Regler om innsyn og åpenhet i digital forvaltning (herunder om fullt automatiserte avgjørelser) Dag Wiese Schartum

Oversikt over sentrale regler som gir offentlighet og åpenhet i forvaltningen Regler om: • rett for borgere til innsyn etter begjæring om informasjon hos det offentlige (innsyn) Rett til innsyn for parter etter fvl § 18 flg. Rett til innsyn for registrerte PVF art. 15 Rett til innsyn for alle etter pol § 18 første ledd  ikke videreført i PVF Rett til innsyn for alle etter offl § 3 Rett for alle til å kreve databaseinnsyn, offl § 9 Rett til videre bruk av offentlig informasjon, offl § 7 • plikt/rett for forvaltningen til å gjøre informasjon tilgjengelig for borgere (tilgjengeliggjøring) Plikt for visse statsetater til å gjøre journaler allment tilgjengelig på internett, off § 6 Rett for offentlige forvaltningsorganer til å gjøre saksdokumenter allment tilgjengelig på internett, off § 7 • plikt for forvaltningen til å informere og varsle borgere (informasjons- og varslingsplikter) Forvaltningens allmenne veiledningsplikt, fvl § 11 Behandlingsansvarliges særlige veiledningsplikt om lovbestemt innsyn etter pol § 6 annet ledd  ikke videreført i PVF Plikt til å varsle den registrerte ved innsamling av personopplysninger fra den registrerte, PVF art. 13 (jf. pol § 19) Plikt til å varsle den registrerte ved innsamling av personopplysninger fra andre, PVF art. 14 (jf. pol § 20) Plikt til å varsle parter om opplysninger om parten mv som forvaltningsorganet mottar fra andre, jf. fvl § 17 annet og tredje ledd Plikt til å varsle om helt automatisert profilering hvis dette er nødvendig for å sikre den registrerte en rettferdig og åpen behandling: PVF art. 13(2)(f) og art. 14(2)(g) av personprofiler, jf. art. 22 Pol § 21 er ikke videreført

Sentrale innsyns-/åpenhetsbestemmelser i PVF Art. 12: Krav til kommunikasjonen fra behandlingsansvarlige til den registrerte Art. 13: Informasjon ved innsamling av personopplysninger fra den registrerte Art. 14: Informasjon ved innsamling av personopplysninger fra andre enn den registrerte Art. 15: Den registrertes innsynsrett Art. 26(1): Åpent tilgjengelig fastsettelse av ansvarsfordeling mellom to eller flere behandlingsansvarlige Art. 34: Underretning til den registrerte om brudd på personopplys-ningssikkerheten Merk at det ikke er bestemmelser i personvernforordningen som gjør databehandleravtaler (jf. art. 28) og behandlingsprotokoller (jf. art. 30) offentlige. I offentlig sektor kan offentleglova gi andre resultater, jf. offl. § 3

d) de berørte kategoriene av personopplysninger, Artikkel 13 Informasjon som skal gis ved innsamling av personopplysninger fra den registrerte Artikkel 14 Informasjon som skal gis dersom det ikke er samlet inn personopplysninger fra den registrerte Blått = tekst i art. 13 som ikke er i art. 14 Rødt = tekst i art. 14 som ikke er i art. 13 Svart = lik tekst i art. 13 og 14 1. Dersom personopplysninger ikke er blitt samlet inn fra den registrerte, skal den behandlingsansvarlige gi den registrerte følgende informasjon: a) identiteten og kontaktopplysningene til den behandlingsansvarlige og eventuelt den behandlingsansvarliges representant, b) kontaktopplysningene til personvernrådgiveren, dersom dette er relevant, c) formålene med den tiltenkte behandlingen av personopplysningene samt det rettslige grunnlaget for behandlingen, d) de berørte kategoriene av personopplysninger, d) dersom behandlingen er basert på artikkel 6 nr. 1 bokstav f), de berettigede interessene som forfølges av den behandlingsansvarlige eller en tredjepart, e) eventuelle mottakere eller kategorier av mottakere av personopplysningene, f) dersom det er relevant, at den behandlingsansvarlige har til hensikt å overføre personopplysninger til en mottaker i en tredjestat eller en internasjonal organisasjon og om hvorvidt Kommisjonen har truffet en beslutning om tilstrekkelig beskyttelsesnivå eller ikke, eller, når det gjelder overføringene nevnt i artikkel 46 eller 47 eller artikkel 49 nr. 1 annet ledd, en henvisning til nødvendige eller passende garantier, hvordan man får tak i et eksemplar av dem eller hvor de er gjort tilgjengelig.

