Propositionens utgångspunkter

Syftet med den föreslagna lagstiftningen om automatiskt beslutsfattande inom den offentliga förvaltningen är att skapa ett allmänt regelverk för hur en myndighet kan avgöra ett förvaltningsärende genom automation och samtidigt säkerställa att särskilt principerna för förvaltningens lagbundenhet, offentlighet, god förvaltning och rättssäkerhet samt tjänsteansvar iakttas. För det andra syftar lagstiftningen till att lägga den rättsliga grund som EU:s dataskyddslagstiftning kräver för ett automatiserat beslut som berör en fysisk person och att skydda personuppgifter om den fysiska person som beslutet avser. 

Bakgrunden till propositionen är grundlagsutskottets och de högsta laglighetsövervakarnas ställningstaganden under de senaste åren. Grundlagsutskottet har i sina utlåtanden uppmärksammat statsrådet på att automatiserat beslutsfattande förefaller inkludera ett flertal frågor som inte har reglerats i de allmänna förvaltningslagarna. Grundlagsutskottet har förutsatt att statsrådet utreder om regleringen av automatiserat förvaltningsförfarande och automatiserat beslutsfattande uppfyller de krav som följer av förvaltningens lagbundenhet, offentlighetsprincipen och rättsprinciperna för förvaltningen, som ligger till grund för en god förvaltning, samt hur rättstryggheten tillgodoses och tjänstemännens ansvar förverkligas (GrUU 7/2019 rd, GrUU 78/2018 rd, GrUU 70/2018 rd och GrUU 62/2018 rd). Riksdagens biträdande justitieombudsman och justitiekanslern i statsrådet har i sina avgöranden hänvisat till motsvarande frågor och bland annat ansett att Skatteförvaltningens och Folkpensionsanstaltens automatiserade förfaranden saknar behövlig laggrund (bl.a. EOAK/3379/2018 och OKV/131/70/2020). 

I propositionen föreslås det att det till förvaltningslagen (434/2003) fogas ett nytt 8 b kap., där det föreskrivs om förutsättningarna för automatiserat avgörande, om en rättsskyddsförutsättning och om myndigheters skyldighet att meddela en part om att ett ärende har avgjorts automatiserat (lagförslag 1). Det föreslås att det till lagen om informationshantering inom den offentliga förvaltningen (906/2019, nedan informationshanteringslagen) fogas bestämmelser om införande och dokumentering av automatiserade beslutsförfaranden, kvalitetssäkring och kvalitetskontroll samt lämnande av information (om automatiska beslutsförfaranden) (lagförslag 2). Det föreslås att det till lagen om tillhandahållande av digitala tjänster (306/2019) fogas bestämmelser om användning av tjänsteautomation vid rådgivning (lagförslag 3). Dessutom ändras lagen om behandling av personuppgifter i brottmål och vid upprätthållandet av den nationella säkerheten (1054/2018, nedan dataskyddslagen avseende brottmål, lagförslag 4) och 5 kap. i jordabalken (lagförslag 5) för att möjliggöra automatiserade lösningar i vissa beslut som hör till tillämpningsområdet för dessa lagar. 

Förvaltningsutskottet anser att det föreslagna lagstiftningspaketet är viktigt och motiverat. De ändringar som föreslås i förvaltningslagen och informationshanteringslagen kompletterar den allmänna förvaltningslagstiftningen. Genom de ändringar som föreslås i förvaltningslagen skapas en rättslig grund för automatiserat beslutsfattande inom förvaltningen. Propositionen ökar rättssäkerheten i det automatiska beslutsfattandet och främjar digitaliseringen av förvaltningen och samhället. 

Grundlagsutskottet anför att lagförslagen kan behandlas i vanlig lagstiftningsordning, men lagförslag 2 bara om utskottets konstitutionella anmärkning om dess exakthet och tydlighet beaktas på behörigt sätt. 

Förvaltningsutskottet behandlar grundlagsutskottets konstitutionella och andra anmärkningar nedan i detta betänkande och föreslår utöver ändringar i lagförslag 2 också ändringar i lagförslag 1 och 3. Förvaltningsutskottet anser det vara viktigt att man följer hur den nu aktuella lagstiftningshelheten fungerar och vilka konsekvenser den har och vid behov vidtar åtgärder för att se över lagstiftningen. 

Grundlagsutskottet anser att förvaltningsutskottet bör bedöma om också andra faser av behandlingen av förvaltningsärenden bör bli föremål för allmän reglering genom en separat beredning. Till denna del konstaterar förvaltningsutskottet att det i den aktuella propositionen föreslås bestämmelser om automatiserat avgörande av förvaltningsärenden, eftersom det finns ett brådskande behov av reglering på det området. Automatisering kan också förekomma exempelvis när ett ärende inleds eller utreds och vid hörande av en part. Utskottet känner inte till några brådskande regleringsbehov i anslutning till dessa behandlingsfaser, men det är motiverat att bedöma det behovet i ett lämpligt sammanhang. Om den förordning om artificiell intelligens som behandlas inom EU antas, finns det anledning att bedöma också dess inverkan på behandlingen av förvaltningsärenden. 

