5 Mindreåriges personvern

5.1 Innledning

Barn og unge har samme krav på personvern som voksne. Det er imidlertid flere utfordringer knyttet til håndtering av mindreåriges personopplysninger.

Den senere tid har mindreåriges personvern fått større oppmerksomhet. Fokus har spesielt vært rettet mot problemstillinger som oppstår når foreldre, barnehager og skoler publiserer personopplysninger om barn på Internett. Personvernkommisjonen har i NOU 2009: 1 “Personvern i det digitale samfunnet - individ og integritet” særlig drøftet spørsmål forbundet med foreldre som offentliggjør bilder og sensitive personopplysninger om sine barn på nettet. Om dette uttales i utredningen side 137-138:

”I hovedsak dreier det seg om uskyldige «skrytebilder», som feriebilder og bilder fra bursdager og arrangementer. Personvernkommisjonen erkjenner at digitale fotoalbum som deles med familie og venner er svært vanlig, og når formidling til andre skjer innenfor forsvarlige rammer, er personvernet i stor grad ivaretatt. Graden av tilgjengeliggjøring vil imidlertid være et sentralt moment her. Det er forskjell på å gi bestemor tilgang til et album på et lukket forum og å publisere bilder på en hjemmeside som er tilgjengelig for alle Internettbrukere. Det samme vil gjelde for publisering av andre personopplysninger. Det vil også være av betydning hva slags bilder/opplysninger det er snakk om. Det er tilfeller der foreldre har publisert sensitiv informasjon, som for eksempel opplysninger om helseforhold og dokumenter i barnevernsaker. […] I enkelte tilfeller publiserer foreldre opplysninger om barna sine i kamp mot barnevernet. Det er kjent at videoklipp av vanskelige situasjoner som har oppstått når barnevernet overtar omsorgen for barn ligger ute på nettet, for eksempel på YouTube.com. De fleste av disse klippene er ikke anonymisert, og gir tilgang til sensitiv informasjon om de barna det gjelder. Det kan være ulike motiver som ligger bak, men barns integritet og personvern blir uansett krenket i disse tilfellene. Her er det snakk om å utlevere historien til barn i en vanskelig livssituasjon til offentligheten. Offentliggjøring av informasjon og opplysninger som kan skade barns integritet bryter med rettslige prinsipper og allmennmoralske normer som understreker at barn er fullverdige mennesker som har krav på respekt og beskyttelse.”

I dette kapittelet behandles særskilte problemstillinger knyttet til mindreåriges personvern. Ny lov om vergemål 26. mars 2010 nr. 9 (vergemålsloven) § 8 definerer mindreårige som ”[p]ersoner som ikke har fylt 18 år”. Tilsvarende forståelse legges til grunn i det følgende.

5.2 Gjeldende rett

Personopplysningsloven har i dag ingen egne regler om behandling av mindreåriges personopplysninger. Personverndirektivet skiller heller ikke mellom opplysninger som gjelder barn og opplysninger som gjelder voksne.

På europeisk nivå er det etablert en rådgivende arbeidsgruppe for personvern med utgangspunkt i personverndirektivet artikkel 29 (artikkel 29-gruppen). Arbeidsgruppen har i sin uttalelse nr. 1/2008 identifisert problemstillinger knyttet til barn og personvern og konkluderer med at mindreåriges personvern i de fleste tilfeller er tilfredsstillende ivaretatt – under forutsetning av at regelverket tolkes i lys av hensynet til barnets beste, jf. FNs konvensjon om barns rettigheter 20. november 1989 (Barnekonvensjonen) artikkel 3 nr. 1.

