UNE viser til departementets brev 2. april 2025. Vi har følgende merknader.
Nye personkategorier
Den nye forordningen utvider formålet med Eurodac, i tillegg til at antallet personkategorier og opplysninger som skal registreres er utvidet. Opplysningene om den enkelte som nå skal opptas og lagres, er blant annet fingeravtrykk, ansiktsbilde, navn, nasjonalitet, fødselsdato, fødested og kjønn. Erfaringer fra UNE tilsier at dette er opplysninger som kan «endre seg» over tid, og hvor UNE kan få nye opplysninger i klagesaken, i senere omgjøringsanmodninger eller i rettssakssporet knyttet til utlendingens identitet. På denne bakgrunn bør UNE bidra med registrering av ev. nye identiteter, verifiserte identiteter og sannsynliggjorte identiteter når disse endres i DUF, slik at opplysningene blir oppdatert i Eurodac og synlig for øvrige medlemsstater i databasen. Vi antar at UNE også bør også være meldt inn som kompetent myndighet til Kommisjonen, i likhet med politimyndigheter og Utlendingsdirektoratet?
Der det er aktuelt skal det også registreres om personene er innvilget retur- og reintegreringsstøtte, om personen har fått utstedt visum og hvilken medlemsstat som har utstedt dette, og om personen har fått avslag på asylsøknad og ikke har rett til å oppholde seg i en medlemsstat. Vi går ut fra at denne informasjonen må bekreftes eller oppdateres når UNE har behandlet en klage over UDIs vedtak, slik at opplysningene i Eurodac blir oppdatert?
Inkorporasjon av forordningen i utlendingsloven § 101
UNE tiltrer at departementet fortsetter dialogen med EU knyttet til bestemmelsene i forordningen som Norge ikke er bundet av, for å få en oversikt over hvilken betydning de får for anvendelsen av regelverket. Det kan også være behov for å få avklart om korrekt anvendelse av de deler av rettsakten som er gjort til norsk rett, forutsetter at Norge og norske myndighetsorganer forholder seg til de definisjonene og bestemmelsene i rettsaktene som ikke er gjort til norsk rett. Eventuelt om det er behov for å innføre tilsvarende bestemmelser i nasjonalt regelverk? Det vil være viktig for rettsanvenderne at dette blir klargjort, for sikre likebehandling og unngå en uklar rettstilstand.
Behandlingsansvar knyttet til Eurodac-forordningen
UNE tiltrer i utgangspunktet departementets forslag om at Utlendingsdirektoratet (UDI) er behandlingsansvarlig (BA) for behandlingen av personopplysninger i Eurodac.
Dette har gode grunner for seg, og vi mener at fortalepunkt 82, fjerde og femte setning i Eurodacforordningen 2024 gir støtte til et slikt syn. Det vises der til behov for rettslig forutsigbarhet, et sentralt ansvar og informasjonsplikt til Kommisjonen. [1]
I henhold til utlendingsforskriften (utf.) § 17-7b er UDI, UNE, politiet, Sysselmesteren på Svalbard og utenrikstjenesten hver for seg behandlingsansvarlig for behandling av personopplysninger for egne formål, herunder opplysninger registrert i Utlendingsdatabasen. Behandlingsansvaret i utenrikstjenesten utøves av Utenriksdepartementet. UDI er behandlingsansvarlig (systemansvarlig) for Utlendingsdatabasen.
UNE er behandlingsansvarlig («controller») for alt vi legger i DUF. Om UNE i fremtiden aktivt registrerer opplysninger i Eurodac som følge av DUF-vedtak, og slike opplysninger automatisk overføres via DUF til Eurodac, kan det stilles spørsmål ved om UNE vil bli behandlingsansvarlig? For eksempel kan dette gjelde når UNE endrer identitetsopplysninger som følge av nye personopplysninger, eller endrer hvilket medlemsland som er ansvarlig for å behandle en asylsøknad. Et annet syn er imidlertid at UDI uansett vil overta som behandlingsansvarlig når UNE har gjort endringer på opplysninger som skal sendes til Eurodac, via koblingen i systemet mellom DUF og Eurodac.
For å unngå diskusjoner og usikkerhet om dette i fremtiden, er det etter vårt syn en fordel å avklare dette allerede nå.
Personopplysningsloven (pol.) og personvernforordningen (GDPR) hjemler som kjent saklig virkeområde og forholdet til andre lover i pol. § 2. Det fremkommer der at «loven og personvernforordningen gjelder ved helt eller delvis automatisert behandling av personopplysninger og ved ikke-automatisert behandling av personopplysninger som inngår i eller skal inngå i et register. Loven og personvernforordningen gjelder ikke når annet er bestemt i eller med hjemmel i lov.» Norge har altså anledning til å regulere dette nasjonalt.
Hvis det forskriftsfestes at UDI er behandlingsansvarlig, slik det er foreslått i justert utlendingsforskrift § 18-5, bør hjemmelsrekken være i orden. Det vil si at utlendingsloven (utl.) § 101 bør utformes riktig og gi tydelig hjemmel for å fravike personvernforordningen. Å «gi forskrift om» er ikke en tydelig nok hjemmel for å fravike lov, om man skulle mene at UNE er eller vil bli behandlingsansvarlig i henhold til personvernforordningen (GDPR). For å unngå usikkerhet i fremtidig regelverk, bør utl. § 101 derfor utformes annerledes. Hvem som er behandlingsansvarlig vil ha betydning for hvilken etat som skal behandle spørsmål om retting, sletting, innsyn og rapportere til Kommisjonen. Dersom UDI er behandlingsansvarlig, vil disse oppgavene tilfalle UDI også for UNEs vedtak, med mindre dette reguleres på annet vis i en skriftlig avtale mellom UDI og UNE. For øvrig bør eksisterende samarbeidsavtale oppdateres i tråd med nytt regelverk.
Med hilsen
Øyvind Havnevik
enhetsleder
Anne Brandt-Hansen
seniorrådgiver
Dette brevet er godkjent elektronisk i Utlendingsnemnda og har derfor ingen signatur.
Høringsbrev, høringsnotat og svar fra andre høringsinstanser kan leses på regjeringen sine sider.
Fotnoter:
[1] «I forbindelse med nasjonale myndigheters behandling av personopplysninger i Eurodac, bør hver medlemsstat av hensyn til åpenhet og rettslig forutsigbarhet utpeke den myndigheten som skal anses som behandlingsansvarlig i samsvar med forordning (EU) 2016/679 og direktiv (EU) 2016/680, og som bør ha det sentrale ansvaret for behandlingen av opplysninger som den aktuelle medlemsstaten skal utføre. Hver medlemsstat bør oversende nærmere opplysninger om denne myndigheten til Kommisjonen.» norsk-uoffisiell-oversettelse-eu-20241358-eurodac-forordningen.pdf