Barns kontroll over eget personvern gjennom retten til innsyn og samtykke - styrkes barns rettsstilling ved gjennomføringen av EUs personvernforordning?

(1)

Barns kontroll over eget

personvern gjennom retten til innsyn og samtykke

Styrkes barns rettsstilling ved gjennomføringen av EUs personvernforordning?

Kandidatnummer: 602

Leveringsfrist: 25.november 2017 Antall ord: 17 979

(2)

i

Innholdsfortegnelse

1 INNLEDNING ... 1

1.1 Tema og problemstillinger ... 1

1.2 Bakgrunn og aktualitet ... 2

1.3 Avgrensninger ... 4

1.3.1 Barn og foreldre ... 4

1.3.2 Forholdet til særlovgiving ... 5

1.3.3 Den registrerte ... 5

1.4 Rettskildene ... 5

1.4.1 Grunnloven ... 5

1.4.2 Menneskerettighetene ... 7

1.4.3 EU-retten ... 9

1.4.4 Nasjonal lovgivning ... 12

1.4.5 Personvernprinsippene og den norske interesseteori ... 12

1.5 Metodiske utfordringer ... 15

1.5.1 Utfordringer ved barn som «registrert person» ... 15

1.5.2 Fragmentert regelsett ... 16

1.5.3 Manglende praksis ... 16

1.5.4 Tilknytning til EU-retten ... 17

1.5.5 Ny personopplysningslov ... 18

1.6 Fremstillingen videre ... 18

2 MEDBESTEMMELSE ETTER GJELDENDE RETT ... 19

2.1 Barns rett til samtykke – «interessen i å bestemme over tilgangen til opplysninger om egen person» ... 19

2.1.1 Frivillig ... 20

2.1.2 Uttrykkelig ... 20

2.1.3 Informert ... 21

2.1.4 Den registrerte ... 21

2.2 Barns rett til innsyn og informasjon – «interessen i innsyn og kunnskap» ... 28

2.2.1 Den individuelle innsynsrett ... 28

2.2.2 Nærmere om barns innsynsrett ... 29

2.3 Konklusjoner – innsyn og samtykke etter gjeldende rett ... 35

3 MEDBESTEMMELSE ETTER IKRAFTTREDELSE AV EUS PERSONVERNFORORDNING ... 36

3.1 Innledende bemerkninger ... 36

(3)

ii

3.2 Samtykke ... 36

3.2.1 Særlig om barns samtykke ved informasjonssamfunnstjenester ... 39

3.3 Innsyn ... 41

3.4 Endringenes betydning for ivaretakelse av barns personvern etter nasjonal rett ... 42

3.4.1 Konsekvenser for personopplysningsloven ... 42

3.4.2 Konsekvenser for annen norsk lovgivning ... 44

3.4.3 Konklusjoner ... 45

4 EUS BIDRAG TIL ET STYRKET PERSONVERN FOR BARN ... 47

4.1 Barns posisjon i EU-forordningens lovgivningsprosess ... 47

5 AVSLUTTENDE BEMERKNINGER ... 50

LITTERATURLISTE ... 52

(4)

1

1 Innledning

1.1 Tema og problemstillinger

Denne masteroppgaven omhandler barns muligheter til å ivareta sine egne personvernrettigheter før og etter EUs personvernforordning,¹ gjennom retten til samtykke og retten til innsyn.

Rettighetene skal redegjøres for etter gjeldende rett, samt etter den nye forordningen som skal tre i kraft som norsk lov 25.mai 2018. Jeg søker å besvare hvorvidt barns rettsstilling på disse områdene kommer til å endres gjennom EUs personvernforordning, og dersom svaret på dette er bekreftende; hvorvidt endringene styrker barns muligheter til å ivareta eget personvern etter norsk rett.

Personvern som rettsfelt har fått økt betydning i senere år. Vi lever i en tid der personlig informasjon spres og deles på plattformer som ikke eksisterte for bare noen tiår siden. Den ras- ke utviklingen verden har vært vitne til skaper utfordringer for personvernet på mange måter.

Dette plasserer oppgavens tema i et spennende rettsfelt. Det er også et felt jurister har karakterisert som uoversiktlig og vanskelig tilgjengelig. Personvern får mye omtale i samfunnsdebat- ten, men det er allikevel usikkerhet rundt personvernbegrepet og hva personvernlovgivningen egentlig går ut på.²

Dagens personopplysningslov består av generelle regler for behandlingen av personopplysninger og får sitt nærmere innhold fastlagt gjennom praksis.³ Da den første lovteksten kom i 2000, med EUs personverndirektiv⁴ som rettesnor, var barns rettsstilling lite nevnt både ved utredelsen av loven og i lovproposisjonen. I opprinnelig lovtekst var barn ikke nevnt overhodet. Siden den gang har mye endret seg, både i det virkelige liv og i lovarbeidet på personvernfeltet. Barns særstilling ved rett til personvern har gått fra å være lite eller overhodet ikke omtalt, til å bli etterspurt av ulike instanser, for så å bli fulgt opp av utredninger og senere lovgiver. Likevel preges barns muligheter til å ivareta sitt eget personvern i dag fortsatt av uklare regler⁵ og konkret skjønnsutøvelse i den enkelte sak.⁶

Barn er avhengige av støtte, veiledning og beskyttelse, både fra samfunnet og fra foresatte/foreldre.⁷ At barn trenger hjelp er ubestridt, men det har i de senere år vært en økende ten-

1 EP/Rfo 2016/679/EF

2 Schartum (2011) s.17

3 Ot.prp.nr.92 (1998-1999) s.21-22

4 EP/Rdir 95/46/EF

5 Høringsnotat (2009) s.72

6 Schartum (2016) s.48

7 A29WP 398/09/EN WP160 s.4

(5)

2

dens til å tildele barn større innflytelse over eget liv enn de tidligere har hatt. Fokus på barns særskilte stilling, samt deres rett til selvbestemmelse og medbestemmelse, har i større omfang enn tidligere hatt en innvirkning på ulike rettsfelt. Denne tendensen ser ut til å gjelde også på personvernfeltet, både ved at norske lovgivere har utredet barns stilling⁸ og at styrking av barns personvern blir trukket frem som et særskilt formål i EUs nye personvernforordning.⁹

«Personvern blir ofte karakterisert som vernet av interessen den enkelte har i å ha kontroll og oversikt over behandlingen av opplysninger om seg selv».¹⁰ For barns vedkommende stiller dette seg annerledes ved at barns personvern først og fremst ikke ivaretas av barnet selv, men av foreldre, de som behandler personopplysningene og Staten. «Slik sett gjelder personvern for barn i to retninger, både i forhold til foreldre og i forhold til samfunnet rundt.»¹¹ Oppga- ven forsøker å besvare hvordan barn kan ivareta eget personvern i dette mangfoldet av aktø- rer, også etter at EUs personvernforordning inkorporeres i norsk lov fra mai 2018.

1.2 Bakgrunn og aktualitet

Spørsmål om barns personvern er i 2017 et dagsaktuelt tema, men det har ikke alltid vært slik.

For å klargjøre hvorfor det er en økende etterspørsel og nødvendighet av regulering omkring barns rettigheter skal det kort gjøres rede for norsk personvernhistorikk. Dette tydeliggjør samtidig hvorfor den valgte problemstilling er aktuell som masteroppgave.

