Ett år med Nasjonalt ressurssenter for deling av data

Et senter der juss, teknologi og prosesser møtes

Tildelingsbrevet for 2020 gir Digitaliseringsdirektoratet beskjed om å etablere et nasjonalt ressurssenter for deling av data. Senteret skal tilby spisskompetanse på sammenhengen mellom juss, teknologi og forretnings- og forvaltningsprosesser. Juridiske og organisatoriske problemstillinger samt digitaliseringsvennlig regelverk skulle prioriteres fra start, og senteret skulle utvikles i samarbeid med sentrale aktører i forvaltningen og Digital 21. 

Den offisielle åpningen i september 2020 stod distrikts- og digitaliseringsminister Linda Hofstad Helleland for.

Du kan lese mer om bakgrunn, ressurssenteret og hvem som jobber hos oss på våre nettsider.

Overordnet om arbeidet til ressurssenteret

Ressurssenteret jobber behovsdrevet og samarbeidsorientert. I det første året har vi hatt mer enn 100 møter med mange ulike aktører for å gjøre ressurssenteret kjent. I tillegg har vi etablert noen faste samarbeidsfora med svenske og danske myndigheter, en gruppe ressurspersoner i andre virksomheter som er opptatt av koblingen mellom digitalisering og juss, Regelrådet og Universitetet i Oslo for å nevne noen.

Ved å bygge nettverk, svare på henvendelser og delta i ulike fora har ressurssenteret fått kjennskap til hvordan samarbeidspartnerne opplever koblingen mellom juss og deling av data i sin hverdag. Og slik fyller vi rollen som kompetansebank og læringsmiljø som er forventningene fra regjeringens digitaliseringsstrategi.

Viktige utfordringer

Dette første året har bekreftet og utdypet kunnskap fra tidligere erfaringer og rapporter om utfordringene som ligger i koblingen mellom digitalisering og regelverk. I det følgende har vi trukket frem noen av de viktigste.

Behov for mer kompetanse

Et gjennomgående tema i møtene har vært knyttet til behandling av personopplysninger, eksempelvis hvor går grensen for behandlingsansvar ved deling av data. Andre har spørsmål om betaling for og eierskap til data, datakvalitet eller krav til logging av data.

Mange har uttrykt usikkerhet om det juridiske handlingsrommet for å dele og bruke data. Men ofte er problemstillingene lite presise, og sjelden vises det til konkrete utfordrende bestemmelser. Det gjør oppgaven med å hjelpe vanskeligere, men flere har likevel uttrykt at det er nyttig å kunne grave litt i utfordringene sammen med et ressurssenter.

Komplekst og sektorinndelt regelverk gir usikkerhet

Regelverket er i liten grad sømløst, lagt til rette for digitalisering eller for utvikling av sammenhengende tjenester på tvers av offentlig sektor. Ofte er det ulike lover, forskrifter, standarder og retningslinjer en må ta hensyn til. Og den enkelte regel kan også vært krevende å forstå. Dette fører til usikkerhet rundt hva en kan, og ikke kan, dele med andre.

Vi erfarer at det ofte er lav kompetanse og usikkerhet som gjør at en restriktiv praksis opprettholdes og aktørene unnlater å dele data på tvers. Vi ser en mer forsiktig og tilbakeholden praksis enn det behøver å være, fordi en ikke er trygg på forståelsen av regelverket.

Regelverket må bli mer digitaliseringsvennlig

Det finnes eksempler på både nytt og eksisterende regelverk som ikke er digitaliseringsvennlig. Noen eksempler kan du lese i rapporten om Juridiske hinder for digitalisering utarbeidet i regi av Norstella på oppdrag fra Digitale toppledere.

Behov for tverrfaglig samarbeid på tvers av virksomhetsgrenser

Mange påpeker behov for å jobbe med regelverksutvikling på nye måter. Det er behov for mer tverrfaglighet og tettere samarbeid mellom departement og underliggende virksomheter. Flere jurister har også fortalt oss at de blir trukket for sent inn i digitaliseringsinitiativer. Det kan skape forsinkelser og dårlig samarbeidsklima.

Samtidig har vi sett eksempler på godt tverrfaglig samarbeid, også på tvers av virksomhetsgrenser. Særlig har erfaringer fra utvikling av kompensasjonsordningene etter korona, tydelig vist at en tett kobling mellom regelarbeid og tjenesteutvikling, gir bedre og raskere resultater. Vi ser behov for å bygge videre på slike gode erfaringer og skape større bevissthet om digitalisering i regelutviklingsprosesser, og tilsvarende om regelverk i systemutviklingsprosesser. 

