11. Krav i reglerne om databeskyttelse
Databeskyttelsesloven (lovbekendtgørelse nr. 289 af 8. marts 2024) og databeskyttelsesforordningen (Europa-Parlamentets og Rådets forordning nr. 679 af 27. april 2016) indeholder en række bestemmelser, som det er vigtigt at være opmærksom på, når man indfører digital sagsbehandling.
Databeskyttelseslovens kapitel 3 og databeskyttelsesforordningens kapitel II indeholder regler om, hvornår behandling af personoplysninger må finde sted. Det beror på en konkret vurdering i det enkelte tilfælde, om betingelserne for at kunne behandle, herunder indsamle, opbevare og videregive, personoplysninger er opfyldt. En offentlig it-løsning må derfor i relevant omfang tage højde for behovet for sådanne vurderinger.
Et it-system skal desuden kunne honorere de krav, der følger af databeskyttelsesforordningens kapitel III om den registreredes rettigheder, databeskyttelseslovens kapitel 6 om begrænsninger i registreredes rettigheder og Datatilsynets vejledning om de registreredes rettigheder. Den dataansvarlige har f.eks. efter forordningens artikel 13-14 pligt til at oplyse den registrerede om bl.a. den dataansvarliges identitet, formålene med den behandling, som oplysningerne skal bruges til, og retsgrundlaget for behandlingen. Efter forordningens artikel 15 har den registrerede bl.a. ret til indsigt i de oplysninger, der behandles om den pågældende.
Derudover har den registrerede efter databeskyttelsesforordningens artikel 16 ret til at få urigtige personoplysninger om sig selv berigtiget. Efter forordningens artikel 17 har den registrerede som udgangspunkt ret til at få slettet sine personoplysninger, hvis én af flere mulige betingelser, der opregnes i forordningen, er opfyldt. Det bemærkes i den forbindelse, at det følger af databeskyttelseslovens § 14, at oplysninger omfattet af databeskyttelsesloven kan overføres til opbevaring i arkiv efter reglerne i arkivlovgivningen, og at sletning derefter skal ske inden for arkivlovens regler.
Databeskyttelsesforordningens artikel 25 fastsætter principper om databeskyttelse gennem design og databeskyttelse gennem standardindstillinger. Bestemmelsen indebærer, at den dataansvarlige skal træffe passende tekniske og organisatoriske foranstaltninger, som er designet og præindstillet med henblik på at opfylde kravene i forordningen og beskytte de registreredes rettigheder. Det er f.eks. tilfældet i forbindelse med etableringen af et nyt it-system.
I artikel 32 i databeskyttelsesforordningen er der regler om behandlingssikkerhed i forbindelse med behandling af personoplysninger. Bestemmelsen indebærer, at den dataansvarlige og databehandleren er forpligtet til at vurdere de risici, som en behandling indebærer, og gennemføre passende tekniske og organisatoriske foranstaltninger for at sikre et sikkerhedsniveau, der passer til disse risici.
Der henvises i øvrigt til Datatilsynet.
12. Typiske fejl
Eksempler på typiske fejl i relation til partsrettigheder i forbindelse med udviklingen af offentlige it-systemer:
- Myndigheder er ikke opmærksomme på, at en hel eller delvis automatisering af sagsbehandlingen på et område som udgangspunkt forudsætter, at afgørelserne eller de automatiserede dele af afgørelserne kan træffes efter rent objektive kriterier, og at myndighederne på forhånd kan afgrænse, hvilket faktum der vil være relevant i fremtidige sager.
- Myndigheder overser behovet for tydelig og relevant vejledning, f.eks. i tilfælde, hvor behovet er opstået, netop fordi et konkret sagsområde er blevet digitaliseret (eksempelvis en pligt til at vejlede om anvendelsen af et digitalt selvbetjeningssystem).
- Myndigheder forsømmer at sikre muligheden for partsrepræsentation i forbindelse med udviklingen af nye it-systemer, dvs. det skal være muligt for andre at bruge systemet på vegne af f.eks. en ansøger.
- Myndigheder er ikke opmærksomme på retten til partshøring, hvor en it-løsning indebærer, at der som led i behandlingen af en afgørelsessag automatisk indhentes oplysninger fra registre og tidligere sager.
13. Konsekvenser af manglende overholdelse af partsrettighederne
Konsekvensen af, at en offentlig it-løsning ikke overholder de forvaltningsretlige partsrettigheder, er først og fremmest, at borgerne mister en væsentlig retssikkerhedsgaranti.
Det betyder også, at myndighedens afgørelse kan blive forkert.
Et brud på de forvaltningsretlige regler og principper vil desuden ofte føre til klagesager og vil i sidste ende kunne betyde, at den afgørelse, som myndigheden har truffet, bliver tilsidesat som ugyldig. Myndigheden vil så skulle behandle sagen igen og træffe en ny afgørelse, ligesom der vil kunne blive tale om at efterbetale eller tilbagebetale løbende ydelser. Har parten lidt et økonomisk tab, vil der desuden kunne være grundlag for et erstatningskrav.
Dertil kommer en uhensigtsmæssig offentlig ressourceanvendelse, da det kan være både dyrt og vanskeligt efterfølgende at rette op på et it-system, som ikke lever op til grundlæggende forvaltningsretlige partsrettigheder.
Glemmer man at tage højde for en retsregel i et it-system, vil det desuden kunne resultere i en række af fejl, fordi fejlen løbende og konsekvent bliver gentaget i systemet.
Artikel i FOB 2019: Hvordan digitaliserer vi uden at skade vores retssikkerhed?
Artikel i FOB 2023: Gode it-systemer kræver god forberedelse