Automatiserat beslutsfattande i offentlig förvaltning

I detta kapitel föreskrivs om de förutsättningar som utöver vad som föreskrivs någon annanstans i lag ska vara uppfyllda för att en myndighet genom automatisk databehandling ska kunna träffa ett avgörande som avslutar behandlingen av ett ärende utan att avgörandet granskas och godkänns av en fysisk person.

En myndighet kan avgöra ett ärende automatiserat, när det i ärendet inte ingår omständigheter som enligt myndighetens förhandsprövning förutsätter prövning från fall till fall eller när de i ärendet ingående omständigheter som förutsätter prövning från fall till fall har bedömts av en tjänsteman eller någon annan som handlägger ärendet. Avgöranden ska grundas på behandlingsregler som har utarbetats med stöd av tillämplig lag och som avses i 2 § 16 punkten i lagen om informationshantering inom den offentliga förvaltningen (906/2019).

Bestämmelser om förutsättningarna för att införa ett automatiserat avgörande och det förfarande som ska iakttas vid införandet finns i lagen om informationshantering inom den offentliga förvaltningen.

En begäran om omprövning eller ett jämförbart rättsmedel får inte avgöras automatiserat.

En förutsättning för automatiserade avgöranden är att den fysiska person som avgörandet avser avgiftsfritt till alla delar får begära omprövning av avgörandet genom en omprövningsbegäran enligt 7 a kap. eller ett jämförbart rättsmedel som behandlas hos den myndighet som har fattat beslutet eller hos en myndighet som hör till samma personuppgiftsansvarige som den beslutande myndigheten.

Vad som föreskrivs i 1 mom. tillämpas dock inte, om en parts yrkande, som inte rör någon annan part, godkänns genom ett automatiserat avgörande.

Utöver vad som föreskrivs i 44 § 1 mom. ska av ett förvaltningsbeslut framgå om ärendet har avgjorts automatiserat samt var det beslut om införande som avses i 28 d § i lagen om informationshantering inom den offentliga förvaltningen finns att tillgå.

Om det inte meddelas något förvaltningsbeslut i ärendet med stöd av någon annan lag, ska de uppgifter som avses i 1 mom. och information om vilka uppgifter som ligger till grund för det automatiserade avgörandet dock meddelas parten på något annat sätt senast när behandlingen av ärendet avslutas.

Kravet enligt 44 § 1 mom. 4 punkten på att namnet på den person som ger ytterligare uppgifter ska anges tillämpas inte i ärenden som avgörs automatiserat.

Denna lag träder i kraft den 20 .

Bestämmelserna i 53 e § 4 mom. i denna lag tillämpas 12 månader efter att lagen har trätt i kraft.

Automatiserat avgörande av ärenden som har varit i bruk före ikraftträdandet av denna lag får trots vad som föreskrivs i 53 f § fortsatt tillämpas i 18 månader från ikraftträdandet av denna lag.

Automatiserat avgörande av ärenden som har varit i bruk före ikraftträdandet av denna lag ska försättas i överensstämmelse med 53 g § i denna lag inom 12 månader efter lagens ikraftträdande.

I denna lag avses med

14) maskinläsbart format ett filformat som är så strukturerat att datorprogram enkelt kan identifiera, känna igen och extrahera informationsmaterial, specifika uppgifter och strukturer i en handling,

15) automatiserad verksamhetsprocess en verksamhetsprocess som resulterar i ett sådant automatiserat avgörande av ärenden som avses i 53 e § i förvaltningslagen (434/2003),

16) behandlingsregler av en fysisk person på förhand utarbetade regler avsedda att styra automatisk databehandling.

Denna lag ska tillämpas på informationshantering och på användning av informationssystem, då myndigheter behandlar informationsmaterial, om inte något annat föreskrivs någon annanstans i lag. Bestämmelserna i 6 a kap. i denna lag ska tillämpas på utveckling, införande och upprätthållande av automatiserade verksamhetsprocesser. Vad som i denna lag föreskrivs om myndigheter ska också tillämpas på universitet som avses i universitetslagen (558/2009) och på yrkeshögskolor som avses i yrkeshögskolelagen (932/2014).

