6 Automatiserte avgjørelser
6.1 Innledning
Departementet foreslår endring av pasientjournalloven § 11 og folketrygdloven § 21-11a, slik at det i saksbehandling, administrasjon, oppgjør og gjennomføring av helsehjelp kan fattes avgjørelser som utelukkende er basert på automatisert behandling av personopplysninger når avgjørelsen er lite inngripende for den enkelte. Etter forslaget kan det gis forskrift om at også mer inngripende avgjørelser kan treffes automatisert. Departementet oppfatter høringsinstansene, i all hovedsak å være positive til hovedlinjene i forslaget. Høringsforslaget videreføres derfor med mindre justeringer, i tråd med innspill fra høringsinstansene.
6.2 Høringsforslaget
Automatisering av avgjørelser innebærer både økt effektivitet og bedre ressursutnyttelse, og det vil også kunne gi økt grad av rettssikkerhet og likebehandling. Samtykke vil i mange sammenhenger være et mindre egnet rettsgrunnlag for slik automatisering. Det er derfor ønskelig med lovregulering av denne typen saksbehandling.
Departementet foreslo endring av pasientjournalloven § 11 og folketrygdloven § 21-11a slik at det i saksbehandling, administrasjon, oppgjør og gjennomføring av helsehjelp kan fattes enkeltvedtak som utelukkende er basert på automatisert behandling av personopplysninger. For avgjørelser som er lite inngripende overfor den enkelte, skulle adgangen til automatisert behandling følge direkte av loven. Videre foreslo departementet en lovhjemmel for forskrifter om automatisert behandling av mer inngripende vedtak.
6.3 Høringsinstansenes syn
Det er bred enighet om at automatisering av avgjørelser gir økt effektivitet og bedre utnyttelse av ressurser, i tillegg til at det kan bidra til å gjøre tjenester enklere og mer brukervennlige. Videre støtter både Folkehelseinstituttet og Helsedirektoratet at klagesaksbehandling forblir manuell. Flere uttaler at avgrensningen i forslaget med begrepet «lite inngripende» er uklart. Datatilsynet påpeker at hva en pasient/bruker oppfatter som inngripende, kan være noe annet enn hva helseforvaltningen legger til grunn. Noen uttaler også at «enkeltvedtak» er lite spesifisert og ønsker en klarere beskrivelse av hva som inngår i dette begrepet.
Datatilsynet oppfordrer til å utvise varsomhet med å innføre generelle bestemmelser som kan hjemle inngripende tiltak overfor borgerne. Prosessen rundt innføring av forskriftsendringer er etter deres syn ikke en god nok garanti for at de registrertes grunnleggende rettigheter ivaretas.
Helse Sør-Øst RHF oppfatter det som positivt at det gis en klar lovhjemmel for bruk av automatiserte avgjørelser. Eksempelvis er det ønskelig å rydde av veien tvil ved hvorvidt automatisering av medisinskfaglige beslutninger skal tillates. Helse Sør-Øst RHF ønsker en lovhjemmel som også gir rom for realisering av nytteeffekter i pasientbehandlingen innenfor gitte krav til personvern, forsvarlighet og pasientsikkerhet. Forslaget i høringsutkastet er ikke konsekvent i omtalen av hvilke avgjørelser som lovforslaget er ment å omfatte. Høringsnotatets begrunnelse og utkastet til forskriftshjemmel omtaler automatiserte vedtak. I første ledd foreslås imidlertid at «avgjørelser» skal kunne fattes helautomatisert. Helse Sør-Øst RHF mener formuleringen i første ledd er god. Hjemmelen bør dekke alle typer avgjørelser som omfattes av personvernforordningen artikkel 22 nr. 1. Det vil si at den bør dekke alle avgjørelser som «har rettsvirkning for eller på tilsvarende måte i betydelig grad påvirker vedkommende». «Artikkel 29-gruppen» legger til grunn en bred forståelse av avgjørelsesbegrepet, blant annet inkluderes helautomatiserte beslutninger som vesentlig påvirker personens tilgang til helsehjelp eller utdanning.
Advokatforeningen mener at forslaget som er fremsatt ikke ivaretar kravene til klarhet i særlig grad. En nasjonal hjemmel for å utelukkende basere avgjørelser og vedtak på automatisert behandling av særlige kategorier opplysninger, bør angi klare krav om særlige tiltak for å beskytte de registrerte. Hjemmelen fremstår som uforholdsmessig vid uten nærmere spesifisering av at det må sikres tiltak for ivaretakelse av de registrertes rettigheter og friheter.
Pasientreiser HF påpeker at pasientreiseområdet berøres direkte av forslaget. Området kjennetegnes av mange krav som hver for seg gjelder små summer, og de fleste kravene omfatter enkle elementer. Området egner seg godt for automatisering av saksbehandlingen. Pasientreiser HF arbeider med automatisering av saksbehandlingsprosessen, for krav på refusjon av utgifter pasienter har hatt til pasientreiser. Deres erfaring tilsier at automatisering i stor grad bidrar til raskere saksbehandling og riktigere vedtak for pasientene, samtidig som ressursbruken på behandlingen reduseres betraktelig. Automatisering har på pasientreiseområdet gitt en bedre tjeneste for både pasienter og virksomheter.
