4 Behandlingsgrunnlag

4.1 Generell bestemmelse

4.1.1 Forslag i høringsnotatet

Departementet forslo i høringsnotatet en generell hjemmel i utlendingsloven for behandling av personopplysninger.

Forslaget lød:

«Utlendingsmyndighetene kan behandle personopplysninger, herunder særlige kategorier personopplysninger og opplysninger om straffbare forhold, når dette er nødvendig for å utøve myndighet eller utføre andre oppgaver etter loven.

Utlendingsmyndighetene kan behandle opplysninger som nevnt i første ledd når det er nødvendig for tildeling av økonomiske ytelser til utlending som er innkvartert etter lovens § 95 eller i forbindelse med assistert retur.»

Kongen kan gi nærmere regler i forskrift om behandlingen, herunder om formålet med behandlingen, behandlingsansvar, hvilke personopplysninger som kan behandles, adgangen til viderebehandling og utlevering av opplysninger, registerføring og tilgang til registre.»

Første ledd gir myndighetene behandlingsgrunnlag ved lovpålagte oppgaver. Som det fremgår av annet ledd foreslo departementet at det uttrykkelig fastslås at myndighetene også kan behandle personopplysninger der dette er nødvendig for å tildele ytelser til beboere som er innkvartert etter utl. § 95, samt i forbindelse med program for assistert retur. Dette er utøvelse av offentlig myndighet som ikke følger eksplisitt av loven, og behandlingen omfattes følgelig ikke av bestemmelsens første ledd.

Forslaget anga ikke hvem det kan innhentes personopplysninger om, men departementet viste til at det primært vil gjelde personer som omfattes av de ulike bestemmelsene i utlendingsloven.

I siste ledd ble det foreslått at Kongen i forskrift kan gi nærmere regler om behandlingen. Enkelte presiseringer av rekkevidden av behandlingsgrunnlaget egnet seg etter departementets syn best i forskrifts form.

4.1.2 Høringsinstansenes syn

Ingen av høringsinstansene er kritiske til at det innføres en generell hjemmel i utlendingsloven som uttrykkelig regulerer utlendingsmyndighetenes behandlingsgrunnlag, men flere har innspill til utformingen av bestemmelsen.

Datatilsynet støtter i utgangspunktet forslaget, men er skuffet over at departementet ikke benytter anledningen til å få på plass en mer presis hjemmel og helhetlig regulering. Datatilsynet uttaler:

«Slik vi ser det er den foreslåtte lovbestemmelsen formulert så åpent og skjønnsmessig at den i realiteten ikke sier noe mer enn det som uansett følger av forordningen, bortsett fra å klargjøre at det er lov som er rettslig behandlingsgrunnlag. Verken den foreslåtte lovbestemmelsen eller de foreslåtte forskriftsbestemmelsene inneholder en konkretisering av hvilke personopplysninger som kan behandles. Forslaget angir heller ikke hvem det behandles personopplysninger om eller hvor opplysningene kan innhentes fra eller hvem som har tilgang.

[…]

Når det gjelder personkrets skriver departementet at de ikke kan se at forordningen oppstiller krav om at det må konkretiseres hvem det kan behandles opplysninger om, så lenge det angis hvilke formål personopplysningene innhentes for. Selv om dette ikke kommer uttrykkelig til uttrykk i forordningen, mener vi at dette kan innfortolkes som et krav til nasjonal lovgivning, blant annet begrunnet i gjennomsiktighetsprinsippet.

[…]

Vi har forståelse for at det, som departementet skriver, kan være vanskelig å liste opp alle opplysninger som kan komme til å bli behandlet. Det bør imidlertid være åpenhet og forutsigbarhet rundt dette og vi mener at det i det minste bør angis i regelverket hvilke kategorier av opplysninger som kan behandles. Særlig på mottaksfeltet, som generelt er svært lite regulert, er det behov for å synliggjøre hvilke opplysninger som behandles om beboerne.

For å oppsummere: Datatilsynet mener at behandling av personopplysninger på utlendingsfeltet burde vært utredet nærmere og regulert langt mer helhetlig enn det som er foreslått. Regelverket om behandling av personopplysninger, selv med de endringer som foreslås, fremstår fragmentert og uoversiktlig. Til sammenligning har Sverige en egen lov om behandling av personopplysninger på utlendingsfeltet, som vil bli oppdatert i forbindelse med innføringen av forordningen.»

Utlendingsdirektoratet (UDI) benytter anledning til å påpeke behovet for ytterligere endringer i regelverket, og uttaler:

«Utlendingsdirektoratet (UDI) er positive til de foreslåtte endringene. Vi mener imidlertid at det kreves flere endringer i regelverket for å sikre at utlendingsmyndighetene har et tilstrekkelig rettslig behandlingsgrunnlag. […] UDI mener det er behov for en nærmere regulering i utlendingsforskriften av mottaksfeltet (innkvartering, omsorgsansvaret og tildeling av økonomiske ytelser) og av assistert retur. Grunnen til dette er at reglene skal være transparente, tydelige og presise, og at anvendelsen skal være forutsigbar for de registrerte, jf. punkt 41 i fortalen som omhandler artikkel 6 nr. 3.

UDI mener videre at forslaget ikke er dekkende for alle de oppgaver UDI er pålagt. Rapportering på saksbehandling er verken utøvelse av offentlig myndighet eller en oppgave de er pålagt etter utlendingsloven. UDI viser også til at utøvelsen av omsorgsansvaret ikke følger av loven, og at behandling av personopplysninger knyttet til dette derfor krever særskilt regulering i loven.

UDI stiller videre spørsmål ved om bestemmelsen omfatter behandling av personopplysninger knyttet til automatiserte avgjørelser uten samtykke fra den registrerte, og uttaler:

«Moderniseringsprogrammet i UDI er i gang med å utvikle løsninger for automatisert saksbehandling på mottaksfeltet. Både tildeling av mottaksplass og utbetaling av basisytelser skal etter hvert skje gjennom bruk av automatiserte avgjørelser.

Den registrerte har i henhold til personvernforordningen artikkel 22 rett til ikke å være gjenstand for automatiserte avgjørelser dersom den har rettsvirkning for eller i betydelig grad påvirker vedkommende. Det fremgår videre av fortalen punkt 71 at slike avgjørelser er tillatt dersom medlemsstatenes nasjonale rett uttrykkelig gir adgang til det eller dersom den registrerte har gitt sitt uttrykkelige samtykke.

Tildeling av mottaksplass og utbetaling av økonomiske ytelser til beboere i mottak er prosesser som må skje raskt og effektivt, særlig i perioder med høye ankomster. Det er derfor svært uheldig dersom personer gis rett til å kreve manuell behandling i slike saker. Adgangen til å benytte automatiserte avgjørelser uten samtykke begrenser den registrertes rettigheter etter personvernforordningen og må hjemles i lov, jf. forordningen artikkel 22 nr. 2 bokstav b.

