sou · H5B339 · 2017-05-12 00:00:00 — Regeringen menade att begreppet omfattar en mängd olika tjänster, däribland informationstjänster och söktjänster.12 Artikel 29- gruppen har uttalat att i rättsligt avseende ingår sociala nätverk, sökmotorer och appar i begreppet informationssamhällets tjänster.13 Mot bakgrund av ovanstående kan enligt vår bedömning begreppet informationssamhällets tjänster innefatta bland annat olika sociala medier, såsom till exempel bloggar, internetforum, webbplatser för videoklipp, chattprogram och sociala nätverk. 10Europaparlamentets och rådets direktiv /34/EG av om ett informa- tionsförfarande beträffande tekniska standarder och föreskrifter och beträffande föreskrifter för informationssamhällets tjänster. 11Se dom Papasavvas, C‑291/13, EU:C:2014:2209, punkterna 28–30 och dom m.fl., 352/85, EU:C:1988:196, punkt 16. 2001/02:150 s. 1 och 19. 13Se artikel 29-gruppens yttrande 5/2009 om sociala nätverk på Internet, s. 4 f., artikel 29- gruppens yttrande 1/2008 om dataskyddsfrågor med anknytning till sökmotorer, s. 5 och not 6 och 7 på samma sida, samt artikel 29-gruppens yttrande 2/2013 om appar på smarta enheter, s. 24 not 46. Barns samtycke som rättslig grund olika applikationer (appar) med spel eller annat innehåll kan omfattas av definitionen. Behandling av personuppgifter inom ramen för informationssamhällets tjänster Det är inte nödvändigt att behandla personuppgifter i samband med erbjudande av informationssamhällets tjänster. I praktiken är det emellertid mycket vanligt att behandling av personuppgifter utgör ett villkor för tillhandahållande av sådana tjänster. Vilka personuppgifter som samlas in, hur de används av tjänstetill- handahållaren själv och hur dessa uppgifter delas med andra varierar från tjänst till tjänst. Tjänstetillhandahållarna har ibland ett intresse av att samla in så många personuppgifter som möjligt, eftersom de kan ha ett stort ekonomiskt värde. De uppgifter som samlas in kan vara uppgifter som den enskilde måste lämna ifrån sig för att få använda en tjänst, såsom ett namn, användarnamn, födelsedatum, kön, adress, e-postadress och mobil- telefonnummer. Det kan även vara uppgifter om kreditkorts- och betalningsinformation. Ofta behandlas också uppgifter vid användningen av en tjänst. Det kan bland annat röra sig om geografiska lokaliseringsuppgifter eller vem användaren interagerar med. Även webbläsarhistorik kan tillskapas och kan bli föremål för senare behandling. Uppgifter kan också synkroniseras med andra användares uppgifter, exempelvis uppgifter från adressboken på en telefon. Uppgifterna kan användas i olika syften av tillhandahållaren av tjänsten, t.ex. för direktmarknadsföring. Det kan ske på olika sätt. Med s.k. beteendebaserad marknadsföring menas förenklat att använ- dare spåras när de surfar på internet och att det med tiden byggs upp profiler som sedan används för att förse användarna med reklam som passar deras intressen.14 Personuppgifterna tillhandahålls ofta även till andra än den som tillhandahåller tjänsten, t.ex. i marknadsförings- syfte. 14 Jfr artikel 29-gruppens yttrande 2/2010 om beteendebaserad reklam på internet, s. 3 och 5. Barns samtycke som rättslig grund Det framgår inte av dataskyddsförordningen vad som avses med uttrycket att en tjänst ska erbjudas direkt till barn. Begreppet skulle kunna tolkas på flera olika sätt. En möjlig tolkning av begreppet är att det endast omfattar tjänster som uttryckligen riktar sig till barn. Ett problem med denna tolkning är att det inte finns något krav på att tjänstetillhandahållarna ska ange vilken ålder de anser är lämplig för användning av en tjänst. Inte heller finns det någon standard som anger vilka kriterier som ska vara uppfyllda för en viss åldersgräns. Ytterligare problem som skulle kun- na uppstå med denna tolkning är att en tjänstetillhandahållare skulle kunna kringgå den aktuella bestämmelsen genom att ange att tjänsten endast riktar sig till personer som inte är barn. En annan