Høringssvar fra Oslo kommune

Byrådslederen avgir på delegert fullmakt følgende høringsuttalelse til Justis- og beredskapsdepartementet forslag til endringer i forvaltningsloven m.m:

Generelt

Oslo kommune er positive til at departementet følger opp Forvaltningslovsutvalgets forslag om å utvide delingsadgangen for taushetsbelagt informasjon. Det er særlig positivt at departementet har vurdert hvilken betydning forslaget har for de registrertes personvern og rett til privatliv.

Kommunen støtter i utgangspunktet en utvidelse av adgangen til å dele taushetsbelagt informasjon og anser det som et steg i riktig retning for oppfyllelse av prinsippet om «kun en gang», men har likevel noen kommentarer til høringsforslaget slik det foreligger.

Oslo kommune stiller spørsmål om hjemmelen for deling burde plasseres et annet sted i loven. Bestemmelsen om taushetsplikt følger av § 13 og regulerer primært taushetsplikten den enkelte ansatte i forvaltningen har. Selv om unntakene fra bestemmelsen i noen tilfeller også i gjeldende bestemmelser gjelder forvaltningsorganer, bør det være et tydeligere skille mellom den ansattes taushetsplikt og hjemmelen til å dele informasjon mellom forvaltningsorganer. Det er heller ikke gitt at plasseringen av bestemmelsen oppleves som intuitiv for den ansatte, og heller ikke den registrerte, når bestemmelsen skal brukes. Oslo kommune foreslår derfor at hjemmelen for deling av informasjon flyttes til en egen bestemmelse i forvaltningsloven.

Høringsforslaget bærer preg av at man først og fremst har tenkt på taushetsbelagt informasjon som «noens personlige forhold». Dette innebærer at store deler av forslaget baserer seg på hva som vil være tillatt av informasjonsdeling basert på personvernlovgivningen, EU-retten og menneskerettigheter. Oslo kommune skulle gjerne sett at forholdet rundt informasjonsdeling av for eksempel opplysninger om foretak i større grad ble berørt og diskutert.

Det er uheldig at man ikke foretar en nærmere gjennomgang av særlovgivningen. Felles problemstillinger som de ulike regelverkene kan ha bør reguleres felles og ikke i særlov. Økt bruk av særlovgivning medfører at kommunen må forholde seg til flere mer- eller mindre likartede lov- og regelverksarbeid for å dekke opplysningsbehov de har i forbindelse med utøvelse av sine oppgaver. Dette er allerede i dag krevende og vil medføre at virksomheter fremdeles vil slite med å se hvilke mulighetsrom for deling av informasjon som foreligger. Ved ikke å foreta en nærmere gjennomgang av særlovgivningens regulering av taushetsplikten vil dette kunne legge unødig hindring for deling av informasjon og medføre at betydning av endringene departementet foreslår i forvaltningsloven ikke lar seg oppfylle. Slik Oslo kommune ser det må det foretas en gjennomgang av bestemmelsene som regulerer taushetsplikten i særlovgivningen for å kunne oppnå formålet med de foreslåtte endringene til forvaltningsloven.

Videre ønsker Oslo kommune at departementet foretar en bedre og tydeligere harmonisering med bestemmelsene i forvaltningsloven og personvernforordningens bestemmelser, se særlig merknader til informasjonsplikten.

I tillegg anser Oslo kommune det som nødvendig å redegjøre nærmere for hvordan departementet ser for seg fordelingen av ansvaret mellom forvaltningsorganene når informasjon skal deles. Dette gjelder særlig i de tilfeller forvaltningsorganer deler personopplysninger, det senere avdekkes feil med opplysningene. Det bør klargjøres hvem som er ansvarlig for å rette opp feil når det potensielt kan være flere organer involver mv. Det samme spørsmålet gjelder brudd på personopplysningssikkerheten, dvs. klargjøre hvem som for eksempel skal melde avviket og eventuelt mottak sanksjoner fra Datatilsynet, varsle den registrerte mv.

