Personvernnemndas vedtak 10. oktober 2023 (Mari Bø Haugstad, Gunn Elin Lode, Hans Marius Graasvold, Ellen Økland Blinkenberg, Morten Goodwin, Malin Tønseth)
Saken gjelder klage fra X kommune på Datatilsynets vedtak 7. desember 2023 om å ilegge kommunen en irettesettelse, jf. personvernforordningen artikkel 58 nr. 2 bokstav b, for å ha behandlet personopplysninger uten gyldig behandlingsgrunnlag, jf. artikkel 6 nr. 1, samt for ikke å ha overholdt informasjonsplikten etter artikkel 13.
Sakens gang
Datatilsynet mottok en melding om brudd på personopplysningssikkerheten (avviksmelding), jf. artikkel 33, fra X kommune 7. juli 2020. Avviket hadde skjedd i en av kommunens barnehager i oktober året før. I avviksmeldingen redegjorde kommunen for at
«En ansatt filmet et barn i et sinneutbrudd ved påkledning i garderoben. Intensjonen med filmingen var å vise den til kommunepsykologen ved veiledning for personalet i hvordan de skal håndtere slike sinneutbrudd. Barnet spurte i etterkant den ansatte om å få se på filmen. Barnet fikk se filmen. Foreldre har samtykket til filming til internt bruk i barnehagen.»
Kommunen opplyste at opptaket ble slettet 1. november 2019, og informerte om planlagte og iverksatte tiltak for å håndtere sårbarheten og begrense konsekvensene av bruddet. Som årsak til avviket ble det oppgitt «menneskelig svikt». Kommunen skriver i avviksmeldingen at
«det gitte samtykket nok ikke dekker formålet med denne konkrete filmingen og at foreldre burde blitt forespurt i forkant av filmingen».
Det opplyses videre at de berørte er informert ved at
«avviksmeldingen sendes til foreldrenes advokat til informasjon».
Dagen etter sendte kommunen brev til foreldrenes advokat med informasjon om at Datatilsynet var varslet om avviket.
Datatilsynet la til grunn at kommunen erkjente manglende behandlingsgrunnlag for filmingen og at kommunen ville følge opp iverksatte tiltak og gi ansatte nødvendig opplæring. Datatilsynet avsluttet saken i brev til kommunen 22. juli 2020 og skriver blant annet:
«Vi ser at dere har tatt saken alvorlig, og at dere har gjennomført og planlegger en rekke gode tiltak. Dere opplyser ikke om dere ønsker å fortsette med behandling av den typen opplysninger som denne saken gjelder. Dersom dere skal gjøre det er det viktig at dere blant annet utarbeider rutiner for dette internt, jf. personvernforordningen artikkel 24 nr. 2. Dere må også vurdere egnetheten for enheten det skal filmes med og datasystemet filmene skal lagres i, herunder egnede tiltak for å sikre videoenes konfidensialitet, integritet og tilgjengelighet i samsvar med forordningens artikkel 32. I tilknytning til det må dere også vurdere hvordan dere kan kommunisere både videofilene og vurderingene til kommunepsykologen på en sikker måte. Samtykket dere innhenter må være i samsvar med vilkårene for dette i forordningens artikkel 7. Det kan være hensiktsmessig å inkludere informasjonen dere er forpliktet til å gi etter forordningens artikkel 13 i samtykkeskjemaet. I forbindelse med informasjonsplikten er det særlig verdt å nevne tydelig spesifisering av formålet for filmingen, hvem videofilene skal deles med og hvor lenge filmene skal lagres. Informasjon om de foresattes rett til innsyn, sletting og tilbaketrekking av samtykke er også verdt å fremheve.
I tillegg til det ovennevnte legger vi til grunn at dere følger opp at tiltakene dere har iverksatt fungerer og er tilstrekkelige, og at ansatte får nødvendig opplæring. Vi avslutter saken med dette.»