möjlig tolkning är att det är användarens faktiska ålder som avgör om tjänsten omfattas av begreppet. Det skulle innebära att den som tillhandahåller en tjänst och hanterar personuppgifter med stöd av samtycke i samtliga fall måste veta om den som använder tjänsten är ett barn eller inte. Alla tjänstetillhandahållare som hanterar personuppgifter skulle i sådant fall behöva kontrollera åldern på alla personer som använder tjänsten. Det kan starkt ifrågasättas om det skydd som kan uppnås motiverar att personuppgifter om ålder samlas in från samtliga användare. En tredje möjlig tolkning är att artikel 8.1 i dataskyddsförord- ningen tar sikte på sådana tjänster som kan antas användas av barn. Bedömningen blir då inte beroende av hur tjänsteleverantören pre- senterar sin tjänst utåt. Både tjänster som direkt marknadsförs mot barn och tjänster som i och för sig inte marknadsförs som särskilt anpassade för barn, men som på grund av sin utformning eller sitt innehåll och funktion är av det slaget att de typiskt sett kan antas användas av barn, omfattas vid en sådan tolkning av bestämmelsen. Det finns enligt vår mening mycket som talar för denna tolkning. Begreppet är emellertid EU-rättsligt och det är som ytterst kan ge vägledning för tolkningen. Artikel 29-gruppen arbetar med att ta fram ett yttrande om gruppens syn på innebörden av begreppet samtycke. Yttrandet, som planeras vara klart , förväntas innehålla klargörande uttalanden även rörande barns samtycke och de olika rekvisiten i Barns samtycke som rättslig grund Viss vägledning för tolkningen av begreppet bör därför kun- na finnas till hands när förordningen ska börja tillämpas. Det är den som har föräldraansvaret för barnet som enligt artikel 8.1 i dataskyddsförordningen ska samtycka till personuppgiftsbehand- lingen eller godkänna barnets samtycke. Vad som avses med föräldra- ansvar framgår dock inte av förordningen. I artikel 1.2 Haagkonvention15 anges att begreppet föräldraansvar i konventionen omfattar vårdnad eller varje liknande förhållande som avgör föräldrars, förmyndares eller andra rättsliga företrädares rättigheter, befogenheter och ansvar i förhållande till barnets person eller egendom. I artikel 2.7 i II-förordningen16 definieras föräldraansvar som alla rättigheter och skyldigheter som en fysisk eller juridisk person har tillerkänts genom en dom, på grund av lag eller genom en överenskommelse med rättslig verkan, med avse- ende på ett barn eller dess egendom. Föräldraansvar omfattar bland annat vårdnad och umgänge. I regleras föräldraansvaret främst i . Vård- nadshavarna har enligt rätt, och skyldighet, att bestäm- ma i frågor som rör barnets personliga angelägenheter. Vårdnads- havaren ska i takt med barnets stigande ålder och utveckling ta allt större hänsyn till barnets synpunkter och önskemål (6 kap. 11 § för- äldrabalken). Barn står som regel under vårdnad av båda sina föräldrar eller en av dem om inte rätten har anförtrott vårdnaden åt en eller två särskilt förordnade vårdnadshavare. Den som har vårdnaden om ett barn har ett ansvar för barnets personliga förhållanden och ska se till att barnens behov av omvårdnad, trygghet och god fostran blir till- godosedda. Barnets vårdnadshavare svarar även för att barnet får den tillsyn som behövs med hänsyn till dess ålder, utveckling och övriga 15Den i dagtecknade konventionen om behörighet, tillämplig lag, erkännande, verkställighet och samarbete i frågor om föräldraansvar och åtgärder till skydd för barn. Artiklarna 1–53 i konventionen gäller i originaltexternas lydelse som lag här i lan- det, jfr 1 § lagen (2012:318) om 1996 års . 