Regler om innsyn og åpenhet i digital forvaltning

Presentasjon om: "Regler om innsyn og åpenhet i digital forvaltning"— Utskrift av presentasjonen:

1 Regler om innsyn og åpenhet i digital forvaltning
Dag Wiese Schartum

2 Noen innledende refleksjoner
Her bruker jeg «åpenhet» som en fellesbetegnelse som innbefatter tre hovedteknikker: innsyn, tilgjengeliggjøring og informasjon Mange vil assosiere åpenhet med dokumenter og skriftlighet Det er ikke alltid en forutsetning om at det eksisterer noe dokument/skriftlig å kreve innsyn i, jf. PVF art. 13 og 14, og art. 15(1)(a) – (h) (jf. «og følgende informasjon» i art. 15(1)) Norsk offentlig forvaltning er basert på en (underforstått) «skriftlighetskultur» og forutsetning om at forhold av betydning skal være vitterlige (kjente, åpenbare), jf. forutsetninger om saksdokumenter og plikten i fvl § 11d om nedtegning fra muntlige forhandlinger og samtaler mv. Dokumentasjonsplikter i arkivlova og ellers er bl.a. uttrykk for at det må produseres «spor» når offentlig myndighet blir utøvet, slik at myndigheten kan være vitterlig også i ettertid, og gjenstand for kontradiksjon, legalitetskontroll, grunnlag for å fremme rettskrav mv.

3 Kort om sentrale dokumentasjonsplikter for forvaltningsorganer
§ 6 Arkivansvaret (fra arkivlova) Offentlege organ​ pliktar å ha arkiv,​ og desse skal vera ordna og innretta slik at dokumenta​ er tryggja som informasjonskjelder for samtid og ettertid § 4 Definisjonar (fra offentleglova) Med dokument er meint ei logisk avgrensa informasjonsmengd som er lagra på eit medium for seinare lesing, lytting, framsyning, overføring eller liknande.​ Saksdokument for organet er dokument som er komne inn til eller lagde fram for eit organ, eller som organet sjølv har oppretta, og som gjeld ansvarsområdet eller verksemda til organet. Eit dokument er oppretta når det er sendt ut av organet. Dersom dette ikkje skjer, skal dokumentet reknast som oppretta når det er ferdigstilt. § 9 Journalføring (fra arkivforskrifta) Eit offentleg organ skal ha ein eller fleire journalar for registrering av dokument i dei sakene organet opprettar. I journalen skal ein registrere alle inngåande og utgåande dokument som etter offentleglova § 4 må reknast som saksdokument for organet, dersom dei er eller blir saksbehandla og har verdi som dokumentasjon. Organinterne dokument etter offentleglova § 14 skal organet registrere i journalen så langt organet finn det tenleg. Desse organinterne dokumenta skal likevel alltid journalførast: a) dokument som er omtalte i offentleglova § 14 andre ledd b) dokument som er omtalte i offentleglova § 16 første ledd bokstav a til d, § 16 andre ledd og § 16 tredje ledd første punktum c) dokument som er omtalte i offentlegforskrifta § 8. Dokument i saker om innsyn er ikkje omfatta av journalføringsplikta, med mindre dokumenta gjeld eller inneheld ei nærmare grunngjeving, ein klage, eit krav om betaling for innsyn eller eit spørsmål om korleis innsyn skal givast. Merk at PVF art. 30, 25(1) og 33(5) inneholder dokumentasjonsplikter, og at det innenfor særlige saksområder kan være dokumentasjonsplikter som følger av særlovgivning

4 Oversikt over sentrale regler som gir offentlighet og åpenhet i forvaltningen
Regler om: • rett for borgere til innsyn etter begjæring om informasjon hos det offentlige (innsyn) Rett til innsyn for parter etter fvl § 18 flg. Rett til innsyn for registrerte PVF art. 15 Rett til innsyn for alle etter pol § 18 første ledd  ikke videreført i PVF Rett til innsyn for alle etter offl § 3 Rett for alle til å kreve databaseinnsyn, offl § 9 Rett til videre bruk av offentlig informasjon, offl § 7 • plikt/rett for forvaltningen til å gjøre informasjon tilgjengelig for borgere (tilgjengeliggjøring) Plikt for visse statsetater til å gjøre journaler allment tilgjengelig på internett, off § 6 Rett for offentlige forvaltningsorganer til å gjøre saksdokumenter allment tilgjengelig på internett, off § 7 • plikt for forvaltningen til å informere og varsle borgere (informasjons- og varslingsplikter) Forvaltningens allmenne veiledningsplikt, fvl § 11 Behandlingsansvarliges særlige veiledningsplikt om lovbestemt innsyn etter pol § 6 annet ledd  ikke videreført i PVF Plikt til å varsle den registrerte ved innsamling av personopplysninger fra den registrerte, PVF art. 13 (jf. pol § 19) Plikt til å varsle den registrerte ved innsamling av personopplysninger fra andre, PVF art. 14 (jf. pol § 20) Plikt til å varsle parter om opplysninger om parten mv som forvaltningsorganet mottar fra andre, jf. fvl § 17 annet og tredje ledd Plikt til å varsle om helt automatisert profilering hvis dette er nødvendig for å sikre den registrerte en rettferdig og åpen behandling: PVF art. 13(2)(f) og art. 14(2)(g) av personprofiler, jf. art Pol § 21 er ikke videreført

