Oppdraget er å utrede muligheten for innsyn i personopplysninger

Innledning

Ofte forbindes digitalisering med tekniske løsninger. I praksis handler digitalisering mer om hvordan mennesker over tid endrer måten de lever på. Digitalisering medfører store endringer, og påvirker privatliv, arbeidsliv og samfunn. Det kan frigjøre tid til helsearbeidere ved å automatisere bort rutinearbeid. Vi får musikken vår fra enorme samlinger gjennom abonnementer og går ikke i platebutikken lenger. Vi går ikke i banken for å betale regninger, og ferieturen bestilles på nett.

Men hva skjer med informasjonssikkerhet og personvernet på tvers av digitale produkter og tjenester som stadig utvikler seg? Hvilke lover regulerer den digitaliserte hverdagen vår? Og hvordan kan det offentlige behandle personopplysninger på en måte som innbyggerne forstår?

Hvorfor trengs utredningen?

Personopplysninger rommer alt fra opplysninger lagret i offentlige registre til henvisninger i en e-post, og til adferdsdata som sporer hvordan man bruker en nettside for å nevne noe. Det er økende behov og forventning til at opplysningene i større grad skal flyte og brukes på tvers av ulike avdelinger, virksomheter, forvaltningsnivåer, sektorer og land. Samtidig ser vi en gryende bevissthet hos innbyggere som ønsker kunnskap om og kontroll over opplysninger som angår en selv.

Den teknologiske utviklingen går fort, og i Norge skjer stadig mer offentlig kommunikasjon digitalt. Via EU og EØS-samarbeidet kommer også nye direktiver som vi i Norge må forholde oss til. Et digitalisert samfunn krever digital kompetanse for å fungere optimalt og som forventet. Dette gjelder både i privat og i jobbsammenheng.

Trenden med utstrakt bruk av personopplysninger for å skape gode tjenester og brukeropplevelser blir bare mer aktuelt i tiden fremover. Opplysningene kan gi stor verdi, og i mange tilfeller er opplysningene nødvendige for at innbyggerne skal få tilgang til de tjenester de har krav på. Hvordan kan vi best mulig legge til rette for at personopplysninger brukes på en ansvarlig måte uten å utfordre etablert tillit, og den enkeltes kontroll over eget liv?

Når man utvikler løsninger som behandler personopplysninger, fokuseres det gjerne i stor grad på at disse skal beskyttes og ikke deles med uvedkommende. Konfidensialitetshensynet må imidlertid balanseres med å sikre at opplysningene er tilgjengelige når de skal være det. Mine personopplysninger må være tilgjengelige for meg som innbygger, og for virksomheter som enten har lovhjemlet tilgang eller et informert samtykke fra meg til å bruke dem, til det beste for meg og for samfunnet.

Sammenhengende tjenester og tillit

Det er stor grad av kompleksitet som ligger bak sammenhengende tjenester og rettighetene som ivaretar innbyggeren i deres livssituasjon. Kompleksiteten driver frem behovet for «innebygd» tillit i form av åpenhet, god informasjon og veiledning som setter innbyggeren i stand til å forstå sin relasjon til offentlige og private virksomheter. God og forsvarlig behandling av personopplysninger er en forutsetning for at denne utviklingen kan skje i tråd med demokratiske prinsipper.

I denne mulighetsstudien har vi forsøkt å forstå og se sammenhenger mellom regelverk og innbyggers og virksomheters behov. Vi har identifisert tre innsatsområder som kan bidra til bedre opplevelser for innbyggere, økt kompetanse og bevissthet om personvern, og bedre etterlevelse av regelverk.

På oppdrag fra Kommunal- og distriktsdepartementet (KDD)

Digitaliseringsdirektoratet fikk i supplerende tildelingsbrev 2021 følgende oppdrag fra Kommunal- og distriktsdepartementet.

Slik har vi tolket oppdraget

Arbeidet med denne rapporten har blitt utført av en tverrfaglig arbeidsgruppe. I tillegg ble en bredt sammensatt referansegruppe etablert, og arbeidsgruppen har også hatt samtaler og intervjuer med ulike domeneeksperter og fagmiljøer.

Arbeidsgruppen har jobbet med ulike arbeidshypoteser som har strukturert arbeidet. Mulige innsatsområder og tiltak har løpende blitt videreutviklet og forankret i dialog med omgivelsene og oppdragsgiver.

Sprik i forståelsen av behov og rettigheter

I kartleggingsarbeidet har vi snakket med ulike virksomheter og innbyggerrepresentanter fra offentlig, privat og frivillig sektor. Opplevelse av problemfeltet synes å være ganske lik på tvers av sektorer. Samtidig ser vi enkelte områder med mer spredning i forståelsen av problem og mulige løsninger:

• Noen virksomheter hevder at innsyn uten kontekst gir liten eller ingen verdi for innbygger. Andre mener at innsyn i seg selv vil bli viktigere og viktigere. Altså: bør innsyn løses med åpenhet i de samhandlingene innbygger har (eksempelvis sammenhengende tjenester), eller bør innsyn realiseres i form av mer dedikerte løsninger?

• Flere nevnte at det vil gi liten mening å få digitalt innsyn dersom du ikke får anledning til å bruke det du får innsyn i til noe, på samme sted.

