foreslo at offentlige organer kan behandle personopplysninger som er nødvendige for å kvalifisere innvandrere, å bosette innvandrere, å utbetale tilskudd for kvalifisering og bosetting og for å behandle søknader etter utlendingsloven og statsborgerloven. Disse formålene er mer generelle enn formålene i dagens § 25. Generaliseringen ble foreslått for å gjøre bestemmelsen mer fleksibel for endringer i tiltak for introduksjonslovens målgruppe. Departementet vurderte om forskning burde inntas som et eget formål i bestemmelsen, men la til grunn at personvernforordningen i tilstrekkelig grad tillater viderebehandling av personopplysninger til forskningsformål. Departementet foreslo å bruke begrepet «innvandrere» fordi det behandles personopplysninger om en videre krets av personer enn de som er omfattet av introduksjonsprogram og opplæring etter introduksjonsloven.

Departementet foreslo å bruke begrepet «offentlige organer» gjennomgående. Det ble foreslått å videreføre hvem som regnes som offentlig organ i henhold til introduksjonsloven § 25. Presiseringen innebærer at organisasjoner og private som utfører oppgaver for stat, fylkeskommune eller kommune regnes som offentlig organ.

I høringsnotatet ble behandling av personopplysninger foreslått regulert i ny § 28.

8.4.2 Høringsinstansenes syn

Arbeids- og velferdsdirektoratet støtter forslaget og er positive til at det nå åpnes for at Arbeids- og velferdsetaten kan få tilgang til personopplysninger om denne gruppen ut fra etatens rolle i integreringsforløpet.

Flyktningtjenesten i Nannestad kommune uttaler at det er nødvendig å behandle sensitive personopplysninger for å kunne veilede og bistå deltakerne i introduksjonsprogrammet.

IMDi stiller seg hovedsakelig bak forslaget om å gjøre lovhjemmelen for behandling av personopplysninger mer overordnet og fleksibel. IMDi er positiv til at behandlingsgrunnlaget uttrykkelig omfatter sensitive personopplysninger, såfremt det gis retningslinjer for vurderingen i rundskriv.

Kompetanse Norge støtter forslaget om ny § 28 og er enig i at det er hensiktsmessig å regulere behandling av personopplysninger mer overordnet med klarere juridisk grunnlag enn det er i dag. Kompetanse Norge bemerker imidlertid at begrepet «kvalifisering» må defineres til også å omfatte det å dokumentere norskferdigheter og kunnskap om samfunnet, fordi en stor andel av kandidatene som avlegger norskprøven ikke gjør det som avslutning på et kvalifiseringsløp. Kompetanse Norge uttaler at begrepet «innvandrere» ikke er dekkende for alle som avlegger prøver. Norske statsborgere som har skolegang fra andre land kan for eksempel avlegge norskprøve for å dokumentere norskkunnskaper for opptak til høyere utdanning. Kompetanse Norge foreslår at forslaget til § 28 første ledd bokstav d endres til «å bidra til å oppfylle krav i utlendingsloven og statsborgerloven», for å gi en mer presis beskrivelse av formålet. Kompetanse Norge mener også at forskning bør tas inn som et eget formål, blant annet fordi det i flere tilfeller er behov for å bruke opplysninger med individualiserende kjennetegn for å belyse viktige problemstillinger. Kompetanse Norge viser også til at det er behov for å kunne koble data fra prøvene med data fra deltakelse i opplæring og andre bakgrunnsvariabler.

UDI mener at formålet om behandling av søknader etter utlendingsloven og statsborgerloven ikke bør fremgå av introduksjonsloven, fordi denne behandlingen allerede er hjemlet i utlendingsloven og statsborgerloven. UDI uttaler videre at «offentlige organer» i forslaget til første og sjette ledd er et for vidt begrep. UDI foreslår å benytte begrepet «integreringsmyndighetene» og forklare nærmere i femte ledd hvilke organer begrepet er ment å omfatte.

Røde Kors støtter ikke forslaget til § 28, blant annet fordi hjemmelsgrunnlaget er for generelt og kan medføre en betydelig risiko for krenkelse av personvernet til den enkelte. Røde Kors uttaler at det er vanskelig å foreta en avgrensning av hvilke personopplysninger som er relevante for behandlingen, og at de eksakte formålene med behandlingen av personopplysninger bør spesifiseres nærmere. Røde Kors uttaler at formålene i den felles hjemmelen i introduksjonsloven må konkretiseres, i mangel av en egen lovhjemmel for bosetting.

Røde Kors uttaler videre at en hjemmel for behandling av personopplysninger vedrørende søknader etter utlendingsloven og statsborgerloven hører hjemme i utlendingsloven og statsborgerloven og derfor ikke bør fremgå av introduksjonsloven. Det uttales at forordningen stiller krav om ulike hjemler for behandling av personopplysninger og behandling av sensitive personopplysninger.

Fellesorganisasjonen (FO) og Landsorganisasjonen i Norge (LO) støtter forslagene, forutsatt at de er i samsvar med den nye personvernforordningen.

8.4.3 Departementets vurderinger

8.4.3.1 Lovhjemmel

Departementet foreslår et generelt behandlingsgrunnlag i introduksjonsloven § 25 første ledd. Grunnlaget omfatter behandling av personopplysninger, herunder sensitive personopplysninger.

Hjemmel i lov utgjør et gyldig behandlingsgrunnlag etter personopplysningsloven § 8 første ledd. Etter den nye personvernforordningen er behandling av personopplysninger tillatt dersom behandlingen oppfyller ett av vilkårene i artikkel 6 nr. 1. Behandling av personopplysninger etter introduksjonsloven omfattes av flere av vilkårene i artikkel 6 nr. 1, deriblant bokstav c om å oppfylle en rettslig forpliktelse som påhviler den behandlingsansvarlige, og bokstav e om å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt. For disse behandlingsgrunnlagene kreves det etter artikkel 6 nr. 3 bokstav b et supplerende rettsgrunnlag i medlemsstatenes nasjonale rett, der formålet med behandlingen bør være fastsatt. Det supplerende rettsgrunnlaget må oppfylle et mål i allmennhetens interesse og stå i forhold til det berettigede målet som søkes oppnådd.

