8 Kontroll og rapportering – Artikkel 8

8.1 Direktivets bestemmelser

Direktivets artikkel 8(1) stiller krav om at et myndighetsorgan skal gjennomføre periodiske målinger av i hvilken grad nettsteder og mobilapplikasjoner er utformet i samsvar med direktivets krav.

Etter artikkel 8(2) skal EU-kommisjonen vedta gjennomføringsrettsakter som "fastsetter en metode for å kontrollere at nettsteder og mobilapplikasjoner oppfyller tilgjengelighetskravene fastsatt i artikkel 4." Tilsynsmetoden skal være åpen, overførbar, sammenlignbar, reproduserbar og enkel å bruke. EU-kommisjonen vedtok en slik gjennomføringsrettsakt, i form av en gjennomføringsbeslutning, den 11. oktober 2018, se kapittel 8.1.1.

Artikkel 8(3) bokstavene (a)-(f) gir en rekke momenter som tilsynsmetoden skal inneholde og være basert på. Metoden skal inkludere:

1. kontrollhyppigheten og utvalget av nettsteder og mobilapplikasjoner som skal kontrolleres.
2. for nettsteder skal metoden si noe om utvelging av nettsider og innholdet på disse.
3. for mobilapplikasjoner skal metoden si noe om innholdet som skal testes, og det skal tas i betraktning når applikasjonen først ble lansert, og etterfølgende funksjonalitetsoppdateringer.
4. en beskrivelse av hva som utgjør tilstrekkelig dokumentasjon av overholdelse eller manglende overholdelse av kravene i artikkel 4, fortrinnsvis med direkte henvisninger til harmoniserte standarder, tekniske standarder eller til den europeiske standarden, jf. artikkel 6(2) og (3).
5. informasjon om hva som skal gjøres dersom det oppdages manglende etterlevelse av kravene. Det skal etableres en ordning for framlegging av data og informasjon som kan brukes til å utbedre manglene.
6. hva som er hensiktsmessige ordninger for automatiske, manuelle og anvendelighetstester, i kombinasjon med parametere for utvelging av hva som skal kontrolleres. Dette skal være forenelig med kontroll- og rapporteringshyppigheten.

I tillegg kan metoden ta hensyn til analyser utført av eksperter, jf. artikkel 8(3).45

Det følger av direktivet at medlemslandene skal rapportere til EU-kommisjonen hvert tredje år, fra og med 23. desember 2021, jf. artikkel 8(4). Rapporten skal inneholde resultatet fra målingene, inkludert måledata og opplysninger om bruk av håndhevelsesprosedyren. Innholdet i rapportene skal offentliggjøres i et universelt utformet format. Videre skal rapporten utarbeides i samsvar med rapporteringskravene fastsatt av EU-kommisjonen i gjennomføringsrettsakt, se artikkel 8(6).

Etter artikkel 8(5) skal den første rapporten også inneholde ytterligere opplysninger, i forbindelse med tiltakene vedtatt i henhold til artikkel 7:46

1. Hvilke mekanismer myndighetene bruker for å høre relevante interessenter.
2. Prosedyrer for offentliggjøring av utvikling innenfor tilgjengelighetspolitikk for nettsteder og mobilapplikasjoner.
3. Erfaring fra og resultater av å gjennomføre krav om å følge tilgjengelighetskravene i artikkel 4.
4. Opplysninger om utdannelses- og opplysningsaktiviteter.

Dersom det gjøres større endringer senere, skal dette omtales særskilt i rapporteringen. Rapporten skal offentliggjøres i et universelt utformet format.

Etter artikkel 8(7) skal medlemsstatene underrette EU-kommisjonen om hvilket organ som skal være tilsynsmyndighet, innen 23. september 2018. I Norge vil dette være Difi.

8.1.1 Nærmere om innholdet i gjennomføringsbeslutningen

I tråd med artikkel 8(2) i direktivet, har EU-kommisjonen 11. oktober 2018 vedtatt en gjennomføringsbeslutning om kontroll og rapportering.47 Gjennomføringsbeslutningens virkeområde følger av direktivets virkeområde, og det er kun nettsteder og mobilapplikasjoner som er omfattet av direktivets virkeområde som skal være gjenstand for kontroll og rapportering.

Gjennomføringsbeslutningen inneholder svært detaljerte regler om hyppighet, antall og utvalg av nettsteder og mobilapplikasjoner som skal kontrolleres, utvalg av enkeltsider og prosesser som skal testes, datainnhenting, tilsynsresultater, sammenstilling og vurdering av resultater og rapportering.

