Vi viser til departementets brev 28. juni 2019. Overordnet mener UNE det er viktig og nødvendig med en hjemmel for behandling av personopplysninger i statsborgerloven, slik som i utlendingsloven. Det er også viktig og nødvendig for en god og effektiv behandling av saker at flere instanser får en opplysningsplikt overfor UNE og andre som behandler statsborgersaker, og med tilhørende unntak fra taushetsplikten.

Forslag til endringer i statsborgerloven

UNE mener det er fornuftig å ha likelydende bestemmelser i statsborgerloven som i utlendingsloven hva gjelder hjemmel for behandling av personopplysninger (ny § 29 a). Også for ny § 29 b er det fornuftig med en parallell. Det kan skape unødvendig tvil om forståelsen at bestemmelsene ikke er likelydende der de kan være det.

Forslag til endringer i statsborgerforskriften

§ 13 A-1

Utlendingsforskriften § 17-7 a angir formål med behandlingen av personopplysninger, men angivelsen er ikke uttømmende, jf. ordet «herunder» før oppregningen. Forslaget til endring i statsborgerforskriften er imidlertid uttømmende, uten at dette er godt begrunnet og holdt opp imot utlendingsforskriften. UNE mener at man ved formuleringen av ny formålsbestemmelse bør se hen til utlendingsforskriften § 17-7 a.

Det er uheldig med en uttømmende regulering av formål både fordi dette vil skape uklarhet rundt rekkevidden av formålene, og fordi det hindrer fleksibilitet til å benytte opplysninger til andre legitime formål dersom behovet måtte oppstå. For eksempel kan det reises spørsmål om UNEs behandling av omgjøringsanmodninger omfattes siden bare «klager» er nevnt i utkastet. Videre kan det være uklart om behandling knyttet til ulike tilsynsmyndigheter er omfattet. Dette kan typisk gjelde Sivilombudsmannen, Likestillings- og diskrimineringsombudet eller Klagenemnda for likestilling.

Slike spørsmål kommer ikke på spissen ved å bruke samme regelteknikk som i utlendingsforskriften. Vi kan ikke se at det er grunn til å gjøre forskjell på statsborgersaker og utlendingssaker her. Se også kommentarer til § 13 A-5.

§ 13 A-2

Det er ingen begrensninger i personkretsen, annet enn nødvendighetskriteriet. Dette kriteriet følger allerede av hjemmelsbestemmelsen i utkast til § 29 a i loven. Det er vanskelig å se at forslag til § 13 A-2 tilfører noe nytt. Det er for øvrig også en skrivefeil i utkastet.

§ 13 A-3

Bestemmelsen om behandlingsansvarlig er ment å inneholde samme regel som utlendingsforskriften § 17-7 b, men er noe annerledes formulert. Dette er ikke nærmere begrunnet.

Annet ledd kan skape usikkerhet; det er vel ment at UDI skal være behandlingsansvarlig for statsborgermyndighetenes felles registre? Hvis UNE har et eget register, slik register er definert i personvernforordningen § 4, må det jo være UNE som er behandlingsansvarlig for dette. Er det noen grunn til at departementet har valgt å ikke foreslå «Utlendingsdatabasen», slik som i utlendingsforskriften?

UNE har tidligere gitt innspill til Justisdepartementet (ekstern lenke) knyttet til at UDI ble foreslått å være «behandlingsansvarlig» for utlendingsmyndighetenes «sentrale registre».

UNE skiller i praksis mellom systemeierskap og behandlingsansvar og viser til at hver etat må være behandlingsansvarlig for bruk av personopplysninger til egne formål, også i felles registre. Den som har systemeierskapet – altså UDI - er den som har ansvaret for den tekniske løsningen.

§ 13 A-5

Det er greit med en uttrykkelig bestemmelse om at statsborgermyndighetene «kan viderebehandle personopplysninger fra tidligere saksbehandling, herunder fra tidligere utlendingssaker, til nye formål ....» mv. UNE baserer sin behandling av statsborgersaker bl.a. på opplysninger i tidligere saker, også fra familiemedlemmer og andre. Dette er nødvendig for å treffe riktige vedtak. Men denne reguleringen er vel ikke ment å være uttømmende? Den kan nok forstås slik, selv om det ikke står «kan bare viderebehandle». En usikkerhet er i seg selv uheldig og bør unngås. Utkast til nytt annet ledd i utlendingsforskrift § 17-7 a reiser samme problemstilling. Begge bestemmelsene bør formuleres så det går tydelig fram at myndighetenes kompetanse til å viderebehandle personopplysninger til nye formål ikke er uttømmende regulert.

Det vil være nyttig å se nærmere på vilkåret om at «sakene har en forbindelse». I alle eksemplene i departementets høringsbrev er dette personer som ser ut til å ha en nær sammenheng med søkeren. UNE kan imidlertid ha behov for å behandle personopplysninger fra personer som ikke har en slik forbindelse til søkeren, men for eksempel fordi likebehandlingshensyn gjør seg gjeldende. Det kan blant annet dreie seg om notater og sammenstillinger til internt bruk. Det kan også være nødvendig i noen grad å viderebehandle (sammenstille) opplysninger for personer som kommer fra samme område eller samme land som en klager, eller som har andre felles kjennetegn, noe som kan avdekke mønstre og modus i porteføljer.

Forstått som en uttømmende regulering vil altså UNE ikke kunne utføre annen forsvarlig og nødvendig behandling av personopplysninger. Dette kan også være ulike sider ved systembehandling, slik som vedlikehold, testing og videreutvikling av systemene våre. UNE har for øvrig merket seg at enkelte etater begynner å få egne hjemler til test- og utviklingsformål, blant annet Skatteetaten og Tolletaten. Dette kan skape en usikkerhet i rettstilstanden overfor andre organer og etater som ikke har en slik hjemmel.

Se ellers kommentarer til § 13 A-1.

Regler om opplysningsplikt

UNE støtter forslagene fullt ut.

Saksbehandler: Camilla Wohl Sem