Introduksjonsloven har som mål å styrke nyankomne innvandreres mulighet for å delta i yrkes- og samfunnslivet, og styrke deres økonomiske selvstendighet. Samfunnet er tjent med at innvandrere lærer seg norsk og at de kan bidra i samfunnet gjennom arbeid. Dette er mål som er i allmennhetens interesse. Slik det vil fremgå nedenfor, skal det ikke behandles personopplysninger ut over det som er nødvendig for å sikre tilstrekkelig informasjonsgrunnlag for ordningene og tiltakene for introduksjonslovens målgruppe. Det skal kun i begrenset grad behandles personopplysninger som anses som sensitive etter gjeldende rett.

For å behandle sensitive personopplysninger kreves det et behandlingsgrunnlag etter personopplysningsloven § 8, og i tillegg at et av vilkårene i personopplysningsloven § 9 er oppfylt. Det er tilstrekkelig om det er fastsatt i lov at det er adgang til å behandle sensitive personopplysninger, jf. § 9 første ledd bokstav b, så lenge lovbestemmelsen oppfyller det relative kravet til klarhet som følger av legalitetsprinsippet.

Forordningen oppstiller en hovedregel om forbud mot behandling av «særlige kategorier av personopplysninger» i artikkel 9 nr. 1. Hva som utgjør særlige kategorier er i stor grad sammenfallende med det som er ansett som sensitive personopplysninger etter gjeldende rett. Behandling er likevel tillatt dersom et av vilkårene i artikkel 9 nr. 2 er oppfylt. På introduksjonslovens område behandles det sensitive personopplysninger blant annet for å sikre den enkelte et tilrettelagt og trygt botilbud, og tilpasset opplæring. En stor del av behandlingen av slike opplysninger skjer etter samtykke fra den registrerte og oppfyller derfor vilkåret i artikkel 9 nr. 2 bokstav a. Behandling av sensitive personopplysninger for disse formålene er også nødvendig av hensyn til viktige samfunnsinteresser, jf. artikkel 9 nr. 2 bokstav g. Det kreves et supplerende rettsgrunnlag for behandling av sensitive personopplysninger etter artikkel 9 nr. 2 bokstav g. Rettsgrunnlaget skal stå i forhold til målet som søkes oppnådd, være forenlig med retten til vern av personopplysninger og sikre egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser. I forslaget til behandlingsgrunnlag i § 25 begrenses adgangen til å behandle opplysninger av at behandling må være «nødvendig». Nødvendighetskriteriet begrenser hvilke personopplysninger som kan behandles og skal tolkes strengt, se nedenfor i punkt 8.5.3.1. For behandling av sensitive personopplysninger vil departementet gi bestemmelser i forskrift som oppfyller kravene etter personvernforordningen.

Etter departementets vurdering er samtykke ikke et egnet behandlingsgrunnlag for behandling av personopplysninger og sensitive personopplysninger for introduksjonslovens målgruppe. Et eventuelt manglende samtykke ville blant annet fått konsekvenser for bosetting og kvalifiseringstilbudet i kommunen. Et samtykke anses ikke som frivillig i personvernforordningens forstand når manglende samtykke har store konsekvenser for den enkelte, se omtale av forordningens samtykkekrav i punkt 9.2.3 ovenfor.

Departementets forslag er inntatt i utkast til § 25 første ledd.

8.4.3.2 Formål

Formålsangivelsen setter den ytre rammen for behandling av personopplysninger. Som hovedregel skal det ikke behandles opplysninger for andre formål enn de som fremgår av bestemmelsen.

Departementet foreslår en inndeling av formålene for behandling av personopplysninger i § 25 første ledd. Bokstavene a og b gjelder henholdsvis tiltak for å gi asylsøkere kjennskap til norsk språk, kultur og samfunnsliv og tiltak for å gi innvandrere kunnskap og ferdigheter for å kunne delta i det norske samfunnet. Dette vil blant annet dekke behandling av personopplysninger for opplæring i mottak, introduksjonsprogram og opplæring i norsk og samfunnskunnskap.

På introduksjonslovens område brukes begrepet «grunnleggende kvalifisering» når det gjelder tiltak som skal styrke innvandreres muligheter for å delta i yrkes- og samfunnslivet, se for eksempel introduksjonsloven § 2 om rett og plikt til deltakelse i introduksjonsprogram. Grunnleggende kvalifisering innebærer at den enkelte tilegner seg informasjon, kunnskap og ferdigheter, slik at vedkommende er i stand til å delta i arbeid, ordinær utdanning og samfunnsliv. Høyere utdanning omfattes ikke av begrepet grunnleggende kvalifisering slik det forstås i dag. Det kan dermed ikke være et tiltak i introduksjonsprogrammet. Utviklingen går imidlertid i retning av at flere typer tiltak skal kunne inngå i introduksjonsprogrammet. Selv om høyere utdanning ikke kan omfattes i dag, kan samfunnets utvikling med stadig høyere kompetansekrav medføre at dette blir aktuelt i fremtiden. Når målet nå er en mer fleksibel bestemmelse, er det viktig at ordlyden kan omfatte en slik utvikling. Departementet foreslår derfor at behandlingsgrunnlaget dekker selve tiltakene som skal sikre at innvandrere får kunnskap og ferdigheter til å delta i det norske samfunnslivet. På denne måten vil også nye tiltak som ikke lovfestes umiddelbart omfattes.

Departementet foreslår at det skilles mellom asylsøkere og innvandrere. Som gjennomgått i punkt 3.2 er formålet med loven forskjellig for disse to gruppene og dette bør gjenspeiles i behandlingsgrunnlaget.

Kompetanse Norge uttaler som nevnt at forslaget til behandlingsgrunnlag i høringsnotatet ikke fullt ut er dekkende for behandling av personopplysninger om personer som avlegger prøver i norsk og samfunnskunnskap, både fordi definisjonen av kvalifisering må utvides og fordi «innvandrere» er et for snevert begrep. Introduksjonsloven retter seg mot asylsøkere og nyankomne innvandrere. Forslaget i høringsnotatet om å bruke begrepet «innvandrere» uten begrensningen i at de må være nyankomne, hadde sin bakgrunn i behovet for å utvide virkeområdet sammenlignet med resten av loven. Departementet er imidlertid enig med Kompetanse Norge i at begrepet ikke er dekkende for andre enn innvandrere som avlegger prøver. Det finnes ingen annen lovhjemmel som kan gi grunnlag for å behandle personopplysninger om norske statsborgere eller EU-borgere som avlegger prøver for å dokumentere sine ferdigheter. Departementet foreslår å bøte på dette problemet ved å gi en ny bokstav c i formålsangivelsen om at det kan behandles personopplysninger som er nødvendige for gjennomføring av prøver for dokumentasjon av norskferdigheter og samfunnskunnskap. Denne delen av formålet får et videre anvendelsesområde enn resten av bestemmelsen. Dette foreslås for å sikre et tydelig behandlingsgrunnlag for all gjennomføring av prøver på tvers av målgruppene. Statsborgerprøven er en prøve i samfunnskunnskap og omfattes derfor av formålet.