16Rådets förordning (EG) nr 2201/2003 av om domstols behörighet och om erkännande och verkställighet av domar i äktenskapsmål och mål om föräldraansvar samt om upphävande av förordning (EG) nr 1347/2000. Barns samtycke som rättslig grund omständigheter (6 kap. 1 och 2 §§ ). Vårdnaden om ett barn består till dess att barnet fyllt . Artikel 29-gruppen har i ett yttrande påtalat att vårdnadshavarnas ställning inte har någon absolut eller ovillkorlig prioritet över barnets. Principen om att barnets bästa ska komma i främsta rummet kan ibland, enligt artikel 29-gruppen, ge barnet rättigheter som går före vårdnadshavarnas önskemål. Kravet på att barnet ska företrädas av personer som enligt lag har rätt att företräda det påverkar inte det förhållandet att barnet från och med en viss ålder ska ges möjlighet att höras i frågor som berör det.17 Vårdnadshavarna får emellertid inte heller lämna ifrån sig sitt ansvar för barnet genom att låta det själv bestämma i en omfattning som det inte är moget för. Vårdnadshavarna är skyldiga att ingripa om barnet kan komma till skada eller det visar sig inte vara moget för att själv fatta beslut.18 9.4.4Något om olika åldersgränser i svensk lagstiftning En person är omyndig och får som huvudregel inte själv råda över sin egendom eller åta sig förbindelser (9 kap. 1 § föräldra- balken). Detta innebär dock inte att ett avtal som ett barn har ingått per automatik blir ogiltigt. Om ett barn företar en rättshandling som han eller hon inte får företa, är rättshandlingen ogiltig bara om den är ofördelaktig för barnet. Om vårdnadshavare eller förmyndare god- känner avtalet är det ändå giltigt. Godkännandet behöver inte vara uttryckligt, utan kan vara ett så kallat tyst godkännande.19 Det finns dock ett antal undantag från ovan nämnda huvudregel. I vissa sammanhang får barnet självt ingå rättshandlingar och föra sin talan. Dessutom ska ibland barnets samtycke ges avgörande bety- delse. I flera författningar har även föreskrivits att barnets vilja ska tillmätas betydelse med ökad ålder och mognad. Enligt 21 kap. 5 § gäller att i det fall barnet har nått en sådan ålder och mognad att dess vilja bör beaktas, får verkställighet 17Artikel 29-gruppens yttrande 2/2009 om skydd för uppgifter om barn (Allmänna riktlinjer och specialfallet skolor), s. 4 f. 18Jfr och , (, Zeteo), kommentaren till 6 kap. 11 § , och prop. 1981/82:168. 19Jfr och , , (, Zeteo), kommentaren till 9 kap. 1 § . Barns samtycke som rättslig grund av t.ex. en dom om vårdnad inte ske mot barnets vilja, utom då rätten finner det nödvändigt av hänsyn till barnets bästa. Inom den frivilliga hälso- och sjukvården krävs enligt 4 kap. 2 § patientlagen (2014:821) som huvudregel patientens samtycke till vården. Det är vårdgivaren som har att avgöra om ett giltigt samtycke har getts.20 När patienten är ett barn ska barnets inställning till den aktuella vården eller behandlingen så långt som möjligt klarläggas. Barnets inställning ska tillmätas betydelse i förhållande till hans eller hennes ålder och mognad (4 kap. 3 §). Krav på ålder och mognads- grad kan variera beroende på om frågan gäller t.ex. preventiv- medelsrådgivning eller allvarlig sjukdom. Olika mognadsgrad kan krävas för olika former av beslut.21 I har ofta åldersgränsen för barns samtycke och möjlighet att själva agera i rättsliga och andra sammanhang satts vid . När det gäller forskning som avser människor ska forskningspersonen själv informeras om och samtycka till forskningen, om han eller hon har fyllt men inte och inser vad forskningen innebär för hans eller hennes del (18 § lagen om etikprövning av forskning som avser människor). Barn som har fyllt har rätt att själv föra sin talan i mål och ärenden enligt socialtjänstlagen (2001:453), lagen (1990:52) med särskilda bestämmelser om vård av unga och lagen (1991:1128) om psykiatrisk tvångsvård. Enligt sistnämnda lag bör även en patient som är höras, om det kan vara till nytta för utredningen och det kan antas att patienten inte tar skada av att höras. En underårig kan inte dömas till påföljd för brott som han eller hon begått innan det att han eller hon har fyllt (1 kap. 6 § ). Dess- utom är sexuellt umgänge med barn kriminaliserat såvitt gäller barn (6 kap. 4 § ). är alltså en vedertagen åldersgräns som har ansetts vara väl avvägd i många sammanhang.22 När det gäller barnets möjligheter att ingå avtal och andra ange- lägenheter av ekonomisk natur har åldern i svensk rätt ofta satts vid . Barn får således från det att de fyllt själva råda över in- 20Rynning, Samtycke till medicinsk vård och behandling, 1994 s. 286 f. och prop. 21Rynning, Samtycke till medicinsk vård och behandling, 1994 s. 286 f., prop. s.135, och meddelandeblad nr. 7/2010 om barn som söker hälso- och sjukvård. 