Utgangspunktet etter gjeldende rett er at barn og voksne har samme rettigheter etter personopplysningsloven. Når det gjelder mindreårige vil det imidlertid vanligvis være den som har foreldreansvaret som opptrer på vegne av barnet. Personopplysningslovens alminnelige bestemmelser suppleres således av reglene i lov om barn og foreldre 8. april 1981 nr. 7 (barnelova). Etter barnelova § 30 har foreldrene rett og plikt til å ta avgjørelser om personlige forhold for barnet, herunder samtykke til behandling av personopplysninger. Avgjørelsene skal treffes ut fra barnets interesser og behov, og barnets ønsker skal tillegges økende vekt med alderen, jf. §§ 31-33.

Mindreåriges personvern beskyttes også av Barnekonvensjonen artikkel 16, som bestemmer at ingen barn skal utsettes for ulovlig innblanding i sitt privatliv. Professor Lucy Smith behandler spørsmål knyttet til konvensjonsbestemmelsen og norsk personvernlovgivning i artikkelen ”Om barns personvern” i Tidsskrift for familierett, arverett og barnerettslige spørsmål nr. 2/2011. I artikkelen heter det blant annet, jf. side 113:

”[FNs barnekonvensjon] artikkel 16 må antas å omfatte alle former for krenkelse av den personlige integritet og retten til privatliv, også personopplysninger. Den gjelder urettmessig offentliggjøring av både bilder og trykt tekst. Barn har her til dels sterkere vern enn voksne. Artikkel 16 gjelder også foreldres krenkelse av egne barns personvern, for eksempel hvis de legger ut opplysninger om barnet på Internett i strid med barnets rett til privatliv. Videre gjelder artikkelen også beskyttelse i forhold til innsamling, forvaltning og spredning av personopplysninger om barn.

Det er ikke tilstrekkelig at myndighetene selv unnlater å gjøre inngrep, det er også et krav etter artikkel 16 at myndighetene må treffe konkrete tiltak for å sikre at rettighetene realiseres, blant annet ved lovgivning, men også ved gjennomføring av slik lovgivning. Det kan stilles spørsmål ved om dette kravet er tilfredsstilt i Norge for barns vern mot offentliggjøring av bilder og sensitive opplysninger.”

5.3 Schartum/Bygrave (2006)

Mindreåriges personvern drøftes i utredningen side 140-149. Utrederne fremhever tre problemområder knyttet til behandling av barns personopplysninger, jf. utredningen side 142:

• spørsmålet om innsamling av opplysninger (herunder samtykke)

• spørsmålet om innsyn i opplysninger

• spørsmålet om retting, sletting mv. av opplysninger virke forebyggende.

Utrederne foreslår en generell regulering av forholdet mellom barn og foreldre innenfor rammene av personopplysningsloven. Det foreslås en bestemmelse som fastsetter i hvilken grad barnet kan utøve rettigheter etter loven, jf. forslaget til ny § 6 a side 193. Med forslaget tar utrederne sikte på å gi et samlet regelsett som dekker de tre nevnte problemstillingene. For en nærmere redegjørelse for forslaget vises det til utredningen side 146.

Utrederne foreslår videre en særlig bestemmelse om unntak for innsyn i egne opplysninger, jf. forslaget til § 22 annet ledd i utredningen side 201-202. I tillegg foreslår utrederne å begrense adgangen til å behandle personopplysninger etter en skjønnsmessig vurdering, dersom det inngår opplysninger om barn under 12 år. Forslaget til ny § 8 c er inntatt i utredningen side 196.

5.4 Høringsnotatet

I høringsnotatet reiste departementet spørsmål om det bør innføres særskilte regler om beskyttelse av barns personopplysninger. Departementet uttalte at det antagelig kan være et behov for et styrket vern av denne gruppen. I drøftelsen pekte departementet på følgende, jf. punkt 8.3.1.2 side 71:

“I fortalen til Barnekonvensjonen fremheves det at barn, på grunn av sin fysiske og psykiske umodenhet, har behov for spesielle beskyttelsestiltak. Barns sårbarhet, kombinert med deres utstrakte bruk av nye medier og kommunikasjonsverktøy, medfører en viss fare for at de ukritisk oppgir, eller samtykker til behandling av, personopplysninger om seg selv eller andre. Barn har ikke alltid forutsetninger for å forstå konsekvensene av å oppgi personopplysninger, noe som tilsier at det kan være behov for særregler til beskyttelse av mindreårige.”