Bosetting av flyktninger reguleres ikke av lov. Bosetting og deltakelse i ordninger etter introduksjonsloven er imidlertid nært knyttet sammen. Behandling av personopplysninger skjer i et stort omfang når det gjelder bosetting og det er viktig med et klart behandlingsgrunnlag. Uten egen lovhjemmel for bosetting reguleres dette best i introduksjonsloven, der formålet er å styrke nyankomne innvandreres mulighet for deltakelse i samfunnslivet. Heller ikke tilskuddene som utbetales til kommune er lovregulert, dette reguleres i årlige rundskriv. De samme hensynene som taler for at behandling av personopplysninger om bosetting reguleres i introduksjonsloven taler for at dette også gjelder tilskudd. Departementet foreslår at bosetting og tilskudd fremgår som formål i bokstavene d og e. Forslaget er språklig justert sammenlignet med forslaget i høringsnotatet.

Departementet gjør endringer i forslaget som følge av innspillene fra UDI og Røde Kors om at formålet om behandling av søknader etter utlendingsloven og statsborgerloven ikke bør fremgå av introduksjonsloven. Dermed tas forslaget til bokstav d i høringsnotatet ut. Opplysninger som innhentes for formålene i introduksjonsloven er imidlertid sentrale for behandling av slike søknader. Departementet ser derfor at det er behov for å kunne viderebehandle opplysningene til slike formål, se punkt 8.7 nedenfor.

Departementet merker seg Kompetanse Norges innspill om at forskning bør inntas som eget formål og gi hjemmel for sammenkobling av data. Opplysningene som behandles for gruppen som omfattes av introduksjonsloven brukes i stor grad til forskning og statistikk. Departementet justerer imidlertid ikke forslaget som følge av innspillet.

Det fremgår av punkt 50 i fortalen til den nye personvernforordningen at viderebehandling av personopplysninger til forskning eller statistiske formål bør anses som forenlig med formålene opplysningene opprinnelig ble innsamlet for. Fortalepunkt 157 omtaler sammenkobling av data og fremhever at dette bør kunne skje, med forbehold for at det fastsettes nødvendige garantier i nasjonal rett.

Adgangen til viderebehandling for forskningsformål har kommet til uttrykk i forordningen artikkel 5 nr. 1 bokstav b, der det fremgår at viderebehandling av personopplysninger for blant annet statistiske formål i samsvar med artikkel 89 nr. 1 ikke skal anses som uforenlig med de opprinnelige formålene. Artikkel 89 nr. 1 gir anvisning på garantier og tiltak ved behandling for blant annet vitenskapelig forskning og statistiske formål, for å sikre den registrertes rettigheter og friheter. Et tiltak kan være pseudonymisering, som innebærer at personopplysningene ikke lenger kan knyttes til den registrerte uten bruk av tilleggsopplysninger.

Når opplysningene benyttes til forskningsformål skal utlevering som hovedregel skje uten individualiserende kjennetegn. Det er liten risiko for at dette vil påvirke den enkelte. I noen tilfeller er det behov for å viderebehandle opplysninger med individualiserende kjennetegn til forskningsformål. Etter departementets vurdering er også dette tillatt etter forordningen artikkel 5 nr. 1 bokstav b, jf. artikkel 89 nr. 1. Det samme gjelder sammenkobling av data. Behandling av personopplysninger til forskningsformål må uansett følge personvernforordningen. På dette grunnlag er departementets vurdering at viderebehandling av personopplysninger for forskning har tilstrekkelig hjemmel i personvernforordningen og dermed ikke inntas som selvstendig formål i forslaget til introduksjonsloven § 25 første ledd.

Departementet vil utrede en bestemmelse som sikrer at den enkelte skal kunne reservere seg mot bruk av personopplysninger til forskningsformål, med bakgrunn i retten til å råde over egne personopplysninger.

Departementets forslag er inntatt i utkast til § 25 første ledd.

8.4.3.3 Offentlige organer

Det er offentlige organer som kan behandle personopplysninger etter introduksjonsloven § 25. Det presiseres i femte ledd at også organisasjoner og private som utfører oppgaver for formålene nevnt i første ledd for stat, fylkeskommune eller kommune regnes som offentlige organer.

Begrepet «integreringsmyndighetene», slik UDI foreslår i sin høringsuttalelse, er ikke et innarbeidet begrep og det er vanskelig å definere. Mange av aktørene innenfor integreringsfeltet har andre roller og oppgaver, noe som fører til at de ikke alltid vil kunne dekkes av et begrep som integreringsmyndighetene. Oppgaver kan videre flyttes mellom aktører og aktører kan legges ned, opprettes eller endre navn. Begrepsbruken må være forståelig for de som skal anvende regelverket og samtidig fleksibel nok til å muliggjøre endringer i rollefordeling uten at det skal kreve lovendring.

Behandling kan bare skje når det er nødvendig for å utføre oppgaver i forbindelse med formålene. Nødvendighetskriteriet skal avgrense både hvilke organer som kan behandle personopplysninger og hvilke personopplysninger som kan behandles. Organet kan bare behandle personopplysninger etter introduksjonsloven § 25 når det er nødvendig for å utføre oppgaver for formålene nevnt i første ledd.

Ved at også organisasjoner og private som utfører oppgaver for stat, fylkeskommune eller kommune regnes som offentlig organ, får disse et tydelig behandlingsgrunnlag for behandling av personopplysninger for formålene. Flere kommuner bruker for eksempel private aktører for å gjennomføre opplæring i norsk og samfunnskunnskap. Dette tydeliggjør også forpliktelsene de private aktørene har etter personvernregelverket.

