prop · H503105 · 2018-02-20 00:00:00 — Befogenhet att utöva myndighet i är således alltid fastställd i en författning. Det krävs därför inte någon ny nationell reglering på generell nivå för att sådan behandling av personuppgifter som är nöd- vändig som ett led i den personuppgiftsansvariges myndighetsutövning ska kunna ske med stöd av den rättsliga grunden i artikel 6.1 e i förord- ningen. Det bör noteras att denna rättsliga grund för behandling av personuppgifter kan tillämpas av alla personuppgiftsansvariga som tilldelats myndighetsutövande befogenheter. Regeringen anser dock, i likhet med utredningen, att det finns anled- ning att ta in en bestämmelse i dataskyddslagen som tydliggör att myndighetsutövning utgör en rättslig grund för behandling av person- uppgifter. Detta är enligt skäl 8 till dataskyddsförordningen förenligt med unionsrätten, även om åtgärden kan sägas utgöra ett införlivande av en direkt tillämplig förordningsbestämmelse. Eftersom begreppet myndighetsutövning används i dataskyddsförordningen anser regeringen till skillnad från och att det bör användas även i dataskyddslagen, trots att det inte förekommer i den nya förvaltningslagen och trots att det i princip inryms i begreppet uppgift av allmänt intresse. I lagrådsremissen föreslår regeringen, i likhet med utredningen, att det i dataskyddslagen ska anges att personuppgifter får behandlas med stöd av artikel 6.1 e i dataskyddsförordningen, om behandlingen är nödvändig som ett led i den personuppgiftsansvariges myndighetsutövning enligt lag eller annan författning. Lagrådet anser att kravet på stöd i lag eller annan författning inte bör anges i bestämmelsen. Enligt regeringens mening behövs dock denna upplysning för att tydliggöra att myndighets- utövning är fastställd i dataskyddsförordningens mening, om den sker enligt lag eller annan författning. Som regeringen konstaterar i avsnitt 8.3 finns det inte skäl att som Datainspektionen efterfrågar ange i bestämmelsen att kraven i artikel 6.3 andra stycket i dataskyddsförordningen måste följas. Regeringens bedömning: Det behövs inte någon bestämmelse som upplyser om att EU:s dataskyddsförordning anger att personuppgifter får behandlas endast om minst ett av de villkor som anges i artikel 6.1 i förordningen är uppfyllt. 2017/18:105 Utredningens bedömning överensstämmer inte med regeringens. Utredningen föreslår en upplysningsbestämmelse. Remissinstanserna: Hovrätten för , och ifrågasätter behovet av en upplysningsbestämmelse. anser att det bör införas en motsvarande hänvisning till artikel 5 i dataskyddsförord- ningen. Skälen för regeringens bedömning: Dataskyddsförordningen är direkt tillämplig. I likhet med bl.a. Hovrätten för och anser regeringen att behovet av den upplysningsbestämmelse som utredningen föreslår angående rättslig grund kan ifrågasättas. Dataskyddslagen utgör endast ett komplement till förordningen och kan inte tillämpas självständigt. Som synpunkt indikerar är behovet av en upplysningsbestämmelse i fråga om artikel 6 inte större än det är avseende andra bestämmelser i dataskydds- förordningen, t.ex. artikel 5. Mot denna bakgrund anser regeringen att den upplysningsbestämmelse som utredningen föreslår riskerar att vara förvirrande i stället för vägledande. En sådan bestämmelse bör därför inte införas. Barns samtycke som rättslig grund Regeringens förslag: Vid erbjudande av informationssamhällets tjänster direkt till ett barn som bor i ska behandling av personuppgifter vara tillåten med stöd av barnets samtycke, om barnet Om barnet är , ska sådan behandling vara tillåten endast om samtycke ges eller godkänns av den som har föräldraansvar för barnet. Utredningens förslag överensstämmer med regeringens. Remissinstanserna: Majoriteten av remissinstanserna tillstyrker eller har inga invändningar mot utredningens förslag. som särskilt yttrar sig i denna fråga anser t.ex. , , , Centrala studiestöds- nämnden, Myndigheten för press, radio och TV, , kommun, Barnens Rätt i