Digital forvaltning

Publisert: 20. november 2024

– en veileder om forvaltningsrettslige krav til offentlige it-systemer

Ønsker du veilederen tilsendt i papirutgave? Da kan du sende en e-post til oss på postmottak@sivilombudet.no.

Forord

Forvaltningen blir stadig mer digitalisert, og de fleste saksbehandlingssystemer er i dag elektroniske. En rekke vedtak fattes hel- eller delautomatisk. Digital beslutningsstøtte brukes på flere områder, blant annet ved kontroll. Dette har åpenbare fordeler og kan blant annet gjøre forvaltningen mer effektiv og motvirke forskjellsbehandling. Samtidig må digitaliseringen gjøres på en måte som ivaretar rettssikkerheten.

Forvaltningsrettens regler gjelder fullt ut når det offentlige digitaliserer og automatiserer saksbehandlingen. Dette gjelder uavhengig av om systemet treffer avgjørelser, brukes som beslutningsstøtte, gir veiledning eller utfører andre oppgaver. Det er derfor viktig å sørge for at forvaltningsretten overholdes allerede ved oppstart av utvikling eller anskaffelse av et offentlig it-system. Når systemet er ferdigutviklet og tatt i bruk, vil det som regel være både mer ressurskrevende og teknisk utfordrende å innarbeide reglene. Også av hensyn til borgernes rettssikkerhet er det avgjørende at systemet overholder regelverket allerede fra start. Feil i forvaltningens it-systemer kan potensielt berøre mange ved at feilen «masseproduseres».

Sivilombudet har sett flere eksempler på offentlige it-systemer som ikke oppfyller grunnleggende forvaltningsrettslige krav. For eksempel var et system laget slik at det ikke forhåndsvarslet parten før et helautomatisk vedtak ble fattet. Andre eksempler er saksbehandlingssystemer som ikke oppfylte kravet om at brev og vedtak må underskrives, eller hadde tilgangskontroll som sørget for at bare ansatte med et saklig behov fikk tilgang til taushetsbelagt informasjon. Det er det enkelte forvaltningsorgan som har ansvaret for at regelverket etterleves. Dette gjelder også når forvaltningen anskaffer et system fra en kommersiell aktør.

I denne veilederen beskrives forvaltningsrettslige regler som er relevante for offentlige it-systemer.

Hanne Harlem, sivilombud

Formål og målgruppe

Formålet med veilederen er å bidra til at regler overholdes når det offentlige digitaliserer virksomheten.

Forvaltningsloven gjelder i utgangpunktet for all virksomhet i forvaltningen.[1]

Loven er teknologinøytral og gjelder uavhengig av hvilken teknologi som brukes. I lys av hvor sentralt dette regelverket er, er det vesentlig at det etterleves når man lager offentlige it-systemer. Saksbehandlingsreglene i forvaltningsretten er viktige rettssikkerhetsmekanismer som motvirker at det offentlige gjør urett mot borgerne. For eksempel bidrar utredningsplikten til at avgjørelser blir fattet på et riktig, fullstendig og objektivt grunnlag. Begrunnelsesplikten gjør det mulig for borgerne å etterprøve, forstå og kontrollere forvaltningsvedtak. Forbudet mot usaklig forskjellsbehandling ivaretar likebehandlingen. Disse mekanismene må være på plass også når saksbehandlingen digitaliseres. Det er viktig at reglene bygges inn i de digitale løsningene fra start.

Også fordi forvaltningsloven synes å være lite omtalt i andre veiledere om digitalisering i offentlig sektor, kan det være behov for å øke bevisstheten om at de forvaltningsrettslige kravene til innhold og saksbehandling ved myndighetenes beslutninger, gjelder fullt ut også ved digitalisering.

Målgruppen er alle som arbeider med å lage, oppdatere, videreutvikle og anskaffe offentlige it-systemer. Veilederen retter seg derfor ikke bare mot jurister, men også mot it-arkitekter, prosjektledere, innkjøpere, systemutviklere, designere og andre som arbeider med digitalisering i forvaltningen.

Om veilederen

Veilederen har to hoveddeler. I den første delen beskrives relevante forvaltningsrettslige regler sett i lys av digitalisering. Den andre delen er tips og råd om hva man bør være oppmerksom på.

Selv om veilederen er avgrenset til de forvaltningsrettslige reglene og normene, er det viktig å huske at også andre lover og forskrifter gjelder ved digitalisering av forvaltningens virksomhet. Blant annet har personvernloven, personvernforordningen (GDPR), offentleglova og arkivlova med forskrifter bestemmelser som må overholdes. Regler i spesiallovgivningen kan også få betydning. Veilederen beskriver ikke alle relevante forvaltningsrettslige krav, men er konsentrert om de mest sentrale.

Regelverket

Kort om forvaltningsretten

Saksbehandling i offentlig sektor reguleres av forvaltningsloven. Loven gjelder for alle statlige og kommunale organers virksomhet, med mindre annet følger av lov eller forskrift. Den gjelder i noen tilfeller også for private.[2]

De alminnelige reglene om saksbehandlingen står i forvaltningsloven kapittel III. I tillegg har kapittel IV regler om behandling av enkeltvedtak. Enkeltvedtak er vedtak som gjelder rettigheter eller plikter til én eller flere bestemte personer[3]. Eksempler er vedtak om sykepenger, foreldrepenger, familiegjenforening, bostøtte, byggetillatelse, tvangsmulkt og studielån – og mange andre. For enkeltvedtak gjelder bestemmelsene i kapittel IV sammen med de generelle kravene i forvaltningsloven kapittel II og III.

Ved siden av forvaltningsloven gjelder ulovfestede forvaltningsrettslige prinsipper. Sentrale prinsipper er blant annet forbudet mot usaklig forskjellsbehandling og forbudet mot å vektlegge irrelevante og usaklige (utenforliggende) hensyn. Ulovfestede forvaltningsrettslige prinsipper gjelder generelt, ikke bare når det fattes vedtak, og er i likhet med forvaltningsloven teknologinøytrale. De må derfor ivaretas ved utviklingen av alle forvaltningsrettslige it-systemer.

Reglene i forvaltningsloven suppleres av krav til god forvaltningsskikk. God forvaltningsskikk er et sett med normer om hvordan forvaltningen bør opptre i møte med borgerne. For eksempel kan praksis og rutiner i forvaltningen være kritikkverdige uten at de i seg selv utgjør et lovbrudd. Der det er relevant, beskriver veilederen krav som følger av disse normene[4].