Norges første personvernlov kom i 1978¹² og var avgrenset til å gjelde personopplysninger organisert i registre. Gjennom de neste tyve årene endret det norske samfunn seg drastisk, både grunnet utviklinger nasjonalt og på den internasjonale arena. Norge fikk i denne perio- den nærmere tilknytning til EU gjennom EØS-avtalen, som pålegger myndighetene å innføre EUs regelverk der det er av betydning for det indre marked.¹³ Dette førte til at Stortinget i 2000 vedtok ny personopplysningslov.¹⁴ Den gjennomfører EUs personverndirektiv av 24.oktober 1995,¹⁵ som per 25.juni 1999 ble innlemmet i EØS-avtalen og dermed fikk folkerettslig bindende status for Norge.¹⁶ Den nye personopplysningsloven erstattet bestemmelsene

8 Schartum (2006)

9 EP/Rfo 2016/679/EF fortalepkt.38, 58, 65, 71, 75

10 Coll (2000) s.17

11 Schartum (2006) s.142

12 Personregisterloven

13 Regjeringen (2016)

14 Personopplysningsloven

15 EP/Rdir 95/46/EF

16 Schartum (2011) s.86

(6)

3

i personregisterloven og består i dag av generelle bestemmelser som gjelder både offentlig og privat virksomhet i Norge, uavhengig av hvor opplysningene er registrert.¹⁷

Under lovarbeidet ble ikke spørsmål om barns rettsstilling etter personopplysningsloven behandlet i særlig grad, hverken i utredingen¹⁸ eller lovproposisjonen¹⁹.²⁰ Barns rettslige stilling er heller ikke regulert i personverndirektivet.²¹ Et slikt manglende barnefokus kan ha flere årsaker. Personvern var på dette tidspunktet et ungt rettsfelt. Identifisering av alle problemstillinger som kan oppstå tar tid og er et arbeid som kan strekke seg over flere år. Loven skulle også utformes generelt. Fokus på særgrupper, slik som barn, ville motvirke ønsket om genera- litet i lovtekst samt sende uheldige signaler om favorisering av enkelte sårbare grupper frem- for andre.²² I tillegg kommer det at fokus på barns rettsstilling har kommet mer og mer til syne de siste årene; kanskje var ikke barnefokuset like tydelig ved utformingen av direktivet og personopplysningsloven på 90-tallet.

Ved evalueringen av personopplysningsloven og den påfølgende lovendringen i 2012 ble barns rettsstilling på personvernfeltet viet mer oppmerksomhet. Dette hadde sin bakgrunn i at FNs barnekomité i 2010 kritiserte Norge for ikke å beskytte barns personvern tilstrekkelig.²³ Dermed ble det fremmet flere lovforslag for å sikre mindreåriges personvern best mulig i norsk rett,²⁴ og resultatet ble en generell og skjønnspreget norm der barns personopplysninger

«… ikke skal behandles på en måte som er uforsvarlig av hensyn til barnets beste.»²⁵ Depar- tementet var positive også til andre forslag fremmet under lovendringsprosessen, men grunnet EUs revisjon av personverndirektivet ønsket departementet å avvente ytterligere endringer for å se hvilket regelverk norsk rett måtte tilpasse seg til, også for barns rett til personverns vedkommende.²⁶

I dag vet vi at revisjon av personverndirektivet resulterte i en forordning. Der direktivet var stumt har forordningen tildelt barn plass i flere fortalepunkt og artikler, men det er usikkert hvilken innvirkning dette har på barns personvernrettigheter. Per dags dato er høringsrunden

17 Personopplysningsloven §3

18 NOU 1997:19

19 Ot.prp.nr.92 (1998-1999)

20 Schartum (2016) s.40-41

21 ibid. s.43

22 Høringsnotat (2009) s.71-72

23 FNs barnekomité (2010) s.6

24 Schartum (2006) s.140

25 Personopplysningsloven §11, 3.ledd

26 Schartum (2016) s.43

(7)

4

til ny personopplysningslov, som skal gjennomføre forordningen i norsk rett, avsluttet.²⁷ Det gjenstår å se om forslaget vil bli revidert på bakgrunn av de ulike instansenes høringssvar.

Personvernets historikk peker på et behov for å tilpasse regelverket ut i fra et barneperspektiv.

Denne utviklingen, samt inntoget av nytt EU-regelverk, gjør masteroppgavens tema aktuelt.

1.3 Avgrensninger

1.3.1 Barn og foreldre

Oppgavens problemstilling omhandler barns kontroll over eget personvern. Hovedfokus er dermed hvordan barnet selv kan disponere over sine personvernrettigheter; ikke hva andre kan gjøre på vegne av barnet. Det er flere aktører som potensielt spiller en rolle for barns personvern, men i det følgende avgrenses det mot problemstillinger som kan oppstå der andre aktø- rer isolert ivaretar personvern på vegne av barnet. Denne avgrensningen må imidlertid modifiseres for en viktig gruppe, nemlig barnets foreldre/foresatte.

Forholdet mellom barn og foreldre reguleres av barnelova, som supplerer de generelle personvernreglene når foreldre forvalter barnets rettigheter på vegne av det. Utgangspunktet er at alle de disposisjoner og beslutninger et barn ikke kan foreta på egenhånd, tilfaller foreldrene.²⁸ Imidlertid kan det i grensesnittet mellom barn og foreldre oppstå en rekke problemstillinger av interesse for barns kontroll over eget personvern. Dermed kan ikke foreldreaspek- tet avskjæres helt.

Personvernrettigheter kan utøves av foreldre alene, av barn og foreldre i samarbeid²⁹eller av barnet alene. I førstnevnte scenario ivaretar foreldre barnets personvern isolert fra barnet og barnet vil ikke selv ha kontroll over prosessen. Også problemstillinger vedrørende foreldres rettigheter etter reglene om foreldreansvar er forhold barnet ikke selv har kontroll over. Disse problemstillingene handler dermed ikke om hva barn på egenhånd har rett til ved ivaretakelse av sitt personvern.

Etter dette avgrenses det mot de særspørsmål som oppstår der foreldre ivaretar barnets personvern isolert fra barnet, samt problemstillinger vedrørende foreldres rettigheter overfor hverandre etter reglene om foreldreansvar.³⁰

27 Høringsnotat (2017)

28 Barnelova §§30, 31-33

29 BK art.12, barnelova §33

30 For nærmere lesing av avgrenset problematikk, se Schartum (2016) s.49 flg.

(8)

5 1.3.2 Forholdet til særlovgiving

Da personvernlovgivningen er generelt utformet foreligger det særlovgivning som direkte eller indirekte presiserer behandling av personopplysninger på enkelte livsområder. For barns rett til personvern eksisterer det særlovgivning som kan belyse deler av problemstillingen, men mitt fokus ligger på den generelle personvernlovgivningen før og etter EUs personvernforordning. Det vil derfor ikke foretas en grundig gjennomgang av særlovgivningen, men der den er relevant for de generelle problemstillinger vil den kort presenteres.

1.3.3 Den registrerte

Oppgaven dreier seg om den registrertes rettigheter. Der jeg redegjør for innsyn vil det dermed avgrenses mot allmenn innsynsrett.³¹ Slikt innsyn for «enhver» videreføres heller ikke etter EUs nye personvernforordning.³²

1.4 Rettskildene

Personvernregelverket virker sammen med andre rettsregler. I tillegg omhandler problemstillingen barn. Dermed vil de regler som regulerer barns rettigheter også ha betydning for fastleggelsen av gjeldende rett på personvernfeltet. Grunnet et sammensatt og komplekst rettskil- debilde følger en kort redegjørelse av de viktigste rettskildene innen områdene barn og personvern. Problemstillingen kan da besvares ved å trekke de ulike rettskildene inn i analyser og drøftelser fortløpende, uten noen nærmere introduksjon enn den jeg foretar nedenfor.

1.4.1 Grunnloven

Norges Grunnlov er lex superior og går foran all annen lovgivning, nasjonal som internasjo- nal. I 2014 ble det inntatt en ny rettighetskatalog i Grunnloven, der flere sentrale menneske- rettigheter ble nedfelt. Ønsket var å styrke menneskerettighetenes stilling i norsk rett.³³ De to viktigste bestemmelsene for oppgaven er grl. § 102 om retten til privatliv og grl. § 104 om barns rettigheter.

1.4.1.1 § 102

Personvernet er vernet i Grunnloven. Ny § 102 lyder slik:

“Enhver har rett til respekt for sitt privatliv og familieliv, sitt hjem og sin kommunikasjon.

Husransakelse må ikke finne sted, unntatt i kriminelle tilfeller.

Statens myndigheter skal sikre et vern om den personlige integritet.”

33 Dok.nr.16 (2011-2012) s.12

(9)

6

Den gamle bestemmelsen hadde kun et forbud mot ulovlige husransakelser og var således en meget begrenset bestemmelse om privatlivets fred. Med inntog av “vern om den personlige integritet” i nytt 2.ledd, samt en presisering av respekt for privatliv i 1.ledd, gikk bestemmel- sen over til å dekke en mengde rettslige problemstillinger. Personlig integritet omfatter privatliv, personvern og personopplysningsvern. Bestemmelsen dekker således all personvernspro- blematikk.³⁴

1.4.1.2 §104

Barns rettigheter har også grunnlovsvern. Ny § 104 lyder slik:

“Barn har krav på respekt for sitt menneskeverd. De har rett til å bli hørt i spørsmål som gjelder dem selv, og deres mening skal tillegges vekt i overensstemmelse med deres alder og utvikling.