Samhället, Företagarna, , , , Swedish Direct Marketing Association, Dataspelsbranschen och elevkårer att en 13- årsgräns är att föredra. Flera av dessa remissinstanser, såsom Centrala , Barnens Rätt i Samhället och Surfa Lugnt, fram- håller att övervägande skäl talar för att åldersgränsen ska sättas lågt med hänsyn till det stora genomslag och betydelse som informations- samhällets tjänster har fått i unga personers liv, bl.a. som kommunika- Enligt Barnens Rätt i Samhället har barn som är och yngre insikt och förmåga att kunna fatta beslut med konsekvenser för den betonar att det finns en över- hängande risk att den åldersgräns som införs i praktiken innebär en begränsning i användningen av olika nättjänster för barn och unga. Därutöver anser att det är mest naturligt att utgå från en 13-årsgräns eftersom denna gräns gäller internationellt, t.ex. i . Myndigheten för press, radio och TV pekar på att barns rätt till yttrande- och informationsfrihet bör väga tungt och upplyser om att det i radio- och tv-lagen föreskrivs att reklam i tv-sändningar inte får syfta till att fånga uppmärksamheten hos barn . för hälsa, arbetsliv och välfärd framhåller att förslaget är i linje med syn om att värna barns rättigheter och integritet. elev- kårer tillägger att har en tradition av att skapa låga trösklar för att möjliggöra ungas engagemang och deltagande som samhällsmedborgare och att det därför är viktigt att fortsatt värna det demokratiska värdet av att ge barn och unga rätt till självbestämmande liksom yttrande- och informationsfrihet. Surfa Lugnt ifrågasätter hur en bestämd åldersgräns i praktiken ska kunna följas. , som ifrågasätter om en åldersgräns överhuvudtaget kommer att leda till ett stärkt integritetsskydd, framför att en högre åldersgräns kan anses onödigt betungande för tjänsteleveran- törer ur ett handelsperspektiv. Även Företagarna pekar på stora problem för tillhandahållare men också för användare av tjänsterna som kan komma att blockeras i sin användning av nättjänster med anledning av ålder. kommun lyfter bl.a. fram det förhöjda skydd som data- skyddsförordningen generellt ger vid behandling av barns personupp- gifter. Att goda skyddsmekanismer kan uppnås genom dataskyddsförord- ningen och annan lagstiftning anser även Barnens Rätt i Samhället. Om åldersgränsen bestäms till anser länsstyrelserna i och att regleringen bör följas upp med utbildnings- insatser i hem och skola. Även lyfter fram att information om personuppgiftsbehandling bör ingå som en del i att öka elevers digitala kompetens. elevkårer anser också att informa- tion och dialog om beteenden på internet är bättre än att utestänga barn från sociala nätverksforum. Surfa Lugnt instämmer i att en utökad och förbättrad dialog kring internet mellan barn och vuxna är viktig. Barnens Rätt i Samhället framhåller att det hade varit önskvärt med ett förslag om att Datainspektionen ska kunna ta fram en sammanfattning av lagtexten på lättbegriplig svenska i syfte att spridas som information i skolor för att barn lättare ska tillgodogöra sig innehållet. Några remissinstanser, såsom Kammarrätten i , Barnombuds- mannen, Datainspektionen, kommun, och , anser, bl.a. med utgångspunkt i hur åldersgränsen för barns samtycke och möjlighet att agera i rättsliga och andra sammanhang är satt i , att det finns skäl att överväga en åldersgräns . Datainspektionen betonar att den tillämpade åldersgränsen för när barn normalt ska anses förstå innebörden och konsekvenserna av en viss behandling av personuppgifter och därmed kunna ge sitt samtycke till den är . , och kommun är av samma uppfattning. Skolinspek- tionen hänvisar också till sin granskning som visar att elevers interaktion på internet ofta sker utan insyn av vuxna vilket medför att kränkningar på internet kan vara svåra att upptäcka och utreda. Enligt Skolinspektionen skulle integritetsskyddet för unga öka markant med en åldersgräns . 