7 Barnesakkyndig kommisjons behandling av personopplysninger
7.1 Innledning
Departementet foreslår en egen bestemmelse om at Barnesakkyndig kommisjon (BSK) gis adgang til å behandle personopplysninger i foreldretvistsaker i barneloven. Denne tas inn som ny § 61 d. Videre foreslår departementet en hjemmel til å fastsette forskrift med utfyllende bestemmelser om kommisjonens behandling av personopplysninger.
7.2 Gjeldende rett
BSK er i dag hjemlet i barnevernloven med forskrift. Barnevernloven inneholder ikke en egen bestemmelse om behandling av personopplysninger. Dette innebærer at det rettslige grunnlaget for behandling av personopplysninger følger forutsetningsvis av loven. I forslag til ny barnevernslov som ble sendt på høring 4. april 2019 ble det foreslått en ny bestemmelse om behandling av personopplysninger, jf. utkast til ny § 13-6. Forslaget til ny bestemmelse om behandling av personopplysninger er utformet slik at den også vil omfatte BSKs behandling av personopplysninger i forbindelse med barnevernssaker. Regjeringen planlegger å legge frem forslag til ny barnevernslov våren 2021.
Barneloven inneholder ikke en egen bestemmelse om behandling av personopplysninger.
Krav om en slik bestemmelse kan følge av Grunnloven § 102, EMK artikkel 8 eller lov 15. juni 2018 nr. 38 om behandling av personopplysninger (personopplysningsloven). Grunnloven § 102 og EMK artikkel 8 gir enhver rett til respekt for sitt privatliv.
Stortinget har gitt uttrykk for at Grunnloven § 102 skal «leses som at systematisk innhenting, oppbevaring og bruk av opplysninger om andres personlige forhold bare kan finne sted i henhold til lov, benyttes i henhold til lov eller informert samtykke og slettes når formålet ikke lenger er til stede». Se Innst. 186 S (2013–2014) side 27. Høyesterett har lagt til grunn at det kan gjøres inngrep dersom tiltaket har en tilstrekkelig hjemmel, forfølger et legitimt formål og er forholdsmessig, se Rt.2014 side 1105 avsnitt 28 og Rt.2015 side 93 avsnitt 60.
Grunnloven § 102 skal tolkes i lys av EMK artikkel 8, jf. Rt. 2015 side 93 avsnitt 57. EMD har lagt til grunn at offentlige myndigheters lagring av personopplysninger som knytter seg til privatlivet, utgjør et inngrep i retten til privatliv. Behandling av personopplysninger må følgelig være hjemlet i en tilstrekkelig klar lov og være proporsjonalt i forhold til det formålet behandlingen skal ivareta. Det følger av EMDs praksis at bestemmelsen ikke oppstiller formelle krav til rettsgrunnlaget, noe som innebærer at både lov, forskrift og uskreven rett mv. kan oppfylle kravet. Det stilles imidlertid krav om at rettsgrunnlaget skal være tilgjengelig og forutberegnelig. Det er kravet om forutberegnelighet som er relevant i denne sammenhengen. I L.H.mot Latvia avsnitt 47 er kravet formulert slik:
«Of particular relevance in the present case is the requirement for the impugned measure to have some basis in domestic law, which should be compatible with the rule of law, which, in turn, means that the domestic law must be formulated with sufficient precision and must afford adequate legal protection against arbitrariness. Accordingly the domestic law must indicate with sufficient clarity the scope of discretion conferred on the competent authorities and the manner of its exercise.»
Kravet om tilstrekkelig presisjon og vern mot vilkårlighet kan også innebære et krav om garantier («safeguards»), jf. S. og Marpermot Storbritannia. Saken gjaldt lagring av fingeravtrykk, celleprøver og DNA-profiler, og domstolen uttalte i avsnitt 99:
«The Court agrees with the applicants that at least the first of these purposes is worded in rather general terms and may give rise to extensive interpretation. It reiterates that it is as essential, in this context, as in telephone tapping, secret surveillance and covert intelligence-gathering, to have clear, detailed rules governing the scope and application of measures, as well as minimum safeguards concerning, inter alia, duration, storage, usage, access of third parties, procedures for preserving the integrity and confidentiality of data and procedures for its destruction, thus providing sufficient guarantees against the risk of abuse and arbitrariness.»