I brev 18. august 2020 tok foreldrene til barnet som var filmet kontakt med Datatilsynet om den samme avviksmeldingen. Etter foreldrenes syn hadde ikke kommunen gitt et fullstendig bilde av situasjonen i den innsendte avviksmeldingen. Foreldrene ba tilsynet om å pålegge kommunen å gi ytterligere informasjon, samt anførte at
«hendelsen og etterfølgende behandling av saken tilsier korrigerende tiltak, jf. GDPR art 58 nr 2 litra i.»
Datatilsynet ba kommunen om en redegjørelse 3. desember 2020. Kommunen redegjorde for saken i brev 5. januar 2021. Kommunen opplyste blant annet at bakgrunnen for at saken opprinnelig ikke ble meldt som avvik var at kommunen hadde vurdert at de hadde lovlig behandlingsgrunnlag i det samtykket som var innhentet. Etter mottakelse av klage fra barnets foreldre ble det imidlertid vurdert at samtykkene kunne misforståes og det ble da sendt avviksmelding til tilsynet.
Datatilsynet sendte X kommune et varsel om vedtak om irettesettelse 22. august 2022. Kommunen ga ingen merknader til det utsendte varselet.
Datatilsynet ila X kommune en slik irettesettelse 17. desember 2022:
«I medhold av personvernforordningen artikkel 58 nr. 2 bokstav i gis [X] kommune en irettesettelse for brudd på kravene til rettslig grunnlag og informasjon til den registrerte ved behandling av personopplysninger om barn ved videopptak i barnehage, jf. personvernforordningen artikkel 6 nr. 1 og artikkel 13.»
Etter å ha blitt innvilget utsatt klagefrist, klaget kommunen rettidig på Datatilsynets vedtak 16. januar 2023. Kommunen ga i klagen blant annet uttrykk for et endret syn på spørsmålet om det forelå gyldig behandlingsgrunnlag. Tilsynet vurderte klagen, men opprettholdt sin avgjørelse. Saken ble oversendt Personvernnemnda 14. april 2023. Partene ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med kommentarer. Ingen av partene har gitt merknader.
Saken ble behandlet i nemndas møte 10. oktober 2023. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Gunn Elin Lode, Hans Marius Graasvold, Ellen Økland Blinkenberg, Morten Goodwin og Malin Tønseth. Sekretariatsleder Anette Klem Funderud var også til stede.
Faktum i saken
Barnehagen tok 14. oktober 2019 kontakt med helsestasjonen i kommunen og ba om bistand knyttet til et barn i barnehagen som de oppfattet hadde et stort sinneproblem. Barnehagen oppga at de trengte råd og hjelp til å forstå barnet. Det ble bestemt at kommunepsykologen skulle komme i barnehagen og observere gutten og veilede de ansatte. Foreldrene til gutten hadde samtykket til samarbeid med andre instanser, herunder samarbeid med kommunepsykologen.
Før kommunepsykologen startet med sine observasjoner oppstod det den 22. oktober 2019 en situasjon i garderoben i barnehagen hvor den aktuelle gutten hadde et sinneutbrudd. Hendelsen ble filmet av en av de ansatte. Opptaket ble gjort på en kommunal telefon som ikke var logget på skytjeneste. Filmen ble vist til syv ansatte i barnehagen (de som jobbet på den avdelingen hvor gutten gikk), enhetsleder og kommunepsykologen. Barnet selv ble også vist filmen. Opptaket ble slettet etter 10 dager, den 1. november 2019.
Foreldrene hadde tidligere samtykket til «Bruk av diktafon og video med barn – internt bruk» på et eget samtykkeskjema. Det er blant annet uenighet om hvorvidt dette sammen med samtykke til samarbeid med kommunepsykologen representerte et gyldig samtykke til den aktuelle behandlingen.
