Journalnummer: 2022-212-3676
Resumé
Styrelsen for Arbejdsmarked og Rekruttering (STAR) har den 4. maj 2022 anmodet Datatilsynet om en vurdering af spørgsmålet om kommunernes hjemmel til at bruge AI-profileringsværktøjet Asta.
Asta er et værktøj, der har til formål at foretage en maskinel analyse af, hvad en nyledig dagpengemodtagers risiko er for, at den pågældende persons kontaktforløb med jobcenteret bliver langvarigt. Asta-værktøjet foretager med andre ord en statistisk baseret analyse af borgeren med henblik på at estimere dagpengesagens og kontaktforløbets varighed.
Datatilsynet vurderer, at borgerens samtykke ikke kan danne grundlag for behandling i henhold til databeskyttelsesforordningen (GDPR), eftersom borgerens samtykke i den pågældende kontekst ikke kan anses for frivilligt.
Datatilsynet vurderer derfor, at kommunernes hjemmel til at behandle personoplysninger – når de anvender Asta-værktøjet – er databeskyttelsesforordningens bestemmelse om myndighedsudøvelse, som forudsætter implementering i national lovgivning, i hvilken forbindelse der kan fastsættes nærmere regler om, at det skal være frivilligt for borgeren, hvis værktøjet skal anvendes.
Hvis der sker behandling af særlige kategorier af personoplysninger, vil forbuddet mod behandling af sådanne oplysninger kun ikke finde anvendelse, hvis det foreligger væsentlige samfundsinteresser, hvilket også forudsætter, at behandlingen er hjemlet i national ret.
1. Styrelsen for Arbejdsmarked og Rekruttering har den 4. maj 2022 – foranlediget af et spørgsmål fra SF – anmodet Datatilsynet om en vurdering af spørgsmålet om kommunernes hjemmel til at anvende Asta-værktøjet.
2. Datatilsynets vurdering
Datatilsynet vurderer, at kommunernes hjemmel til at behandle personoplysninger i forbindelse med anvendelsen af Asta-værktøjet er databeskyttelsesforordningens artikel 6, stk. 1, litra e, som forudsætter implementering i national lovgivning.
Hvis der sker behandling af særlige kategorier af personoplysninger, vil forbuddet mod behandling af sådanne oplysninger alene kunne afløftes efter databeskyttelsesforordningens artikel 9, stk. 2, litra g, som også forudsætter, at behandlingen er hjemlet i national ret, og at behandlingen står i rimeligt forhold til det mål, der forfølges, respekterer det væsentligste indhold af retten til databeskyttelse og sikrer passende og specifikke foranstaltninger til beskyttelse af den registreredes grundlæggende rettigheder og interesser.
Nedenfor redegøres nærmere for denne vurdering.
3. Asta-værktøjet
Af den vedlagte produktbeskrivelse fra Schultz, der tilbyder Asta-værktøjet til en række kommuner, fremgår, at Asta har til formål at foretage en maskinel analyse af, hvad en nyledig dagpengemodtagers risiko er for, at den pågældende persons kontaktforløb med jobcenteret kommer til at være langvarigt. Asta-værktøjet foretager en statistisk baseret analyse af dagpengesagens og kontaktforløbets varighed.
Når en nyledig dagpengemodtager tilmelder sig, vil Asta foretage ovennævnte statistisk baserede analyse. Analysen vil munde ud i, at den enkelte borgers risiko for et langt kontaktforløb får en score som kan være lav, mellem eller høj. Denne information vil Asta præsentere for sagsbehandleren i fx en arbejdsliste, således at denne information kan benyttes som filtrerings-kriterie.
Funktionen er således tænkt som en hjælp til jobcentrets planlægning af borgerens helt initiale kontaktforløb – f.eks. hvornår og for hvem jobcentret kunne overveje en ekstra indsats i planlægningen af samtalelængder og -frekvenser.
I fagapplikationen Fasit, som Schultz leverer til 58 danske jobcentre, har jobcentret historiske data om de seneste års dagpengesager. Jobcentret har således historisk information om, hvilke dagpengemodtagere der endte med at have et langt kontaktforløb, og hvilke der ikke gjorde.
Disse informationer gives Asta adgang til i anonymiseret form.