Departementet viste videre til at dagens regelverk inneholder bestemmelser som hovedsakelig har relevans etter at behandlingen av personopplysninger er foretatt, og således etter at skaden har skjedd. Departementet pekte på at klarere regler om hvem som har kompetanse til å gi ut opplysninger om barnet, muligens vil kunne virke forebyggende.

I høringsnotatet gikk departementet inn på spørsmålet om foreldrenes mulighet til å samtykke på vegne av barnet kan begrenses på enkelte områder. Departementet viste i den forbindelse til diskusjonen knyttet til foreldre som publiserer følsom informasjon om sine barn på Internett. Departementet uttalte følgende, jf. punkt 8.3.2.3 side 75:

“Personvernkommisjonen slår fast at det er et sentralt prinsipp i norsk og internasjonal barnerett at utøvelsen av foreldreansvaret skal skje ut i fra hva som er barnets beste. Kommisjonen mener at prinsippet må tillegges vekt når rekkevidden av samtykkereglene i personopplysningsloven vurderes, jf. NOU 2009: 1 side 138. […]

Departementet bemerker at foreldreansvaret ikke er en konstant størrelse, men uttynnes gradvis, idet foreldrenes rett til å bestemme for barnet avtar etter hvert. Særlig barnets selvbestemmelsesrett etter barneloven § 33 vil kunne føre til at foreldrenes bestemmelsesrett bortfaller før barnet er 18 år.

I juridisk teori et det antatt at barnet kan ha større selvbestemmelsesrett til å nekte (”nektingskompetanse”) enn til å gi samtykke (”samtykkekompetanse”) til inngrep eller tiltak, jf. Backer: Barneloven Kommentarutgave, 2. utgave side 306 (2008). […]

Departementets foreløpige vurdering er at foreldrenes samtykkekompetanse kan begrenses på områder hvor de i utgangspunktet har slik kompetanse, både med hjemmel i nasjonal rett, jf. barneloven § 30 flg., og internasjonal rett, jf. Barnekonvensjonen. Departementet støtter Personvernkommisjonen i at prinsippet om barnets beste også må tillegges vekt når det skal avgjøres om det foreligger gyldig samtykke, og dermed tilstrekkelig hjemmelsgrunnlag, etter personopplysningsloven. Det samme gjelder hensynet til barnets selvbestemmelsesrett. […] Samtykkekompetansen kan muligens klargjøres ved å inkorporere prinsippet om barnets beste i eventuelle særregler om behandling av barns personopplysninger, eventuelt i tillegg å innta en henvisning til barnets selvbestemmelsesrett.”

I høringsnotatet ba departementet også om høringsinstansenes syn på den nærmere utformingen av regelverket, herunder spørsmålet om det er hensiktsmessig å lovfeste en gradering av samtykkekompetansen og om det bør fastsettes særskilte restriksjoner for behandling av barns personopplysninger.

5.5 Høringsinstansenes syn

Under høringen har det vært generell oppslutning om å gi egne regler som styrker barns personvern. Barne-, likestillings- og inkluderingsdepartementet, Fornyings-, administrasjons- og kirkedepartementet, Kunnskapsdepartementet, Barneombudet, Datatilsynet, Forbrukerombudet, Statistisk sentralbyrå, Utdanningsdirektoratet, Advokatforeningen, NorSIS og Norsk Samfunnsvitenskapelig datatjeneste (NSD) støtter forslaget. Bare Human Rights Alert går i mot forslaget.

