13 Behandling av personopplysninger om barn

13.1 Gjeldende rett

Utgangspunktet etter gjeldende rett er at barn og voksne har samme rettigheter etter personopplysningsloven. Gjennom personopplysningsloven § 11 tredje ledd er barns personopplysninger likevel gitt et særlig vern. Det er der bestemt at opplysningene ikke skal behandles på en måte som er uforsvarlig av hensyn til barnets beste. Med barn menes personer under 18 år, jf. spesialmerknadene til § 11 i Prop. 47 L (2011–2012) side 41. Bestemmelsen ble vedtatt for å styrke mindreåriges rettsstilling ved behandling av personopplysninger og innebærer både et forbud og en forpliktelse til å ta ekstra hensyn ved håndtering av personopplysninger som gjelder barn. Departementet er ikke kjent med rettspraksis hvor bestemmelsen har kommet til anvendelse.

Et eget spørsmål i forbindelse med behandling av personopplysninger om barn gjelder barnas adgang til selv å samtykke til behandling av egne personopplysninger. Det følger av vergemålsloven § 9 at «[e]n mindreårig kan ikke selv foreta rettslige handlinger eller råde over sine midler, med mindre noe annet er særlig bestemt.» I merknaden til bestemmelsen inntatt i Ot.prp. nr. 110 (2008–2009) kapittel 13 side 172 fremgår følgende: «Den mindreårige har heller ikke kompetanse til å samtykke til behandling av personopplysninger. Dette er også en «rettslig handling» som omfattes av forbudet.» Det følger videre av vergemålsloven § 17 fjerde ledd at der den mindreårige er over 12 år, skal vergen høre hva den mindreårige mener før det treffes avgjørelser.

For en nærmere omtale av gjeldende rett for så vidt gjelder behandling av barns personopplysninger, viser departementet til Prop. 47 L (2011–2012) kapittel 5 side 14–18. Der uttales det blant annet følgende under punkt 5.2 side 14–15:

«Når det gjelder mindreårige vil det imidlertid vanligvis være den som har foreldreansvaret som opptrer på vegne av barnet. Personopplysningslovens alminnelige bestemmelser suppleres således av reglene i lov om barn og foreldre 8. april 1981 nr. 7 (barnelova). Etter barnelova § 30 har foreldrene rett og plikt til å ta avgjørelser om personlige forhold for barnet, herunder samtykke til behandling av personopplysninger. Avgjørelsene skal treffes ut fra barnets interesser og behov, og barnets ønsker skal tillegges økende vekt med alderen, jf. §§ 31-33.»

13.2 Forordningen

13.2.1 Generelt om behandling av barns personopplysninger

Som etter gjeldende rett er utgangspunktet etter forordningen at barn og voksne har samme rettigheter i forbindelse med behandling av personopplysninger. Forordningen inneholder enkelte spredte artikler og fortalepunkter om behandling av barns personopplysninger, men gir ingen samlet enhetlig regulering av temaet. Forordningen inneholder heller ingen definisjon av hvem som skal regnes som barn i forordningens forstand. Kommisjonens opprinnelige forslag til ny personvernforordning definerte barn som personer under 18 år, se Kommisjonens forslag til artikkel 4 nr. 18, men definisjonen gjenfinnes ikke i den vedtatte forordningen. Departementet antar at en person ikke lenger er et barn i forordningens forstand når vedkommende har fylt 18 år. Dette er i overensstemmelse med utgangspunktet i FNs konvensjon 20. november 1989 om barnets rettigheter artikkel 1 som gjelder som norsk rett, jf. menneskerettsloven § 2 nr. 4.

Artikkel 6 nr. 1 bokstav f fastsetter at det skal tas særlig hensyn til om den registrerte er et barn ved fastleggelsen av om vilkårene i dette behandlingsgrunnlaget er oppfylt. Artikkel 8 er en egen bestemmelse om barns samtykke i forbindelse med informasjonssamfunnstjenester som omtales nærmere under. I artikkel 12 nr. 1 er det fastsatt at den behandlingsansvarlige skal treffe egnede tiltak for å fremlegge for den registrerte informasjon og kommunikasjon om behandlingen på en kortfattet, åpen, forståelig og lett tilgjengelig måte og på et klart og enkelt språk, især når det gjelder informasjon som spesifikt er rettet mot et barn. Artikkel 40 nr. 2 bokstav g fastslår at sammenslutninger og andre organer som representerer kategorier av behandlingsansvarlige eller databehandlere kan utarbeide atferdsnormer om informasjonen som gis til barn, og vern av barn, samt måten samtykke fra de personer som har foreldreansvar for barn, innhentes på. Artikkel 57 nr. 1 bokstav b fastslår at Datatilsynet i sitt arbeid skal vie særlig oppmerksomhet til aktiviteter rettet spesielt mot barn.

