Journalnummer: 2023-212-0015.
1. Henvendelsen
Københavns Kommune har den 22. marts 2023 anmodet Datatilsynet om en vurdering af, om kommunen har hjemmel til udvikling, drift og gentræning af en AI-løsning, der kan identificere borgere med behov for vedligeholdende træning og rehabiliterende indsats.
Det bemærkes indledningsvis, at Datatilsynet alene har vurderet spørgsmålet om, hvorvidt Københavns Kommune har et behandlingsgrundlag til udvikling, drift og gentræning af den pågældende løsning. Datatilsynet har således ikke set nærmere på eventuelle andre databeskyttelsesretlige eller sundhedsretlige spørgsmål.
2. Datatilsynets vurdering
Det er Datatilsynets vurdering, at udvikling, drift og gentræning af en AI-løsning, hvor der behandles personoplysninger og særlige kategorier af personoplysninger med henblik på at forudsige borgeres behov for og gavn af genoptræning for at undgå funktionsnedsættelse generelt kan ske på baggrund af databeskyttelsesforordningens artikel 6, stk. 1, litra e, samt artikel 9, stk. 2, litra g.
Begge bestemmelser forudsætter dog et såkaldt supplerende nationalt retsgrundlag.
Behandling af personoplysninger til udvikling, herunder gentræning, af løsningen kan efter Datatilsynets vurdering ske under henvisning til de eksisterende bestemmelser i serviceloven, der forpligter kommunen til at træffe afgørelse om og levere vedligeholdende træning og rehabiliterende indsats.
Behandling af personoplysninger som led i driften af løsningen kan imidlertid ikke ske inden for rammerne af disse bestemmelser, da der ikke er tale om et tilstrækkeligt klart retsgrundlag i lyset af, hvor indgribende en behandlingsaktivitet der er tale om.
Nedenfor redegøres nærmere for denne vurdering.
3. Baggrunden for vurderingen
Københavns Kommune har oplyst, at kommunen med udgangspunkt i egen data ønsker at udvikle, idriftsætte og gentræne en AI-løsning, der kan identificere borgere med behov for vedligeholdende træning. Løsningen vil bruges som beslutningsstøtte af sagsbehandlere i kommunens sundheds- og omsorgsforvaltning.
Om formålet med AI-løsningen har kommunen oplyst følgende:
”Med projektet ønsker [kommunen] at benytte to algoritmer til at fastholde borgernes funktionsniveau længst muligt til gavn for borgeren selv. Dette er samtidig til gavn for [kommunen], fordi det kan udskyde borgernes behov for hjælp fra forvaltningen. Formålet er dermed at sikre, at borgerne rettidigt får den rette vedligeholdende træning eller rehabiliterende indsats således, at de kan klare sig selv længst muligt, og at behovet for hjælp fra forvaltningen udskydes.
Det er ikke hensigten, at algoritmen skal medføre, at personer, der normalt ville få tilbudt denne træning eller rehabilitering, får frataget denne mulighed. Det er tænkt som en hjælp til kommunens personale, sådan at flere borgere – hvor det er relevant – kan få gavn af træning og rehabilitering.”
Københavns Kommune har derudover oplyst følgende om AI-løsningen:
”Algoritmen udgør et beslutningsstøtteværktøj. Algoritmen kan med relativt stor nøjagtighed identificere, hvilke borgere der kan gennemføre et træningsforløb, og hvem der vil få effekt af forløbet. Algoritmen skal således på baggrund af en statistisk baseret analyse understøtte den enkelte visitators faglige vurdering af, hvilke borgere der vil få udbytte af vedligeholdende træning eller en rehabiliterende indsats.
Algoritmen er tænkt som en hjælp til at understøtte de ansatte i [kommunens] vurdering af, hvem der kan få glæde af genoptræningsforløbet. […] Algoritmen skal herefter trænes på [kommunens] oplysninger. Det er hensigten, at oplysninger til træning af algoritmen skal komme fra historiske sager.”
