Hva sier forslaget til ny forvaltningslov om samtykkebasert deling?

I forrige utgave av Lov & Data skrev jeg om samtykkebasert deling av data. Jeg forsøkte å få frem hvordan samtykke sikrer involvering av personen som opplysningene gjelder, og at denne involveringen fungerer som en sikkerhetsmekanisme som reduserer risikoen for at opplysningene kommer på avveie. Dette er i kontrast til lovhjemmelbasert deling der utro tjenere hos mottakeretaten, eller et vellykket hackerangrep, kan gi uautorisert tilgang til opplysninger hos avgiveretaten. Hjemmelen for samtykkebasert deling er forvaltningslovens § 13a nr. 1, som sier at taushetsplikt ikke er til hinder for at «opplysninger gjøres kjent for dem som de direkte gjelder, eller for andre i den grad de som har krav på taushet samtykker».

I artikkelen tok jeg også opp at det er stor usikkerhet om offentlige etater kan basere seg på samtykke for deling av data, ettersom personvernforordningen førte til en innstramming av myndighetenes bruk av samtykke som behandlingsgrunnlag. Denne innstrammingen gjenspeiles i Datatilsynets veiledning om samtykke:

I artikkelen foreslo jeg to ulike måter å argumentere for at offentlige etater likevel er på trygg rettslig grunn ved bruk av samtykke til deling av data. Den gode nyheten er at mine forslag til argumentasjon ikke lenger er relevante. Problemstillingen ble nemlig nylig løst i Justis- og beredskapsdepartementets (JD) forslag til ny forvaltningslov, Prop. 79 L (2024–2025).^{(1)Prop. 79 L (2024–2025) Lov om saksbehandlingen i offentlig forvaltning (forvaltningsloven) Tilråding fra Justis- og beredskapsdepartementet 4. april 2025, godkjent i statsråd samme dag. Se: https://www.regjeringen.no/no/dokumenter/prop.-79-l-20242025/id3094317/}

Før jeg går videre til hva som står i lovforslaget om samtykke, vil jeg vise hvordan temaet har vært problematisert og diskutert i ulike høringer fra JD siden 2019.

I NOU 2019:5 la forvaltningslovutvalget frem sitt forslag til ny forvaltningslov. Utvalget mente at regelen i dagens fvl § 13a nr. 1 burde videreføres.^{(2)Kapittel 19.12.3, se: https://www.regjeringen.no/no/dokumenter/nou-2019-5/id2632006/?ch=20#KAP19-12-3} Samtidig påpekte de: «Ved utformingen av bestemmelsen må det imidlertid tas hensyn til at et samtykke til å dele personopplysninger må oppfylle vilkårene i personvernforordningen.»^{(3)samme som over} Med andre ord mente de at et samtykke til deling av personopplysninger etter forvaltningslovens regel samtidig måtte være et samtykke som lovlig behandlingsgrunnlag etter personvernforordningen. Videre skrev utvalget dengang: «Langt på vei er [vilkårene i personvernforordningen] krav som allerede fulgte av norsk rett, men det kan neppe utelukkes at kravene nå går noe lenger.»^{(4)Samme som over} Derfor, for å unngå uklarhet, konkluderte forvaltningslovutvalget dengang: «For å unngå at kravene etter forvaltningsloven og personopplysningsloven blir forskjellige, bør kravene etter forvaltningsloven svare til kravene i forordningen.»^{(5)Samme som over}

Her oppstår det en selvmotsigelse: En lov som retter seg mot offentlige myndigheter skal ha krav til gyldig samtykke som svarer til vilkårene i en forordning der et viktig poeng er at offentlige myndigheter normalt ikke kan bruke samtykke.

Denne selvmotsigelsen ble heldigvis fanget opp av Viken fylkeskommune i JDs høring av NOU 2019:5. Viken fylkeskommune viste til Datatilsynets veiledning, jf. sitatet i innledningen, og advarte mot konsekvensene av forvaltningslovutvalgets forslag:

Så, vinteren 2021, gjennomførte Justis- og beredskapsdepartementet en høring på utkast til veileder om taushetsplikt m.m.^{(6)Høring - utkast til veileder om taushetsplikt, opplysningsplikt og opplysningsrett i forvaltningen, 15. februar 2021. Se: https://www.regjeringen.no/no/dokumenter/horing-utkast-til-veileder-om-taushetsplikt-opplysningsplikt-og-opplysningsrett-i-forvaltningen/id2834815/} Denne veilederen skulle ikke innebære noen endring, bare en hjelp til å forstå gjeldende rett.