Pensjonistforbundet er skeptisk til forslaget. For det første peker de på at det er lite konkretisert hva det betyr at en avgjørelse er «lite inngripende». For det andre oppfatter de det slik at dersom pasienten/brukeren er uenig i vedtaket, må hen klage på vedtaket på vanlig måte. Det er unødvendig byråkratisk. Pensjonistforbundet mener det bør være slik at pasienten/brukeren kan kreve å få en faktisk person til å vurdere vedtaket på nytt, uten å sette i gang full klagebehandling.
6.4 Departementets vurderinger og forslag
6.4.1 Generelt
Automatisering av avgjørelser kan gi store effektivitetsgevinster og bidra til økt likebehandling, særlig når saksmengden er stor og det er ønskelig med raske avgjørelser. Det kan også bidra til å gjøre tjenestene enklere og mer brukervennlige, slik som ordningen med automatisk frikort.
Automatisering av avgjørelser innebærer at det ikke er en saksbehandler som vurderer hvilken informasjon som skal innhentes eller fatter beslutninger i den konkrete saken. Ved slike prosesser vil systemet være kodet slik at det innhenter opplysninger fra underlagsmaterialet, enten i søknaden eller ved å søke i lagringssystemer som saksbehandlingsprogrammet har tilgang til.
Automatisering kan bidra til økt likebehandling, fordi alle som etter systemets kriterier er i samme situasjon, automatisk behandles likt. Automatisering gir konsistent gjennomføring av regelverket og kan forhindre ulik praksis. Automatisert saksbehandling kan videre sikre at prosessuelle krav til saksbehandlingen blir fulgt og kan gi økt oppfyllelse av rettigheter og plikter.
Samtidig vil automatisering kunne berøre grunnleggende rettigheter og friheter, som retten til et privatliv og personvern. Bruk av automatiserte avgjørelser utgjør en form for inngrep som krever særlig varsomhet for å unngå urettmessig bruk av personopplysninger. Det kan være at brukerne ikke er innforstått med hvordan prosessen gjennomføres eller hvordan det kan påvirke dem, eller at de ikke forventer at opplysningene om dem vil bli benyttet på denne måten. I likhet med manuelle rutiner, vil det alltid kunne skje feil. Departementet er opptatt av at regelverket, informasjon, rutiner og de tekniske tiltakene begrenser ulempene.
Automatiserte avgjørelser kan etter personvernforordningen ikke bygge på helseopplysninger med mindre behandlingen er nødvendig av hensyn til «viktige allmenne interesser» etter artikkel 9 nr. 2 bokstav g, jf. artikkel 22 nr. 4. Departementet legger til grunn at effektiv saksbehandling i helse- og omsorgstjenesten omfattes av «viktige allmenne interesser». Departementet foreslår på bakgrunn av dette at automatiserte avgjørelser også kan omfatte særlige kategorier av personopplysninger som nevnt i personvernforordningen artikkel 9, for eksempel helseopplysninger.
Bruk av helautomatiserte avgjørelser i helse- og omsorgstjenesten er mest aktuelt i saksbehandling, administrasjon og oppgjør knyttet til gjennomføring av helsehjelp. Dette gjelder egenandeler, refusjon av pasientreiser mv. Etter personvernforordningen artikkel 22 krever dette hjemmelsgrunnlag i nasjonal rett eller samtykke fra hver enkelt, se punkt 3.7. Departementet foreslår at et slikt hjemmelsgrunnlag lovreguleres i pasientjournalloven § 11 og folketrygdloven § 21-11a.
6.4.2 Nærmere om forslaget til endring av pasientjournalloven § 11 og folketrygdloven § 21-11a
Departementet foreslår at pasientjournalloven og folketrygdloven endres slik at det tillates at det fattes avgjørelser som utelukkende er basert på automatisert behandling av helseopplysninger når avgjørelsen er lite inngripende overfor den enkelte.
Departementet har merket seg at flere høringsinstanser uttaler at avgrensningen «lite inngripende» er uklar. Datatilsynet påpeker at hva en pasient eller bruker oppfatter som inngripende, kan være noe annet enn hva helseforvaltningen legger til grunn. Noen uttaler også at «enkeltvedtak» er lite spesifisert og ønsker en klarere beskrivelse av hva som inngår i dette begrepet. Departementet foreslår på denne bakgrunn å anvende benevnelsen «avgjørelse» som er brukt i personvernforordningen artikkel 22.
Med avgjørelser som er lite inngripende overfor den enkelte, mener departementet avgjørelser som har begrensede konsekvenser for den enkelte. Dette kan være avgjørelser som gjelder små beløp. Vurderingene må imidlertid være konkrete, hvor det også ses hen til omfanget av personopplysninger som behandles, opplysningenes sensitivitet og hvor korrekte det er grunn til å tro personopplysningene er.