Förhållande till EU:s dataskyddslagstiftning

EU:s allmänna dataskyddsförordning förbjuder beslut som enbart grundar sig på automatiserad behandling och som innefattar rättsverkningar eller andra betydande konsekvenser. Inom det nationella handlingsutrymme som förordningen medger är det likväl möjligt att nationellt föreskriva om automatiserat individuellt beslutsfattande. Då gäller det att se till att regleringen i sin helhet är förenlig med den allmänna dataskyddsförordningen och att det också föreskrivs om lämpliga åtgärder för att skydda den registrerades rättigheter och friheter samt berättigade intressen. Dataskyddslagen avseende brottmål (1054/2018), som genomför dataskyddsdirektivet för det brottsbekämpande området, förbjuder automatiserat individuellt beslutsfattande, om beslutet har negativa rättsverkningar för den registrerade eller beslutet annars är betydande för den registrerade. 

Grundlagsutskottet har i sin utlåtandepraxis betonat att bestämmelserna i den dataskyddsförordning som utarbetats med tanke på skyddet för personuppgifter inte utgör en tillräcklig grund för automatiserat beslutsfattande med avseende på principerna för god förvaltning och rättsskyddet inom förvaltningen (GrUU 7/2019 rd). Å andra sidan är det i och för sig klart att unionslagstiftningen enligt EU-domstolens etablerade rättspraxis har företräde framför nationell rätt i enlighet med de villkor som lagts fast i denna rättspraxis (se GrUU 20/2017 rd och GrUU 51/2014 rd, s. 2/II) och att det inte finns skäl att i Finlands nationella lagstiftning gå in för lösningar som strider mot EU-lagstiftningen (t.ex. GrUU 19/2021 rd, stycke 14 och den utlåtandepraxis som nämns där). 

Grundlagsutskottet anser att dataskyddsförordningens detaljerade bestämmelser, som tolkas och tillämpas i enlighet med de rättigheter som garanteras i EU:s stadga om de grundläggande rättigheterna, allmänt taget utgör en tillräcklig rättslig grund även med avseende på skyddet för privatlivet och personuppgifter enligt 10 § i grundlagen. Skyddet för personuppgifter bör i första hand tillgodoses utifrån den allmänna dataskyddsförordningen och den allmänna lagstiftningen på nationell nivå (se GrUU 14/2018 rd, s. 4). Utskottet har granskat lagförslag som innebär profilering och automatiserat beslutsfattande (GrUU 15/2018 rd, s. 43—45) också med tanke på skyddet för personuppgifter och ansett det vara klart att lagstiftarens behörighet inte i strid med bestämmelserna i dataskyddsförordningen kan införa bestämmelser om automatiserad behandling av känsliga uppgifter som är centrala med tanke på skyddet för privatlivet. 

Enligt grundlagsutskottet bör förvaltningsutskottet försäkra sig om att regleringen är förenlig med EU:s dataskyddsförordning och fästa särskild uppmärksamhet vid bestämmelserna i artikel 22.3 om rätten till personlig kontakt med den personuppgiftsansvarige. 

Förvaltningsutskottet konstaterar att enligt artikel 22.1 i den allmänna dataskyddsförordningen ska den registrerade ha rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling, vilket har rättsliga följder för honom eller henne eller på liknande sätt i betydande grad påverkar honom eller henne. Enligt artikel 22.2 b ska artikel 22.1 inte tillämpas om beslutet tillåts enligt unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av och som fastställer lämpliga åtgärder till skydd för den registrerades rättigheter, friheter och berättigade intressen. Beredningen av den nu föreslagna nationella lagstiftningen baserar sig på det nationella handlingsutrymme som avses i artikel 22.2 b i dataskyddsförordningen. 

Enligt artikel 22.3 i dataskyddsförordningen ska den personuppgiftsansvarige i de fall som avses i artikel 22.2 a och c genomföra lämpliga åtgärder för att säkerställa den registrerades rättigheter, friheter och rättsliga intressen, åtminstone rätten till personlig kontakt med den personuppgiftsansvarige för att kunna uttrycka sin åsikt och bestrida beslutet. Eftersom propositionen grundar sig på artikel 22.2 b i dataskyddsförordningen, blir bestämmelsen i artikel 22.3 inte tillämplig. 