22Se t.ex. prop. 2002/03:50 s. 136. Barns samtycke som rättslig grund komster de tjänat (9 kap. 3 § ) och driva rörelse om föräldrarna godkänt detta (13 kap. 13 §). Barn får själva ingå avtal om anställning eller annat arbete, men endast om vårdnadshavaren sam- tycker till avtalet. Barnet får självt säga upp avtalet och, om barnet har fyllt , utan nytt samtycke avtala om annat arbete av liknande art (6 kap. 12 §). I svensk lag är det ovanligt att det stipuleras en lägre åldersgräns än , men när det gäller adoption stadgas att den som har fyllt som huvudregel inte får adopteras utan eget samtycke (4 kap. 5 § ). Personuppgifter kan som ovan angetts användas i syfte att rikta direktreklam till användaren när informationssamhällets tjänster utnyttjas. Direktmarknadsföring är ofta ett grundläggande inslag i affärsmodellen för bland annat sociala nätverkstjänster.23 Enligt 5 § marknadsföringslagen (2008:486) ska marknadsföring stämma överens med god marknadsföringssed. Marknadsföring som strider mot god marknadsföringssed är enligt 6 § marknads- föringslagen att anse som otillbörlig om den i märkbar mån påver- kar eller sannolikt påverkar mottagarens förmåga att fatta ett väl- grundat affärsbeslut. Med god marknadsföringssed förstås god affärssed eller andra vedertagna normer som syftar till att skydda konsumenter och näringsidkare vid marknadsföring av produkter (3 §). Hit hör även det normsystem som har utvecklats inom näringslivet, främst Inter- nationella handelskammarens (ICC) grundregler för reklam, men även andra uppförande- och branschkoder. Förutom god affärssed och god yrkessed innefattar begreppet god marknadsföringssed även andra vedertagna normer för marknadsföring. Därmed avses bland annat speciallagstiftning, föreskrifter och allmän- na råd, de normer som har skapat genom sin praxis samt andra internationella vedertagna normer inom ramen för lagens syfte.24 23Jfr artikel 29-gruppens yttrande 5/2009 om sociala nätverk på Internet, s. 10. 2007/08:115 s. 69 f. Barns samtycke som rättslig grund har bedömt att det som huvudregel inte är tillåtet att rikta direktreklam till barn eftersom detta anses strida mot god marknadsföringssed. Undantag kan finnas med hän- syn till omständigheterna i det enskilda fallet, t.ex. när vårdnads- havarens samtycke finns. Domstolen har även bedömt att sådan reklam kan vara otillbörlig enligt 6 § marknadsföringslagen. Inte hel- ler får köpuppmaningar, enligt , riktas direkt till barn, dvs. någon , eftersom detta kan anses utgöra sådan aggressiv marknadsföring som enligt 7 § marknadsföringslagen inte får användas.25 Det finns en svensk branschöverenskommelse om direktmark- nadsföring som har granskats av Datainspektionen.26 I branschöver- enskommelsen anges bland annat att direktmarknadsföring normalt inte får riktas till barn, såvida det inte finns en anknytning mellan den minderårige och marknadsföraren där sådana kontakter kan sägas vara förutsatta av omständigheterna. Sådan anknytning kan vara kund- förhållande, medlemskap eller liknande. 9.4.6Yttranden till utredningen angående åldersgränsen har i ett yttrande till utredningen ansett att åldersgränsen bör vara och uttalat följande. Hänsyn måste tas till såväl barnets rätt till delaktighet och information som till barnets rätt till skydd. hade för barnens rättigheter en diskussion om digitala medier och barns rättigheter. Där fram- hävdes hur digitala medier ger barn stora möjligheter att lära, delta, spela arbeta och umgås, men ställs barn inför nya risker. Därför måste det finnas en balans mellan barnets självbestämmande och skydd av barn online/på nätet. Huvudfokus bör vara förebyg- gande arbete och att stärka barns kunskaper och förmåga. Först då kan barnet delta fullt ut i samhället och göra sin röst hörd på ett säkert sätt online/på nätet. Det är av stor vikt att barnet kan förutse de konsekvenser som en behandling av personuppgifter kan medföra. En 15-årsgräns – som är en vanligt förekommande åldersgräns i 25Se MD 2012:14 och MD 1999:26. 