Personvernnemndas vedtak 7. november 2023 (Mari Bø Haugstad, Bjørnar Borvik, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem, Morten Goodwin, Malin Tønseth)
Saken gjelder klage fra A på Datatilsynets vedtak 23. januar 2023 der tilsynet konkluderte med at X kommune hadde rettslig grunnlag for å behandle bilder av deres barn i barnehagen.
Sakens bakgrunn
A kontaktet Datatilsynet 17. januar 2023og klaget på at X kommune v/Y barnehage hadde tatt bilder av barnet deres og brukt disse bildene uten gyldig behandlingsgrunnlag i perioden 1. august 2016 – 29. november 2017 da sønnen gikk i Y barnehage.
Vedlagt klagen fra A lå blant annet et samtykkeskjema i papirversjon utarbeidet av X kommune som A undertegnet 1. august 2016 da sønnen begynte i barnehagen. Foreldrene samtykket på skjemaet til blant annet «bruk av videopptak i forbindelse med veiledning av personalet ved enheten», og «at enheten publiserer bilder der mitt/vårt barn deltar i aktiviteter med andre barn og voksne, på barnehagens 'hjemmeside' på internett». Den 29. november 2017 trakk foreldrene sitt samtykke og sønnen sluttet i barnehagen ved årsskiftet.
I klagen til Datatilsynet vedla A også eksempler på bilder som ble brukt av barnehagen i den aktuelle perioden.
Datatilsynet kom til at X kommune hadde gyldig behandlingsgrunnlag for behandlingen. I brev til A 23. januar 2023 viste tilsynet til samtykkeskjemaet der foreldrene hadde samtykket til at barnehageansatte tok bilde av barnet, og avsluttet saken. Datatilsynet bemerket også at det ikke var Datatilsynets oppgave å ta stilling til hvordan barnehagen bruker bildene i sitt pedagogiske arbeid.
A klaget rettidig på Datatilsynets vedtak 1. februar 2023. Tilsynet vurderte klagen, men opprettholdt sin avgjørelse. Saken ble oversendt Personvernnemnda 2. mai 2023. A ble orientert om saken i brev fra nemnda, og fikk anledning til å komme med kommentarer. A har gitt sine merknader i brev til nemnda 25. mai 2023 og la også ved X kommunes svar til foreldrene datert 13. mars 2023.
Saken ble behandlet i nemndas møte 7. november 2023. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik, Hans Marius Graasvold, Ellen Økland Blinkenberg, Hans Marius Tessem, Morten Goodwin og Malin Tønseth. Utredningsleder Anette Klem Funderud var også til stede.
Kort om As klage
Barnehagen/kommunen har behandlet personopplysninger om sønnen ulovlig. Kommunen hadde ikke gyldig behandlingsgrunnlag for behandlingen i personvernforordningen. Foreldrene har ikke samtykket til bruk av portrettbilder av sønnen i barnehagen. Bildene som barnehagen tok av barnet er integritetskrenkende og aktivt brukt i Y barnehage uten at foreldre ble informert om slik behandling. Samtykket til den aktuelle behandlingen var verken informert eller spesifikt.
Foreldrene fikk aldri vite at det skulle bli tatt portrettbilder av barnet i ukomfortable situasjoner. Foreldrene ble heller ikke opplyst om hvilke behandlingsaktiviteter disse bildene ville bli brukt til. Bildene ble brukt til undervisning/veiledning av barna for å øke språkforståelse og skape trygghet og forutsigbarhet i barnegruppa. Dette har foreldene aldri samtykket til.
Det framgår tydelig av samtykkeskjemaet hva foreldrene 1. august 2016 samtykket til. Samtykket ble gitt for bruk av videoopptak i forbindelse med veiledning av personalet, samt
for publisering av film og bilder der barnet deltar i aktiviteter sammen med andre barn. Ingen av disse formålene omfatter å ta portrettbilder av mindreårige i ukomfortable situasjoner og så bruke slike bilder til veiledning i såkalt «pedagogisk arbeid» i barnehagen.
