4 Behandlingsgrunnlag
4.1 Forslaget i høringsnotatet
Departementet foreslo en generell lovhjemmel for behandling av personopplysninger i statsborgerloven ny § 29 a, herunder personopplysninger som nevnt i personvernforordningen artikkel 9 og 10.
Departementet foreslo at det skal fremgå uttrykkelig av ny § 29 a første ledd at behandlingen av personopplysninger må være «nødvendig» for å utøve myndighet eller utføre andre oppgaver etter loven. Dette er i samsvar med nødvendighetskravet i forordningen artikkel 6 nr. 1 bokstav e. Et nødvendighetskriterium følger også av artikkel 5 nr. 1 bokstav c, som angir prinsippet om «dataminimering».
Personopplysninger på statsborgerfeltet behandles i all hovedsak som ledd i utøvelse av offentlig myndighet. I tillegg er statsborgermyndighetenes oppgaver i stor grad lovpålagte og behandling av personopplysninger vil oftest være nødvendig for å utføre disse oppgavene. Departementet foreslo derfor at det overordnede formålet med behandlingen av opplysningene, «utøve myndighet eller utføre andre oppgaver etter loven», fremgår av selve lovbestemmelsen, mens de konkrete formålene utdypes i statsborgerforskriften.
Departementet foreslo at det i ny § 29 a annet ledd åpnes for at Kongen kan gi nærmere regler om behandlingen i forskrift, blant annet om formålet med behandlingen, hvem det kan behandles personopplysninger om, hvilke personopplysninger som kan behandles, behandlingsansvar, bruk av automatiserte avgjørelser, adgangen til viderebehandling, utlevering, registerføring og tilgang til registre.
4.2 Høringsinstansenes syn
Advokatforeningen, Jussbuss, Kompetanse Norge, Oslo politidistrikt, Politiets utlendingsenhet, Politidirektoratet (POD), Rettspolitisk forening, Utenriksdepartementet, UDI og Utlendingsnemnda (UNE) støtter forslaget om innføring av hjemler for behandling av personopplysninger i saker etter statsborgerloven i samsvar med reglene som følger av personopplysningsloven og personvernforordningen.
Utenriksdepartementet anser at endringene generelt vil bidra positivt i utenriksstasjonenes forvaltningsmessige oppgaver ved at rammene, behandlingsgrunnlaget og ansvaret for bruken av personopplysninger tydeliggjøres.
UNE fremhever at det er fornuftig å ha likelydende bestemmelser i statsborgerloven som i utlendingsloven hva gjelder hjemmel for behandling av personopplysninger, og at det kan skape unødvendig tvil om forståelsen at bestemmelsene ikke er likelydende der de kan være det.
Advokatforeningen støtter at det skal fremgå uttrykkelig at behandlingen av personopplysninger må være «nødvendig» for å utøve myndighet eller utføre andre oppgaver etter loven, men er opptatt av at sistnevnte ikke skal praktiseres for vidt.
MiRA-Senteret er enig i at det er en skjevhet i styrkeforholdet mellom søker og UDI som gjør det vanskelig å motsette seg å gi samtykke, men mener at det å skulle gi samtykke bidrar til å gi søkeren informasjon om hvilke opplysninger som innhentes, slik at søker kan ta et selvstendig og informativt valg. Det uttales at selv om forordningen anbefaler at det ikke innhentes samtykke i slike tilfeller, kan man likevel så langt det lar seg gjøre kunne gi den registrerte riktig informasjon om den offentlige myndighets behandling av personopplysninger og at dette er spesielt viktig fordi statsborgermyndighetene under en søknadsprosess også kan behandle personopplysninger om andre enn den som direkte søker. MiRA-Senteret mener at barn fortjener et særskilt vern også når det gjelder søknad om statsborgerskap.
Institutt for samfunnsforskning oppfordrer departementet til å vurdere om spørsmål knyttet til bruk av opplysninger fra sosiale medier bør omtales i forbindelse med de foreslåtte endringene.