Behandling av barns personopplysninger er også vist til en rekke steder i fortalen. Fortalepunkt 38 fastslår at barns personopplysninger på generelt grunnlag fortjener et særlig vern, ettersom barn kan være mindre bevisst på aktuelle risikoer, konsekvenser og garantier samt på de rettigheter de har når det gjelder behandling av personopplysninger. Videre bestemmer fortalepunkt 38 at et slikt vern særlig bør få anvendelse på bruk av barns personopplysninger for markedsføringsformål eller for å opprette personlighets- eller brukerprofiler, samt på innsamling av personopplysninger om barn når de bruker tjenester som tilbys direkte til barn. I samme fortalepunkt gis det uttrykk for at samtykke fra den som har foreldreansvaret ikke bør være nødvendig i forbindelse med forebyggings- eller rådgivningstjenester som tilbys direkte til barn. Fortalepunkt 58 slår fast at all informasjon og kommunikasjon, dersom behandlingen gjelder barn, bør være formulert på et klart og enkelt språk som barnet lett kan forstå, jf. artikkel 12. Fortalepunkt 65 slår fast at retten til å få slettet sine personopplysninger (på nærmere bestemte vilkår) er særlig relevant når den registrerte har gitt sitt samtykke som barn og ikke har fullstendig kjennskap til risikoene forbundet med behandlingen, og senere ønsker å fjerne slike personopplysninger, særlig på internett. Fortalepunkt 71 gir uttrykk for at barn ikke bør være gjenstand for automatiserte avgjørelser, jf. artikkel 22. Videre er barn omtalt som en sårbar gruppe av registrerte i fortalepunkt 75.

13.2.2 Særlig om barns samtykke ved informasjonssamfunnstjenester

Forordningen artikkel 8 nr. 1 bestemmer at barn må være minst 16 år for at samtykke skal kunne utgjøre behandlingsgrunnlag når informasjonssamfunnstjenester tilbys direkte til et barn. Dersom barnet er under 16 år, er behandlingen lovlig bare dersom og i den utstrekning samtykke er gitt eller godkjent av den som har foreldreansvar for barnet. Etter artikkel 8 nr. 1 kan medlemsstatene ved lov likevel fastsette en lavere aldersgrense enn 16 år, forutsatt at den ikke er lavere enn 13 år.

Begrepet «informasjonssamfunnstjenester» er definert i forordningen artikkel 4 nr. 25 som en tjeneste som definert i artikkel 1 nr. 1 bokstav b i europaparlaments- og rådsdirektiv (EU) 2015/1535. Direktivet foreligger ikke i norsk oversettelse. Artikkel 1 nr. 1 bokstav b i europaparlaments- og rådsdirektiv (EU) 2015/1535 lyder i dansk språkversjon slik:

««tjeneste»: enhver tjeneste i informationssamfundet, dvs. enhver tjeneste, der normalt ydes mod betaling, og som teleformidles ad elektronisk vej på individuel anmodning fra en tjenestemodtager.

Med henblik på denne definition forstås ved:

• i) «teleformidling»: at en tjeneste ydes, uden at parterne er til stede samtidig

• ii) «ad elektronisk vej»: at en tjeneste fra afsendelsesstedet sendes og på bestemmelsesstedet modtages ved hjælp af elektronisk databehandlingsudstyr (herunder digital komprimering) og datalagringsudstyr, og som udelukkende sendes, rutes og modtages via tråd, radio, optiske midler eller andre elektromagnetiske midler

• iii) «på individuel anmodning fra en tjenestemodtager»: at en tjeneste ydes ved transmission af data på individuel anmodning.»