Barne-, likestillings- og inkluderingsdepartementet peker på at barn har et særlig behov for beskyttelse. Høringsinstansen mener at det bør lovfestes at foreldrenes samtykke skal baseres på en vurdering av hva som vil være til barnets beste, og er positiv til å innføre begrensninger i foreldrenes samtykkekompetanse:

“Det følger av § 30 i barneloven at foreldrene skal utøve sitt foreldreansvar ut fra barnets interesser og behov. Hva som er til det enkelte barnets beste vil som regel bero på en konkret og skjønnsmessig vurdering. Barnekonvensjonen artikkel 16 omhandler barns rett til beskyttelse av sitt privatliv, herunder vern av personlige opplysninger. Departementet er derfor enig i at dersom foreldre publiserer personsensitive opplysninger om barnet på Internett på en måte som ikke er til barnets beste, vil dette være i strid både med barneloven og med barnekonvensjonen. […]

[B]arneloven er en privatrettslig lov som regulerer forholdet mellom barnet og foreldrene. Dette innebærer at det etter barneloven ikke finnes noen overordnet instans som kan overprøve foreldrene i avgjørelser de tar i kraft av sitt foreldreansvar. Departementet legger til grunn at dersom en forelder legger ut slike opplysninger om barnet på Internett, vil dette selvsagt være et relevant moment i en sak mellom foreldrene etter barneloven for eksempel om foreldreansvar. Utover dette kan vi ikke se at barneloven kan beskytte et barn mot at foreldrene publiserer personsensitive opplysninger for eksempel på Internett. […] Etter Barne- og likestillingsdepartementets oppfatning er det bekymringsfullt at barn etter dagens lovgivning ikke er gitt et tilstrekkelig vern mot at foreldrene publiserer svært sensitive opplysninger om dem på Internett. Etter vår oppfatning må denne beskyttelsen imidlertid primært ivaretas gjennom straffelovgivningen og ved å endre personopplysningsloven.”

Fornyings-, administrasjons- og kirkedepartementet uttaler at lovregulering for bruk av personopplysninger om barn vil styrke rettsikkerheten og forutberegneligheten. Høringsinstansen mener videre at det bør innføres særskilte begrensninger i foreldrenes samtykkekompetanse for å forhindre at foreldrene krenker sine barns personvern:

“[D]et bør inntas en særskilt regulering som begrenser foreldres rett til å offentliggjøre informasjon om sine barn. Ved utformingen av en slik ny regel, vil man måtte se hen til de grunnprinsipper som kommer til uttrykk i barnekonvensjonen og barneloven. Regelen bør gi uttrykk for at barnets beste skal stå i fokus, og videreføre prinsippet slått fast i juridisk teori om at barnet har en større rett til negativ selvbestemmelsesrett, altså å nekte offentliggjøring, enn til å gi sitt samtykke til dette. Dette vil gi Datatilsynet større rom for inngrep der en krenkelse har skjedd, og vil kunne gi en viktig signaleffekt om at foreldre i større grad må respektere barnets ønsker i slike tilfeller. Videre vil det kunne skape en større refleksjon som gir grunnlag for en mer kritisk tenkning rundt spørsmål om offentliggjøring. En slik regel vil kunne bidra til at barn ikke uforvarende havner i situasjoner det må ryddes opp i i ettertid.”

I samme retning uttaler Barneombudet:

”Barneombudet ønsker å fremheve at ved en tolkning av personvernreglene skal legge barnets beste til grunn, jfr. Barnekonvensjonen artikkel 3. Barn har rett på særlig beskyttelse. Foreldre og barn har i enkelte tilfeller motstridende interesser, noe som kan tilsi at det bør utredes om det er behov for særlige personvernregler for barn.

Barneombudet mener at det er akutt behov for tiltak som kan beskytte barna, og om nødvendig overprøve foreldrenes vurderinger. Eksempel på områder hvor dette er et behov er når foreldre legger ut sensitive opplysninger om barn på nettet.”

Mange av høringsinstansene har synspunkter på hvordan reglene om mindreåriges personvern skal utformes. Forslaget om å begrense den behandlingsansvarliges adgang til å behandle barns personopplysninger etter eget skjønn støttes av Barne-, likestillings- og inkluderingsdepartementet, Barneombudet og Utdanningsdirektoratet.