Fortalen punkt 71 avsluttes med setningen «Nevnte tiltak bør ikke gjelde barn» uten at det fremgår tydelig hva det siktes til. Det er derfor uklart om adgangen til å benytte automatiserte avgjørelser i sin helhet ikke bør gjelde for barn eller om de tiltakene for å sikre nødvendige garantier som det gis eksempler på i forutgående setning ikke bør gjelde for barn. UDI mener imidlertid at også barn bør være gjenstand for automatiserte avgjørelser på mottaksfeltet.

Vi mener at de foreslåtte lovendringene ikke gir tilstrekkelig hjemmel for bruk av automatiserte avgjørelser uten den registrertes samtykke. UDI ber derfor om at det tydeliggjøres i utlendingsregelverket at tildeling av botilbud og utbetaling av økonomiske ytelser kan skje ved bruk av automatiserte avgjørelser, også overfor barn. Vi foreslår at det fremgår eksplisitt av utl. § 83 a tredje ledd at Kongen kan gi nærmere regler i forskrift om bruken av automatiserte avgjørelser, og at slike regler gis i en egen forskriftsbestemmelse.»

UDI og Utenriksdepartementet (UD) er usikre på om gjennomføringen av personvernforordningen får betydning for saker som UD behandler på grunnlag av utl. § 5 tredje ledd og utlf. §§ 1-4, 1-5 og 1-5 A.

Politiets utlendingsenhet (PU) uttrykker at det i lovteksten bør gis veiledning om hvilke hensyn som kan være relevante i nødvendighetsvurderingen og foreslår at det i § 83 a første ledd tas med en henvisning til utlendingslovens formålsbestemmelse som kan lyde: «Ved vurderingen av hva som anses som nødvendig for å utøve myndighet eller utføre andre oppgaver etter loven vises det til utlendingsloven § 1». Videre uttaler PU:

«Det er uklart ut fra departementets redegjørelse under dette punktet om formålet med innsamlingen av opplysningene skal avgrenses til «sak etter loven», i betydningen enkeltsaker. […] PU mener hensynet til politiets behov for opplysninger fra utlendingsmyndighetene ved direkte søk i ulike sammenhenger taler for at formålet med å innhente opplysninger ikke bare gjelder ved «sak etter loven», men også er nødvendig i forbindelse med ulike kontrolloppgaver som politiet ivaretar […].

Amnesty International uttaler:

«Amnesty International er positive til de foreslåtte endringene, men ønsker likevel å kommentere enkelte av punktene i departementets forslag. […] Etter vår vurdering foreligger det en manglende presisering og tydeliggjøring av rettighetene til personer som omfattes av utlendingsloven og utlendingsforskriften som følge av gjennomføringen av EUs personvernforordning i disse. Dette gjelder særlig behandlingsgrunnlaget, nødvendighetskriteriet og forholdsmessighetskriteriet og viderebehandling av personopplysninger.

Redd barna påpeker at deler av høringsnotatet faller utenfor deres mandat, men knytter noen generelle kommentarer til forslaget. De uttaler:

«Redd barna lanserte nylig en rapport der vi kartlegger rammene for barns beskyttelse mot vold og seksuelle overgrep på asylmottak. For å kunne gi god og tilpasset omsorg for barnet det gjelder, er det en forutsetning at omsorgspersonene har tilgang til personopplysninger om barnet. Dette hviler på den samme forutsetning som at det normalt er innehaver av foreldreansvar som har rett til innsyn og behandling av personopplysninger. Det er vanskelig å se for seg at barnet får fullgod oppfølging av helsevesen og skole, uten at disse mottar helt elementære opplysninger.»

Redd barna mener videre at departementet burde benytte anledningen til å lovfeste omsorgsansvaret for enslige, mindreårige asylsøkere mellom 15 og 18 år.

4.1.3 Departementets vurdering

4.1.3.1 Generell hjemmel

Departementet fastholder behovet for en uttrykkelig regulering av behandling av personopplysninger i utlendingsloven, som følge av foreslåtte endringer i personvernregelverket.

I forslag til ny personopplysningslov foreslås det å snevre inn Datatilsynets adgang til å gi tillatelser etter personopplysningsloven § 9 tredje ledd. Denne innsnevringen fører til at de behandlinger som i dag baserer seg på § 9 tredje ledd-tillatelser fordi det mangler lovhjemmel, må reguleres i lov eller forskrift for å ha tilstrekkelig grunnlag når ny personopplysningslov trer i kraft.

Videre viser departementet til at samtykke etter forordningen bør unngås som behandlingsgrunnlag der det er en klar skjevhet mellom den registrerte og den behandlingsansvarlige.

Dette er behandlingsgrunnlag utlendingsmyndighetene til dels bygger på i dag.

Når det gjelder bruk av samtykke som behandlingsgrunnlag bemerker departementet for øvrig at dette vil utgjøre et svakere rettslig grunnlag for behandling av personopplysninger når forordningen får virkning. Det bør derfor i hovedsak unngås for de oppgaver utlendingsmyndighetene skal utføre etter utlendingslovgivningen eller annen tilstøtende utøvelse av offentlig myndighet på området. Utlendingssaker dreier seg om enkeltmennesker, som ofte befinner seg i en sårbar situasjon, og styrkeforholdet mellom det offentlige og individet vil ofte være skjevt.

Departementet ser imidlertid ikke bort fra at det kan tenkes tilfeller der bruk av samtykke kan være egnet som behandlingsgrunnlag også i forbindelse med behandling av personopplysninger etter utlendingsloven, men dette vil slik departementet ser det primært være aktuelt i situasjoner der behandlingen utgjør et mindre inngrep.

Krav om behandlingens lovlighet følger av forordningens artikkel 6, som sier at behandlingen bare er lovlig dersom ett av vilkårene i nr. 1 bokstav a–f er oppfylt. I henhold til bokstav e er behandlingen lovlig dersom den er «nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt». Departementets forslag til ny § 83 a bygger på dette grunnlaget.

Departementet legger til grunn at det ikke er tvilsomt at utlendingsmyndighetenes behandling av personopplysninger er nødvendig for å «utføre en oppgave i allmennhetens interesse», jf. kravet i artikkel 6 nr. 1 bokstav e. Utlendingslovens hovedformål er å gi grunnlag for regulering av og kontroll med inn- og utreise, og utlendingers opphold i riket, legge til rette for lovlig bevegelse over landegrensene, ivareta rettssikkerheten til utlendinger, samt gi grunnlag for vern for utlendinger som har krav på beskyttelse, jf. lovens formålsbestemmelse i § 1. Utlendingsmyndighetene behandler blant annet saker om opphold i forbindelse med arbeid og studier, beskyttelse, familieinnvandring, visum og utvisning. I tillegg har UDI ansvar for omsorgen til enslige, mindreårige asylsøkere over 15 år som bor i mottak. Dette er oppgaver av stor betydning både for samfunnet generelt og for den enkelte utlending.