I den norske oversettelsen av e-handelsdirektivet 2001/31/EF heter det blant annet at definisjonen av informasjonssamfunnstjenester «omfatter enhver tjeneste som ytes, vanligvis mot vederlag, over avstand ved bruk av elektronisk utstyr for behandling (herunder digital komprimering) og lagring av data, på individuell anmodning fra en tjenestemottaker» (fortalepunkt 17). Definisjonen er ytterligere utypet i fortalepunkt 18, hvor det blant annet heter: «Informasjonssamfunnstjenester er ikke begrenset utelukkende til tjenester som fører til direktekoplet kontraktsinngåelse, men i den grad de utgjør en form for økonomisk virksomhet omfatter de også tjenester der vederlaget ikke ytes av dem som mottar dem, for eksempel tjenester som går ut på å tilby direktekoplet informasjon eller direktekoplede kommersielle meddelelser, eller som leverer verktøy for søking etter, tilgang til og gjenfinning av data.»

Departementet legger på denne bakgrunn til grunn at definisjonen blant annet vil omfatte sosiale medier.

Artikkel 8 nr. 2 bestemmer at den behandlingsansvarlige skal treffe rimelige tiltak for å kontrollere at samtykke er gitt eller godkjent av den som har foreldreansvar for barnet, idet det tas hensyn til tilgjengelig teknologi.

Det er presisert i artikkel 8 nr. 3 at artikkel 8 nr. 1 ikke påvirker medlemsstatenes alminnelige avtalerett, for eksempel reglene for gyldigheten, utformingen eller virkningen av en avtale som gjelder et barn.

13.3 Forslaget i høringsnotatet

Departementet fremholdt i høringsnotatet at departementet, med unntak av artikkel 8, ikke kunne se at forordningen åpner for å fastsette nasjonale regler om behandling av barns personopplysninger med et helt generelt virkeområde. Departementet kom dermed til at forordningen ikke åpner for å videreføre den någjeldende bestemmelsen i personopplysningsloven § 11 tredje ledd.

Det ble foreslått at det i norsk rett bør fastsettes at aldersgrensen etter artikkel 8 nr. 1 skal være 13 år. Departementet foreslo å fastsette aldersgrensen ved lov.

13.4 Høringsinstansenes syn

13.4.1 Generelt om behandling av barns personopplysninger

Forbrukerrådet peker på at barn og ungdom utgjør en særlig sårbar gruppe som har behov for et sterkt personvern. De er aktive i sosiale medier og kan følgelig spores og utsettes for et massivt markedsføringspress. Høringsinstansen mener personvernforordningen inneholder en rekke sentrale bestemmelser som tar sikte på å beskytte barn mot å foreta handlinger de ikke ser konsekvensene av.

Datatilsynet er enig med departementet i at bestemmelsen i gjeldende personopplysningslov ikke kan videreføres i sin nåværende form. Høringsinstansen ber likevel departementet vurdere om bestemmelsen kan videreføres i en annen form, for eksempel som en spesifikk begrensning for behandling av særlige kategorier av personopplysninger etter artikkel 9 nr. 4. Redd Barna etterlyser særlig virkemidler for å bedre beskytte barn mot foreldres skadelige eksponering av barn, ettersom § 11 ikke vil videreføres i ny lov. Høringsinstansen peker på at de gjennom arbeid med barnevern og sosiale medier, og generelt informasjonsarbeid med nettvett, har dokumentert at barn uttrykker et behov for bedre vern mot foreldre som tar valg i sosiale medier som kan være i konflikt med barnets beste. Også Barneombudet mener det er en beklagelig konsekvens av dette at personopplysningsloven § 11 tredje ledd ikke kan videreføres i ny lov, på tross av at bestemmelsen til nå har vært sovende. Høringsinstansen understreker at situasjonen etter mai 2018 vil kreve at myndighetene iverksetter andre mekanismer for å beskytte barn, særlig fordi forordningen ikke gir Datatilsynet kompetanse til å gripe inn i saker som tidligere ble rammet av § 11 tredje ledd.

