Personvernnemndas avgjørelse av 27. august 2014 (Eva I E Jarbekk, Arve Føyen, Nina Melsom, Ørnulf Rasmussen, Marta Ebbing, Gisle Hannemyr)
1 Innledning
Personvernnemnda har ved oversendelse fra Datatilsynet mottatt klage på Datatilsynets beslutning om avslutning av sak om foreldres innsynsrett i aktivitetslogg.
2 Saksgang
Datatilsynet mottok den 21. februar 2014 en e-post fra en privatperson angående innsynsrett i aktivitetslogg i datasystemet ved Vågen videregående skole. Personen hadde bedt om innsyn i opplysninger om hvilke tidspunkter en elev har vært logget inn på skolens datasystemer, men fått avslag fra skolen under henvisning til at disse opplysningene ikke skal deles med utenforstående – inkludert foreldre til elever ved skolen. Personen ønsket for det første å få informasjon om hvorvidt en slik logg finnes, og for det andre innsyn i opplysninger om sitt barn som er elev ved skolen. Datatilsynet ga personen utfyllende veiledning om hvilke rettigheter han har.
Personen var ikke tilfreds med generell veiledning og ba i epost av 24. februar om at hans klage skulle bli underlagt ordinær klagesaksbehandling. Datatilsynet kom til at det ikke ville foreta seg mer i saken, under henvisning til at foreldre av barn over 15 år ikke kan utøve innsynsretten på vegne av sine barn. Tilsynet besluttet derfor å avslutte saken. Privatpersonen påklaget denne beslutningen.
Saken ble oversendt Personvernnemnda 11.3.2014, som mottok saken 13.3.2014. Klager ble orientert om dette i brev fra nemnda datert 18.3.2014, med frist til uttalelse innen 1.4.2014. Nemnda mottok en epost fra klager 2.4.2014 hvor klager viste til at han av helsemessige årsaker ikke kunne svare innen fristen 1.4.2014. Nemnda svarte i epost 2.4.2014 at saken ennå ikke var kommet på dagsorden slik at en utsatt svarfrist var i orden. Nemnda purret på eventuelle bemerkninger i epost av 8.5.2014 og informerte om at saken skulle behandles i møte 12.5.2014. Klager svarte i epost 9.5.2014 at bemerkninger skulle forsøksvis sendes i løpet av kommende helg. Nemnda svarte da at saken utsettes til møte 27.5.2014. Klager besvarte ikke henvendelsen. Nemnda kontaktet klager på nytt i epost av 4.6.2014 og ba om en endelig avklaring på hvorvidt det ville komme kommentarer fra klager som bebudet. Nemnda satte frist til 13.6.2014 til å komme med kommentarer. Klager ba om utsatt frist til 18.6.2014. Nemnda innvilget fristutsettelse. Klager innga kommentarer i epost av 24.6.2014 med vedlegg.
3 Faktum
Klager, som er foresatt til en elev i videregående skole, ønsket innsyn i skolens datalogg for å se på hvilke tidspunkter eleven hadde vært innlogget på skolens datasystemer. Skolen, ved avdelingsleder med ansvar for IKT på skolen, nektet klager innsyn i aktivitetsloggen med henvisning til at denne informasjonen var beskyttet av personopplysningsloven og således ikke kunne deles med utenforstående, herunder foreldre. Datatilsynet ga klager en generell redegjørelse for hans rettigheter som foresatt til et barn over 15 år og avsluttet saken. Klager påklaget beslutningen og ønsket ordinær klagesaksbehandling.
4 Klagers anførsler
Klager anfører at foreldre som har barn i alderen 15 til 18 år, for å kunne ivareta sine barns interesser, må kunne utøve innsynsretten på barnas vegne uten at barnet selv ber om dette. Han mener at det er uforsvarlig om et barn i denne alderen er henvist til selv å ivareta, eller medvirke til at andre ivaretar, sine egne interesser. Klager påklager også at skolen kunne avvise forespørselen om innsyn uten hjemmel og uten noen reell eller saklig begrunnelse og uten at det er klargjort at vedkommende som har avvist forespørselen har den nødvendige kompetansen til å behandle og treffe vedtak i slike saker.
Klager anfører videre at saksgangen kan oppsummeres som følger:
- Forespørsel til skolen om de har noen mulighet for å gå inn i datasystemene sine og gå tilbake og sjekke om – og i så fall til hvilke tidspunkter – en elev har vært innlogget på skolens datasystemer.
- Skolen avviste forespørselen og begrunnet først dette med at dette ikke var informasjon de kunne dele med utenforstående.
