Dag Wiese Schartum, AFIN

Presentasjon om: "Dag Wiese Schartum, AFIN"— Utskrift av presentasjonen:

1 Dag Wiese Schartum, AFIN
Personvernrettslig og forvaltningsrettslig tilnærming til regulering av digital forvaltning Dag Wiese Schartum, AFIN

2 Forvaltningsrettslig bakgrunn og problemstilling
Forvaltningsloven (1967) er i stor grad basert på enkeltsaksbehandling slik den var i og 60-årene Stilltiende forutsetning om individuell behandling av partene Loven har i liten grad blitt endret med tanke på digitalisering Noen endringer ble gjort i Ot.prp. nr. 108 (2000 – 2001) Om lov om endringer i diverse lover for å fjerne hindringer for elektronisk kommunikasjon Jf. forståelsen av ord som «dokument», «kopi», «nedtegne», «undertegne», «muntlig», «skriftlig» og «avgitt» Ble gitt hjemmel for eforvaltningsforskriften (20014) og forskrift om IT-standarder i offentlig forvaltning (2013) Er ikke gjort noen endringer med bakgrunn i tiltakende automatisert rettsanvendelse mv. Kan hevdes å være behov for ny forvaltningslovgivning vedrørende Utvikling av systemer som tar sikte på å automatisere rettsanvendelsen Krav til den offentlig forvaltningens systemløsninger (jf. «systembestemmelser») Krav til saksbehandlingsregler for forvaltningens bruk av deres systemløsninger … for å ivareta rettssikkerhetshensyn

3 Solberg-regjeringens mandat til Forvaltningslovutvalget
«Forvaltningsloven skal bli mer brukervennlig» (pressemelding ) Fra mandatet: «Utviklingen innen informasjons- og kommunikasjonsteknologi gjør det stadig enklere å søke frem, innhente og spre informasjon, og den har muliggjort helt eller delvis automatisert saksbehandling i større grad enn tidligere. Denne teknologien har skapt nye rettssikkerhets- og personvernutfordringer, men den kan også bidra nettopp til å styrke rettssikkerheten og personvernet. En revidert forvaltningslov bør generelt legge til rette for en digitalisering av forvaltningen.» «Loven skal legge til rette for hensiktsmessig bruk av informasjons- og kommunikasjonsteknologi (IKT) i saksbehandlingen i individuelle og generelle saker, både i et brukerperspektiv og for forvaltningen. Loven skal legge til rette for bruk av helautomatiserte saksforberedelses- og beslutningsverktøy der dette er hensiktsmessig. Det skal vurderes hvilke særlige utfordringer bruken av moderne informasjons- og kommunikasjonsteknologi skaper for rettssikkerheten og personvernet, og hvordan disse utfordringene best kan løses.» (utdrag) Merk at mandatet også omfatter flere punkter som ikke er direkte knyttet til digital forvaltning Opprinnelig frist for fremleggelse av forslag var 1. februar 2019 Samtidig har Regjeringen oppnevnt et utvalg til å foreslå ny arkivlov, med digitalisering som begrunnelse for revisjonen

4 Behov for regler om utvikling av systemer som tar sikte på å automatisere rettsanvendelsen
Systemutvikling som rettslig beslutningsprosess med direkte betydning for innbyggernes plikter og rettigheter Lovgivningen stiller i dag ingen direkte krav til hvordan slik «rettslig systemutvikling» skal skje, men forvaltningsrettslige prinsipper er relevante Kan f.eks. være aktuelt å stille krav til Organisering av arbeidet, inklusive krav til kompetanse og representasjon Krav til saksutredning Krav til høring, dokumentasjon, publisering e.l. av «rettslige systemavgjørelser» Krav til formell godkjenning, vedtak og ikrafttredelse Annet?

5 Behov for regler som setter krav til den offentlig forvaltningens systemløsninger
Jf. skillet mellom «systembestemmelser» og «saksbehandlings- bestemmelser» Overordnet spørsmål er hva vi trenger i tillegg til systemkravene i personvernforordningen (jf. nedenfor) Kan f.eks. være aktuelt å stille krav: Til «Minside-løsninger» i offentlig forvaltning Om at systemer skal ha rutine for partsinnsyn Om automatisk påsetting av begrunnelse for enkeltvedtak Om systemoffentlighet (dvs. at systemer skal være tilgjengelig for alle, til bl.a. simulering av vedtak) Krav til systemløsninger som skal gi beslutningsgrunnlag til forvaltningens systemer Annet?