Justis- og beredskapsdepartementet har lagt til grunn at det ikke er holdepunkter i EMDs praksis for at det gjelder et unntaksfritt krav om uttrykkelig hjemmel i særlovgivning for behandling av personopplysninger, jf. Prop. 56 LS (2017–2018) side 35. Hvilke garantier som er nødvendig, må vurderes i lys av inngrepets art og omfang, se P.G. og J.H. mot Storbritannia avsnitt 46.
Lov 15. juni 2018 nr. 38 om behandling av personopplysninger (personopplysningsloven) stiller krav til behandling av personopplysninger. Loven trådte i kraft 20. juli 2018 samtidig som EUs personvernforordning (GDPR) ble gjort til norsk rett, jf. lovens § 1. Forordningen er omfattende og inneholder blant annet grunnleggende prinsipper og vilkår for å behandle personopplysninger, rettigheter for enkeltpersoner og plikter for behandlingsansvarlige og databehandlere. Loven gjelder som hovedregel all helt eller delvis automatisert behandling av personopplysninger, og ved ikke-automatisert behandling av personopplysninger som inngår i eller skal inngå i et register, jf. § 2 første ledd.
Personvernforordningen krever et behandlingsgrunnlag for at personopplysninger kan behandles lovlig, jf. artikkel 6. Det vil si et rettslig grunnlag til å gjøre noe med opplysningene. Behandling av personopplysninger er bare lovlig dersom ett av vilkårene i nr. 1 bokstav a til f er oppfylt.
Det følger av bokstav c at behandling av personopplysninger er lovlig dersom det er nødvendig for å «oppfylle en rettslig forpliktelse» som påhviler den behandlingsansvarlige. Behandling er også lovlig dersom det er nødvendig for å utføre en oppgave i «allmennhetens interesse», jf. bokstav e.
Hvis behandlingsgrunnlaget er bokstav c og e, skal grunnlaget for behandlingen «fastsettes» i EØS-retten eller i medlemsstatenes nasjonale rett, jf. forordningen artikkel 6 nr. 3. Dette innebærer at artikkel 6 nr. 1 bokstav c og e ikke alene kan utgjøre behandlingsgrunnlaget, men at den behandlingsansvarlige i tillegg må kunne vise til et supplerende rettsgrunnlag for behandlingen. Det er lagt til grunn i forarbeidene at i alle fall lov- eller forskriftsbestemmelser kan utgjøre et supplerende rettsgrunnlag, se Prop. 56 LS (2017–2018) side 33.
Når det gjelder bokstav c må formålet med behandlingen videre være fastsatt i det supplerende rettslige grunnlaget, mens når det gjelder bokstav e må formålet med behandlingen være nødvendig for å utføre en oppgave i allmennhetens interesse, jf. artikkel 6 nr. 3.
Det fremgår også av forordningens fortalepunkt 41 at det rettslige grunnlaget bør være tydelig og presist, og at anvendelsen bør være forutsigbar for personer som omfattes av det.
Behandling av særlige kategorier av personopplysninger er i utgangspunktet forbudt, jf. forordningen artikkel 9 nr. 1. Dette omfatter opplysninger om rasemessig eller etnisk opprinnelse, politisk oppfatning, religion, filosofisk overbevisning eller fagforeningsmedlemskap, samt genetiske opplysninger, biometriske opplysninger som behandles med det formål å entydig identifisere en fysisk person, helseopplysninger eller opplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering. Slike opplysninger kan kun behandles dersom man i tillegg til et behandlingsgrunnlag (og eventuelt et supplerende rettsgrunnlag) etter artikkel 6, kan vise til et av unntakene i artikkel 9 nr. 2.