Endelig har Københavns Kommune overordnet oplyst, at der vil blive behandlet personoplysninger, der stammer fra tre overordnede situationer:
”Personoplysninger, der indgår i sager, som også udgør patientjournaler. Det drejer sig om oplysninger fra sager fra den kommunale sygepleje. Det kan også være oplysninger fra træningssteder, fx terapeuter. [Kommunen] står også for forebyggende indsatser efter sundhedslovens § 119, og i den forbindelse er der også sager, hvor der indgår oplysninger, der er en del af en patientjournal.
Personoplysninger modtaget af visitationen for at kunne tildele en ydelse efter serviceloven. [Kommunen] visiterer og træffer afgørelse om tildeling af ydelser efter visse af servicelovens bestemmelser. Det drejer sig primært om ydelser til borgere over 65 år. Dog vil alle kræftpatienter blive visiteret og få truffet afgørelse i [kommunen].
Personoplysninger nødvendige for at kunne udføre opgaven med at give den tildelte ydelse fra visitationen. Derudover har [kommunen] også en lang række personoplysninger, der anvendes som led i den faktiske udførelse af afgørelserne truffet efter pkt. 2. Disse personoplysninger bliver behandlet, for at det er muligt for fx hjemmeplejen og genoptræningsstederne at udføre deres opgaver.”
Der vil således bl.a. blive behandlet personoplysninger om:
- Borgerens personnummer, alder, fødselsdato og køn,
- hvorvidt borgeren har fået tilbud om genoptræning ved en hjælper,
- hvorvidt borgeren har fået hjælpemidler,
- hvilke hjælpemidler borgeren har fået,
- låneperioden for hjælpemidlet,
- borgerens genoptræningsforløb, f.eks. hvornår vedkommende har trænet, og om træningsforløbet er gennemført.
Datatilsynet lægger dermed til grund, at såvel træning som drift af AI-løsningen vil indebære behandling personoplysninger og særlige kategorier af personoplysninger, herunder helbredsoplysninger.
3.1. Databeskyttelsesforordningen
Det er Datatilsynets vurdering, at det navnlig er databeskyttelsesforordningens artikel 6, stk. 1, litra e, om offentlig myndighedsudøvelse, der er et relevant grundlag for behandlingen af personoplysninger i forbindelse med udviklingen og driften af AI-løsningen.[1]
Behandling af personoplysninger på baggrund af databeskyttelsesforordningens artikel 6, stk. 1, litra e, kræver, at der foreligger et såkaldt supplerende retsgrundlag, som forpligter eller berettiger myndigheden til at udføre en bestemt myndighedsopgave. Det følger af forordningens artikel 6, stk. 2 og 3.
Endvidere er det Datatilsynets vurdering, at forbuddet mod behandling af særlige kategorier af personoplysninger i databeskyttelsesforordningens artikel 9, stk. 1, vil kunne fraviges efter databeskyttelsesforordningens artikel 9, stk. 2, litra g. Bestemmelsen angiver, at forbuddet efter stk. 1, ikke finder anvendelse, hvis behandling er nødvendig af hensyn til væsentlige samfundsinteresser på grundlag af EU-retten eller medlemsstaternes nationale ret og står i rimeligt forhold til det mål, der forfølges, respekterer det væsentligste indhold af retten til databeskyttelse og sikrer passende og specifikke foranstaltninger til beskyttelse af den registreredes grundlæggende rettigheder og interesser.
En fravigelse af forbuddet i databeskyttelsesforordningens artikel 9, stk. 1, efter forordningens artikel 9, stk. 2, litra g, forudsætter, som det er tilfældet med artikel 6, stk. 1, litra e, at der foreligger et supplerende retsgrundlag.
3.2. Krav til det supplerende retsgrundlag
Databeskyttelsesforordningens artikel 6, stk. 3, indeholder flere krav til det supplerende retsgrundlag, som dermed skal opfylde visse kriterier.
For det første kræves det efter artikel 6, stk. 3, 1. pkt., at grundlaget for behandlingen skal fremgå af EU-retten eller national ret.
Det fremgår af præambelbetragtning nr. 45, at databeskyttelsesforordningen ikke indebærer, at der kræves en specifik lov til hver enkelt behandling efter artikel 6, stk. 1, litra e. Det kan være tilstrækkeligt med en lov som grundlag for adskillige databehandlingsaktiviteter. Der stilles dog krav om, at behandling efter bestemmelsen sker på baggrund af EU-retten eller national ret. Endvidere følger det af præambelbetragtning nr. 41 til databeskyttelsesforordningen, at det pågældende retsgrundlag ikke nødvendigvis kræver en lov, men at retsgrundlaget dog bør være klart og præcist, og anvendelsesområdet bør være forudsigeligt for personer omfattet af retsgrundlagets anvendelsesområde.