Ved handlinger og avgjørelser som berører barn, skal barnets beste være et grunnleggende hensyn.

Barn har rett til vern om sin personlige integritet. Statens myndigheter skal legge forholdene til rette for barnets utvikling, herunder sikre at barnet får den nødvendige økonomiske, sosiale og helsemessige trygghet, fortrinnsvis i egen familie.”

Før denne bestemmelsen trådte i kraft var barn kun omtalt i Grunnloven § 100 om ytringsfri- het. Menneskerettighetsutvalget ønsket å gi barn en egen grunnlovsbestemmelse for å tydelig- gjøre at barn har krav på respekt for sitt menneskeverd og har like stor verdi som voksne.³⁵ Å gi personvern og barn grunnlovs rang gjennom hver sin paragraf i Grunnloven betyr ikke nødvendigvis en endring av rettstilstanden. Tanken bak ny grl. §§ 102 og 104 var å gi både personvern og barn et løft.³⁶ Personvern som rettsfelt samt barn som persongruppe har i de senere år fått økt oppmerksomhet og blir sett på som stadig viktigere å regulere. Ved å plasse- re dem i grunnlovs rang synliggjøres dette rettsområdet og denne persongruppen. Bestemmel- sene kan også gi føringer for både lovgivende, utøvende og dømmende makt.³⁷ For lovgivende og utøvende makt vil det sette skranker, samt ha sterk politisk og symbolsk betydning ved dannelse og endring av lover, handlingsplaner, strategier m.m. For den dømmende makt vil

34 Dok.nr.16. (2011-2012) s.175-176

35 ibid. s.186

36 ibid. s.176-177, 189

37 l.c.

(10)

7

bestemmelsene kunne brukes som tolkningsmomenter ved fortolkningen av annen lovgivning.

Forvaltning og domstoler kan, der det er tvil om hvordan lovgivning skal forstås, trekke på bestemmelser i Grunnloven som et tolkningsmoment for å finne frem til hva som er gjeldende rett, da det presumeres at lovgiver gir lover i tråd med grunnlovsbestemmelsene. Personlig integritet og barn vil nok stå sterkere i juridisk argumentasjon når kilden er av så stor vekt som grunnloven. I tillegg kan grunnlovfesting være et «viktig rettslig verktøy i møte med fremtidens teknologiske utvikling og utfordringer.»³⁸ Lovgivende makt har ikke oversikt over alle fremtidens problemstillinger. Dette fører til at lovregulering på enkeltområder i noen tilfeller skjer i etterkant av en utvikling. Ved å nedfelle barn og personvern i den høyeste retts- kilde tildeles de et generelt og overordnet vern som kan bli sentralt dersom det oppstår problemstillinger som enda ikke er lovregulert.³⁹

1.4.2 Menneskerettighetene

De internasjonale menneskerettighetene har sentral betydning for barns personvern. For oppgavens vedkommende er den europeiske menneskerettighetskonvensjon samt barnekonvensjonen viktig. De er inkorporert i norsk rett gjennom menneskerettsloven,⁴⁰ og skal «ved mot- strid gå foran bestemmelser i annen lovgivning.»⁴¹ Bestemmelsene skal tolkes med utgangs- punkt i folkerettslig juridisk metode.⁴² Der norsk rett ikke er konform gjennom tolkning eller presumsjonsprinsippet, veier den internasjonale rettsregelen tyngst.⁴³

1.4.2.1 Den europeiske menneskerettighetskonvensjonen

Den europeiske menneskerettighetskonvensjon (EMK) er den grunnleggende menneskerettighetskonvensjonen i Europa og dekker de fundamentale sivile og politiske rettighetene som tradisjonelt regnes som selve kjernen i menneskerettighetsbegrepet.⁴⁴ En sentral regel i konvensjonen er artikkel 8, som fastslår at «…[e]nhver har rett til respekt for sitt privatliv og familieliv, sitt hjem og sin korrespondanse.» Sammen med konvensjonen om sivile og politis- ke rettigheter art.17 følger EMK art.8 opp Verdenserklæringens art.12 om beskyttelse av en- hvers privatliv. Før inntakelsen av personvern i Grunnlovens rettighetskatalog var det disse konvensjonsbestemmelsene som utgjorde det rettslige utgangspunktet for personvern i norsk rett.⁴⁵

38 Dok.nr.16. (2011-2012) s.176-177

39 l.c.

40 Menneskerettsloven §2

41 ibid. §3

42 Ot.prp.nr.3 (1998-1999) s.66-67

43 Gjelder ikke Grunnloven

44 NOU 1993:18 s.118

45 Dok.nr.16 (2011-2012) s.167

(11)

8

Årsaken til at EMK art.8 kommenteres nærmere enn de andre konvensjonsbestemmelser har bakgrunn i EMKs nærhet til norsk rett. I Norge har konvensjonen stått sentralt både før og etter menneskerettsloven og i Europa er 47 land konvensjonspart. Videre er det EMK som oftest påberopes i praksis og som er best kjent blant jurister og andre. Den har hatt stor praktisk betydning sammenliknet med andre konvensjoner gjennom sitt håndhevelsessystem, da brudd på bestemmelser i konvensjonen kan bringes for den Europeiske Menneskerettighets- domstol (EMD).⁴⁶

Ordlyden til EMK art.8 omfatter ikke vern av personopplysninger. Imidlertid har liknende internasjonale konvensjoner om privatlivets fred med tiden blitt tolket utvidende til å omfatte et slikt vern. Art.8 har blitt tolket av EMD på tilsvarende måte.⁴⁷ Ved grunnlovfestingen av personvern uttalte Menneskerettighetsutvalget at det er «…uklart hvor langt artikkelen går i å verne om personopplysninger, samt retten til å kreve innsyn i egne personopplysninger som er oppbevart i personregistre.»⁴⁸ Dette var bakgrunnen for å innta personvern i ordlyden til grl.

§ 102. Det ville ikke «endre dagens rettstilstand på området, men tydeliggjøre den i én grunn- leggende setning, samtidig som man får frem den ideen som ordinær lovgivning og ulovfestet rett i dag springer ut av.»⁴⁹

Etter at personvern ble inntatt eksplisitt i Grunnloven er det usikkert hvilken selvstendig rolle EMK art.8 vil spille for intern norsk rett ved beskyttelse av personvern. Menneskerettighets- utvalget uttalte om samspillet mellom reglene at grunnlovsbestemmelsen «… vil fremheve det rettslige utgangspunkt om ivaretakelse av disse verdiene i norsk rett…»,⁵⁰ men at «… [d]en nærmere vurderingen eller avveiningen av hvor langt en slik grunnlovsbestemmelse strekker seg, vil måtte forstås i lys av og suppleres med det internasjonale konvensjonsvernet og med tidligere ulovfestet rett.»⁵¹ Dette innebærer at praksis fra EMD anses relevant også ved fastleggelsen av grunnlovsbestemmelsene.

46 NOU 1993:18 s.118

47 Dok.nr.16 (2011-2012) s.170

48 l.c.

49 Dok.nr.16 (2011-2012) s.178

50 ibid. s.175

51 l.c.

(12)

9 1.4.2.2 Barnekonvensjonen

FNs konvensjon om barns rettigheter av 1989 (BK) regulerer barns rettigheter og gjelder i alle situasjoner som berører barn. En person anses som «barn» i henhold til konvensjonen før fylte 18 år.⁵²

Flere artikler er av betydning når det gjelder barns personvernrettigheter. Etter BK art.16 kreves det at «ingen barn… utsettes for vilkårlig eller ulovlig innblanding i sitt privatliv». Be- stemmelsen har direkte forbindelse til personvernproblematikken da personopplysninger er en del av barnets privatliv.

Videre finnes det andre artikler som indirekte vil ha betydning for personvernspørsmål omkring barn. Etter BK art.3 skal «barnets beste være et grunnleggende hensyn… ved alle hand- linger som berører barn», enten dette foretas av offentlig eller privat aktør. Der det utarbeides regelverk eller retningslinjer for barns personvern vil dette være en handling som berører barn. Barnets beste skal dermed være en del av vurderingen. At det skal være et grunnleggende hensyn medfører ikke at barnets beste alltid trumfer andre hensyn. Konvensjonskravet er at barnets beste alltid skal være tatt i betraktning der handlinger berører barn. Dermed skal det fremkomme av begrunnelsen at barnets beste er vurdert, samt hvordan dette hensynet er av- veid mot andre hensyn som gjør seg gjeldende.⁵³ Dersom motstridende hensyn har like stor vekt som hensynet til barnets beste vil imidlertid sistnevnte trumfe i avveiningen.⁵⁴

Sist nevnes BK art.12, som gir uttrykk for en del av personvernets medbestemmelsesprinsipp for barn.⁵⁵ Bestemmelsen gir barn en rett til å bli hørt «i alle forhold som vedrører barnet», og sikrer at barnets synspunkter tillegges «behørig vekt i samsvar med dets alder og modenhet».