På baggrund af de anonymiserede data bliver der konstrueret en lang række forskellige per-sontyper, som hver har deres karakteristika i form af en særlig kombination af værdier. Det er Schultz’ fagspecialister og dataeksperter, som afdækker de forskellige dataelementer, der skal indgå i vurderingen af risikoen. Schultz har fundet, at der er op til 50 relevante informationer om en borger i Fasit, der bidrager til at tegne karakteristika af dagpengemodtagere i forhold til, om deres kontaktforløb med jobcentret endte med at være kort eller langt. Der er overordnet set er der tale om følgende informationer:
- Informationer fra borgerens CV spiller en væsentlig rolle. Der kigges her især på højeste uddannelsesniveau, sprogkundskaber og antal kørekort, men også på sammenhænge mellem uddannelser, erfaringer og jobmål (”Jeg søger job som”).
- Borgerens joblog spiller også en væsentlig rolle, idet der bl.a. kigges på, hvor mange geografiske regioner borgeren har søgt job i, samt hvor ofte en ansøgning har ledt til jobsamtale.
- Sluttelig spiller informationer om borgerens eventuelle tidligere kontaktforløb også en rolle. Således indgår der informationer om f.eks. antallet af samtaler, udeblivelser og sagsbehandlerskift.
- Stamdata om borgeren, f.eks. alder, køn og tolkebehov, indgår også.
Asta gør således alene brug af de informationer, der allerede er tilgængelige for brugerne i Fasit. Der sker således ikke nogen samkøring af data fra forskellige kommunale registre.
Asta foretager den statistisk baserede analyse ved at sammenligne en konkret dagpengemodtagers informationer (værdier) med de forskellige persontypers værdier. Risikoen for at ende med et langt kontaktforløb skønnes så ud fra, i hvor høj grad den konkrete borgers værdier mest ligner persontyper, der endte med kort eller langt kontaktforløb.
4. Det retlige grundlag
Databeskyttelsesforordningens[1] artikel 6, stk. 1, indeholder de lovlige grundlag for behandling af personoplysninger. Det følger heraf, at behandling kun er lovlig, hvis og i det omfang mindst ét af følgende forhold gør sig gældende:
- Den registrerede har givet samtykke til behandling af sine personoplysninger til et eller flere specifikke formål.
- Behandling er nødvendig af hensyn til opfyldelse af en kontrakt, som den registrerede er part i, eller af hensyn til gennemførelse af foranstaltninger, der træffes på den registreredes anmodning forud for indgåelse af en kontrakt.
- Behandling er nødvendig for at overholde en retlig forpligtelse, som påhviler den dataansvarlige.
- Behandling er nødvendig for at beskytte den registreredes eller en anden fysisk persons vitale interesser.
- Behandling er nødvendig af hensyn til udførelse af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt.
- Behandling er nødvendig for, at den dataansvarlige eller en tredjemand kan forfølge en legitim interesse, medmindre den registreredes interesser eller grundlæggende rettigheder og frihedsrettigheder, der kræver beskyttelse af personoplysninger, går forud herfor, navnlig hvis den registrerede er et barn.
Første afsnit, litra f), gælder ikke for behandling, som offentlige myndigheder foretager som led i udførelsen af deres opgaver.
Definitionen af et samtykke findes i databeskyttelsesforordningens artikel 6, stk. 1, litra a. Det følger heraf, at der ved samtykke forstås enhver frivillig, specifik, informeret og utvetydig viljestilkendegivelse fra den registrerede, hvorved den registrerede ved erklæring eller klar bekræftelse indvilliger i, at personoplysninger, der vedrører den pågældende, gøres til genstand for behandling.
Det er således en betingelse for, at man som dataansvarlig – i dette tilfælde en kommune – kan anvende samtykke i henhold til databeskyttelsesforordningens artikel 6, stk. 1, litra a, som behandlingsgrundlag, at samtykket er bl.a. frivilligt.
Ved vurderingen af, om et samtykke fra den registrerede kan anses for frivilligt, indgår, om der foreligger et ulige forhold mellem den dataansvarlige og den registrerede. Et samtykke anses normalt ikke for at være afgivet frivilligt, hvis der er en klar skævhed mellem den registrerede og den dataansvarlige.
Ved behandling af oplysninger om den registrerede i den kontekst, som der her spørges ind til, hvor der er tale om en offentlig myndighed, og hvor den offentlige myndighed har kontrol over den registreredes forsørgelsesgrundlag, vil et samtykke efter Datatilsynets opfattelse sjældent kunne anses for frivilligt og dermed udgøre et gyldigt behandlingsgrundlag.