Forvaltningsloven

De alminnelige reglene om saksbehandlingen

De alminnelige reglene om saksbehandling i forvaltningen står i forvaltningsloven kapittel III. I tillegg er det bestemmelser om habilitet i kapittel II. I dette punktet beskrives regler i de to kapitlene som vi mener det er særlig grunn til å være oppmerksom på når man utvikler offentlige it-systemer.

Veiledningsplikt

Forvaltningen har en alminnelig veiledningsplikt innenfor sine saksområder.[5] Den skal svare på konkrete forespørsler fra borgerne og gi informasjon på eget initiativ. Veiledningen skal sette borgerne i stand til å ivareta sine interesser på best mulig måte, både i enkeltsaker og ved generelle henvendelser. Veiledningsplikten er med på å skape tillit til forvaltningen. Den kan også bidra til at saksbehandlingen blir mer effektiv, for eksempel ved at søknader blir fylt ut riktig fra starten av.[6]

Hvor langt forvaltningen må gå i veiledningen, avhenger av hvilken type sak man står overfor, den enkeltes behov for veiledning og forvaltningens situasjon og kapasitet. Forvaltningsorganet må legge vekt på ønsket og behovet til den som skal få veiledning.[7]

Forvaltningens veiledningsplikt gjelder fullt ut også ved digitalisering av tjenester. Forvaltningen må sørge for at det gis tilstrekkelig informasjon og veiledning om hvordan de digitale systemene skal brukes. Dette er nødvendig for at borgerne skal kunne ivareta sine interesser. Digitale tjenester bør være brukervennlige, og forvaltningen må kunne gi både generell og direkte veiledning om hvordan systemene fungerer. Informasjonen som gis må være korrekt, pålitelig og oppdatert. Dette gjelder også opplysninger i offentlige registre.

Økt digitalisering kan for noen skape større avstand mellom offentlig forvaltning og borgerne. Digitaliseringsdirektoratet estimerer at rundt 20 prosent[8] av den voksne befolkningen i Norge er sårbare i møte med offentlige digitale tjenester. Sårbarheten kan skyldes nedsatt funksjonsevne, en krevende livssituasjon eller mangel på digital kompetanse. Når stadig flere deler av forvaltningen digitaliseres, blir konsekvensene også større for denne gruppen. Ikke-digital veiledning over telefon, i fysiske møter eller i papirform, må derfor være tilgjengelig og ha god nok kvalitet til at veiledningsplikten oppfylles også overfor de som av ulike grunner har vanskeligheter med å bruke digitale løsninger. Det samme gjelder der systemene ikke kan løse tilfeller som ikke er vanlige, men i praksis likevel oppstår.

Når parten (den saken direkte gjelder) spør, har forvaltningen plikt til å gi konkret og tilpasset informasjon om konkrete saker. Hvis de digitale veiledningstjenestene ikke er i stand til å svare på spørsmål om enkeltsaker eller it-systemer, må tilgjengeligheten på telefon være desto større slik at veiledningsplikten ivaretas.

Uriktig informasjon i register

Sivilombudet kritiserte Helsetilsynet og Helsedirektoratet for å gi uriktig informasjon i Helsepersonellregisteret, se SOM-2023-2420. Organene ble også kritisert for ikke å rette de uriktige opplysningene.  Sivilombudet uttalte at informasjon fra forvaltningen skal være korrekt, saklig og pålitelig. Særlig viktig er det at opplysninger om enkeltindivider er riktige. Opplysninger forvaltningen gir gjennom ulike offentlige registre, må være korrekte for at registrene skal oppfylle sitt formål.

Feil informasjon om forventet behandlingstid

Hvis forvaltningen opplyser om forventede saksbehandlingstider på nettsidene, må opplysningene være korrekte og oppdaterte. Sivilombudet har i flere saker observert at den reelle behandlingstiden er vesentlig lenger.

Digital kommunikasjon

Når saksbehandlingen blir digitalisert, vil også kommunikasjonen med borgerne skje digitalt, for eksempel ved digitale søknadsskjemaer og -postkasser. Regelverket stiller krav til når og hvordan forvaltningen kan kommunisere digitalt med borgerne. Reglene er ulike for kommunikasjon fra forvaltningen til borgeren, og for kommunikasjon fra borgeren til forvaltningen.

For forvaltningen er hovedregelen at forvaltningen kan henvende seg digitalt til borgerne. Dette gjelder likevel ikke dersom borgeren har reservert seg mot dette, eller annet følger av lov eller forskrift.[9]

Forvaltningen kan derimot som hovedregel ikke kreve at borgerne henvender seg eller svarer digitalt til forvaltningen. Utgangpunktet er at private, inkludert næringsdrivende, kan henvende seg til forvaltningen i papirform. Unntak fra denne hovedregelen krever et rettslig grunnlag, normalt hjemmel i lov. Dette betyr at forvaltningen som utgangspunkt ikke kan bestemme at kommunikasjon fra borgerne må skje i digitale kanaler eller at borgeren må bruke bestemte digitale fullmakts- eller søknadsskjemaer, dersom borgeren for eksempel ønsker å sende inn en søknad i papirform.

Borgerne kan på sin side velge å kommunisere digitalt til forvaltningen dersom forvaltningsorganet har lagt til rette for det, og ikke annet er bestemt i lov eller forskrift.[10] Forvaltningen kan da bestemme at den digitale kommunikasjonen skal skje på en bestemt måte, for eksempel gjennom bruk av spesielle skjemaer eller på et konkret nettsted.[11] Dette må forvaltningen i så fall ha bestemt og «anvist» på forhånd.

Det gjelder også regler for hvordan forvaltningen skal håndtere digitale henvendelser fra borgerne. Når forvaltningen mottar henvendelser digitalt, skal det gis en bekreftelse til avsenderen om at henvendelsen er mottatt.[12] Denne bekreftelsen bør gis straks og bør inneholde et referansenummer og angi tidspunktet da henvendelsen ble mottatt.[13] Fra dette gjelder det noen unntak, for eksempel dersom henvendelsen ikke utløser saksbehandling eller dersom henvendelsen ved bruk av automatiserte systemer uansett blir besvart straks.[14]

Hvis den digitale henvendelsen fra borgeren ikke er i samsvar med lov- og forskriftskrav, for eksempel fordi borgerne ikke har brukt skjemaet som forvaltningen på forhånd har vist til, skal forvaltningen gi beskjed om dette dersom det får betydning for behandlingen av saken eller av andre grunner er nødvendig.[15]

Forvaltningen bør da gi en frist og veilede borgerne.