1.4.3 EU-retten

1.4.3.1 EUs Charter om grunnleggende rettigheter

EUs Charter om grunnleggende rettigheter ble til for å samle alle de viktigste rettigheter EU ønsker å fremme i ett enkelt dokument. Medlemsstatene vedtok charteret i 2000, men det ble først juridisk bindende ved ikrafttredelsen av Lisboa-traktaten den 13.desember 2009.⁵⁶ Her finnes relevant rettskildemateriale for problemstillinger om barns personvern.

52 FNs Barnekonvensjon art.1

53 CRC – General Comment No. 14 pkt.III, 14b

54 ibid. pkt.39

55 Jf.kap.1.4.5

56 European Commission (2017)

(13)

10

Beskyttelse av personopplysninger har følgende ordlyd i art.8:

“1. Everyone has the right to the protection of personal data concerning him or her.

2. Such data must be processed fairly for specified purposes and on the basis of the consent of the person concerned or some other legitimate basis laid down by law. Everyone has the right of access to data which has been collected concerning him or her, and the right to have it rectified.”

I artikkel 24 blir barns rettigheter fastlagt, der særlig pkt.1 og 2. er av interesse. Ordlyden har likheter med tilsvarende bestemmelser i barnekonvensjonen og barnelova:

“1. Children shall have the right to such protection and care as is necessary for their well- being. They may express their views freely. Such views shall be taken into consideration on matters which concern them in accordance with their age and maturity.

2. In all actions relating to children, whether taken by public authorities or private institu- tions, the child's best interests must be a primary consideration.”

Der EU foretar seg noe, det være seg nye avtaler, lovgivning eller handel, skal dette gjøres i tråd med Charteret. Dersom det skapes motstridende lovgivning vil unionsdomstolen slå ned på den.⁵⁷ Disse forhold viser at Charteret tillegges behørig vekt innenfor EU-systemet. For Norges anliggende påpekes følgende; Chartret er kun bindende for EUs medlemsstater, og bare når de gjennomfører EU-rett og det er innenfor de kompetanser EU har i henhold til trak- tatene. Som ikke-medlem av EU er Norge ikke direkte part til Lisboa-traktaten. Charteret er dermed ikke juridisk bindende for Norge.⁵⁸ Bestemmelsene kan likevel ha relevans ved tolk- ningen av EU-retten, gjennom det faktum at Unionen selv skal holde seg innenfor Charterets rammer når det skaper ny lovgivning. Artikkel 8 og 24 får dermed betydning ved fastleggelsen av innholdet i EUs nye personvernforordning.⁵⁹

Ordlyden i artikkel 8 og 24 samsvarer i stor grad med bestemmelser om barn og personvern i Grunnloven, menneskerettighetskonvensjoner og barnelova. Der charterets bestemmelser samsvarer med EMKs artikler vil de ha tilsvarende innhold og rekkevidde som konvensjo-

58 Regjeringen (2012)

59 EP/Rfo 2016/679/EF henviser til Charteret i fortalepkt.4

(14)

11

nen⁶⁰ og det er usikkert hvor mye selvstendig betydning Charteret vil tillegges av norske rettsanvendere ved siden av de bestemmelser som gjelder direkte som norsk lov.⁶¹

1.4.3.2 EUs personvernforordning

Den 14.april 2016 ble EUs personvernforordning vedtatt. Den erstatter EUs personverndirektiv og har som formål å sørge for fri utveksling av personopplysninger i Unionen innenfor de rettigheter fysiske personer har ved vern av sine personopplysninger.⁶² Et overordnet mål er at fysiske personers personopplysninger skal behandles på en lovlig, rettferdig og gjennomsiktig måte.⁶³ Forordningen vil gjøres nærmere rede for i kapittel 3.

1.4.3.3 Artikkel 29-gruppen

Artikkel 29-gruppen ble etablert av EUs personverndirektiv,⁶⁴ og er EUs rådgivende organ i personvernspørsmål. Det er uavhengig av de andre EU-instanser⁶⁵ og de uttalelser og anbefa- linger som produseres reflekterer organets syn alene. Selv om arbeidsgruppen ikke binder EU- organer eller medlemslandene kan anbefalingene og uttalelsene ha relevans ved fastleggelsen av personvernregelverket i EU som kilde til reelle hensyn.⁶⁶

Dette understrekes ved at arbeid fra gruppen brukes ved dannelse av ny EU-lovgivning. Etter saken «Google Spain v AEPD and Mario Costeja González»,⁶⁷ som fastslo «the right to be forgotten», utarbeidet Artikkel 29-gruppen retningslinjer om rettighetens nærmere innhold.⁶⁸ Denne retten er nå inntatt i ny forordning med utgangspunkt i domstolsavgjørelsen og ret- ningslinjene. Slik har Artikkel 29-gruppens arbeid fått økt vekt og argumentasjonsverdi gjennom forordningsteksten.⁶⁹

I lys av disse forhold vil Artikkel 29-gruppens uttalelse om barns personvern og bruken av prinsippet om barnets beste i tilknytning til dette være relevant og vektig ved besvarelsen av min problemstilling.⁷⁰ Jeg nevner i denne forbindelse at Artikkel 29-gruppen erstattes av det

61 Se kap. 3.4.1 vedr. Barneombudets bekymring

62 EP/Rfo 2016/679/EF art.1

63 ibid. art.5(1)a, jf. fortalepkt.39

64 EP/Rdir 95/46/EF art.29

66 Schartum (2016) s.36-37

67 Sak C-131/12

68 A29WP 14/EN WP225

69 EP/Rfo 2016/679/EF fortalepkt.65-66, art.17

70 A29WP 00483/08/EN WP147

(15)

12

europeiske personvernråd gjennom EUs personvernforordning.⁷¹ Personvernrådet vil ta over arbeidsgruppens oppgaver, men vil være et annerledes organ enn Artikkel 29-gruppen grunnet sin juridiske status og sine konkrete plikter.⁷²

1.4.4 Nasjonal lovgivning

Flere lover regulerer behandling av personopplysninger i Norge. Den generelle regulering finnes i personopplysningsloven, med formål “å beskytte den enkelte mot at personvernet blir krenket gjennom behandling av personopplysninger.»⁷³ I tillegg vil en rekke særlover ha betydning for personvernretten, men disse omtales ikke her.⁷⁴

To lover av viktighet for barns rettsforhold er barneloven og vergemålsloven. Førstnevnte er i tråd med FNs barnekonvensjon og regulerer foreldres rettigheter og plikter overfor barn,⁷⁵ samt barns rettigheter overfor foreldre.⁷⁶ Den er dermed relevant ved fastleggelsen av barns rett til innsyn og samtykke, da personopplysningslovens generelle bestemmelser må avpasses til og tolkes i lys av bestemmelser i barneloven. Det samme gjelder for vergemålsloven, som regulerer mindreåriges «adgang til selv å foreta rettslige handlinger… i den utstrekning kom- petansen ikke omfattes av foreldreansvaret etter barneloven».⁷⁷ Denne loven innskrenker barns muligheter til å foreta rettslige disposisjoner og er viktig ved fastleggelsen av barns handleevne.

1.4.5 Personvernprinsippene og den norske interesseteori

Innen norsk personvern eksisterer det en interesseteori, og på det europeiske nivå har det dan- net seg grunnleggende personvernprinsipper. Sammen sier de mye om de hensyn og verdier som ligger bak personvernreglene, og kan brukes som kilde til reelle hensyn der lover og øv- rige rettskilder ikke gir klare svar. I det følgende gjøres det kort rede for de prinsipper og interesser som kan brukes for å besvare min problemstilling.