Det förutsätts dock också i artikel 22.2 b i dataskyddsförordningen att skyddsåtgärder vidtas. Enligt bestämmelsen ska i unionsrätten eller en medlemsstats nationella rätt där behandlingen godkänns också fastställas lämpliga åtgärder till skydd för den registrerades rättigheter, friheter och berättigade intressen. Kravet på skyddsåtgärder är således mer allmänt formulerat än i artikel 22.3. Enligt skäl 71 i förordningen bör den form av uppgiftsbehandling som avses i artikel 22 under alla omständigheter omgärdas av lämpliga skyddsåtgärder, som bör inkludera specifik information till den registrerade och rätt till mänskligt ingripande, att framföra sina synpunkter, att erhålla en förklaring till det beslut som fattas efter sådan bedömning och att överklaga beslutet. Mot bakgrund av det riskbaserade synsätt som valts i dataskyddsförordningen ger skäl 71 i fråga om artikel 22.2 b lagstiftaren mer utrymme att i varje enskilt fall överväga lämpliga skyddsåtgärder. I artikel 11.1 i dataskyddsdirektivet för brottsbekämpning föreskrivs det om skyddsåtgärder, inbegripet rätten till mänskligt ingripande från den personuppgiftsansvariges sida. Skyddsåtgärden ska dessutom enligt båda författningarna vara avgiftsfri, och den registrerade ska kunna rikta den till den personuppgiftsansvarige som har fattat det automatiserade beslutet. 

I 53 f § i förvaltningslagen föreslås som en särskild skyddsåtgärd bestämmelser om en rättsskyddsförutsättning, enligt vilket en förutsättning för att ett ärende ska kunna avgöras automatiserat är att det någon annanstans i lag föreskrivs om rätt för en fysisk person som är föremål för ett automatiserat beslut att avgiftsfritt begära omprövning eller utnyttja ett jämförbart rättsmedel. Genom förutsättningen att omprövning ska kunna begäras tillgodoses den rätt att kräva att en människa deltar i behandlingen av uppgifter som avses i EU:s dataskyddslagstiftning. 

Förvaltningsutskottet betonar att det i den föreslagna 53 f § i förvaltningslagen inte föreskrivs om sökande av ändring, utan om en ytterligare förutsättning som måste uppfyllas för automatiserade avgöranden. Av paragrafen i sig följer inte rätt att begära omprövning och den påverkar inte heller annars de befintliga rättsmedlen. En parts rätt att begära omprövning och rätt till rättsskydd tryggas med stöd av annan lagstiftning. I lag bestäms särskilt när det är möjligt att begära omprövning av ett beslut (49 b § 1 mom. i förvaltningslagen). 

Den i 53 g § i förvaltningslagen föreslagna regleringen om myndigheternas skyldighet att underrätta parterna om automatiserat avgörande är också en skyddsåtgärd. Utskottet granskar detta och andra bestämmelser om information till den registrerade separat nedan. 

Allmänna skyddsåtgärder vid automatiserad behandling är de rättsskyddsgarantier enligt den gällande förvaltningslagen som ingår i förvaltningsförfarandet, såsom rätten att bli hörd och rätten att få ett motiverat beslut. Också bestämmelserna om ändringssökande och tjänsteansvar fungerar som skyddsåtgärder. 

Dessutom innehåller dataskyddsförordningen och dess komplement dataskyddslagen (1050/2018) samt dataskyddslagen avseende brottmål detaljerade bestämmelser bland annat om de allmänna principerna för behandling av personuppgifter, om den personuppgiftsansvarigas skyldigheter, om den registrerades rättigheter, om informationssäkerhet och övervakning och om följderna av lagstridig behandling av personuppgifter. 

Enligt förvaltningsutskottets uppfattning beaktas i de nu föreslagna bestämmelserna på behörigt sätt de krav som följer av unionsrätten. Behörigheten att bedöma om lagstiftningen harmonierar med unionsrätten hör emellertid till EU-domstolen. 

Förslagen till ändring av förvaltningslagen

Regleringens tillämpningsområde

I det nya 8 b kap. i förvaltningslagen föreslås bestämmelser om förutsättningarna för automatiserat avgörande av ärenden och om skyldigheterna i anslutning till det. Med avgörande av ärenden hänvisas enligt propositionsmotiven till 7 kap. i förvaltningslagen (”Avgörande av ärenden”) och där avsett avgörande som avslutar behandlingen av ett förvaltningsärende och genom vilket det beslutas om någons fördel, rätt eller skyldighet. Sådana avgöranden fattas exempelvis i ärenden som gäller ansökan om förmån (t.ex. sociala förmåner), skyldigheter (t.ex. beskattning) eller tillstånd (t.ex. körkort). I motiven sägs det vidare att avgörande av ett ärende enligt bestämmelsen avser en åtgärd som avslutar behandlingen av ett förvaltningsärende. Därför är regleringen i princip inte tillämplig exempelvis på faktisk förvaltningsverksamhet, såsom tillhandahållande av offentliga tjänster. 