Fikk ikke svar på en henvendelse i papirform

Sivilombudet har kritisert et forvaltningsorgan for ikke å svare på en borgers henvendelse i papirform, se SOM-2023-5955. I uttalelsen forutsatte Sivilombudet at forvaltningsorganet som utgangspunkt forholder seg likt til henvendelser i papirform og digitale henvendelser. Unntak fra dette krever et særskilt rettslig grunnlag, normalt hjemmel i lov.

Fikk ikke tilgang selv om han hadde fremtidsfullmakt

Sivilombudet har også kritisert et forvaltningsorgan for kun å godta egne fullmaktsskjemaer for at en fullmektig skulle få tilgang til Helsenorge, se SOM-2023-5441. Forvaltningsorganet hadde ikke tatt stilling til om en fremtidsfullmakt ga fullmektigen rett til tilgang til Helsenorge. Sivilombudet kritiserte dette og viste til at organet har en plikt til å akseptere slike fremtidsfullmakter.

Partsrepresentasjon

Parten i en forvaltningssak (den en sak direkte gjelder) har rett til å la seg bistå av en advokat eller en annen fullmektig på alle trinn av saksbehandlingen.[16] Det betyr at parten kan kreve at all kommunikasjon med forvaltningen skal skje via fullmektigen.

Hvis forvaltningsorganet bruker et digitalt system for kommunikasjon med saksparter, er det ikke nødvendigvis et krav om at det digitale systemet også er tilrettelagt for bruk av fullmektiger. Retten til å la seg bistå av en fullmektig er oppfylt så lenge forvaltningen legger til rette for kommunikasjon med fullmektigen på annen måte. Det er likevel en forutsetning at den alternative løsningen er tilstrekkelig effektiv til at øvrige forvaltningsrettslige krav oppfylles. For eksempel gjelder kravet om at saker skal forberedes og avgjøres uten ugrunnet opphold like fullt selv om bruk av fullmektig innebærer papirbasert kommunikasjon.[17]

Ved bruk av digitale systemer som ikke tilrettelegger for kommunikasjon med fullmektiger, må derfor forvaltningen ha rutiner som sørger for effektiv alternativ kommunikasjon. Selv om det ikke er et rettslig krav at det digitale systemet er tilrettelagt for fullmektiger, er det uheldig dersom en som er avhengig av hjelp for å ivareta egne rettigheter, ikke tilbys like gode løsninger for kommunikasjon som andre. Systemer som ikke gir mulighet for innlogging som fullmektig, kan dessuten bidra til at parten gir tredjepersoner tilgang til sin personlige elektroniske legitimasjon, som BankID, i stedet for å benytte seg av en lovlig fullmaktsløsning.[18] Dette gir økt risiko for identitetstyveri og økonomisk misbruk.

Digitale systemer som tar høyde for at parten kan representeres av en fullmektig, bør gi fullmektigen tilgang til alle opplysninger og dokumenter som fullmektigen har krav på, typisk det som er nødvendig for å oppfylle oppdraget i fullmakten, men ikke mer.

Fikk ikke tilgang til farens helseopplysninger

Sivilombudets uttalelse SOM-2023-5441 gjaldt avslag fra Norsk helsenett SF om å gi en sønn tilgang til farens helseopplysninger på Helsenorge med grunnlag i en fremtidsfullmakt. Norsk helsenett begrunnet avslaget med interne rutiner som enten krevde bruk av egne fullmaktsskjemaer eller legeerklæring som dokumenterte at personen varig hadde mistet samtykkekompetansen. Sivilombudet uttalte at Norsk helsenett – i likhet med andre offentlige og private aktører – må akseptere fremtidsfullmakter. Sivilombudet viste at til den politiske målsettingen om digitalisering av offentlige tjenester forutsetter at slike tjenester er tilrettelagt for bruk av fullmektiger, inkludert fremtidsfullmektiger.

Taushetsplikt – tilgangskontroll

Alle som arbeider i forvaltningen, har taushetsplikt om «noens personlige forhold» og forretningshemmeligheter.[19] Taushetsplikten gjelder også overfor ansatte i samme forvaltningsorgan.[20]

Forvaltningens it-systemer må lages slik at de ivaretar taushetsplikten. Forvaltningsorganet må sørge for tiltak som sikrer at ansatte ikke får tilgang til flere taushetsbelagte opplysninger enn det som er nødvendig for den ansattes arbeidsoppgaver. Tilgangene i systemet må derfor tilpasses ut fra hva saksbehandlerne har et saklig behov for.

Forvaltningsorganet må i tillegg sørge for at de ansatte ikke innhenter taushetsbelagte opplysninger fra systemet til usaklige formål, for eksempel private formål. Dette gjelder selv om de ansatte ellers kan ha et saklig behov for tilgang til opplysningene. Forvaltningen bør derfor ha interne retningslinjer om taushetsplikt og digitale systemer, og sørge for opplæring av ansatte.

For å avdekke og oppklare misbruk bør forvaltningsorganet også loggføre hvem som har hatt tilgang til og aksessert taushetsbelagte opplysninger. Dette er viktig fordi saksbehandleren må ha tilgang til opplysningene i bestemte situasjoner på grunn av saklige formål, samtidig som det er behov for å unngå at saksbehandleren gjør oppslag i de samme opplysningene ut fra usaklige formål.

Taushetsbelagte opplysninger

Taushetsbelagte opplysninger etter forvaltningsloven er opplysninger om «noens personlige forhold» eller forretningshemmeligheter som det er av «konkurransemessig betydning å hemmeligholde». Dette kan for eksempel være enkeltpersoners helseopplysninger eller sensitive forretningshemmeligheter i en bedrift. Opplysninger kan også være taushetsbelagte etter annet regelverk.

