Ombudsmannen besøkte Lier statlige ventemottak 4. mars 2008. Mottaket er et frivillig botilbud til personer som har fått endelig avslag på sine asylsøknader og som har utreiseplikt, jf. utlendingsloven 24. juni 1988 nr. 64 § 41a. Utlendingsdirektoratet, som er ansvarlig for mottaket, deltok med representanter, og mottakslederen fra driftsoperatøren Link AS var også til stede. Direktoratet og driftsoperatøren orienterte om situasjonen ved mottaket, blant annet belegg og botid, helsetjenesten, bemanning og opplæring av personale, aktivitetstilbud, adgangskontroll for beboere og besøkende, naturalytelser og konsekvenser ved brudd på husordensreglene.
Det ble også gitt en omvisning på mottaket, som er lokalisert i en tidligere sivilforsvarsleir i Lierskogen. Mottaket er omgitt av høye gjerder, men disponerer et relativt stort uteareal innenfor gjerdene. Videre består mottaket av flere bygninger, deriblant en hovedbygning som rommer administrasjon og kantine. Mottaket hadde på tidspunktet for besøket også tre boenheter og en bygningsmasse som inneholdt felles oppholdsrom og flere aktivitetsrom.
Ombudsmannen hadde samtaler med flere beboere på mottaket. Samtalene gjaldt i første rekke de respektive beboernes utlendingssaker.
Etter besøket ble det funnet grunn til å be Utlendingsdirektoratet (UDI) om en skriftlig orientering rundt enkelte forhold.
Ved avslutning av saken uttalte jeg:
«1.Rutiner knyttet til utendørs og innendørs overvåking
1.1 Ombudsmannens spørsmål og direktoratets svar
Under besøket fremkom det at deler av området var kameraovervåket. Dette gjaldt bl.a. inngangsporten, øvrige utearealer, kantinen og TV-rommet. Utlendingsdirektoratet ble spurt om formålet med og behovet for slik overvåking og hvilke rutiner som finnes rundt overvåkingen. Direktoratet ble anmodet om å orientere om billedmaterialet fra kameraene blir lagret og hvordan det eventuelt oppbevares og brukes. Det ble også bedt om en særskilt redegjørelse for rutinene for varsling av beboere og andre, jf. personopplysningsloven 14. april 2000 nr. 31 § 40. Endelig ble direktoratet spurt om det er vanlig med kameraovervåking ved de ulike mottakene rundt om i landet, og om det eventuelt er gitt sentrale retningslinjer for slik overvåking.
Utlendingsdirektoratet svarte i brev 4. juli 2008 at overvåkingskameraene eies av UDI og at disse er satt opp fordi Kommunal- og regionaldepartementet, som var ansvarlig departement ved opprettelsen av mottaket, hadde uttalt at kravet til sikkerhet skulle ligge på et høyere nivå enn for andre typer mottak. Det er ifølge direktoratet bare ved ventemottakene Lier og Fagerli at det er tatt i bruk overvåkingskameraer. Tiltaket er meldepliktig etter personopplysningsloven og slik melding var sendt til Datatilsynet (melding nr. 28304). Direktoratet opplyste at hjemmel for overvåkingen er personopplysningsloven § 11, jf. §§ 36-41, jf. personopplysningsforskriften. Videre het det:
«Bildematerialet fra overvåkningen oppbevares på dataserver som ikke er tilkoblet nettverk og slettes etter 3 måneder. Bilder har blitt brukt i forbindelse med voldelige episoder som har blitt politianmeldte.»
Ifølge direktoratet orienteres det om overvåkingen i informasjonen som beboerne blir gitt ved ankomst, og det ble opplyst at det står skilting om kameraovervåking ved inngangen til mottaket.
1.2 Mine merknader
Etter personopplysningsloven § 2 regnes kameraovervåking av den art som foretas ved Lier statlige ventemottak som behandling av personopplysninger. I kapittel VII er det gitt egne regler om fjernsynsovervåking. Vilkåret for å kunne overvåke fremgår av § 38:
«Fjernsynsovervåking av sted hvor en begrenset krets av personer ferdes jevnlig, er bare tillatt dersom det ut fra virksomheten er et særskilt behov for overvåkingen.»
Ut fra de opplysningene som foreligger har jeg ingen merknader til at slik overvåking foretas. Melding om overvåkingen er for øvrig sendt til Datatilsynet i henhold til §§ 31 og 32 i loven. Det heter i meldingen at kameraovervåking ønskes «for å forebygge tyveri og hærverk, og sikre de ansatte».