Sysselmannen på Svalbard har ikke merknader til høringen, men opplyser for ordens skyld at det i overgangsregler til ny personopplysningslov er fastsatt at personopplysningsloven fra 2000 fortsetter å gjelde for blant annet Svalbard.
4.3 Departementets vurderinger
Departementet opprettholder forslaget om generell lovhjemmel for behandling av personopplysninger i statsborgerloven ny § 29 a.
Bestemmelsen angir de overordnede rammene for statsborgermyndighetenes behandling av personopplysninger, herunder personopplysninger som nevnt i personvernforordningen artikkel 9 og 10. Bestemmelsen skal sikre statsborgermyndighetene et tilstrekkelig behandlingsgrunnlag i henhold til kravene i forordningen artikkel 6 nr. 3 og artikkel 9 nr. 2 bokstav g.
Departementet foreslår at det skal fremgå uttrykkelig av ny § 29 a første ledd at behandlingen av personopplysninger må være «nødvendig» for å utøve myndighet eller utføre andre oppgaver etter loven. Formuleringen omfatter alle oppgaver statsborgermyndighetene utfører, uavhengig av om det foreligger en søknad eller om det skal treffes et vedtak. For eksempel vil forberedelse av en sak også være omfattet, selv om det saksforberedende organet ikke skal avgjøre saken. Behandling knyttet til oppfølging av et vedtak og rapportering til overordnet myndighet i forbindelse med sakshåndtering er også ment å være omfattet av formuleringen.
Forslaget er i samsvar med nødvendighetskravet i forordningen artikkel 6 nr. 1 bokstav e. Et nødvendighetskriterium følger også av artikkel 5 nr. 1 bokstav c, som angir prinsippet om «dataminimering». For en nærmere vurdering av nødvendighetskravet i forordningen vises det til Prop. 59 L (2017–2018) punkt 4.1.3.2, som gjelder behandling av personopplysninger på utlendingsfeltet. Departementet vurderer at det samme bør gjelde for statsborgerfeltet. Behandling av personopplysninger må knytte seg til myndighetsutøvelse eller andre oppgaver «etter loven». En slik begrensning gjelder også for utlendingsmyndighetenes behandling av personopplysninger og er inntatt i utlendingsloven § 83 a. Departementet viste til vurderingene i forarbeidene til denne bestemmelsen (se Prop. 59 L (2017–2018) s. 19), som er dekkende også for statsborgerfeltet:
«Først og fremst bidrar en slik henvisning til å tydeliggjøre rammen for hva slags myndighet behandlingen kan knytte seg til. At behandlingen må knytte seg til lovpålagte oppgaver bidrar til å ivareta hensynene til forutsigbarhet og klarhet, da lovens nærmere bestemmelser blant annet vil gi veiledning om hvilke opplysninger som er relevante for en sak, eller hvilken personkrets som vil kunne omfattes.»
Den generelle lovbestemmelsen i ny § 29 a første ledd vil fungere som et supplement til de særskilte behandlingsgrunnlag som allerede finnes i statsborgerloven, og den vil klargjøre behandlingsgrunnlaget for de behandlingene som i dag følger forutsetningsvis av oppgavene statsborgermyndighetene skal utføre etter statsborgerloven. Begrepet «statsborgermyndighetene» omfatter her alle myndigheter som utfører oppgaver etter statsborgerloven; UDI, UNE, polititet, Utenriksdepartementet v/ utenriksstasjonene og Kunnskapsdepartementet.
Departementet foreslår at det i ny § 29 a annet ledd åpnes for at Kongen kan gi nærmere regler om behandlingen i forskrift, blant annet om formålet med behandlingen, hvem det kan behandles personopplysninger om, hvilke personopplysninger som kan behandles, behandlingsansvar, bruk av automatiserte avgjørelser, adgangen til viderebehandling, utlevering, registerføring og tilgang til registre. Utdypende bestemmelser for å klargjøre hjemmelsgrunnlaget egner seg etter departementets syn best i forskrifts form, da utformingen kan bli både detaljert og omfangsrik.