Förvaltningsutskottet konstaterar att den myndighet som tillämpar regleringen utifrån de allmänna utgångspunkterna i förvaltningslagen och lagen om rättegång i förvaltningsärenden (808/2019) ska bedöma om det är fråga om ett avgörande i ett ärende enligt förvaltningslagen. Bedömningen kan till exempel i samband med en registeranteckning påverkas av om det vid registeranteckningen är fråga om ett beslut eller någon annan handläggningsåtgärd, till exempel faktisk förvaltningsverksamhet eller verkställighet av ett beslut. Även regleringslösningarna i den tillämpliga speciallagstiftningen kan inverka på bedömningen. 

Enligt förslaget ska automatiserat avgörande grundas på behandlingsregler som har utarbetats med stöd av tillämplig lag och som avses i 2 § 16 punkten i lagen om informationshantering. Denna utgångspunkt utesluter i praktiken självlärande AI-system. Regleringen begränsar dock inte att den som bereder ärendet tar hjälp av artificiell intelligens eller annan automatik, men AI-systemet får inte fatta det slutliga beslutet. 

I den föreslagna regleringen betonas myndigheternas skyldighet att vid utformningen av behandlingsregler bedöma det automatiserade beslutsfattandets laglighet med avseende på den materiella och processuella lagstiftningen. Också frågor kring exempelvis barnens rättigheter bör bedömas i det sammanhanget. När en myndighet bedömer om ett ärende som gäller ett barn kan avgöras automatiserat eller när en omständighet som hänför sig till ett enskilt beslut och som kräver prövning från fall till fall bedöms, ska myndigheten beakta de skyldigheter som följer av FN:s konvention om barnets rättigheter. 

Med stöd av den föreslagna regleringen kan i praktiken schematiska avgöranden automatiseras. Om avgörandet av ett ärende förutsätter prövning från fall till fall, ska behandlingen till denna del överföras på en människa. Myndigheten ska beakta detta när den utarbetar behandlingsreglerna. 

Regeringen har i propositionen strävat efter att beakta bland annat grundlagsutskottets praxis i fråga om automatiserat beslutsfattande. Enligt utskottet ska det av lagen framgå på vilka grunder ärenden kan avgöras genom automatiserat beslutsfattande (GrUU 70/2018 rd, s. 3). Enligt utskottet lämpar sig automatiserat beslutsfattande inte för sådant administrativt beslutsfattande som förutsätter att beslutsfattaren utövar omfattande prövningsrätt (GrUU 7/2019 rd, s. 9). 

Grundlagsutskottet fäste i sitt utlåtande uppmärksamhet vid bestämmelsen om myndighetens förhandsprövning i det föreslagna 53 e § 2 mom. och anser att förvaltningsutskottet bör granska bestämmelsens ordalydelse. Förvaltningsutskottet konstaterar att bestämmelsen bör förtydligas och föreslår att ordalydelsen preciseras på det sätt som närmare framgår av detaljmotiveringen. 

Information till den registrerade om automatiserat beslutsfattande

EU:s gällande dataskyddslagstiftning och den föreslagna nationella lagstiftningen innehåller bestämmelser om information till den registrerade när ett automatiserat beslut om honom eller henne fattas eller kan fattas. 

I 53 g § i lagförslag 1 föreslås det bestämmelser om myndighetens skyldighet att meddela en part att ärendet har avgjorts automatiserat. Enligt förslaget ska det av ett förvaltningsbeslut framgå om ärendet har avgjorts automatiserat samt var det beslut om införande som avses i 28 d § i informationshanteringslagen finns att tillgå. Om ett förvaltningsbeslut inte meddelas i ärendet med stöd av någon annan lag, ska uppgifterna lämnas till parten på något annat sätt senast när behandlingen av ärendet avslutas. 

Bestämmelser om den personuppgiftsansvariges informationsskyldighet och de förfaranden som hänför sig till den finns i artiklarna 12, 13 och 14 i dataskyddsförordningen. Den personuppgiftsansvarige ska redan direkt med stöd av dataskyddsförordningen informera den registrerade om det automatiserade beslutsfattandet. Syftet med dataskyddsförordningens bestämmelser om information är att den registrerade ska få en heltäckande och tydlig bild av behandlingen av personuppgifter i stort, medan syftet med den föreslagna 53 g § i förvaltningslagen är att säkerställa att en parts rättsskydd tillgodoses när ett ärende avgörs automatiserat. 

I specialmotiveringen till den föreslagna 53 g § (RP 145/2022 rd s. 107) hänvisas det till skyddet för berättigade förväntningar och öppenheten i myndighetsverksamheten som motiv till att en part informeras om att ärendet har avgjorts automatiserat. Dessutom är bestämmelsen en sådan skyddsåtgärd som avses i dataskyddsförordningen och genom vilken den registrerade informeras om behandlingen. Avsikten är uttryckligen att informera om att ett specifikt myndighetsbeslut har avgjorts automatiserat. En sådan reglering avviker från informationsskyldigheten i 28 e § i informationshanteringslagen, som gäller automatiserat avgörande, och från bestämmelserna om information i artiklarna 12—14 i den allmänna dataskyddsförordningen. 

