Dag Wiese Schartum, AFIN

Presentasjon om: "Dag Wiese Schartum, AFIN"— Utskrift av presentasjonen:

1 Dag Wiese Schartum, AFIN
Personvernrettslig og forvaltningsrettslig tilnærming til regulering av digital forvaltning Dag Wiese Schartum, AFIN

2 Forvaltningsrettslig bakgrunn og problemstilling
Forvaltningsloven (1967) er i stor grad basert på enkeltsaksbehandling slik den var i og 60-årene Stilltiende forutsetning om individuell behandling av partene Loven har i liten grad blitt endret med tanke på digitalisering Noen endringer ble gjort i Ot.prp. nr. 108 (2000 – 2001) Om lov om endringer i diverse lover for å fjerne hindringer for elektronisk kommunikasjon Jf. forståelsen av ord som «dokument», «kopi», «nedtegne», «undertegne», «muntlig», «skriftlig» og «avgitt» Ble gitt hjemmel for eforvaltningsforskriften (20014) og forskrift om IT-standarder i offentlig forvaltning (2013) Er ikke gjort noen endringer med bakgrunn i tiltakende automatisert rettsanvendelse mv. Kan hevdes å være behov for ny forvaltningslovgivning vedrørende Utvikling av systemer som tar sikte på å automatisere rettsanvendelsen Krav til den offentlig forvaltningens systemløsninger (jf. «systembestemmelser») Krav til saksbehandlingsregler for forvaltningens bruk av deres systemløsninger … for å ivareta rettssikkerhetshensyn

3 Solberg-regjeringens mandat til Forvaltningslovutvalget
«Forvaltningsloven skal bli mer brukervennlig» (pressemelding ) Fra mandatet: «Utviklingen innen informasjons- og kommunikasjonsteknologi gjør det stadig enklere å søke frem, innhente og spre informasjon, og den har muliggjort helt eller delvis automatisert saksbehandling i større grad enn tidligere. Denne teknologien har skapt nye rettssikkerhets- og personvernutfordringer, men den kan også bidra nettopp til å styrke rettssikkerheten og personvernet. En revidert forvaltningslov bør generelt legge til rette for en digitalisering av forvaltningen.» «Loven skal legge til rette for hensiktsmessig bruk av informasjons- og kommunikasjonsteknologi (IKT) i saksbehandlingen i individuelle og generelle saker, både i et brukerperspektiv og for forvaltningen. Loven skal legge til rette for bruk av helautomatiserte saksforberedelses- og beslutningsverktøy der dette er hensiktsmessig. Det skal vurderes hvilke særlige utfordringer bruken av moderne informasjons- og kommunikasjonsteknologi skaper for rettssikkerheten og personvernet, og hvordan disse utfordringene best kan løses.» (utdrag) Utvalget la fram forslaget til ny lov i NOU 2019: 5 Senere har Arkivlovutvalget lagt frem forslag til ny lov om samfunns- dokumentasjon og arkiver (NOU 2019: 9)

4 Forvaltningslovutvalgets forslag til bestemmelser som direkte gjelder digital forvaltning [se utvalgsleders presentasjon av denne delen av forslaget] § 11. Helautomatisert saksbehandling Kongen kan gi forskrift om at forvaltningsorganet på bestemte sakområder kan treffe avgjørelser ved helautomatisert saksbehandling. Avgjørelser som er lite inngripende overfor den enkelte, kan treffes ved helautomatisert behandling uten hjemmel i forskrift. Et mindretall (Fagernæs, Hæreid, Kjørholt og Sollie) foreslår at § 11 skal lyde: Forvaltningsorganet kan treffe helautomatiserte avgjørelser hvor personopplysninger inngår, når behandlingen er nødvendig for å utøve offentlig myndighet eller utføre lovfestede oppgaver. Behandlingen må sikre partens krav til forsvarlig saksbehandling og være forenlig med retten til vern av personopplysninger. § 12. Automatiserte saksbehandlingssystemer (1) Forvaltningsorganet skal dokumentere det rettslige innholdet i automatiserte saksbehandlingssystemer. Dokumentasjonen skal offentliggjøres, hvis ikke annet følger av lov eller særlige hensyn taler mot det. (2) Kongen kan gi forskrift om krav til systemer og om offentliggjøring etter denne paragrafen. [Merk at Arkivlovutvalget har mye mer omfattende og mer presise krav til dokumentering, se §§ 7 – 15]