Departementet mener det er hensiktsmessig å tydeliggjøre formålet med statsborgermyndighetenes behandling av personopplysninger i større grad enn i dag, ved at det tas inn en liste over sentrale formål behandlingen kan knyttes til i statsborgerforskriften. Angivelsen av formålene vil tydeliggjøre behandlingens rekkevidde og bevisstgjøre rettsanvenderen, samt være i tråd med forordningen, jf. fortalens punkt 45. Dette vil etter departementets syn også bidra til å ivareta den registrertes rettigheter i større grad, jf. forordningen artikkel 9 nr. 2 bokstav g. I tillegg vil forskriftsfestingen i større grad legge til rette for lovlig viderebehandling til nye formål når dette er nødvendig.
Departementet vurderer at det vil være en umulig øvelse å definere i forskrift alle opplysningstypene som kan være relevante å behandle. Lovligheten av behandlingen vil imidlertid avgrenses gjennom vilkåret om at behandlingen må være nødvendig for det konkrete formålet. Den foreslått hjemmelen for å gi forskrift om hvilke opplysningstyper statsborgermyndighetene kan behandle, kan imidlertid brukes til å gi spesifikke bestemmelser dersom det skulle vise seg å være nødvendig for visse typer behandlinger.
Behandlingsansvaret er ikke uttrykkelig regulert i statsborgerregelverket i dag. Den behandlingsansvarlige er den som bestemmer formålet med behandlingen av personopplysninger og hvilke hjelpemidler som skal brukes, jf. definisjonen i forordningen artikkel 4 nr.7. Det følger videre av artikkel 4 nr. 7 at behandlingsansvaret kan fastsettes i nasjonal rett når formålet med behandlingen og midlene for behandlingen er angitt i nasjonal rett. Den behandlingsansvarlige har ansvaret for at personopplysninger behandles i samsvar med reglene i forordningen og personopplysningsloven. De myndighetene som behandler personopplysninger etter statsborgerloven er UDI, UNE, politiet, Utenriksdepartementet v/ utenriksstasjonene og Kunnskapsdepartementet. Selv om det ikke fremkommer uttrykkelig av regelverket, anser departementet i utgangspunktet de ulike organene for å være behandlingsansvarlig for behandling av personopplysninger knyttet til de oppgaver de er pålagt, delegert og utfører etter loven. Det er dermed det enkelte organs plikt å påse at behandlingen av personopplysninger er i overensstemmelse med de kravene som stilles i personvernlovgivningen.
Departementet vurderte at viderebehandling av opplysninger fra tidligere saker i en persons etterfølgende sak(er) er forenlig med det opprinnelige formålet de er blitt innhentet for. Det kreves ingen særskilt hjemmel for viderebehandling til forenlige formål. Statsborgermyndighetene har imidlertid også behov ha for å viderebehandle opplysninger fra andre personers saker for å vurdere om vilkårene for norsk statsborgerskap er oppfylt. Viderebehandling av personopplysninger fra én persons sak til bruk i en annen persons sak, kan være uforenlig med det opprinnelige formålet disse opplysningene ble innhentet for. Hvorvidt behandlingen vil være forenlig eller ikke med det opprinnelige for målet, vil avhenge av en konkret vurdering i det enkelte tilfellet, se personvernforordningen artikkel 6 nr. 4 bokstav a til e. I dag må statsborgermyndighetene foreta en slik vurdering hver gang de skal gjenbruke personopplysninger som er samlet inn tidligere. Det følger av artikkel 6 nr. 4 og fortalepunkt 50 at behandling for uforenlige formål er tillatt hvis det er hjemlet i nasjonal rett og behandlingen er nødvendig og forholdsmessig for å verne viktige samfunnsmessige mål som fremgår av artikkel 23 nr. 1 (herunder viktige mål av generell allmenn interesse, jf. bokstav e). Departementet viser i den forbindelse til at kontroll med erverv og tap av norsk statsborgerskap er av viktig allmenn interesse. Departementet vurderer at forordningens krav til nødvendighet og forholdsmessighet, jf. artikkel 6 nr. 4, er oppfylt. Departementet viser til at det i statsborgersaker ofte vil være et reelt behov for å se hen til tidligere innsamlede opplysninger for å løse lovpålagte oppgaver. Det åpnes ikke for rutinemessig gjennomgang av tidligere saker der hensynet til kontroll ikke gjør seg gjeldende.
