3 Gjeldende rett
3.1 Personopplysningsloven
Grunnkravene til behandling av personopplysninger fremgår i dag av personopplysningsloven § 11 første ledd. Det er der bestemt at den behandlingsansvarlige skal sørge for at personopplysningene bare behandles når det foreligger et behandlingsgrunnlag i medhold av §§ 8 og 9 (bokstav a), bare nyttes til uttrykkelig angitte formål som er saklig begrunnet i den behandlingsansvarliges virksomhet (bokstav b), ikke brukes senere til formål som er uforenlig med det opprinnelige formålet med innsamlingen, med mindre den registrerte samtykker (bokstav c), er tilstrekkelige og relevante for formålet med behandlingen (bokstav d) og er korrekte og oppdatert og ikke lagres lenger enn det som er nødvendig ut fra formålet med behandlingen (bokstav e).
Det er ingen generell hjemmel for behandling av personopplysninger i utlendingsloven i dag. I forbindelse med utarbeidelse av utlendingsloven av 2008 var det et bevisst valg at behandling av personopplysninger, herunder registerføring, ikke skulle reguleres nærmere i loven, jf. Ot.prp. nr. 75 (2006–2007) punkt 17.8.5:
«Behandling av sensitive personopplysninger må fylle vilkårene i personopplysningsloven § 9. Det har vært lovgivers intensjon at behandling av personopplysninger i størst mulig grad skal baseres på samtykke, jf. Ot.prp. nr. 92 (1998–99) side 108, da dette «[vil] styrke den registrertes muligheter til å råde over opplysninger om seg selv». De aller fleste behandlingene av personopplysninger etter utlendingsloven i dag baserer seg på samtykke, typisk ved at den registrerte selv oppgir eller samtykker til innhenting av opplysningene i søknad.
Videre følger i flere tilfeller adgangen til å behandle personopplysninger forutsetningsvis av dagens utlendingslov, ved at de oppgaver utlendingsmyndighetene i henhold til loven skal utføre, forutsetter behandling av personopplysninger. Et eksempel er saker om familiegjenforening. Utlendingsloven og utlendingsforskriften oppstiller vilkårene for å få innvilget familiegjenforening. Det må da innfortolkes at UDI også kan registrere slike opplysninger (familierelasjoner) som ledd i saksbehandlingen. Enkelte steder i loven fremgår det klart at personopplysninger kan behandles ut fra konkrete formål, jf. for eksempel gjeldende utlendingslov § 37 femte ledd og departementets lovforslag § 100 annet ledd, som hjemler registrering av fingeravtrykk i et EDB-basert fingeravtrykkregister.
Endelig vil utlendingsmyndighetene kunne behandle personopplysninger etter de alminnelige reglene i personopplysningsloven, da personopplysningsloven åpner for behandling av personopplysninger blant annet dersom det er nødvendig for at den behandlingsansvarlige skal kunne oppfylle en rettslig forpliktelse (§ 8 bokstav b) eller for å utøve offentlig myndighet (§ 8 bokstav e).
Etter departementets oppfatning er det derfor ikke behov for en generell registreringshjemmel. En slik bestemmelse vil nødvendigvis bli så skjønnsmessig og vid at den ikke kan påberopes som selvstendig grunnlag for registrering av personopplysninger. Hjemmel for registrering vil i stedet kunne utledes fra avgitt samtykke eller følge direkte eller forutsetningsvis av loven for så vidt gjelder den enkelte personopplysningstype. Det samme vil gjelde i forhold til annen behandling av personopplysninger, som lagring og utlevering.»
Dagens rettsgrunnlag bygger altså på de alminnelige reglene i personopplysningsloven. Personopplysningsloven § 8 lyder i sin helhet:
«Personopplysninger (jf. § 2 nr. 1) kan bare behandles dersom den registrerte har samtykket, eller det er fastsatt i lov at det er adgang til slik behandling, eller behandlingen er nødvendig for
a) å oppfylle en avtale med den registrerte, eller for å utføre gjøremål etter den registrertes ønske før en slik avtale inngås,
b) at den behandlingsansvarlige skal kunne oppfylle en rettslig forpliktelse,
c) å vareta den registrertes vitale interesser,
d) å utføre en oppgave av allmenn interesse,
e) å utøve offentlig myndighet, eller
f) at den behandlingsansvarlige eller tredjepersoner som opplysningene utleveres til kan vareta en berettiget interesse, og hensynet til den registrertes personvern ikke overstiger denne interessen.»
Utlendingsmyndighetenes utøvelse av offentlig myndighet vil oftest være nødvendig av hensyn til utførelsen av en oppgave i samfunnets interesse, jf. bokstav e. Behandlingen kan også skje for å oppfylle en rettslig forpliktelse, jf. bokstav b, for eksempel i forbindelse med tildeling av ytelser etter Pengereglementet (RS 2008-035).