Redd Barna mener at det er positivt at det understrekes i et fortalepunkt at samtykke fra den som har foreldreansvaret ikke bør være nødvendig i forbindelse med forebyggings- eller rådgivningstjenester. Høringsinstansen mener imidlertid det er viktig å klargjøre hvilke tjenester som vil kunne omfattes av dette, og at det må utarbeides klare og tydelige retningslinjer for ivaretakelse av barns personvern i disse tjenestene.

Den nasjonale forskningsetiske komité for samfunnsvitenskap og humaniora mener barns samtykke ikke er tilstrekkelig behandlet i høringsnotatet. Høringsinstansen peker på at barn har en selvstendig rett til å bli hørt, også om deltakelse i forskning.

13.4.2 Om samtykke til behandling av personopplysninger i forbindelse med informasjonssamfunnstjenester

Advokatforeningen mener at høringsnotatet gir en svak begrunnelse for å fravike forordningens utgangspunkt om 16 år. Høringsinstansen peker på at gjennomgangstonen i samfunnsdebatten er at foreldre bør ha et aktivt forhold til barns bruk av informasjonssamfunnstjenester, og da særlig sosiale medier. Høringsinstansen mener det vil være langt enklere for foreldre å sikre involvering dersom deres samtykke er nødvendig for å opprette profiler på eksempelvis sosiale medier. Advokatforeningen uttaler blant annet følgende:

«Samlet sett mener Advokatforeningen at bransjen for informasjonssamfunnstjenester ikke har utviklet tilstrekkelige verktøy og prosesser til å gi denne informasjonen på en god måte. Slik praksis er i bransjen per i dag, mener Advokatforeningen at et barn på 13 år ikke kan forventes å forstå behandlingsformene, eller hvilken betydning de kan få for barnet. Advokatforeningen mener derfor det vil være en bedre løsning om aldersgrensen settes høyere, samtidig som departementet og Datatilsynet jobber i internasjonale forua for at bransjen forbedrer verktøy og prosesser for å gi tilfredsstillende informasjon om behandlingsformer. Når og hvis dette arbeidet lykkes, kan departementet på ny vurdere om aldersgrensen kan senkes.»

Etter Forbrukerrådets mening bør aldersgrensen være høyere, og i stedet settes til 16 år. Universitetssykehuset Nord-Norge HF mener også at 13 år er en for lav aldersgrense og viser til at regelen omfatter noe mer enn «nettsamfunn» som Facebook og Snapchat, det kan også være tjenester for e-handel og nedlasting av filmer. KS mener også at en 13 års aldersgrense er for lavt. Høringsinstansen peker i tillegg på at det er et moment at dette vil være en aldersgrense som kommer på toppen av øvrige aldersgrenser som gjelder i norsk lovgivning. KS mener at 15 år er en mer passende aldersgrense.

Forbrukerombudet anbefaler at aldersgrensen for å samtykke til behandling av personopplysninger i forslag til ny personopplysningslov settes til 16 år, i overensstemmelse med artikkel 8 i personvernforordningen. Også Vestfold fylkeskommune foreslår en slik aldersgrense.

Redd Barna støtter høringsnotatets forslag om å fastsette aldersgrense for barns samtykke (uten foreldrenes samtykke) til behandling av personopplysninger ved informasjonssamfunnstjenester til 13 år. Også Barneombudet støtter departementets forslag til en aldersgrense på 13 år for når et barns samtykke (uten foreldrenes samtykke) skal kunne utgjøre behandlingsgrunnlag ved tilbud av informasjonssamfunnstjenester direkte til et barn. Høringsinstansen understreker likevel at dette ikke må gjelde utlevering av sensitive personopplysninger.

Brækhus Advokatfirma DA stiller seg også bak forslaget om å sette aldersgrensen for barns samtykkekompetanse til 13 år. Høringsinstansen er enig med departementet i at spørsmålet ikke gjelder samtykke til behandling av sensitive opplysninger etter forordningen artikkel 9 nr. 2 bokstav a, men kun andre personopplysninger etter forordningen artikkel 6 nr. 1 bokstav a. Høringsinstansen poengterer imidlertid viktigheten av å skape en bevisstgjøring rundt personvern for barn i den omtalte aldersgruppen. Ansvaret for slik bevisstgjøring, må etter høringsinstansens syn hvile på barnets foreldre som en del av det alminnelige foreldreansvaret og andre offentlige instanser, herunder skolen, og ikke ved en restriktiv lovgivning.