Departementet redegjør for den foreslåtte hjemmelen for å gi nærmere regler i forskrift om bruk av automatiserte avgjørelser i punkt 5.
Forskriftsbestemmelsene som gis i medhold av ny § 29 a annet ledd vil supplere det overordnede hjemmelsgrunnlaget, og de må tolkes i lys av dette. Det innebærer at de begrensningene som gjelder etter ny § 29 a første ledd, gjelder tilsvarende.
UNE har påpekt at bestemmelsene i utlendingsloven og i statsborgerloven bør være likelydende der de kan være det. Departementet viser til at bestemmelsene er tilnærmet likt formulert som bestemmelsene i utlendingsloven §§ 83 a og 84.
MIRA-Senteret mener at et samtykke vil bidra til å gi søkeren informasjon om hvilke opplysninger som innhentes, slik at søkeren kan ta et selvstendig og informativt valg. Departementet bemerker at det er relativt klart etter personvernforordningen at samtykke ikke er et egnet behandlingsgrunnlag for utøvelse av offentlig myndighet, ettersom et samtykket ikke vil kunne anses frivillig avgitt når konsekvensen av å nekte er at man ikke får behandlet sin søknad om norsk statsborgerskap. Etter personvernforordningen har den registrerte rett til informasjon om behandlingen av personopplysninger. Statsborgermyndighetene er forpliktet til å oppfylle disse rettighetene. Departementet mener derfor at søkerens behov for informasjon er tilstrekkelig ivaretatt.
Advokatforeningen støtter at det skal fremgå uttrykkelig at behandlingen av personopplysninger må være «nødvendig» for å utøve myndighet eller utføre andre oppgaver etter loven, men er opptatt av at sistnevnte ikke skal praktiseres for vidt. Departementet viser til at den foreslåtte bestemmelsen ikke skal anvendes alene, men at den i det enkelte tilfelle må holdes opp mot øvrige bestemmelser i lov eller forskrift som tillegger myndighet eller pålegger oppgaver. I lys av kravet om nødvendighet vil disse bestemmelsene være vesentlige for å fastlegge nærmere i hvilken utstrekning det kan behandles personopplysninger.
Ny personopplysningslov er per i dag ikke gjort gjeldende for Svalbard. I overgangsregler til ny personopplysninglov er det fastsatt at personopplysningsloven fra 2000 fortsetter å gjelde for blant annet Svalbard (jf. FOR-2018-06-15-877 § 1). Justis- og beredskapsdepartementet har imidlertid i høringsnotat av 3. september 2019 om endringer i personopplysningsloven mv. (unntaket for ytrings- og informasjonsfrihet, forholdet til offentleglova, anvendelse for Svalbard) foreslått at den nye personopplysningsloven gis anvendelse for Svalbard, med unntak av forordningen artikkel 56 og kapittel VII som bare gjelder «innenfor EØS-avtalens virkeområde».
Departementet vurderer at forslagene som fremmes i denne proposisjonen ikke gir behov for særbestemmelser for Svalbard, hverken etter overgangsreglene som gjelder per i dag eller etter Justis- og beredskapsdepartementets forslag til regulering av anvendelsen av personvernforordningen for Svalbard.