Dette gælder også, selvom det i praksis er muligt for den registrerede at frasige sig behandlingen, dvs. undgå profileringen, uden at dette har en negativ indvirkning for den pågældende, f.eks. stop af ydelse, idet der vil foreligge en ikke ubetydelig risiko for, at den registrerede – uagtet denne mulighed – vil kunne føle sig presset til at samtykke til behandlingen, f.eks. for at undgå at fremstå besværlig eller lignende.
Da samtykke efter artikel 6, stk. 1, litra a, ikke kan anvendes som behandlingsgrundlag, og da bestemmelsens litra b, c, d og f, ikke er relevante i den foreliggende situation, vil det alene være litra e om offentlig myndighedsudøvelse, der potentielt vil kunne danne grundlag for behandlingen.
Anvendelsen af artikel 6, stk. 1, litra e, kræver i henhold til artikel 6, stk. 2 og 3, at behandlingen er forudsat i EU-retten eller national ret, men ikke nødvendigvis, at der er en national implementerende hjemmelslovgivning om selve behandlingen. Artikel 6, stk. 2 og 3, giver endvidere mulighed for, at medlemsstaterne kan fastsætte krav til behandlingen, som skal være opfyldt, for at behandlingen er lovlig.
Hvilke krav der stilles til klarheden af dette nationale hjemmelsgrundlag afhænger af, hvor indgribende den pågældende behandling er for den registrerede. Er der tale om en helt harmløs behandling, vil kravene ikke være særlig store. Er der derimod tale om en indgribende behandling, som det er tilfældet i den situation, som der her spørges ind til, stilles der større krav til klarheden af hjemmelsgrundlaget.
Det er på den baggrund Datatilsynets opfattelse, at der – for at Asta-værktøjet vil kunne anvendes af kommunerne – vil skulle være hjemmel hertil i national lovgivning, som det f.eks. kendes fra § 8, stk. 2, i lov om en aktiv beskæftigelsesindsats.
At der vil skulle laves national lovgivning på området betyder ikke i sig selv, at kommunerne af den grund vil kunne foretage profilering af den registrerede uden dennes indvilligen heri, idet det vil være muligt i et nationalt hjemmelsgrundlag at fastsætte krav til behandlingen, som skal være opfyldt, for at behandlingen er lovlig, dvs. under hvilke betingelser kommunerne kan anvende værktøjet.
Datatilsynet kan i øvrigt henvise til tilsynets (supplerende) høringssvar af 5. juli 2019 over forslag til lov om en aktiv beskæftigelsesindsats og forslag om ændring af lov om organisering og understøttelse af beskæftigelsesindsatsen mv., lov om aktiv socialpolitik, lov om sygedagpenge, integrationsloven og forskellige andre love (konsekvenslovforslag), som kan findes på tilsynets hjemmeside her: https://www.datatilsynet.dk/media/7758/fornyet-udtalelse-til-star.pdf.
Det står desuden ikke Datatilsynet helt klart, om der i Asta-værktøjet vil indgå særlige kategorier af personoplysninger, f.eks. helbredsoplysninger, som det som udgangspunkt er forbudt at behandle, jf. databeskyttelsesforordningens artikel 9, stk. 1.
Hvis dette er tilfældet, vil forbuddet efter Datatilsynets opfattelse alene kunne afløftes efter databeskyttelsesforordningens artikel 9, stk. 2, litra g, hvoraf det følger, at forbuddet efter bestemmelsens stk. 1, ikke finder anvendelse, hvis behandling er nødvendig af hensyn til væsentlige samfundsinteresser på grundlag af EU-retten eller medlemsstaternes nationale ret og står i rimeligt forhold til det mål, der forfølges, respekterer det væsentligste indhold af retten til databeskyttelse og sikrer passende og specifikke foranstaltninger til beskyttelse af den registreredes grundlæggende rettigheder og interesser.
Anvendelsen af databeskyttelsesforordningens artikel 9, stk. 2, litra g, forudsætter, som det er tilfældet med artikel 6, stk. 1, litra e, at behandlingen er hjemlet i national ret, og at behandlingen står i rimeligt forhold til det mål, der forfølges, respekterer det væsentligste indhold af retten til databeskyttelse og sikrer passende og specifikke foranstaltninger til beskyttelse af den registreredes grundlæggende rettigheder og interesser.
[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).