Utøvelsen av offentlig myndighet på området er i all hovedsak lovpålagt. Behandlingen av personopplysninger i forbindelse med slik myndighetsutøvelse må derfor kunne sies å følge forutsetningsvis av utlendingsregelverket.
Personopplysningsloven § 9 stiller ytterligere krav til behandling av sensitive personopplysninger, jf. også § 33 om konsesjon. Sensitive personopplysninger er i § 2 nr. 8 definert som opplysninger om rasemessig eller etnisk bakgrunn, eller politisk, filosofisk eller religiøs oppfatning (bokstav a), at en person har vært mistenkt, siktet, tiltalt eller dømt for en straffbar handling (bokstav b), helseforhold (bokstav c), seksuelle forhold (bokstav d) og medlemskap i fagforeninger (bokstav e). Slike opplysninger kan bare behandles dersom behandlingen oppfyller både ett av vilkårene i § 8 og ett av vilkårene i § 9 første ledd bokstav a til h. Behandlingen av sensitive personopplysninger på utlendingsfeltet vil i hovedsak basere seg på bokstav a (samtykke), eller b (fastsatt i lov at det er adgang til slik behandling).
Utlendingsdirektoratet (UDI) er gitt tillatelse (konsesjon) i medhold av personopplysningsloven § 9 tredje ledd for behandling av sensitive personopplysninger. Bestemmelsen åpner for at sensitive personopplysninger kan behandles på grunnlag av tillatelse fra Datatilsynet i tilfeller der samtykke ikke er tilstrekkelig, og det ikke finnes andre lovbestemmelser som kan gi grunnlag for behandlingen.
3.2 Enkelte særregler i utlendingsloven
Utlendingsloven inneholder flere bestemmelser som pålegger utlendinger en plikt til å gi relevante opplysninger. Etter utl. § 83 første ledd kan politiet og UDI pålegge den utlendingen saken gjelder å møte personlig for å gi opplysninger som kan ha betydning for vedtaket. Ved innreise, og frem til korrekt identitet er registrert, har utlendinger plikt til å medvirke til å avklare sin identitet i den grad utlendingsmyndighetene krever det. Utlendingsmyndighetene kan også senere pålegge utlendingen en slik plikt dersom det er grunn til å anta at den registrerte identiteten ikke er den riktige, jf. utl. § 83 annet ledd.
Utlendingsmyndighetene kan pålegge andre offentlige organer å utlevere opplysninger uten hinder av taushetsplikt når dette er nødvendig for opplysning av utlendingssaken, jf. utl. § 84. Myndigheter som kan pålegges en slik plikt er barnevernsmyndighetene, kommunene i tilknytning til introduksjonsprogrammet, Statens lånekasse for utdanning, arbeids- og velferdsforvaltningen, skattemyndighetene og politiet. Fra 1. oktober 2017 gjelder en tilsvarende plikt også for folkeregistermyndigheten.
Utlendingslovens § 85 gir politiet hjemmel til å benytte vandelsopplysninger om referansepersonen eller den referansepersonen har fått familieetablering med, når søkeren er referansepersonens særkullsbarn. Etter bestemmelsen kan politiet også gi en uttalelse om vandelsopplysninger av betydning for om oppholdstillatelse skal nektes til det organet som avgjør saken. Lovens § 86 gir UDI og Utlendingsnemnda (UNE) adgang til å innhente uttalelse fra politiet om det er særlig grunn til å undersøke referansepersonens vandel. Etter utl. § 87 kan søkeren og referansepersonen anmodes om å avlegge en DNA-test når det er nødvendig å fastslå om det eksisterer en familierelasjon. Bestemmelsen gir også regler om sletting og tilintetgjøring av opplysningene. Lovens § 88 gir hjemmel for å anmode utlendingen om å la seg undersøke for å klargjøre alder i saker hvor det er tvil om vedkommende er over eller under 18 år.
Lovens kapittel 11 del II inneholder saksbehandlingsregler som kun gjelder i beskyttelsessaker. En asylsøker har plikt til å fremlegge nødvendig dokumentasjon og medvirke til innhenting av nødvendige opplysninger, jf. utl. § 93 fjerde ledd. I tillegg pålegger bestemmelsen utlendingsmyndighetene et selvstendig ansvar for å innhente nødvendige og tilgjengelige opplysninger før avgjørelse blir truffet i tråd med forvaltningsloven § 17 første ledd. Bestemmelsen inneholder følgelig særregler om utlendingsmyndighetenes utredningsplikt i beskyttelsessaker, men den har klare paralleller til den generelle bestemmelsen om møte- og opplysningsplikt i utl. § 83. Hjemmelsgrunnlag for behandling av disse opplysningene følger forutsetningsvis.