Oslo kommune peker videre på at begrepsbruken bør være konsekvent. I de foreslåtte bestemmelsene viser departementet for eksempel til «personer i andre forvaltningsorganer § 13b nr. 7, mens det i samme bestemmelse og nr. 8 viser til «forvaltningsorgan» og «mottakerorgan». Det er viktig at forvaltningsloven gjenspeiler dagens og fremtidens forvaltning ved at utlevering og behandling av informasjon ikke bare foretas av «personer i forvaltningsorganet», men også automatisk fra maskin til maskin. Både dagens og fremtidens forvaltning vil i stor grad foregå gjennom automatiserte prosesser der forvaltningsorganet fullt ut både innhenter og behandler opplysninger maskinelt. Dette innebærer at opplysningene ikke nødvendigvis kommer «personer i forvaltningsorganet» i hende. Det bør derfor vurderes en ordlyd som i større grad reflekterer at det offentliges oppgaveløsning ikke bare foregår manuelt, men i stor grad også maskinelt.

Oslo kommune mener det er bra at departementet har foreslått prosessuelle personverngarantier som bøter på personvernulempene ved at taushetsbelagt informasjon deles mellom forvaltningsorganer uten medvirkning fra eller involvering av den registrerte. Det vil kunne ha positive virkninger for personvernet, da det fremmer åpenhet og mulighet for involvering fra den registrerte, samt kan gi et bedre beslutningsgrunnlag/informasjonsunderlag ved at den registrerte selv kan sikre at opplysningene i større grad er oppdatert og riktige.

Konkrete innspill

Opplysningsplikt

I høringsnotatet benyttes begrepet «opplysningsplikt» om plikten et avgiverorgan skal ha til å utlevere opplysninger til et mottakerorgan. I tillegg benytter departementet begrepet informasjonsplikt. Disse to begrepene kan lett blandes sammen. Begrepet «opplysningsplikt» er ikke nødvendigvis et dekkende begrep og dets innhold kan være forvirrende. Oslo kommune foreslår derfor at begrepet «opplysningsplikt» bør erstattes med begrepet «utleveringsplikt».

Departementet foreslår ikke at endringene skal innebære en plikt til å dele informasjon der vilkårene for å utlevere ellers er oppfylt, og lar det være opp til avgiverorganet å vurdere hvorvidt informasjon skal utleveres. Dette kan medføre ulik tolkning av regelverket fra virksomhet til virksomhet fordi regelverket legger opp til en skjønnsmessig vurdering. I tillegg må virksomheter ta stilling til andre særlover som regulerer taushetsplikten. Dette krever god kompetanse hos virksomheten og forståelse av handlingsrommet. Oslo kommune ser det som en risiko at det vil bli enklere, og i noen tilfeller tryggere, for virksomheter å holde tilbake informasjon i stedet for å dele dem med andre virksomheter som følge av at bestemmelsen legger opp til en skjønnsmessig vurdering.

Oslo kommune mener at det bør vurderes å innføre en plikt for utlevering av informasjon der vilkårene for deling ellers er oppfylt. Dersom det er tilfeller hvor det er svært lite ønskelig, eller uheldig, at opplysninger deles med andre forvaltningsorganer bør dette reguleres som unntak fra utleveringsplikten. Unntak fra utleveringsplikten kan gjelde for eksempel barneverntjenesten eller helsetjenesten, se kommentarer nedenfor. En plikt til å dele informasjon vil kunne understøtte «kun en gang»-prinsippet, og understøtte behovet og forventningene om en mer enhetlig forvaltning med sammenhengende tjenester. I tillegg vil en plikt til å dele informasjon hindre ulik praksis for deling av informasjon mellom forvaltningsorganer og sikre innbyggerne mer brukervennlige tjenester.

Dersom departementet likevel ikke ønsker å regulere en slik utleveringsplikt, er det nødvendig at departementet gir utdypende veiledning i hvordan virksomhetene skal tolke de ulike momentene i forholdsmessighetsvurderingen. Dette for å sikre enhetlig fortolkningspraksis og lette arbeidet for den enkelte virksomhet som skal foreta en slik vurdering.