1.4.5.1 De grunnleggende personvernprinsipper

Et personvernprinsipp er en grunnleggende generell rettslig norm «… som oppsummerer kjer- nen i eksisterende rettsregler om personvern, særlig i Europa.»⁷⁸ Det finnes en rekke slike

71 EP/Rfo 2016/679/EF art.68-71

72 Jay (2017) s.40

74 Se kap. 1.3.2

75 Barnelova §30

76 ibid. §§ 31-33

77 Vergemålsloven §1

78 Schartum (2011) s.100

(16)

13

prinsipper som kan være relevante på flere måter. Prinsippene kan benyttes som normativ rettesnor, komme til uttrykk gjennom rettsregler, eller være en inspirasjon når lovgiver skaper nye rettsregler. Prinsippene kan også fortelle en rettsanvender hva som er viktigst å vektlegge der den skal foreta skjønnsmessige interesseavveininger i konkrete saker angående personvern, slik at resultatet blir godt.⁷⁹

Det viktigste og mest ufravikelige prinsippet er det om rettferdighet og rettmessighet. Person- opplysninger skal behandles i tråd med prinsippet, som gjennomsyrer det personvernrettslige regelverket. Ser man gjennom europeisk personvernlovgivning kommer det til uttrykk flere steder.⁸⁰ Årsaken til prinsippets vekt er at andre personvernprinsipper kan plasseres som un- derkategorier til rettferdighets- og rettmessighetsprinsippet. Prinsippet stiller krav om respekt for den registrertes interesser og ønsker, at ingen behandling av personopplysninger skal være uforholdsmessig samt at ingen skal presses til å oppgi opplysninger om seg selv. Som overordnet prinsipp er det viktig å vektlegge også der man drøfter barns ivaretakelse av egne personvernrettigheter fordi barn, på lik linje med voksne, har krav på rettmessig og rettferdig behandling av sine personopplysninger. Skal dette oppnås er det nødvendig med en tilpasset regulering nettopp fordi barn er i en sårbar posisjon. Det er ikke gitt at et regelverk som opp- når rettferdig og rettmessig behandling av voksne personers opplysninger vil ha den samme effekten for barn.

Et annet viktig prinsipp er medbestemmelsesprinsippet. Kjernen er at man som registrert person skal få lov til å ha kontroll over egne opplysninger ved å “delta i og ha en viss mulighet til å påvirke andres behandling av opplysninger”⁸¹ om seg selv. Personvernretten anerkjenner her menneskets autonomi. Imidlertid må medbestemmelsesprinsippet sees fra en annen vinkel dersom det er tale om barns personvern. Jeg presiserer her at det overordnede medbestemmelsesprinsippet i personvernretten er noe annet og mer enn medbestemmelsesprinsippet etter barneretten; personvernets medbestemmelsesprinsipp inneholder nemlig både barns selv- og medbestemmelsesrett etter barneretten.

I personvernretten opereres det gjerne med tre aktører; den registrerte, den behandlingsansvarlige og Staten. Medbestemmelsesprinsippet beskytter den registrertes interesser overfor de to andre aktørene. Dog er barn, som sårbare individer, avhengig av hjelp og støtte fra andre. Her introduseres en fjerde aktør, da barns personvern i stor grad utøves av foreldre/foresatte. Prin-

79 Schartum (2011) s.100

80 EP/Rdir 95/46/EF art.6(1)(a), EP/Rfo 2016/679/EF art.5(1)(a)

81 Schartum (2011) s.103

(17)

14

sippet om medbestemmelse for barn har dermed vel så mye betydning i forholdet mellom barn og foreldre, som ovenfor staten og andre behandlingsansvarlige.⁸²

En annen viktig side av prinsippet om medbestemmelse er retten til informasjon. For at prinsippet skal få betydning er det viktig at den behandlingsansvarlige gjør sin behandling og sine aktiviteter kjente, transparente og forståelige for den registrerte. Der informasjon rettes mot barn er det viktig at den blir gitt på en måte som barnet kan forstå slik at det gis muligheten til medbestemmelse. Dette gjelder både der foreldre/foresatte avgjør personvernspørsmål på vegne av barnet og der det offentlige eller det private behandler personopplysninger om barnet.

1.4.5.2 Den norske interesseteorien

Den norske interesseteorien består av relevante og vektige interesser som brukes som hjelpe- middel for å systematisere de mest sentrale momentene en rettsanvender kan trekke på innen den norske personvernretten.⁸³ I det følgende gis det ikke en generell kartlegging av alle interesser, da det for barns rett til samtykke og innsyn er særlig to interesser av betydning; “inter- essen i å bestemme over tilgangen til opplysninger om egen person” og “interessen i innsyn og kunnskap”.

«Interessen i å bestemme over tilgangen til opplysninger om egen person» er grunnleggende på personvernfeltet og gir uttrykk for to elementære samfunnsverdier, nemlig menneskets selvbestemmelsesrett og verdighet.⁸⁴ Interessen fastsetter at det er opp til enkeltmennesket om det ønsker å holde opplysninger om egen person privat, samt om det ønsker å dele informasjonen med andre. Dersom informasjonen deles har personen videre en bestemmelsesrett både når det gjelder hvem som er behandlingsansvarlig og om hva slags og hvor mye personopplysninger den behandlingsansvarlige holder i. Interessen har direkte linjer til samtykkereglene, fordi krav til samtykke er en av de beste måtene å bestemme over egne personopplysninger på.⁸⁵ Dermed kan de hensyn som knyttes til denne interessen benyttes ved nærmere fastleg- gelse av samtykkereglene, også der barns samtykkerett skal fastslås.

«Interessen i innsyn og kunnskap» er en annen viktig personverninteresse. Den legger grunn- laget for å kunne ivareta alle de andre interesser personvernlovgivningen regulerer. Har man ikke kunnskap eller informasjon om at personopplysninger blir behandlet, er det vanskelig å håndheve de øvrige rettigheter etter loven. Enkeltmennesker har dermed en interesse i å vite

82 Se kap. 1.3.1

83 Schartum (2011) s.43 og s.80

84 ibid. s.47

85 Schartum (2016) s.178

(18)

15

når behandling skjer, hva som behandles og i hvilket omfang det behandles.⁸⁶ For å ivareta denne interessen er innsynsrettighetene viktige, da de etablerer grunnlaget for den registrerte til å kreve tilgang til opplysninger. Innsyn, supplert av andre mekanismer som reglene om varslingsplikt og begrunnelse, gir den enkelte en mulighet til å danne seg et godt bilde av behandlingen av egne personopplysninger hos en behandlingsansvarlig.⁸⁷ Interessen har etter dette direkte linjer til innsynsreglene. Hensynene som ligger til grunn for interessen kan dermed tas med i avveininger når det skal fastlegges hva innsynsretten innebærer, også der barns innsynsrett skal fastslås.

1.4.5.3 Prinsippenes og interessenes betydning

På bakgrunn av redegjørelsen overfor synliggjøres det at prinsippene og interessene gir per- spektiver på regelverket omkring samtykke og innsyn. De danner først og fremst et bakteppe for reglene slik at relevante hensyn ikke glemmes av en rettsanvender. Et annet viktig per- spektiv er at prinsippene og interessene knytter sammenhenger mellom regelsettene som er verdifullt å ta med seg i den videre fremstilling.⁸⁸

1.5 Metodiske utfordringer

Ved besvarelsen av masteroppgavens problemstilling oppstår en del metodiske utfordringer.

Jeg vil i det følgende gjøre rede for hva som særpreger rettskildebildet samt hvilke utfordringer som kan oppstå.

1.5.1 Utfordringer ved barn som «registrert person»

Personvernlovgivningens primære rettssubjekt er «den registrerte»; betegnet som «the data subject» etter EU-lovgivning. Begge definisjoner⁸⁹ omfatter alle persongrupper, barn inklu- dert. Barn er imidlertid en særskilt gruppe registrerte fordi de i mange anliggender ikke har rettslig handleevne.⁹⁰ Den metodiske utfordringen viser seg vet at utøvelse av den registrertes rettigheter ofte forutsetter en slik rettslig handleevne. Barns rettslige status etter personvernlovgivningen må dermed klargjøres, men verken personopplysningsloven, EU-direktivet eller EU-forordningen fastsetter hvorvidt og i hvilken utstrekning barn kan utøve rettigheter som registrert person. Barnets rettslige handleevne må dermed utledes av lover som primært regulerer andre rettsområder enn personvern.⁹¹

86 Schartum (2011) s.55

87 l.c.