Forordningens artikkel 6 nr. 1 bokstav e gir alternativt adgang til behandling av personopplysninger når det er nødvendig for å «utøve offentlig myndighet som den behandlingsansvarlige er pålagt». Også dette vilkåret må anses oppfylt, da utlendingsmyndighetenes oppgaver i all hovedsak er pålagt gjennom lov, forskrift, instruks eller alminnelig instruksjonsadgang.

For behandling hjemlet i forordningens artikkel 6 nr. 1 bokstav e stilles det krav om et supplerende rettsgrunnlag, jf. artikkel 6 nr. 3. For rekkevidden av kravet til supplerende rettsgrunnlag vises det til Justis- og beredskapsdepartementet drøftelse av vilkårene for behandling på grunnlag av artikkel 6 nr. 1 bokstav c og e, jf. artikkel 6 nr. 3, i Prop. 56 LS (2017–2018) punkt 6.3.2:

«Det følger av forordningen artikkel 6 nr. 3 at «grunnlaget for behandlingen» nevnt i nr. 1 bokstav c og e «skal fastsettes» i unionsretten eller i medlemsstatenes nasjonale rett. Dette innebærer etter departementets vurdering at artikkel 6 nr. 1 bokstav c eller e ikke alene kan utgjøre behandlingsgrunnlag, men at den behandlingsansvarlige i tillegg må kunne vise til et supplerende grunnlag for behandlingen, som må finnes i nasjonal rett som den behandlingsansvarlige er underlagt, eller i unionsretten. Forordningen skiller seg på dette punktet fra gjeldende lov § 8 bokstav b, d og e, som ikke stiller krav om slikt supplerende rettsgrunnlag.

Kravet om supplerende rettsgrunnlag for behandling på grunnlag av artikkel 6 nr. 1 bokstav c og e reiser to hovedspørsmål. For det første må det avgjøres hva som kan utgjøre et slikt supplerende rettsgrunnlag etter bokstav c og e. For det andre må det tas stilling til hvilke nærmere krav forordningen stiller til innholdet i det supplerende rettsgrunnlaget.

Når det gjelder det første spørsmålet – hva som kan utgjøre et supplerende rettslig grunnlag etter bokstav c og e – kreves det etter ordlyden et «grunnlag» («basis»). Det følger av fortalepunkt 41 at «når det i denne forordning vises til et rettslig grunnlag eller et lovgivningsmessig tiltak, krever dette ikke nødvendigvis en regelverksakt vedtatt av et parlament». Etter departementets syn må det legges til grunn at i alle fall lov- og forskriftsbestemmelser kan utgjøre supplerende rettsgrunnlag. Departementet antar at også vedtak fattet i medhold av lov eller forskrift omfattes, ettersom det også i disse tilfellene foreligger et lov- eller forskriftsgrunnlag.

Når det gjelder det andre spørsmålet – hvilke nærmere krav forordningen stiller til innholdet i det supplerende rettslige grunnlaget – må det tas utgangspunkt i ordlyden i artikkel 6 nr. 3. Det følger av ordlyden at «[f]ormålet med behandlingen skal være fastsatt i nevnte rettslige grunnlag eller, når det gjelder behandlingen nevnt i nr. 1 bokstav e), være nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt.» Videre følger det at rettsgrunnlaget «kan inneholde særlige bestemmelser for å tilpasse anvendelsen av reglene i denne forordning», blant annet vilkårene for behandling, hvilken type opplysninger som skal behandles, berørte registrerte, enhetene som personopplysningene kan utleveres til, og formålene med dette, formålsbegrensning, lagringsperioder samt behandlingsaktiviteter. Endelig følger det at unionsretten eller nasjonal rett «skal oppfylle et mål i allmennhetens interesse og stå i et rimelig forhold til det berettigede målet som søkes oppnådd», jf. artikkel 6 nr. 3 siste punktum.

Ordlyden i artikkel 6 nr. 3 sondrer mellom hva det supplerende rettsgrunnlaget «skal» inneholde, og hva rettsgrunnlaget «kan» inneholde. Når det gjelder hva det supplerende rettslige grunnlaget må inneholde, tilsier ordlyden etter departementets syn at forordningen stiller forskjellige krav for henholdsvis bokstav c og e.

For så vidt gjelder bokstav c om rettslige forpliktelser, stilles det krav om at formålet med behandlingen skal være «fastsatt» («determined») i det aktuelle rettsgrunnlaget. At formålet skal være «fastsatt» i det supplerende rettsgrunnlaget, kan etter departementets vurdering ikke leses som at det supplerende rettsgrunnlaget må regulere behandling av personopplysninger uttrykkelig. Særlig i lys av den engelske språkversjonen («determined») synes meningen å være at behandlingsformålet skal være bestemt i det supplerende rettsgrunnlaget. Etter ordlyden synes det derfor å være tilstrekkelig at det supplerende rettsgrunnlaget pålegger den behandlingsansvarlige en rettslig forpliktelse som det er nødvendig å behandle personopplysninger for å oppfylle.

For behandling etter bokstav e kreves det etter ordlyden kun at formålet med behandlingen skal være nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet, noe som kun er en gjentagelse av ordlyden i bokstav e. Det synes derfor å være tilstrekkelig etter ordlyden at det supplerende rettsgrunnlaget gir grunnlag for å utøve myndighet eller å utføre en oppgave i allmennhetens interesse, og at det er nødvendig for den behandlingsansvarlige å behandle personopplysninger for å utøve myndigheten eller utføre oppgaven som følger av det supplerende rettsgrunnlaget.

Samlet sett taler altså ordlyden i artikkel 6 nr. 3 for at det må påvises et supplerende rettsgrunnlag i unionsretten eller nasjonal rett, men at det ikke er nødvendig at det supplerende rettsgrunnlaget uttrykkelig regulerer behandling av personopplysninger. Departementet viser i denne forbindelse også til artikkel 35 nr. 10, hvor det forutsetningsvis fremgår at det rettslige grunnlaget for behandling etter artikkel 6 nr. 1 bokstav c og e ikke behøver å spesifikt regulere behandlingsaktivitetene.

Heller ikke forordningens fortale gir støtte for et ubetinget krav om at behandlingen av personopplysninger må være regulert uttrykkelig i det supplerende rettsgrunnlaget. Fortalepunkt 45 gir uttrykk for at behandlingen i disse tilfellene bør «ha rettslig grunnlag i unionsretten eller medlemsstatenes nasjonale rett», men at det ikke kreves «en særlig lovbestemmelse for hver enkelt behandling».