Informasjonsplikt

Departementet foreslår en særskilt informasjonsplikt ved deling av taushetsbelagte personopplysninger mellom forvaltningsorganer, dvs. en plikt til å informere om delingen til den opplysningene gjelder. Departementet understreker at informasjonsplikten bare vil gjelde for deling av taushetsbelagte personopplysninger i medhold av det foreslåtte nye grunnlaget for deling av taushetsbelagt informasjon. Det legges til grunn at innhenting av personopplysninger på grunnlag av en (annen) uttrykkelig hjemmel i forvaltningsloven som utgangspunkt ikke vil utløse en informasjonsplikt etter personvernforordningen. Departementet påpeker videre i kap 3.5.3 at informasjonsplikten ikke skal inntreffe for de tilfeller hvor delingen skjer for det samme formålet eller er forenelig med opprinnelige formålet med innsamlingen av opplysningene.

Oslo kommune stiller spørsmål om dette er i samsvar med personvernforordningens bestemmelser om den registrertes rett til informasjon etter artikkel 13 og 14, all den tid avgiverorganet og mottakerorganet anses som behandlingsansvarlig, og både utlevering og innhenting anses som behandlinger av personopplysninger. Etter kommunens vurdering vil disse rettighetene gjelde uavhengig av om det foreligger en uttrykkelig hjemmel om innhenting av personopplysninger i forvaltningsloven, eller om viderebehandling skjer for samme formål eller er forenelig med opprinnelig formål for innsamlingen.

Departementet har påpekt at gjentatte varsler fra forvaltningen om at opplysninger blir delt kan oppleves som plagsomt for den enkelte innbygger, og at det for noen kan oppleves som en rutine.

Dette kan føre til at den registrerte overser tilfeller hvor sensitive opplysninger blir delt. Oslo kommune er i utgangspunktet enig i dette synspunktet, men presiserer at dette ikke fritar virksomhetene for de pliktene som følger av personvernforordningens art. 13 og 14. Oslo kommune mener at dette tilsier at hensynet til forvaltningens åpenhet ved behandlingen, den registrertes mulighet for å kunne ivareta sine rettigheter mv. taler for at informasjonsplikten bør gjelde, selv om varslene kan oppleves som plagsomme.

Oslo kommune vil bemerke at en større del av forvaltningens oppgaver i fremtiden vil løses automatisk, og med en større grad av hel-automatisering. Dette vil gjelde alt fra et proaktivt tjenestetilbud til kommunens innbyggere til automatiserte avgjørelser og vedtaksprosesser. Mange av disse prosessene vil også foregå i sanntid. Ved en pålagt informasjonsplikt reiser det seg spørsmål om forvaltningen må legge opp til en «forsinkelse» i sine prosesser, slik at den registrerte gis tid til å respondere på opplysningene som er innhentet, eller om rettighetene til den registrerte kan ivaretas gjennom andre tiltak - eksempelvis gjennom de øvrige garantiene i personvernreglene (retten til å protestere, korrigering, retting mv), samt de alminnelige reglene om klagebehandling i forvaltningsloven. En bestemmelse om prosessuelle garantier bør derfor være mer dynamisk formulert enn forslaget fra departementet, slik at det blir opp til den behandlingsansvarlige å finne løsninger som på en god måte ivaretar den registrertes rettigheter og tilliten til forvaltningen.

Hvem er pliktig til å informere?

Departementet foreslår i kapittel 3.5.2 at ansvaret for å informere den registrerte legges til mottakerorganet. Oslo kommune stiller spørsmål om hvordan dette stiller seg til plikten avgiverorganet har til å informere den registrerte om sin behandling av personopplysninger til vedkommende etter personvernforordningen art. 13. Å utlevere personopplysninger til en annen virksomhet vil anses som en behandling av personopplysninger. Ettersom avgiverorganet er å anse som behandlingsansvarlig ved en slik behandling vil det også måtte oppfylle kravene i artikkel 13.

I tillegg vil mottakerorganet anses som behandlingsansvarlig etter utlevering av personopplysningene, og dermed omfattes av plikten etter artikkel 14 om plikten til å informere den registrerte. Oslo kommune mener derfor det ikke er tilstrekkelig at det kun er mottakerorganet som er pliktig til å informere den registrerte, og mener at ansvaret må tilligge begge organene i samsvar med artikkel 13 og 14 når det er tale om deling av personopplysninger.