Departementets forslag er inntatt i utkast til § 25 første og femte ledd.

8.5 Personopplysninger

8.5.1 Forslaget i høringsnotatet

Departementet foreslo at hjemmelsgrunnlaget for behandling av personopplysninger skulle gjelde personopplysninger som er nødvendige for de opplistede formålene.

8.5.2 Høringsinstansenes syn

Røde Kors mener at loven må avgrense hva som er relevante opplysninger for å kunne vurdere og ta stilling til det enkelte formålet. Røde Kors uttaler at det er vanskelig å forstå hvordan en opplysning om en innvandrers seksuelle forhold kan være relevant ved vurdering av bosetting.

8.5.3 Departementets vurderinger

8.5.3.1 Nødvendighetskriteriet

Introduksjonsloven § 25 første ledd gir bare adgang til å behandle personopplysninger som er nødvendige for formålet med den aktuelle behandlingen. Departementet merker seg Røde Kors’ høringsuttalelse om at loven må avgrense hva som er relevante opplysninger for å kunne vurdere og ta stilling til det konkrete formålet med behandlingen.

Departementet vurderer at en slik avgrensning ikke er hensiktsmessig å innta i lovteksten. For det første varierer det fra sak til sak hvilke opplysninger som er nødvendige. Videre vil behovet variere over tid. Dersom opplysningene skulle fremgå direkte av lovbestemmelsen ville ethvert tillegg kreve lovendring. Personvernforordningen krever heller ikke at de enkelte opplysningene fremgår konkret i behandlingsgrunnlaget. Departementet foreslår at kategorier av opplysninger for de forskjellige formålene reguleres utfyllende i forskrift.

Nødvendighetskriteriet er viktig og innebærer at det ikke skal innhentes eller på annen måte behandles flere personopplysninger enn det som trengs. Opplysningene skal være relevante og ha saklig sammenheng med formålet som søkes oppnådd ved behandlingen. Ved vurderingen av hvilke opplysninger som skal behandles er det ikke tilstrekkelig at opplysningen kan være nyttig for aktørene. Hver enkelt opplysning skal spille en rolle i arbeidet.

Sensitive personopplysninger skal ikke behandles for alle personer og behovet må derfor bero på en konkret vurdering i hvert enkelt tilfelle. Det samme gjelder hvilke sensitive personopplysninger som skal behandles. Hensynet til personvernet tilsier at det innhentes så få sensitive personopplysninger som mulig. Hensynet til den enkeltes frihet og sikkerhet tilsier imidlertid at det må innhentes tilstrekkelige opplysninger for å sikre et bo- og kvalifiseringstilbud som er verdig og at ingen utsettes for fare. Dette er sentrale momenter i vurderingen.

Det kan være aktuelt å behandle opplysninger om begrensninger i den enkeltes evne til å delta i kvalifiserende tiltak eller arbeid. Dette vil som regel være opplysninger om helseforhold, som er sensitive personopplysninger etter personopplysningsloven § 2 nr. 8. Det må imidlertid vurderes om det er strengt nødvendig at årsaken til at personen ikke kan delta eller bare kan delta i begrenset grad, registreres og inngår i IMDis database. Etter registrering følger opplysningene personen videre i integreringsløpet. Uten tilstrekkelig sammenheng er det risiko for at begrensningen fremstår som en større hindring enn den egentlig er. Hvorvidt en slik opplysning skal registreres og følge den enkelte videre må vurderes strengt, med bakgrunn i den sensitive naturen av slike opplysninger og den enkeltes personvern. En viktig rettesnor er ønsket om at flest mulig skal delta så mye de kan.

Alle opplysninger vil ikke være nødvendige for alle formål. Alle opplysninger er heller ikke nødvendig for alle personer innenfor samme formål. Et eksempel er sensitive opplysninger om etnisk bakgrunn. Dette anses bare nødvendig for bosettingsformål, men også innenfor bosettingsformålet er det bare nødvendig å behandle slik informasjon dersom særlige grunner tilsier det.

8.5.3.2 Eksempler på personopplysninger

Generelle opplysninger om blant annet identitet, kontaktinformasjon, sivilstatus og statsborgerskap anses nødvendig for alle formålene. Opplysninger fra gjennomgått kompetansekartlegging og karriereveiledning brukes også for flere av formålene. Dette inkluderer opplysninger om blant annet utdanning, arbeidserfaring og ferdigheter.

Det behandles noen særskilte opplysninger om beboere i integreringsmottak, herunder oppstart og avslutning av eget fulltidsprogram, tiltak i programmet og fravær. For beboere i mottak generelt behandles det blant annet opplysninger om gjennomført opplæring, hvilket opplæringsspor den enkelte plasseres på og resultater på prøver.

For bosetting behandles blant annet opplysninger om familierelasjoner, den enkeltes ønsker og særlige hensyn som fremkommer i det bosettingsforberedende arbeidet i mottak. Ved bosetting av enslige mindreårige asylsøkere, er opplysninger fra barnevernets kartlegging av sentral betydning for Bufetat og bosettingskommunen. Det er ved bosetting det er mest aktuelt å behandle sensitive personopplysninger, se nedenfor.

For deltakere i introduksjonsprogram behandles det blant annet opplysninger om tidspunkter for start og avslutning av programmet, fritak, permisjoner og tiltakskategorier. For deltakere i opplæring i norsk og samfunnskunnskap behandles blant annet opplysninger om tidspunkter for start og avslutning av opplæring, opplæringens omfang og antall timer deltakelse. For gjennomføring og kvalitetssikring av prøver behandles blant annet opplysninger om prøveresultater, tid og sted for prøvene, språk og målform, besvarelsen, antall år kandidaten har med utdanning og antall timer opplæring kandidaten har gjennomgått.

Type tilskudd, tilskuddsår og tilskuddssats er blant opplysningene som behandles for å utbetale tilskudd til kommunene for bosetting og opplæring. For den enkelte person fremgår det av registeret hvilke tilskudd kommunen mottar for vedkommende.