- Avvisningen ble deretter begrunnet med at opplysningen jeg ba om skulle være beskyttet av personvernloven og derfor ikke kunne deles med utenforstående.
- Skolens avvisningsvedtak ble så innklaget til Datatilsynet.
- Datatilsynet avviste å realitetsbehandle klagen.
- Klagen ble krevd realitetsbehandlet.
- Datatilsynet avviste klagen for andre gang.
- Datatilsynets avvisningsvedtak ble påklaget etter forvaltningslovens § 2 tredje ledd.
Klager anfører at det følger av dette at det er Datatilsynets avvisningsvedtak som er forelagt Personvernnemnda for behandling og avgjørelse. Det medfører følgelig ikke riktighet når Datatilsynet i sitt oversendingsbrev til Personvernnemnda skriver at:
"Saken reiser spørsmål om hvorvidt foreldre til barn i alderen 15 til 18 år har rett til innsyn i personopplysninger om barnet uten at barnet selv ønsker dette".
Videre ville Datatilsynets foran siterte saksbeskrivelse heller ikke medført riktighet om herværende klagesak skulle vært forelagt nemnda for behandling av hovedklagen til Datatilsynet, da saken aldri har reist det spørsmålet Datatilsynet påstår. Det følger av foranstående at Datatilsynets avvisningsvedtak prinsipalt må anses som en juridisk nullitet uten rettsvirkning, subsidiært oppheves som ugyldig, og saken sendes tilbake til Datatilsynet realitetsbehandling eller ny behandling av (hoved)klagen. Dersom nemnda – i stedet for å behandle klagen over avvisningsvedtaket – skulle velge å ville realitetsbehandle hovedklagen, ber klager om å få beskjed om dette og gitt anledning til å inngi merknader til denne delen av saken.
5 Datatilsynets vurdering
Datatilsynet forklarte klager at personopplysninger som utgangspunkt skal behandles konfidensielt, og at dette også gjelder overfor foreldrene – med mindre de utøver innsynsretten på vegne av barna.
Datatilsynet har lagt til grunn at barn som går på videregående skole, og følgelig er over 15 år, utøver innsynsretten på egne vegne. Dette begrunner tilsynet med at barn, selv om de er umyndige, har krav på vern av sin private sfære, og at innsynsretten derfor praktiseres på egen hånd. Dette standpunktet har tilsynet inntatt ut fra en helhetlig vurdering av hvilke andre rettigheter barn oppnår i samme alderssegment. Tilsynet viser til barneloven §§ 30-33, vergemålsloven kapittel 3, barnevernloven § 6-3, pasient- og brukerrettighetsloven § 5-l, jf. §§ 3-4 og 6-5, samt straffeloven § 46.
Datatilsynet presiserte overfor klager at tilsynets standpunkt ikke er til hinder for at foreldrene kan utøve innsynsretten på vegne av barna hvis barna selv ønsker dette.
Klager har anført at innsynsrett i dataloggen er nødvendig for at foreldre skal kunne ivareta sine barns interesser. Tilsynet har i den sammenheng vist til at foreldrenes rett til informasjon om barnas skolegang følger av opplæringsloven med tilhørende forskrifter. Tilsynet oppfatter forskriftene til opplæringsloven som uttømmende når det gjelder å regulere plikten skolen har til å informere foreldre. Tilsynet mener derfor at klager ikke har rett til innsyn med den begrunnelsen.
Som et utgangspunkt må det legges til grunn at foreldre/foresatte kan utøve innsynsretten på vegne av mindre barn. Etter hvert som barna blir eldre skal det imidlertid i økende grad tas hensyn til barnas personverninteresser og behov for privatliv. For avklaring av hvordan denne gradvise overgangen skal foregå er barneloven relevant rettskilde.
Barneloven fastslår at foreldre skal gi barnet stadig større selvbestemmelsesrett med alderen, jf barnelovens § 33. Når barnet har fylt 7 år skal det få si sin mening før foreldrene tar en avgjørelse som gjelder barnets personlige forhold, og når barnet har fylt 12 år skal foreldre legge stor vekt på hva han/hun mener. Videre skal foreldre gi den unge mer selvbestemmelsesrett med alderen og frem til fylte 18 år. Fra fylte 15 år er man for eksempel gitt samtykkekompetanse i ulike sammenhenger, blant annet ved at man selv kan melde seg inn eller ut av foreninger og selv å ta avgjørelser som gjelder utdanning. Denne rettigheten mener tilsynet gir et viktig tolkningsbidrag i denne saken, fordi avgjørelser som gjelder utdanning er normalt viktigere og krever mer modenhet enn avgjørelse om innsyn i en logg ved en skole som er sakens kjerne her.