Innbyggerne skal møte en helhetlig forvaltning, et mål kalt Sammenhengende tjenester i digitaliseringsstrategien, hvor tjenester som ytes av flere virksomheter, skal henge sammen. Det krever tett samarbeid og deling av relevante opplysninger mellom virksomhetene. Det forutsetter et sammenhengende regelverk, hvor regler som gjelder en del av tjenestekjeden, må henge sammen med regelverk som regulerer andre deler. I dag utvikles regelverk for ofte i siloer.

Europeisk regelverk setter rammer

Europeisk regelverk som GDPR (pvf) og PSI setter rammer for deling og bruk av data i Norge. Og EU tar stadig nye initiativer som vil få betydning for deling og bruk av data i Norge. Viktige initiativ nå er implementering av Open Data Directive, og forslag om Data Governance Act, Data Act, og regulering av AI.

Noen bidrag fra ressurssenteret for å ta ned utfordringene

Ressurssenteret jobber aktivt for å bøte på utfordringene vi har nevnt over. Som eksempler kan vi vise til dette:

• Vi deltar med juridisk kompetanse i kjerneteamet for koordinering av de sammenhengende tjenestene og i livshendelsen «Dødsfall og arv», som Digdir har ansvaret for.

• En rekke innlegg som belyser koblingen mellom regelverk og digitalisering i faglig arena for informasjonsforvaltning og deling av data.

• Samarbeid med KS om egnet regulering av rettslig grunnlag for kommunene for å kunne behandle personopplysninger hentet fra Skatteetaten

• Samarbeid med Digital Norway om kompetansetiltak og tilrettelegging av informasjon rettet mot små og mellomstore bedrifter (SMBer), hvor vi blant annet bidrar i utvikling av utdanningstilbud i regi av BI rettet mot den gruppen

• Innspill til relevante europeiske regelutviklingsprosesser som EUs Data Governance Act, Data Act og forslag til regulering av kunstig intelligens fra EU og Europarådet

Ressurssenteret skal være en pådriver for mer digitaliseringsvennlig regelverk. I det første året har vi:

• utarbeidet flere høringsinnspill til regelverksforslag.
  Noen er gitt på vegne av Digdir, og enkelte i samarbeid med andre. Eksempelvis Felles høringsuttalelse fra Skate om forslag til endringer i taushetspliktbestemmelsene i forvaltningsloven. Viktige budskap her var: oppfordring til en bedre samordning av taushetspliktsbestemmelsene på tvers av regelverk, at det er behov for større adgang til å dele data, og nødvendig at også mottakerorganets behov skal vektlegges.

• fulgt arbeidet med relevante initiativ fra OECD – blant annet om initiativ for Better Regulation og om Rules as Code.

• gitt innspill til forslag om nye regelverk i regi av EU med betydning for deling og bruk av data

• jobbet frem en veileder om digitaliseringsvennlig regelverk. Du kan lese mer om denne senere i innlegget.

Ressurssenteret har vært rådgiver i digitaliseringsprosjekter og juridiske utredninger i regi av andre. Som eksempler kan vi nevne:

• Rapport fra Nav og Oslo kommune om muligheter og juridiske begrensninger for deling av data. Rapporten viser at den kommunale og statlige delen av NAV ikke får til et godt samspill fordi regelverket ikke er utviklet i takt med organiseringen og arbeidsoppgavene som skal løses.
  
  Rapporten er laget av et tverrfaglig team, hvor både jurister, teknologer og forretningsansvarlige samarbeidet tett, og metodikken kan være til inspirasjon og læring for andre utviklingsprosesser. Ressurssenteret har vært rådgiver i arbeidet. Les rapporten på ressurssenterets nettsider.

• Etableringen av Tilda, hvor det har vært utfordringer i skjæringspunktet mellom juss og deling av data. Tilda som er etablert at ti tilsynsmyndigheter under ledelse av Arbeidstilsynet, sørger for deling av data mellom potensielt alle (ca. 80) tilsynsaktører. Ressurssenteret er involvert i vurderingen av det rettslige grunnlaget for selve løsningen, og i vurderinger som den enkelte tilsynsaktør må foreta før de eventuelt kan ta løsningen i bruk. Vi har foreslått en koordinering av tilsynsaktørenes juridiske arbeid, hvor det også kan vurderes en mer samordnet regulering. Ressurssenter har videre bidratt til at den enkelte tilsynsaktør kan filtrere uttak av opplysninger i Tilda, tilpasset sitt behandlingsgrunnlag.