Vilkårene for avgjørelsen må også være så vidt klare og objektive at det er enkelt å fastslå om de er oppfylt eller ikke. Avgjørelsen vil da typisk ikke inneholde elementer av vurderinger eller skjønn. Eksempler på avgjørelser av denne typen er mange av vedtakene om dekning av pasientreiser, utstedelse av Europeisk helsetrygdkort og automatisk frikort ved oppnådd fastsatt frikortgrense.
Etter departementets syn er det ikke hensiktsmessig at bruken av automatiserte avgjørelser knyttes til nærmere angitte sakstyper. Det vil kunne forhindre nødvendig fleksibilitet ettersom behovet varierer over tid. På den annen side er det ikke ønskelig å åpne for bruk av automatisering i alle typer saker. Departementet vil presisere at forslaget om automatisering ikke gjelder beslutninger om ytelse av helsehjelp. Avgjørelsen om ytelse av helsehjelp vil typisk ikke være lite inngripende, i tillegg til at det vil inneholde elementer av vurderinger eller skjønn, som det ikke er enkelt maskinelt å fastslå om er oppfylt eller ikke.
Avgjørelser som er inngripende ovenfor den enkelte, kan kreve en mer omfattende regulering enn avgjørelser som er lite inngripende. Departementet foreslår derfor at det gis hjemmel i pasientjournalloven § 11 til å gi forskrift om at slike avgjørelser kan treffes automatisk. Mer kompliserte og inngripende avgjørelser krever mer spesifikke regler og mer «tilpassede» rettssikkerhetsgarantier enn det som allerede finnes i helselovgivningen og forvaltningsloven, for eksempel krav om stikkprøvekontroller og annen kvalitetsforbedring. Departementet vil presisere at heller ikke denne delen av forslaget gjelder beslutninger om ytelse av helsehjelp.
Departementet legger til grunn at forskriftshjemmelen i folketrygdloven § 21-11a åttende ledd vil hjemle forskrifter om slike automatiserte avgjørelser etter folketrygdloven kapittel 5. Departementet foreslår imidlertid en presisering, slik at det fremgår klart at det også kan gis forskrifter som tillater inngripende automatiserte avgjørelser.
Lovbestemmelsen vil ikke åpne for forskrifter for sakstyper der automatisert behandling av personopplysninger ikke er forsvarlig. Ved vurderingen av om det er forsvarlig vil det være relevant å se hen til både hvor inngripende avgjørelsen er for den registrerte, hvor enkel avgjørelsen er, om avgjørelsen inneholder skjønnsvurderinger, og hvilke opplysningskategorier som behandles. Personvernforordningen artikkel 22 nr. 2 bokstav b, stiller videre krav om at det må være fastsatt «egnede tiltak for å verne den registrertes rettigheter, friheter og berettigede interesser». Dette gjelder også ved lite inngripende avgjørelser.
Hvilke egnede tiltak som vil være nødvendige i de konkrete tilfellene hvor bruk av automatiserte avgjørelser skal innføres, må vurderes ut fra karakteren av den avgjørelse som ønskes automatisert, herunder avgjørelsens betydning for den registrerte og i hvilken grad skjønnsmessige kriterier benyttes i beslutningen. I forordningens fortalepunkt 71 er det imidlertid nevnt noen minimumsvilkår. Dette omfatter spesifikk informasjon til den registrerte og rett til menneskelig inngripen, til å uttrykke synspunkter, til å få en forklaring på avgjørelser truffet etter automatisert behandling og til å klage (protestere) over avgjørelsen.
Utformingen av tiltakene må være basert på en konkret vurdering av den aktuelle behandlingen av personopplysninger. Generelle regler i annen lov kan bidra i vesentlig grad. Pasient- og brukerrettighetsloven oppstiller noen viktige krav om bl.a. begrunnelse og klage. Forvaltningslovens regler om forsvarlig saksbehandling, veiledningsplikt, kontradiksjon, innsyn, begrunnelse og klage må anses å være et vesentlig bidrag til å oppfylle forordningens krav om egnede tiltak.
Departementet legger til grunn at gjeldende regler om den enkeltes adgang til å uttale seg, begrunnelse og klage, er tilstrekkelig for å ivareta forordningens krav når det gjelder lite inngripende avgjørelser. I denne forbindelse viser departementet blant annet til at klagebehandlingen ikke i noe tilfelle skal være automatisert. Avgjørelser som ikke kan påklages etter forvaltningsloven eller pasient- og brukerrettighetsloven kan ikke automatiseres, med mindre saksbehandlingen er nærmere regulert i forskrift og det i forskrift er gitt bestemmelser om rett til å få behandlet en klage uten automatisering. Når det gjelder inngripende avgjørelser, tar departementet sikte på å regulere hva som er egnede tiltak nærmere i forskrift. Det kan for eksempel være nødvendig å regulere krav til jevnlig revisjon av de benyttede algoritmer og regelmessig gjennomgang av riktigheten og relevansen av automatiske avgjørelser for å begrense faren for feil.