på tidspunkt for innsamling av personopplysninger […] Artikkel 13 Informasjon som skal gis ved innsamling av personopplysninger fra den registrerte Artikkel 14 Informasjon som skal gis dersom det ikke er samlet inn personopplysninger fra den registrerte Blått = tekst fra art. 13 som ikke er i art. 14 Rødt = tekst i art. 14 som ikke er i art. 13 Svart = lik tekst i art. 13 og 14 på tidspunkt for innsamling av personopplysninger […] 2. I tillegg til informasjonen nevnt i nr. 1 skal den behandlingsansvarlige gi den registrerte følgende informasjon som er nødvendig for å sikre den registrerte en rettferdig og gjennomsiktig behandling: a) det tidsrom personopplysningene vil bli lagret, eller dersom dette ikke er mulig, kriteriene som brukes for å fastsette dette tidsrommet, b) dersom behandlingen er basert på artikkel 6 nr. 1 bokstav f), de berettigede interessene som forfølges av den behandlingsansvarlige eller en tredjepart, b)/c) retten til å anmode den behandlingsansvarlige om innsyn i og korrigering eller sletting av personopplysninger eller begrensning av behandlingen som gjelder den registrerte, og til å protestere mot behandlingen samt retten til dataportabilitet, c)/d) dersom behandlingen er basert på artikkel 6 nr. 1 bokstav a) eller artikkel 9 nr. 2 bokstav a), retten til når som helst å trekke tilbake et samtykke uten at det påvirker lovligheten av en behandling basert på et samtykke før samtykket trekkes tilbake, d)/e) retten til å klage til en tilsynsmyndighet, e) om det foreligger et lovfestet eller avtalefestet krav om å gi personopplysninger eller et krav som er nødvendig for å inngå en avtale, samt om den registrerte har plikt til å gi personopplysningene og om mulige konsekvenser dersom vedkommende ikke gjør det, f) fra hvilken kilde personopplysningene stammer fra, og, dersom det er relevant, om de stammer fra offentlig tilgjengelige kilder, f)/g) forekomsten av automatiserte avgjørelser, herunder profilering, som nevnt i artikkel 22 nr. 1 og 4, og, i det minste i nevnte tilfeller, relevant informasjon om den underliggende logikken samt om betydningen og de forventede konsekvensene av en slik behandling for den registrerte.

[Tid for når informasjonen skal gis] Artikkel 13 Informasjon som skal gis ved innsamling av personopplysninger fra den registrerte Artikkel 14 Informasjon som skal gis dersom det ikke er samlet inn personopplysninger fra den registrerte Blått = tekst i art. 13 som ikke er i art. 14 Rødt = tekst i art. 14 som ikke er i art. 13 Svart = lik tekst i art. 13 og 14 3. [Tid for når informasjonen skal gis] 4. [3.] Dersom den behandlingsansvarlige har til hensikt å viderebehandle personopplysningene for et annet formål enn det opplysningene ble samlet inn for, skal den behandlingsansvarlige før nevnte viderebehandling gi den registrerte informasjon om nevnte andre formål og annen relevant informasjon som nevnt i nr. 2. 5. Nr. 1–4 får ikke anvendelse dersom og i den grad den registrerte allerede har informasjonen [… flere unntak] 4. [Artikkel 13 (1), (2) og (3) får ikke anvendelse dersom og i den grad den registrerte allerede har informasjonen]