Artikkel 9 nr. 2 bokstav g åpner for behandling av særlige kategorier av opplysninger når dette er nødvendig av hensyn til «viktige allmenne interesser». Ordlyden tilsier at det må være et klart samfunnsmessig behov for behandlingen. Det er flere forutsetninger som må være oppfylt for at bokstav g skal komme til anvendelse. Det følger av ordlyden i artikkelen at behandlingen må ha grunnlag i EØS-retten eller nasjonal rett. Det er antatt i forarbeidene at det som utgangspunkt må foreligge en lov eller forskrift som åpner for behandling av særlige kategorier av personopplysninger. Se Prop. 56 LS (2017–2018) side 40. Artikkelen angir videre at behandlingen må stå i et rimelig forhold til det mål som søkes oppnådd og at det sikres egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser. Det er lagt til grunn i forarbeidene at tiltakene eller garantiene skal ha som sitt primære formål å sørge for at behandlingen skjer i tråd med de grunnleggende prinsippene for behandling av personopplysninger, tatt i betraktning opplysningenes sensitivitet, behandlingens formål, risikoen ved behandlingen mv. Se Prop. 56 LS (2017–2018) side 41.
Behandling av opplysninger om straffedommer og overtredelser må ha et behandlingsgrunnlag etter forordningen artikkel 6 nr. 1, og er i utgangspunktet kun tillatt når det skjer under kontroll av offentlig myndighet, jf. artikkel 10. Behandling utenfor en offentlig myndighets kontroll kan imidlertid skje dersom det er tillatt i nasjonal rett. I forarbeidene er det antatt at behandlingen utføres «under en offentlig myndighets kontroll» dersom det er en offentlig myndighet som er behandlingsansvarlig. Se Prop. 56 LS (2017–2018) side 49.
7.3 Forslagene i høringsnotatet 4. mai 2020
Departementet foreslo i høringsnotatet 4. mai et eget rettsgrunnlag i barneloven som gir BSK adgang til å behandle personopplysninger i foreldretvistsaker. Videre foreslo departementet en hjemmel til å fastsette forskrift med utfyllende bestemmelser om kommisjonens behandling av personopplysninger. Departementet la vekt på at en egen bestemmelse i barneloven vil sikre at rettsgrunnlaget for BSKs behandling av personopplysninger er tilgjengelig og forutsigbart, noe som vil være en garanti for at behandlingen på best mulige måte ivaretar personvernhensyn.
7.4 Høringsinstansenes syn
Barneombudet og Datatilsynet støtter forslaget om at barneloven bør inneholde et eget rettsgrunnlag som gir BSK adgang til å behandle personopplysninger i foreldretvistsaker. Barneombudet viser til at et slikt rettsgrunnlag vil være viktig for å ivareta personvernet til barna og deres familier i disse sakene, ettersom sakene inneholder mange personopplysninger av sensitiv karakter. Når det gjelder forslaget til lovbestemmelse om behandlingsgrunnlag skriver Datatilsynet:
«Datatilsynet støtter forslaget om å etablere et supplerende behandlingsgrunnlag. Slik bestemmelsen er utformet nå så er det vanskelig å vurdere hva formålet med behandlingen er og hva slags opplysninger som kan samles inn. Derfor vil det være viktig at departementet følger opp den generelle bestemmelsen som er ment å gi det supplerende behandlingsgrunnlaget en forskrift som konkretiserer disse forholdene nærmere.»
Datatilsynet har også merknader om hvem som vil være behandlingsansvarlige i disse sakene og anbefaler departementet å ta stilling til dette spørsmålet.
7.5 Departementets vurderinger og forslag
Departementet opprettholder forslaget som ble hørt om å fastsette en uttrykkelig bestemmelse i barneloven om kommisjonens behandling av personopplysninger i foreldretvistsaker. En egen bestemmelse i barneloven vil sikre at rettsgrunnlaget for BSKs behandling av personopplysninger er tilgjengelig og forutsigbart, og vil på den måten være en garanti for at behandlingen på best mulige måte ivaretar personvernhensyn.