Sivilombudet har pekt på at forvaltningen har et ansvar for å gjøre de ansatte kjent med taushetspliktsreglene på en betryggende måte, se SOM-2010-2411. I en annen uttalelse kritiserte Sivilombudet Statsforvalterens praksis hvor saksbehandlere selv gikk inn i journalen for å finne opplysninger for å behandle en søknad om brukerstyrt personlig assistanse, se SOM-2022-1048. Praksisen innebar en klar risiko for at saksbehandleren tilegnet seg flere opplysninger om søkeren enn det som var nødvendig. Forvaltningen plikter å innrette de digitale løsningene slik at rettslige krav, inkludert taushetsplikt, overholdes.

Habilitet og krav til underskrift

Saksbehandlingssystemer som brukes ved manuell saksbehandling, må sørge for at brev og vedtak viser hvem som har behandlet og godkjent saken. Selv om forvaltningsloven ikke har bestemmelser om underskrift, er det en forutsetning for habilitetsreglene at parten vet hvem saksbehandlerne er. Ved habilitetsvurderinger skal det blant annet legges vekt på om parten har hatt innvendinger til saksbehandlernes habilitet.[21] Parten kan også kreve at habilitetsspørsmålet avgjøres av en overordnet.[22] For å kunne gjøre dette må parten vite hvem som har behandlet og godkjent saken.

Systemene må derfor lages slik at identiteten til disse personene går frem av brev og vedtak. Dette gjelder riktignok ikke når saksbehandlingen er helautomatisert. Da finnes det ikke noen egentlig saksbehandler. Det kan også tenkes situasjoner der tungtveiende hensyn gjør at saksbehandlerens navn ikke skal gjøres kjent, men dette vil være unntakstilfeller.

Det må opplyses om hvem som er saksbehandler

Sivilombudet har fastslått at det følger av god forvaltningsskikk og forutsetningsvis av forvaltningslovens habilitetsregler at en part skal få kjennskap til hvem saksbehandler og godkjenner er, og til hvilken enhet i organet som har behandlet saken, se SOM-2022-1068 og SOM-2017-1135.

Sivilombudet har fastslått at forvaltningslovens habilitetsregler forutsetter at parten må få kjennskap til hvem som har fattet et vedtak, se SOM-2022-5490. Saken gjaldt en kommune som fattet vedtak uten at navnet på de som hadde godkjent avgjørelsene sto i vedtaket.  Kommunen begrunnet dette med tekniske begrensninger i saksbehandlingssystemet. Sivilombudet ba kommunen endre praksis.

Reglene om enkeltvedtak

I tillegg til de alminnelige reglene om saksbehandlingen har forvaltningsloven saksbehandlingsregler for enkeltvedtak i kapittel IV. Bestemmelsene gjelder sammen med de generelle kravene som er beskrevet i punktet over om de alminnelige reglene om saksbehandlingen. Også reglene om enkeltvedtak suppleres av kravene til god forvaltningsskikk. Ved automatisering av enkeltvedtak er det viktig å være oppmerksom på disse reglene.

Utredningsplikt

Forvaltningen er ansvarlig for at saken er godt nok opplyst før det fattes et vedtak.[23] Dette kalles utredningsplikten. Utredningsplikten innebærer at alle relevante opplysninger må foreligge før vedtaket fattes. Formålet er å sikre at vedtakene blir riktige og objektive, og motvirke at saken avgjøres på feil eller ufullstendig grunnlag. Når saksbehandlingen automatiseres, må man passe på at utredningsplikten overholdes. Dette gjelder både under utviklingen, og ved løpende bruk av systemet.

Ved automatisert saksbehandling blir det faktiske beslutningsgrunnlaget normalt ikke vurdert av en saksbehandler. Innhentingen og behandlingen av opplysningene skjer i stedet ved hjelp av automatiserte rutiner. Automatisering forutsetter derfor at det på forhånd er klart hvilke opplysninger som er relevante i saker som systemet skal behandle. I tillegg må alle nødvendige opplysninger foreligge digitalt og være riktige og oppdaterte. Også når forvaltningen innhenter opplysninger fra parten eller andre, for eksempel gjennom standardskjemaer, må opplysningene være i et format som systemet kan lese.

Parten i en sak må få mulighet til å uttale seg dersom forvaltningen får opplysninger om vedkommende, og vedkommende har rett til innsyn i disse.[24] Her gjelder noen unntak, for eksempel hvis opplysningene ikke er avgjørende for vedtaket.[25] Parten bør også gjøres kjent med opplysninger som er av vesentlig betydning for saken.[26] Det viktige her er at parten får muligheten til å gi sitt syn på opplysninger som er med på å avgjøre en sak. Forvaltningen må derfor passe på at det ikke treffes automatiserte vedtak før nødvendige uttalelser er innhentet fra parten.

Når et system for automatiserte vedtak utvikles, må det vurderes hvordan det er mulig å oppfylle utredningsplikten. For eksempel kan det være vanskelig å avgrense hvilke opplysninger som er relevante i alle fremtidige saker som systemet skal behandle. Det er også en risiko for at det oppstår atypiske situasjoner.

Jo mer skjønnsmessige reglene er, desto vanskeligere kan det være å definere hvilke opplysninger som er relevante. Enkelte bestemmelser kan dessuten forutsette at det alltid skal gjøres en konkret vurdering i den enkelte sak. Noen regler er derfor ikke egnet for automatisering. Dette kan også være tilfellet selv om de underliggende reglene tilsynelatende ikke åpner opp for skjønnsmessige vurderinger. Tolkningen av en regel kan endres over tid. For eksempel kan det vise seg at det er behov for andre opplysninger enn det man så for seg da systemet ble utviklet. Forvaltningen må derfor være bevisst på risikoen for at it-systemet ikke fanger opp alle relevante opplysninger i fremtidige saker, og vurdere hvordan man kan ivareta kravet til sakens opplysning i den konkrete saken.

Kravet til utredning av saken kan også gjøre det nødvendig at hele eller deler av innhentingen og behandlingen av opplysningene gjøres manuelt av en saksbehandler. Saksbehandlingen vil da være delautomatisert. Forvaltningen bør ha klare retningslinjer for når dette skal gjøres.