Dersom behandlingen av personopplysninger utgjør et inngrep i retten til privatliv etter Grunnloven § 102 eller EMK artikkel 8, kan det imidlertid være nødvendig med et mer spesifikt rettslig grunnlag for behandlingen enn det ordlyden i forordningen kan tilsi. Det følger også uttrykkelig av fortalepunkt 41 at et rettslig grunnlag bør være «tydelig og presist, og anvendelsen av det bør være forutsigbar for personer som omfattes av det, i samsvar med rettspraksisen til Den europeiske unions domstol («Domstolen») og Den europeiske menneskerettighetsdomstol». Med andre ord må forordningens krav om supplerende rettsgrunnlag for behandlingen tolkes og anvendes i tråd med de menneskerettslige kravene til rettsgrunnlag for inngrep i retten til privatliv. Dette innebærer at det må foretas en nærmere vurdering av rettsgrunnlaget og behandlingen, hvor det blant annet må legges vekt på hvor inngripende behandlingen er. Etter omstendighetene kan utfallet av en slik vurdering bli at det kreves et mer spesifikt grunnlag enn det som kan synes å være minimumskravene etter ordlyden i forordningen. Grunnloven § 102 og EMK artikkel 8 behandles nærmere i neste punkt.»

Kravet om supplerende rettsgrunnlag etter forordningens artikkel 6 nr. 3 synes dermed oppfylt dersom behandlingen forutsetningsvis fremgår av lov. For utøvelse av offentlig myndighet som i dag fremgår av utlendingsloven, stiller, slik departementet ser det, forordningen artikkel 6 nr. 3 i utgangspunktet ikke krav om noen ytterligere uttrykkelig presisering.

Forordningen må imidlertid på dette punktet tolkes og anvendes i lys av Grunnloven § 102 og EMK artikkel 8, noe som kan innebære strengere krav til spesifikt rettsgrunnlag enn det ordlyden i forordningen kan tilsi. Etter Grunnloven § 102 og EMK artikkel 8 beror kravene til rettsgrunnlag på en nærmere vurdering av blant annet hvor inngripende behandlingen er.

Behandling av saker etter utlendingsregelverket omfatter personopplysninger av et stort omfang, og opplysningene vil ofte være av sensitiv art. Myndighetene vil som regel også ha behov for at opplysningene lagres over lang tid. Departementet mener derfor at behandlingens omfang og varighet, og opplysningens karakter, innebærer at inngrepet er betydelig, noe som tilsier at behandlingen bør hjemles i lov. Dette gjelder særlig for behandling av særlige kategorier av personopplysninger. En uttrykkelig bestemmelse som foreslås her vil etter departementets syn være bedre i tråd med forordningens henstilling om tydelighet og forutsigbarhet, jf. fortalepunkt 41.

En lovbestemmelse som uttrykkelig gir myndighetene behandlingsgrunnlag, vil slik departementet ser det også styrke rettsgrunnlaget etter Grunnloven § 103 og EMK artikkel 8 sammenlignet med bruk av samtykke og tillatelse fra Datatilsynet, som utlendingsmyndighetene i stor grad baserer sin behandling på i dag.

Datatilsynet stiller spørsmål ved om bestemmelsen er formulert så skjønnsmessig og åpent at den i realiteten ikke sier noe mer enn det som følger av forordningen, og om kravene til klarhet og forutsigbarhet er tilstrekkelig oppfylt. Datatilsynet savner særlig en henvisning til personkrets og opplysningskategorier, hvor opplysningene kan hentes og hvem som har tilgang.

Hovedformålet med endringen er å gi utlendingsmyndighetene en overordnet hjemmel som angir rammene for behandlingen av personopplysninger. Slik departementet ser det, er det vanskelig å komme utenom at bestemmelsen i en viss grad må være av overordnet karakter og inneholde elementer av skjønn. Det vil være vanskelig, om ikke umulig, å angi uttrykkelig alle det kan være behov for å behandle personopplysninger om, eller hvilke personopplysninger som kan behandles i forskjellige typetilfeller. En slik oppramsing ville dermed uansett blitt ufullstendig. Departementet legger til grunn at bestemmelsen er i tråd med kravene i forordningen. Det understrekes at den foreslåtte bestemmelsen ikke skal anvendes alene, men at den i det enkelte tilfelle må holdes opp mot øvrige bestemmelser i lov eller forskrift som tillegger myndighet eller pålegger oppgaver. I lys av kravet om nødvendighet vil disse bestemmelsene være vesentlige for å fastlegge nærmere i hvilken utstrekning det kan behandles personopplysninger.

Forslagets tredje ledd åpner for at Kongen i forskrift kan gi nærmere regler om behandlingen, herunder sentrale formål behandlingen kan knyttes til, personkrets og opplysningskategorier. En eventuell forskriftsbestemmelse vil utgjøre et supplerende rettsgrunnlag etter forordningen, jf. departementets drøftelse i Prop. 56 LS (2017–2018) gjengitt over. Det understrekes at den foreslåtte forskriftshjemmelen kan brukes til å gi mer spesifikke bestemmelser dersom det skulle vise seg å være nødvendig for visse typer behandlinger.

4.1.3.2 Nærmere om nødvendighetskriteriet

Forslaget til ny § 83 a første ledd sier uttrykkelig at behandlingen kan skje der dette er «nødvendig», i tråd med forordningens artikkel 6 nr. 1 bokstav e, som oppstiller et nødvendighetskriterium. Krav om at behandlingen må være «nødvendig» følger også av forordningens artikkel 5 nr. 1 bokstav c, som angir prinsippet om «dataminimering».

PU har etterlyst nærmere veiledning i hva som ligger i nødvendighetskravet og ønsker en henvisning til lovens formålsbestemmelse i § 1.

Hva som ligger i begrepet «nødvendig» fremgår ikke direkte av forordningens bestemmelser eller fortale, men etter en naturlig språklig forståelse avskjærer den vilkårlig behandling som ikke har relevans for saken. Etter departementets syn innebærer kravet blant annet at det ikke skal innhentes eller på annen måte behandles flere opplysninger enn det som trengs for formålene. Opplysningene skal ha saklig sammenheng med formålet eller formålene som søkes oppnådd ved behandlingen. Det er ikke tilstrekkelig at opplysningene kan være nyttige. Opplysningene må enten alene, eller sett i sammenheng med andre opplysninger, ha betydning i arbeidet eller for å utøve myndighet.

Nødvendighetskriteriet må imidlertid ikke forstås så snevert som at det er et vilkår at opplysningene faktisk får betydning i den konkrete saken, eller er avgjørende for myndighetsutøvelsen. I mange tilfeller vil det være vanskelig å ta stilling til om en opplysning er nødvendig før den er vurdert. Ofte vil også enkeltopplysninger som i seg selv ikke har relevans, etter en helhetsvurdering kunne få betydning.