2017/18:105 Ett antal remissinstanser, såsom ombudsmän, i , , , , länsstyrelserna i , och , Specialpedagogiska skolmyndigheten, , kommun, och , avstyrker eller är tveksamma till utredningens förslag och menar bl.a. att det underlag som utredningen presenterar inte är till- räckligt för att avvika från förordningens 16-årsgräns liksom att är en för lågt satt åldersgräns. understryker att utredningens förslag vilar på ett bristfälligt kunskapsunderlag där resone- manget till stora delar saknar ett barnperspektiv. Förvaltningsrätten i framför att barn utgör en utsatt grupp som måste ha ett särskilt skydd och att ett barn bör ha uppnått en sådan ålder att han eller hon förstår vad samtycket avser och konsekvenserna av det. Enligt för internetinfrastruktur är det inte relevant vilka andra skyddsmeka- nismer som finns för att ”rätta till” det ogiltiga samtycket. Några remissinstanser, t.ex. Förvaltningsrätten i , , , i , Väster- bottens läns landsting och efterfrågar en närmare analys av frågan om åldersgräns. Kammarrätten i , , , , , kommun och Kommuner och Landsting framhåller vikten av en harmonisering av åldersgränsen för barns samtycke till personuppgiftsbehandling. Av det skälet menar flera av dessa remiss- instanser att det är tveksamt att avvika från förordningens 16-årsgräns. Företagarna menar dock att det saknas behov av att anpassa ålders- gränsen efter andra länders val. Kammarrätten i föreslår att uttrycket den person som har föräldraansvar i den föreslagna paragrafen ändras till barnets vårdnads- havare. i betonar att det i förslaget bör förtydligas om ett samtycke krävs från båda vårdnadshavarna vid gemen- sam vårdnad. och anser att begreppet informationssamhällets tjänster behöver utredas vidare. Statis- tiska centralbyrån väcker frågan om även tjänster på distans, som sker elektroniskt via en individuell begäran av en tjänstemottagare, men utan ersättning och som erbjuds av t.ex. en myndighet omfattas av begreppet informationssamhällets tjänster. När det gäller begreppet direkt till barn delar utredningens tolkning att begreppet bör ta sikte på sådana tjänster som kan antas användas av barn. Barnens Rätt i Samhället efterlyser ett förtydligande av formuleringen förebyggande och rådgivande tjänster som erbjuds direkt till barn som föreskrivs i skäl 38 i förordningen och konkreta exempel på hur krav på utformning av information och samtycke ur ett barnperspektiv kan uppfyllas. Surfa Lugnt föreslår att en myndighet eller organisation ska få i uppgift att utvärdera konsekvenserna av ett införande av en åldersgräns. Skälen för regeringens förslag Allmänt om regleringen i dataskyddsförordningen För att en personuppgiftsbehandling ska vara laglig krävs att det finns en rättslig grund för behandlingen enligt artikel 6 i dataskyddsförordningen. Samtycke från den registrerade utgör enligt artikel 6.1 a en sådan rättslig grund. I artikel 8.1 i dataskyddsförordningen anges att vid erbjudande av informationssamhällets tjänster direkt till ett barn, ska behandling av personuppgifter få ske med stöd av den registrerades samtycke om barnet är . Om barnet är ska sådan behandling vara tillåten endast om och i den mån samtycket ges eller godkänns av den person som har föräldraansvar för barnet. Medlemsstaterna får föreskriva en lägre ålder i sin nationella rätt, under förutsättning att denna ålder inte är lägre än . I skäl 38 uttalas att barns personuppgifter förtjänar ett särskilt skydd, eftersom barn kan vara mindre medvetna om risker, skyddsåtgärder och rättigheter. Det särskilda skyddet bör i synnerhet gälla användningen av barns personuppgifter i marknadsföringssyfte, för att skapa personlighets- eller användarprofiler samt för insamling av uppgifter när tjänster som erbjuds direkt till barn utnyttjas. Samtycke från den person som har föräldraansvar över ett barn bör enligt skältexten inte krävas för förebyggande eller rådgivande tjänster som erbjuds direkt till barn. I likhet med Barnens Rätt i Samhället anser regeringen att det ligger närmast till hands att tolka förebyggande eller rådgivande tjänster