Etter at Datatilsynet oversendte saken til Personvernnemnda har A i brev til nemnda 25. mai 2023 utdypet sitt syn på at det ikke er innhentet et gyldig samtykke. Det er særlig vist til at samtykke, for å være gyldig, skal være både frivillig, spesifikt, informert og utvetydig, noe A mener ikke er oppfylt i dette tilfellet.
Personvernnemndas vurdering
Saken gjelder spørsmål om behandling av personopplysninger i tiden før personopplysningsloven 2018 trådte i kraft.
I forarbeidene til personopplysningsloven 2018, Prop. 56 LS (2017–2018) side 196, uttaler departementet blant annet følgende om valget mellom gammel og ny lov:
«Det vil være en rekke saker som verserer for tilsynsmyndigheten og Personvernnemnda på ikraftsettingstidspunktet for den nye personopplysningsloven. Forordningen inneholder ingen overgangsbestemmelser som regulerer behandlingen av slike saker. Utgangspunktet vil være at vedtak hos Datatilsynet og Personvernnemnda vil måtte fattes på grunnlag av de til enhver tid gjeldende materielle regler.»
For de saker hvor det treffes vedtak om overtredelsesgebyr har personopplysningsloven 2018 overgangsregler i § 33. Det følger av denne bestemmelsen at reglene om behandling av personopplysninger som gjaldt på handlingstidspunktet, skal legges til grunn når det treffes vedtak om overtredelsesgebyr, med mindre lovgivningen på tidspunktet for avgjørelsen fører til et gunstigere resultat for den behandlingsansvarlige.
I denne saken er det ikke ilagt overtredelsesgebyr. Det følger da forutsetningsvis av personopplysningsloven 2018 § 33 at det er loven, slik den lyder på avgjørelsestidspunktet, som skal legges til grunn for Personvernnemndas vedtak.
Nemnda legger til grunn at klagen gjelder barnehagens bruk av bilder, primært portrettbilder, av As sønn i ulike hverdagssituasjoner. Klagen omhandler både at bildene ble tatt, oppbevart og på forskjellige måter brukt internt i barnehagen i det pedagogiske arbeidet.
De omtalte portrettbildene av As sønn er personopplysninger. Dersom bildene lagres elektronisk eller inngår i et register reguleres behandlingen av dem av personopplysningsloven, jf. personopplysningsloven § 2. Det er kommunen som er behandlingsansvarlig for den behandlingen av personopplysninger som fant sted da barnehagen tok bilder av barnet og senere brukte bildene i det pedagogiske arbeidet i barnehagen, jf. personvernforordningen artikkel 4 nr. 2 og nr. 7.
Nemnda vil først si noe om aktuelle rettslige behandlingsgrunnlag for behandling av personopplysninger om barn i en barnehage, forutsatt at behandlingen er helt eller delvis automatisert eller personopplysningene inngår i et register, jf. personopplysningsloven § 2.
Barnehagens virksomhet er regulert av barnehageloven (lov-2005-06-17-64). Det følger av barnehageloven § 47a at kommunen/barnehagen kan behandle personopplysninger når det er nødvendig for å utføre oppgaver etter loven. Av barnehageloven § 1 følger det blant annet at barnehagen, i samarbeid og forståelse med hjemmet, skal «ivareta barnas behov for omsorg og lek, samt fremme læring og danning som grunnlag for allsidig utvikling» og «utvikle grunnleggende kunnskaper og ferdigheter». Det er ingen tvil om at barnehagen, for å oppfylle denne plikten og for å dokumentere det arbeidet de gjør, må behandle en rekke opplysninger om hvert enkelt barn og at de må lagre disse opplysningene i et personregister. Personvernforordningen artikkel 6 nr. 1 bokstav c (rettslig plikt), jf. barnehageloven § 47 a, jf. forskrift om rammeplan for barnehager kapittel 7 (barnehagen som pedagogisk virksomhet) gir kommunen det nødvendige behandlingsgrunnlaget for dette. Det framgår av forskriften blant annet:
«Barn har rett til vern om sin personlige integritet. Et etisk perspektiv skal derfor ligge til grunn ved dokumentasjon av barnegruppen og enkeltbarn. Personopplysninger skal behandles i samsvar med personopplysningsloven. Med behandling av personopplysninger menes all innsamling, registrering, sammenstilling, lagring og utlevering av opplysninger og vurderinger som kan knyttes til en enkeltperson. Dersom barnehagen skal utlevere personopplysninger om barnet til andre instanser og det ikke foreligger lovhjemmel, må foreldrene samtykke til dette. Kravet om samtykke fra foreldrene gjelder for eksempel ikke i tilfeller der personalet deler personopplysninger med barnevernet for å oppfylle opplysningsplikten i barnehageloven § 46.»