Nødvendighetskravet får ikke bare betydning i vurderingen av hvilke opplysninger som kan innhentes eller på annen måte behandles, men også i vurderingen av hvilken behandlingsaktivitet utlendingsmyndighetene kan foreta seg. Eksempelvis kan innhenting av en opplysning være nødvendig for et gitt formål, men ikke utlevering.

Departementet har vurdert om det bør inntas en henvisning til lovens formålsbestemmelse i § 83 a, men kan ikke se at en slik henvisning vil gi noe nærmere veiledning i hva som ligger i nødvendighetskriteriet.

4.1.3.3 Nærmere om begrepet «utøve myndighet eller utføre andre oppgaver»

Forslaget er begrenset til å gjelde behandling som er nødvendig for å utøve myndighet eller utføre andre oppgaver etter loven her.

Formuleringen «utøve myndighet eller utføre andre oppgaver» er vid, og omfatter alle oppgaver organet utfører, uavhengig av om det foreligger en søknad eller om det skal treffes et vedtak. Formuleringen er ikke ment å begrenses til behandling knyttet til «enkeltsaker».

Som eksempel vil identitetskontroll i tilfeller der en utlending ikke søker om tillatelse (som for eksempel ved registrering av EØS-borgere), være omfattet. Forberedelse av en sak vil også være omfattet, selv om det organet som forbereder saken ikke er det organet som avgjør den. Også behandling knyttet til oppfølgingen av et vedtak omfattes. Rapportering til overordnet myndighet i forbindelse med sakshåndtering er også ment omfattet av formuleringen.

Videre må behandlingen knytte seg til myndighetsutøvelse eller andre oppgaver «etter loven her».

Først og fremst bidrar en slik henvisning til å tydeliggjøre rammen for hva slags myndighet behandlingen kan knytte seg til. At behandlingen må knytte seg til lovpålagte oppgaver bidrar til å ivareta hensynene til forutsigbarhet og klarhet, da lovens nærmere bestemmelser blant annet vil gi veiledning om hvilke opplysninger som er relevante for en sak, eller hvilken personkrets som vil kunne omfattes.

I annet ledd åpnes det for behandling der det er nødvendig «i forbindelse med tildeling av økonomiske ytelser til utlending som er innkvartert etter § 95, ved utøvelse av omsorgsansvaret for enslige, mindreårige asylsøkere eller i forbindelse med assistert retur». Dette er utøvelse av offentlig myndighet eller oppgaver som i dag ikke følger eksplisitt av loven, og behandlingen vil følgelig ikke kunne omfattes av første ledd. Bestemmelsen er ment å gi utlendingsmyndighetene grunnlag for behandling i samme utstrekning som etter første ledd.

Retten til økonomiske ytelser til livsopphold for beboere i mottak følger i dag av UDIs rundskriv, RS 2008-035 (Pengereglementet), som baserer seg på Stortingets budsjettvedtak og departementets tildelingsbrev og instruks for UDI. Lovforslagets annet ledd åpner for behandling av personopplysninger ved både utmåling og tildeling av slike ytelser. Tildeling av ytelser kan blant annet skje i form av naturalia, økonomiske godtgjørelser, kuponger eller utbetaling ved bruk av betalingskort, og bestemmelsen er ment å omfatte behandling av personopplysninger knyttet til det å administrere slike ordninger.

UDI har i dag omsorgsansvaret for enslige, mindreårige asylsøkere mellom 15 og 18 år i mottak inntil vedkommende bosettes i en kommune eller forlater riket. Driftsoperatørene for asylmottak utøver den daglige omsorgen i mottakene på vegne av UDI. Omsorgsansvaret og utøvelsen av dette ansvaret er i dag ikke hjemlet i lov eller forskrift, men det fremgår av departementets instruks til UDI om innkvartering av asylsøkere (GI-13/2017) og av UDIs egne rundskriv. Forslaget til ny § 83 a annet ledd gir utlendingsmyndighetene grunnlag for behandling av personopplysninger ved utøvelse av dette omsorgsansvaret.

Assistert retur er retur med praktisk og økonomisk bistand fra norske myndigheter og består av to komponenter: Reisestønad og reintegreringsstønad. Per i dag er det UDI som har hovedansvaret for å administrere ordningen med assistert retur, men den blir tilrettelagt av International Organization for Migration (IOM). Ordningen er regulert i departementets rundskriv G-02/2016 Retningslinjer for arbeidet med assistert retur. Dette regelverket oppdateres årlig, blant annet på grunnlag av Stortingets budsjettvedtak. Forslagets annet ledd er ment å gi grunnlag for behandling av opplysninger i forbindelse med norske myndigheters tilbud, administrering og gjennomføring av assistert retur.

UDI har spilt inn at forslagets annet ledd ikke er dekkende for alle de oppgaver UDI er pålagt. UDI foreslår at ordlyden i første ledd endres til å omfatte «pålagte oppgaver», ikke bare oppgaver knyttet til lov.

Departementet har vurdert om ordlyden i forslagets første ledd bør endres til å omfatte all myndighetsutøvelse og alle oppgaver som utlendingsmyndighetene er «pålagt», selv der disse oppgavene ikke fremgår av loven. Dette ville medføre at det ikke er behov for en uttrykkelig regulering i annet ledd av myndighetsutøvelse som ikke fremkommer av loven. En slik formulering vil gi større fleksibilitet, ved at all myndighetsutøvelse omfattes, også der myndighetene i fremtiden blir pålagt nye oppgaver som ikke fremgår av loven.

Etter departementets syn vil en slik endring imidlertid gi et for svakt rettsgrunnlag for behandlingen. Hensynene til forutsigbarhet og klarhet tilsier etter departementets syn at rettsgrunnlaget bør basere seg på myndighetsutøvelse som følger av loven. Det gjøres derfor ikke endringer i forslaget til bestemmelse på dette punkt.

4.1.3.4 Formålsbestemthet og adgangen til viderebehandling

Forordningens artikkel 5 nr. 1 bokstav b bestemmer at personopplysningene skal samles inn for spesifikke, uttrykkelig angitte og berettigede formål.

Videre slår bestemmelsen fast at opplysningene ikke må viderebehandles på en måte som er uforenlig med disse formålene. Behandling av opplysninger til et formål som ikke er forenlig med det opprinnelige formålet er dermed i utgangspunktet forbudt. Dette omtales som prinsippet om «formålsbegrensning».