Af Justitsministeriets betænkning nr. 1565/2017, s. 132f. fremgår følgende om forordningens artikel 6, stk. 1, litra e:
”Det må i den forbindelse antages, at artikel 6, stk. 1, litra e, er direkte anvendelig som behandlingsgrundlag, så længe den dataansvarlige udfører en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt. Brugen af artikel 6, stk. 1, litra e, som behandlingsgrundlag forudsætter således ikke en national, implementerende hjemmelslovgivning om selve behandlingen af personoplysninger i forbindelse med udførelse af opgaver i samfundets interesse eller som led i offentlig myndighedsudøvelse.
Brugen af artikel 6, stk. 1, litra e, kræver heller ikke nødvendigvis, at opgaven, som kræver behandling af personoplysninger, udtrykkeligt i lovgivningen er pålagt myndigheden. Der kan i den forbindelse henvises til [Datatilsynets udtalelse i sagen med j.nr. 2004-54-1394], hvor tilsynet fandt det naturligt, at Undervisningsministeriet, som den centrale myndighed på området, løste en opgave vedrørende digital tilmelding til og ansøgning om optagelse på uddannelser, selvom der ikke var en udtrykkelig lovhjemmel, der pålagde ministeriet opgaven. Ministeriet kunne derfor bruge bl.a. § 6, stk. 1, nr. 5, i persondataloven om behandling, der er nødvendig af hensyn til udførelsen af en opgave i samfundets interesse.”
Derudover fremgår følgende af betænkningens s. 160 om forordningens artikel 6, stk. 3:
”Det følger derudover af forordningens artikel 6, stk. 3, 2. pkt., specifikt vedrørende behandling, der er omhandlet i artikel 6, stk. 1, litra e – dvs. af hensyn til udførelse af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse – at behandlingen skal være ”nødvendig for udførelsen af en opgave i samfundets interesse eller som henhører under offentlig myndighedsudøvelse”. Det må også her være tilstrækkeligt for opfyldelse af dette nødvendighedskrav, at det kan udledes af den pågældende nationale lov med dens forarbejder, under forudsætning af at behandlingen rent faktisk er ”nødvendig”.
I artikel 6, stk. 3, sidste led, er der et yderligere krav til den lovgivning, som tilpasser anvendelsen af databeskyttelsesforordningen. Der er et krav om, at medlemsstaternes nationale ret skal opfylde et formål i samfundets interesse og stå i rimeligt forhold til det legitime mål, som forfølges. Databeskyttelsesforordningen fastsætter således et krav om proportionalitet og iagttagelse af samfundets interesse i forbindelse med national ret og EU-ret, der tilpasser anvendelsen af databeskyttelsesforordningen.”
Endelig udtaler EU-Domstolen følgende i sin dom af 24. februar 2022 i sagen C-175/20[2]:
”I denne henseende bemærkes ikke desto mindre, at den lovgivning, som danner grundlag for behandlingen, for at opfylde det krav om proportionalitet, som artikel 5, stk. 1, litra c), […] er udtryk for […], skal fastsætte klare og præcise regler, der regulerer rækkevidden og anvendelsen af den omhandlede foranstaltning, og som opstiller mindstekrav, således at de personer, hvis personoplysninger er berørt, råder over tilstrækkelige garantier, der gør det muligt effektivt at beskytte disse oplysninger mod risikoen for misbrug. Denne lovgivning skal være retligt bindende i national ret og navnlig angive, under hvilke omstændigheder og på hvilke betingelser der kan vedtages en foranstaltning om behandling af sådanne oplysninger, hvorved det sikres, at indgrebet begrænses til det strengt nødvendige”
Kravet til klarheden af det pågældende supplerende retsgrundlag afhænger dermed generelt af, hvor indgribende behandlingen af personoplysninger, der sker i løsningen, vil være for borgeren. Hvis der er tale om en helt harmløs behandling, vil kravene være mindre, end hvis der er tale om en indgribende behandling, hvor der stilles større krav til klarheden af lovgrundlaget.