5 Behov for regler om utvikling av systemer som tar sikte på å automatisere rettsanvendelsen
Systemutvikling som rettslig beslutningsprosess med direkte betydning for innbyggernes plikter og rettigheter Lovgivningen stiller i dag ingen direkte krav til hvordan slik «rettslig systemutvikling» skal skje, men forvaltningsrettslige prinsipper er relevante Kan f.eks. være aktuelt å stille krav til Organisering av arbeidet, inklusive krav til kompetanse og representasjon Krav til saksutredning Krav til høring, dokumentasjon, publisering e.l. av «rettslige systemavgjørelser» Krav til formell godkjenning, vedtak og ikrafttredelse Annet?

6 Behov for regler som setter krav til den offentlig forvaltningens systemløsninger
Jf. skillet mellom «systembestemmelser» og «saksbehandlings- bestemmelser» Overordnet spørsmål er hva vi trenger i tillegg til systemkravene i personvernforordningen (jf. nedenfor) Kan f.eks. være aktuelt å stille krav: Til «Minside-løsninger» i offentlig forvaltning Om at systemer skal ha rutine for partsinnsyn Om automatisk påsetting av begrunnelse for enkeltvedtak Om systemoffentlighet (dvs. at systemer skal være tilgjengelig for alle, til bl.a. simulering av vedtak) Krav til systemløsninger som skal gi beslutningsgrunnlag til forvaltningens systemer Annet?

7 Behov for saksbehandlingsregler for forvaltningens bruk av systemløsningene deres?
Generelt behov for å revurdere «begrensende elementer» i enkelte av dagens bestemmelser «Omfanget av veiledningen må likevel tilpasses det enkelte forvaltningsorgans situasjon og kapasitet til å påta seg slik virksomhet» (§ 11) «Dersom det må ventes at det vil ta uforholdsmessig lang tid før en henvendelse kan besvares, skal det forvaltningsorganet som mottok henvendelsen, snarest mulig gi et foreløpig svar.» (§ 11a) «Er det særlig byrdefullt å gi skriftlig underretning, kan underretningen gis muntlig eller på annen måte.» (§ 16) «Forvaltningsorganet skal påse at saken er så godt opplyst som mulig​ før vedtak​ treffes.» (§ 17) «Et enkeltvedtak​1 skal være skriftlig​2 om ikke dette av praktiske grunner vil være særlig byrdefullt for forvaltningsorganet.» (§ 23) «Er det særlig byrdefullt for forvaltningsorganet å gi skriftlig underretning, eller haster saken, kan underretning gis muntlig eller på annen måte.» (§ 27) Og andre bestemmelser! Minstekrav for tilgang til saksbehandler og individuell veiledning Regler om tilsyn og kontroll med oppgavegivere Regler som gir generell virkning på systemløsninger i tilfeller av medhold i individuelle klager/omgjøring

8 Grunnleggende om aktører og relasjonene mellom dem i hen- hold til forvaltningsloven og personvernforordningen Sivilombudsmannen Forvaltnings- myndigheten parter forvaltningsorganet

9 Personvernrettslig bakgrunn og problemstilling
Personopplysningsloven av 2018 (med personvernforordningen) er tredje generasjon lovgivning på området Personregisterloven (1978) Personopplysningsloven (2000) Representerte skifte i tenkning Personopplysningsvern (jf. «data protection») har bakgrunn i digitalisering (1960-årene) Ble utviklet som felles tilnærming, uten avgjørende skille mellom offentlig forvaltning og privat virksomhet Har blitt det dominerende perspektivet på digital forvaltning («på bekostning» av rettssikkerhetsperspektivet) Personopplysningsvern har blitt et stadig bredere område som også i noen grad omhandler tradisjonelle rettssikkerhetsspørsmål Utvikling fra nasjonal lovgivning  nasjonal lovgivning i hht. direktiv  felles europeisk lovgivning i form av forordning med mange «nasjonale hull» (derfor bare delvis rettsenhet) Forordningen har mange, vage, skjønnsmessige bestemmelser som inngår i komplekse regelstrukturer. For tiden få andre rettskilder enn ordlyden + mange mer eller mindre kvalifiserte oppfatninger i litteratur og ellers om hva bestemmelsene betyr