For eksempel skal 10 % av nettstedene og mobilapplikasjonene fra den forrige perioden for kontroll være med videre i neste periode, og minst 50% skal være nye. I tillegg skal 10 % være tilfeldig utvalgte sider. Tilsynsmyndigheten skal rådføre seg med nasjonale berørte parter, særlig organisasjoner som representerer personer med nedsatt funksjonsevne, om sammensetningen av utvalget av nettsteder og mobilapplikasjoner som skal testes. Det skal videre gjøres et representativt utvalg på tvers av forvaltningsnivåer og geografisk plassering.

På denne måten inneholder gjennomføringsbeslutningen anvisninger på potensielt arbeidskrevende prosesser knyttet til utvalg av nettsteder og mobilapplikasjoner.

I gjennomføringsbeslutningens vedlegg 1 punkt 2.2.3 står det at:

"Prøven skal omfatte nettsteder som i størst mulig grad representerer det utvalget av tjenester som leveres av offentlige organer, særlig: sosialomsorg, helse, transport, utdanning, sysselsetting og beskatning, miljøvern, fritid og kultur, bolig og nærmiljø samt offentlig orden og sikkerhet."

Det er åpnet for å benytte en risikobasert fremgangsmåte for dem som ønsker det, jf. gjennomføringsbeslutningens fortale avsnitt 5. Dette kommer imidlertid i tillegg til beskrevet metode, og ikke som en alternativ metode.

Etter gjennomføringsrettsakten er det to typer av kontrollmetode jf. artikkel 5. Enten ved bruk av en inngående kontroll for å verifisere samsvar med kravene til universell utforming, se bokstav (a), eller en forenklet kontrollmetode for å påvise manglende samsvar. De to kontrollmetodene skal gjøres i henhold til vedleggene som det er vist til i bestemmelsen.

I den grad tilsynsmyndigheten (Difi) oppdager uoverensstemmelser mellom direktivets krav til universell utforming og en nettløsning som kontrolleres, skal tilsynet sørge for at virksomheten får informasjon om hvilke endringer som må gjøres for at nettstedet eller mobilapplikasjonen skal bli i overensstemmelse med regelverket. I tillegg skal Difi hjelpe dem med å etterleve kravene. Som myndighetsorgan skal Difi både kontrollere og veilede virksomhetene.

EU-kommisjonen mener det er sannsynlig at teknologi for automatisk kontroll av nettsteder og mobilapplikasjoner gradvis vil bedre i tiden fremover. Særlig kan det fremover være aktuelt med helautomatisk forenklet kontroll. EU-kommisjonens føringer skal derfor forstås som teknologinøytrale.

Gjennomføringsbeslutningen inneholder konkrete krav til kontrollhyppighet, dvs. hvilke perioder det skal gjennomføres kontroll. Den første kontrollperioden for nettsteder er på ca. 2 år, ref. artikkel 3(2), men kontrollperioden for mobilapplikasjoner er på 1,5 år, ref. artikkel 3(3).

Deretter skal kontrollen utføres årlig for både nettsteder og mobilapplikasjoner, ref. artikkel 3(4) og (5).

Etter gjennomføringsbeslutningens fortale avsnitt 11, oppfordres det til å offentliggjøre hvordan kontrollen gjennomføres, samt offentliggjøre en kartlegging som viser hvordan testene som utføres omfatter kravene i standarden eller i tekniske spesifikasjoner (jf. direktivets artikkel 6).

Rapporter fra gjennomført kontroll skal være i et digitalt, universelt utformet format, i samsvar med direktivets artikkel 4. De samlede resultatene fra rapportene skal offentliggjøres. De skal inneholde informasjon om hvordan kontrollen ble gjennomført, hvilke metoder som ble brukt og hvilke funn som ble gjort. Gjennomføringsbeslutningens vedlegg 3 inneholder detaljerte regler for innhold og oppsett.

Beslutningen er på høringstidspunktet ikke innlemmet i EØS-avtalen, men vil bli innlemmet på et senere tidspunkt. EFTA-landene har foreløpig ikke vurdert om det er behov for nasjonale tilpasninger til gjennomføringsbeslutningen.