I den forbindelse fremgår følgende af Datatilsynets vejledning om offentlige myndigheders brug af kunstig intelligens (Inden I går i gang)[3]:
”Kravene til klarheden af det retsgrundlag, som skal danne baggrund for jeres behandling af personoplysninger ved drift af en AI-løsning, afhænger af, hvor indgribende behandlingen er for borgerne. Efter Datatilsynets opfattelse skal retsgrundlaget vurderes ud fra, hvor direkte og indgribende f.eks. en afgørelse eller aktivitet er for borgerne. Det gælder uanset, om aktiviteten er bebyrdende eller begunstigende. Retsgrundlaget skal stå i rimeligt forhold til det legitime formål, der forfølges, og behandlingen må ikke være mere indgribende end nødvendigt.
Efter Datatilsynets opfattelse stilles der forskellige krav til klarheden af det relevante retsgrundlaget til henholdsvis udvikling og drift af løsningen. Som nævnt ovenfor medfører udvikling af en AI-løsning som altovervejende udgangspunkt ikke direkte konsekvenser for borgerne. Derimod vil en AI-løsning i drift forventeligt generere forudsigelser, anbefalinger mv., som f.eks. skal være beslutningsstøtte for myndighedens sagsbehandlere. Det kan også være, at en AI-løsning skal træffe automatiske afgørelser over for borgerne. Konsekvenserne for borgerne er dermed ofte større, når AI-løsningen er i drift, og der stilles derfor højere krav til klarheden af det retsgrundlag, der danner baggrund for at anvende løsningen i drift.
I vurderingen af, om retsgrundlaget, som I har identificeret, er tilstrækkelig klart, bør I inddrage, hvilke oplysninger der behandles og om hvilke personer, herunder f.eks. sårbare borgere. Derudover skal I inddrage, om den pågældende forudsigelse, afgørelse mv., som AI-løsningen genererer, har indvirkning på borgerens økonomiske, uddannelsesmæssige, sociale, sundhedsmæssige eller lignende forhold.[4] Indvirkningen kan være såvel positiv som negativ. Endelig bør I overveje, om den pågældende behandling, herunder den omstændighed at behandlingen sker ved anvendelse af AI, er forudsigelig og gennemsigtig for borgeren.”
3.3. Serviceloven
Af § 86 i lov om social service[5] følger, at kommunalbestyrelsen skal tilbyde genoptræning til afhjælpning af fysisk funktionsnedsættelse forårsaget af sygdom, der ikke behandles i tilknytning til en sygehusindlæggelse. Efter bestemmelsens stk. 2 skal kommunalbestyrelsen også tilbyde hjælp til at vedligeholde fysiske eller psykiske færdigheder til personer, som på grund af nedsat fysisk eller psykisk funktionsevne eller særlige sociale problemer har behov herfor.
Endvidere fremgår det af § 112 i lov om social service, at kommunalbestyrelsen skal yde støtte til hjælpemidler til personer med varigt nedsat fysisk eller psykisk funktionsevne, når hjælpemidlet (i) i væsentlig grad kan afhjælpe de varige følger af den nedsatte funktionsevne, (ii) i væsentlig grad kan lette den daglige tilværelse i hjemmet eller (iii) er nødvendigt for, at den pågældende kan udøve et erhverv.
Af bemærkningerne til §§ 86 og 112 til forslag til lov om social service (Folketingstidende 2004-05 (2. samling), tillæg A, lovforslag af 24. februar 2005, sp. 2160 og 2163) fremgår, at begge bestemmelser er en videreførelse af de (da)gældende bestemmelser §§ 73 a og 97 i lov om social service.
- 73 a i lov om social service blev indsat ved lov nr. 1307 af 20. december 2000 om lov om ændring af lov om social service (Fleksibel hjemmehjælp og kommunal genoptræning). Endvidere blev § 97 i lov om social service indsat ved lov nr. 454 af 10. juni 1997 om social service.