Manuell behandling, eventuelt delvis manuell behandling, kan for eksempel være aktuelt i følgende tilfeller:

  • Når ikke alle relevante opplysninger er tilgjengelige digitalt i et format som it-systemet kan lese.
  • Når de tilgjengelige digitale opplysningene ikke har god nok kvalitet.
  • Når det er nødvendig å innhente uttalelser fra parten og systemet ikke kan behandle uttalelsen automatisert på en forsvarlig måte.
  • Når det oppstår atypiske tilfeller som man ikke forutså da systemet ble utviklet.
  • Når bestemmelsen inneholder skjønnsmessige vilkår.

Fattet helautomatiske vedtak uten å ha alle opplysningene

Sivilombudet kritiserte Nav for å fatte helautomatiske vedtak om reduksjon i uføretrygd, selv om man ikke hadde alle opplysningene som var nødvendige for et riktig resultat, se SOM-2022-5067. Systemet skilte ikke mellom inntekt som skulle føre til reduksjon og inntekt som skulle holdes utenfor.  Årsaken var at inntektsopplysningene ble hentet fra A-ordningen. A-ordningen viste ikke om inntekten var av en type som skulle holdes utenfor. Selv om de automatiske vedtakene ble riktige i de aller fleste tilfellene, ble de i noen tilfeller alltid feil.

Begrunnelse

Forvaltningsloven har regler for når forvaltningen skal begrunne vedtak og hva begrunnelsen skal inneholde [27]. Enkeltvedtak skal, med visse unntak[28], begrunnes samtidig med at vedtaket fattes. Begrunnelsen skal vise til de aktuelle reglene og de faktiske forholdene som vedtaket bygger på. Hovedhensynene ved et eventuelt skjønn bør også nevnes. Automatiske vedtak må oppfylle de samme kravene til begrunnelse som manuelle vedtak.

Formålet med begrunnelsen er at det skal være mulig å forstå innholdet i vedtaket. Dette vil sette parten i stand til å etterprøve vurderingene og resultatet. Gode begrunnelser er også viktige for publikums tillit til forvaltningen. Begrunnelsesplikten er derfor relativ og må tilpasses de konkrete omstendighetene i saken. Hvis det er nødvendig for at parten skal forstå vedtaket, må begrunnelsen gjengi innholdet av reglene som er brukt og/eller problemstillingen i vedtaket[29].

Kravene i forvaltningsloven er minimumskrav og suppleres av hensynet til god forvaltningsskikk. Undersøkelser fra Sivilombudet har vist at minimumskravene i forvaltningsloven ikke alltid ivaretar formålet med begrunnelsen godt nok. For å gjøre den enkelte i stand til å forstå vedtaket, kan det være nødvendig med en mer utfyllende begrunnelse. For avgjørelser som er svært inngripende eller får store konsekvenser for den enkelte, vil det ofte ikke være nok å gi en begrunnelse som bare oppfyller minimumskravene i forvaltningsloven. Kravene til god forvaltningsskikk kan også medføre at avgjørelser som ikke er enkeltvedtak må begrunnes.

Sivilombudet erfarer at automatisering av saksbehandlingen utfordrer kravene til begrunnelse. Særlig gjelder dette kravet om at begrunnelsen må være tilstrekkelig konkret og individuelt utformet. I mange automatiserte vedtak er begrunnelsen for generell. Det er dermed vanskelig å forstå hvilke regler eller faktiske forhold som har vært avgjørende. Slike begrunnelser vil ikke oppfylle kravene som følger av god forvaltningsskikk.

Ved utvikling eller videreutvikling av digitale systemer for automatisert saksbehandling er det særlig viktig at forvaltningen tar hensyn til følgende:

  • Vedtakene må vise til hvilke konkrete lov- og/eller forskriftsbestemmelser og vilkår som har vært avgjørende for resultatet. Generelle fremstillinger av regelverk eller vilkår som gjør det vanskelig for mottakeren å forstå hvilke regler og vilkår som har vært bestemmende for avgjørelsen, vil ikke være nok.
  • Vedtakene må vise hvilke konkrete faktiske forhold som har vært avgjørende for resultatet. Det er ikke tilstrekkelig å gi en generell fremstilling av sakens fakta.

Dersom forvaltningen vurderer å automatisere saksbehandlingen på et område, er det viktig å ta stilling til om det digitale systemet er i stand til å produsere tilstrekkelig konkrete og individuelle begrunnelser.

Hvis forvaltningen vurderer å bruke maskinlæring til å fatte enkeltvedtak, bør man være ekstra oppmerksom på kravene til begrunnelse. Ved bruk av maskinlæring vet man ikke alltid hva som har vært bestemmende for resultatet. Hvis det ikke er mulig å angi konkret hva som har vært utslagsgivende, vil det ikke være mulig å oppfylle begrunnelsesplikten. Det er viktig at forvaltningen tar dette med i vurderingen av om et regelsett er egnet for automatisering ved bruk av maskinlæring.

Rapport om begrunnelser i vedtak fra Nav

Sivilombudets rapport 21. september 2023 (SOM-2022-5350) gjaldt begrunnelser i vedtak fra Nav. Sivilombudet påpekte at automatisering av saksbehandlingen syntes å utfordre kravene til begrunnelse. I mange automatiserte vedtak var begrunnelsen så generell at det var vanskelig å forstå hvilke regler eller faktiske forhold som hadde vært avgjørende. Slike begrunnelser vil ikke oppfylle kravene som følger av god forvaltningsskikk.

Veileder om begrunnelser

I 2023 presenterte Sivilombudet en veileder basert på uttalelser om begrunnelser i forvaltningen.

Se veilederen her: Begrunnelser

 

Forhåndsvarsel

Når enkeltvedtak automatiseres, er det viktig å huske at forvaltningsloven har regler om forhåndsvarsel. En part som ikke via søknad eller på annen måte allerede har uttalt seg i saken, skal varsles før det fattes enkeltvedtak[30] . Systemene må lages slik at de sikrer at varsling skjer og på rett tidspunkt.

Varselet skal forklare hva saken gjelder og inneholde alle opplysninger som er nødvendige for at parten skal kunne ivareta sine interesser. I praksis vil det si at de faktiske opplysningene som vedtaket vil bygge på må inngå i varselet, med mindre opplysningene er innhentet fra parten selv. Systemer som bruker opplysninger fra ulike digitale kilder og registre, må derfor utformes slik at alle disse opplysningene kan inngå i varselet.

Varselet skal gi parten mulighet til å uttale seg innen en frist[31]. Fristen løper fra dagen varselet er sendt og må være lang nok til at parten får rimelig tid til å vurdere spørsmålene i saken.