Medietilsynet støtter forslaget om en 13 års aldersgrense. Slik tilsynet ser det, taler hensynet til barns medbestemmelsesrett i barnelova § 31, barns rett til ytringsfrihet og informasjonstilgang i barnekonvensjonen artikkel 13 og retten til å si sin mening etter konvensjonens artikkel 12, for en 13-årsgrense når det gjelder barns samtykkekompetanse ved informasjonssamfunnstjenester. Også Datatilsynet støtter forslaget om en 13 års aldersgrense og peker på at dette er i tråd med Datatilsynets praksis. Norsk rikskringkasting påpeker at en aldersgrense på 13 år i størst grad vil ivareta hensynet til barns informasjons- og ytringsfrihet og barns medbestemmelsesrett, og at en aldersgrense på 13 år også er best i samsvar med gjeldende praksis.

Juristforbundet mener at reglene for barns samtykke og grensen for samtykke til bruk av informasjonssamfunnstjenester burde ha vært utredet nærmere av departementet, jf. artikkel 8 nr. 1. Juristforbundet stiller spørsmål ved om det vil være realistisk å gjennomføre en annen aldersgrense enn 13 år. Høringsinstansen peker på at det også er denne grensen Sverige og Danmark foreslår.

Helse Stavanger HF peker på at det heller bør satses på opplæring av bruk av medier enn å høyne aldersgrensen til for eksempel 16 år. Forbrukerombudet mener at det bør tilføyes eksplisitt i loven at aldersgrensen ikke gjelder for samtykke til behandling av sensitive personopplysninger. Ved å klargjøre dette i lovteksten, kan man unngå tvilstilfeller hos næringsdrivende, som ellers kunne resultere i at barns sensitive personopplysninger kan komme på avveie og misbrukes. Også Universitetssykehuset Nord-Norge HF mener at en presisering om dette bør tas inn i den nye personopplysningsloven.

Kirkerådet viser til at religiøs myndighetsalder i Norge er 15 år, jf. kirkeloven § 3 nr. 6. Høringsinstansen påpeker at manglende samtykkekompetanse for behandling av sensitive personopplysninger kan bli problematisk ved deltakelse ved kirkelige aktiviteter som innebærer behandling av sensitive personopplysninger. Det vises til at etter at et barn er fylt 15 år, skal det fritt kunne bestemme hvilke kirkelige aktiviteter det deltar på i kraft av å være religiøst myndig.

13.5 Departementets vurdering

Å legge til rette for at barn skal settes i stand til å opptre på en trygg og ansvarlig måte på nett, samt å sikre rettslige rammer som beskytter barn i en digital hverdag, er etter departementets syn en viktig oppgave for myndighetene. Ved fastsettelse av regler som skal gjelde barns handlinger på nett, må det sees hen både til barns rett til selvbestemmelse og barns beskyttelsesbehov. Opplærings- og informasjonstiltak er også en sentral del av en ansvarlig politikk på dette området.

I tråd med det som ble skissert i høringsnotatet, foreslår departementet ikke en videreføring av § 11 i gjeldende personopplysningslov. Departementet kan ikke se at forordningen åpner for en slik generell regel om behandling av barns personopplysninger. Departementet har likevel merket seg at det kan oppstå særlige spørsmål knyttet til foreldres bruk av barns personopplysninger på en uforsvarlig måte. Flere av høringsinstansene har pekt på uheldige konsekvenser av at § 11 ikke videreføres, herunder Barneombudet og Redd Barna. Etter departementets syn gir ikke forordningen Datatilsynet en klar hjemmel til å gripe inn i tilfeller der foreldrene for eksempel publiserer opplysninger om barnet på internett basert på et samtykke foreldrene selv har avgitt på barnets vegne, slik personopplysningsloven § 11 tredje ledd gjør i dag. Hvorvidt Datatilsynet etter forordningen vil kunne gripe inn i en sak der foreldre på en uforsvarlig måte behandler barns opplysninger, må etter departementets syn vurderes konkret i det enkelte tilfellet. Dersom det viser seg at de alminnelige regler som gir rammene for foreldres samtykke til å behandle barns personopplysninger, sett i sammenheng med forordningens alminnelige regler, ikke ivaretar hensynet til barna i stor nok grad, kan det etter departementets syn vurderes om det bør foretas endringer i dagens regler i vergemålsloven og barneloven om kompetanse til å samtykke til behandling av personopplysninger om barn.