Barnets foreldre ble kjent med videopptaket i en skriftlig redegjørelse fra kommunepsykologen 15. april 2020 i forbindelse med at hun avsluttet sitt arbeid. Det framkommer av redegjørelsen fra kommunepsykologen at den nevnte hendelsen var én av situasjonene som ble brukt for å gi de ansatte veiledning på hvordan de kunne møte gutten på en mer utviklingsfremmende måte.
Den 28. april 2020 ble det holdt et møte mellom foreldrene og kommunen hvor barnets sinneutbrudd og barnehagens håndtering av dette var et tema. Det framkommer av referatet at også filmopptaket var omtalt:
«De ansatte på gruppen har sett filmen og kommunepsykologen. Filmen ble vist til [barnet]. Dette skal ikke skje igjen. Filmen er slettet.»
Foreldrene fremsatte 22. juni 2020 klage over kommunens behandling av saken etter barnehageloven og varslet kommunen om søksmål, jf. tvisteloven § 5-2. I henvendelsen etterspurte foreldrene også om Datatilsynet var varslet om saken. Den 7. juli 2020 sendte kommunen avviksmelding til Datatilsynet, slik det er redegjort for ovenfor under sakens gang.
Foreldrene sendte deretter sin henvendelse til Datatilsynet ved brev datert 18. august 2020, som redegjort for ovenfor.
Kort om Datatilsynets vedtak
Datatilsynet har vurdert om det forelå samtykke for den aktuelle behandlingen av personopplysninger. Etter Datatilsynets vurdering dekker det aktuelle samtykket verken formålet eller den konkrete behandlingen. Datatilsynet påpeker at det skjedde tre behandlinger knyttet til opptaket: filming av den registrerte, lagring av opptaket og fremvisning av opptaket til andre. Etter Datatilsynets oppfatning, er det klart at disse samtykkene ikke dekker behandlingene som ble gjort i forbindelse med kameraopptaket gjort av barnet.
Datatilsynet påpeker i vedtaket at kommunen ikke har anført at det forelå noe annet behandlingsgrunnlag for kameraopptaket enn samtykke. Datatilsynet konkluderer med at det ikke forelå et gyldig rettslig grunnlag for behandlingen. Det foreligger dermed brudd på personvernforordningens krav til lovlighet ved behandlingen, jf. personvernforordningen artikkel 6 nr. 1.
Datatilsynet mener videre at kommunen har brutt kravene til åpenhet og informasjon i artikkel 13. Foreldrene ble kjent med behandlingen av barnets personopplysninger først seks måneder etter at opptaket ble gjort. De hadde ingen grunn til å forvente at det ble gjort opptak av denne typen da det ikke var innhentet samtykke eller de var informert om at det kunne være aktuelt å behandle personopplysninger for slike formål.
Datatilsynet ga kommunen en irettesettelse, jf. artikkel 58. nr. 2 bokstav b, for manglende overholdelse av grunnleggende krav i personvernforordningen (manglende rettslig grunnlag og brudd på reglene om informasjon og åpenhet).
Irettesettelsen markerer at lovbruddet er av en viss alvorlighetsgrad. Tilsynet la i skjerpende retning vekt på at det var klagen fra foreldrene til kommunen som førte til at kommunen sendte avviksmelding til Datatilsynet, og at tilsynet først ble kjent med dette ved foreldrenes klage til tilsynet. Tilsynet har i skjerpende retning også lagt vekt på kommunens manglende erkjennelse av manglende rettslig grunnlag, til tross for at kommunen sendte melding om brudd på personopplysningssikkerheten til Datatilsynet. Tilsynet mener det er i tråd med ansvarlighetsprinsippet i artikkel 5 nr. 2.