Et klart flertall av høringsinstansene er videre positive til å fastsette at barnets samtykkekompetanse skal øke med alderen. Dette gjelder Barne-, likestillings- og inkluderingsdepartementet, Fornyings-, administrasjons- og kirkedepartementet, Kunnskapsdepartementet, Barneombudet, Datatilsynet, Statistisk sentralbyrå, Utdanningsdirektoratet og Norsk Samfunnsvitenskapelig datatjeneste (NSD).

Forslaget om å begrense innsyn i egne personopplysninger kommenteres av Fornyings-, administrasjons- og kirkedepartementet og Datatilsynet. Begge høringsinstansene støtter forslaget.

5.6 Departementets vurdering

Som nevnt inneholder ikke personopplysningsloven egne bestemmelser om behandling av mindreåriges personopplysninger. Departementet er kjent med at EU i forbindelse med revisjonen av personverndirektivet vil vurdere spørsmål knyttet til mindreåriges personvern. Det vises til EU-kommisjonens strategidokument 4. november 2010 side 6, omtalt foran i punkt 3. Departementet ser likevel et visst behov for å styrke barns personvern nå.

Utfordringer knyttet til mindreåriges personvern er særlig forbundet med alder, erfaringsgrunnlag og deres bruk av ny teknologi. Det knytter seg også problemstillinger til voksnes holdninger til å offentliggjøre opplysninger og bilder av mindreårige. I økende grad ser en eksempler på at de mest alvorlige krenkelser av barns personvern begås av voksne.

Spørsmål knyttet til mindreåriges vern mot offentliggjøring av personopplysninger drøftes som nevnt av professor Lucy Smith i artikkelen ”Om barns personvern”. Forfatteren skriver, jf. side 108:

”Særlige problemer oppstår når det er tvil om foreldrene i tilstrekkelig grad ivaretar barnas personvern, og i hvilken utstrekning det offentlige skal kunne gripe inn for å beskytte barnets interesser. Ved vurderingen av lovregler som gir hjemmel til å overprøve foreldres avgjørelser på dette området, vil vern av familiens privatliv måtte vurderes mot barnets eget personvern og barnets beste.

Norsk lovgivning om personvern har hittil i liten utstrekning vært opptatt av barns situasjon, og det synes klart at det er behov for rettsregler som tar bedre vare på barns rettigheter på dette området.”

I de fleste tilfeller er foreldres publisering av informasjon og bilder uproblematisk. Ny teknologi gjør det imidlertid mulig å manipulere og spre materialet som legges ut. For eksempel kan strandbilder av nakne eller lettkledde barn på tilsynelatende uskyldige hjemmesider eller sosiale medier lett bli misbrukt. I tillegg ser en enkelte ganger eksempler på at foreldre bevisst setter sin egen interesse foran barnas personvern, i konflikt med hverandre eller med det offentlige. Det vises eksempelvis til situasjonene omtalt av Personvernkommisjonen i punkt 5.1 over.

Etter departementets syn tilsier disse forhold at det er ønskelig å ivareta barns personvern særskilt i loven. Departementet viser også til at et klart flertall av høringsinstansene har fremhevet behovet slike regler.

Departementet går derfor inn for å styrke mindreåriges rettsstilling gjennom en ny regel i personopplysningsloven § 11 tredje ledd om at personopplyninger som gjelder barn ikke skal behandles på en måte som er uforsvarlig av hensyn til barnets beste.

Bestemmelsen vil rette seg mot den behandlingsansvarlige og innebærer både et forbud og en forpliktelse til å ta ekstra hensyn ved håndtering av personopplysninger som gjelder barn. Etter personopplysningsloven § 2 nr. 4 ligger behandlingsansvaret hos den som bestemmer formålet med behandlingen av de aktuelle personopplysningene og hvilke hjelpemidler som skal brukes. Både foreldre og andre personer, for eksempel kommersielle aktører, vil således kunne være behandlingsansvarlig.