Vad som i 4 kap., 22–24 och 25–27 § samt 6 a kap. i denna lag föreskrivs om informationshanteringsenheter och myndigheter ska tillämpas på privatpersoner, privaträttsliga sammanslutningar och sådana offentligrättsliga samfund som inte är myndigheter till den del dessa sköter offentliga förvaltningsuppgifter. På privatpersoner, privaträttsliga sammanslutningar och sådana offentligrättsliga samfund som inte är myndigheter tillämpas dessutom vad som i 4 och 28 § föreskrivs om informationshanteringsenheter när de utövar offentlig makt på det sätt som avses i 4 § 2 mom. i lagen om offentlighet i myndigheternas verksamhet eller när det särskilt föreskrivs att den lagen ska tillämpas på deras verksamhet. Vidare tillämpas vad som i 19 § 2 mom. samt i 24 a och 24 b § i denna lag föreskrivs om myndigheter på privaträttsliga sammanslutningar och sådana offentligrättsliga samfund som inte är myndigheter när de utövar offentlig makt på det sätt som avses i 4 § 2 mom. i lagen om offentlighet i myndigheternas verksamhet.

Denna lag ska inte tillämpas på statliga myndigheter i landskapet Åland. Lagens 13 a § och 6 a kap. ska dock tillämpas på statliga myndigheter på Åland när de sköter sådana myndighetsuppgifter som hör till rikets lagstiftningsbehörighet och som innebär automatiserat avgörande av ärenden enligt 53 e § i förvaltningslagen.

En myndighet ska utan dröjsmål informera dem som utnyttjar dess informationsmaterial om sådana störningar i myndighetens informationshantering som utgör ett hinder, eller hotar utgöra ett hinder, för informationsmaterialens tillgänglighet. Myndigheten ska meddela hur länge störningen eller hotet om störning beräknas pågå och, i den mån det är möjligt, ange ersättande sätt att utnyttja myndighetens informationsmaterial samt meddela att störningen eller hotet om störning har upphört.

Bestämmelser om information till allmänheten som myndigheter ska ge om avbrott i de digitala tjänsterna och i andra elektroniska dataöverföringsmetoder finns i 4 § 2 mom. i lagen om tillhandahållande av digitala tjänster (306/2019).

En informationshanteringsenhet ska utreda väsentliga risker som hänför sig till behandlingen av informationsmaterial, utnyttjandet av informationssystem och verksamhetens kontinuitet. Informationshanteringsenheten ska utifrån riskbedömningen genom beredskapsplaner och förberedelser för verksamhet i störningssituationer samt genom andra åtgärder se till att behandlingen av informationsmaterial, utnyttjandet av informationssystem och verksamheten fortsätter så störningsfritt som möjligt i störningssituationer under normala förhållanden samt under sådana undantagsförhållanden som avses i beredskapslagen (1552/2011).

Bestämmelser om myndigheternas allmänna skyldighet att vidta förberedelser för undantagsförhållanden samt om ordnande av statens informationsförvaltning, databehandling, elektroniska tjänster, telekommunikation och informationssäkerhet under undantagsförhållanden finns i beredskapslagen.

I lagen om tillhandahållande av digitala tjänster föreskrivs om identifiering av användaren i samband med digitala tjänster som tillhandahålls allmänheten.

I fråga om en handling som upprättats av en myndighet ska registreras åtminstone

3) tidpunkten då handlingen upprättats,

4) tidpunkten då handlingen skickats samt sättet att skicka den.

I ärenderegistret ska om ett ärende dessutom registreras åtminstone

3) myndighetens åtgärder och i samband med det behandlade handlingar i olika skeden,

4) tidpunkten för det myndighetsavgörande som avslutade ärendets behandling,

5) vid behov sättet för delgivning av de handlingar som myndigheten skickat.

En myndighet ska dokumentera uppgiftsfördelningen mellan de personer som ansvarar för fullgörandet av de skyldigheter som föreskrivs i detta kapitel.