Innholdet i informasjonsvarslet

Departementet viser i kap 3.5.4 til at det nærmere innholdet i den foreslåtte informasjonsplikten bør være basert på kravene etter personvernforordningens art. 14, men plikten bør begrenses til å omfatte den informasjon som trolig vil være viktig i forbindelse med deling av personopplysningene mellom forvaltningsorganene.

Oslo kommune mener det er uheldig om den enkelte virksomhet selv skal kunne velge hva som er relevant innhold i en slik informasjon og nærmest se bort fra de kravene som følger av artikkel 14 ved behandling av personopplysninger. Mottakerorganet må forholde seg til de kravene til innhold i informasjonsplikten som følger av artikkel 14. Det samme vil gjelde for avgiverorganets plikt til informasjon etter artikkel 13.

Praktisering av informasjonsplikt

Departementet foreslår at det enkelte forvaltningsorgan selv bør vurdere og avgjøre hvordan den foreslåtte informasjonsplikten skal oppfylles på best mulig måte.

Oslo kommune bemerker at dette kan oppleves krevende for den enkelte virksomhet selv å skulle vurdere hvilke sikkerhetstiltak, løsninger etc. som skulle benyttes ved utlevering av informasjon.

Kompetanse, økonomi og ikke minst ulike behov og praksis både hos avgiverorganet og mottakerorganet vil også spille inn her. For å bøte på disse utfordringene kan det være hensiktsmessig at offentlig sektor for eksempel etablerer en felleskomponent/-løsning som gir virksomhetene en enkel og lik mulighet til deling av informasjon. Dette vil også gi de registrerte mulighet til å få oversikt over all behandling, også deling av informasjon, som forekommer mellom forvaltningsorganer.

Nærmere om betydningen høringsforslaget har for Oslo kommunes arbeid mot arbeidslivskriminalitet

Oslo kommune er svært opptatt av et seriøst arbeidsliv, med rettferdig konkurranse mellom leverandører som tar samfunnsansvar på alvor, og uten arbeidslivskriminalitet og utnyttelse av sårbare arbeidere. Bekjempelse av arbeidslivskriminalitet og sosial dumping bidrar også til å øke det offentliges skatteinntekter og støtte opp under velferdsstaten slik vi kjenner den.

Oslo kommune har i de siste årene tatt flere større grep for å motvirke en utvikling med utbredt arbeidslivskriminalitet og sosial dumping, både i bygg- og anleggsmarkedet og på en delrisikoutsatte tjenesteområder (spesielt der krav til fagutdanning og språk i mindre grad er vektlagt).

Arbeidet har blant annet resultert i to hovedtiltak: Oslomodellen og HMSREG. Oslomodellen ble vedtatt i 2017 og er et sett med standard kontraktsvilkår som skal sikre seriøsitet i risikoutsatte bransjer og anstendige lønns- og arbeidsvilkår for arbeidere som utfører oppdrag for Oslo kommune. De fleste av kravene i Oslomodellen skal inntas i alle anskaffelser over kr 500 000 der det benyttes vedtatte standardkontrakter. Noen av kravene gjelder for alle tjeneste- og bygg og anleggsanskaffelser uansett verdi.

HMSREG er et elektronisk system for kontraktsoppfølging som blant annet gir oversikt over hvem som til enhver tid er til stede på kommunens byggeplasser. HMSREG er en del av Oslomodellen, og er et system som muliggjør systematisk oppfølging av leverandører i bygg- og anleggsbransjen.

Blant andre tiltak kan nevnes samarbeidsavtale med Skatt Øst som ble inngått i 2015. Avtalen har som formål å motvirke arbeidslivskriminalitet og sosial dumping i leverandørkjedene til Oslo kommune. Avtalen gir hjemmel for å innhente informasjon fra Skatt Øst om leverandører i risikoutsatte bransjer som Oslo bestiller tjenester fra, dvs. bygg- og anlegg, renhold og bilvask.

Erfaringer så langt viser at ovennevnte tiltak virker. Vi ser imidlertid en rekke utfordringer i gjeldende regelverk som skaper hindringer for arbeidet med å motvirke og bekjempe arbeidslivskriminalitet og sosial dumping i offentlige oppdrag. Dette gjelder blant offentlige aktørers adgang til å dele informasjon som kan gi den enkelte oppdragsgiver en langt bedre forutsetning for å se trusselbildet og konkret risiko, og sette den enkelte offentlige oppdragsgiver langt bedre i stand til å håndtere risiko på en hensiktsmessig og effektiv måte.