Av forarbeidene til barneloven fremgår at det bak reglene om selvbestemmelsesrett ligger en forutsetning om at den rett foreldreansvaret gir foreldre til å bestemme over barnet på mange områder vil være bortfalt før barnet fyller 18 år. Det sies også at når det gjelder utpreget personlige forhold vil bestemmelsene ha betydning allerede fra barnet er forholdsvis lite. Som eksempler på slike forhold er det nevnt hva slags klær barnet skal ha på og hvem barnet skal omgås. Når barneloven har gitt selvbestemmelsesrett til mindreårige i saker av personlig karakter ligger det likevel en tanke bak om at barnet fra skolealder er i stand til å danne seg egne meninger om visse personlige anliggender.
En foreløpig konklusjon blir at foreldre/foresattes rett til innsyn bør variere med hensyn til både barnets alder og hvilken informasjon det bes om innsyn i. Hvor grensene bør gå må bero på en vurdering av hvilken informasjon som må sies å tilhøre den mindreåriges personlige sfære.
Etter Datatilsynets mening vil opplysninger om den mindreåriges aktiviteter i skoletiden være eksempel på forhold som det må være opp til barnet selv om det vil dele med sine foreldre/foresatte.
For å fortsette i den andre enden av aldersskalaen vil mindreårige når de fyller 15 år opparbeide seg veldig mange lovbestemte rettigheter. Dette gjelder f.eks. retten til selv å inngå arbeidsavtale, drive egen næringsvirksomhet, rådighet over egne midler samtykkekompetanse til å melde seg inn eller ut av foreninger og selv å ta avgjørelser som gjelder utdanning. Dette er også den kriminelle lavalder og mindreårige vil fra 15 år være strafferettslig ansvarlige for sine handlinger.
Begrunnelsen for at denne 15-årsgrensen går igjen er at en person ved fylte 15 år normalt er såpass reflektert at vedkommende i stor grad kan ivareta egne rettslige interesser. Dette taler for at innsynsretten er gått fra foresatte til mindreårig ved fylte 15 år.
Til sammenligning er det også slik at helseopplysninger om pasienter mellom 12 og 16 år
ikke skal gis til foreldrene, eller andre med foreldreansvaret, når pasienten av grunner som bør respekteres, ikke ønsker dette.
Datatilsynet fastholder konklusjonen om at foreldre til barn over 15 år ikke har rett til innsyn i aktivitetslogg fra datasystemet på skolen hvor barnet går. Tilsynet mener derfor at det ikke var nødvendig å foreta seg noe mer enn å gi klager en veiledende uttalelse om dette, jf. personopplysningsloven§ 42 tredje ledd nr 6.
6 Personvernnemndas merknader
Personvernnemnda skal vurdere om Datatilsynets behandling av saken, av klager oppfattet som et avvisningsvedtak, har vært tilstrekkelig og forsvarlig i samsvar med forvaltningsloven.
Etter korrespondanse med klager besluttet Datatilsynet at saken kunne avsluttes med den begrunnelse at foreldre til barn over 15 år ikke kan utøve innsynsretten på vegne av sine barn i strid med barnets ønske, men uten at Datatilsynet fattet et formelt vedtak om det materielle spørsmålet i saken.
Datatilsynet har veiledet klager om dette temaet i tilstrekkelig grad for klager til å forstå at skolen hadde rett i å nekte ham innsyn i aktivitetsloggen uten elevens godkjennelse. Personvernnemnda forstår korrespondansen i saken slik at Datatilsynet faktisk har vurdert saken og tatt stilling til de materielle spørsmål og deretter fattet et avvisningsvedtak. Datatilsynet har således tatt stilling til saken uten å formulere dette som et vedtak. Slik nemnda ser det hadde det vært en fordel om Datatilsynet enten ikke tok stilling til det materielle og avviste saken, eller tok stilling og formulerte et formelt vedtak. Det fremgår at klager ber om et formelt vedtak etter personopplysningsloven § 42 nr 3. Nemnda har ingen bemerkninger til tilsynets veiledning, men ser at saken – når den er så klar som denne og har vært gjenstand for betydelig arbeid – kunne vært avgjort med et vedtak vedrørende de materielle spørsmål. Forvaltningsrettslig bør det skilles tydelig mellom veiledning og saksbehandling.
7 Vedtak
Saken sendes tilbake til Datatilsynet for realitetsbehandling.
Oslo, 27. august 2014
Eva I E Jarbekk
Leder