Departement opprettholder også forslaget om at det i tillegg gis en hjemmel til å fastsette at det i forskrift kan gis utfyllende bestemmelser om BSKs behandling av personopplysninger. Det er ikke mange høringsinstanser som har uttalt seg om dette, men departementet legger vekt på at Barneombudet og Datatilsynet er positive.
Når BSK skal vurdere kvaliteten på sakkyndigrapporter bestilt av retten og private parter i foreldretvistsaker, forutsetter dette behandling av personopplysninger om et stort antall personer. Helt fra rapporten kommer inn til sekretariatet frem til og med arkivering og rapportering, vil det være behov for å gjøre oppgaver som kan innebære å behandle personopplysninger. Sakkyndigrapportene som BSK skal behandle vil inneholde personopplysninger om en rekke ulike personer. Dette kan eksempelvis gjelde barn, foreldre, andre personer i familien, personer i skole og barnehage og barnets nære familie eller nettverk. Departementet viser til at BSK ved vurderingen av hver sakkyndigrapport vil behandle svært personlige opplysninger om både barn og foreldre. Behandlingen kan også omfatte opplysninger om helseforhold og om straffbare forhold, herunder om det er mistanke om vold eller overgrep. Personene opplysningene gjelder, vil ofte være i en sårbar og utsatt livssituasjon mens saken pågår. Opplysningene vil også bli brukt som bevis i en foreldretvistsak hvor rettens avgjørelse kan være svært inngripende overfor partene det gjelder.
BSKs kontroll har som formål å bedre den etterfølgende kontrollen med og kvalitetssikringen av rapportene i enkeltsaker, og gjøre retten i stand til å luke ut rapporter med lav kvalitet. Dette får stor betydning for barn og foreldres rettssikkerhet i foreldretvistsaker, og er et viktig virkemiddel for å sikre barn gode oppvekstsvilkår. Behandling av personopplysninger er etter departementets vurdering «nødvendig for å utføre en oppgave i allmennhetens interesse». Dette behandlingsgrunnlaget omfattes av personvernforordningen artikkel 6 nr. 1 bokstav e. Den foreslåtte bestemmelsen åpner også opp for behandling etter artikkel 9 nr. 2 bokstav g. God nok rettssikkerhet, saksbehandling og kontradiksjon er viktig i disse sakene for å sikre barn og foreldres rett til familieliv og gode oppvekstsvilkår for barn. Departementet mener dette gjør at behandlingen er «nødvendig av hensyn til viktige allmenne interesser.»
Det foreslåtte supplerende rettsgrunnlaget vil etter departementets syn være godt egnet til å ivareta personvernforordningens grunnleggende prinsipper for behandling av personopplysninger, som for eksempel lovlighets- og rettferdighetsprinsippet og prinsippet om formålsbegrensning. Se artikkel 5. nr. 1 bokstav a og b.
Når det gjelder den nærmere utformingen av bestemmelsen som gir behandlingsgrunnlag, setter personvernforordningen særlige krav til formålsangivelse i forordningen artikkel 6 nr. 3. Det følger av bestemmelsen at formålet med behandlingen skal være fastsatt i et rettslig grunnlag eller, når det gjelder behandlingen nevnt i nr. 1 bokstav e, være nødvendig for å utføre en oppgave i allmennhetens interesse eller utøve offentlig myndighet som den behandlingsansvarlige er pålagt. Formålet med BSKs behandling av opplysninger er å utføre oppgaver etter lovutkastet § 61 c eller forskrift i medhold av lovutkastet § 61 c fjerde ledd. BSKs primære oppgave vil være å vurdere alle rapporter fra sakkyndige som er oppnevnt av retten etter barneloven § 61 første ledd nr. 3 og rapporter bestilt av parter. Vurderingene skal sendes til retten. Videre kan det i forskrift gis utfyllende regler om kommisjonens oppgaver.