Forordningens artikkel 6 nr. 4 inneholder nærmere bestemmelser om behandling av personopplysninger for andre formål enn det de er innhentet for. Artikkelen fastslår at behandling for uforenlige formål er tillatt hvis den registrerte har gitt sitt samtykke eller det i nasjonal rett er åpnet for behandling for uforenlige formål for ivaretakelse av de formål som fremgår av artikkel 23 nr. 1 (herunder viktige mål av generell samfunnsinteresse, jf. bokstav e). Artikkel 6 nr. 4 stiller videre krav om at bestemmelser som åpner for viderebehandling for uforenelige formål, må være nødvendige og forholdsmessige. Bestemmelsen gir også anvisning på en ikke-uttømmende liste over momenter som skal inngå i vurderingen av om et formål er forenelig

Forordningens artikkel 5 nr. 1 bokstav b sier uttrykkelig at viderebehandling for «arkivformål i allmennhetens interesse, for formål knyttet til vitenskapelig eller historisk forskning eller for statistiske formål skal i samsvar med artikkel 89 nr. 1 ikke anses som uforenlige med de opprinnelige formålene».

Forslag til ny § 83 a første ledd gir utgjør ikke alene grunnlag for uforenelig viderebehandling. Dette innebærer at bestemmelsen ikke kan benyttes som grunnlag for å innhente opplysninger som allerede er samlet inn for uforenelige formål, eller å utlevere opplysninger som er samlet inn i medhold av bestemmelsen, til uforenelige formål. Slik innhenting og utlevering vil kreve et særskilt viderebehandlingsgrunnlag som oppfyller kravene i artikkel 6 nr. 4. Det understrekes imidlertid at det på den annen side ikke er behov for særskilt viderebehandlingsgrunnlag dersom det innhentes fra eller utleveres til forenelige formål. Den forvaltningsrettslige taushetsplikten kan imidlertid sette grenser for adgangen til viderebehandling.

Forslagets tredje ledd åpner for at Kongen i forskrift kan gi nærmere regler om viderebehandling. Et særlig aktuelt tilfelle vil være å gi regler om bruk av opplysninger utlendingsmyndighetene har fra tidligere saksbehandling. I praksis vil det ikke være uvanlig at en utlending over tid har flere saker til behandling hos utlendingsmyndighetene. I slike tilfeller vil utlendingsmyndighetene ha et reelt behov for å behandle personopplysninger som er innhentet tidligere. Flere hensyn taler for at utlendingsmyndighetene ser hen til opplysninger fra tidligere saksbehandling eller opplysninger innhentet fra en annen utlending i annen sak. Særlig ressurshensyn og hensynet til å opplyse saken best mulig er viktige hensyn, men også kontrollhensyn gjør seg sterkt gjeldende.

Hvorvidt behandling av opplysninger som myndighetene har fra tidligere saksbehandling, vil være forenelig eller ikke med det opprinnelige formålet de ble samlet inn for, vil avhenge av en konkret vurdering i det enkelte tilfelle. Forslaget her er ment å gi hjemmel for at det i forskrift kan gis nærmere regler om bruk også for uforenelige formål. Det understrekes imidlertid at eventuelle forskriftsbestemmelser på dette punkt må utformes i tråd med kravet om nødvendighet og forholdsmessighet i artikkel 6 nr. 4.

4.1.3.5 Bruk av automatiserte avgjørelser

UDI stiller spørsmål ved om bestemmelsen omfatter behandling av personopplysninger knyttet til automatiserte avgjørelser uten samtykke fra den registrerte, og viser til moderniseringsprogrammet i UDI som er i gang med å utvikle løsninger for automatisert saksbehandling på mottaksfeltet.

Retten til ikke å være gjenstand for automatiserte avgjørelser, herunder profilering, følger av forordningens artikkel 22 nr. 1. Unntak fra denne retten følger av nr. 2. Av nr. 2 bokstav b følger det at nr. 1 ikke får anvendelse dersom avgjørelsen følger av nasjonal rett, og der det også er fastsatt egnede tiltak for å verne den registrertes rettigheter, friheter og berettigede interesser.

Departementet legger til grunn at det er tilstrekkelig at regler om bruk av automatiserte avgjørelser gis i forskrift. Bestemmelsens tredje ledd åpner for at det vil kunne gis nærmere regler om «bruk av automatiserte avgjørelser». I henhold til artikkel 22 nr. 2 bokstav b, er det krav om at det må fastsettes egnede tiltak for å verne den registrertes rettigheter, friheter og berettigede interesser. Det synes noe uklart hvilke krav artikkel 22 nr. 2 bokstav b stiller til lovgivningen, og hvilke tiltak som vil være nødvendige i de konkrete tilfellene hvor bruk av automatiserte avgjørelser vurderes innført. Imidlertid synes retten til klageadgang, og retten til menneskelig inngripen å være sentrale tiltak.

4.1.3.6 Behandling av personopplysninger om barn

Som etter gjeldende rett er utgangspunktet etter forordningen at barn og voksne har samme rettigheter i forbindelse med behandling av personopplysninger.

Artikkel 6 nr. 1 bokstav f fastsetter at det skal tas særlig hensyn til om den registrerte er barn ved fastleggelsen av om vilkårene i dette behandlingsgrunnlaget er oppfylt. Tilsvarende følger ikke av bokstav e.

Barnekonvensjonen artikkel 3 sier imidlertid at ved alle handlinger som berører barn, skal barnets beste være et grunnleggende hensyn. Dette gjelder også ved bruk av personopplysninger om barn.

Forslaget til ny § 83 a gir utlendingsmyndighetene, under de forutsetninger som oppstilles, adgang til å behandle personopplysninger om barn. At myndighetene har hjemmel til å behandle opplysningene, sier imidlertid ikke noe om hvilken vekt eller betydning opplysningene skal tillegges i vurderinger knyttet til enkeltsaker.

4.1.3.7 Nærmere om adgangen til å gi regler i forskrift

I forslag til ny § 83 a siste ledd åpnes det for at Kongen kan gi nærmere regler i forskrift om behandlingen, blant annet «om formålet med behandlingen, behandlingsansvar, hvilke personopplysninger som kan behandles, hvem det kan behandles personopplysninger om, bruk av automatiserte avgjørelser, adgangen til viderebehandling, utlevering, registerføring og tilgang til registre. Oppramsingen er ikke uttømmende.

Utdypende bestemmelser i forskrift for å klargjøre hjemmelsgrunnlaget, som å angi sentrale formål behandlingen kan knytte seg til, adgangen til viderebehandling og behandlingsansvar, egner seg etter departementets syn best i forskrifts form. Utformingen kan bli både detaljert og omfangsrik.

Bestemmelsen gir adgang til å regulere «behandlingen». Formuleringen er vid, og omfatter alt som knytter seg til behandlingen. De forskriftsbestemmelsene som gis i medhold av tredje ledd vil supplere det overordnede hjemmelsgrunnlaget, og de må tolkes i lys av dette. Det innebærer at de begrensningene som gjelder etter første ledd, gjelder tilsvarende.