8.2 Gjeldende rett

Likestillings- og diskrimineringsloven § 36 har bestemmelser om tilsyn og håndheving av reglene om universell utforming av IKT. Det fremgår av bestemmelsen at tilsynsmyndigheten er lagt til Direktoratet for forvaltning og ikt (Difi).

Difi skal føre tilsyn med at kravene til universell utforming av IKT etter § 18 og forskriftens § 4 overholdes innen nærmere fastsatte frister etter lovens § 41, jf.§ 36 første ledd.

Gjeldende nasjonal regulering er basert på at tilsynet i Difi kontrollerer om minstekravene til universell utforming etterleves i praksis.48I tillegg til kontroller gjennomfører tilsynet i Difi jevnlig ulike kartlegginger av status for universell utforming av IKT.49

Utvalget av virksomheter, nettløsninger, tema, krav, enkeltsider og innholdet som testes på disse, baserer seg på kunnskap om fare for svikt i etterlevelsen av kravene, sentrale brukeroppgaver på nettstedet eller mobilapplikasjonen, samt IKT-løsningens betydning for den enkeltes rett til likeverdig samfunnsdeltakelse (risikobasert tilsyn).

Etter § 36 annet ledd kan Difi gi pålegg om retting dersom en virksomhet ikke oppfyller kravene til universell utforming av IKT. Nærmere regler om pålegg er gitt i forskriftens § 6. Difi kan pålegge virksomheten å iverksette nødvendige tiltak for å sikre at forskriftens krav oppfylles. Difi kan sette en tidsfrist for oppfyllelse av pålegget, se § 6 første ledd annet punktum. Det bør normalt settes en frist for å etterkomme pålegget, se merknadene til § 36 i Prop. 81 L (2016-2017). Reglene i diskrimineringsombudslovens § 13 første til tredje ledd gjelder tilsvarende, se likestillings- og diskrimineringsloven § 36 annet ledd.

På nærmere vilkår kan Difi fatte vedtak om tvangsmulkt for å sikre oppfyllelsen av pålegget, dersom fristen for å etterkomme pålegget er overskredet, se loven § 18 og forskriftens § 7. Tvangsmulkt skal kun fastsettes når det er nødvendig for at pålegget skal bli oppfylt innen rimelig tid og være av en slik størrelse at det stimuleres til oppfyllelse av pålegget, se § 7 fjerde ledd.

Virksomheter som er forpliktet til å sørge for universell utforming av IKT, skal kunne dokumentere at lovens og forskriftens krav er overholdt, jf. forskriftens § 5 annet ledd. For å gjennomføre tilsynsoppgavene kan Difi kreve nødvendige opplysninger fra de aktuelle virksomhetene. Difi kan også kreve adgang til IKT-løsninger som er nevnt i § 18. Retten gjelder uten hinder av taushetsplikten, se forskriften § 5. Det samme gjelder klageinstansen ved klage over vedtak etter § 18 andre ledd.

Gjeldende rett inneholder rammebestemmelser for gjennomføring av kontroller. Det stilles imidlertid ikke krav til fremgangsmåten eller kontrollmetode for slike kontroller. Gjeldende rett inneholder dermed ikke tilsvarende regler for kontroll og rapportering som direktivet og gjennomføringsbeslutningen.

8.3 Departementets vurdering

Likestillings- og diskrimineringslovens regler om håndheving av reglene om universell utforming av IKT, se § 36, samt forskriftens bestemmelser om tilsyn, se §§ 5-7, dekker hovedsakelig direktivets krav til kontroll.

Departementet foreslår imidlertid at det lovfestes en redegjørelsesplikt for offentlige virksomheter, samt private virksomheter som jevnlig sysselsetter mer enn 50 ansatte, se kapittel 7 og forslag til endringer i § 6 i forskrift om universell utforming av IKT-løsninger. Innføringen av plikten innebærer at det må foretas tilsvarende lovtekniske justeringer i bestemmelsene om håndheving av pliktene, se forslag til ny § 36.

Departementet legger til grunn at Difi fremdeles skal føre tilsyn med at kravene om universell utforming av IKT overholdes, herunder at virksomhetene har en tilgjengelighetserklæring og et tilbakemeldingssystem i samsvar med direktivets krav.

Departementet foreslår ingen endringer når det gjelder Difis myndighet til å gi pålegg om retting, eller myndighet til å fatte vedtak om tvangsmulkt for å sikre gjennomføring av pålegget. Departementet foreslår videre at det fortsatt skal være adgang til å klage over vedtak fattet av Difi, til KMD, se forskriften § 8.