8.5.3.3 Sensitive personopplysninger

Etnisk bakgrunn, religiøs oppfatning og seksuelle forhold

Innhenting av opplysninger om en persons etniske bakgrunn, religiøse oppfatning og seksuelle forhold vil bare skje dersom forhold i mottak eller lignende tilsier at det er nødvendig. Dette er særlig aktuelt der personene skal bosettes i bofellesskap sammen med andre med forskjellige bakgrunner. I noen kulturer og religioner kan det være store motforestillinger mot for eksempel konvertitter eller homofile. I verste fall kan mangel på tilrettelegging etter slike hensyn føre til at personen som bosettes settes i en situasjon som innebærer fare for liv og helse.

Vurderingen av om det skal innhentes opplysninger om etnisitet er i stor grad basert på landbakgrunn, der det brukes kjent informasjon om blant annet stammekulturen i landene. Opplysninger om etnisitet innhentes når det er nødvendig for å sikre et verdig bosettingstilbud.

De samme hensynene kan gjøre seg gjeldende for konvertitter eller homofile som bosettes i bofellesskap. Innhenting av opplysninger om religiøs oppfatning og seksuelle forhold reiser imidlertid en rekke spørsmål. For å vurdere om disse personene for eksempel kan settes i slike situasjoner som innebærer fare for liv og helse må det nødvendigvis også finnes relevante opplysninger om den eller de andre i bofellesskapet. Dette innebærer at eventuell motstand må ha kommet så tydelig fram at det var mulig å forutse at personen kunne innebære en fare for andre.

Ved uønskede hendelser i mottak, for eksempel vold, uro, trusler eller lignende skal mottakene varsle UDI, jf. rutinene i UDIs rundskriv RS 2014-024. På bakgrunn av varslingen gjøres en vurdering av behovet for oppfølging og tilrettelegging i mottakene. UDI registrerer hendelsen og eventuelle oppfølgingstiltak i et varslingsnotat i Datasystem for utlendings- og flyktningsaker (DUF). Det registreres ikke om personer flyttes på grunn av konflikter. Slike varslede hendelser i mottak må antas å kunne utgjøre grunnlag for innhenting av opplysninger om religion og seksuelle forhold til bosettingsformål.

Helseopplysninger

Helseopplysninger behandles i hovedsak ved bosetting av personer med alvorlige funksjonshemminger og/eller atferdsvansker og i søknader om tilskudd fra kommunen. Opplysningene innhentes enten fra personen selv eller fra helsepersonell, og da etter samtykke fra personen opplysningene gjelder.

Helseopplysninger kan også være nødvendig i andre tilfeller enn ved bosetting av personer med alvorlige funksjonshemminger og/eller atferdsvansker. Det kan blant annet være aktuelt ved bosetting av personer med andre helseutfordringer som nødvendiggjør tilrettelegging av bolig. Dette er informasjon som typisk kartlegges gjennom det bosettingsforberedende arbeidet i mottak. Opplysningene inngår i det som overføres til IMDis database. Hensynet til et effektivt og forsvarlig bosettingsarbeid tilsier at slike forhold tas i betraktning når en person bosettes. Kommunen får anledning til å tilrettelegge bolig for å unngå konflikter senere og den enkelte får en bedre tilpasset hverdag.

Et annet eksempel er registrering av eventuelle begrensninger i en persons evne til å delta i ulike kvalifiseringstiltak. Slike opplysninger kan være relevante både for tilrettelegging av tilbudet i integreringsmottak, som viktig informasjon i karriereveiledningssamtaler og for tilrettelegging av kvalifiseringstilbudet i kommunen. Disse helseopplysningene innhentes ikke fra helsepersonell, men fra vedkommende selv eller mottaket. Det vil i hovedsak være de åpenbare begrensningene som det behandles opplysninger om, for eksempel at en person er svaksynt eller ikke kan gå. Ved å dele slike opplysninger mellom aktørene, kan det raskere settes i gang et tilpasset program for den enkelte og aktørene slipper merarbeid i planleggingen av kvalifiseringen. Samtidig er dette en kategori opplysninger som er vanskelig å avgrense og det må trås varsomt i registreringen.

Det må vurderes om det er strengt nødvendig at årsaken til at personen ikke kan delta eller bare kan delta i begrenset grad, registreres og inngår i IMDis database, se gjennomgangen ovenfor.

Helsesituasjonen er et av flere forhold som kan gi grunnlag for fritak fra plikt til opplæring i norsk og samfunnskunnskap og/eller fritak fra plikt til å avlegge avsluttende prøver, jf. introduksjonsloven § 17 tredje ledd fjerde punktum og forskrift 20. april 2005 nr. 341 om opplæring i norsk og samfunnskunnskap for nyankomne innvandrere § 4 og § 20. Søknader om fritak fra plikt til opplæring og/eller fritak fra plikt til å avlegge avsluttende prøver må være dokumentert med en medisinsk vurdering eller uttalelse fra lege. I NIR fremgår imidlertid bare hjemmelen for fritaket, ikke den konkrete årsaken, jf. NIR-forskriften § 7 første ledd bokstav i. Hjemmelen for fritak i forskrift om opplæring i norsk og samfunnskunnskap for nyankomne innvandrere er §§ 4 og 20, som begge angir «helsemessige eller andre tungtveiende årsaker». Det fremgår ikke av NIR om det er helseforhold eller andre tungtveiende årsaker det gis fritak for. Registrering av fritak utgjør derfor ikke behandling av helseopplysninger.

Også opplysninger som innhentes fra barnevernet og krisesentre kan avsløre opplysninger om helse.

Straffbare forhold

Opplysninger som kan avsløre at en person har vært mistenkt, siktet, tiltalt eller dømt for en straffbar handling, er sensitive personopplysninger etter personopplysningsloven § 2 nr. 8 bokstav b. På introduksjonslovens område kan det for eksempel være aktuelt å innhente opplysninger fra krisesentre og barnevernet, dersom hensynet til barnets beste gjør det nødvendig og slike opplysninger kan ha betydning for bosettingsprosessen. Disse personopplysningene kan avsløre straffbare forhold.

Opplysninger om straffbare forhold utgjør ikke en «særlig kategori» av personopplysninger etter forordningen, jf. artikkel 9 nr. 1, men er underlagt særregler om behandling i artikkel 10 om behandling av personopplysninger i forbindelse med straffedommer og straffbare forhold. Det kreves at det nasjonale rettsgrunnlaget sikrer egnet vern av de registrertes rettigheter og friheter. I den grad det behandles opplysninger som kan avsløre slike forhold skal behandlingen oppfylle kravene i forordningen, herunder kravet til rettsgrunnlag. Departementet vil gi slike bestemmelser i forskrift, se punkt 8.7 nedenfor.