• Det er usikkerhet og uenighet knyttet til behovet for innsyn og omfanget av innsynsretten. Virksomhetene vi har snakket med, har et relativt beskjedent volum av innsynskrav etter personvernforordningen. De som mottas, sees veldig ofte i sammenheng med avvik, eller uventede utfall av forvaltningsvedtak. Usikkerheten rundt hvordan behovet for åpenhet og terskelen for å søke innsyn vil utvikle seg fremover, ansees som reell.

På grunn av usikkerhetene er rotårsaker relevant, da de kan betraktes som utløsende faktorer for å søke innsyn i egne opplysninger. Her blir også de andre rettighetene i regelverket vesentlige. God generell informasjon kan i mange tilfeller gjøre behovet for innsyn overflødig. Det vil også være rimeligere å adressere behov for informasjon i personopplysninger på et tidligst mulig stadium. Ulike former for innsyn etter ulike regelverk bør sees i sammenheng for å sikre god samhandling og tillit mellom innbygger og virksomheter. Dette gjelder både i privat og offentlig sektor.

I fremtiden kan vi se for oss en virkelighet hvor personopplysninger er tilgjengelige, og brukes ansvarlig der det gir verdi. Sammenhengende tjenester understøttes av sammenhengende personvern, med oversikt og kontroll over hvilke personopplysninger som brukes av hvem og til hva. Vi ser for oss at det vokser frem nye markeder som gir verdi for innbygger, leverandør og samfunn.

Avgrensinger av oppdraget

Oppdraget fokuserer på innsyn etter personopplysningsloven og personvernforordningen. Innsyn som reguleres av særlovgivning, vil derfor ikke bli nærmere omtalt i rapporten.

Oppdraget ba Digitaliseringsdirektoratet gjennomføre en mulighetsstudie for å "kartlegge tekniske og juridiske muligheter for å etablere en digital løsning" som legger til rette for innsyn og kontroll. I samtaler med interessenter ble det imidlertid tidlig klart at mulighetsstudien måtte være åpen for ulike innfallsvinkler til problemet, og at man ikke låste seg til en forutsetning om en felles innsynsløsning. Tiltakene ville dessuten kunne ligge på ulike nivåer slik som informasjonsforvaltning, retningslinjer og standarder.

Et argument som støttet behovet for å vurdere flere mulige innsatsområder og tiltak, var at mange personopplysninger i én felles løsning ville gi juridiske utfordringer blant annet knyttet til behandlingsansvar, sikkerhet, med mere, og ville kunne gi opphav til nye personvernmessige risikoer. Innsiktsarbeidet pekte også på at én felles løsning ville innebære omfattende teknisk og organisatorisk kompleksitet, og at det kunne være vanskelig å forsvare en slik investering ut ifra et kost/nytte-perspektiv. Både oppdragsgiver og arbeidsgruppa erkjente derfor tidlig at problemkomplekset uansett må brytes opp i mindre biter, for å kunne gi verdi til innbyggerne på et tidligere tidspunkt. Vi har derfor valgt å fokusere på tiltak som er aktuelle og mulige å iverksette i dagens situasjon. De foreslåtte tiltakene tar tak i grunnleggende utfordringer for innbyggerne og virksomheten, som vi mener reflekterer dagens modenhetsnivå på feltet.

Et annet argument som ble presentert, er at virksomhetene selv kjenner sine opplysninger best, og at det derfor er best at virksomhetene presenterer disse for innbyggerne på en korrekt og forståelig måte.

Utgangspunktet var derfor å kartlegge problemet og behovene, for så å identifisere relevante løsninger. Denne tilnærmingen ble avklart med oppdragsgiver på et tidlig stadium.

Oppdragstekstens fokus på viderebruk av personopplysninger, ble også tonet ned etter innledende samtaler med blant annet Datatilsynet og etter ønske fra oppdragsgiver. Dette ble ansett som både fornuftig med tanke på hva som er realistisk mulig, og for at ikke omfanget ikke skulle bli for stort. Det pågår i tillegg flere andre initiativ knyttet til datadeling der temaet viderebruk behandles eksplisitt.

Arbeidsgruppa kom videre til en erkjennelse av at det ville bli krevende å gjennomføre en fullstendig samfunnsøkonomisk analyse av tiltakene på et så tidlig tidspunkt, og at usikkerheten knyttet til effektene ville være høy. Oppdraget som ble gitt, er en mulighetsstudie, og det var ikke målsetningen at det skal utarbeides en ferdig løsning innenfor de rammene som er gitt. Vi har derfor valgt å fokusere på å identifisere og til dels kategorisere virkninger, i samråd med oppdragsgiver. For de større tiltakene vil det være aktuelt å gjennomføre en samfunnsøkonomisk analyse på et senere tidspunkt dersom de videreføres, når løsningene er blitt nærmere konkretisert.

En siste viktig føring er at innbyggers behov og innbyggerrettede tiltak har fått høyest prioritet, og målet er at innbyggerperspektivet skal ha en sentral plass i den digitale utviklingen. I praksis er det likevel slik at det er vanskelig å oppfylle innbyggernes behov uten å i noen grad adressere virksomhetenes relaterte utfordringer. Noen av tiltakene er derfor rettet mot å understøtte virksomhetens evne til å kunne tilby gode løsninger for innbyggerne.