Videre står det blant annet om regelen i fvl § 13a nr. 1. Utkastet viser til forvaltningslovutvalget og påpeker at et samtykke etter fvl § 13a nr. 1 også må oppfylle kravene til samtykke i personvernforordningen. Samtidig står det senere:

Dette er et stort steg bort fra budskapet fra Datatilsynet, om at offentlige myndigheter normalt ikke kan bruke samtykke, og fremstår som paradoksalt når det samtidig er vist til forvaltningslovutvalget. Utkastet inneholdt ingen nærmere begrunnelser for hvorfor den var såpass forskjellig fra Datatilsynets veileder om samtykke.^{(7)Utkastet til veileder inneholdt til gjengjeld en oppklaring om kravet til å kunne trekke tilbake samtykke, som noen mener gjør det umulig/vanskelig for offentlig sektor å bruke samtykke: «Et samtykke kan trekkes, men tilbaketrekkingen virker bare fremover. Hvis forvaltningen allerede har gitt opplysninger videre på grunnlag av samtykke, må det mottakende organet fortsatt kunne bruke de opplysningene det har fått. Tilbaketrekkingen av samtykket hindrer derimot at personer med taushetsplikt fortsetter å gi opplysninger på grunnlag av samtykket (hvis det ikke finnes andre grunnlag for å dele informasjonen).» Kilde: Samme som over.} Kravene til gyldig samtykke ble derfor et tema i flere av høringssvarene.

Brønnøysundregistrene etterlyste konkrete eksempler på hvordan man kan vurdere styrkeforholdet mellom myndighetene og individet, og stilte også spørsmål om det kunne være slik at frivillighetskravet var oppfylt dersom deling av opplysninger basert på samtykke ble tilbudt som et alternativ til at den registrerte sendte inn opplysningene selv.^{(8)Høringssvar fra Brønnøysundregistrene, 8. april 2021, se: https://www.regjeringen.no/contentassets/f41a04d2237e43c3b512bd80053a8ede/annen-offentlig-etat/bronnoysundregistrene.pdf?uid=Br%C3%B8nn%C3%B8ysundregistrene}

Digitaliseringsdirektoratet, som på det tidspunktet hadde et ressurssenter for deling av data som fokuserte på juridiske problemstillinger, skrev følgende:

Skattedirektoratet etterlyste også mer omtale av samtykke, med henvisning til at det foreligger særskilte krav til gyldig samtykke.^{(9)Høringssvar fra Skattedirektoratet, 12. april 2021, se: https://www.regjeringen.no/no/dokumenter/horing-utkast-til-veileder-om-taushetsplikt-opplysningsplikt-og-opplysningsrett-i-forvaltningen/id2834815/?uid=50ac613a-a83a-4f6f-b801-21b31629c521}

Det er verdt å merke at utkastet til veilederen egentlig gikk langt i å bruke samtykke som en måte å redusere risikoen for å tolke andre regler for langt. I innledningen til kapitlet om når taushetsbelagt informasjon kan deles, står det et råd om å innhente samtykke, fremfor å bevege seg i grensene for det som tillates etter andre regler: «I praksis kan det ofte være klokt å innhente samtykke, særlig hvis man er i tvil om man er nær grensen for hva slags informasjon man kan dele etter forvaltningslovens regler.»^{(10)Utkast til veileder om taushetsplikt, opplysningsrett og opplysningsplikt … Se: https://www.regjeringen.no/contentassets/2f0aa4fc39004edba35b8027fe80be16/veileder-om-taushetsplikt-opplysningsrett-og-opplysningsplikt.pdf}

Da den endelige versjonen av veilederen ble publisert 14. februar 2023, inneholdt den ingen grundigere oppklaring av problemstillingen eller eksempler til hjelp for å gjøre vurdering av styrkeforholdet, slik flere av høringsinstansene hadde bedt om. Tvert imot kan det sies at den ble enda mer forvirrende, fordi en formulering tilsvarende Datatilsynets veiledning om samtykke ble tatt inn i veilederens kapittel om personvernforordningen: «Offentlige myndigheter bør normalt ikke bruke samtykke som behandlingsgrunnlag, siden den enkelte ofte kan være i et avhengighetsforhold til organet.»^{(11)Veileder om … , kapittel 3. Se: https://www.regjeringen.no/no/dokumenter/taushetsplikt-opplysningsrett-og-opplysningsplikt-i-forvaltningen-en-veileder/id2963083/?ch=3} Altså står det nå i samme veileder at samtykke normalt ikke kan brukes, og at det i noen tilfeller ikke kan brukes. Det kunne gitt god mening siden de to formuleringene omhandlet samtykke i to forskjellige kontekster, henholdsvis som behandlingsgrunnlag etter personvernforordningen, og deling av opplysninger etter forvaltningsloven. Men, ettersom det samtidig ble henvist til forvaltningslovutvalgets forslag om at kravene til samtykke skulle være felles for de to regelverkene, så eksisterte fortsatt selvmotsigelsen fra forvaltningslovutvalget i 2019.

Når JD nå i 2025 kom med sitt forslag til ny forvaltningslov, så vet vi med bakgrunn i det jeg har skrevet over at departementet har hatt et solid grunnlag for å forstå problemstillingen: Hvordan kan offentlige myndigheter bruke samtykke i forvaltningsloven hvis de samtidig skal følge personvernforordningens krav til gyldig samtykke?