8.6 Utveksling av personopplysninger og taushetsplikt

8.6.1 Forslaget i høringsnotatet

Innhenting av personopplysninger ble i høringsnotatet foreslått regulert særskilt. Forslaget gikk ut på at opplysninger kan innhentes fra offentlige organer og det ble foreslått at en liste over aktuelle organer skulle inntas i forskrift for å hindre at kretsen ble for vid.

Departementet foreslo i hovedsak å videreføre dagens formulering om utlevering av personopplysninger. Offentlige organer som har behov for opplysningene for formålene som nevnt i første ledd, kan få dem utlevert. Hvis det er tilstrekkelig for formålet skal individualiserende kjennetegn utelates ved utleveringen.

Departementet foreslo å videreføre det gjeldende unntaket fra taushetsplikten når personopplysninger avgis og utleveres. Det ble vurdert om unntaket fra taushetsplikten burde gjelde også for helsepersonells taushetsplikt, blant annet fordi det er praktiske utfordringer ved innhenting av samtykke fra gruppen som omfattes av introduksjonsloven. Departementet kom til at det ikke burde gjøres unntak fra helsepersonells taushetsplikt og foreslo at det uttrykkelig fremgikk av bestemmelsen.

8.6.2 Høringsinstansenes syn

IMDi legger til grunn at forslaget ikke endrer deres myndighet til å utlevere opplysninger fra NIR for forskning. IMDi mener at det bør gis unntak også fra helsepersonells taushetsplikt. Det vil være svært uheldig for kommunene dersom samtykke ikke gis, og dette kan få konsekvenser for viljen til å bosette personer med funksjonsnedsettelser. IMDi peker på at det kan stilles spørsmål ved om samtykke kan anses som informert og frivillig. Det kan skapes en usikkerhet for den enkelte ved om man blir bosatt dersom man ikke samtykker til innhenting av opplysningene. IMDi uttaler videre at det vil være tilfeller, hvor det er behov for å innhente helseopplysninger i forkant av bosettingen, og ikke bare i etterkant i forbindelse med søknad om tilskudd.

Røde Kors uttaler at det er viktig at taushetsplikten som er mellom de ulike statlige og kommunale etatene opprettholdes også for innvandrerne. Dette er en sårbar gruppe og persondata om dem kan være verdifull.

8.6.3 Departementets vurderinger

8.6.3.1 Innhenting av personopplysninger

Departementet foreslår en egen hjemmel for innhenting av personopplysninger fra utlendingsmyndighetene og folkeregistermyndigheten uten hinder av taushetsplikt i § 25 annet ledd første punktum. Dette er organer som ikke har oppgaver for formålene nevnt i første ledd, men der personopplysningene etter departementets vurdering er samlet inn for forenlige formål.

For vurderingen av hvorvidt formålene er forenlige følger det som nevnt av personvernforordningen artikkel 23 nr. 1 bokstav a at det skal tas hensyn til enhver forbindelse mellom formålene personopplysningene ble samlet inn for og formålene med den tiltenkte viderebehandlingen, se punkt 8.2.3 ovenfor. Etter bokstav b er det også relevant i hvilken sammenheng personopplysningene er samlet inn, særlig med hensyn til forholdet mellom de registrerte og den behandlingsansvarlige.

Utlendingsmyndighetene innhenter personopplysninger for å behandle saker om oppholdstillatelse etter utlendingsloven. Med utlendingsmyndighetene menes i hovedsak Utlendingsdirektoratet og Utlendingsnemnda. Introduksjonsloven regulerer ordninger som både pågår parallelt med utlendingsmyndighetenes behandling og ordninger som direkte etterfølger utlendingsmyndighetenes behandling. Flere av de samme personopplysningene brukes av aktører etter begge lovene og det er en sterk forbindelse mellom formålene. Personopplysningene i Folkeregisteret skal blant annet brukes til myndighetsoppgaver og offentlig forvaltning, jf. folkeregisterloven § 1-2. For introduksjonslovens målgruppe brukes personopplysninger fra Folkeregisteret blant annet for å ha korrekt informasjon om bosted og hvilken kommune som skal tilby opplæring og introduksjonsprogram. Departementet anser formålene etter utlendingsloven og folkeregisterloven som forenlige etter personvernforordningen artikkel 23 nr. 1.

Det foreslås videre i § 25 annet ledd annet punktum at personopplysninger kan innhentes fra barnevernet og krisesentre når hensynet til barnets beste gjør det nødvendig. Slike opplysninger kan for eksempel være nødvendig dersom det har foregått vold i familien. Også dette skal kunne gjøres uten hinder av lovbestemt taushetsplikt. Opplysninger fra disse aktørene kan i visse tilfeller ha stor betydning for bosettingsprosessen. Barnevernet og krisesentre innhenter personopplysninger for andre formål enn introduksjonsloven, og det er derfor behov for egen hjemmel for å viderebehandle disse personopplysningene for formålene i introduksjonsloven § 25, se gjennomgangen ovenfor i punkt 8.2.3. Personopplysninger innhentet fra disse aktørene kan anses som sensitive, se ovenfor i punkt 8.5.3.3.

Departementets forslag er inntatt i utkast til § 25 annet ledd.

8.6.3.2 Utveksling av personopplysninger

Departementet foreslår at utveksling av personopplysninger mellom organer som har oppgaver innenfor formålene nevnt i første ledd reguleres i tredje ledd. Utveksling av personopplysninger omfattes av behandlingsbegrepet i første ledd, men etter departementets vurdering er det en fordel å regulere dette særskilt sammen med unntak fra lovbestemt taushetsplikt.

Bestemmelsen gir hjemmel for utveksling av personopplysninger som er innsamlet for formålene i første ledd, se punkt 9.4 ovenfor. Begrepet «utveksling» dekker både innhenting og utlevering av personopplysninger. Bestemmelsen omfatter utveksling av personopplysninger som opprinnelig er innsamlet for et eller flere av formålene i første ledd. Den er ikke til hinder for utveksling av opplysninger som er samlet inn for andre, forenlige formål, jf. formålsbegrensningsprinsippet i personopplysningsretten. Se punkt 8.3.5.1 ovenfor om dette.