Systemet må i tillegg være i stand til å fange det opp dersom parten svarer på forhåndsvarselet innen fristen. Systemet må da enten behandle svaret automatisert på en forsvarlig måte eller overføre saken til manuell behandling.

Forhåndsvarsel kan sløyfes når varsling vil utgjøre en fare for at vedtaket ikke kan gjennomføres. Det kan også unnlates hvis parten ikke har kjent adresse og ettersporing vil kreve mer tid eller arbeid enn det som er rimelig ut fra partens interesser og varselets betydning. Videre kan det sløyfes når parten allerede vet at vedtak skal treffes og har fått rimelig anledning til å uttale seg[32].

Hvordan forhåndsvarselet skal sendes elektronisk er nærmere beskrevet i punktet om «Krav til varsel om enkeltvedtak».

Fikk ikke forhåndsvarsel om reduksjon i uføretrygd

Sivilombudet har kritisert Nav for manglende forhåndsvarsel før det ble fattet helautomatisert vedtak om reduksjon i uføretrygd, se SOM-2022-5067.

Krav til varsel om enkeltvedtak

Når det er fattet et enkeltvedtak, skal parten varsles[33]. Varselet kan sendes digitalt med mindre parten har reservert seg mot elektronisk kommunikasjon. For privatpersoner eller enheter som ikke er registrert i Enhetsregisteret, skal det digitale varselet sendes til adressen som er registrert i register over digital kontaktinformasjon. For enheter som er registrert i Enhetsregisteret skal man bruke den elektroniske adressen som enheten har oppgitt der.

Varselet skal orientere om hvor og hvordan parten kan gjøre seg kjent med innholdet i vedtaket. Som hovedregel skal selve vedtaket gjøres tilgjengelig i et egnet informasjonssystem. Hvis parten ber om det, det anses forsvarlig og ikke er i strid med annet regelverk, kan vedtaket likevel sendes til en elektronisk adresse som parten selv oppgir.

Informasjonssystemet skal registrere når parten skaffer seg tilgang til vedtaket. Systemet må i tillegg sikre at ikke uvedkommende får tilgang til vedtaket eller andre opplysninger de ikke skal ha tilgang til. Eksempler på egnede informasjonssystemer er Altinn og Digital postkasse til innbyggere.

Hvis parten ikke har skaffet seg tilgang til vedtaket innen én uke fra varselet ble sendt og vedtaket ble gjort tilgjengelig, skal parten varsles på nytt. Er vedtaket sendt direkte til en elektronisk adresse parten selv har oppgitt, er det imidlertid ikke nødvendig å sende nytt varsel.

Det som står om varsel om enkeltvedtak her, gjelder også for forhåndsvarsel og andre meldinger som har betydning for behandlingen av saken. I tillegg gjelder det for meldinger som det er særlig viktig å sørge for at parten mottar.

Partsinnsyn

I saker som gjelder enkeltvedtak, har parten i saken som hovedregel rett til å gjøre seg kjent med sakens dokumenter, såkalt partsinnsyn.[34] Retten gjelder på ethvert tidspunkt i saken, også etter at det er fattet vedtak. Formålet er blant annet å gi parten mulighet til å forstå grunnlaget for forvaltningens beslutninger, sjekke om opplysningene som er brukt er riktige og kontrollere om saken er behandlet i tråd med regelverket. Partsinnsyn vil også bidra til at befolkningen har tillit til forvaltningen.

Forvaltningens systemer må utformes slik at de ivaretar retten til partsinnsyn. Selv om it-systemet ikke nødvendigvis kan behandle et krav om partsinnsyn helautomatisk, må det lages slik at alle saksdokumenter og opplysninger som det er rett til innsyn i, kan gjøres tilgjengelig for parten. Digitale selvbetjeningssystemer der parten selv kan logge på og gjøre seg kjent med dokumentene, må gi parten tilgang til alle dokumenter det skal gis innsyn i, men ikke flere.

Generelle forvaltningsrettslige prinsipper

I denne delen beskrives forvaltningsrettslige prinsipper som det er viktig å være oppmerksom på ved utvikling av offentlige it-systemer.

Forbudet mot usaklig forskjellsbehandling

Det gjelder et forbud mot usaklig forskjellsbehandling fra forvaltningens side. Kravet om likebehandling innebærer at forvaltningens avgjørelser må bygge på objektive og saklige vurderinger som sikrer likhet og rettssikkerhet. Prinsippet er ulovfestet.

Forbudet mot usaklig forskjellsbehandling gjelder generelt. Det må derfor ivaretas ved utforming av alle offentlige it-systemer, ikke bare systemer som fatter vedtak. For eksempel gjelder forbudet også for saksbehandlingssystemer og systemer for beslutningsstøtte. Saksbehandlingssystemer som brukes ved manuell saksbehandling bør derfor ha søkefunksjoner som gjør det mulig å gjenfinne tilsvarende saker for å sikre at like saker behandles likt.

Forbudet gjelder uavhengig av hvilken teknologi som brukes. Vi nevner likevel systemer basert på maskinlæring spesielt. Slike systemer analyserer datasett – treningsdata – for å finne statistiske sammenhenger, blant annet hvilke faktorer som opptrer samtidig. Sammenhengene som avdekkes, brukes til å utføre oppgaver, for eksempel velge ut personer eller virksomheter til kontroll, identifisere en person fra et bilde eller stille en diagnose. Hvis det er skjevheter (biases) i treningsdataene, er det en fare for at skjevhetene gjenskapes slik at systemene forskjellsbehandler på usaklig grunnlag.

Et eksempel er en rekrutteringsalgoritme som systematisk rekrutterte menn fremfor kvinner fordi treningsdataene i hovedsak var fra menn.

Digitale ansiktsgjenkjenningssystemer kan være mindre treffsikre på enkelte befolkningsgrupper hvis de bare er trent på bilder av mennesker av én etnisitet. Det samme kan systemer som skal stille diagnoser.

Ved bruk av maskinlæringssystemer er det viktig å være oppmerksom på denne risikoen – både ved valg av treningsdata, utforming av algoritmene og testing.