Viktige leveranser denne høsten

Veiledere

Ressurssenteret utvikler veiledere som skal ta ned noen av de gjennomgående utfordringene vi ser. En veileder er en effektiv måte å gi svar til mange som har de samme spørsmålene, og frigjør tid for ressurssenteret til å utdype mer komplekse problemstillinger.

En av veilederne er om digitaliseringsvennlig regelverk, som er et tiltak i regjeringens digitaliseringsstrategi. Denne vil bli publisert innen utgangen av oktober 2021.

Vi lager også en veileder om juridiske rammer ved deling av data. Den skal publiseres i slutten av 2021, og vil bli et supplement til veilederen for roller og ansvar ved deling av opplysninger, som Ressurssenteret har publisert tidligere. Ta gjerne kontakt om du har tanker om hvordan veilederne kan dekke dine behov.

Koordineringsarbeid Schrems II

Skates AU ga ressurssenteret i oppdrag å ivareta et koordineringsarbeid knyttet til Schrems II. Etter kort tid vokste gruppen utover Skatevirksomheten og talte rundt 27 virksomheter. Les mer om koordinering av arbeidet med Schrems II-dommen

Da arbeidet startet, var det mye usikkerhet og bekymring om hva Schrems-dommen kunne bety. Noen hadde fått inntrykk av at dommen stoppet muligheten til å bruke skytjenester fra leverandører utenfor Europa, og det var også en utbredt oppfatning at det dommen lukket muligheten for en risikobasert tilnærming.

Ressurssenteret gjorde en grundig gjennomgang av dommen. Vi så også på hvordan den henger sammen med personvernforordningen og den europeiske menneskerettighetskonvensjonen. Målet var å gjøre det lettere for virksomhetene å forstå hvordan regelverket påvirket deres bruk av skytjenester.

Noen avsluttende refleksjoner

Ett års erfaring i det Nasjonale ressurssenteret for deling av data har bekreftet og tydeliggjort at det er et stort behov for kompetanse om de rettslige rammene for deling og bruk av data.

Lav kompetanse gir usikkerhet. Denne usikkerheten fører til lange avklaringsrunder, og kan gjøre at organisasjoner legger unødige begrensninger på seg selv. Videre har vi sett at det er behov for mer tverrfaglig og tverretatlig samarbeid, og tiltak som kan bidra til mer digitaliseringsvennlig regelverk.

Å endre tradisjoner for regelverksutvikling, utvikle kompetanse og å bygge kultur for mer samarbeid, tar tid. Det er en viktig erkjennelse når ressurssenteret skal fylle sin rolle som en kompetansebank og læringsmiljø. Slikt arbeid, som må gjentas og vedlikeholdes, er «ferskvare». Det vil alltid være sirkulasjon og nye personer som jobber med digitalisering, forståelse av regelverk og deling av data. Veiledere om digitaliseringsvennlig regelverk, og om rettslige rammer for deling av data, er viktige byggesteiner for å heve kompetansenivået. De også må vedlikeholdes og krever løpende innsats om de skal få ønsket effekt.

En annen refleksjon vi sitter igjen med er at samarbeid på tvers av virksomhetsgrenser gir tyngde, jfr. skatehøringen, og mer effektiv oppgaveløsning, jfr. Schrems II. Men det er fortsatt ikke en fullt utviklet arbeidsform.

Mange vil delta i samarbeid- og koordineringsaktiviteter, men færre er aktive bidragsytere. Etter vår vurdering ville et tettere faglig samarbeid, der aktørene i større grad forplikter seg til deltakelse, kunne bidra til bedre kvalitet og mer effektiv oppgaveløsning. Det er viktig å holde fast ved at det er den enkelte virksomhet som har et selvstendig ansvar for å sikre at sine valg er i tråd med rettslige rammer, men det faglige beslutningsunderlaget kunne med fordel vært utarbeidet av arbeidsgrupper satt sammen av den beste kompetanse i utvalgte virksomheter i samarbeid. På den måten drar vi mer nytte av det felles nasjonale økosystemet som offentlige virksomheter er en del av.