Det er offentlige organer som har oppgaver i forbindelse med formålene nevnt i første ledd som kan utveksle personopplysninger etter tredje ledd. Se nærmere om dette ovenfor i punkt 8.4.3.3.

Personopplysninger kan utleveres til offentlige organer som har oppgaver for formålene nevnt i første ledd. Nødvendighetskriteriet i første ledd begrenser omfanget av personopplysninger også her, se punkt 8.4.3.3 ovenfor. Hvilken type tilgang en aktør skal ha til personopplysningene må vurderes på bakgrunn av hvilke oppgaver aktøren har. Også aktører som hittil ikke har fått utlevert opplysninger for de nevnte formålene dekkes av bestemmelsen. Dette gjelder for eksempel Arbeids- og velferdsetaten.

Hvis det er tilstrekkelig for formålet skal opplysningene fortsatt bare utleveres i statistisk form eller ved at individualiserende kjennetegn utelates. Dette er et utslag av minimalitetsprinsippet i personvernregelverket og innebærer mindre belastning på den enkeltes personvern. Eksempelvis er det ikke nødvendig å overføre personopplysninger med individualiserende kjennetegn til DFØ, som skal utbetale tilskudd til kommunene. Forslaget innebærer ingen endring i IMDis myndighet til å utlevere opplysninger til forskning.

Departementet vil gi nærmere bestemmelser i forskrift om innhenting av opplysninger fra helsepersonell og utlevering av opplysninger til utlendingsmyndighetene. Departementets forslag er inntatt i utkast til § 25 tredje ledd.

8.6.3.3 Taushetsplikt

Departementet foreslår å videreføre unntaket fra taushetsplikten ved behandling av personopplysninger etter introduksjonsloven. Det er ikke hensiktsmessig å kreve samtykke for all informasjonsdeling som skjer mellom aktørene for å gi den enkelte et godt tilbud. Dette gjelder også for innhenting av opplysninger fra utlendingsmyndighetene, folkeregistermyndigheten, barnevernet og krisesentre. Personvernforordningen og gjeldende personopplysningslov krever at den registrerte gis informasjon om behandlingen av personopplysninger. Slik informasjon inkluderer blant annet formålene med behandlingen og eventuelle mottakere av opplysningene. På denne måten blir den registrerte kjent med at personopplysningene deles mellom ulike organer.

Gjennom bruk av samtykkeerklæring innhentes det i dag opplysninger fra helsepersonell om personer med nedsatt funksjonsevne og/eller atferdsvansker. Slike opplysninger innhentes både for å kunne tilrettelegge tilbudet i bosettingskommunen og for at kommunene skal kunne søke om ekstra tilskudd fra IMDi til å dekke ekstraordinære kommunale utgifter som følge av bosettingen og som ikke dekkes av andre offentlige instanser eller tilskudd.

Det er praktiske utfordringer ved innhenting av samtykke fra personer som omfattes av introduksjonsloven, blant annet fordi de har lite kjennskap til det norske språket og samfunnet. Dette er forhold som medfører risiko for at et samtykke ikke er tilstrekkelig informert, slik både personvernregelverket og helseregelverket krever. Departementet har som nevnt i punkt 9.4.3 kommet til at samtykke ikke kan brukes som behandlingsgrunnlag etter personvernforordningen for behandling av personopplysninger etter introduksjonsloven, fordi samtykket ikke kan anses frivillig avgitt.

Opplysninger om helseforhold har imidlertid et særlig vern, både etter helseregelverket og personvernregelverket, herunder helsepersonelloven kapittel 5 og personvernforordningen artikkel 9 nr. 1. Taushetsplikten for helsepersonell er streng og skal blant annet sikre at tilliten til helsevesenet opprettholdes. Forordningen innebærer ikke et krav om at helsepersonell må unntas sin taushetsplikt, selv om samtykke ikke er tilstrekkelig som behandlingsgrunnlag for personopplysningene. Når den enkelte gjøres kjent med behandlingen av personopplysninger må det sørges for at informasjonen blir forstått, og de praktiske utfordringene kan derfor ikke begrunne et unntak fra taushetsplikten i dette tilfellet. På denne bakgrunn er departementets vurdering at den enkelte må samtykke til at helsepersonell unntas sin taushetsplikt.

I praksis innebærer departementets forslag at det gis lovhjemmel for innhenting og utlevering av helseopplysninger, men utlevering av opplysninger fra helsepersonell må baseres på at den enkelte samtykker til å oppheve helsepersonellets taushetsplikt.

Departementets forslag er inntatt i utkast til § 25 annet og tredje ledd.

8.7 Forskriftshjemmel i § 25

8.7.1 Forslaget i høringsnotatet

I forslaget ble det inntatt en hjemmel for departementet til å gi nærmere regler om behandling av personopplysninger etter introduksjonsloven. Dette er i hovedsak en videreføring av gjeldende rett. Det ble imidlertid ikke foreslått eksemplifisert hva det kunne gis forskrift om.

Ingen høringsinstanser hadde merknader til forskriftshjemmelen.

8.7.2 Departementets vurderinger

Departementet foreslår at forskriftshjemmelen presiseres ytterligere sammenlignet med forslaget i høringsnotatet.

Det er særlig aktuelt å gi forskriftsbestemmelser om krav til behandlingen, hvilke organer som kan behandle personopplysninger og hvilke personopplysninger som kan behandles.

Det er behov for å kunne gi forskrift om innhenting av personopplysninger fra helsepersonell som samler inn personopplysninger for helseformål. Departementet vil sørge for at forskriftsbestemmelser om behandling av sensitive personopplysninger oppfyller kravene i personvernforordningen, særlig krav om å sikre den registrertes rettigheter og friheter.

Det er også behov for å kunne gi forskrift om utlevering av personopplysninger til utlendingsmyndighetene. Dette er nødvendig for å behandle søknader etter utlendingsloven og statsborgerloven. Disse formålene er forenlige med formålene i § 25 første ledd, se punkt 8.6.3.1 ovenfor.

8.8 Personregistre og plikt til å registrere personopplysninger

8.8.1 Forslaget i høringsnotatet

Departementet foreslo å videreføre en tydelig hjemmel for å opprette personregistre for formålene som nevnt. Det ble i tillegg foreslått å presisere at utlevering kan skje gjennom direkte søketilgang i registre, slik at kommuner og andre aktører kan ha egen innlogging.