10 Litt om forholdet mellom personvernforordningen og forvaltningsloven
Personvernforordningen og personopplysningsloven av 2018 gjelder generelt, også for offentlig forvaltning Bare enkelte elementer vedr. offentlig forvaltning er særlig regulert, se art.6(1)(e), (2) og (3), «arkivformål i allmennhetens interesse (f.eks. art. 5(1)(b) og art. 89(1)), innsyn i offentlige dokumenter (art. 86), og nasjonale identifikasjonsnumre (art. 87) Forordningen regulerer i stor grad forvaltningsprosessens faktiske side, dvs. behandling av personopplysninger som er beslutningsgrunnlag for enkeltvedtak og andre enkeltavgjørelser Forordningen begrenser hva Norge kan fastsette av bestemmelser i forvaltningslovgivning som gjelder personopplysninger i forvaltningsprosessen Forordningen har større vekt på «systembestemmelser» enn forvaltningsloven med forskrifter (jf. «behandling av personopplysninger»)

11 Bestemmelser i PVF som stiller krav til utvikling av systemer som tar sikte på å behandle personopplysninger (i automatiske prosesser og ellers) Krav til innebygget personvern (art. 25) Men bestemmelsen gjelder bare behandlingsansvarlige, ikke systemutviklere som bare er produsenter av systemløsninger (jf. «hyllevare») Art. 38(1): «Den behandlingsansvarlige og databehandleren skal sikre at personvernombudet på riktig måte og i rett tid involveres i alle spørsmål som gjelder vern av personopplysninger.» (jf. dog ombudets uavhengige stilling) Flere andre krav gjelder selve systemløsningen (resultatet av utviklingsarbeidet), og har indirekte effekt på systemutviklingen – jf. neste bilde Gjennomgås i emnet FINF4021 (til våren)

12 Bestemmelser i PVF som setter krav til den offentlig forvaltningens systemløsninger
Se bl.a. krav til Behandlingsformål (art. 5(1)(b)) Rettslig grunnlag (art. 6 og 9) Behandlingssikkerhet (art. 32) Vurdering av personvernkonsekvenser (art. 35) Krav til forhåndsdrøfting (art. 36) Gjennomgås i emnet FINF4021 (til våren)

13 Bestemmelser i PVF som innebærer nye saksbehandlingsbest-emmelser (jf
Bestemmelser i PVF som innebærer nye saksbehandlingsbest-emmelser (jf. «bruk») som offentlig forvaltningen må etterleve Krav til kommunikasjon med registrerte mv. (art. 12) Plikt til å gi informasjon til registrerte (art. 13 og 14, jf. fvl § 17) Innsyn for registrerte Rett til retting og sletting (art. 16 og 17, jf. art. 19) Rett til begrensning av behandling (art. 18) Rett til dataportabilitet (art. 20) Rett til å protestere (art. 21) Rett til ikke å være gjenstand for en avgjørelse som utelukkende er basert på automatisert behandling (art. 22) Men merk at noen rettigheter som eksisterte i personopplysningsloven 2000 har falt bort: Rett til veiledning om lovbestemt innsynrett Innsyn i hvordan personopplysninger er sikret

14 Noen avsluttende oppsummerende synspunkter
Personvernperspektivet på digital forvaltning har blitt dominerende mens rettssikkerhetsperspektivet har «sovet» Forsøk på oppdatering og modernisering av forvaltningslovgivningen for å ivareta rettssikkerhet på bedre måte, vil være begrenset av personvernforordningens bindende, «altomfattende», vanskelige og felles europeiske regler Hva som blir resultatet av forsøket på å «modernisere» rettssikkerhetstilnærmingen til offentlig forvaltning, avhenger av den videre behandlingen av forslagene i NOU 2019: 5 og NOU 2019: 9. Begge forslag har høringsfrist i desember 2019