som erbjuds direkt till barn som tjänster som enbart innefattar insatser direkt riktade mot utsatta barn och att det är önskvärt att uttrycket inte får en alltför bred tolkning. Det kan dock konstateras att den aktuella begränsningen av kravet på samtycke från den person som har föräldra- ansvaret inte återfinns i artikeltexten och att den närmare innebörden är oklar. Det är enligt dataskyddsförordningen endast vid erbjudande av infor- mationssamhällets tjänster till någon som är som samtycket till behandlingen av personuppgifter behöver ges eller godkännas av den som har föräldraansvaret för barnet. När det gäller personuppgifts- behandling som sker i andra sammanhang får en bedömning, liksom tidigare, göras i varje enskilt fall av den registrerades förmåga att förstå innebörden av ett lämnat samtycke. Informationssamhällets tjänster är ett EU-rättsligt begrepp och definieras i artikel 4.25 i dataskyddsförordningen som alla tjänster enligt defini- tionen i artikel 1.1 b i och rådets direktiv (EU) 2015/1535 av om ett informationsförfarande beträffande tekniska föreskrifter och beträffande föreskrifter för informa- tionssamhällets tjänster (direktiv /1535). I sistnämnda artikel anges att informationssamhällets tjänster är tjänster som vanligtvis utförs mot ersättning, på distans, på elektronisk väg och på individuell begäran av en tjänstemottagare. I denna artikel anges vidare att med på distans avses att tjänsten tillhandahålls utan att parterna är närvarande . Med på elektronisk väg avses att tjänsten sänds vid utgångspunkten och tas emot vid slutpunkten med hjälp av utrustning för elektronisk behandling och lagring av uppgifter och i sin helhet sänds, befordras och tas emot genom tråd, radio, optiska medel eller andra elektromagnetiska medel. Med på individuell begäran av en tjänstemottagare avses att tjänsten tillhandahålls genom överföring av uppgifter på individuell begäran. Begreppet används även i bl.a. och rådets direktiv /31/EG av om vissa rättsliga aspekter på informa- tionssamhällets tjänster, särskilt elektronisk handel, på den inre marknaden (e-handelsdirektivet). Vid tolkningen av begreppet har EU- domstolen konstaterat att det inte krävs att tjänsten betalas av den som åtnjuter tjänsten för att den ska omfattas av definitionen. Tjänsten kan t.ex. finansieras genom‑ inkomster via reklam som visas på en webbplats (dom Papasavvas, C 291/13, EU:C:2014:2209, punkterna 28–30). definitionen av begreppet i direktiv /1535 indikerar att ersättning inte nödvändigtvis måste utgå vid utförandet av tjänsten och att det, som lyfter fram, inte finns något direkt hinder mot att en sådan tjänst erbjuds av t.ex. en myndighet. När e-handelsdirektivet genomfördes i svensk rätt uttalade dock regeringen att med informations- samhällets tjänster avses – förenklat uttryckt – varje aktivitet som sker online, med någon ekonomisk innebörd. Regeringen menade att begreppet omfattar en mängd olika tjänster, däribland informations- tjänster och söktjänster (prop. 2001/02:150 s. 1 och 19). Begreppet infor- mationssamhällets tjänster kan enligt sin definition också innefatta bl.a. olika sociala medier, t.ex. bloggar, internetforum, webbplatser för video- klipp, chattprogram och sociala nätverk. Även onlinespel och olika appli- kationer (appar) för smarta enheter kan omfattas av definitionen. Efter- som det är fråga om ett EU-rättsligt begrepp är det vanskligt att, som och efterlyser, ge ytterligare vägledning om begreppets innebörd. Vissa av informationssamhällets tjänster kan tillhandahållas och användas utan att någon behandling av personuppgifter sker. I praktiken är det emellertid mycket vanligt att användaren måste dela med sig av vissa personuppgifter för att kunna utnyttja tjänsten. Vilka person- uppgifter som samlas in, hur de används av tjänstetillhandahållaren själv och hur dessa uppgifter delas med andra varierar från tjänst till tjänst. De uppgifter som samlas in kan vara uppgifter som den enskilde måste uppge för att