Grundlagsutskottet konstaterar att bestämmelser om förhandsinformation till den registrerade finns i dataskyddsförordningen, som är direkt tillämplig lagstiftning. Det finns alltså ingen anledning att utfärda nationella bestämmelser om förhandsinformation. Enligt grundlagsutskottets utlåtande bör förvaltningsutskottet dock överväga om det oklara rättsläge som motiveringen medför kan förtydligas genom en informativ hänvisning till bestämmelserna i dataskyddsförordningen. 

Förvaltningsutskottet anser att informativa hänvisningar är illa lämpade sig för en allmän lag och anser att det inte är nödvändigt att föreskriva om en informativ hänvisning i detta sammanhang. Vid verkställigheten av lagen ska myndigheten särskilt se till att kraven enligt dataskyddsförordningen om meddelande av uppgifter till registrerade uppfylls och att uppgifterna ges i rätt tid till den registrerade. 

Vissa tekniska eller rättsliga omständigheter kan inverka på om ett ärende slutligen avgörs automatiserat, vilket innebär att tillförlitlig information om hur ett enskilt ärende kommer att avgöras inte nödvändigtvis kan ges i den inledande fasen av behandlingen av ett ärende. Förvaltningsutskottet anser dock att det är nödvändigt att kunden informeras om att han eller hon inleder ett ärende där ärendet kan avgöras automatiserat och även informeras om möjligheterna att få ärendet behandlat av en människa. Enligt utskottets uppfattning kan denna information också genomföras på ett tekniskt enkelt sätt. 

Förslagen till ändring av informationshanteringslagen

Grundläggande lösning

Det nya 6 a kap. som föreslås i informationshanteringslagen bildar tillsammans med det nya 8 b kap. i förvaltningslagen en helhet av allmänna bestämmelser om automatiserat beslutsfattande som syftar till att säkerställa att kraven på god förvaltning uppfylls, att tjänsteansvaret riktas rätt, att beslutsfattandet är transparent och att kontrollen är tillräcklig. I 2 § i informationshanteringslagen föreskrivs det om de för 6 a kap. centrala begreppen och i 3 § om tillämpningsområdet för det nya 6 a kap. 

Grundlagsutskottet har påpekat att förslaget om ändring av informationshanteringslagen är oklart och lämnar rum för tolkning i förhållande till den gällande och den föreslagna regleringen i förvaltningslagen. Grundlagsutskottet hänvisar exempelvis till termer och uttryck såsom automatiserad verksamhetsprocess och produktion av ett avgörande. Eftersom det är fråga om ett beslutsförfarande som berör rättsskyddet och utövningen av offentlig makt, men inte regleringen av produktionen, finns det enligt utskottet anledning att i regleringen bruka en enhetlig och rättsligt entydig terminologi. Det grundläggande innehållet i dokumenteringen av grunderna för det automatiserade beslutsfattandet och behandlingsreglerna bör uttryckligen definieras i lagen. 

Grundlagsutskottet har i sin utlåtandepraxis understrukit att det är viktigt med en tydlig reglering när det finns kopplingar till de grundläggande fri- och rättigheterna och regleringen gäller fysiska personers normala dagliga aktiviteter (GrUU 70/2022 rd, stycke 12, GrUU 45/2016 rd, s. 3, se också GrUU 41/2006 rd, s. 4). Att den nu aktuella regleringen är svårbegriplig kan också ha en negativ inverkan på rättsskyddet för tjänstemän (se även GrUU 4/2021 rd, stycke 13). 

Grundlagsutskottet menar att grunderna för en behörig behandling, god förvaltning och rättsskyddet enligt 21 § i grundlagen inte framgår tillräckligt exakt och tydligt av regleringen. Regleringen är problematiskt oklar också med tanke på en korrekt fördelning av tjänsteansvaret. Bestämmelserna måste preciseras. Regleringen som helhet måste utvecklas så att förhållandet mellan lagförslagen är väsentligt tydligare. Eftersom utskottet ovan har ansett att lagförslag 1 inte är problematiskt oklart i fråga om regleringssättet, är en precisering och ett förtydligande av detta slag en förutsättning för att lagförslag 2 ska kunna behandlas i vanlig lagstiftningsordning. 

En harmonisering av regleringen med grundlagen förutsätter enligt grundlagsutskottets uppfattning dock inte en kasuistisk reglering. Även om tillämpningsområdet för bestämmelserna om informationshantering i lagförslag 2 är omfattande, är bestämmelserna å andra sidan till många delar mycket detaljerade och till sin karaktär mycket tekniska. Enligt utskottets uppfattning kan exempelvis 28 c § om kvalitetskontroll, 28 b § om testning och 28 g § om bedömning anses vara tämligen detaljerade. Utskottet anser att det föreslagna regleringssättet, också för att minska den administrativa bördan, bör ändras från en tekniskt kasuistisk teknik till att på lämpligt vis fastställa de väsentliga grunderna för regleringen. 