Sverige har en lovbestemmelse som sier at statlige organer kan dele informasjon for å bekjempe arbeidslivskriminalitet. Det er behov for en tilsvarende lov i Norge, men den må også inkludere adgangen til å dele informasjon med andre offentlige virksomheter utover statlige/kommunale kontrollorganer.

Departementet foreslår en forskriftshjemmel der en kan fastsette nærmere vilkår for adgang til å dele taushetsbelagt informasjon for bestemte organer. Forskriftshjemmelen vil særlig kunne komme til anvendelse for deling av informasjon i for eksempel a-krimsentrene. Bestemmelsen vil i større grad gi tilsynsorganer mulighet for å dele informasjon seg imellom.

Slik kommunen oppfatter forslaget vil det imidlertid ikke uten videre omfatte informasjonsdeling mellom Oslo kommune og statlige tilsynsorganer, da anskaffelser anses å være «forretningsdrift» og ikke utøvelse av offentlig myndighet. Oslo kommune kan ikke uten videre sies å være «tillagt» oppgaver innenfor bekjempelse av arbeidslivskriminalitet innen anskaffelser.

Som nevnt ovenfor er det to tilfeller hvor informasjonsdeling vil være mulig; enten fordi det foreligger «hjemmel» til deling for avgiverorganet; det vil være saklig behov for organet å avgi informasjon som følge av sine tillagte oppgaver. Eller; det må være et saklig behov for mottakerorganet å motta slik informasjon. Oslo kommune vil i større grad kunne avgi informasjon til et tilsynsorgan enn tilsynsorganet vil kunne avgi informasjon til Oslo kommune slik ordlyden er formulert. Av høringsforslaget fremgår det at det vil avhenge av en konkret vurdering i hvert enkelt tilfelle om formålet er det samme for henholdsvis avgiverorganet og mottakerorganet.

Bekjempelse av arbeidskriminalitet er slik vi ser det et forenlig formål i mange tilfeller. Utfordringen blir altså at Oslo kommune først og fremst ikke er tillagt slike oppgaver, men velger å gjøre det i sin forretningsdrift.

Basert på ovennevnte mener Oslo kommune at informasjonsdeling er viktig og i mange tilfeller nødvendig for å bekjempe arbeidslivskriminalitet. Selv om Oslo kommune har mulighet til å dele informasjon med tilsynsorganer om forhold som oppdages i forbindelse med sine konkurranser og kontraktsoppfølging, er mener kommunen at informasjonen Oslo kommune kan dele med tilsynsorganer vil bli mer effektiv, grundig og matnyttig for tilsynene, dersom tilsynene også kan gi informasjon til Oslo kommune. Dette vil lette arbeidet, man vil lettere kunne kontrollere relevante byggeplasser, leverandører. I tillegg vil man oppnå at uredelige leverandører ikke får fortjeneste fra offentlige oppdragsgivere.

Oslo kommune anbefaler følgelig at en slik informasjonsdeling omfattes av en eventuell forskrift som vil følge av den foreslåtte forskriftshjemmel. For å sikre at ordlyden i forskriftshjemmelen ikke blir for snever til å omfatte slik deling foreslås følgende ordlyd (endring i kursiv):

«Kongen kan gi forskrift om at taushetsplikt etter § 13 ikke skal være til hinder for at bestemte organer kan dele opplysninger for å utføre oppgaver som er lagt til avsender- eller mottakerorganet eller som er nødvendige for å ivareta det offentliges samfunnsansvar/samfunnsoppdrag, så langt delingen ikke utgjør et uforholdsmessig inngrep overfor den opplysningene gjelder, og om annen behandling av opplysninger i forbindelse med delingen.»

Kommentar til særlovgivningen - barnevernloven.

Departementet stiller spørsmål om forslaget til en utvidet adgang til informasjonsdeling mellom forvaltningsorganer som foreslått i høringsnotatet også skal gjelde for barnevernet, eller om barnevernloven fremdeles skal inneholde en særregel om informasjonsdeling, som også regulerer forholdet til den nye delingshjemmelen.