Etter utl. §§ 100 til 100 b kan det opptas og behandles biometrisk personinformasjon i form av ansiktsfoto og fingeravtrykk av en utlending for identifisering og verifisering av identitet.
3.3 Grunnloven og internasjonale forpliktelser
3.3.1 Generelt
Grunnloven § 102 lyder:
«Enhver har rett til respekt for sitt privatliv og familieliv, sitt hjem og sin kommunikasjon. Husransakelse må ikke finne sted, unntatt i kriminelle tilfeller.
Statens myndigheter skal sikre et vern om den personlige integritet.»
Bestemmelsen kom inn i Grunnloven som ledd i grunnlovsreformen i 2014. Komiteen ga i Innst. 186 S (2013–2014) punkt 2.1.9 side 27 uttrykk for at bestemmelsen «skal leses som at systematisk innhenting, oppbevaring og bruk av opplysninger om andres personlige forhold bare kan finne sted i henhold til lov, benyttes i henhold til lov eller informert samtykke og slettes når formålet ikke lenger er til stede».
Grunnloven § 102 gir ikke anvisning på noen adgang til eller vilkår for å gjøre inngrep i rettigheten. Høyesterett har imidlertid lagt til grunn at det kan gjøres inngrep i retten etter Grunnloven § 102 dersom tiltaket har en tilstrekkelig hjemmel, forfølger et legitimt formål og er forholdsmessig, se Rt. 2014 side 1105 avsnitt 28 og Rt. 2015 side 93 avsnitt 60.
Grunnloven § 102 har klare likhetstrekk med Den europeiske menneskerettskonvensjon (EMK) artikkel 8 og må tolkes i lys av denne, jf. Rt. 2015 side 93 avsnitt 57.
EMK artikkel 8 lyder (i autentisk engelsk versjon):
«1. Everyone has the right to respect for his private and family life, his home and his correspondence.
2. There shall be no interference by a public authority with the exercise of this right except such as is in accordance with the law and is necessary in a democratic society in the interests of national security, public safety or the economic well-being of the country, for the prevention of disorder or crime, for the protection of health or morals, or for the protection of the rights and freedoms of others.»
Den europeiske menneskerettsdomstol (EMD) har i sin praksis lagt til grunn at offentlige myndigheters lagring av personopplysninger som knytter seg til privatlivet i bestemmelsens forstand, utgjør et inngrep i retten etter EMK artikkel 8 nr. 1, se Amann mot Sveits 16.2.2000 avsnitt 65 og S. og Marper mot Storbritannia 4.12.2008 avsnitt 67.
3.3.2 Krav om rettsgrunnlag etter Grunnloven og EMK
Særlig relevant i vår sammenheng er hvilke krav Grunnloven og EMK stiller til hjemmelsgrunnlaget. I Prop 56 LS (2017–2018) Lov om behandling av personopplysninger (personopplysningsloven) og samtykke til deltakelse i en beslutning i EØS-komiteen om innlemmelse av forordning (EU) nr. 2016/679 (generell personvernforordning) i EØS-avtalen punkt 6.4 omtaler Justis- og beredskapsdepartementet kravet om rettsgrunnlag etter Grunnloven og EMK:
«[…]
Inngrep i retten etter EMK artikkel 8 nr. 1 må kunne rettferdiggjøres etter artikkel 8 nr. 2, som krever at inngrepet må ha tilstrekkelig hjemmel, ha et legitimt formål og være forholdsmessig. Det er kravet om tilstrekkelig hjemmel som er særlig interessant i denne sammenhengen.
Hjemmelskravet («in accordance with the law») innebærer for det første at det er nødvendig med et rettsgrunnlag, noe som gjerne uttrykkes som at inngrepet må ha «sufficient legal basis in domestic law», jf. for eksempel Bernh Larsen Holding AS m.fl. mot Norge 14.3.2013 avsnitt 126. Det følger av EMDs praksis at bestemmelsen ikke oppstiller formelle krav til rettsgrunnlaget, noe som innebærer at både lov, forskrift og uskreven rett mv. kan oppfylle kravet. Det stilles imidlertid krav om at rettsgrunnlaget skal være tilgjengelig og forutberegnelig. Det er kravet om forutberegnelighet som er relevant i denne sammenhengen. I L.H. mot Latvia 29.4.2014 avsnitt 47 er kravet formulert slik:
«Of particular relevance in the present case is the requirement for the impugned measure to have some basis in domestic law, which should be compatible with the rule of law, which, in turn, means that the domestic law must be formulated with sufficient precision and must afford adequate legal protection against arbitrariness. Accordingly the domestic law must indicate with sufficient clarity the scope of discretion conferred on the competent authorities and the manner of its exercise.»