Den registrertes rett til innsyn «profilering» enhver form for automatisert behandling av personopplysninger som innebærer å bruke personopplysninger for å vurdere visse personlige aspekter knyttet til en fysisk person, særlig for å analysere eller forutsi aspekter som gjelder nevnte fysiske persons arbeidsprestasjoner, økonomiske situasjon, helse, personlige preferanser, interesser, pålitelighet, atferd, plassering eller bevegelser Artikkel 15 Den registrertes rett til innsyn 1. Den registrerte skal ha rett til å få den behandlingsansvarliges bekreftelse på om personopplysninger om vedkommende behandles, og, dersom dette er tilfellet, innsyn i personopplysningene og følgende informasjon: a) formålene med behandlingen (art. 5(1)(b)), b) de berørte kategoriene av personopplysninger (art. 4(1)), c) mottakerne eller kategoriene av mottakere (art. 4(9)) som personopplysningene er blitt eller vil bli utlevert til, særlig mottakere i tredjestater eller internasjonale organisasjoner, d) dersom det er mulig, hvor lenge det forventes at personopplysningene vil bli lagret (art. 5(1)(e), eller, dersom dette ikke er mulig, kriteriene som brukes for å fastsette denne perioden, e) retten til å anmode den behandlingsansvarlige om korrigering (art. 16) eller sletting (art. 17) av personopplysninger eller begrensning (art. 18) av behandlingen av personopplysninger som gjelder den registrerte, eller til å protestere (art. 21) mot nevnte behandling, f) retten til å klage til en tilsynsmyndighet (art. 77), g) dersom personopplysningene ikke er samlet inn fra den registrerte, all tilgjengelig informasjon om hvor personopplysningene stammer fra, h) forekomsten av automatiserte avgjørelser, herunder profilering, som nevnt i artikkel 22 nr. 1 og 4, og, i det minste i nevnte tilfeller, relevant informasjon om den underliggende logikken samt om betydningen og de forventede konsekvensene av en slik behandling for den registrerte. 2. Dersom personopplysningene overføres til en tredjestat eller til en internasjonal organisasjon, skal den registrerte ha rett til å bli underrettet om de nødvendige garantiene i henhold til artikkel 46 i forbindelse med overføringen [jf. overføring i hht. art. 45]. 3. Den behandlingsansvarlige skal gjøre tilgjengelig en kopi av personopplysningene som behandles. Dersom den registrerte anmoder om flere kopier, kan den behandlingsansvarlige kreve et rimelig gebyr basert på administrasjonskostnadene. Dersom den registrerte inngir anmodningen elektronisk, og med mindre den registrerte anmoder om noe annet, skal informasjonen gis i en vanlig elektronisk form. 4. Retten til å motta en kopi nevnt i nr. 3 skal ikke krenke andres rettigheter og friheter.

Automatiserte individuelle avgjørelser, herunder profilering «profilering» enhver form for automatisert behandling av personopplysninger som innebærer å bruke personopplysninger for å vurdere visse personlige aspekter knyttet til en fysisk person, særlig for å analysere eller forutsi aspekter som gjelder nevnte fysiske persons arbeidsprestasjoner, økonomiske situasjon, helse, personlige preferanser, interesser, pålitelighet, atferd, plassering eller bevegelser Artikkel 22 Automatiserte individuelle avgjørelser, herunder profilering 1. Den registrerte skal ha rett til ikke å være gjenstand for en avgjørelse som utelukkende er basert på automatisert behandling, herunder profilering, som har rettsvirkning for eller på tilsvarende måte i betydelig grad påvirker vedkommende. 2. Nr. 1 får ikke anvendelse dersom avgjørelsen a) er nødvendig for å inngå eller oppfylle en avtale mellom den registrerte og en behandlingsansvarlig, b) er tillatt i henhold til unionsretten eller medlemsstatenes nasjonale rett som den behandlingsansvarlige er underlagt, og der det også er fastsatt egnede tiltak for å verne den registrertes rettigheter, friheter og berettigede interesser, eller c) er basert på den registrertes uttrykkelige samtykke. 3. I tilfellene nevnt i nr. 2 bokstav a) og c) skal den behandlingsansvarlige gjennomføre egnede tiltak for å verne den registrertes rettigheter og friheter og berettigede interesser, i det minste retten til menneskelig inngripen fra den behandlingsansvarlige, til å uttrykke sine synspunkter og til å bestride avgjørelsen. 4. Avgjørelsene nevnt i nr. 2 skal ikke bygge på særlige kategorier av personopplysninger nevnt i artikkel 9 nr. 1, med mindre artikkel 9 nr. 2 bokstav a) eller g) får anvendelse og det er innført egnede tiltak for å verne den registrertes rettigheter, friheter og berettigede interesser Jf. «sensitive opplysninger» Jf. art. 21 «Innsigelsesrett» Jf. unntak ved samtykke (a) og viktige samfunnsinteresser (g)