Forbudet mot vektlegging av usaklige og irrelevante hensyn

I forvaltningsretten er det et ulovfestet forbud mot å vektlegge irrelevante og usaklige (utenforliggende) hensyn. Forbudet gjelder generelt og må overholdes i alle offentlige it-systemer, inkludert systemer som brukes til saksbehandling og beslutningsstøtte.

Forbudet er teknologinøytralt. Det kan likevel være grunn til å være ekstra oppmerksom på systemer som bygger på maskinlæring. Slike systemer analyserer datasett – treningsdata –for å finne statistiske sammenhenger. Sammenhengene blir deretter brukt til å utføre en oppgave, for eksempel velge ut en virksomhet til kontroll. Dersom det er samvariasjon mellom det man skal beregne og en irrelevant omstendighet i treningsdataene, er det en fare for at den irrelevante omstendigheten blir vektlagt, noe som vil være i strid med forbudet. Samvariasjon vil si at noe øker og minker samtidig.

Et eksempel som ofte nevnes i litteraturen er et maskinlæringssystem som skulle skille mellom bilder av ulv og huskyer. Systemet klassifiserte alle bilder med snø i bakgrunnen som bilder av ulv, mens bilder uten snø ble klassifisert som bilder av huskyer. Årsaken var at i treningsdataene var det snø i bakgrunnen på alle bilder av ulv. I forvaltningsretten kan et tenkt eksempel være et system for utvelgelse av kjøretøyer til tollkontroll som systematisk velger ut biler med en bestemt farge fordi det i treningsdataene var positiv samvariasjon mellom denne bilfargen og kjøretøy brukt til smugling.

Ved utvikling og bruk av maskinlæringssystemer er det viktig å være oppmerksom på denne risikoen – både ved valg av treningsdata, utforming av algoritmene og testing.

Tips og råd

 

– hva bør du tenke på

 

Anbefalinger

  • Allerede ved oppstart av et utviklingsprosjekt bør det kartlegges hvilke regler – materielle og prosessuelle – som gjelder for det aktuelle systemet. Kartleggingen vil bidra til at systemet oppfyller regelverket og til å avklare eventuelle behov for regelendringer.
  • Relevant juridisk ekspertise bør involveres på alle vesentlige steg, fra utarbeiding av kravspesifikasjon til testing og ferdigstillelse.
  • Ved utvikling av systemer for automatiserte vedtak må det vurderes om de aktuelle bestemmelsene er egnet for automatisering. Relevante momenter er:
    • Regler som inneholder skjønnsmessige vilkår, vil ofte ikke kunne digitaliseres på en god måte. I slike tilfeller kan delautomatisering være et alternativ. Vurderinger uten skjønnsmessige kriterier automatiseres, mens de skjønnsmessige vilkårene behandles manuelt.
    • Alle opplysninger som er nødvendige for en riktig avgjørelse i alle tilfeller, må være tilgjengelige digitalt og være korrekte og oppdaterte. Hvis ikke alle opplysninger er tilgjengelige eller har god nok kvalitet, kan delautomatisering være en løsning. Delene som krever at man innhenter opplysninger manuelt, behandles av saksbehandlere.
    • Allerede under utviklingen må det være mulig å identifisere hva som er relevante opplysninger i alle mulige tilfeller, også i atypiske situasjoner. Hvis dette ikke er mulig, kan delautomatisering være et alternativ ved at de uvanlige og atypiske situasjonene behandles manuelt.
  • Tolkningsvalg må forankres i rettskildene og med relevant juridisk ekspertise, og tolkningsvalgene bør dokumenteres.
  • Ved utvikling av systemer som bygger på maskinlæring, er det viktig å huske at forbudene mot usaklig forskjellsbehandling og vektlegging av irrelevante og usaklige hensyn gjelder fullt ut, også utenfor vedtakstilfellene. Systemene må utformes slik at de ikke gjenskaper eventuelle skjevheter eller vektlegger irrelevante egenskaper i treningsdataene. Skal systemene brukes til å fatte vedtak, må de i tillegg lages slik at de oppfyller kravene til begrunnelse[35].
  • Parten (den en sak direkte gjelder) har rett til å la seg bistå av en advokat eller en annen fullmektig på alle trinn av saksbehandlingen. Det innebærer at parten kan kreve at all kommunikasjon med forvaltningen skal skje via fullmektigen. Digitale systemer bør ta høyde for dette. Systemene bør utformes slik at fullmektigen får digital tilgang til alle opplysninger og dokumenter fullmektigen har krav på å få tilgang til, typisk det som er nødvendig for å oppfylle oppdraget i fullmakten, men ikke mer.

Sjekkliste

  • Utredning av enkeltvedtak. Er alle opplysninger som er nødvendige for et riktig resultat tilgjengelige digitalt og har de god nok kvalitet? Les mer om utredning av enkeltvedtak.
  • Begrunnelse av enkeltvedtak. Oppfyller systemet kravene til begrunnelse? Begrunnelsen skal vise til de aktuelle reglene og de faktiske forholdene vedtaket bygger på. Les mer om begrunnelse.
  • Veiledning. Er de digitale veiledningstjenestene brukervennlige og tilgjengelige, og er informasjonen som gis riktig og oppdatert? Les mer om veiledning.
  • Forhåndsvarsel om enkeltvedtak. Er det tatt høyde for at parten skal forhåndsvarsles før det treffes enkeltvedtak?  Varselet må inneholde alle faktiske opplysninger vedtaket vil bygge på, med mindre opplysningene er hentet fra parten selv. Les mer om forhåndsvarsel.
  • Tilgangskontroll og taushetsplikt. Ivaretar saksbehandlingssystemet taushetsplikten? I praksis vil dette si at systemene må ha tilgangskontroll som sikrer at kun ansatte med et saklig behov har tilgang til taushetsbelagt informasjon. Les mer om tilgangskontroll og taushetsplikt.
  • Underskrift og habilitet. Er saksbehandlingssystemer som skal brukes til å fatte manuelle vedtak og skrive brev laget slik at vedtakene og brevene viser hvem som har behandlet saken? Les mer om underskrift og habilitet.
  • Digital kommunikasjon. Husk at forvaltningen ikke kan kreve at private henvender seg elektronisk til forvaltningen eller bruker en digital selvbetjeningsløsning med mindre det foreligger hjemmel i lov. Les mer om digital kommunikasjon.
  • Partsinnsyn. Er systemet laget slik at det kan gi parten innsyn i saksdokumentene, enten ved egen innlogging i en selvbetjeningsløsning eller ved å fremme krav om innsyn? Les mer om partsinnsyn.
  • Partsrepresentasjon. Er systemet tilrettelagt for at parten kan representeres av en advokat, rettshjelper eller annen fullmektig? Les mer om partsrepresentasjon.
  • Forbud mot usaklig forskjellsbehandling og vektlegging av irrelevante hensyn. Er et system som bygger på maskinlæring laget slik at det ikke forskjellsbehandler på usaklig grunnlag eller vektlegger irrelevante egenskaper? Les mer om maskinlæring og disse forbudene.

