1 Proposisjonens hovedinnhold og bakgrunn

Arbeids- og sosialdepartementet foreslår i denne proposisjonen endringer i

• lov 3. desember 1948 nr. 7 om pensjonsordning for arbeidstakere til sjøs

• lov 28. juli 1949 nr. 26 om Statens pensjonskasse

• lov 28. juni 1957 nr. 12 om pensjonstrygd for fiskere.

• lov 22.juni 1962 nr.12 om pensjonsordning for sykepleiere

• lov 15. januar 1999 nr. 1 om pensjonsordning for ledsagere i utenrikstjenesten

• lov 16. juni 2006 nr. 20 om arbeids- og velferdsforvaltningen

• lov 18. desember 2009 nr. 131 om sosiale tjenester i arbeids- og velferdsforvaltningen (sosialtjenesteloven)

Bakgrunnen for forslaget er den nye personvernforordningen i EU (Europaparlaments- og rådsforordning (EU) 2016/679), heretter personvernforordningen eller forordningen, som også er innlemmet i EØS-avtalen. Lov 15. juni 2018 nr. 38 om behandling av personopplysninger (personopplysningsloven), som trådte i kraft 20. juli 2018, gjør forordningen til norsk rett ved inkorporasjon, det vil si at forordningen gjøres gjeldende som norsk rett gjennom en henvisningsbestemmelse i loven.

Forordningen erstatter EUs personverndirektiv 95/46/EC, som var implementert i norsk rett gjennom tidligere personopplysningslov av 2000.

Forordningen er omfattende og inneholder blant annet

• grunnleggende prinsipper og vilkår for å behandle personopplysninger

• rettigheter for enkeltpersoner

• plikter for behandlingsansvarlige og databehandlere

• vilkår for overføring av personopplysninger over landegrensene

• regler om tilsyn og sanksjoner

Personvernforordningens formål, systematikk, terminologi og grunnprinsipper, samt materielle regler, er i betydelig grad en videreføring av personverndirektivet fra 1995. Samtidig innebærer reglene en del endringer, både på detaljnivå og av mer grunnleggende karakter. På flere punkter innebærer de nye reglene en styrking av personvernet til de registrerte. Utover å inkorporere forordningen, gir den nye personopplysningsloven også en rekke bestemmelser som supplerer reglene i forordningen.

Departementet foreslår i proposisjonen her

• at Arbeids- og velferdsetaten, kommunen i arbeids- og velferdsforvaltningen, Statens pensjonskasse, Pensjonstrygden for sjømenn og Garantikassen for fiskere gis en uttrykkelig hjemmel for behandling av personopplysninger,

• en uttrykkelig lovbestemmelse om at det skal kunne treffes helautomatiserte avgjørelser,

• at Statens pensjonskasse, Pensjonstrygden for sjømenn og Garantikassen for fiskere får en lovfestet adgang til å gjenbruke personopplysninger til enkelte andre formål enn det de ble innhentet for, blant annet til statistikk og analyse, og

• at departementet kan gi nærmere regler i forskrift om behandling av opplysninger.

For at arbeids- og velferdsforvaltningen, Statens pensjonskasse, Pensjonstrygden for sjømenn, Garantikassen for fiskere skal kunne utbetale riktige ytelser eller gi riktige tjenester til riktig tid, og for at fylkesmannsembetene og Statens helsetilsyn skal kunne behandle klager og føre tilsyn, er det nødvendig å behandle personopplysninger. Det samme vil gjelde KLP ved behandling av saker om sykepleierpleierpensjon.

Det rettslige grunnlaget for å behandle personopplysninger følger av de lovbestemte oppgaver som de nevnte myndighetene skal utføre. Arbeids- og velferdsforvaltningsloven, sosialtjenesteloven, lov om Statens pensjonskasse, lov om pensjonsordning for arbeidstakere til sjøs, lov om pensjonstrygd for fiskere, lov om pensjonsordning for sykepleiere og lov om pensjonsordning for ledsagere i utenrikstjeneste legger rammene for hvilke og i hvilken utstrekning opplysningene kan behandles.

Arbeids- og velferdsforvaltningen, Statens pensjonskasse, Pensjonstrygden for sjømenn, Garantikassen for fiskere og KLP behandler en stor mengde opplysninger om et stort antall borgere. Departementet foreslår derfor en uttrykkelig hjemmel i de enkelte lovene for behandling av personopplysninger, i tråd med forordningens anbefaling om tydelighet og forutsigbarhet. En slik generell bestemmelse om behandling av personopplysninger medfører ikke at hjemmelsgrunnlaget utvides, men innebærer kun en tydeliggjøring.