Även förvaltningsutskottet konstaterar att även om lagförslagen om förvaltningslagen och informationshanteringslagen reglerar samma helhet, skiljer sig regleringens detaljnivå och begreppen avsevärt från varandra i dessa lagar. Den överreglering och de oklarheter i terminologin som ingår i förslaget till ändring av informationshanteringslagen kan avsevärt försvåra verkställigheten av lagen och medföra en oproportionerlig administrativ börda som inte är nödvändig för fastställandet av grunderna för automatiserat beslutsfattande. Det finns därför skäl att förenkla regleringen och koncentrera den till det väsentliga. Förvaltningsutskottet föreslår ett flertal ändringar och strykningar i lagförslag 2 på det sätt som närmare framgår av detaljmotiveringen. 

Dokumenteringsskyldighet

I förslaget till lag om ändring av informationshanteringslagen används begreppet ”dokumentering” för att hänvisa till en tydlig och heltäckande skriftlig registrering av uppgifter och omständigheter som beskriver förfarandet för automatiserade avgörande och som är väsentliga för dess lagenlighet och påvisande av tjänsteansvar. Grundlagsutskottet anser att det grundläggande innehållet i dokumenteringen uttryckligen bör definieras i lagen. 

Enligt uppgift baserar sig ett ärende som avgjorts automatiserat på en dokumenteringskedja där myndigheten i bestående form ska registrera ansvarsförhållandena i anknytning till det automatiserade beslutsförfarandet, de omständigheter som ligger bakom det samt förändringar i det, så att det kan påvisas att förfarandet är lagenligt och att de tjänsteåtgärder som ingår i det kan konstateras. Efter den dokumentering som avses i 28 a § är följande steg i kedjan att säkerställa att det automatiserade beslutsförfarandet följer dokumentationen (28 b § i förslaget). Därpå följer att ett beslut om införande fattas baserat på dokumentationen (28 d § i förslaget). 

Med ”dokumentation” avses i propositionen sådant informationsmaterial som upprätthålls och som kan finnas i elektronisk eller fysisk form och som kan finnas som separata dokument eller som en del av en större helhet av informationshantering och där man så tydligt och täckande som möjligt beskriver uppgifter om en viss händelse eller ett visst förfarande. Med ”dokumentering” avses å sin sida upprättandet och upprätthållandet av denna helhet. Dokumentering avser också i annan lagstiftning en tillräckligt klar och heltäckande beskrivning i skriftlig form av en organisations förfarande, bedömning eller motsvarande, till exempel i 3 § i lagen om investeringstjänster (747/2012), 124 § i upphandlingslagen (1397/2016) och 30 § i strålskyddslagen (859/2018). 

Förvaltningsutskottet konstaterar att bestämmelserna om dokumentering behöver preciseras och förenklas i lagförslaget. Utskottet redogör närmare för frågan i detaljmotiveringen. 

Offentlighet i fråga om grunderna för automatiserade avgöranden

Grundlagsutskottet konstaterar i sitt utlåtandet att det har betonat vikten av att den kod eller algoritm som tillämpas vid automatiserade avgöranden blir allmänt tillgänglig i en för enskilda begriplig form (GrUU 7/2019 rd). Enligt föreslagna 28 a § i lagförslag 2 ska myndigheten utarbeta sådan väsentlig dokumentation om utvecklingen av en automatiserad verksamhetsprocess där det bland annat också ingår uppgifter om behandlingsreglerna för respektive fas i verksamhetsprocessen. Enligt 28 d § i lagförslag 2 ska myndigheten dessutom fatta ett uttryckligt beslut om införande av en automatiserad verksamhetsprocess. I beslutet ska bland annat ingå uppgifter om de handlingar som ligger till grund för beslutet och motiveringarna till förutsättningarna för införandet. 

Grundlagsutskottet konstaterar att var och en enligt 12 § 2 mom. i grundlagen har rätt att ta del av ett beslut och därtill hörande handlingar. Dessa handlingar hör till tillämpningsområdet för lagen om offentlighet i myndigheternas verksamhet. I fråga om det som ovan sagts om informationsskyldigheten och det som föreskrivs om den i propositionen har grundlagsutskottet inget att anmärka på regleringen. Förvaltningsutskottet bör dock enligt grundlagsutskottets utlåtande kontrollera att regleringen är tydlig också till denna del. 

Förvaltningsutskottet konstaterar att regleringen behöver förtydligas. Utskottet föreslår i detaljmotiveringen att också 28 e § om information preciseras. 