Etter departementets syn må utgangspunktet etter forordningen være at nasjonale regler om når barn kan samtykke til behandling av personopplysninger, fortsatt skal gjelde. I forordningen artikkel 8 fastsettes det imidlertid en særlig grense for barns samtykke i forbindelse med informasjonssamfunnstjenester. Etter forordningen artikkel 8 settes aldersgrensen til 16 år, men forordningen åpner for at det i nasjonal rett fastsettes en lavere aldersgrense, forutsatt at den ikke er lavere enn 13 år. I vurderingen av hvilken aldersgrense som skal fastsettes, må det tas hensyn til barnets behov for beskyttelse og veiledning, samt barnets selvbestemmelsesrett.

Høringsinstansene er delte i synet på hvilken aldersgrense som bør fastsettes. Advokatforeningen, Forbrukerombudet, Forbrukerrådet, Universitetssykehuset i Nord-Norge HF og Vestfold fylkeskommune mener det ikke bør settes en lavere aldergrense enn 16 år. KS mener aldersgrensen bør være 15 år. Redd Barna, Barneombudet, Brækhus Advokatfirma DA, Datatilsynet, Norsk rikskringkasting og Medietilsynet mener derimot aldersgrensen bør settes til 13 år. Etter departementets vurdering ivaretar en aldersgrense på 13 år i størst grad hensynet til barnets selvbestemmelsesrett, i tillegg til at en slik regel viderefører dagens praksis på området. Datatilsynet praktiserer i dag en regel om at barn på 13 år selv kan samtykke til slike tjenester. Medietilsynet fremholder i høringen at hensynet til barns medbestemmelsesrett i barnelova § 31, barns rett til ytringsfrihet og informasjonstilgang i barnekonvensjonen artikkel 13 og retten til å si sin mening etter konvensjonens artikkel 12, taler for en 13-årsgrense.

Slik flere av høringsinstansene, blant annet Brækhus Advokatfirma DA, også er inne på, er det etter departementets syn viktig at barn gis kunnskap og veiledning til å håndtere egne personopplysninger på nett. Det følger av artikkel 57 nr. 1 bokstav b at Datatilsynet i sitt arbeid skal «fremme allmennhetens kjennskap til og forståelse for risikoer, regler, garantier og rettigheter i forbindelse med behandling.» I denne sammenheng skal tilsynet i henhold til samme bestemmelse vie særlig oppmerksomhet til aktiviteter rettet spesielt mot barn.

Departementet vil også peke på at det kan virke mot sin hensikt å sette en aldersgrense som er kunstig høy sammenlignet med hvem som reelt sett benytter for eksempel sosiale medier, da dette kan spille inn på hvilke brukergrupper behandlingsansvarlige må tilpasse sine tjenester til. Forordningen stiller krav om at informasjon skal være lett tilgjengelig og tilpasset brukergruppene for ulike tjenester, noe tilsynsmyndigheten også kan etterprøve.

Flere av høringsinstansene etterspør en klargjøring av hvilken aldersgrense som vil gjelde ved behandling av særlige kategorier av personopplysninger. Artikkel 8 nr. 1 henviser kun til artikkel 6 nr. 1, og ikke til artikkel 9, som inneholder nærmere regler om samtykke til behandling av særlige kategorier personopplysninger. Det oppstår derfor spørsmål om aldersgrensen i artikkel 8 og adgangen til å fastsette en lavere aldersgrense i nasjonal rett også gjelder for samtykke til behandling av særlige kategorier personopplysninger, jf. forordningen artikkel 9 nr. 2 bokstav a. Departementet legger til grunn at bestemmelsene i artikkel 8 må forstås slik at den ikke gjelder samtykke til behandling av særlige kategorier personopplysninger, jf. artikkel 9 nr. 2 bokstav a. Barns adgang til å samtykke til behandling av særlige kategorier av personopplysninger må altså vurderes etter de alminnelige reglene, jf. punkt 13.1 over om vergemålsloven og barnelova.