26SWEDMA:s regler för användningen av personuppgifter m.m. vid direktmarknadsföring för försäljnings-, insamlings- medlemsvärvningsändamål och liknande samt Datainspektio- nens yttrande , dnr 1338-99. Barns samtycke som rättslig grund – innebär att barn och unga fortfarande har möjlighet att delta i olika sociala medier med vårdnadshavarens samtycke. Även har lämnat ett yttrande till utredningen. är kritiskt till bestämmelsen i artikel 8.1 i dataskydds- förordningen och anför följande. Det finns inte några funge- rande metoder för säker åldersverifiering. Den som vill kan enkelt kringgå bestämmelsen i artikel 8.1. Förslaget om vårdnadshavares samtycke blir mot denna bakgrund ett slag i luften. Om metoder för åldersverifiering kommer att skapas så kommer det per definition att leda till att tjänsteleverantören inte får tillgång till färre person- uppgifter, utan fler. Föräldrar kommer vidare att tvingas välja mellan att helt neka barnet åtkomst till de digitala tjänsterna eller godkänna ett svårbegripligt avtal som dessutom kan vara skrivet på ett sätt så att det främjar företagets intresse av datainsamling. Mot denna bakgrund bör gränsen för krav på föräldrars samtycke sättas vid en så låg ålder som möjligt, dvs. Utredningens förslag: Barn som har fyllt ska själva kunna samtycka till personuppgiftsbehandling i samband med att infor- mationssamhällets tjänster erbjuds direkt till barn. Det finns inget givet svar på frågan vid vilken ålder ett barn själv bör kunna samtycka till att dess personuppgifter behandlas vid erbjudan- det av informationssamhällets tjänster. Det är dessutom, som framgår av avsnitt 9.4.3, fortfarande oklart vilka situationer som kommer att träffas av bestämmelsen i artikel 8.1. Svårigheterna med att sätta en åldersgräns följer också av det faktum att tjänsternas utformning varierar och ständigt utvecklas, även avseende den behandling av per- sonuppgifter som sker inom ramen för sådana tjänster. Dataskydds- förordningen ger dock inget utrymme för en differentierad ålders- gräns eller en situations- eller individanpassad bedömning. Den fråga som vi har att ta ställning till är om åldersgränsen ska vara eller om den ska vara lägre än så, dock lägst . Barns samtycke som rättslig grund Det finns inte någon lagreglerad åldersgräns inom detta område att jämföra med, vare sig på EU-nivå eller i svensk rätt. Inte heller finns det något närliggande rättsområde som direkt skulle kunna användas som förebild. Det finns däremot andra länder där det har fastställts en åldersgräns för när ett giltigt samtycke till behand- ling av personuppgifter kan ges. Som exempel kan nämnas , där gränsen är 13 år.27 I kommissionens förslag till dataskyddsförordning var åldersgränsen satt till 13 år.28 Även lag- stiftningsresolution utgick från åldersgränsen 13 år.29 Europeiska datatillsynsmannen har också ansett att ålders- gränsen borde vara 13 år.30 I Rådets generella ståndpunkt inför den så kallade trepartsdialogen med parlamentet och kommissionen angavs däremot ingen åldersgräns alls. Rådets ståndpunkt var i stället att det endast skulle vara tillåtet att behandla personuppgifter som rör ett barn om och i den mån sådant samtycke ges eller godkänns av den person som har föräldraansvar över barnet eller ges av barnet självt i situationer där det enligt unionslagstiftningen eller medlemsstaternas lagstiftning behandlas som giltigt.31 Först i ett sent skede av trepartsdialogen kom parterna överens om att höja åldersgränsen i artikel 8.1 till , med en möjlighet för medlemsstaterna att i nationell rätt sänka åldersgränsen till . Såvitt vi har kunna utröna föregicks denna ändring inte av någon egentlig diskussion i breda kretsar. Vi har därmed inte heller kunna finna någon dokumentation rörande vilka motiv som låg bakom höjningen till . 