Överföring av biträdande uppgifter på enskilda

I propositionen föreslås det en ny 28 j § i informationshanterinslagen. Enligt paragrafen får en myndighet överföra skötseln av en biträdande uppgift med anknytning till testning enligt 28 b § och korrigering av tekniska fel enligt 28 c § till en privat aktör som har tillräckliga tekniska förutsättningar och tillräckliga kunskaper för ändamålet. Samtidigt föreslås det att bestämmelserna om straffrättsligt tjänsteansvar ska tillämpas på en privatperson som sköter offentliga förvaltningsuppgifter och att det ska hänvisas till skadeståndslagen. Syftet med förslaget anknyter enligt motiven till att offentliga förvaltningsuppgifter enligt 124 § i grundlagen kan anförtros andra än myndigheter endast genom lag eller med stöd av lag. 

Grundlagsutskottet har i sitt utlåtande inget att anmärka mot den föreslagna regleringen eller motiveringen till den med avseende på 124 § i grundlagen. Enligt grundlagsutskottets uppfattning kan bestämmelsen också ha en betydelse som begränsar överföringen av biträdande uppgifter. Regleringsbehovet i ärendet grundar sig delvis på den rättsliga grund som föreskrivs i medlemsstatens lagstiftning och som förutsätts i artikel 22 i EU:s dataskyddsförordning för att ett automatiserat individuellt beslut ska vara tillåtet. Förvaltningsutskottet bör därför kontrollera att regleringen är förenlig med EU-rätten särskilt i de fall där en myndighet som utkontrakterar en biträdande uppgift som hör till bestämmelsens tillämpningsområde enligt EU-rätten handlar inom ramen för friheten att tillhandahålla tjänster. 

Förvaltningsutskottet konstaterar att det i fråga om kvalitetssäkring i 28 b § i propositionen föreslås att myndigheten ska säkerställa kvaliteten på det automatiserade beslutsförfarandet genom testning och att lämpliga testmetoder och testmaterial ska användas vid testningen. Utskottet föreslår dock på det sätt som närmare framgår av detaljmotiveringen att bestämmelsen med anledning av grundlagsutskottets utlåtande ändras så att myndigheten är skyldig att säkerställa kvaliteten på det automatiserade beslutsförfarandet. Den bestämmelse som utskottet föreslår är således mer allmän till sin karaktär. Enligt den innehåller myndighetens skyldighet inte längre någon uttrycklig skyldighet att genomföra säkerställandet genom testning, utan myndigheten kan välja att använda andra lämpliga metoder. 

I fråga om korrigering av fel föreslås det i 28 j § i propositionen att en biträdande uppgift med anknytning till korrigering av tekniska fel enligt 28 c § ska kunna anförtros en privat aktör. Enligt utredning har syftet med förslaget varit att säkerställa att myndigheten kan anlita privat hjälp vid korrigering av tekniska fel när den fullgör skyldigheten att vidta korrigerande åtgärder. Korrigering av ett tekniskt fel hänför sig dock till utveckling eller anskaffning av informationssystem. Detta omfattas inte av tillämpningsområdet för 6 a kap. i informationshanteringslagen, vilket innebär att den föreslagna bestämmelsen är inexakt. 

Syftet med propositionen har varit att myndighetens skyldighet enligt 28 c § att vidta korrigerande åtgärder inte ska gälla egentlig korrigering av ett tekniskt fel, utan skyldighet att försäkra sig om att felen korrigeras. Om felet är av teknisk natur, förpliktar bestämmelsen till exempel myndigheten att begära en teknisk korrigering av den avtalspart som levererat datasystemet. Om felet är innehållsmässigt kan bestämmelsen ålägga myndigheten att exempelvis ändra behandlingsreglerna, uppdatera dokumentationen eller fatta ett nytt beslut om införande. Utskottet föreslår i detaljmotiven att 28 c § preciseras. 

Eftersom förvaltningsutskottet av de skäl som anges ovan föreslår att såväl 28 b § som 28 c § i enlighet med grundlagsutskottets utlåtande ändras till en mer allmän form på ett sätt som begränsar skyldigheten endast till att myndigheten ska säkerställa att fel korrigeras och som inte förpliktar myndigheten att själv utföra teknisk testning eller korrigera ett tekniskt fel, omfattar myndighetens skyldigheter inte längre uppgifter som behöver anförtros en privat aktör. Därför finns det inte längre något behov av 28 j § och paragrafen kan strykas ur lagförslaget. 

Förvaltningsutskottet anser att det kan vara ändamålsenligt att myndigheten till stöd för kvalitetssäkringen skaffar sakkunnigtjänster inom teknisk provning hos en privat aktör. Om en sådan sakkunnigtjänst utförs på uppdrag av en myndighet och står under myndighetens tillsyn och myndigheten fortfarande har det yttersta ansvaret för att säkerställa kvaliteten på det automatiska beslutsförfarandet, är anskaffning av en testningstjänst av en privat aktör enligt utskottet inte en sådan offentlig förvaltningsuppgift för vilken det krävs att det genom lag föreskrivs att den kan överföras på en privat aktör. En testrapport från en privat testare jämställs med ett sakkunnigutlåtande, som inte är bindande för myndigheten, utan myndigheten ska själv göra en slutlig bedömning av kvaliteten på det automatiserade beslutsförfarandet (jfr GrUU 2/2002 rd, s. 3—4, GrUU 4/2012 rd, s. 2/II). Motsvarande bedömning gäller sådan korrigering av ett tekniskt fel som sker på uppdrag av en myndighet och i enlighet därmed. Utskottet konstaterar dessutom att det i 6 a kap. i informationshanteringslagen inte föreskrivs om utveckling, upphandling och testning av informationssystem eller om korrigering av tekniska fel i systemet. 

