Last ned rapport

Juridisk utredning av samtykke som behandlingsgrunnlag i UDI (pdf, 1,9 MB)

Formålet med prosjektet

Utlendingsmyndighetene er pålagt et bredt spekter av oppgaver som forutsetter registrering og videre behandling av personopplysninger, herunder sensitive opplysninger. Utlendingsdirektoratet (UDI) har derfor initiert denne studien for å få:

• kartlagt omfanget av samtykke som behandlingsgrunnlag i UDI
• vurdert om gjeldende samtykke er et gyldig og tilstrekkelig behandlingsgrunnlag for de aktuelle behandlingene som foretas
• vurdert rekkevidden på gjeldende samtykker - hvilke behandlinger kan foretas som følge av disse
• vurdert om et samtykke overfor UDI tilfredsstiller kravene til et uttrykkelig, frivillig og informert samtykke
• vurdert om forslaget til ny EU-forordning på personvern får konsekvenser for eller innebærer vesentlige endringer for UDIs samtykkepraksis
• vurdert om utlendingsforvaltningen må, og eventuelt på hvilken måte, utvikle det lovmessige behandlingsgrunnlaget fremfor eller i tillegg til bruk av samtykke

Hovedfunn i rapporten

1. UDIs samtykkepraksis, rekkevidden av samtykke og dets gyldighet
Kartleggingen av UDIs samtykkepraksis viser at samtykkeskjemaer ofte benyttes ved utveksling av sensitive personopplysninger eller ved utveksling av opplysninger med utenlandske myndigheter eller organisasjoner. Samtykkeskjemaer er hyppigst brukt på mottaksområdet, men er lite brukt på oppholds- og asylområdet. Som ledd i søknadsbehandlingen benyttes i stor utstrekning informasjonsskriv som ikke oppfyller kravene som stilles til samtykke. Den lille andelen av samtykkemaler som anses å oppfylle kravene til informert, frivillig og uttrykkelig samtykke, hjemler bare behandling av personopplysninger til nærmere definerte og klart avgrensede formål.

Rapporten konkluderer på denne bakgrunn med at UDI hovedsakelig baserer seg på lovhjemmel fremfor samtykke som grunnlag for å behandle personopplysninger.

2. Er samtykke et gyldig behandlingsgrunnlag i utlendingsforvaltningen?
Rapporten redegjør for regelverkets krav til at samtykke skal være frivillig, informert og uttrykkelig. Et sentralt spørsmål er hvilken betydning kravet til frivillighet har for samtykkets gyldighet som behandlingsgrunnlag på utlendingsforvaltningens område. Utlendingsforvaltningen avgjør saker om tildeling av grunnleggende goder som har stor betydning for en sårbar gruppe. I mange tilfeller risikerer enkeltindividet å bli nektet slike grunnleggende goder hvis vedkommende ikke samtykker til behandlingen av sine personopplysninger. I enkelte tilfeller utsettes også individet for inngrep som har karakter av å være tvang. Rapporten konkluderer derfor med at eksisterende samtykker i hovedsak ikke er gyldige som behandlingsgrunnlag i utlendingsforvaltningen. Enkelte unntak finnes likevel på mottaksområdet når det gjelder oppgaver som ikke gjelder tildeling av grunnleggende goder, og hvor samtykke derfor kan være egnet som behandlingsgrunnlag.

3. Konsekvensene av ny EU personvernforordning
Ny kommende personvernforordning i EU vil mest sannsynlig stille strengere krav til samtykke enn det som følger av dagens personverndirektiv. EU-kommisjonen har foreslått at samtykke ikke kan benyttes i tilfeller hvor det er «significant imbalance» i forholdet mellom den registrerte og den behandlingsansvarlige. Dersom forslaget blir stående, vil dette være i samsvar med konklusjonen i rapporten om at utlendingsforvaltningen som hovedregel ikke kan benytte samtykke.

Rapportens anbefalinger

På bakgrunn av at samtykke som hovedregel vil være uegnet som behandlingsgrunnlag på utlendingsmyndighetenes område, vurderer rapporten hvorvidt utvalgte sentrale lovhjemler gir grunnlag for behandling av personopplysninger. Rapporten redegjør i den forbindelse for de generelle kravene til lovhjemmel for behandling av personopplysninger med særlig vekt på de krav som følger av legalitetsprinsippet, rettsikkerhetsidealer og personopplysningsrettens formålsbestemthetsprinsipp.

Gjennomgangen av utvalgte sentrale lovhjemler viser at kun enkelte bestemmelser vedrørende særlig inngripende tiltak gir eksplisitt hjemmel for å behandle personopplysninger til klart definerte og nærmere avgrensede formål. Med unntak for disse enkeltbestemmelsene, mangler flere sentrale bestemmelser en klar angivelse av formål og rammer for behandling av personopplysninger. Med forbehold om at det bare er gjort en vurdering av et begrenset antall hjemler, er derfor konklusjonen at det er usikkerhet knyttet til rekkevidden av flere sentrale lovhjemler på området.

Rapporten anbefaler at utlendingsforvaltningen fortsetter å anvende samtykker der samtykke er egnet som behandlingsgrunnlag. Dette gjelder fortrinnsvis til enkelte formål innenfor mottaksområdet. For øvrig anbefaler rapporten at UDI baserer sin behandling av personopplysninger på lovhjemmel fremfor samtykke.

I lys av usikkerheten knyttet til rekkevidden av sentrale hjemler, anbefaler rapporten nærmere utredning av det lovmessige grunnlaget. Ved videreutvikling av regelverket bør det gis lovhjemler som på en tydeligere måte gir utlendingsmyndighetene adgang til å behandle personopplysninger til nærmere bestemte formål.

Hvordan skal UDI følge opp rapporten

UDI vil gå gjennom rapporten og vurdere hvordan anbefalingene i rapporten bør følges opp.