88 Se kap. 1.6

89 EP/Rfo 2016/697/EU art. 4(1), personopplysningsloven §2(6)

90 Vergemålsloven §§9, jf.8

91 Bl.a. barnelova, vergemålsloven, FNs barnekonvensjon

(19)

16 1.5.2 Fragmentert regelsett

De generelle reglene i personopplysningsloven og forordningen må tolkes og avpasses til de regelsett som omhandler barn og deres rettigheter. Her vil Grunnloven, menneskerettighetene og annen nasjonal lovgivning, slik som barneloven og vergemålsloven, være relevante og således besvare rettslige problemstillinger personvernlovgivningen ikke løser på egenhånd.

Dette er en utfordrende øvelse der metodelæren må brukes aktivt fordi regelsettene det skal trekkes slutninger fra er mange, av til dels ulik trinnhøyde og skal ivareta ulike hensyn.

1.5.3 Manglende praksis

Den generelle utformingen av personopplysningsloven fordret etterfølgende praksis for å klargjøre rettsreglene.⁹² Personvern er derimot et felt der det generelt eksisterer lite rettspraksis. Norske domstoler har spilt en beskjeden rolle ved lovtolkning, men har i større grad bi- dratt med utvikling av ulovfestet rett innen personvern.⁹³ Ingen av disse sakene sier imidlertid noe om barns rett til personvern.

I forvaltningen foreligger det mer praksis av relevans for problemstillingen. Datatilsynet⁹⁴ spiller en viktig rolle som både tilsyn og ombud, ved å føre kontroll med personregelverket og medvirke til at enkeltpersoner ikke blir krenket gjennom bruk av opplysninger som kan knyttes til dem.⁹⁵ Datatilsynets klageorgan er Personvernnemda, som behandler klager på vedtak fattet av Datatilsynet.⁹⁶ Gjennom disse forvaltningsorganene er det utarbeidet retningslinjer samt fattet vedtak som omhandler barns personvern. Enda det finnes mer relevant materiale her enn hos domstolene er det fortsatt et lavt kvantum. Forvaltningsavgjørelser og retningslinjer har også betydelig mindre vekt holdt opp mot andre rettskilder enn det praksis fra domstolene har.

Med lite relevant forvaltnings- og rettspraksis for problemstillingen er det utfordrende å rede- gjøre for temaet, da praksis er en rettskildene av høy vekt ved fastleggelsen av rettsregler. Der en rettsanvender står uten særlig lovtekst, forarbeider og rettspraksis å trekke på vil rettsan- vendelsesskjønnet få stort spillerom. Dette skjønnet vil igjen føre til at rettsanvenderen blir avhengig av konkrete fakta og hensyn i den enkelte sak. Sluttresultatet av dette kan skape betydelig usikkerhet ved fastsettelsen av barns egne rettigheter etter gjeldende og ny personopplysningslov.

92 Ot.prp.nr.92 (1998-99) s.21

93 Eks. «To mistenkelige personer» (Rt.1952 s.1217), «Aars-dommen» (Rt.1896 s.530)

95 Datatilsynet (2017)

(20)

17 1.5.4 Tilknytning til EU-retten

Dagens personopplysningslov er basert på EUs personverndirektiv, men er en norsk lov som har transformert direktivet og supplert det med enkelte nasjonale regler. Ved tolkingen og anvendelsen av loven vil norsk rettskildelære være utgangspunktet, selv om EUs rettskilder også vil ha relevans ved fastleggelsen av personopplysningsloven fordi den gjennomfører et direktiv.

Med inntoget av forordningen vil dette stille seg annerledes. Norge er med i EØS-avtalen, som medfører at avtalens hoveddel gjelder som norsk lov.⁹⁷ Hoveddelen fastslår at forord- ninger, i motsetning til direktiver, skal gjøres til del av avtalepartenes interne rettsorden som sådan.⁹⁸ Dette innebærer at en forordning må gjennomføres ved inkorporasjon. I høringsnota- tet til ny personopplysningslov påpeker departementet at:

«... forordningens struktur, språk og regeloppbygging [avviker] på en rekke punkter... fra det man vil betegne som alminnelig norsk lovgivningsteknikk. Dette kan medføre utfordringer for dem som skal anvende forordningen eller søker informasjon om dens innhold… De pedago- giske utfordringene forsterkes ved at personopplysningslovens regler dels vil følge av den inkorporerte forordningen og dels av de utfyllende nasjonale bestemmelsene.»⁹⁹

Departementet foreslår at forordningen «gjennomføres i norsk rett gjennom en henvisningsbe- stemmelse i den nye personopplysningsloven… {med} lovbestemmelser som utfyller bestem- melsene i forordningen.»¹⁰⁰ Denne gjennomføringsmetoden er lik menneskerettslovens struktur, der konvensjonstekstene er inntatt i oversatt og original versjon og gjøres gjeldende som norsk lov gjennom henvisningsbestemmelsen i § 2. En slik gjennomføring medfører at det er EUs rettskildelære som gjelder ved fastleggelsen av innholdet i de ulike artiklene i forordningen.¹⁰¹

Dette skaper en utfordring for norske rettsanvendere fordi vår rettskildelære skiller seg fra EU på flere punkt. En særlig viktig forskjell er at forarbeider spiller en beskjeden rolle i EU- retten, mens det er en av de viktigste rettskildene ved tolkning av norsk lov. Etter EU-retten vil forordningens ulike artikler fastlegges gjennom tolkning i lys av fortalen, charteret om grunnleggende rettigheter, samt de gjeldende EU-rettslige prinsipper på personvernfeltet.

97 EØS-loven §1

98 EØS-avtalen art.7(a)

100 ibid. s.3

101 Kan sammenliknes med EMDs metode, som går foran norsk rettskildelære ved fortolkningen av EMK

(21)

18

Praksis og uttalelser fra ulike EU-organer vil også ha relevans ved fastleggelsen av EU- lovgivning.

1.5.5 Ny personopplysningslov

En særlig metodisk utfordring er at de nye reglene er nettopp det; nye. Endelig versjon av EUs personvernforordning foreligger, men den nye norske personopplysningsloven som skal in- korporere forordningen bearbeides fortsatt. Høringsrunden ble avsluttet 16.oktober 2017. En- delig vedtatt lovforslag foreligger ikke. Dermed vil redegjørelsen for barns rettsstilling etter ny personopplysningslov baseres på det foreløpige rettskildematerialet.

En annen utfordring er hvilken rettskildemessig verdi høringsnotatet skal ha ved fastleggelsen av ny personopplysningslov. Departementets uttalelser og tolkninger har relevans, da notatet vil være forarbeider til den nye norske loven. Synspunkter utledet herfra kan imidlertid ikke legges til grunn uten videre, da det ikke er departementet som skal fastlegge hva som ligger i forordningsteksten. Artiklenes nærmere innhold må tolkes i tråd med EUs rettskildelære.

1.6 Fremstillingen videre

Disponering av hoveddelen forankres i medbestemmelsesprinsippet, samt interessen i innsyn og kunnskap og interessen i å bestemme over tilgangen til opplysninger om egen person. Det- te har sin bakgrunn i å knytte sammenhenger mellom reglene i personvernregelverket. Syste- matikken synliggjør godt hvordan retten til innsyn og retten til samtykke har nær tilknytning til hverandre.

Retten til innsyn og retten til samtykke spiller hver sin rolle i oppfyllelsen av medbestemmelsesprinsippet, og bidrar på hver sin måte til å oppnå de formål og hensyn prinsippet skal ivareta. Innsynsreglene ivaretar muligheten til å innhente kunnskap og informasjon, som er en viktig side av medbestemmelsesprinsippet samt for ivaretakelsen av «Interessen i innsyn og kunnskap». Samtykkereglene ivaretar muligheten til å kontrollere når personopplysninger blir behandlet, som er en annen viktig side av medbestemmelsesprinsippet. Reglene om samtykke ivaretar samtidig «Interessen i å bestemme over tilgangen til opplysninger om egen person».

På denne måten muliggjør regelsettene hverandre samt ivaretar grunnleggende personvern- hensyn, slik som medbestemmelsesprinsippet. For å ha faktisk medbestemmelse til å kunne ivareta og forvalte eget personvern trenger den registrerte både innsyn og samtykkerettigheter.

Derfor presenterer jeg oppgavens hoveddeler gjennom overskrifter knyttet til prinsippene og interessene.