Förvaltningsutskottet föreslår i detaljmotiveringen att 28 j § i lagförslaget stryks. Paragrafen innehåller en bestämmelse om överföring av vissa uppgifter på enskilda samt en anknytande bestämmelse om straffrättsligt tjänsteansvar. När paragrafen stryks elimineras samtidigt behovet av att granska anknytande frågor om straffrättsligt tjänsteansvar och bestämmelsernas förenlighet med EU-rätten. 

Förvaltningsutskottet betonar i detta sammanhang ytterligare att ett av syftena med regleringen i 6 a kap. i informationshanteringslagen är att tillåta automatiserat beslutsfattande på det sätt som avses i EU:s allmänna dataskyddsförordning. Den föreslagna regleringen överlåter åt aktören att själv bestämma om automatiserat beslutsfattande ska införas. Ur EU-rättens synvinkel tillåter handlingsutrymmet enligt den allmänna dataskyddsförordningen att medlemsstaternas lagstiftning i fråga om automatiserat beslutsfattande skiljer sig från varandra. Det är också av betydelse att den föreslagna regleringen är allmän reglering i förhållande till den sektorspecifika speciallagstiftningen. 

Förslaget till lag om ändring av lagen om tillhandahållande av digitala tjänster

Det föreslås att det till lagen om tillhandahållande av digitala tjänster (306/2019) fogas ett nytt 6 a § kap. om användning av tjänsteautomation vid rådgivning (lagförslag 3). Syftet med den föreslagna regleringen är att säkerställa att grunderna för god förvaltning och rättsskyddet för dem som uträttar ärenden inom förvaltningen tillgodoses genom att ställa vissa krav på användningen av tjänsteautomation (s.k. chatbot) i myndigheternas rådgivning. Samtidigt är strävan att förtydliga regleringsläget för automatiserade rådgivningstjänster och sänka myndigheternas tröskel för att utnyttja tjänsteautomation i rådgivningen. Regleringen gäller inte rådgivning som inte grundar sig på en lagstadgad uppgift eller skyldighet. Regleringen gäller endast sådan tjänsteautomation för rådgivning eller vägledning som inte resulterar i ett myndighetsavgörande. 

Den föreslagna bestämmelsen är i princip avsedd att vara teknikneutral. Enligt propositionsmotiven innebär dock den föreslagna 6 a § 1 mom. 2 punkten, enligt vilken myndigheten på förhand ska säkerställa att datainnehållet i rådgivningen är korrekt, i praktiken att myndigheten själv ska skapa eller åtminstone kontrollera och övervaka datainnehållet i tjänsteautomationen. Därigenom möjliggör regleringen inte sådan tjänsteautomation som fungerar utan kontroll och övervakning av en fysisk person (RP, s. 137). 

Utskottet vill lyfta fram föreslagna 6 a § 1 mom. 4 punkten, enligt vilken användarna ska informeras om att de i realtid utväxlar meddelanden med en tjänsteautomation. Bestämmelsen syftar till att säkerställa att användarna förstår att de inte kommunicerar med en fysisk person i en servicesituation och exempelvis inte talar om sitt behov av rådgivning med en tjänsteman som vid myndigheten handhar rådgivningstjänster. Om en fysisk person i stället för tjänsteautomationen börjar diskutera med användaren till exempel på grund av ett tekniskt problem eller för att tjänsteautomationen inte kan ge lämplig rådgivning, ska användaren informeras också om detta. 

På grund av de ändringar som föreslås i informationshanteringslagen föreslår utskottet att föreslagna 6 a § i lagen om tillhandahållande av digitala tjänster ses över. 

Övergångsbestämmelser

Sakkunniga har ansett att den övergångsperiod som föreslås i propositionen är för kort särskilt med tanke på skyldigheterna enligt informationshanteringslagen. Utskottet föreslår i detta betänkande att den reglering som föreslås i informationshanteringslagen ska lättas upp avsevärt. Trots detta anser utskottet att övergångstiderna behöver förlängas något. I de övergångsbestämmelser som föreslås både i informationshanteringslagen och i förvaltningslagen ingår dessutom graderingar som enligt uppgift kan minskas på grund av de föreslagna ändringarna i lagförslagen. Utskottet föreslår att övergångstiderna i lagförslag 1, 2 och 3 förlängs från 12 till 18 månader på det sätt som närmare framgår av detaljmotiven.