I oversendelsesbrevet til nemnda har Datatilsynet kommentert kommunens anførsel i klagen om at kommunen har andre behandlingsgrunnlag enn samtykke for sin behandling av personopplysninger. Datatilsynet skriver at tilsynet ikke har den riktige faglige kompetansen til å vurdere rekkevidden av barnehageloven og gjeldende forskrifter for barnehagesektoren. Tilsynet peker videre på at kommunen ikke kan bytte rettslig grunnlag underveis i en behandling av personopplysninger. Hvis kommunen har vurdert at behandlingen var samtykkebasert må dette, etter tilsynets vurdering, legges til grunn, og man kan ikke senere skifte oppfatning og vise til aktuelle lov- og forskriftsbestemmelser som behandlingsgrunnlag.
Kommunens syn på saken i korte trekk
Kommunen har rettslig grunnlag for den aktuelle behandlingen i personvernforordningen artikkel 6 nr. 1 bokstav c (nødvendig for å oppfylle en rettslig forpliktelse), bokstav d (nødvendig for å verne den registrertes eller en annen fysisk persons vitale interesser) og bokstav e (nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt).
Datatilsynet kan ikke legge til grunn at kommunen opplyste i avviksmeldingen at det ikke forelå rettslig grunnlag for behandlingen. Datatilsynet har ikke opplyst saken godt nok. Datatilsynets vedtak er derfor mangelfullt og bygger ikke på korrekt jus.
Kommunen har en rettslig plikt til å oppfylle sine plikter etter barnehageloven overfor barnehagebarn. Observasjon av barn i barnehage vil, etter omstendighetene, kunne være i allmennhetens interesse eller utøving av offentlig myndighet.
Barnehage er et frivillig tilbud. Foresatte som tar imot en barnehageplass aksepterer lovverket og vedtekter som gjelder for barnehagen. Dette følger av barnehageloven.
Barnehagen er en pedagogisk virksomhet, jf. barnehageloven § 2 og forskrift om rammeplan for barnehager kapittel 3. Barnehagen har en lovpålagt plikt til å basere virksomheten på «observasjon, dokumentasjon og refleksjon», jf. forskriften kapittel 7.
Barnehagen har i denne saken dokumentert en reaksjon hos barnet som grunnlag for å gi ansatte intern veiledning fra kommunepsykologen, som ikke var til stede da reaksjonen kom. Barnehagen identifiserte et behov hos barnet for å arbeide med utvikling av sosial kompetanse og kommunikasjon, og en reaksjon hos barnet ble dokumentert ved videoopptak på mobiltelefon som ledd i intern kompetanseheving og veiledning. Kommunen har en rettslig plikt til å utvikle barnas sosiale kompetanse og kommunikasjon, og det er av vesentlig interesse for barnet. Dette er arbeid av allmenn interesse.
Kommunen har også behandlingsgrunnlag for videoopptaket til intern bruk i artikkel 6 nr. 1 bokstav a (samtykke) Samtykket fra de foresatte dekker den aktuelle situasjonen. Opptaket hadde et pedagogisk formål og skulle bidra til utviklingen av barnet. Samtykkeskjema gir hjemmel for å gjøre videoopptak av barnet der formålet er å bidra til utvikling av barnet. Selv om kommunen tidligere har uttalt at samtykket trolig ikke var dekkende, skulle Datatilsynet gjort en selvstendig vurdering av dette.
Datatilsynet har ikke adgang etter alminnelig forvaltningsrett til å vektlegge i skjerpende retning at kommunen ikke har erkjent at behandlingen manglet rettslig grunnlag.
Det er ikke grunnlag for Datatilsynet til å gi kommunen en irettesettelse for overtredelse av personvernforordningen artikkel 6.
Kommunen har heller ikke brutt informasjonsplikten i personvernforordningen artikkel 13.
Det er en feil i vedtaket at Datatilsynet ikke vurderte unntakene fra informasjonsplikten i personopplysningsloven § 16 første ledd bokstav e om intern saksforberedelse.
Kommunen ber om at Datatilsynets vedtak blir kjent ugyldig.