Barneverntjenesten sitter ofte på taushetsbelagt informasjon av svært sensitiv art. Etter Oslo kommunes vurdering bør barnevernloven fremdeles inneholde en særregel om informasjonsdeling, og at denne også bør regulere forholdet til den nye delingshjemmelen. Det er mest hensiktsmessig at regelen om informasjonsdeling fremgår direkte av barnevernloven, da forvaltningskompetansen varierer i sektor mens regelverket i særlovgivningen er bedre kjent.

Oslo kommune mener videre at det ikke skal kunne deles opplysninger etter denne nye bestemmelsen i forvaltningsloven for å ivareta påtalemyndighetens eller den aktuelle kontrollmyndighetens behov, og at det derfor bør være en begrensning mot dette for barnevernet. Dette skisseres også i forslaget.

Det er videre viktig at det understrekes at den nye hjemmelen gir en mulighet til å dele opplysninger, ikke en plikt. Dersom barnevernet skal dele taushetsbelagte opplysninger om et barn, må dette vurderes å være til barets beste. Videre er det viktig å anerkjenne at det er barnet selv som eier opplysningene, og at barnet blir informert om at opplysningene om han eller henne deles med andre, og hva opplysningene skal brukes til.

Kommentar til særlovgivningen - sosialtjenesteloven.

Det er av stor betydning for sosialtjenesten å verne om tillitsforholdet mellom brukere og hjelpeapparatet. Som vist til i høringsnotatet må brukere av sosialtjenesten gi til dels svært personlige opplysninger om seg selv for å kunne motta hjelp. Enkelte vil også kunne oppleve det å være bruker av sosialtjenesten som stigmatiserende og vanskelig. Oslo kommune mener det innenfor sosialtjenesteområdet er en stram balansegang mellom hensynet til å bevare god tillit fra personer som kan være i en sårbar gruppe, sammenholdt med de gevinster det kan ha for det enkelte individ at ulike forvaltningsorgan kan legge til rette for et best mulig tilbud. Kommunen mener at sistnevnte bør veie tyngst, slik at foreslått delingshjemmel også vil gjelde på sosialtjenesteområdet. For eksempel er begrensningen i å anmelde eller melde om lovbrudd til påtalemyndighet og kontrollmyndighet ikke i samme grad like påkrevet som for eksempel situasjonen er innenfor barnevernfeltet og barnevernloven.

Videre mener kommunen at en utvidet adgang til å dele taushetsbelagte opplysninger må harmoneres med NAV-loven § 7 første ledd tredje punktum og tredje ledd. Det er først og fremst mellom sosialtjenesten og det statlige NAV at det primære behovet for en generell delingsadgang ligger og hvor foreslåtte delingshjemmel vil ha størst betydning. Dersom det konkluderes med ikke å endre § 7 første ledd tredje punktum og tredje, bør dagens bestemmelse i sosialtjenesteloven § 44 tredje ledd opprettholdes, og at delingsadgangen mellom instansene (NAV Stat og den kommunale sosialtjenesten) alternativt så langt som mulig løses gjennom en egen forskrift med hjemmel i den foreslåtte forskriftsbestemmelsen i fvl. § 13 h.

Dersom den nye delingsadgangen etter forvaltningsloven § 13 b første ledd nr. 7 ikke skal gjelde for sosialtjenesten, er vi enige med departementet om at dette bør fastsettes som et nytt tredje punktum i sosialtjenesteloven § 44 første ledd.

Kommentar til særlovgivningen - helselovene

Departementet spør i høringsnotatet om høringsinstansenes syn på om de nye hjemlene for deling av taushetsbelagte opplysninger bør utformes eller forstås slik at også helsepersonell skal kunne dele opplysninger i medhold av dem. Oslo kommune mener særlovsområder i størst mulig grad bør harmoniseres med en generell regel om delingsadgang. Når det gjelder reglene om taushetsplikt innen helsetjenesten er kommunen imidlertid enig med departementets forslag om at disse reglene bør unntas fra en generell regel om delingsadgang.