5 Sentrale innsyns-/åpenhetsbestemmelser i PVF
Art. 12: Krav til kommunikasjonen fra behandlingsansvarlige til den registrerte Art. 13: Informasjon ved innsamling av personopplysninger fra den registrerte Art. 14: Informasjon ved innsamling av personopplysninger fra andre enn den registrerte Art. 15: Den registrertes innsynsrett Art. 26(1): Åpent tilgjengelig fastsettelse av ansvarsfordeling mellom to eller flere behandlingsansvarlige Art. 34: Underretning til den registrerte om brudd på personopplysningssikkerheten Merk at det ikke er bestemmelser i personvernforordningen som gjør databehandleravtaler (jf. art. 28), behandlingsprotokoller (jf. art. 30) og dokumentasjon av sikkerhetsbrudd (jf. art. 33(5) offentlige. I offentlig sektor kan offentleglova gi andre resultater, jf. offl. § 3

6 d) de berørte kategoriene av personopplysninger,
Artikkel 13 Informasjon som skal gis ved innsamling av personopplysninger fra den registrerte Artikkel 14 Informasjon som skal gis dersom det ikke er samlet inn personopplysninger fra den registrerte Blått = tekst i art. 13 som ikke er i art. 14 Rødt = tekst i art. 14 som ikke er i art. 13 Svart = lik tekst i art. 13 og 14 1. Dersom personopplysninger ikke er blitt samlet inn fra den registrerte, skal den behandlingsansvarlige gi den registrerte følgende informasjon: a) identiteten og kontaktopplysningene til den behandlingsansvarlige og eventuelt den behandlingsansvarliges representant, b) kontaktopplysningene til personvernrådgiveren, dersom dette er relevant, c) formålene med den tiltenkte behandlingen av personopplysningene samt det rettslige grunnlaget for behandlingen, d) de berørte kategoriene av personopplysninger, d) dersom behandlingen er basert på artikkel 6 nr. 1 bokstav f), de berettigede interessene som forfølges av den behandlingsansvarlige eller en tredjepart, e) eventuelle mottakere eller kategorier av mottakere av personopplysningene, f) dersom det er relevant, at den behandlingsansvarlige har til hensikt å overføre personopplysninger til en mottaker i en tredjestat eller en internasjonal organisasjon og om hvorvidt Kommisjonen har truffet en beslutning om tilstrekkelig beskyttelsesnivå eller ikke, eller, når det gjelder overføringene nevnt i artikkel 46 eller 47 eller artikkel 49 nr. 1 annet ledd, en henvisning til nødvendige eller passende garantier, hvordan man får tak i et eksemplar av dem eller hvor de er gjort tilgjengelig.

7 på tidspunkt for innsamling av personopplysninger […]
Artikkel 13 Informasjon som skal gis ved innsamling av personopplysninger fra den registrerte Artikkel 14 Informasjon som skal gis dersom det ikke er samlet inn personopplysninger fra den registrerte Blått = tekst fra art. 13 som ikke er i art. 14 Rødt = tekst i art. 14 som ikke er i art. 13 Svart = lik tekst i art. 13 og 14 på tidspunkt for innsamling av personopplysninger […] 2. I tillegg til informasjonen nevnt i nr. 1 skal den behandlingsansvarlige gi den registrerte følgende informasjon som er nødvendig for å sikre den registrerte en rettferdig og gjennomsiktig behandling: a) det tidsrom personopplysningene vil bli lagret, eller dersom dette ikke er mulig, kriteriene som brukes for å fastsette dette tidsrommet, b) dersom behandlingen er basert på artikkel 6 nr. 1 bokstav f), de berettigede interessene som forfølges av den behandlingsansvarlige eller en tredjepart, b)/c) retten til å anmode den behandlingsansvarlige om innsyn i og korrigering eller sletting av personopplysninger eller begrensning av behandlingen som gjelder den registrerte, og til å protestere mot behandlingen samt retten til dataportabilitet, c)/d) dersom behandlingen er basert på artikkel 6 nr. 1 bokstav a) eller artikkel 9 nr. 2 bokstav a), retten til når som helst å trekke tilbake et samtykke uten at det påvirker lovligheten av en behandling basert på et samtykke før samtykket trekkes tilbake, d)/e) retten til å klage til en tilsynsmyndighet, e) om det foreligger et lovfestet eller avtalefestet krav om å gi personopplysninger eller et krav som er nødvendig for å inngå en avtale, samt om den registrerte har plikt til å gi personopplysningene og om mulige konsekvenser dersom vedkommende ikke gjør det, f) fra hvilken kilde personopplysningene stammer fra, og, dersom det er relevant, om de stammer fra offentlig tilgjengelige kilder, f)/g) forekomsten av automatiserte avgjørelser, herunder profilering, som nevnt i artikkel 22 nr. 1 og 4, og, i det minste i nevnte tilfeller, relevant informasjon om den underliggende logikken samt om betydningen og de forventede konsekvensene av en slik behandling for den registrerte. «profilering» enhver form for automatisert behandling av personopplysninger som innebærer å bruke personopplysninger for å vurdere visse personlige aspekter knyttet til en fysisk person, særlig for å analysere eller forutsi aspekter som gjelder nevnte fysiske persons arbeidsprestasjoner, økonomiske situasjon, helse, personlige preferanser, interesser, pålitelighet, atferd, plassering eller bevegelser