Det fremgår ikke nærmere af forarbejderne til disse bestemmelser, hvordan kommunen specifikt skal varetage disse opgaver. For så vidt angår § 73 a fremgår det af forarbejderne til bestemmelsen, at kommunen skal ”tilbyde genoptræning efter en konkret individuel vurdering af behovet. Formålet er, så vidt det er muligt, at genvinde den mistede funktionsevne. Kommunen har, når den træffer afgørelse, pligt til at inddrage alle muligheder for hjælp efter den sociale lovgivning.”
Forarbejderne til bestemmelserne ses derudover ikke nærmere at omtale, hvordan personoplysninger skal behandles som led i kommunernes varetagelse af opgaver efter disse bestemmelser eller forholdet til databeskyttelsesreglerne i øvrigt, ligesom § 97 i lov om social service i øvrigt blev indført, inden databeskyttelsesdirektivet[6] blev implementeret i dansk ret ved persondataloven[7].
Endelig fremgår generelt følgende af forarbejderne til lov nr. 573 af 24. juni 2005 om social service (Folketingstidende 2004-05 (2. samling), tillæg A, sp. 2145), der er den seneste hovedlov:
”Socialministeriet har gennemgået lovforslaget med henblik på en vurdering af forholdet til persondataloven og vurderer, at dataudveksling kan ske inden for rammerne af persondataloven.”
Forholdet til databeskyttelsesreglerne ses ikke i øvrigt omtalt i forarbejderne til hovedloven fra 2005.
3.4. Datatilsynets vurdering
Det er Datatilsynets vurdering, at udvikling, drift og gentræning af en AI-løsning, hvor der behandles personoplysninger og særlige kategorier af personoplysninger med henblik på at forudsige borgeres behov for og gavn af genoptræning for at undgå funktionsnedsættelse generelt kan ske på baggrund af databeskyttelsesforordningens artikel 6, stk. 1, litra e, samt artikel 9, stk. 2, litra g.
3.4.1. Udvikling, herunder gentræning, af løsningen
Behandling af personoplysninger til udvikling af en AI-løsning med henblik på forudsigelse af behov for og gavn af borgeres træning og rehabilitering kan efter Datatilsynets vurdering ske under henvisning til de omhandlede bestemmelser i serviceloven, som forpligter kommunen til at træffe afgørelse om træning og rehabiliterende indsats, jf. databeskyttelsesforordningens artikel 6, stk. 1, litra e, og artikel 9, stk. 2, litra g, i smh. med artikel 6, stk. 2 og 3.
Datatilsynet har herved navnlig lagt vægt på, at udviklingen af løsningen ikke indebærer direkte konsekvenser for borgerne. Offentlige myndigheder kan således ofte inden for rammerne af den lovgivning, der forpligter eller berettiger myndigheden til at udføre en bestemt opgave, designe, udvikle og teste AI-løsninger, som kan understøtte myndigheden i at varetage denne opgave.
Som led i vurderingen af, om en AI-løsning skal udvikles, bør myndigheder dog foretage en samlet vurdering af hele livscyklussen for AI-løsningen for at sikre, at myndighederne også har identificeret et eventuelt behandlingsgrundlag for at sætte løsningen i drift efterfølgende, eller om det som led i udviklingsprojektet er nødvendigt at tage skridt til at tilvejebringe et behandlingsgrundlag til drift af løsningen, f.eks. ved at der fra lovgivers side tages stilling til, om der skal fastsættes klare nationale regler, der kan udgøre det nødvendige supplerende retsgrundlag efter databeskyttelsesforordningens artikel 6, stk. 2 og 3, til drift af løsningen.
3.4.2. Drift af løsningen
Datatilsynet lægger til grund, at personoplysninger ved driften af løsningen vil blive behandlet med henblik på at producere en forudsigelse af, om en borger har behov for og vil have gavn af træning og rehabilitering i medfør af servicelovens § 86 og § 112.
Datatilsynet bemærker, at brug af AI-løsninger ikke generelt kan siges at være indgribende overfor borgeren. Imidlertid vil brug af AI-løsninger til løsningen eller understøttelsen af løsningen af myndighedsopgaver, der er borgerrettede, ofte være indgribende for borgerne. Det gælder bl.a. når sådanne løsninger bruges som beslutningsstøtte i administrativ sagsbehandling.