få använda en tjänst, såsom ett namn, användarnamn, födelsedatum, kön, adress, e-postadress och mobiltelefonnummer. Det kan även vara uppgifter om kreditkorts- och betalningsinformation. Ofta behandlas också personuppgifter vid användningen av en tjänst. Det kan röra sig om bl.a. geografiska lokaliseringsuppgifter eller uppgifter om vem användaren interagerar med. Även webbläsarhistorik kan skapas och bli föremål för senare behandling. Uppgifter kan också synkroniseras med andra användares uppgifter, exempelvis uppgifter från adressboken på en telefon. Uppgifterna kan användas i olika syften, t.ex. för direkt- marknadsföring. Uttrycket direkt till barn Det framgår inte av dataskyddsförordningen vad som avses med uttrycket att en tjänst ska erbjudas direkt till barn. Det skulle kunna tolkas på flera olika sätt. En möjlig tolkning är att det endast omfattar tjänster som uttryckligen riktar sig till barn. Det skulle också kunna vara användarens faktiska ålder som avgör om tjänsten omfattas av uttrycket. Regeringen anser, i likhet med utredningen, att mycket talar för att det avgörande bör vara om tjänsten kan antas användas av barn. Bedömningen blir då inte beroende av hur tjänsteleverantören presenterar sin tjänst utåt. Både tjänster som direkt marknadsförs mot barn och tjänster som i och för sig inte marknadsförs som särskilt anpassade för barn, men som på grund av sin utformning eller sitt innehåll och funktion är av det slaget att de typiskt sett kan antas användas av barn, omfattas vid en sådan tolkning av bestämmelsen. Uttrycket direkt till barn är emellertid EU-rättsligt och det är som ytterst kan ge vägledning för tolkningen. Uttrycket den person som har föräldraansvar för barnet Som framgår ovan förekommer uttrycket den person som har föräldra- ansvar i artikel 8.1 i dataskyddsförordningen. Vad som avses med uttrycket framgår dock inte av förordningen och i efterlyser därför närmare vägledning om hur det bör tolkas. Begreppet föräldraansvar förekommer också i artikel 2.7 i förordningen (EG) nr 2201/2003 om domstols behörighet och om erkännande och verkställighet av domar i äktenskapsmål och mål om föräldraansvar samt om upphävande av förordning (EG) nr 1347/2000 (II-förordningen). I den förordningen definieras föräldraansvar som alla rättigheter och skyldigheter som en fysisk eller juridisk person har tillerkänts genom en dom, på grund av lag eller genom en överens- kommelse med rättslig verkan, med avseende på ett barn eller dess egendom. Det anges vidare att föräldraansvar omfattar bl.a. vårdnad och umgänge. På motsvarande sätt definieras föräldraansvar i artikel 1.2 i den i dagtecknade konventionen om behörighet, tillämplig lag, erkännande, verkställighet och samarbete i frågor om föräldraansvar och åtgärder till skydd för barn (Haagkon- vention). I finns regler om barn och deras ställföreträdare i . Den som har vårdnaden om ett barn har ansvar för barnets personliga förhållanden. Därmed har vårdnadshavaren rätt och skyldighet att bestämma i olika frågor som rör barnet. Enligt regeringens bedömning bör med uttrycket den person som har föräldraansvar för barnet i dataskyddsförordningen i första hand avses ett barns vårdnadshavare eller någon annan med uppdrag att vara i vårdnadshavarens ställe, t.ex. god man för ensamkommande barn. Om uttrycket skulle ges motsvarande innebörd som i II-förordningen kan dock även andra omfattas, exempelvis föräldrar med umgängesrätt. Eftersom uttrycket är EU-rättsligt är det ytterst som avgör dess innebörd. Det är mot denna bakgrund inte möjligt att, som Kammarrätten i föreslår, ersätta uttrycket med vårdnadshavare. Det finns ingen reglerad åldersgräns Det finns ingen uttrycklig reglering vare sig i dataskyddsdirektivet eller i personuppgiftslagen om barns samtycke till personuppgifts- behandling. En bedömning av om den underåriges samtycke ska anses 2017/18:105 utgöra rättslig grund för personuppgiftsbehandling har därför fått göras från fall till fall. Datainspektionen