(22)

19

2 Medbestemmelse etter gjeldende rett

2.1 Barns rett til samtykke – «interessen i å bestemme over tilgangen til opplysninger om egen person»

Ethvert menneske har en interesse i å bestemme over tilgangen til opplysninger om egen person. Dette er respektert i norsk rett ved å lovfeste samtykke som ett mulig rettslig grunnlag for når behandling av personopplysninger kan finne sted. Ønsker noen å behandle personopplysninger i Norge kan det bare gjøres dersom «…den registrerte har samtykket, eller det er fast- satt i lov… eller behandlingen er nødvendig for…» et av formålene opplistet i bestemmelsens a-f.¹⁰² Foreligger ikke ett av disse tre vilkårene vil behandling av personopplysninger anses ulovlig.

Den videre fremstilling konsentrerer seg om samtykke som behandlingsgrunnlag. Det pekes her kort på at samtykke som hjemmelsgrunnlag i større grad benyttes av private aktører enn av det offentlige. Bakgrunnen for dette er at “... folk i relasjon til det offentlige ofte har en rettsplikt til å avgi opplysninger, mens det i relasjon til private aktører normalt hersker full avtalefrihet.”¹⁰³ Det offentlige behandler ofte personopplysninger en privatperson i utgangs- punktet ikke ønsker å avlevere. Dermed vil hjemmel i lov eller nødvendighet være mer pas- sende rettslig grunnlag. Det er ikke noe i veien for at også det offentlige søker en persons samtykke ved behandling av personopplysninger, men det er i mange tilfeller ikke særlig praktisk. For private aktører og markedsaktører er imidlertid samtykke meget praktisk.¹⁰⁴ Hva som kreves for å oppnå gyldig samtykke er legaldefinert i personopplysningsloven, som gjennomfører artikkel 2(h) i personverndirektivet¹⁰⁵ i norsk rett.¹⁰⁶ Samtykke er etter dette «...

en frivillig, uttrykkelig og informert erklæring fra den registrerte om at han eller hun godtar behandling av opplysninger om seg selv.»¹⁰⁷ Bestemmelsen stiller nærmere krav til samtykke som rettslig grunnlag og lovfester interessen enhver har i å bestemme over opplysninger om seg selv.

En samtykkeerklæring må etter dette være frivillig, uttrykkelig og informert, samt avgitt av den registrerte. Nedenfor vil jeg se nærmere på hva de ulike kravene innebærer.

103 Schartum (2011) s.48

104 l.c.

105 EP/Rdir 46/95/EF

106 Schartum (2016) s.35

107 Personopplysningsloven §2 nr.7

(23)

20 2.1.1 Frivillig

Dersom et samtykke skal være gyldig må det for det første avgis frivillig, da et samtykke ikke eksisterer uten frivillighetsaspektet.¹⁰⁸ I dette kravet ligger det åpenbare; samtykket må ikke være avgitt under tvang eller trusler, verken fra den behandlingsansvarlige eller andre.¹⁰⁹ Det kan imidlertid forekomme situasjoner hvor avgivelsen av samtykket ikke oppfattes som frivillig enda det ikke foreligger direkte tvang eller trusler. Det er antatt i juridisk teori at det ikke må medføre negative konsekvenser dersom en person lar være å gi sitt samtykke. Dersom samtykke er avgitt i frykt av sanksjoner eller andre faktiske negative følger vil frivillighets- kravet ikke være oppfylt.¹¹⁰

Når et samtykke skal innhentes av barn kan særlige problemstillinger vedrørende frivillig- hetskravet oppstå. Der det er tale om samtykke av personopplysninger vil barn uten unntak være den svakere part overfor den behandlingsansvarlige. Barn kan lettere oppfatte en handling som nødvendig for å oppnå det de ønsker, og stiller gjerne ikke spørsmål overfor autoritetspersoner. Det ligger også i barns natur å tekkes de voksne ved å gjøre det de tror er forven- tet av dem, uten at dette alltid er det barnet selv ønsker.¹¹¹ Andre deler av lovgivningen har tilpasset seg slike forhold hos barn, som ved avhør av barn i prosesslovgivningen.¹¹² Enda personopplysningsloven og prosesslovgivningen regulerer forskjellige områder og styres av ulike hensyn, peker det på viktigheten av å sikre mekanismer som sørger for at barnet handler og snakker i kraft av seg selv. Etter personopplysningsloven må den behandlingsansvarlige sørge for at barnets samtykke faktisk er frivillig, og ikke et samtykke som avgis fordi det øns- ker ros og bekreftelse fra autoritetspersoner.

2.1.2 Uttrykkelig

For det andre må samtykket bli avgitt uttrykkelig. I dette ligger “... at den registrerte klart tilkjennegir at han eller hun godtar behandling av opplysninger om seg selv. Det må fremgå at det samtykkes, hvilke behandlinger samtykket omfatter og hvilke behandlingsansvarlige det er rettet til.”¹¹³ For eksempel vil henvisning til passivitet eller stilltiende aksept ved behand- ling av personopplysninger ikke være tilstrekkelig til å oppfylle vilkåret om at samtykket må være uttrykkelig. Samtykke gjennom konkludent adferd vil heller ikke oppfylle kravet.¹¹⁴

108 NOU 1997:19 s.133

109 Ot.prp.nr.92 (1998-1999) s.103-104

110 Schartum (2016) s.178

111 Advokatforeningen (2017)

112 Barneperspektivet gjøres synlig gjennom tilrettelagte avhør i straffe- og sivilprosessen. Straffeprosessloven

§§239-239f, tvisteloven §24-10

113 Coll (2000) s.42

114 NOU 1997:19 s.133

(24)

21 2.1.3 Informert

For det tredje må et samtykke være informert dersom det skal være gyldig. I dette ligger det at den registrerte skal vite hva han eller hun samtykker til, samt hvilke konsekvenser et samtykke kan eller vil få.¹¹⁵ Plikten til å informere ligger hos den behandlingsansvarlige og informasjonen skal gis direkte til den registrerte. Det er ikke tilstrekkelig å informere om behandlingen gjennom offentlig tilgjengelig informasjon, for eksempel internett. Informasjonen må også være detaljert nok til at den registrerte forstår hovedtrekkene for behandlingen av personopplysningene.¹¹⁶

Der samtykke skal innhentes av barn må informasjonskravet tilpasses. Barn har ikke det samme ordforrådet eller erfaringsgrunnlaget som voksne og trenger dermed informasjon på en måte og et språk de forstår. Det forutsetter at den behandlingsansvarlige tilpasser informasjonen når den skal rettes mot barn, ved å forenkle språket og gjerne visualisere informasjonen.¹¹⁷

2.1.4 Den registrerte

Et særlig viktig forhold omhandler hvem som kan avgi gyldig samtykke. Loven krever et in- dividuelt avgitt samtykke, presisert gjennom vilkåret “fra den registrerte”.¹¹⁸ Forarbeidene bestemmer at det i tillegg til den enkelte registrerte kan avgis samtykke av en fullmektig.¹¹⁹ Utgangspunktet er at den registrerte er «den som en personopplysning kan knyttes til».¹²⁰ Etter personopplysningsloven kan barn, på lik linje med alle andre personer, oppnå status som registrert og dermed utøve de rettigheter loven gir den registrerte. Barn er imidlertid en særskilt gruppe registrerte ved at de før fylte 18 år har status som «mindreårige»,¹²¹ og dermed regnes for å være «personer under vergemål».¹²² Personopplysningsloven må her modifiseres av vergemålsloven, som regulerer barns rettslige handleevne og således innskrenker barns rett til å utøve rettigheter som registrert person etter personopplysningsloven.

Vergemålsloven fastsetter at «[e]n mindreårig… ikke selv [kan] foreta rettslige handling- er…».¹²³ Etter forarbeidene skal ordlyden «rettslige handlinger» tolkes vidt. Det trekkes frem

115 NOU 1997:19 s.133

116 Coll (2000) s.42

117 A29WP 398/09/EN WP160 s.10

119 NOU 1997:19 s.133

122 ibid. §§ 2, 1.ledd, jf. 1

(25)

22

at «…kompetanse til å samtykke til behandling av personopplysninger… er… en «rettslig handling» som omfattes av forbudet».¹²⁴ Personopplysningslovens regel om samtykke fra den registrerte selv blir dermed motsatt dersom den registrerte er barn, fordi mindreårige ikke har kompetanse til å samtykke til behandling av sine personopplysninger på egenhånd.¹²⁵ Det er vergen som eventuelt må samtykke. I de fleste tilfeller er dette barnets foreldre/foresatte.