Personvernnemndas vurdering
Det er kommunen som er behandlingsansvarlig for den behandlingen av barnets personopplysninger som fant sted da barnehagen tok videopptak av barnet, lagret opptaket på kommunal tjenestetelefon og fremviste opptaket til de ansatte, enhetslederen og kommunepsykologen, jf. personvernforordningen artikkel 4 nr. 2 og nr. 7. Den behandlingsansvarlige er ansvarlig for at personopplysningsloven etterleves, og skal kunne påvise at reglene er overholdt, jf. artikkel 5 nr. 2.
Datatilsynet har konkludert med at kommunen ikke har oppfylt kravene til gyldig behandlingsgrunnlag og retten til informasjon og har ilagt kommunen en irettesettelse for overtredelsen, jf. artikkel 58 nr. 2 bokstav b. Nemnda legger til grunn at en irettesettelse er et enkeltvedtak, jf. forvaltningsloven § 2 første ledd bokstav a og b, som gir klagerett. Det er i tråd med nemndas tidligere praksis, se PVN-2020-11.
Nemnda vil først si noe om aktuelle rettslige behandlingsgrunnlag for behandling av personopplysninger om barn i en barnehage, forutsatt at behandlingen er helt eller delvis automatisert eller personopplysningene inngår i et register, jf. personopplysningsloven § 2.
Barnehagens virksomhet er regulert av barnehageloven (lov-2005-06-17-64). Av barnehageloven § 1 følger det blant annet at barnehagen, i samarbeid og forståelse med hjemmet, skal ivareta barnas behov for omsorg og lek, samt fremme læring og danning som grunnlag for allsidig utvikling. I lovens kapittel VIII om psykososialt barnehagemiljø er det videre bestemmelser om barnehagens plikt til å undersøke og sette inn tiltak for å sikre barnet et trygt og godt barnehagemiljø. Det er ingen tvil om at de barnehageansatte, for å oppfylle denne plikten, må behandle en rekke opplysninger om hvert enkelt barn og at de for blant annet å dokumentere det arbeidet de gjør, må lagre disse opplysningene i et personregister. Personvernforordningen artikkel 6 nr. 1 bokstav c (rettslig plikt), jf. barnehageloven § 47 a, jf. forskrift om rammeplan for barnehager kapittel 7 (barnehagen som pedagogisk virksomhet) gir kommunen det nødvendige behandlingsgrunnlaget for dette. Det framgår av forskriften blant annet:
«Barn har rett til vern om sin personlige integritet. Et etisk perspektiv skal derfor ligge til grunn ved dokumentasjon av barnegruppen og enkeltbarn. Personopplysninger skal behandles i samsvar med personopplysningsloven. Med behandling av personopplysninger menes all innsamling, registrering, sammenstilling, lagring og utlevering av opplysninger og vurderinger som kan knyttes til en enkeltperson. Dersom barnehagen skal utlevere personopplysninger om barnet til andre instanser og det ikke foreligger lovhjemmel, må foreldrene samtykke til dette. Kravet om samtykke fra foreldrene gjelder for eksempel ikke i tilfeller der personalet deler personopplysninger med barnevernet for å oppfylle opplysningsplikten i barnehageloven § 46.»
Det er etter nemndas vurdering ingen tvil om at kommunen har gyldig behandlingsgrunnlag i barnehageloven med forskrifter til å behandle personopplysninger om barna i barnehagen.
Hjemmelsgrunnlaget omfatter enhver form for behandling, og setter ingen skranker for valg av metode for innsamling, herunder bruk av videoopptak. Det følger av forskriften at det etiske perspektivet skal vektlegges ved dokumentasjon av barnegruppen og enkeltbarn. Etter nemndas vurdering har kommunen derfor hatt behandlingsgrunnlag for innsamlingen av personopplysninger, uavhengig av om dette skjer ved videoopptak eller på annen måte. Nemnda er ikke enig med Datatilsynet i at tilsynet ikke har kompetanse til å ta stilling til om loven gir tilstrekkelig behandlingsgrunnlag og er enig med kommunen i at dette er en sentral oppgave for Datatilsynet som tilsynsmyndighet.