har uttalat att det krävs att den som ger samtycket kan förstå innebörden av det. En person som inte själv kan tillgodogöra sig informationen om vad ett samtycke till personuppgiftsbehandling innebär kan inte ge ett rättsligt bindande samtycke. Datainspektionen har vidare ansett att barn i allmänhet inte kan anses ha nått en sådan mognad att de kan förstå innebörden av att samtycka till person- uppgiftsbehandling. har Datainspektionen i ett samrådsyttrande som rörde användande av personnummer som spärr för deltagande på en chattsajt framhållit att föräldrarnas samtycke till barns registrering av sina personuppgifter måste inhämtas i vart fall när det gäller barn som inte har fyllt (SOU 2017:39 s. 137 och 138). Detta visar att det inte är helt tydligt vad som gäller i frågan om åldersgräns för barns samtycke till personuppgiftsbehandling. I får en omyndig person, dvs. en person som är , som huvudregel inte själv råda över sin egendom eller åta sig förbin- delser. Det finns dock ett antal undantag från denna huvudregel. I vissa sammanhang får barnet självt ingå rättshandlingar och föra sin talan. Dessutom ska ibland barnets samtycke ges avgörande betydelse. I flera författningar, t.ex. 21 kap. 5 § och 4 kap. 3 § patientlagen (2014:821), föreskrivs även att barnets vilja ska tillmätas betydelse med ökad ålder och mognad. När det gäller barnets möjligheter att ingå avtal och sköta andra angelägenheter av ekonomisk natur gäller i vissa fall en åldersgräns . I några enstaka fall har åldersgränsen bestämts till . Denna åldersgräns gäller t.ex. vid samtycke till adoption och när reklam i tv-sändningar får syfta till att fånga uppmärksamheten hos barn. I andra sammanhang har åldersgränsen för barns samtycke och möjlighet att själva agera ofta satts vid . Barn som har fyllt har t.ex. rätt att själva föra sin talan i mål och ärenden enligt lagen (1990:52) med särskilda bestämmelser om vård av unga. Vidare kan en person som har fyllt dömas till påföljd för brott som han eller hon begått. Dessutom är sexuellt umgänge med barn kriminaliserat endast såvitt gäller barn . I svensk lag är det således ovanligt att det stipuleras en lägre åldersgräns än . Detta talar enligt regeringens mening för att åldersgränsen i för att kunna lämna ett giltigt samtycke inte bör sättas lägre än . talar bl.a. avsaknaden av en lagstadgad åldersgräns – och det förhållandet, som framhåller, att de flesta bolag som riktar sig till unga med digitala varor och tjänster utgår från den 13-årsgräns som föreskrivs i amerikansk rätt – för att åldersgränsen bör vara så låg som förordningen medger. Även barns yttrande- och informationsfrihet samt självbestämmelserätt talar för det. Se vidare nedan. Olika åldersgränser gäller i olika länder Ett antal remissinstanser, t.ex. Datainspektionen, pekar på den harmoni- seringstanke som genomsyrar dataskyddsreformen och framhåller vikten av en harmonisering av åldersgränsen. I pågående lagstiftningsarbeten i andra länder behandlas bl.a. frågan om en åldersgräns för barns samtycke Det faktum att den aktuella regleringen i Prop. 2017/18:105 dataskyddsförordningen ger nationell flexibilitet visar dock att harmoni- sering inte har ansetts avgörande i denna fråga. Till bilden hör också, som exempelvis poängterar, att en 13-årsgräns gäller i några andra länder, t.ex. i . Detta talar för att bör välja en åldersgräns . Barn har yttrande- och informationsfrihet samt självbestämmanderätt Som flera remissinstanser, t.ex. Myndigheten för press, radio och TV och elevkårer, framhåller måste stor vikt fästas vid de fri- och rättigheter som barn åtnjuter. I FN:s konvention om barnets rättigheter, den s.k. , anges bl.a. att konventionsstaterna ska till- försäkra det barn som är i stånd att bilda egna åsikter rätten att fritt uttrycka dessa i alla frågor som rör barnet, varvid barnets åsikter ska tillmätas betydelse i förhållande till barnets ålder och mognad. Barn- konventionen slår också fast att barnet har rätt till yttrandefrihet.