I personopplysningsloven § 40 fastslås følgende om varsling:
«Ved fjernsynsovervåking på offentlig sted eller sted hvor en begrenset krets av personer ferdes jevnlig, skal det ved skilting eller på annen måte gjøres tydelig oppmerksom på at stedet blir overvåket og hvem som er behandlingsansvarlig.»
Utlendingsdirektoratet opplyser at det står skilt ved inngangen til mottaket. Hvis skiltingen er tilstrekkelig tydelig, dekker den i utgangspunktet behovet for informasjon om utendørs overvåking. Det foregår imidlertid også overvåking av enkelte innendørs arealer, slik som TV-rommet, kantinen og treningsrommet, jf. blant annet UDIs tilsynsrapport fra november 2008 s. 5. Direktoratet har ikke opplyst om det er varslet om overvåking i eller utenfor disse lokalene. Ventemottaket fungerer som et midlertidig hjem for beboerne, og for enkelte av dem i til dels lang tid. På denne bakgrunn er det usikkert om varselet ved inngangen til mottaket er tilstrekkelig til å oppfylle lovens krav om «tydelig» varsel. Det er i denne sammenheng av interesse å se hen til hvordan spørsmål om varsling av overvåking er regulert i utlendingsinternatforskriften 11. april 2008 nr. 355. Forskriften regulerer forholdene ved Politiets utlendingsinternat, som er en lukket og fengselslignende institusjon hjemlet i utlendingsloven. I forskriften § 13 femte ledd er det fastslått at overvåking «skal varsles med godt synlige oppslag ved inngangen til internatet, og til de enkelte avdelingene».
Direktoratet opplyser også at en orientering om overvåkingskameraene fremkommer i ankomstinformasjonen til beboerne. I det omfattende og skriftlige materialet mitt kontor har fått tilgang til, kan jeg ikke se at det finnes opplysninger om at stedet er overvåket og at Utlendingsdirektoratet er behandlingsansvarlig. Jeg har naturlig nok ikke full oversikt over den informasjonen beboerne blir gitt ved innkvartering. Det vil imidlertid være en klar fordel om informasjon om overvåkingen gis i skriftlig form, for eksempel i beboerkontrakten eller som vedlegg til denne.
I forskrift til personopplysningsloven 15. desember 2000 nr. 1265 § 8-4 er det gitt regler om sletting av billedmateriale. Første og annet ledd lyder:
«Billedopptak skal slettes når det ikke lenger er saklig grunn for oppbevaring, jf. personopplysningsloven § 28.
Billedopptak skal senest slettes 7 dager etter at opptakene er gjort. Sletteplikten etter forrige punktum gjelder likevel ikke dersom det er sannsynlig at billedopptaket vil bli utlevert til politiet i forbindelse med etterforskning av straffbare handlinger eller ulykker. I slike tilfeller kan billedopptakene oppbevares inntil 30 dager.»
I tillegg kan billedmateriale lagres over lengre tid dersom det er i politiets besittelse, av hensyn til rikets sikkerhet m.v., eller den som er avbildet har samtykket i lengre lagringstid. Datatilsynet kan etter siste ledd også gi unntak fra slettefristene dersom det forekommer «særlig behov».
Utlendingsdirektoratet har ikke fremlagt generelle retningslinjer eller avtaledokumenter som spesielt regulerer fjernsynsovervåking og lagring av overvåkingsinformasjon. I «Mal for databehandleravtale mellom UDI og driftsoperatør for statlig mottak» heter det imidlertid at driftsoperatøren «skal ikke lagre opplysningene lenger enn nødvendig» (pkt. 2.4 i RS 2008-026V1). Direktoratet redegjør i svaret hit for at billedopptakene blir oppbevart på en server uten nettverksforbindelse og slettes etter tre måneder. Det er ikke redegjort for behovet for slik langvarig oppbevaring. Det er heller ikke gitt noen informasjon om at Datatilsynet har gjort unntak fra tidsfristene for sletting. I meldingen til Datatilsynet er det ikke gitt noen opplysninger om lagring og sletting og det er ikke søkt om unntak eller lignende fra forskriften.
Ut fra sakens dokumenter kan jeg ikke se at Utlendingsdirektoratet har adgang til å oppbevare slikt materiale i hele tre måneder.