Myndigheten ska säkerställa att förfaranden och behandlingsregler i en automatiserad verksamhetsprocess samt förhandsprövningen av dem är tydligt, heltäckande och aktuellt dokumenterade. I myndighetens verksamhetsprocess ska dokumenteras åtminstone

1) varje fas i verksamhetsprocessen som inverkar på ärendets avgörande,

2) behandlingsreglerna i varje fas av verksamhetsprocessen,

3) att behandlingsreglerna är icke-diskriminerande,

4) grunderna för att höra en part automatiserat eller för att låta bli att höra parten,

5) de uppgifter som behövs för att ett ärende ska kunna avgöras, uppgiftskällorna och förfarandena för inhämtande av uppgifter,

6) säkerställandet av att de uppgifter som inhämtas för ärendets avgörande är uppdaterade och felfria,

7) utformandet av de motiveringar som hänför sig till ärendets avgörande eller avvikelser från skyldigheten att motivera beslut,

8) de funktioner som möjliggör kvalitetskontroll av verksamhetsprocessen,

9) tillgodoseendet av kraven på informationssäkerhetsåtgärder.

I dokumentationshandlingarna ska myndigheten ange versionsnummer, datum för godkännandet och den som godkänt handlingen, vars uppgift det är att granska att innehållet i handlingen är lagenligt. Myndigheten ska bevara de godkända handlingarna i minst fem år från ingången av det kalenderår som följer på det år då den automatiserade verksamhetsprocessen togs ur bruk.

En myndighet ska se till att kravöverensstämmelsen i förfaranden och behandlingsregler för automatiserade verksamhetsprocesser och gott språkbruk i handlingar som produceras automatiserat för att ges till en part säkerställs genom testning. Testningen ska ske innan en automatiserad verksamhetsprocess införs och när behandlingsreglerna för en automatiserad verksamhetsprocess ändras. Testningen ska vara planmässig, och lämpliga testningsmetoder och testmaterial ska användas. Testresultaten och åtgärderna för att korrigera upptäckta fel och brister ska dokumenteras.

Myndigheten ska utse en ansvarsperson som ska se till att testningen görs i enlighet med 1 mom. och att testningen, testresultaten och korrigeringsåtgärderna dokumenteras.

Den som gör testningen ska använda en av myndigheten specificerad testningsmetod och ett specificerat testmaterial och omsorgsfullt dokumentera testresultaten.

Myndigheten ska utifrån testresultaten fastställa kravöverensstämmelsen i förfaranden och behandlingsregler för automatiserade verksamhetsprocesser och gott språkbruk i handlingar som produceras automatiserat för att ges till en part.

En myndighet ska övervaka kvaliteten och innehållets felfrihet i ärenden som avgörs automatiserat och efter införandet hantera de risker som är förknippade med den automatiserade verksamhetsprocessen. Myndigheten ska godkänna en plan för kvalitetskontroll av vilken ska framgå ansvaret för kvalitetskontrollen, hur kvaliteten och innehållets felfrihet kontrolleras, hur upptäckta fel korrigeras och hur risker hanteras efter införandet.

Myndigheten ska för kvalitetskontrollen utse en ansvarsperson som ska säkerställa att kvalitetskontrollen genomförs i enlighet med planen för kvalitetskontroll.

Myndigheten ska se till att det om en automatiserad verksamhetsprocess åtminstone registreras uppgifter som anger enligt vilka behandlingsregler den automatiserade processen har framskridit och i vilka faser en fysisk person har deltagit i processen. Uppgifterna ska bevaras i minst fem år från ingången av det kalenderår som följer på det år då uppgifterna registrerades.

Myndigheten ska utan dröjsmål vidta korrigeringsåtgärder, om det i en automatiserad verksamhetsprocess upptäcks ett fel som kan inverka på ärenden som avgörs genom processen. Ett fel som upptäckts efter att verksamhetsprocessen införts, åtgärder för korrigering av felet och korrigeringens inverkan på myndighetens avgöranden i verksamhetsprocessen ska dokumenteras. Särskilda bestämmelser gäller för korrigering av fel i myndighetens avgöranden.

Innan en automatiserad verksamhetsprocess införs ska den myndighet som ansvarar för processen fatta ett beslut (beslut om införande ). Beslutet om införande fattas på föredragning och ska innehålla åtminstone följande uppgifter:

1) den verksamhetsprocess som införs,

2) den myndighet som svarar för verksamhetsprocessen,

3) de motiveringar där förutsättningarna för införandet och de tillämpade bestämmelserna anges,

4) en förteckning över de handlingar som ligger till grund för beslutet om införande,

5) planerat datum för införande av verksamhetsprocessen och tidpunkten för beslutet,

6) den som fattat beslutet och föredraganden,

7) kontaktuppgifter till myndigheten för ytterligare uppgifter om hur den automatiserade verksamhetsprocessen används.