Departementet foreslår at det presiseres i bestemmelsen at personopplysninger kun kan behandles når dette er nødvendig. Presiseringen innebærer at det ikke skal behandles flere opplysninger enn det som trengs for formålene, og at opplysningene skal være relevante og ha saklig sammenheng med det formålet som søkes oppnådd ved behandlingen. Nødvendighetskravet skal likevel ikke forstås slik at det er et vilkår at opplysningen faktisk får betydning for BSKs vurdering av rapporten. Departementet legger til grunn at det vil være nødvendig å behandle alle opplysningene som fremgår av rapporten for å kunne foreta en tilfredsstillende vurdering av den. Begrensningen er ment å ivareta dataminimerings- og proporsjonalitetsprinsippet i forordningens artikkel 5 nr. 1 bokstav c.
Det foreslås videre at bestemmelsen også gjør det klart at BSK har grunnlag for å behandle alminnelige personopplysninger, særlige kategorier av opplysninger og opplysninger om straffedommer og lovovertredelser. Det er ikke mulig å angi nærmere hvem det kan behandles opplysninger om og hvilke opplysningstyper, ettersom det vil avhenge av barnets omsorgssituasjon og retten og/eller partenes utredningsbehov. Etter departementets vurdering oppfyller dette de særlige kravene til klarhet som kan utledes av artikkel 9 nr. 2 bokstav g og forordningens artikkel 5 nr. 1 bokstav a.
Når det gjelder Datatilsynets bemerkning om at det på bakgrunn av det foreslåtte behandlingsgrunnlaget er vanskelig å forstå hva formålet med behandlingen er og hva slags opplysninger som kan samles inn, viser departementet til at formålet med behandlingen av personopplysninger kommer frem av forslaget til ny § 61 c. Det går frem av denne bestemmelsen at BSK skal vurdere kvaliteten på den sakkyndiges arbeid. Når det gjelder hva slags opplysninger som kan samles inn, vil det etter departementets syn ikke la seg gjøre å lage en uttømmende liste over dette. Etter departements vurdering oppfyller lovforslaget kravene til klarhet, nødvendighet, forholdsmessighet og formålsbegrensning som kan utledes av Grunnloven § 102, EMK artikkel 8 og personopplysningsloven. Det vil imidlertid, som Datatilsynet også peker på, være en mulighet for å gi mer utfyllende regler i en forskrift med hjemmel i den foreslåtte bestemmelsen dersom det er behov for det.
Departementet har merket seg Datatilsynets ønske om avklaring av hvem som vil være behandlingsansvarlig etter personopplysningsloven eller forordningen. Det vises imidlertid til at dette reguleres av personvernforordningens generelle regler, jf. artikkel 4 nr. 7. Etter departementets vurdering er det ikke hensiktsmessig å regulere dette i barneloven, men at dette eventuelt er noe som kan reguleres i forskrift ved behov.
Forskriftshjemmelen er ment å ytterligere legge til rette for at personopplysningene behandles på en lovlig, rettferdig måte som ivaretar personvernhensyn. Det følger av forordningens artikkel 6 nr. 3 at et supplerende rettsgrunnlag etter nr. 1 bokstav c og e kan inneholde særlige bestemmelser for å tilpasse anvendelsen av reglene i forordningen. Videre følger det av artikkel 9 nr. 2 bokstav g at det må sikres egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser. Krav om særlige tiltak kan reguleres nærmere i forskrift. Slike særlige tiltak kan også bidra til å oppfylle de kravene til garantier som kan utledes av EMDs praksis.
For behandling av personopplysninger etter artikkel 9 nr. 2 bokstav g er det et krav om at det må sikres egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser. Departementet har vurdert hvilke garantier som bør fastsettes, men i et tilfelle som dette er det ikke enkelt å fastsette noe som er spesifikt, og som gir en tilleggsverdi utover forordningen. En viktig garanti er likevel at kommisjonsleder, kommisjonsmedlemmene og sekretariat er underlagt lovbestemt taushetsplikt etter forvaltningsloven. De skal ta nødvendige forholdsregler for å sikre at uvedkommende ikke får innsyn i eller kan bli kjent med taushetsbelagt informasjon. Kommisjonens leder eller medlemmer som fratrer sin tjeneste, pålegges taushetsplikt også etter fratredelsen. Ytterligere garantier kan fastsettes i forskrift.