8 [Tid for når informasjonen skal gis]
Artikkel 13 Informasjon som skal gis ved innsamling av personopplysninger fra den registrerte Artikkel 14 Informasjon som skal gis dersom det ikke er samlet inn personopplysninger fra den registrerte Blått = tekst i art. 13 som ikke er i art. 14 Rødt = tekst i art. 14 som ikke er i art. 13 Svart = lik tekst i art. 13 og 14 3. [Tid for når informasjonen skal gis] 4. [3.] Dersom den behandlingsansvarlige har til hensikt å viderebehandle personopplysningene for et annet formål enn det opplysningene ble samlet inn for, skal den behandlingsansvarlige før nevnte viderebehandling gi den registrerte informasjon om nevnte andre formål og annen relevant informasjon som nevnt i nr. 2. 5. Nr. 1–4 får ikke anvendelse dersom og i den grad den registrerte allerede har informasjonen [… flere unntak] 4. [Artikkel 13 (1), (2) og (3) får ikke anvendelse dersom og i den grad den registrerte allerede har informasjonen]

9 Artikkel 15 Den registrertes rett til innsyn 1. Den registrerte skal ha rett til å få den behandlingsansvarliges bekreftelse på om personopplysninger om vedkommende behandles, og, dersom dette er tilfellet, innsyn i personopplysningene og følgende informasjon: a) formålene med behandlingen (art. 5(1)(b)), b) de berørte kategoriene av personopplysninger (art. 4(1)), c) mottakerne eller kategoriene av mottakere (art. 4(9)) som personopplysningene er blitt eller vil bli utlevert til, særlig mottakere i tredjestater eller internasjonale organisasjoner, d) dersom det er mulig, hvor lenge det forventes at personopplysningene vil bli lagret (art. 5(1)(e), eller, dersom dette ikke er mulig, kriteriene som brukes for å fastsette denne perioden, e) retten til å anmode den behandlingsansvarlige om korrigering (art. 16) eller sletting (art. 17) av personopplysninger eller begrensning (art. 18) av behandlingen av personopplysninger som gjelder den registrerte, eller til å protestere (art. 21) mot nevnte behandling, f) retten til å klage til en tilsynsmyndighet (art. 77), g) dersom personopplysningene ikke er samlet inn fra den registrerte, all tilgjengelig informasjon om hvor personopplysningene stammer fra, h) forekomsten av automatiserte avgjørelser, herunder profilering, som nevnt i artikkel 22 nr. 1 og 4, og, i det minste i nevnte tilfeller, relevant informasjon om den underliggende logikken samt om betydningen og de forventede konsekvensene av en slik behandling for den registrerte. 2. Dersom personopplysningene overføres til en tredjestat eller til en internasjonal organisasjon, skal den registrerte ha rett til å bli underrettet om de nødvendige garantiene i henhold til artikkel 46 i forbindelse med overføringen [jf. overføring i hht. art. 45]. 3. Den behandlingsansvarlige skal gjøre tilgjengelig en kopi av personopplysningene som behandles. Dersom den registrerte anmoder om flere kopier, kan den behandlingsansvarlige kreve et rimelig gebyr basert på administrasjonskostnadene. Dersom den registrerte inngir anmodningen elektronisk, og med mindre den registrerte anmoder om noe annet, skal informasjonen gis i en vanlig elektronisk form. 4. Retten til å motta en kopi nevnt i nr. 3 skal ikke krenke andres rettigheter og friheter.