Etter nemndas vurdering må foreldrenes samtykke til «Bruk av diktafon og video med barn – internt bruk» forstås som et samtykke til behandling av opplysninger ved bruk av diktafon og video utover de tilfellene som loven gir hjemmel for, nemlig «når det er nødvendig for å utføre oppgaver etter loven».
Nemnda bemerker at det er uheldig at kommunen ikke var klar over hvilket behandlingsgrunnlag de hadde på det tidspunktet de samlet inn opplysningene. At kommunen etter at saken ble brakt inn for tilsynet, og etter å ha søkt juridisk rådgivning, viser til andre relevante rettslige grunnlag, er likevel ikke det samme som å bytte behandlingsgrunnlag under behandlingen. Dersom man har behandlingsgrunnlag etter artikkel 6 nr. 1 bokstav c (rettslig forpliktelse) mister man ikke dette behandlingsgrunnlaget ved feilaktig å tro at man trenger et samtykke for behandlingen. Nemnda mener at retningslinjene fra Personvernrådet, som Datatilsynet viser til, omhandler en annen situasjon og ikke er treffende for faktum i denne saken.
Spørsmålet for nemnda blir derfor om barnehagens beslutning om å utlevere videoopptaket til kommunepsykologen krever et annet rettslig grunnlag enn hva barnehageloven gir. Det følger av den siterte teksten i forskriften ovenfor at dersom barnehagen skal utlevere personopplysninger om barnet til andre instanser og det ikke foreligger lovhjemmel, må foreldrene samtykke til dette.
Som beskrevet i sakens faktum var det innhentet flere samtykker fra foreldrene. Det ene samtykket gjaldt bruk av diktafon og videopptak til internt bruk. Det andre samtykke gjaldt blant annet barnehagens samarbeid med kommunepsykologen. Nemnda legger til grunn at dét samtykket som er innhentet om samarbeidet med kommunepsykologen tilfredsstiller samtykkekravene etter artikkel 4 nr. 11. Dette samtykket gir etter nemndas vurdering behandlingsgrunnlag for å dele videoopptaket med kommunepsykologen. Når det, som i dette tilfellet, var innhentet samtykke fra foreldrene til at kommunepsykologen skulle involveres for å gi veiledning til de ansatte i barnehagen om hvordan de skulle møte gutten, vil en deling med kommunepsykologen av de innhentede opplysningene, herunder deling av et videoopptak som viser en relevant hendelse med gutten, også være lovlig og dekket av det innhentede samtykket. Nemnda har ikke tatt stilling til om delingen av videoopptaket med barnet selv var forsvarlig. Dette er ikke en del av klagen og er en barnehagefaglig vurdering som ligger utenfor nemndas kompetanse.
Etter nemndas vurdering gir Datatilsynet kommunen gode råd i sitt brev 22. juli 2020 hvor tilsynet opprinnelig avsluttet saken etter å ha mottatt avviksmelding fra kommunen. Tilsynet skriver:
«Dere opplyser ikke om dere ønsker å fortsette med behandling av den typen opplysninger som denne saken gjelder. Dersom dere skal gjøre det er det viktig at dere blant annet utarbeider rutiner for dette internt, jf. personvernforordningen artikkel 24 nr. 2. Dere må også vurdere egnetheten for enheten det skal filmes med og datasystemet filmene skal lagres i, herunder egnede tiltak for å sikre videoenes konfidensialitet, integritet og tilgjengelighet i samsvar med forordningens artikkel 32. I tilknytning til det må dere også vurdere hvordan dere kan kommunisere både videofilene og vurderingene til kommunepsykologen på en sikker måte.»
Datatilsynet peker her på ulike forhold som må vurderes særskilt når innsamlingen skjer ved filmopptak. Nemnda er enig i Datatilsynets vurdering av dette.