Mulige feil

  • Det tas ikke høyde for at lover og regler, inkludert forvaltningsretten, er teknologinøytrale og gjelder fullt ut når saksbehandlingen digitaliseres og automatiseres.
  • Vedtak automatiseres selv om alle opplysninger som er nødvendige for en riktig avgjørelse ikke er tilgjengelige digitalt eller har god nok kvalitet.
  • Hel- eller delautomatiske enkeltvedtak oppfyller ikke kravene til begrunnelse i forvaltningsloven eller normene for god forvaltningsskikk.
  • Det sørges ikke for god nok veiledning over telefon, i fysiske møter eller i papirform slik at veiledningsplikten også oppfylles overfor de som har vanskeligheter med å bruke digitale løsninger.
  • Elektroniske saksbehandlingssystemer har ikke tilgangskontroll som ivaretar taushetsplikten.
  • Parten forhåndsvarsles ikke før det treffes hel- eller delautomatiserte enkeltvedtak.
  • Systemene tar ikke høyde for at en part kan være representert av en advokat, rettshjelper eller annen fullmektig.
  • Systemer som bygger på maskinlæring gjenskaper skjevheter eller vektlegger irrelevante egenskaper i treningsdataene, slik at systemene forskjellsbehandler på usaklig grunnlag eller tar usaklige hensyn.

Ordliste

 

Enkeltvedtak: Vedtak som gjelder rettigheter eller plikter til én eller flere bestemte personer. For eksempel vedtak om sykepenger, foreldrepenger, familiegjenforening, bostøtte, byggetillatelse, tvangsmulkt og studielån – og mange andre.

Forvaltningen: Virksomheten som utøves av organer for stat, fylker, fylkeskommuner og kommuner, og som ikke er lovgivende eller dømmende virksomhet. ‘Forvaltningen’ brukes også om organene som utfører denne virksomheten.

Forvaltningsrett: Rettsregler om den offentlige forvaltningen, som forvaltningen må følge. Finnes for eksempel i Lov om behandlingsmåte i forvaltningssaker (forvaltningsloven).

Fullmektig: En som representerer en part i saken, for eksempel en advokat eller en rettshjelper, et familiemedlem eller en venn.

God forvaltningsskikk: Et sett med normer om hvordan forvaltningen bør opptre i møte med borgerne. Sivilombudsloven § 12 fastslår at Sivilombudet kan vurdere om forvaltningen har opptrådt i strid med god forvaltningsskikk.

Part: Person som en avgjørelse retter seg mot eller som saken direkte gjelder.

Person: En fysisk eller juridisk person. Et eksempel på en juridisk person kan være et selskap eller en stiftelse.

Sakspart: Se part.

Ulovfestet rett: Gjeldende rett/regler som ikke står i en lov, forskrift eller annet regelverk gitt med hjemmel i lov, men som likevel er bindende.

Fotnoter

 

[1] Se forvaltningsloven § 1.
[2] Hvis private utarbeider forskrifter eller treffer enkeltvedtak, gjelder loven, se forvaltningsloven § 1.
[3] Forvaltningsloven § 2
[4] Sivilombudet kan kontrollere at forvaltningen opptrer i tråd med normene for god forvaltningsskikk, se sivilombudsloven § 12
[5] Se forvaltningsloven § 11.
[6] Se NOU 2019:5 Ny forvaltningslov – Lov om saksbehandlingen i offentlig forvaltning, punkt 17.3.1
[7] Se forvaltningslovforskriften § 2.
[8] Se https://www.digdir.no/rikets-digitale-tilstand/kor-mange-opplever-digitalt-utanforskap/4456
[9]Se forvaltningsloven § 15 a første ledd og eForvaltningsforskriften § 8 første ledd og § 9.
[10] Se forvaltningsloven § 15 a andre ledd og eForvaltningsforskriften § 3 første ledd.
[11] eForvaltningsforskriften § 3 første ledd.
[12] Se eForvaltningsforskriften § 6 første ledd.
[13] Se eForvaltningsforskriften § 6 andre ledd.
[14] Se eForvaltningsforskriften § 6 tredje ledd.
[15] Se eForvaltningsforskriften § 7 andre ledd.
[16] Se forvaltningsloven § 12 første ledd.
[17] Se forvaltningsloven § 11 a første ledd.
[18] En fullmektig skal opptre i eget navn, og ikke benytte elektronisk identitetsbevis tilhørende den vedkommende opptrer på vegne av, se eForvaltningsforskriften § 10.
[19] Se forvaltningsloven § 13.
[20] Se forvaltningsloven § 13 b første ledd nr. 3.
[21] Se forvaltningsloven § 6 andre ledd
[22] Se forvaltningsloven § 8 første ledd
[23] Se forvaltningsloven § 17 første ledd.
[24] Se forvaltningsloven § 17 andre ledd første punktum.
[25] Se forvaltningsloven § 17 andre ledd andre punktum.
[26] Se forvaltningsloven § 17 tredje ledd.
[27] Forvaltningsloven §§ 24 og 25
[28] Samtidig begrunnelse kan unnlates hvis vedtaket innvilger en søknad og det ikke er grunn til å tro at noen part vil være misfornøyd med vedtaket. Det samme gjelder ved fordeling av tillatelser eller andre fordeler mellom flere parter, se forvaltningsloven § 24 andre ledd.
[29] Forvaltningsloven § 25 første ledd.
[30] Se forvaltningsloven § 16 første ledd
[31] Se forvaltningsloven § 16 første ledd
[32] Se forvaltningsloven § 16 tredje ledd
[33] Se eForvaltningsforskriften § 8
[34] Se forvaltningsloven § 18.
[35] Se forvaltningsloven § 24 og § 25