2. Adgangskontroll for besøkende
2.1 Ombudsmannens spørsmål og direktoratets svar
Under omvisningen ble det opplyst at besøkende må legitimere seg og at alle blir skrevet opp på en besøksliste. Navnelistene blir regelmessig oversendt til Politiets utlendingsenhet (PU). Direktoratet ble bedt om å redegjøre nærmere for denne praksisen. En særskilt redegjørelse for formålet med og hjemmelen for praksisen ble etterspurt, i tillegg til den videre bruken av besøkslistene i PU. Endelig ble det bedt om opplysninger knyttet til om det foregår en siling av hvilke besøkende som registreres på besøkslistene, eller om registrering og oversendelse gjøres for samtlige besøkende.
Under besøket fremkom det ikke klart om, og eventuelt hvordan, besøkende blir varslet om at de settes på en besøksliste og at den vil bli oversendt PU. Direktoratet ble derfor bedt om å redegjøre for informasjonsrutinene på dette området.
Utlendingsdirektoratet viste i svaret hit til at Kommunal- og regionaldepartementet i sin tid «‘bestilte’ døgnkontinuerlig bemanning og adgangskontroll». Dette ble gjort både for å ha en oversikt over hvem som til enhver tid befinner seg på området, men også for å hindre uønskede personer adgang. Ifølge direktoratet mangler 80 % av de som kommer til landet identifikasjonspapirer og oppgir at de ikke har familie eller nær slekt i Norge. Registrering av besøkende vil etter PUs oppfatning «hjelpe til å knytte mottaksbeboere opp mot slekt i Norge og bidra til identifiseringen». I brevet het det videre:
«Etablering av mottaksdriften skjedde i nært samarbeid med politiet – det vil si POD/PU. Videre i UDIs Reglement for drift av ventemottak, pkt 4. 8, skal mottaket ‘. . . gi nødvendig bistand etter anmodning fra politiet under deres etterforskning av straffbare forhold som politiet mistenker er begått av innkvarterte i eller utenfor ventemottaket.’ Politiets Utlendingsenhet har bedt mottaket om å registrere alle besøkende og å ta kopi av deres legitimasjon. Mottaket har en rutinebeskrivelse for dette arbeid. Alle besøkende blir bedt om å vise ID og blir informert om registrering/kopiering og oversending av denne informasjonen til PU. Opplysninger er oppbevart i en perm og oversendt PU hver uke. Etter oversendelsen, makuleres kopiene.»
2.2 Mine merknader
Etter personopplysningsloven § 11 første ledd bokstav a, jf. § 8, kan personopplysninger behandles dersom den registrerte samtykker, det foreligger lovhjemmel eller behandlingen er nødvendig etter ulike lovbestemte kriterier. Bestemmelsen inneholder for øvrig en rekke krav, blant annet at opplysningene er tilstrekkelig og relevante for formålet med behandlingen (bokstav d). Formålet må igjen være uttrykkelig angitt og saklig begrunnet i den behandlingsansvarliges virksomhet (bokstav b). Direktoratet har ikke redegjort nærmere for om lovens vilkår er oppfylt for innhenting og videreformidling av informasjonen. Svaret er ikke forankret i lovteksten. Det er derfor uklart om UDI har foretatt en vurdering av om grunnvilkårene foreligger for innhenting og videreformidling av informasjonen til Politiets utlendingsenhet.
Jeg minner for ordens skyld om at dersom UDI baserer seg på besøkendes samtykke, må dette være «en frivillig, uttrykkelig og informert erklæring fra den registrerte om at han eller hun godtar behandling av opplysninger om seg selv», jf. personopplysningsloven § 2 nr. 7.
Ønsket om en viss adgangskontroll ved ventemottaket er forståelig blant annet av sikkerhetsmessige og brannvernmessige årsaker. Det å måtte fremvise legitimasjon er imidlertid etter mitt syn et inngrep i personvernet av en helt annen art enn at kopi av legitimasjonsdokumenter blir oversendt til Politiets utlendingsenhet. Så vidt jeg forstår har ikke UDI kjennskap til hva som skjer med opplysningene etter at de er mottatt av politiet. Spørsmål herfra om dette er ikke besvart.
En rutinemessig oversendelse av besøkslister med kopi av ID-dokumenter kan i alle fall ikke forsvares ut fra direktoratets plikt til å bistå ved etterforskning av straffbare handlinger begått av beboerne, som UDI nevner i brevet hit. I den grad beboerne har usikker identitet, kan det tenkes at en registrering av besøkende vil kunne hjelpe ved identifiseringen, slik politiet har anført. Om dette er tilstrekkelig etter personopplysningsloven §§ 8 og 11, tar jeg ikke stilling til. Det er Utlendingsdirektoratet som behandlingsansvarlig som i første omgang må vurdere hjemmelsspørsmålet. Direktoratet må også vurdere det rettslige grunnlaget for oversendelse av informasjon til politiet om personer som skal besøke beboere som ikke har usikker identitet. Opplysninger knyttet til beboere som verken mistenkes for straffbare forhold eller har usikker identitet, må vurderes særlig nøye.