Bestemmelsen åpner for forskrifter om viderebehandling for uforenelige formål, se nærmere omtale under punkt 4.1.3.4.

4.2 Særlige kategorier av personopplysninger

4.2.1 Forslaget i høringsnotatet

Departementet foreslo i høringsnotatet at første ledd uttrykkelig skulle henvise til «særlige kategorier av personopplysninger». Departementet bemerket at behandling av særlige kategorier av personopplysninger vil kunne utgjøre inngrep i svært sentrale deler av den personlige eller fysiske integritet, og at Grunnloven § 102 og EMK artikkel 8 stiller krav til hjemmelsgrunnlaget for det offentliges inngrep i den enkeltes privatsfære. Kravet til hjemmelens klarhet vil variere med hvor omfattende inngrepet er.

Departementet uttalte at lovforslaget vil bidra til å presisere og tydeliggjøre behandlingsgrunnlaget.

4.2.2 Høringsinstansenes syn

Det er få i høringsrunden som uttaler seg spesifikt om særlige kategorier av personopplysninger.

Amnesty International savner en nærmere redegjørelse av forholdsmessighetsprinsippet i forordningens artikkel 9 nr. 2 bokstav g. Amnesty International mener et forholdsmessighetskriterium bør angis særskilt i ny § 83 a.

Datatilsynet savner en nærmere beskrivelse av de aktuelle samfunnsinteressene som begrunner behandling av særlige kategorier av personopplysninger. Videre savner Datatilsynet en redegjørelse av hvorvidt vilkårene i artikkel 9 nr. 2 bokstav g, herunder kravet til forholdsmessighet, og krav til å sikre egnede og særlige tiltak (garantier) er oppfylt.

4.2.3 Departementets vurdering

Som nevnt forslo departementet i høringsnotatet at første ledd uttrykkelig skulle henvise til «særlige kategorier av personopplysninger». Henvisningen erstattes med en ren referanse til personvernforordningens artikkel 9.

I vurderingen av saker etter utlendingsloven vil utlendingsmyndighetene ha behov for å behandle personopplysninger som etter artikkel 9 nr. 1 utgjør særlige kategorier av personopplysninger. Dette er personopplysninger om «rasemessig eller etnisk opprinnelse, politisk oppfatning, religion, overbevisning eller fagforeningsmedlemskap, samt behandling av genetiske opplysninger og biometriske opplysninger med det formål å entydig identifisere en fysisk person, helseopplysninger eller opplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering». Ikke sjelden vil utlendinger anføre opplysninger som nevnt som grunnlag for opphold i Norge.

Artikkel 9 nr. 1 oppstiller en hovedregel om at behandling av slike personopplysninger er forbudt. For at behandling av personopplysninger som omfattes av forbudet i artikkel 9 nr. 1 skal være lovlig, må vilkårene i ett av unntakene i artikkel 9 nr. 2 bokstav a–j være oppfylt. I tillegg må det foreligge behandlingsgrunnlag etter artikkel 6, jf. fortalepunkt 51, hvor det fremgår at også de allmenne prinsippene og de andre reglene i forordningen får anvendelse, «særlig når det gjelder vilkårene for lovlig behandling».

Forordningens artikkel 9 nr. 2 bokstav g åpner for behandling av særlige kategorier av personopplysninger når dette er nødvendig av hensyn til «viktige samfunnsinteresser», på grunnlag av unionsretten eller nasjonal rett som skal stå i forhold til det mål som søkes oppnådd, være forenlig med det vesentligste innholdet i retten til vern av personopplysninger og sikre egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser».

Forslaget til ny § 83 a åpner for behandling av særlige kategorier personopplysninger, og må ses som et unntak fra forbudet i forordningens artikkel 9 nr. 1.

Departementet legger til grunn at det ikke er tvilsomt at utlendingsmyndighetenes behandling av særlige kategorier av personopplysninger er nødvendig av hensyn til «viktige samfunnsinteresser», jf. drøftelsen under punkt 4.1.3.1. De samfunnsinteressene som er særlig sentrale i denne sammenheng, er samfunnets interesse i å kjenne identiteten til utlendinger som kommer til og oppholder seg i Norge, og behovet for å kontrollere innvandringen på de vilkår som følger av regelverket.

Identitetsproblematikken på utlendingsfeltet er kompleks, og konsekvensene av identitetsjuks er alvorlige både i et kriminalitetsperspektiv og i et økonomiske perspektiv. Erfaringsmessig er det kun et mindretall av asylsøkerne som kommer til Norge som etterlever plikten til å innlevere reisedokument eller pass etter utl. § 93 første ledd annet punktum. Mange gir uriktige opplysninger om identitet og asylgrunnlag mv., og enkelte skjuler kriminell bakgrunn eller andre opplysninger av sikkerhetsmessig betydning. De samfunnsmessige konsekvensene av identitetsjuks eller omgåelse av reglene om opphold er således betydelige.

Behandlingen må videre i henhold til bokstav g «stå i forhold til det mål som søkes oppnådd». Denne begrensningen innebærer slik departementet ser det at det må være balanse mellom de beskyttede individuelle interessene på den ene siden og de legitime samfunnsbehovene som begrunner tiltaket på den andre siden.

Hvorvidt behandling i forbindelse med vurdering av en sak etter utlendingsregelverket «står i forhold til de mål som søkes oppnådd» vil måtte vurderes konkret. På generelt grunnlag finner departementet likevel grunn til å understreke at opplysningenes art sjelden alene vil tilsi at behandlingen er uforholdsmessig, særlig der opplysningene vil ha avgjørende betydning, og formålet med behandlingen er å ivareta sentrale samfunnsinteresser, som nevnt over. Det kan likevel unntaksvis tenkes tilfeller der behandlingen vil være uforholdsmessig. Eksempelvis må lagring av bildemateriale med seksuelt innhold som er fremlagt for å understøtte anførsel om seksuell legning, anses så inngripende at behandlingen er uforholdsmessig.

Dersom utlendingsmyndighetene kommer til at behandlingen vil være uforholdsmessig, åpner forslaget til ny § 83 a for at behandling ikke skal skje, jf. bruken av begrepet «kan» innledningsvis i bestemmelsen. Bestemmelsen pålegger ikke myndighetene en plikt til å foreta nødvendig behandling i alle tilfeller, men den gir rom for å foreta skjønnsmessige vurderinger.

Videre stiller artikkel 9 nr. 2 bokstav g krav om at det nasjonale rettsgrunnlaget sikrer «egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser». Dette kravet retter seg slik departementet ser det mot innholdet i det nasjonale rettsgrunnlaget. Også EMK stiller krav til «safeguards» ved inngrep i retten til privatlivet, jf. også under punkt 3.3.2 over.

