Dato: 21.05.2024 Svartype: Med merknad Innspill til forslag til ny uh-forskrift § 9-1 annet ledd om automatisert saksbehandling: Institusjonene kan fatte vedtak ved helt eller delvis automatisert saksbehandling i sine systemer. Den personen som vedtaket retter seg mot, kan kreve at vedtaket overprøves manuelt. Datatilsynet understreker at personvernforordningen artikkel 22 innebærer et forbud mot automatiserte individuelle avgjørelser som har rettsvirkning for eller på tilsvarende måte i betydelig grad påvirker vedkommende. Det skal lite til for at forbudet i artikkel 22 kommer til anvendelse ved helautomatisert saksbehandling. Artikkel 22 nr. 2 bokstav b åpner opp for at det kan gjøres unntak fra forbudet i nasjonal rett, forutsatt at det etableres «egnede tiltak for å verne den registrertes rettigheter, friheter og berettigede interesser». Fortalen til personvernforordningen punkt 71 understreker at «under alle omstendigheter bør en slik behandling ledsages av nødvendige garantier som bør omfatte spesifikk informasjon til den registrerte og rett til menneskelig inngripen, til å uttrykke sine synspunkter, til å få en forklaring på avgjørelsen som er truffet etter en slik vurdering, og til å protestere mot avgjørelsen. Nevnte tiltak bør ikke gjelde barn». Datatilsynet er enig med departementet i at forvaltningslovens regler langt på vei innfrir kravene til «egnede tiltak». Vi sikter her til reglene om veilednings- og utredningsplikt, forhåndsvarsling, den enkeltes adgang til å uttale seg, få en begrunnelse og å kunne fremsette en klage. Videre følger det av personvernforordningen artikkel 13 nr. 2 bokstav f, og artikkel 14 nr. 2 bokstav g at den registrerte har krav på informasjon om at den registrertes personopplysninger blir behandlet i en helautomatisert avgjørelse, samt betydningen dette har, og de forventede konsekvensene av en slik behandling for den registrerte. Informasjonen må være lett tilgjengelig, for eksempel i selve vedtaksbrevet, et informasjonsskriv eller på institusjonens nettside. Datatilsynet mener at den foreslåtte forskriftshjemmelen må nyanseres. Institusjonene er pålagt å sørge for at registrertes rettigheter, friheter og berettigede interesser ivaretas i det konkrete tilfellet, gjennom vedtaket som fattes. Utdanningsinstitusjonene vedtar et stort spekter av beslutninger i sin saksbehandling, alt fra vedtak om juks til vedtak om opptak til videregående opplæring, der de registrertes berettigede interesser vil variere tilsvarende. Vi foreslår at departementet vurderer hvilke deler av lovverket som egner seg for automatisering, og konkretiserer hvilke kategorier av saksbehandlingsvedtak hjemmelen skal gjelde. For å ivareta fleksibiliteten til utdanningsinstitusjonene, kan adgangen til å benytte automatisert saksbehandling kategoriseres etter hvor store konsekvenser vedtaket får for den enkelte elev. For å illustrere dette, viser vi til lovhjemmelen i folketrygdloven (ftrl.) § 21-11 a for Helsedirektoratets bruk av helautomatiserte beslutninger: Når slike vedtak er lite inngripende overfor den enkelte, kan vedtakene være utelukkende basert på automatisert behandling av helseopplysninger eller andre personopplysninger. I forarbeidene til folketrygdloven har departementet lagt til grunn at det med «lite inngripende» menes avgjørelser som har begrensede konsekvenser for den det gjelder. I den forbindelse må Helsedirektoratet blant annet vurdere omfanget av personopplysninger som behandles, opplysningenes sensitivitet og hvor korrekte det er grunn til å tro at personopplysningene er. I rundskriv til folketrygdloven kapittel 21 fremkommer det at det ikke kan fattes en avgjørelse som utelukkende er basert på automatisert behandling av helseopplysninger eller andre personopplysninger, hvis avgjørelsen bygger på skjønnsmessige vilkår. Et annet eksempel på regulering av bruk av helautomatiserte beslutninger er utlendingsdirektoratets adgang, hjemlet i statsborgerforskriften § 13A-3. Der fremkommer følgende: Utlendingsdirektoratet kan treffe avgjørelser som utelukkende er basert på automatisert behandling av personopplysninger. Avgjørelsen kan ikke bygge på skjønnsmessige lov- eller forskriftsvilkår, med mindre avgjørelsen er utvilsom. Den registrerte skal gis rett til manuell overprøving av avgjørelsen. Utlendingsdirektoratet skal foreta jevnlige manuelle kontroller av bruken av automatiserte avgjørelser I forarbeidene fremkommer det at departementet også foreslo at bestemmelsen skulle oppstille krav om at behandlingen er «forsvarlig» i tillegg til kravet om at avgjørelsen ikke må inneholde «skjønnsmessige vurderinger». Det ble imidlertid rettet kritikk mot at begrepene «forsvarlig» og «skjønnsmessig» er vage og trenger nærmere presisering for å sikre klarhet i rettstilstanden. Datatilsynet mener de ovenfornevnte momentene gir gode innspill til hvordan hjemmelen i uh-forskriften kan og bør nyanseres. Datatilsynet ønsker også en klargjøring av om hjemmelen er ment å omfatte behandling av særlige kategorier av personopplysninger, jf. personvernforordningen artikkel 9. Innspill knyttet til reservasjonsretten ved bruk av videoopptak i praksisopplæringen i lærerutdanningene i uh-forskriften § 9-2: Ifølge høringsnotatet foreslås det å presisere det rettslige grunnlaget utdanningsinstitusjonene har for å behandle personopplysninger om studenter, barn, elever og ansatte gjennom bruk av video. Det foreslås at personvernforordningen artikkel 6 nr. 1 bokstav e benyttes, med supplerende rettsgrunnlag i ny uh-forskrift § 9-2. Det følger av høringsnotatet punkt 2.2.5.2 om reservasjonsrett at: «Bruk av video i lærerstudentenes praksis vil, for de institusjonene som bruker dette verktøyet, være en integrert del av studiet. Departementet vurderer derfor at det ikke er hensiktsmessig med en rett for studentene til å reservere seg mot behandlingen av personopplysninger. For den ansatte i skolen og barnehagen vil bruk av video inngå som en del av avtalen om å være praksislærer/veileder». Datatilsynet stiller spørsmål til at ikke studentene har en rett til å reservere seg mot behandling av sine personopplysninger gjennom bruk av video, jf. ny uh-forskrift § 9-2 annet ledd. Vi minner om at retten til å protestere etter personvernforordningen artikkel 21 gjelder all behandling som har grunnlag i artikkel 6 nr. 1 bokstav e. Dette vil derfor være en rettighet både lærerstudentene og praksislærer/veileder i skolen og barnehagen har. Vi understreker samtidig at retten til å protestere ikke er en rett til å få gjennomslag for protesten, men er en rett til å få protesten vurdert. For at den registrerte skal kunne reservere seg etter personvernforordningen artikkel 21, må det foreligge «grunner knyttet til vedkommendes særlige situasjon». Det må utføres en konkret vurdering av om protesten skal imøtegås eller ikke – avhengig av om det foreligger tvingende berettigede grunner for behandlingen, som går foran den enkeltes interesser, rettigheter og friheter. Eventuelt må institusjonen påvise at det er nødvendig å behandle personopplysningene for å fastsette, gjøre gjeldende eller forsvare rettskrav. Formålet med retten til å protestere er at det enkelte medlem i en større gruppe skal kunne be om en individuell vurdering av sin særlige situasjon. Vi bemerker også at ordlyden i bestemmelsen i artikkel 21 ikke oppstiller noe krav om at den registrertes «særlige situasjon» må være tungtveiende eller viktig. Det er heller ikke krav til at den registrerte gir en begrunnelse for protesten. Likevel vil et ekstraordinært forhold hos den registrerte føre til at det skal mer til for at de tvingende berettigede grunnene for behandlingen får gjennomslag. Kunnskapsdepartementet Til høringen Til toppen <div class="page-survey" data-page-survey="133" data-page-survey-api="/api/survey/SubmitPageSurveyAnswer" data-text-hidden-title="Tilbakemeldingsskjema" data-text-question="Fant du det du lette etter?"
