Vad gäller för personuppgifter om barn?

Personuppgifter om barn anses särskilt skyddsvärda i dataskyddsförordningen eftersom barn kan ha svårare att förutse riskerna med att lämna ifrån sig uppgifter. Precis som när det gäller vuxna måste man ha en rättslig grund, det vill säga stöd i lagen, för att kunna behandla personuppgifter om barn. Här beskriver vi vilka rättsliga grunder som kan vara aktuella och vilka rättigheter som man särskilt bör uppmärksamma.

Samtycke

Personuppgifter får behandlas om personen ifråga har samtyckt till det. Samtycket måste vara frivilligt, avse just det särskilda syfte som uppgifterna samlas in för och det får inte råda någon tvekan om att personen samtycker till att uppgifterna behandlas. När det gäller barn måste man vara extra vaksam på att barnet har förmåga att förstå och samtycka till behandlingen.

Om man erbjuder onlinetjänster till barn och då hämtar in personuppgifter med stöd av samtycke, krävs det att samtycket hämtas in från barnets vårdnadshavare om barnet är under 13 år. Detta gäller insamling av uppgifter om barn som bor i Sverige. I andra EU-länder kan vårdnadshavarens samtycke krävas ända upp tills barnet är 16 år. Vårdnadshavares samtycke krävs dock inte för sådana onlinetjänster som erbjuder hjälp och stöd direkt riktat till barn och ungdomar.

Åldersgränsen gäller uttryckligen för onlinetjänster enligt dataskyddsförordningen och kompletterande svenska regler. I andra situationer finns det ingen särskilt angiven åldersgräns men det krävs förstås alltid att barnet har förmåga att förstå vad det samtycker till för att samtycket ska vara giltigt. När det gäller barn under 13 år bör alltid vårdnadshavarens samtycke inhämtas. Barn över 16 år har en viss rättshandlingsförmåga och kan till exempel disponera sin egen arbetsinkomst. De bör som regel också själva kunna ge ett giltigt samtycke till behandling av personuppgifter. För barn mellan 13 och 16 år får det bedömas i varje enskilt fall om barnet kan anses ha förmåga att själv förstå konsekvenserna av ett samtycke. Faktorer som kan ligga till grund för bedömningen är till exempel hur pass känsliga uppgifterna är, vilka syften uppgifterna ska användas för, hur länge de ska sparas och barnets ålder. Hur den information ser ut som lämnas om personuppgiftsbehandlingen är också av betydelse. Informationen måste vara klar och tydlig, begriplig och lättillgänglig. Den som samlar in och behandlar personuppgifter med stöd av samtycke har alltid en skyldighet att kunna visa att man har ett giltigt samtycke från den som uppgifterna avser.

Fullgörande av avtal

Personuppgifter får behandlas om det är nödvändigt för att fullgöra ett avtal med den som uppgifterna avser. Barn under 18 år har endast en begränsad rättshandlingsförmåga och kan inte ingå vilka avtal som helst. Barn över 16 år får ingå avtal i den mån de använder sin egen arbetsinkomst eller i den mån det behövs för den dagliga hushållningen om de har eget hushåll. I andra fall krävs vårdnadshavares samtycke för att ett avtal ska vara giltigt. Om avtalet inte är giltigt kan avtalsförhållandet inte heller läggas till grund för behandling av personuppgifter.

Intresseavvägning

Personuppgifter kan få behandlas efter en intresseavvägning där den registrerades intressen och grundläggande rättigheter vägs mot företagets intresse av att behandla uppgifterna. Om den registrerades intresse väger tyngre får uppgifterna inte behandlas. Extra försiktighet ska iakttas vid en intresseavvägning när det handlar om personuppgifter som rör barn. Man måste ta hänsyn till att barns personuppgifter kräver särskilt skydd och se till att barnets rättigheter är väl skyddade. Tänk också på att informationen till barnet ska vara tydlig och lämplig i förhållande till barnets ålder. I vissa fall kan en konsekvensbedömning vara nödvändig för att försäkra sig om att barnets rättigheter och friheter är tillräckligt väl skyddade.

Behandling av personuppgifter för marknadsföring grundar sig ofta på en intresseavvägning. Eftersom barn inte alltid kan förutse fullt ut vad detta innebär och kan vara mer utsatta för påverkan bör man vara särskilt försiktig med att behandla uppgifter om barn för marknadsföringsändamål. I en intresseavvägning som gäller uppgifter om barn för sådana ändamål måste man därför lägga extra tyngd vid barnets rättigheter och intresse av skydd för sina personuppgifter.

Känsliga personuppgifter

Vissa slags personuppgifter anses särskilt känsliga, det gäller till exempel uppgifter om politiska åsikter, religiös eller filosofisk övertygelse, etniskt ursprung, hälsa eller sexuell läggning. För behandling av sådana personuppgifter ställs särskilda krav i dataskyddsförordningen. Även här gäller förstås att man måste ta hänsyn till att personuppgifter om barn är särskilt skyddsvärda.

Registrerades rättigheter

Barn har samma rättigheter till skydd för sina personuppgifter som vuxna. Det innebär att även barn har rätt att till exempel få information om personuppgiftsbehandlingen, att få tillgång till sina uppgifter, att få uppgifter rättade eller borttagna och att få skadestånd vid felaktig behandling. Dessa rättigheter kan göras gällande av barnet självt eller av en vårdnadshavare beroende på barnets ålder. Om det är vårdnadshavaren som gör rättigheterna gällande måste man ändå alltid komma ihåg att de gör det å barnets vägnar och att det är barnets rättigheter som ska skyddas.

Rätten till information

Dataskyddsförordningen kräver att den information som ges om personuppgiftsbehandling ska vara lättbegriplig och tydlig för mottagaren. Informationen måste därför anpassas till den målgrupp som den riktar sig till. Det gäller förstås också i förhållande till barn och nivån på språket i informationen kan därför behöva varieras beroende på vilken ålder barnet som ska ta emot informationen har. Även om det är vårdnadshavaren som begär att få information för barnets räkning kan det vara bra att också ta fram mer lättbegriplig och barnvänlig information så att barnet självt kan tillgodogöra sig informationen.

Rätt till radering

Den registrerade har enligt dataskyddsförordningen rätt att få personuppgifter raderade under vissa förutsättningar. Detta gäller särskilt om uppgifterna behandlas med stöd av samtycke från någon som var under 18 år när uppgifterna samlades in. Rätten att få uppgifterna raderade gäller även efter att den registrerade uppnått vuxen ålder.

Läs mer på Datainspektionens webbplats