Beslut om införande ska dessutom fattas i fråga om sådana ändringar av verksamhetsprocessen som förutsätter en bedömning av de i 53 e och 53 f § i förvaltningslagen föreskrivna förutsättningarna.

Myndigheten ska bevara beslutet om införande i minst fem år från ingången av det kalenderår som följer på det år då den automatiserade verksamhetsprocessen togs ur bruk.

En myndighet ska offentliggöra gällande beslut om införande på sin webbplats i det allmänna datanätet.

Myndigheten ska utifrån dokumentationen av verksamhetsprocessen och beslutet om införande informera om automatiserat avgörande av ärenden inom sitt verksamhetsområde, grunderna för att använda den automatiserade verksamhetsprocessen och andra uppgifter som är centrala med avseende på kundens rättigheter. Uppgifterna ska offentliggöras på myndighetens webbplats i det allmänna datanätet.

En myndighet ska se till att behandlingsreglerna för en automatiserad verksamhetsprocess är skyddade mot obehörig ändring. Uppgifterna om ändring av behandlingsreglerna ska registreras och bevaras i minst fem år från ingången av det kalenderår som följer på det år då uppgifterna registrerades.

Informationshanteringsnämndens uppgift är att bedöma om beslutet om införande och de handlingar som ligger till grund för beslutet uppfyller kraven i detta kapitel och anknytande förfaranden. Myndigheten ska sända beslutet om införande till informationshanteringsnämnden för kännedom inom sju dagar från det att beslutet fattades. Utifrån de inlämnade besluten om införande beslutar informationshanteringsnämnden om genomförande av behövliga bedömningar i enskilda fall.

Informationshanteringsnämnden har trots sekretessbestämmelserna rätt att kostnadsfritt och utan dröjsmål få nödvändiga uppgifter ur handlingar som ligger till grund för beslutet om införande. Informationshanteringsnämnden får förrätta inspektion för att klarlägga om de handlingar som ligger till grund för beslutet om införande stämmer överens med kraven samt för att verifiera de till införandet anknytande förfarandenas lagenlighet.

Om det nödvändigtvis krävs för genomförande av en bedömningsuppgift, har informationshanteringsnämnden rätt att förrätta inspektion i en informationshanteringsenhets lokaler, med undantag för utrymmen som används för boende av permanent natur. Informationshanteringsenheten och den myndighet som verkar i anslutning till enheten ska bistå vid förrättandet av inspektionen genom att för inspektören lägga fram de handlingar som behövs. För förrättande av inspektion utser informationshanteringsnämnden inom sekretariatet de personer som ska förrätta inspektionen. Informationshanteringsnämnden kan besluta bemyndiga en tjänsteman vid Myndigheten för digitalisering och befolkningsdata att bistå vid förrättande av inspektionen. En bemyndigad tjänsteman vid Myndigheten för digitalisering och befolkningsdata har samma befogenheter som informationshanteringsnämndens inspektör.

Informationshanteringsnämnden kan besluta att uppmärksamgöra myndigheten på väsentliga dokumentationsbrister den upptäcker i samband med en bedömningsuppgift. Informationshanteringsnämnden kan också utsätta en tidsfrist inom vilken myndigheten ska meddela vilka åtgärder den har vidtagit med anledning av uppmärksamgörandet.

Vad som föreskrivs i denna paragraf ska inte tillämpas på riksdagens justitieombudsmans och justitiekanslern i statsrådets verksamhet.

En myndighet ska på grundval av en riskbedömning vidta lämpliga åtgärder för teknisk verifiering av att de uppgifter som används vid automatiserat avgörande är uppdaterade och felfria.

På offentligt anställda arbetstagare hos en myndighet tillämpas bestämmelserna om straffrättsligt tjänsteansvar för tjänstemän när de sköter uppgifter som avses i detta kapitel, frånsett bestämmelserna om avsättningspåföljd.

En myndighet får överföra skötseln av en biträdande uppgift med anknytning till testning enligt 28 b § och korrigering av tekniska fel enligt 28 c § till en privat aktör som har tillräckliga tekniska förutsättningar och tillräckliga kunskaper för ändamålet. På de personer som sköter de biträdande uppgifterna tillämpas bestämmelserna om straffrättsligt tjänsteansvar för tjänstemän, med undantag för avsättningspåföljden, när de sköter uppgifter som avses i denna paragraf. Bestämmelser om skadeståndsansvar finns i skadeståndslagen.