Lovforslagets kapittel 12.5.4.2 inneholder JDs vurderinger av regelen om deling med samtykke.^{(12)Se: https://www.regjeringen.no/no/dokumenter/prop.-79-l-20242025/id3094317/?ch=12#kap12-5-4-2} For det første er de enige i at dagens regel bør videreføres. Videre deler de forvaltningslovutvalgets syn om at kravet til samtykke etter forvaltningsloven bør samsvare med kravene til samtykke i personvernforordningen. Og i likhet med utvalget antar de også at kravene i stor grad svarer til de som stilles etter gjeldende forvaltningslov.

Deretter viser JD til innvendingene som har kommet i høringen til en slik løsning; på grunn av at den enkelte ofte vil være i et avhengighetsforhold til myndighetsorganet, som skaper usikkerhet om et samtykke isåfall er gitt frivillig. De skriver så:

Så langt virker det som om JD er enig med både forvaltningslovutvalget og med høringsinstansene som advarte mot utvalgets forslag. Så hva blir da løsningen? Svaret er at ikke alle former for behandling av personopplysninger er like:

Så når samtykket er knyttet til deling av opplysninger, vil det ofte være snakk om en form for behandling av personopplysninger der hovedregelen om at det offentlige ikke kan benytte samtykke som behandlingsgrunnlag, ikke er relevant.

Men siden det er ofte, og ikke alltid, betyr det at det må gjøres en konkret vurdering, og konsekvensene kan bli store hvis en offentlig myndighet vurderer dette feil. Derfor er det grunn til å tro at mange vil konkludere med at det beste er å la være. En konkret lovhjemmel i gir etatene fordelen ved at den fratar den etaten ansvaret for selv å vurdere om det er riktig å dele, ettersom spørsmålet da er avgjort av lovgiver.

Heldigvis stopper ikke JD her. De skriver videre:

Det kan nesten virke for godt til å være sant, at kravet til frivillighet vil være oppfylt for de tilfellene der det i praksis er aktuelt å dele opplysninger på grunnlag av samtykke. Heldigvis spesifiserer JD dette på en litt annen måte i merknadene til de enkelte bestemmelsene i lovforslaget (kapittel 30). Samtykke-regelen finnes i lovforslagets § 34, første ledd, bokstav a. I merknadene til denne gir departementet et eksempel på en konkret situasjon der frivillighetskravet er oppfylt:

Som det fremgår av lovforslaget, så er § 34, første ledd, bokstav a, en videreføring av gjeldende rett. Med andre ord betyr det at vi allerede idag kan støtte oss på merknaden sitert over, og tilby samtykkebasert deling av data i stedet for at den opplysningene gjelder selv må oppgi de samme opplysningene, og være trygg på at frivillighetskravet er oppfylt. Det er et stor skritt for målsetningen om en effektiv og brukervennlig offentlig sektor!

Lovforslagets § 34 innfører også en ny regel om at det må foretas en forholdsmessighetsvurdering, i andre ledd: «Andre ledd er ment som en sikkerhetsventil for å fange opp særlige tilfeller der opplysningene likevel ikke bør deles i det konkrete tilfellet.»^{(13)Samme som over, merknad til § 34 andre ledd} Når det gjelder regelen om samtykke, er det interessant å se at dersom samtykket er gyldig, så anser departementet at delingen som klar hovedregel er forholdsmessig:

Denne formuleringen oppsummerer etter min mening lovforslagets klargjøring av at samtykkebasert deling av opplysninger ikke bare kan være lovlig, men for situasjoner som beskrevet over – der samtykkebasert deling tilbys som alternativ til å oppgi de samme opplysningene selv – som klar hovedregel både oppfyller kravet til frivillighet og det fremtidige kravet om forholdsmessighet.

Jeg oppfatter lovforslaget til å være positiv til å bruke samtykke som grunnlag for å dele data.

Jeg oppfatter lovforslaget til å være positiv til å bruke samtykke som grunnlag for å dele data. Som jeg skrev i innledningen, sikrer samtykke involvering av den opplysningene gjelder. Derfor passer det etter min mening fint å avslutte med et sitat fra lovforslagets omtale av en regel som ble foreslått av forvaltningslovutvalget i NOU 2019:5 om utvidet delingsadgang mellom forvaltningsorgan, en regel som departementet har besluttet å forkaste. Sitatet oppsummerer etter min mening utfordringen med den regjeringens gjeldende politikk for å oppnå målet om «Kun én gang», nemlig at gjenbruk av opplysninger skal baseres på lovhjemmel:^{(14)Se bl.a. Meld. St. 27 (2015–2016), Digital Agenda for Norge, kapittel 7.3 Hjemmel som forutsetning for gjenbruk, se: https://www.regjeringen.no/no/dokumenter/meld.-st.-27-20152016/id2483795/?ch=2#kap7-3}