Datatilsynet mener forslagene har omfattende konsekvenser for personopplysningsvernet. Det er avgjørende at tiltakene er nødvendige og forholdsmessige, også i en unntakssituasjon. Den mest inngripende delen av forslaget bør etter vår mening ikke innføres i sin nåværende form.
Arbeids- og sosialdepartementet har sendt på høring en forskrift med forslag om flere tiltak for å effektivisere Arbeids- og velferdsetatens (NAVs) saksbehandling under Covid-19-pandemien. Som for flere slike forskrifter, var høringsfristen kun én uke.
Departementet har foreslått at NAV skal kunne hente inn og lagre samtlige inntektsopplysninger om alle landets innbyggere – uavhengig av om man har sendt søknad om ytelse/tjeneste fra NAV.
Forslaget er begrunnet i at plattformen for utveksling av opplysninger mellom Skatteetaten og NAV (a-ordningen) tidvis er nede eller feiler. Datatilsynet mener at departementet ikke har godtgjort at nytteverdien for NAV overstiger de åpenbare personvernulempene ved at NAV skal sitte med fullstendige inntektsopplysninger om alle borgere.
Etter vårt syn fremstår ikke tiltaket som forholdsmessig; det bryter med prinsippet om dataminimering og bør ikke innføres slik det foreligger.
Videre har departementet foreslått at NAV skal kunne bruke personopplysninger i forbindelse med analyser og innsiktsarbeid. Vanligvis bruker NAV anonyme data til slike formål. Datatilsynet har pekt på viktigheten av å unngå at personopplysninger brukes fordi det fremstår som enklere enn å anonymisere opplysningene, eller at man ved hjelp av personopplysninger utfører analyser og lignende som ikke knytter seg til situasjonen under koronapandemien.
Departementet har også foreslått at personopplysninger skal kunne brukes ved utvikling og testing av IT-systemer. Også her er det viktig at personopplysninger ikke brukes der anonyme eller syntetiske data egentlig kunne vært brukt, fordi det vil være en enklere løsning.
Dersom personopplysninger må brukes, kan pseudonymisering være et relevant tiltak for bedre å ivareta personvernet. Vi mener også at testprosessene bør dokumenteres, slik at vi og andre i ettertid kan kontrollere om alt har gått riktig for seg.
I høringen er det også foreslått at NAV skal kunne gjøre bruk av automatiserte avgjørelser – det vil si avgjørelser som kun baserer seg på automatisk behandling av personopplysninger. Automatiserte avgjørelser har en iboende risiko for utilsiktet diskriminering og forskjellsbehandling.
Retten til vern mot diskriminering og usaklig forskjellsbehandling er en grunnleggende menneskerettighet. Det er derfor viktig å kontrollere at automatiserte avgjørelser er korrekte og rettferdige. Personvernregelverket gir også i utgangspunktet den enkelte rett til en menneskelig vurdering av sin sak. Det vil være viktig å gi god informasjon om klagerett og muligheten til å få saken vurdert av en fysisk person.
Når det gjelder varigheten av forskriften, er det foreslått at den skal vare så lenge NAV har uvanlig høy saksinngang eller lang saksbehandlingstid som følge av Covid-19-pandemien. Dette er svært uklare kriterier.
Datatilsynet har pekt på at inngripende tiltak, selv i en unntakssituasjon, ikke skal vare lenger enn det som er strengt nødvendig. Vi mener derfor at forskriften må gjøres tidsbegrenset med en varighet på for eksempel seks måneder. Dersom det er aktuelt å forlenge varigheten, bør tiltakene evalueres og være gjenstand for en ny formell prosess. Dette vil være en viktig personverngaranti.