8.8.2 Høringsinstansenes syn

Røde Kors mener at nasjonale personregistre som åpner for at ulike deler av forvaltningen kan dele personopplysninger om asylsøkere og nyankomne innvandrere er i strid med den nye personvernforordningen.

8.8.3 Departementets vurderinger

Departementet foreslår at adgangen til å opprette nasjonale personregistre for formålene i § 25 første ledd videreføres i ny § 25 a første ledd. Integreringsfeltet er stort og omfatter mange aktører. Det er sentralt for integreringsarbeidet at informasjon tilføres riktig aktør i rett tid. Per i dag er det flere registre som bidrar til å sikre dette, herunder Nasjonalt introduksjonsregister (NIR) som forvaltes av IMDi og Kompetanse Norges prøveadministrative system (PAD).

Kommunens plikt til å registrere personopplysninger i Nasjonalt introduksjonsregister følger i dag av NIR-forskriften § 9, jf. §§ 6 og 7. Plikten omfatter i hovedsak opplysninger om deltakelse i introduksjonsprogram og opplæring. Kommunenes registrering av slike opplysninger er sentral for å få oversikt over deltakere i de forskjellige ordningene og sikre at deltakerne gis et godt tilbud. I etterkant av høringen har departementet sett at det er behov for å løfte kommunens plikt til å registrere personopplysninger fra forskrift til lov. På denne måten skapes bedre sammenheng med bestemmelsene om tilsyn og internkontroll i §§ 23 og 24, som omtaler kommunens registrering av deltakelse i introduksjonsprogram og opplæring. Flyttingen innebærer ikke en materiell endring. Departementet vil gi forskrift om hvilke personopplysninger kommunen skal registrere og hvilke frister som gjelder.

Røde Kors mener at registre som åpner for at ulike deler av forvaltningen kan dele personopplysninger er i strid med personvernforordningen. Departementet deler ikke denne oppfatningen. Deling av opplysninger regnes som utlevering etter personvernregelverket og krever hjemmel. Forslaget til § 25 gir den nødvendige hjemmelen.

Personregistre etter introduksjonsloven § 25 a skal følge de til enhver tid gjeldende krav til personvern og informasjonssikkerhet. Personvernforordningen artikkel 32 regulerer sikkerhet ved behandlingen, og viser til at det skal gjennomføres egnede tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som er egnet i forhold til risikoen. Mulige tiltak i registrene etter introduksjonsloven er systemer for tilgangsstyring, loggføring og lignende. Detaljerte krav vil reguleres i forskrift.

Det foreslås lovregulert i § 25 a første ledd annet punktum at utlevering av personopplysninger kan skje gjennom direkte søketilgang i slike registre. Dette tydeliggjør at aktører som regelmessig bruker opplysninger fra registrene til sine oppgaver kan ha egen brukerinnlogging i registeret, slik flere har i dag. Direkte tilgang er også hensiktsmessig for å unngå dobbeltregistrering av opplysninger. I systemutvikling på introduksjonslovens område skal det legges til rette for kommunikasjon mellom ulike registre og eventuelle moduler. Generelle personopplysninger og personopplysninger som brukes til flere formål, bør være tilgjengelige for de som har behov for dem til enhver tid. Det skal sikres at kun aktører og personer som har behov for de enkelte personopplysningene har tilgang til dem. Kommunikasjon mellom registre omfattes av forslaget til §§ 25 annet ledd og 25 a første ledd annet punktum.

8.9 Adgang til å pålegge utlevering av personopplysninger

8.9.1 Forslaget i høringsnotatet

Departementet foreslo å videreføre dagens adgang til å pålegge utlevering av personopplysninger.

8.9.2 Høringsinstansenes syn

Ingen høringsinstanser hadde merknader til påleggsadgangen.

8.9.3 Departementets vurderinger

Departementet foreslår at organers adgang til å pålegge personopplysninger utlevert skilles ut i en egen § 25 b og utformes i tråd med de tilsvarende bestemmelsene i utlendingsloven § 84 første ledd og statsborgerloven § 29 tredje ledd.

Offentlige organer som har oppgaver etter introduksjonsloven kan pålegge personopplysninger utlevert. Departementet foreslår ikke å presisere nærmere hvilke organer som kan pålegge utlevering, da det er ønskelig at bestemmelsen skal gjelde organer som til enhver tid har oppgaver som kan utledes av loven.

Påleggsadgangen gjelder når det er nødvendig i den enkelte sak. Nødvendighetskriteriet skal tolkes likt som etter introduksjonsloven § 25. De fleste personopplysninger som er aktuelle overføres allerede automatisk med hjemmel i § 25. Denne bestemmelsen fungerer derfor som en sikkerhetsventil, dersom personopplysningene ikke allerede er utlevert eller dersom det er behov for ytterligere opplysninger i den enkelte sak. Utlevering skal skje uten hinder av lovbestemt taushetsplikt, se punkt 8.6.3.3 ovenfor om dette. Som i § 25 gjelder ikke unntaket fra taushetsplikten for taushetsplikt etter helsepersonelloven, jf. § 25 b annet ledd.

Personopplysningene som kan pålegges utlevert gjelder «asylsøkere og innvandrere». Det er ikke adgang til å pålegge utlevert opplysninger om andre enn disse med hjemmel i § 25 a.

En bestemmelse som gir mulighet for organer til å pålegge andre å utlevere opplysninger utgjør en pliktbestemmelse for utleveringsorganet. Det er derfor nødvendig å avgrense hvilke organer som kan pålegges. Departementet foreslår at organene som behandler de sentrale opplysningene i integreringskjeden kan pålegges å utlevere personopplysninger. Integrerings- og mangfoldsdirektoratet, Kompetanse Norge, Utlendingsdirektoratet, Utlendingsnemnda, folkeregistermyndigheten og kommunene er de sentrale aktørene.

Det foreslås i § 25 b tredje ledd at departementet kan gi forskrift om adgangen til å pålegge utlevering av personopplysninger etter bestemmelsen. Det kan for eksempel være aktuelt å gi forskriftsbestemmelser om hvilke personopplysninger som kan pålegges utlevert.