Begrepet ”uforsvarlig” innebærer at det først og fremst er de mer klanderverdige disposisjoner og behandlinger som omfattes. Hva som skal til for at en behandling kan sies å være ”uforsvarlig” vil bero på en konkret vurdering. I kjernen ligger behandlinger som er åpenbart krenkende for barnet. Det vises eksempelvis til de ovenfor nevnte tilfellene hvor foreldre legger ut informasjon i en pågående barnefordelingssak eller barnevernsak, klart i strid med barnets interesser. Det samme kan gjelde belastende opplysninger om barnets helse og lignende.

Det er primært en oppgave for foreldre å ivareta barnets beste. I tillegg ligger dette til enkelte offentlige myndigheters ansvarsområde, og især barnevernet. Formålet med den nye bestemmelsen er ikke å gjøre Datatilsynet til en instans som i bred utstrekning og med lav terskel skal gripe inn i hvordan foreldrene ivaretar barnas personvern. Dette går klart frem i lovforslaget ved at Datatilsynet ikke har til oppgave å vurdere om foreldrenes behandling av barnas personopplysninger er til barnas beste. I stedet skal tilsynet ha en supplerende rolle, med kompetanse til å treffe vedtak eller gi råd i de klare tilfeller av overtramp og misbruk av barns personopplysninger.

Dersom øvrige behandlingsgrunnlag mangler, krever publisering av personopplysninger som hovedregel samtykke, jf. personopplysningsloven § 8. Kravet til samtykke kan imidlertid være vanskelig å praktisere når det er tale om mindreåriges personopplysninger. Særlig gjelder dette når det er foreldrene som står for publiseringen. Etter barnelova og Barnekonvensjonen har i tillegg barn rett til å bli hørt i saker som angår dem. Retten til selvbestemmelse øker når barnet vokser til.

Uforsvarlighetsregelen vil i mindre grad være aktuell direkte overfor barn som selv, og etter eget ønske, legger ut sine personopplysninger. Bestemmelsen vil imidlertid kunne komme til anvendelse på et nettsteds videre bruk av materialet, dersom denne bruken er uforsvarlig. Den nye bestemmelsen antas dessuten å kunne ivareta barn som ikke blir hørt, eller ikke er i stand til å danne seg en egen mening i situasjoner hvor deres personvern åpenbart ikke blir respektert.

Departementet understreker at bestemmelsen ikke inneholder noen begrensning i hvem som kan påberope seg den. Enhver som er bekymret for personvernet til en mindreårig kan således henvende seg til Datatilsynet, samtidig som tilsynet på vanlig måte kan agere av eget tiltak.

Avslutningsvis nevnes at forslaget ikke er ment å regulere de behandlinger av barns personopplysninger som skjer innenfor det man kan kalle den private sfære. Dette fremgår også av personopplysningsloven § 3 annet ledd om lovens virkeområde (privathetsunntaket). Behandling av personopplysninger innenfor en mer lukket krets, for eksempel når kun familie og venner har tilgang til bilder, filmer etc., vil som før falle helt utenfor loven.

Lovforslaget bygger på en forutsetning om at de alminnelige sanksjonsreglene i personopplysningsloven kan få anvendelse. Datatilsynet har eksempelvis hjemmel til å pålegge stansing av ulovlig behandling av personopplysninger etter personopplysningsloven § 46, og tilsynet vil dermed ha kompetanse til å pålegge stans av særlig krenkende publiseringer om barnet på Internett.

Departementet utelukker for øvrig ikke at det på sikt kan være behov for flere regler om mindreårige i personopplysningsloven. På bakgrunn av signalene fra EU om nye direktivregler på dette punkt, anses det imidlertid hensiktsmessig å avvente ytterligere forslag til lovendringer.