Umsögn um frumvarp til laga um breytingu á lögum um útlendinga nr. 80/2016 (flutningur þjónustu milli ráðuneyta)
Mál. nr 2022050946
27. maí 2022
Umsögn
Allsherjar- og menntamálanefnd Alþings
Reykjavík, 27. maí 2022
Efni: Umsögn Persónuverndar um frumvarp til laga um breytingu á lögum um útlendinga, nr. 80/2016 (flutningur þjónustu milli ráðuneyta).
1.
Persónuvernd vísar til beiðni allsherjar- og menntamálanefndar Alþingis frá 19. maí 2022 um umsögn um frumvarp til laga um um breytingu á lögum um útlendinga, nr. 80/2016 (flutningur milli ráðuneyta), (þskj. 840, 598. mál á 152. löggjafarþingi).
2.
Í 1. gr. frumvarpsins er gert ráð fyrir breytingu á 17. gr. núgildandi útlendingalaga nr. 80/2016 sem fjallar um vinnslu persónuupplýsinga. Í breytingu á 1. mgr. 17. gr. laganna felst að því stjórnvaldi sem sem fer með framkvæmd 27. og 33. gr. laganna verði fengin heimild til vinnslu persónuupplýsinga um útlendinga að fullnægðum heimildarákvæðum laga um persónuvernd og vinnslu persónuupplýsinga, til viðbótar við þau stjórnvöld sem nú þegar hafa slíka heimild samkvæmt upptalningu í lögunum.
Þá er í 1. gr. frumvarpsins einnig lögð til sú breyting á 2. mgr. 17. gr. útlendingalaga að í stað orðsins „stofnunum“ þrívegis kemur: stjórnvöldum.
Jafnframt er í 1. gr. frumvarpsins lögð til sú breyting á 3. mgr. 17. gr. útlendingalaganna að því stjórnvaldi sem fer með framkvæmd 27. og 33. gr. laganna verði gert að upplýsa og afhenda lögreglu eða hlutaðeigandi stjórnvaldi þau gögn sem það gæti krafist, fái þau upplýsingar sem gætu falið í sér hugsanlegt lögbrot.
Í athugasemdum við ákvæði 1. gr. frumvarpsins segir að lagt sé til að ráðuneyti og því stjórnvaldi sem fer með framkvæmd 27. og 33. gr. laganna verði fengin heimild til vinnslu persónuupplýsinga um útlendinga. Er breytingin talin nauðsynleg svo að viðkomandi ráðuneyti og stjórnvaldi verði kleift að sinna þjónustu við umsækjendur um vernd. Þjónustan feli eðli málsins samkvæmt í sér vinnslu viðkvæmra persónuupplýsinga, svo sem upplýsinga úr sjúkraskrám og annarra heilbrigðisupplýsinga, og því nauðsynlegt að hafa skýra heimild í lögum. Með því stjórnvaldi sem fer með framkvæmd 27. og 33. gr. er átt við það stjórnvald sem mun sinna þjónustu við umsækjendur um alþjóðlega vernd fyrir hönd félags- og vinnumarkaðsráðuneytisins. Í athugasemdum við ákvæði 1. gr. frumvarpsins kemur fram að ekki liggi fyrir, á þeim tíma er frumvarpið er lagt fram, hvaða stjórnvald muni sinna umræddri þjónustu af hálfu ráðuneytisins. Til að tryggja að félags- og vinnumarkaðsráðuneytið og það stjórnvald sem fara mun með þjónustu við umsækjendur um alþjóðlega vernd geti sinnt hinu nýja lögbundna hlutverki samkvæmt 27. og 33. gr. laganna er talið nauðsynlegt að þau hafi lagaheimild til að vinna fyrrnefndar persónuupplýsingar um útlendinga, í samræmi við ákvæði laga um persónuvernd og vinnslu persónuupplýsinga, nr. 90/2018.
3.
Að mati Persónuverndar gætir nokkurs misræmis milli 1. gr. frumvarpsins og þeirrar umfjöllunar sem fram kemur í athugasemdum við ákvæði 1. gr. frumvarpsins, hvað varðar heimild ráðuneytisins til vinnslu persónuupplýsinga um útlendinga. Samkvæmt athugasemdum við ákvæði 1. gr. frumvarpsins er með breytingunni leitast við að tryggja að félags- og vinnumarkaðsráðuneytinu og því stjórnvaldi sem fer með framkvæmd 27. og 33. gr. laganna verði fengin heimild til vinnslu persónuupplýsinga um útlendinga. Í 1. gr. frumvarpsins er hins vegar aðeins lögð til sú breyting á 1. og 3. mgr. 17. gr. núgildandi útlendingalaga að því „stjórnvaldi sem fer með framkvæmd 27. og 33. gr. laganna“ er bætt við upptalningu þeirra aðila sem er heimil vinnsla persónuupplýsinga útlendinga, en ekki ráðuneytinu, og aðeins orðinu „stjórnvald“ bætt við 2. mgr. 17. gr. núgildandi laga.
Í 3. tölul. 9. gr. persónuverndarlaga nr. 90/2018, sbr. c-lið 1. mgr. 6. gr. reglugerðar (ESB) 2016/679, segir að heimilt sé að vinna með persónuupplýsingar ef vinnslan er nauðsynleg til að fullnægja lagaskyldu sem hvílir á ábyrgðaraðila. Í 3. mgr. 6. gr. reglugerðar (ESB) 2016/679 segir að þegar vinnsla fer fram á grundvelli framangreindrar heimildar skuli mæla fyrir um hver sé ábyrgðaraðili að vinnslu persónuupplýsinga og hvaða stofnanir mega fá persónuupplýsingar í hendur og í hvaða tilgangi. Með vísan til framangreinds telur Persónuvernd að betur færi á því að í frumvarpinu kæmi fram með skýrum hætti hvaða stjórnvald muni sinna þjónustu við umsækjendur um alþjóðlega vernd, fyrir hönd félags- og vinnumarkaðsráðuneytisins, og fá heimild til vinnslu persónuupplýsinga um útlendinga, til viðbótar við þau stjórnvöld sem nú þegar hafa slíka heimild samkvæmt upptalningu í núgildandi útlendingalögum.
4.
Persónuvernd áréttar einnig mikilvægi þess að við framangreinda vinnslu persónuupplýsinga verði gætt að meginreglum persónuverndarlaga, sbr. 1. mgr. 8. gr. laga nr. 90/2018 og 5. gr. reglugerðar (ESB) 2016/679. Sérstaklega er mikilvægt að huga að þeim meginreglum er lúta að gagnsæi, sanngirni, meðalhófi og öryggi upplýsinga. Í því sambandi áréttar Persónuvernd að hugað verði að innbyggðri og sjálfgefinni persónuvernd á öllum stigum styðjist ábyrgðaraðilar við tæknilausnir við miðlun umræddra persónuupplýsinga og geri tæknilegar og skipulagslegar ráðstafanir til að tryggja öryggi þeirra.
__________________
Ekki eru að öðru leyti gerðar athugasemdir við efni frumvarpsins. Verði frekari umsagnar óskað um einstök atriði verður hún fúslega veitt.
F.h. Persónuverndar,
Vigdís Eva Líndal Edda Þuríður Hauksdóttir