AI-løsningen har efter det oplyste ikke til hensigt at fratage borgere muligheden for at få tilbudt træning eller rehabiliterende indsats. Uanset at behandlingen således ikke nødvendigvis vil have negative følger for borgeren – og endda efter omstændighederne kan have positive følger – vil der være tale om, at løsningen producerer en (beslutningsstøttende) forudsigelse om den enkelte borger, som myndigheden vil handle ud fra og påvirke borgerens helbredsmæssige situation. Det bemærkes herunder, at brug af AI-løsninger til beslutningsstøtte indebærer en risiko for, at medarbejderne tillægger løsningens vurdering af en sag større betydning end deres egen vurdering, hvilket udgør en yderligere risiko for borgeren.
Derudover taler behandling af store mængder personoplysninger og af følsomme personoplysninger for at anse behandlingen for indgribende. Det er bl.a. ofte tilfældet ved brug af AI-løsninger. Derfor har brug af AI som led i sagsbehandlingen, som det er tilfældet i denne sag, en betydning for, hvor klart det supplerende nationale retsgrundlag skal være. Det skyldes, at brug af AI bl.a. medfører, at AI-løsninger kan lære, finde sammenhænge og gennemføre sandsynlighedsanalyser og drage konklusioner langt ud over det, som en fysisk sagsbehandler ville være i stand til. Brug af AI i administrativ sagsbehandling er dermed grundlæggende forskellig fra den traditionelle menneskelige sagsbehandling, som har været normen hidtil.
Dette taler for, at der skal stilles større krav til klarheden af det nationale supplerende retsgrundlag. Med andre ord stilles der ikke nødvendigvis mindre krav til det nationale retsgrundlag alene som følge af, at den pågældende behandling efter det oplyste ikke har negative konsekvenser for borgeren.
Det bemærkes desuden, at det ikke nødvendigvis vil være forudsigeligt og gennemsigtigt for borgeren, at dennes potentielle behov for og gavn af træning og rehabilitering vurderes ved brug af en AI-løsning. Det må derudover tillægges vægt, at den målgruppe, hvis personoplysninger ønskes behandlet – borgere, som helbredsmæssigt befinder sig i en situation, som nødvendiggør en vurdering af et potentielt behov for træning med henblik på at undgå funktionsnedsættelse – er en sårbar målgruppe.
På den baggrund er det Datatilsynets vurdering, at der kræves et klart supplerende nationalt retsgrundlag til driften af en beslutningsunderstøttende AI-løsning, der forudsiger borgeres behov for og gavn af træning og rehabiliterende indsats.
Det er i den forbindelse Datatilsynets vurdering, at servicelovens § 86 og § 112 har karakter af bestemmelser, som alene overordnet forpligter kommuner til at udføre bestemte opgaver og i den forbindelse forudsætter behandling af personoplysninger med henblik på udførelse af disse opgaver. Imidlertid omtaler hverken bestemmelserne eller forarbejderne hertil rækkevidden af den behandling af personoplysninger, der kan ske for at udføre disse opgaver, herunder om – og i hvilket omfang – der kan behandles personoplysninger på den måde, som det vil være tilfældet ved brug af den omhandlede AI-løsning. Det er således Datatilsynets vurdering, at de nævnte bestemmelser i serviceloven ikke udgør et tilstrækkeligt supplerende nationalt retsgrundlag til drift af den omhandlede løsning.
[1] Om baggrunden herfor henvises til Datatilsynets udtalelse om Asta-værktøjet, som kan tilgås på tilsynets hjemmeside her: Udtalelse fra Datatilsynet: Kommuners hjemmel til AI-profileringsværktøjet Asta
[2] C-175/20, Valsts ieņēmumu dienests, præmis 83.
[3] Datatilsynets vejledning om offentlige myndigheders brug af kunstig intelligens (Inden I går i gang), oktober 2023, s. 31.
[4] Præambelbetragtning nr. 75 til databeskyttelsesforordningen.
[5] Lovbekendtgørelse nr. 1089 af 16. august 2023 om social service.
[6] Europa-Parlamentet og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger.
[7] Lov nr. 429 af 31. maj 2000 om behandling af personoplysninger med senere ændringer.