Kravet om tilstrekkelig presisjon og vern mot vilkårlighet kan også innebære et krav om garantier («safeguards»), jf. S. og Marper mot Storbritannia. Saken gjaldt lagring av fingeravtrykk, celleprøver og DNA-profiler, og domstolen uttalte i avsnitt 99:
«The Court agrees with the applicants that at least the first of these purposes is worded in rather general terms and may give rise to extensive interpretation. It reiterates that it is as essential, in this context, as in telephone tapping, secret surveillance and covert intelligence-gathering, to have clear, detailed rules governing the scope and application of measures, as well as minimum safeguards concerning, inter alia, duration, storage, usage, access of third parties, procedures for preserving the integrity and confidentiality of data and procedures for its destruction, thus providing sufficient guarantees against the risk of abuse and arbitrariness.»
Hvilke garantier som er nødvendig, må vurderes i lys av inngrepets art og omfang, se P.G. og J.H. mot Storbritannia 25.9.2001 avsnitt 46. Vurderingen av garantier henger for øvrig tett sammen med proporsjonalitetsvurderingen. I S. and Marper mot Storbritannia fant EMD at det i lys av proporsjonalitetsvurderingen ikke var nødvendig å ta stilling til om lovskravet var oppfylt, jf. avsnitt 99.
Hva som er tilstrekkelig rettsgrunnlag for inngrep, beror på en konkret vurdering, blant annet av hvor inngripende behandlingen er. Etter departementets syn er det imidlertid ikke holdepunkter i EMDs praksis for at det gjelder et unntaksfritt krav om uttrykkelig hjemmel i særlovgivning for behandling av personopplysninger. Departementet legger til grunn at forordningen artikkel 6 nr. 1 bokstav a, b, d og f i seg selv etter omstendighetene kan være tilstrekkelige lovhjemler. Også forordningen artikkel 6 nr. 1 bokstav c og e i kombinasjon med et supplerende rettslig grunnlag som oppfyller kravene etter ordlyden i nr. 3, kan være tilstrekkelig. Videre vil forordningens generelle regler, eksempelvis om personvernombud, forhåndsdrøftinger, den registrertes rettigheter mv., utgjøre garantier i EMKs forstand.
Samtidig er det ikke tvilsomt at forordningens generelle regler, eventuelt i kombinasjon med et supplerende rettsgrunnlag som bare oppfyller minimumskravene etter ordlyden i artikkel 6 nr. 3, ikke alltid vil gi tilstrekkelig spesifikt rettsgrunnlag eller nødvendige garantier i tråd med Grunnloven og EMK. Det blir da nødvendig å utforme mer spesifikke rettsgrunnlag og ytterligere garantier i nasjonal rett, og det vil i mange tilfeller være nødvendig med uttrykkelig hjemmel i særlovgivning. Forordningen må med andre ord tolkes og anvendes i lys av Grunnloven og EMK.
[…]»
Utlendingsmyndighetenes behandling, herunder innsamling, bruk og lagring, av personopplysninger vil innebære et inngrep i den registrertes privatliv, som krever tilstrekkelig rettsgrunnlag etter Grunnloven § 102 og EMK artikkel 8 for å være lovlig. Behandling av saker etter utlendingsregelverket knytter seg til personopplysninger av et stort omfang, og opplysningene vil ofte være av sensitiv art. Myndighetene vil som regel også ha behov for at opplysningene lagres over lang tid. Dette får betydning for hvilke krav som stilles til rettslig grunnlag for behandling av personopplysninger.
3.4 Behandling av personopplysninger om barn
Utgangspunktet etter gjeldende rett er at barn og voksne har samme rettigheter etter personopplysningsloven. Gjennom personopplysningsloven § 11 tredje ledd er barns personopplysninger likevel gitt et særlig vern. Det er der bestemt at opplysningene ikke skal behandles på en måte som er uforsvarlig av hensyn til barnets beste. Med barn menes personer under 18 år, jf. spesialmerknadene til § 11 i Prop. 47 L (2011–2012) side 41. Bestemmelsen ble vedtatt for å styrke mindreåriges rettsstilling ved behandling av personopplysninger og innebærer både et forbud og en forpliktelse til å ta ekstra hensyn ved håndtering av personopplysninger som gjelder barn.
Når det gjelder mindreårige i utlendingssaker vil det ofte være den som har foreldreansvaret som opptrer på vegne av barnet. Enslige, mindreårige asylsøkere får oppnevnt representant, jf. utlendingsloven kapittel 11 A. Representanten skal ivareta den mindreåriges interesser i asylsaken og ellers utføre de oppgaver som tilkommer en verge i henhold til annen lovgivning.