Utvidede hjemler for innhenting av personopplysninger til Lånekassen (høringsuttalelse)

Lånekassen ønsker å innhente flere av opplysningene de trenger fra andre offentlige organer elektronisk. Vi må vise varsomhet når vi lager slike løsninger, fordi slik automatisering innebærer en fare for passivisering av borgerne, mener Datatilsynet.

Fordelen med å innhente opplysninger fra andre offentlige etater automatisk, er at Lånekassen vil motta kun den informasjonen som er relevant for saksbehandlingen.

Sender inn for mye

I dag er det slik at søkeren eller lånetakeren selv sender inn dokumentasjon til Lånekassen i forbindelse med søknader om lån eller stipend. På denne måten får Lånekassen mye overskuddsinformasjon. Søkere kan ofte sende sensitiv informasjon om seg selv og tredjepersoner som ikke er relevant i saksbehandlingen. Datatilsynet støtter Kunnskapsdepartementets vurdering av at Lånekassen ved elektronisk innhenting av opplysninger fra andre etater i større grad vil motta den informasjonen som er relevant for saksbehandlingen.

Borgeren skal ta aktive valg

Det er imidlertid et viktig rettsikkerhetsprinsipp at borgerne skal ta informerte valg og aktive beslutninger. Overdreven bruk av automatisert innhenting av informasjon kan føre til passivisering av borgerne. Når forvaltningen vil innføre nye automatiserte prosesser, må det derfor gjøres en vurdering av nødvendigheten opp mot faren for at dette skjer. 

Bygg inn personvernet i løsningen

Datatilsynet mener derfor at hensynet til effektiv saksbehandling må veies opp mot ivaretakelse av personvernet. Tilsynet ønsker utviklingen med flere automatiserte avgjørelser i saksbehandlingen velkommen, dersom det gjøres på en god måte. Vi forutsetter at 

  • Borgeren må informeres om de automatiserte prosessene slik at han eller hun kan ivareta sine rettigheter etter personopplysningsloven. 
  • Virksomheten må ha tydelige rutiner for å ivareta informasjonsplikt, innsyn, retting, og sletting før de automatiserer. 
  • Hensynet til personvern må bygges inn i selve IT-systemene, det vi kaller innebygd personvern. 

Forslagene til endringer som nå er på høring, virker for øvrig forankret i reelle og konkrete behov for opplysninger i Lånekassens saksbehandling. Departementet viser god forståelse for viktige personvernrettslige prinsipper. 

Innhente opplysninger om utdanning og arbeid

Departementet ønsker at Lånekassen ved automatisk innhenting av personopplysninger fra NAV skal kunne innhente informasjon om perioder låntaker har vært i arbeid, utdanning eller arbeidsrettede tiltak. Denne informasjonen har noe å si for om låntaker har rett til rentefritak. Lånekassen kan i dag hente disse opplysningene når de får inn en søknad om rentefritak. Det bes altså om en utvidet rett uavhengig av om låntaker søker om rentefritak eller ikke. Datatilsynet mener en slik endring vil være i strid med prinsippet om at perosnopplysninger som behandles skal være relevant og nødvendig for et bestemt formål. Vi støtter derfor ikke denne foreslåtte endringen i forskriften. 

Innhente opplysninger om sykemelding

Lånekassen kan i dag innhente opplysninger fra NAV om perioder søker eller låntaker har vært sykmeldt. Denne informasjonen kan kun brukes til å vurdere om låntaker har rett til betalingsutsettelse eller omgjøring av lån til stipend på grunn av sykdom. 

Kunnskapsdepartementet foreslår å oppheve begrensningen. Datatilsynet mener at det er gode grunner til å verne særlig om sensitive personopplysninger, og mener begrensningen bør opprettholdes. 

Les hele høringsuttalelsen fra Datatilsynet her (pdf)