Personvernnemnda er også enig med Datatilsynet i at kommunen ikke har overholdt sin informasjonsplikt overfor foreldrene, jf. artikkel 13. Foreldrene skulle mottatt mer informasjon om barnehagens rutiner og planlagte behandling av personopplysninger, herunder lagring, sletting og deling. Unntaket for informasjonsplikt etter personopplysningsloven § 16 første ledd bokstav e kommer ikke til anvendelse idet det åpenbart ikke dreier seg om opplysninger som «utelukkende finnes i tekst som er utarbeidet for intern saksforberedelse».
Når personopplysningsloven er brutt, kan tilsynet velge mellom ulike «korrigerende tiltak», jf. personvernforordningen artikkel 58 nr. 2. I dette tilfellet ble saken ved tilsynets første behandling avsluttet uten noen korrigerende tiltak. Etter en henvendelse fra barnets foreldre i saken, endret tilsynet sin vurdering og ila kommunen en irettesettelse, jf. artikkel 58 nr. 2 bokstav b. En irettesettelse er en forvaltningsrettslig reaksjon med det formål å markere at lovbruddet er av en viss alvorlighetsgrad.
Nemnda har i motsetning til Datatilsynet kommet til at kommunen har hatt lovlig behandlingsgrunnlag for sin behandling av personopplysninger. Bruddet på informasjonsplikten er i dette tilfellet ikke så alvorlig at det gir tilstrekkelig grunn for en irettesettelse. Nemnda kan heller ikke se at det kom fram nye opplysninger gjennom foreldrenes henvendelse til Datatilsynet, etter at saken var avsluttet første gang, som begrunner en annerledes og strengere vurdering av bruddet enn den vurderingen som ble foretatt i juli 2020.
Det avgjørende for om det skal ilegges en irettesettelse eller ikke må etter nemndas vurdering være avhengig av alvoret og karakteren av lovbruddet. I dette tilfellet er det ikke samlet inn opplysninger som ikke skulle vært samlet inn. Opplysningene er heller ikke delt med personer hos andre instanser uten rettslig grunnlag. Bruddet består i at barnehagen ikke har oppfylt sin informasjonsplikt til foreldrene. Innsamlingsmåten (videoopptak) medfører også behov for særlige vurderinger knyttet til informasjonssikkerheten, som det er kritikkverdig at ikke er foretatt. Ved vurderingen av hvor alvorlig bruddet er må det likevel også legges vekt på at filmen bare ble benyttet til det formålet den var ment for (kommunepsykologens veiledning av de ansatte for å gjøre dem bedre rustet til å møte det aktuelle barnet på en bedre måte), filmen ble oppbevart i en begrenset periode (10 dager) og ble deretter slettet. Når kommunen av foreldrene ble gjort oppmerksom på at foreldrene mente det var en ulovlig behandling (ikke gyldig samtykke), ble avviksmelding sendt til Datatilsynet og det ble planlagt og iverksatt tiltak for å håndtere sårbarheten og begrense konsekvensene av bruddet.
Kommunen viser, gjennom sin framgangsmåte i saken, at de har tatt saken alvorlig fra det tidspunktet de ble klar over at foreldrene mente det ikke var et tilstrekkelig behandlingsgrunnlag. De varslet Datatilsynet om avviket og planla og gjennomførte en rekke tiltak, blant annet for å øke de ansattes personvernkunnskap. Når den aktuelle behandlingen av personopplysninger i tillegg har kommet gutten til gode ved at kommunepsykologen fikk tilgang til observasjoner som var nyttig for hennes planlagte veiledning av de ansatte, anses den ulovlige behandlingen tilstrekkelig reparert uten at det i tillegg er grunn til å ilegge noen irettesettelse.
Klagen fra kommunen har ført fram.
Vedtaket er enstemmig.
Vedtak
X kommune ilegges ikke irettesettelse etter personvernforordningen for sin behandling av personopplysninger.
Oslo, 10. oktober 2023
Mari Bø Haugstad
Leder