Denna lag träder i kraft den 20 .

En myndighet ska försätta sin verksamhet i överensstämmelse med 13 a § i denna lag inom 12 månader efter lagens ikraftträdande.

Ärendehanteringen ska ordnas i enlighet med kraven i 26 § 4 mom. 4 punkten och 5 mom. 4 och 5 punkten inom 12 månader efter lagens ikraftträdande.

För automatiserade verksamhetsprocesser som har införts före ikraftträdandet av denna lag ska den dokumentation som avses i 28 a § godkännas inom 12 månader efter lagens ikraftträdande.

Myndigheten ska på det sätt som avses i 28 b § 4 mom. i denna lag inom 12 månader efter lagens ikraftträdande fastställa kravöverensstämmelsen i förfaranden och behandlingsregler för automatiserade verksamhetsprocesser som har införts före ikraftträdandet av denna lag och gott språkbruk i handlingar som produceras i automatiserade verksamhetsprocesser för att ges till en part.

För automatiserade verksamhetsprocesser som har införts före ikraftträdandet av denna lag ska ett beslut om införande enligt 28 d § i denna lag fattas inom 12 månader efter lagens ikraftträdande för att användningen av verksamhetsprocessen ska få fortsätta.

Bestämmelserna i 28 c, 28 e, 28 f och 28 h § i denna lag tillämpas 12 månader efter lagens ikraftträdande på automatiserade verksamhetsprocesser som har införts före ikraftträdandet av denna lag. På de uppgifter som avses i 28 c § 4 mom. i denna lag tillämpas dock inte kraven på minimibevaringstid enligt denna lag, om uppgifterna har samlats in före ikraftträdandet av denna lag. På de uppgifter om ändring av behandlingsreglerna som avses i 28 f § i denna lag tillämpas inte kraven på minimibevaringstid enligt denna lag, om behandlingsreglerna har ändrats innan lagen trädde i kraft.

En myndighet kan ge förvaltningskunder råd genom att i digitala tjänster använda tjänsteautomation som grundar sig på utväxling av meddelanden i realtid mellan en användare och tjänsteautomationen, om

1) rådgivningen inte resulterar i ett myndighetsavgörande,

2) myndigheten på förhand har säkerställt att datainnehållet i den rådgivning som tillhandahålls genom tjänsteautomation är korrekt,

3) myndigheten på förhand har säkerställt att tjänsteautomationen uppfyller kravet på gott språkbruk,

4) användarna informeras om att de utväxlar meddelanden med en tjänsteautomation,

5) användarna bereds möjlighet att kontakta en fysisk person vid myndigheten för att fortsätta uträtta ärendet,

6) användarna bereds möjlighet att spara de meddelanden som har utväxlats med tjänsteautomationen.

Myndigheten ska följa kvaliteten på tjänsteautomationens rådgivning och dess ändamålsenlighet i övrigt. Myndigheten ska utse en person som ansvarar för uppföljningen och som också ska se till att kvalitetskontrollen genomförs.

Vad som föreskrivs i 28 b § i lagen om informationshantering inom den offentliga förvaltningen (906/2019) om säkerställande av kravöverensstämmelse och gott språkbruk genom testning tillämpas också på tjänsteautomation som avses i denna paragraf.

Denna lag träder i kraft den 20 .

En tjänsteautomation enligt 6 a § i denna lag som har varit i bruk före lagens ikraftträdande ska försättas i överensstämmelse med denna lag och en person utses för att se till uppföljningen och genomförandet av kvalitetskontrollen inom 12 månader efter lagens ikraftträdande.

Med avvikelse från vad som föreskrivs i 1 mom. får en behörig myndighet avgöra ett förvaltningsärende enbart på grundval av automatiserad behandling av personuppgifter, om ärendet avgörs automatiskt på det sätt som avses i 8 b kap i förvaltningslagen (434/2003).

Denna lag träder i kraft den 20 .

Om ett inskrivningsärende är omfattande, oklart eller annars svårt att avgöra, ska det avgöras av inskrivningsjuristen.

Denna lag träder i kraft den 20 .