Kravene til kontroll og rapportering, gjelder kun for direktivets virkeområde dvs. de kravene i de standarder og tekniske spesifikasjoner som er nevnt i artikkel 6. Dersom medlemslandene har innført krav som går lenger enn minimumskravene i direktivet følger det av gjennomføringsrettsakten det kan rapporteres på dette, men det skal i så fall føres opp separat i rapporten, jf. artikkel 8(2) annet punktum. Norge er dermed ikke forpliktet til å rapportere på etterlevelsen av nasjonalt regelverk, som går lenger enn det direktivet krever. Det betyr at det eksempelvis ikke er et krav om å rapportere måledata for kontroll av nettsteder og mobilapplikasjoner fra privat sektor eller opplærings- og utdanningssektoren.

Som redegjort for over stiller direktivet krav til antall kontroller og omfattende, detaljerte metoder for kontrollene. Metoden for kontroll som EU-kommisjonen har bestemt, avviker i betydelig grad fra den fremgangsmåten som er etablert av Difi for kontroll av nettløsninger etter gjeldende rett (tilsyn). EU-kommisjonens metode bygger i liten grad på en risikotilnærming knyttet til fare for svikt.

Det er foreløpig ikke tatt stilling til om Difi skal gjennomføre kontroll av nettsteder og mobilapplikasjoner fra privat sektor på tilsvarende måte, eller om tilsynet skal fortsette med risikobasert tilsyn for privat sektor. Etter departementets syn er det imidlertid nødvendig at reglene om kontroll lovfestes, og med hjemmel til å fastsette nærmere regler om kontroll i forskrift. Det vises til omtale av forslaget til ny § 36a i likestillings- og diskrimineringsloven.

Etter direktivet skal medlemslandene rapportere til EU-kommisjonen. For EFTA/EØS-landene er det foreløpig ikke avklart hvor rapporteringen skal gjøres, men mest sannsynlig skal det rapporteres til EFTAs overvåkningsorgan (ESA) eller EFTAs faste komité. Dette vil bli vurdert i forbindelse med innlemmelse av gjennomføringsbeslutningen i EØS-avtalen, i samråd med øvrige EFTA-land.

I høringsnotatet har departementet derfor skrevet at rapportering vil skje til ESA/EU-kommisjonen ettersom dette foreløpig ikke er avklart. Dette vil bli korrigert så snart spørsmålet er avklart. Departementet foreslår at nærmere regler om rapportering kan fastsettes i forskrift, jf. forslaget til ny § 36a tredje ledd.

Departementet foreslår en ny bestemmelse om kontroll og rapportering i likestillings- og diskrimineringsloven § 36a:

§ 36a. Tilsynsorganets plikt til kontroll og rapportering

Direktoratet for forvaltning og ikt (Difi) skal jevnlig måle om offentlige organers nettløsninger overholder kravene til universell utforming.

Nærmere regler om kontroll og rapportering til ESA/EU-Kommisjonen kan fastsettes i forskrift.

Departementet foreslår en ny § 13 om kontroll og rapportering i forskrift om universell utforming av IKT:

§ 13. Tilsynsorganets plikt til kontroll og rapportering50

Direktoratet for forvaltning og ikt skal årlig kontrollere om offentlige organers nettløsninger overholder kravene til universell utforming etter forskriftens § 4.

Kontrollene skal utføres i samsvar med metodikken fastsatt i gjennomføringsrettsakt av EU-kommisjonen.

Metodikken omfatter:

1. perioden for målingen og utvalget av nettsteder og mobilapplikasjoner som inngår i målingen,
2. på nettstedsnivå; utvalget av enkeltsider og innholdet på disse sidene,
3. på mobilapplikasjonsnivå; innholdet som skal testes, herunder versjon, tidspunkt for lansering og oppdateringer,
4. en beskrivelse av brudd og samsvar med kravene til universell utforming med henvisning til relevante deler av gjeldende standard,
5. dersom det avdekkes brudd med kravene skal offentlige organer få data og informasjon om etterlevelsen av kravene, i et format som setter de i stand til å rette opp bruddene,
6. hensiktsmessige ordninger, herunder om nødvendig veiledning og eksempler om automatisk testing, manuell testing og brukertesing, som lar seg gjøre innenfor perioden for måling og rapportering.

Det skal rapporteres til ESA/EU-kommisjonen hvert tredje år. Første rapport skal fremlegges senest 23. desember 2021.