3. Brannvernkontroll
3.1 Ombudsmannens spørsmål og direktoratets svar
Under omvisningen på mottaket ble det opplyst at de ansatte gjennomfører en daglig undersøkelse av alle beboelsesrom i brannforebyggende øyemed. Direktoratet ble bedt om å orientere om rutinene for dette kontrolltiltaket, herunder varsling og gjennomføring av slik kontroll sett i forhold til beboernes rett til privatliv.
Utlendingsdirektoratet opplyste i svarbrevet hit at personalet kommer inn på beboelsesrommene og sjekker røykvarslerne daglig. Dette er etter mottakets vurdering nødvendig fordi røykvarslere har blitt tildekket av plast mv. for at folk skal kunne røyke inne uten at brannalarmen utløses. UDI påpeker dessuten at det er stor gjennomstrømning av beboere og vanskelig kommunikasjon med ulike språk, samt at bygningsmassen er gammel. Den daglige kontrollen varsles ved ankomst ved at beboerne får utlevert husregler, som de signerer på at de har akseptert.
3.2 Mine merknader
I branninstruksen for ansatte ved Lier statlige ventemottak under overskriften «Øvrig brannrelatert» fremkommer følgende:
«Brannklokker er ofte utsatt for sabotasje ved at beboere tar tøy, papir eller lignende og stapper dette inn i selve klokken slik at den mister sin varslingseffekt. Kontroller derfor disse med jevne mellomrom og fjern eventuelle fremmedlegemer som hindrer varsling.»
Slik forholdene er beskrevet, har jeg ingen merknader til at det foretas daglige brannvernkontroller av beboelsesrom. Disse kontrollene bør imidlertid varsles, slik direktoratet opplyser at det gjøres. I den informasjonen som jeg har fått tilgang til, blant annet standard beboerkontrakt, gis det ikke varsel om daglige brannverninspeksjoner. På s. 12 i Rutinebeskrivelse for arbeidsoppgaver i ventemottak omtales husregler i pkt. 9.1, men heller ikke her sies det noe om daglige inspeksjoner av beboelsesrom i brannvernøyemed. Jeg forutsetter imidlertid at direktoratets opplysning om varsling ved ankomst er korrekt.
Inspeksjon av beboelsesrom utgjør et (nødvendig) inngrep i beboernes privatliv. Jeg vil for ordens skyld understreke at inspeksjonen bør gjennomføres hensynsfullt og utelukkende i brannforebyggende øyemed.
4. Oppsummering
Flere forhold ved ventemottaket synes å være i strid med, eller stå i et tvilsomt forhold til, personopplysningsloven og personopplysningsforskriften. Dette gjelder oppbevaring av billedmateriale fra overvåkingskameraene i tre måneder og varsling av innendørs overvåking i deler av mottaket. Videre etterlyser jeg en nærmere vurdering fra direktoratet av praksisen med rutinemessig oversendelse av alle besøkendes identitetspapirer til Politiets utlendingsenhet, sett i forhold til personopplysningslovens regler om behandling av personopplysninger.
Jeg ber om at direktoratet bringer klarhet i de ovennevnte forholdene og holder meg orientert om den videre oppfølgingen av disse spørsmålene.»
Utlendingsdirektoratet opplyste i brev 19. oktober 2009 at mottaket var blitt instruert om å «henge tydelige skilt som varsler om overvåkning på alle områder hvor overvåkningskamera er installert, i tråd med kravene i personopplysningslovens § 40». Dessuten var mottaket instruert om å «omprogrammere sine servere slik at billedopptak ikke lenger lagres [mer] enn syv dager etter at opptakene er gjort, med mindre det foreligger sannsynlighet for at opptakene vil bli overlevert til politiet i forbindelse med etterforskning av straffbare forhold». I tillegg var rutinene for utlevering av opplysninger til politiet blitt endret, slik at personopplysningene «ikke skal oversendes politiet med mindre det foreligger en mistanke om straffbare forhold og/eller politiet har hjemmel til å innhente opplysninger fra mottaket».
I brev til direktoratet uttalte ombudsmannen:
«Jeg forutsetter at mottaket følger påleggene og at direktoratet påser at dette blir gjort. Videre forutsetter jeg at direktoratet er seg bevisst personopplysningslovens regler anvendt på ulike mottak og at også hensynet til personvern i mottakene blir gjenstand for regelmessig kontroll.»