Det er etter nemndas vurdering ingen tvil om at kommunen har gyldig behandlingsgrunnlag i barnehageloven med forskrifter til å behandle personopplysninger om barna i barnehagen.
Hjemmelsgrunnlaget omfatter enhver form for behandling, og setter ingen skranker for valg av metode for innsamling, herunder bruk av bilder. Det følger av forskriften at det etiske perspektivet skal vektlegges ved dokumentasjon av barnegruppen og enkeltbarn. I denne saken har barnehagen tatt bilder av barnet i hverdagssituasjoner, lagret bildene og brukt de til pedagogiske formål, herunder til veiledning og oppfølging av barna med henblikk på språkutvikling. Etter nemndas vurdering har kommunen hatt behandlingsgrunnlag for den aktuelle behandlingen av personopplysninger i personvernforordningen artikkel 6 nr. 1 bokstav c, jf. barnehageloven § 47 a og forskrift om rammeplan for barnehager kapittel 7. Det er derfor ikke samtykke som er det rettslige grunnlaget for barnehagens bruk av bilder i det pedagogiske arbeidet internt i barnehagen.
Når det gjelder innsamling, lagring og bruk av fotografier ut over de tilfellene barnehageloven gir hjemmel for, nemlig når det ikke er «nødvendig for å utføre oppgaver etter loven», kan samtykke være et aktuelt behandlingsgrunnlag. A har i klageomgangen vist til barnehagens månedsplan 1. september 2016 fra avdelingen sønnen gikk. I månedsplanen vises det bilder av barna i avdelingen med navn, i tillegg til bilder av barna i felles hverdagsaktiviteter ute og inne med andre barn i avdelingen. Månedsplanen var tilgjengelig i barnehagens foreldreportal. Etter nemndas vurdering har kommunen gyldig behandlingsgrunnlag for denne behandlingen i foreldrenes samtykke 1. august 2016, der de blant annet samtykket til «at enheten publiserer bilder der mitt/vårt barn deltar i aktiviteter med andre barn og voksne, på barnehagens 'hjemmeside' på internett».
Samtykket som er innhentet tilfredsstiller etter nemndas vurdering samtykkekravene i personvernforordningen artikkel 4 nr. 11.
Datatilsynet uttaler i oversendelsesbrevet 2. mai 2023 at tilsynet ikke har sett det hensiktsmessig å gjøre ytterligere undersøkelser i saken. Tilsynet har heller ikke innhentet noen uttalelse fra X kommune og kommunen er ikke gjort til part i saken. Dersom det hadde vært aktuelt å konkludere med at personopplysningsloven var brutt måtte kommunens syn først vært innhentet. Med det resultatet nemnda er kommet til har nemnda ikke ansett det verken nødvendig eller hensiktsmessig. Nemnda bemerker også at den påståtte ulovlige behandlingen av personopplysninger er avsluttet for over fem år siden og alle bildene barnehagen hadde er slettet. Detaljer knyttet til omstendighetene ved bruk av bilder så langt tilbake i tid vil ikke lenger kunne avdekkes på en hensiktsmessig måte.
A får ikke medhold i klagen.
Vedtaket er enstemmig.
Vedtak
Datatilsynet vedtak opprettholdes.
Oslo, 7. november 2023
Mari Bø Haugstad
Leder