6 Behov for saksbehandlingsregler for forvaltningens bruk av systemløsningene deres?
Generelt vurdere behov for «begrensede elementer» i dagens forvaltningslovgivning Minstekrav for tilgang til saksbehandler og individuell veiledning Regler om tilsyn og kontroll med oppgavegivere Regler som gir generell virkning på systemløsninger i tilfeller av medhold i individuelle klager

7 Grunnleggende om aktører og relasjonene mellom dem i hen- hold til forvaltningsloven og personvernforordningen Sivilombudsmannen Forvaltnings- myndigheten parter forvaltningsorganet

8 Personvernrettslig bakgrunn og problemstilling
Personopplysningsloven av 2018 (med personvernforordningen) er tredje generasjon lovgivning på området Personregisterloven (1978) Personopplysningsloven (2000) Representerte skifte i tenkning Personopplysningsvern (jf. «data protection») har bakgrunn i digitalisering (1960-årene) Ble utviklet som felles tilnærming, uten avgjørende skille mellom offentlig forvaltning og privat virksomhet Har blitt det dominerende perspektivet på digital forvaltning («på bekostning» av rettssikkerhetsperspektivet) Personopplysningsvern har blitt et stadig bredere område som også i noen grad omhandler tradisjonelle rettssikkerhetsspørsmål Utvikling fra nasjonal lovgivning til nasjonal lovgivning i hht. direktiv til felles europeisk lovgivning i form av forordning med mange «nasjonale hull» (derfor bare delvis rettsenhet) Forordningen har mange, vage, skjønnsmessige bestemmelser som inngår i komplekse regelstrukturer. For tiden få andre rettskilder enn ordlyden + mange mer eller mindre kvalifiserte oppfatninger i litteratur og ellers om hva bestemmelsene betyr

9 Litt om forholdet mellom personvernforordningen og forvaltningsloven
Personvernforordningen og personopplysningsloven av 2018 gjelder generelt, også for offentlig forvaltning Bare enkelte elementer vedr. offentlig forvaltning er særlig regulert, se art.6(1)(e), (2) og (3), «arkivformål i allmennhetens interesse (f.eks. art. 5(1)(b) og art. 89(1)), innsyn i offentlige dokumenter (art. 86), og nasjonale identifikasjonsnumre (art. 87) Forordningen regulerer i stor grad «forvaltningsprosessens faktiske side», dvs. behandling av personopplysninger som er beslutningsgrunnlag for enkeltvedtak og andre enkeltavgjørelser Forordningen har større vekt på «systembestemmelser» enn forvaltningsloven med forskrifter (jf. «behandling av personopplysninger») Forordningen begrenser hva Norge kan fastsette av bestemmelser i forvaltningslovgivning som gjelder personopplysninger i forvaltningsprosessen

10 Bestemmelser i PVF som stiller krav til utvikling av systemer som tar sikte på å behandle personopplysninger (i automatiske prosesser og ellers) Krav til innebygget personvern (art. 25) Men bestemmelsen gjelder bare behandlingsansvarlige, ikke systemutviklere som bare er produsenter av systemløsninger (jf. «hyllevare») Art. 38(1): «Den behandlingsansvarlige og databehandleren skal sikre at personvernombudet på riktig måte og i rett tid involveres i alle spørsmål som gjelder vern av personopplysninger.» (jf. dog ombudets uavhengige stilling) Flere andre krav gjelder selve systemløsningen (resultatet av utviklingsarbeidet), og har indirekte effekt på systemutviklingen – jf. neste bilde

11 Bestemmelser i PVF som setter krav til den offentlig forvaltningens systemløsninger
Se bl.a. krav til Behandlingsformål (art. 5(1)(b)) Rettslig grunnlag (art. 6 og 9) Behandlingssikkerhet (art. 32) Vurdering av personvernkonsekvenser (art. 35) Krav til forhåndsdrøfting (art. 36)

12 Bestemmelser i PVF som innebærer nye saksbehandlings-bestemmelser som offentlig forvaltningen må etterleve Krav til kommunikasjon med registrerte mv. (art. 12) Plikt til å gi informasjon til registrerte (art. 13 og 14, jf. fvl § 17) Innsyn for registrerte Rett til retting og sletting (art. 16 og 17, jf. art. 19) Rett til begrensning av behandling (art. 18) Rett til dataportabilitet (art. 20) Rett til å protestere (art. 21) Rett til ikke å være gjenstand for en avgjørelse som utelukkende er basert på automatisert behandling (art. 22)

13 Noen avsluttende oppsummerende synspunkter
Personvernperspektivet på digital forvaltning har blitt dominerende mens rettssikkerhetsperspektivet har «sovet» Forsøk på oppdatering og modernisering av forvaltningslovgivningen for å ivareta rettssikkerhet på bedre måte, vil være begrenset av personvernforordningens bindende, «altomfattende», vanskelige og felles europeiske regler