En snudd regel innebærer imidlertid ikke at mindreåriges samtykkekompetanse er totalt fra- værende frem til de når myndighetsalder. Vergemålsloven gjelder bare «…med mindre noe annet er særlig bestemt».¹²⁶ Bestemmelsen med tilhørende uttalelse i forarbeidene om samtykke må dermed selv modifiseres. Forarbeidene til personopplysningsloven peker på at ver- gemålsloven ikke avskjærer barns samtykkekompetanse, da det i lovproposisjonen uttales at

«[f]or mindreårige og umyndiggjorte som ikke kan samtykke selv, må spørsmålet om samtyk- ke skal gis vurderes av vergen.»¹²⁷ Også Artikkel-29 gruppen har lagt til grunn at barn har selvstendig samtykkekompetanse på nærmere angitte vilkår.¹²⁸

Her oppstår problematikken, da personopplysningsloven og vergemålsloven ikke selv gir et klart svar på når barn har samtykkekompetanse og ikke. Etter gjeldende norsk rett har lovgiver ikke angitt noen konkrete generelle aldersgrenser og i gjeldende personopplysningslov er det kun én bestemmelse som regulerer behandling av barns personopplysninger spesielt. Den fastsetter at «[p]ersonopplysninger som gjelder barn… ikke [skal] behandles på en måte som er uforsvarlig av hensyn til barnets beste.»¹²⁹ Bestemmelsen formulerer «… en generell og meget skjønnspreget norm, og den kan i ytterste fall tenkes å få betydning for spørsmålet om samtykke. Dette gjelder både i situasjoner der samtykke for mindreårige er uforsvarlig ut ifra hensynet til barnets beste, og når foreldres samtykke på barns vegne er uforsvarlig ut ifra barns beste.»¹³⁰ Bestemmelsen kan altså gi føringer på hva barn kan samtykke til ut ifra hen- synet til barnets beste. Imidlertid er vurderingsnormen hentet fra barnekonvensjonen og barnelova og bestemmelsen gir ingen generelle svar omkring barns samtykkekompetanse etter personopplysningsloven. Der juridisk teori tidligere har forsøkt å kartlegge barns samtykkerett er det påpekt at “...[h]va barn og ungdom eventuelt kan samtykke til, og fra hvilken alder, er… et vanskelig rettsspørsmål som ikke er direkte løst i lovgivningen”.¹³¹

124 Ot.prp. nr.110 (2008-2009) s.172

125 Schartum (2016) s.39

126 Vergemålsloven §9, 1.ledd

127 Ot.prp.nr.92 (1998-1999) s.104

128 A29WP 398/09/EN WP160 s.6

130 Schartum (2016) s.43

131 Schartum (2016) s.39

(26)

23

Barns rett til samtykke etter personopplysningsloven må dermed tolkes i lys av de prinsipper om selvbestemmelse og medbestemmelse som kommer til uttrykk gjennom lover og regler som gjelder for barn og deres rettsstilling etter norsk rett. I det videre drøftes det om barns samtykkekompetanse «… er særlig bestemt»¹³² gjennom særlovgivning, barnekonvensjonen og barnelova.

2.1.4.1 «Særlig bestemt»

2.1.4.1.1 Særlovgivning

Lovgiver har gjennom særlovgivning gitt mindreårige rettslig handleevne på en rekke retts- områder. Deler av denne lovgivningen regulerer samtykke til behandling av personopplysninger direkte, mens andre deler har bestemmelser med fellestrekk angående spørsmålet om barns rett til samtykke. ¹³³

En forskrift gitt med hjemmel i helseforskningsloven fastsetter at «… barn mellom 12 og 16 år selv [kan] samtykke til forskning på helseopplysninger…».¹³⁴ Her er barn, gjennom forskrift med hjemmel i lov, gitt selvstendig samtykkekompetanse til behandling av personopplysninger på nærmere angitte vilkår.¹³⁵ Dermed er det «særlig bestemt» at mindreårige på dette feltet er tildelt rettslig handleevne av lovgiver i form av samtykkekompetanse.

Også andre deler av helselovgivningen har relevans ved fastleggelsen av barns samtykkekompetanse enda de ikke regulerer samtykke til behandling av personopplysninger direkte. Pasi- ent- og brukerrettighetsloven særregulerer mindreåriges samtykkekompetanse i forbindelse med helsehjelp, der det fastsettes at ungdom over 16 år som regel kan samtykke til helsehjelp på egenhånd.¹³⁶ Ved samtykke til slik helsehjelp er det nødvendig for helsepersonellet å behandle helseopplysninger i behandlingsrettede helseregistre¹³⁷ som er nødvendig for å gjen- nomføre en forsvarlig medisinsk behandling. Dersom en mindreårig over 16 år samtykker til helsehjelp vil behandling av helseopplysninger være en konsekvens av den helsehjelpen. Det- te taler for at pasient- og brukerrettighetslovens bestemmelser særlig bestemmer at barn over 16 år kan samtykke til behandling av helseopplysninger.¹³⁸

132 Vergemålsloven §9,1.ledd

133 Schartum (2016) s.39

134 Forskrift om barns rett til selv å samtykke til deltakelse i forskning §1, 1.ledd

135 ibid. §§1, 1.ledd, 2

136 Pasient- og brukerrettighetsloven §§4-4, 4-5

137 Pasientjournalloven §6, 2.ledd

138 Schartum (2016) s.39

(27)

24

Barn er tildelt rettslig handleevne også innen andre rettsområder, gjennom enkeltbestemmel- ser i særlovgivningen. Igjen gjelder ikke disse bestemmelsene samtykke til behandling av personopplysninger direkte, men slik behandling vil være en konsekvens av selvbestemmelsesretten.¹³⁹ Arbeidsmiljøloven fastsetter at barn over 15år har rett til å ta arbeid¹⁴⁰ og barnelova tildeler barn over 15 år retten til å avgjøre spørsmål om valg av utdanning og medlem- skap i foreninger selv.¹⁴¹ Dette er viktige rettslige disposisjoner som er tillagt mindreårige, og samtykkene forutsetter at også personopplysninger om barnet kan bli behandlet. Dersom man samtykker til en stilling vil det medføre at arbeidsgiver får personopplysninger om sin arbeid- staker. Godtar man en studieplass vil utdanningsinstitusjonen inneha personopplysninger om studenten eller eleven. Dette taler for at barn ved de fastsatte aldersgrenser kan samtykke til behandling av personopplysninger som er nødvendig for å samtykke til arbeid og utdanning.

2.1.4.1.2 Barnekonvensjonen og barnelova

Barn har gjennom barnekonvensjonen og barnelova blitt tildelt både medbestemmelses- og selvbestemmelsesrett av lovgiver. Utenfor de tilfeller der barn er gitt samtykkekompetanse etter særlovgivning, vil barnelova og barnekonvensjonens regler være relevante og vektige ved fastleggelsen av når barn kan samtykke til behandling av egne personopplysninger.

Etter barnekonvensjonen art.12 skal partene «garantere et barn som er i stand til å danne seg egne synspunkter, retten til fritt å gi uttrykk for disse synspunkter i alle forhold som vedrører barnet, og tillegge barnets synspunkter behørig vekt i samsvar med dets alder og modenhet.»

Deler av denne artikkelen finner vi igjen i barnelova. Der er medbestemmelsesretten særlig nedfelt i § 31, som pålegger foreldrene å høre på hva barnet har å si i saker som gjelder personlige forhold før foreldrene tar avgjørelsen. Selvbestemmelsesretten kommer til uttrykk i § 33, som pålegger foreldrene å gi barnet «stendig større» selvråderett frem til fylte 18 år. Be- stemmelsene tydeliggjør at barn skal tildeles mer ansvar etter hvert som de blir eldre og at de før fylte 18 år kan bestemme selv i en rekke saker.

Medbestemmelsesretten¹⁴² medfører at barn og unge, der de ikke selv har samtykkekompetanse, alltid har en rett til å bli hørt før foreldre/foresatte samtykker eller ikke ved behandling av personopplysninger.¹⁴³ «Dette gjelder så sant barnet kan forstå hva saken gjelder, og uansett fra en alder på 7 år. Fra barnet er 12 år skal barnets mening tillegges stor vekt, og generelt

139 Schartum (2016) s.39

140 Arbeidsmiljøloven §11-1

141 Barnelova §32

142 Barnelova §31, FNs barnekonvensjon art.12

143 Schartum (2016) s.40