Etter forordningen er helautomatisert saksbehandling og avgjørelse tillatt dersom slik behandling er hjemlet i nasjonal rett, og det er fastsatt egnede tiltak for å verne den registrertes rettigheter, friheter og berettigede interesser. Arbeids- og velferdsetaten, Statens pensjonskasse, Pensjonstrygden for sjømenn og KLP foretar en økende andel automatiserte avgjørelser. Automatisering av beslutningsprosesser kan gi store effektivitetsgevinster, særlig når saksmengden er stor. Automatisering kan også bidra til økt likebehandling, siden alle som etter systemets kriterier er i samme situasjon, automatisk behandles likt. Departementet foreslår på denne bakgrunn en lovbestemmelse i arbeids- og velferdsforvaltningsloven, lov om Statens pensjonskasse, lov om pensjonsordning for arbeidstakere til sjøs, lov om pensjonstrygd for fiskere og lov om pensjonsordning for sykepleiere om at det skal kunne treffes avgjørelser som utelukkende er basert på automatisert behandling av personopplysninger. I lovforslaget presiseres det at behandlingen må sikre partens krav til forsvarlig saksbehandling og være forenlig med retten til vern av personopplysninger. I tillegg foreslås det at den helautomatiserte avgjørelsen ikke kan bygge på skjønnsmessige vilkår i lov eller forskrift, med mindre avgjørelsen er utvilsom.

For at helautomatiserte avgjørelser skal være tillatt, stiller personvernforordningen artikkel 22 nr. 2 bokstav b krav om at det fastsettes egnede tiltak for å verne den registrertes rettigheter, friheter og berettigede interesser. Utformingen av tiltakene må være basert på en konkret vurdering av den aktuelle behandlingen. Forvaltningslovens regler om veiledningsplikt, kontradiksjon, innsyn, begrunnelse og klage må i utgangspunktet anses å være et vesentlig bidrag til å oppfylle forordningens krav om egnede tiltak. Garantiene i forvaltningsloven er minimumsgarantier, og i tillegg kan det derfor måtte kreves andre tiltak som er egnet til å redusere den økte risiko en automatisert behandling antas å medføre. Departementet forutsetter at det må foreligge tilstrekkelige kvalitetssikringsmekanismer for å sikre at opplysninger som ligger til grunn for avgjørelsen er riktige og dekkende. Hva som kreves av egnede tiltak, må vurderes i lys av betydningen som behandlingen har for den enkelte, holdt opp imot samfunnets og forvaltningens behov.

Personopplysninger kan etter forordningen viderebehandles til andre formål som er forenlig med formålet opplysningene opprinnelig er samlet inn for, men de kan i utgangspunktet ikke viderebehandles til andre uforenlige formål. Slik viderebehandling krever særskilt hjemmel i lov. Hvorvidt det nye formålet er forenlig med det opprinnelige formålet vil avhenge av en konkret vurdering i det enkelte tilfelle. Departementet foreslår derfor at det for Statens pensjonskasse, Pensjonstrygden for sjømenn, Garantikassen for fiskere og KLP tas inn uttrykkelige bestemmelser om at personopplysninger som er innhentet for å vurdere om vilkårene for ytelser mv. er til stede, også skal kunne behandles til bruk for å forbedre informasjonen til medlemmene, statistikk og analyse, samt for testing og utvikling av IT-systemer. Opplysningenes omfang og art i arbeids- og velferdsforvaltningen krever en annen og bredere tilnærming, og viderebehandling av opplysninger på dette området vil derfor bli behandlet i et eget høringsnotat på et senere tidspunkt.

Departementet mener det kan være behov for ytterligere og mer detaljerte regler om behandling av personopplysninger som det ikke er naturlig å regulere i lov. Det foreslås derfor at departementet kan gi nærmere regler i forskrift om behandling av opplysninger, blant annet om formålet med behandlingen, behandlingsansvar, hvilke personopplysninger som kan behandles, hvem det kan behandles personopplysninger om, bruk av automatiserte avgjørelser, adgangen til viderebehandling til andre formål, utlevering, registerføring og tilgang til registre. Slike utdypende bestemmelser egner seg etter departementets syn best i forskrifts form da utformingen kan bli både detaljert og omfangsrik.

Opplysningene er imidlertid helt nødvendige for at de aktuelle myndighetene skal kunne behandle krav om ytelser og tjenester, og for at den enkelte sikres disse i samsvar med de respektive lovene. Departementet forutsetter at de aktuelle myndighetene sørger for at personopplysningene er korrekte og oppdaterte, at de underlegges tilstrekkelig informasjonssikkerhet og at de slettes når formålet er oppfylt. Arbeids- og velferdsforvaltningen, Statens pensjonskasse, Pensjonstrygden for sjømenn, Garantikassen for fiskere og KLP må ha strenge og detaljerte retningslinjer for behandling av personopplysninger som ivaretar kravene i personvernforordningen ettersom de behandler en stor mengde opplysninger.

Ved å etablere tydelige lovhjemler avskjæres eventuelle tvils- og tolkningsspørsmål som følger av dagens rettslige utgangspunkt, og slik sett vil forslaget bidra til effektivisering. Det er imidlertid vanskelig å anslå ressursbruk og besparelser nærmere, men det legges til grunn at forslaget ikke vil ha vesentlige økonomiske konsekvenser og vil kunne gjennomføres innenfor gjeldende rammer.