27Jfr Children's Online Privacy Protection Act of 1998, 15 U.S.C. 6501–6505. 28Förslag till och rådets förordning om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (allmän uppgiftsskyddsförordning) (COM[2012] 11 final av ). 29Europaparlamentets lagstiftningsresolution av om kommissionens för- slag enligt föregående fotnot. 30Se bilaga till yttrande 3/2015, stora möjlighet, Europeiska datatillsynsmannens rekom- mendationer om EU:s alternativ för reform av uppgiftsskyddet, s. 13. 31Rådets dokument 9565/15. Barns samtycke som rättslig grund Dataskyddsförordningen syftar till att harmonisera regelverken rörande personuppgiftsbehandling inom EU. Det kan tyckas anmärk- ningsvärt att medlemsstaterna just när det gäller barns samtycke ges frihet att avvika i så stor utsträckning som förordningen öppnar för. Åldersgränsen kan sättas vid 16, 15, 14 eller . Vi är tveksamma till att en stor variation på detta område gynnar skyddet för barnens integritet. Dessutom blir regelverken svårare för tjänstetillhandahål- larna att tillämpa om staternas lagstiftning föreskriver olika ålders- gränser. Det finns emellertid, innan vi lämnar vårt betänkande, ingen möjlighet att förutse hur frekvent det kommer att bli att medlems- staterna väljer att använda det utrymme att sänka åldersgränsen som ges i bestämmelsen i artikel 8.1 i förordningen. Även om vi i skulle välja att behålla den i förordningen satta åldersgränsen, för att så långt som möjligt försöka uppnå en harmonisering, är det alltså långt ifrån säkert att detta skulle bli effekten. Detta är således inte i sig ett tungt vägande skäl för att behålla den i förordningen föreskrivna 16-årsgränsen. har haft i uppdrag att utifrån ett individper- spektiv kartlägga och analysera sådana faktiska och potentiella risker för intrång i den personliga integriteten som kan finnas i samband med användning av informationsteknik (dir. 2014:65). Kommittén bedömde att användningen av vissa sociala medier innebär en allvarlig risk för den personliga integriteten, bland annat eftersom det i prak- tiken är omöjligt för användare att avgöra för vilka ändamål uppgif- terna som samlas in kommer att användas. Kommittén pekade bland annat på riskerna för att uppgifterna sprids vidare till andra företag men också på att omfattande uppgifter om användarna riskerar att komma underrättelsetjänster i tredje länder till del.32 Integritetsriskerna för barn som använder informationssamhällets tjänster är i första hand kopplade till att ett samtycke i de flesta fall innebär att en stor mängd uppgifter om barnet kan lagras och spridas i marknadsföringssyfte. Direktmarknadsföring är ofta ett grundläg- 32 SOU 2016:41 s. 395 f. Barns samtycke som rättslig grund gande inslag i affärsmodellen för sociala nätverkstjänster och andra typer av informationssamhällets tjänster.33 Användarnas personupp- gifter samlas in och sparas, bland annat för att beteendebaserad reklam ska kunna riktas till var och en. Detta kan betraktas som en slags kartläggning av användarnas personliga förhållanden, i den mån de kommer till uttryck i deras aktiviteter online, t.ex. vid användning av en söktjänst eller ett socialt media. En sådan kartläggning kan, sär- skilt om den pågår , i sig medföra stora risker för intrång i den personliga integriteten. Att förstå i vilken utsträckning och för vilket syfte person- uppgifter behandlas i samband med att en tjänst erbjuds och används kräver en hög grad av insikt och mognad. Vilka personuppgifter som behandlas och hur dessa sedermera kommer att användas av tjänste- leverantören och andra parter är svårt för tjänsteleverantören att beskriva på ett enkelt och begripligt sätt. Det är som regel komplex och svår information att ta till sig även för en vuxen.