En særlig aktuell form for tiltak på området, er regler om dataminimering og informasjonssikkerhet. Det behandles en stor mengde personopplysninger i forbindelse med vurdering av saker etter utlendingsregelverket, og opplysningene er ofte såkalte særlige kategorier av personopplysninger. I tillegg består utlendingsforvaltningen av flere aktører, og virksomhetene er store med mange ansatte. Det er derfor viktig å sikre at opplysningene ikke kommer på avveie, at de kun blir brukt til de tiltenkte formålene og at omfanget av opplysninger som behandles begrenses.

Utlendingsmyndighetene har allerede i dag en rekke tiltak som sørger for vern av personopplysninger. UDIs informasjonssikkerhetstiltak er omfattende, og består av ulike varianter av fysiske, systemtekniske og organisatoriske- og administrative tiltak. Som eksempel kan nevnes lås eller kodelås på dører, bruk av adgangskort og besøkslapp, innlåsing av fysiske saksmapper, brukeridentiteter og passord, brannmur og logging av nettverkstrafikk, samt etablering av ulike roller og ansvar for oppgaveløsningen (bl.a. personvernombud), varslingsplikt ved uønskede hendelser og kompetanseheving.

Videre er det er gitt spesifikke bestemmelser om innhenting av opplysninger mellom ulike offentlige etater i lovens §§ 84, 84 b og 85, jf. utlf. §§ 17-7 a–17-7 g, 17-8 og 17-9. I tillegg gjelder de generelle reglene om taushetsplikt i forvaltningsloven.

Forslaget til ny § 83 a inneholder i seg selv tiltak som er ment å sikre grunnleggende prinsipper for behandlingen. Behandlingen er etter bestemmelsens første ledd begrenset til å gjelder opplysninger som er nødvendige, jf. også nærmere omtale i punkt 4.1.3.2. Dette vil etter departementets vurdering bidra til å sikre prinsippet om dataminimering som fremkommer i forordningens artikkel 5 nr. 1 bokstav c.

Det understrekes videre at den foreslåtte bestemmelsen ikke skal anvendes alene, men at den i det enkelte tilfelle må holdes opp mot øvrige bestemmelser i lov eller forskrift som tillegger myndighet eller pålegger oppgaver. Som foreslått i høringsnotatet bør det i forskriften angis sentrale formål behandlingen kan knytte seg til, samt adgang til viderebehandling av opplysninger som myndighetene har fra tidligere saksbehandling. Dette er bestemmelser som er ment å sikre prinsippet om formålsbegrensning i forordningens artikkel 5 nr. 1 bokstav b. Departementet arbeider nå med å få på plass slike forskriftsbestemmelser, hjemlet i forslaget til ny § 83 a tredje ledd.

I tillegg til forskriftsbestemmelsene som det nå jobbes med, mener departementet at ytterligere tiltak bør vurderes regelfestet for å tydeliggjøre tiltakenes betydning og rekkevidde. Etter departementets vurdering er det tilstrekkelig at slike regler gis i forskrifts form. Lovbestemmelsens tredje ledd åpner for dette.

4.3 Behandling av personopplysninger om straffedommer og lovovertredelser

4.3.1 Forslaget i høringsnotatet

I høringsnotatet foreslo departementet av det uttrykkelig fremkommer av bestemmelsen at den omfatter behandling av opplysninger om «straffbare forhold», jf. forslagets første ledd. Presiseringen var ment å sikre at alle de opplysninger som i dag omfattes av begrepet «sensitive personopplysninger» etter personopplysningsloven § 2 nr. 8 ble omfattet av forslaget.

4.3.2 Høringsinstansenes syn

Oslo politidistrikt bemerker at utkast til § 83 a første ledd har en annen ordlyd enn det som følger av formuleringen i lovens § 85, og at dette skaper usikker om behandlingsgrunnlaget er dekkende for den videre behandling etter § 85. Oslo politidistrikt uttaler:

«Slik vi forstår systemet det nå legges opp til i lovgivningen, vil § 85 utgjøre et særskilt behandlingsgrunnlag for bruk av vandelsopplysninger i sak om familieinnvandring, jf. utl. § 40 femte og sjette ledd og § 48. […]. Vi antar at dersom vandelsopplysningene som utleveres etter § 85 skal brukes etter sin hensikt, forutsettes det at mottakers behandlingsgrunnlag er dekkende for den videre behandling. Det er noe uklart for politiet om ordlyden i § 83 a, herunder opplysninger om straffbare forhold, er tilstrekkelig for den praksis som er etablert for utlevering av vandelsopplysninger etter utl. § 85. På den bakgrunn ser vi et behov for at rekkevidden av § 83 a utdypes nærmere i lovens forarbeider.»

4.3.3 Departementets vurdering

Etter forordningen omfattes ikke personopplysninger om straffbare forhold mv. av reglene om særlige kategorier av personopplysninger. I stedet er slike opplysninger særlig regulert i artikkel 10 (behandling av personopplysninger om straffedommer og lovovertredelser). Bestemmelsen gjelder i tillegg til reglene om behandlingsgrunnlag i artikkel 6 og fastsetter visse nærmere vilkår for behandling av personopplysninger om straffedommer og lovovertredelser eller tilknyttede sikkerhetstiltak.

Hovedregelen er at behandling bare kan skje «under en offentlig myndighets kontroll». Forordningens artikkel 10 krever ikke at det fastsettes nasjonale lovbestemmelser for behandling av personopplysninger om straffbare forhold under en offentlig myndighets kontroll. I disse tilfellene stiller ikke artikkel 10 særlige krav utover det som følger av de alminnelige reglene om behandlingsgrunnlag, jf. artikkel 6 nr. 1.

Utlendingsmyndighetenes behandling av opplysninger om straffedommer og lovovertredelser trenger altså ingen nærmere regulering i loven etter forordningen. Det stilles heller ikke tilsvarende strenge krav til behandlingen som for behandling av særlige kategorier av personopplysninger. Departementet fastholder imidlertid at det er hensiktsmessig å vise uttrykkelig til artikkel 10, for å unngå tvil om også slike opplysninger omfattes. Det gir også større forutberegnelighet for den registrerte.

Forordningen bruker begrepet «straffedommer og lovovertredelser». I høringsnotatet foreslo departementet ordlyden «straffbare forhold». Dette var ment å ha samme innhold. Departementet går bort fra begrepet «straffbare forhold» som opprinnelig ble foreslått i høringsnotatet for å unngå tolkningstvil mellom forslaget og forordningen. Henvisningen erstattes med en ren referanse til personvernforordningens artikkel 10.

Når det gjelder rekkevidden av hvilke opplysninger som omfattes, viser departementet til at den foreslåtte bestemmelsen omfatter alle kategorier av personopplysninger, jf. henvisningen til personvernforordningens artikkel 9 og 10.