Det finns gränser för vad föräldrar får publicera om sina barn på nätet

Nyligen deltog jag i ett webbinarium som arrangerades av Statens medieråd. Temat för webbinariet var ”Kan det vara brottsligt att dela bilder på sitt barn? Juridiken bakom sharenting” som tog sitt avstamp i en rapport som Statens medieråd tagit fram tillsammans med Institutet för juridik och internet.

Jag välkomnar rapporten som lyfter centrala frågor. Jag hoppas att den kan bli startskottet för en ny diskussion om föräldrarollen, barnets bästa och vilka risker det finns med att offentliggöra uppgifter om barn i det digitala landskapet, där sociala medier idag spelar en stor roll. Jag tror att många föräldrar, som enbart vill sina barns bästa, inte är medvetna om att det finns gränser för vad som är ok för en förälder att publicera i sociala medier. 

Sharenting är ingen juridisk term utan är helt enkelt en sammanslagning av sharing (dela) och parenting (föräldraskap). I korthet handlar det om att föräldrar (eller andra vuxna) publicerar text om och bilder på sina barn i sociala medier.

Dataskyddsförordningen gäller som huvudregel – även vid sharenting

För oss på Integritetsskyddsmyndigheten (IMY) är det centralt att öka medvetenheten om att huvudregeln – och utgångspunkten för all personuppgiftsbehandling – är att dataskyddsförordningens (GDPR:s) regler gäller, då det är en övergripande reglering för hur personuppgifter får behandlas. Det är mycket som omfattas av dataskyddsförordningen då alla uppgifter som gör att man direkt eller indirekt kan identifiera en levande person utgör personuppgifter och i princip allt man kan göra med personuppgifter utgör en behandling.

GDPR, som är direkt tillämplig lag i Sverige, gäller alltså som huvudregel alltid och för all personuppgiftsbehandling. Det finns dock ett par undantag. Förordningen gäller inte om publiceringen sker för journalistiska ändamål eller om det är frågan om rent privat behandling. Exakt var dessa gränser går i dagsläget inte att säga utan beror bland annat på syftet med spridningen, inläggets karaktär och hur stor spridning inlägget har.

Undantag för journalistiska eller privata ändamål

I vissa fall kan en publicering omfattas av undantaget för journalistiska ändamål (1 kap. 7 § andra stycket i den svenska kompletteringslagen). Undantaget gäller inte bara för yrkesverksamma journalister och EU-domstolen har betonat att det ska tolkas brett. För att en publicering ska omfattas av undantaget för journalistiska ändamål krävs dock att den syftar till att sprida information, åsikter eller idéer till allmänheten.

Vi kommer inom kort att anta ett rättsligt ställningstagande om undantaget för journalistiska ändamål, som ger uttryck för IMY:s uppfattning om när man kan, och inte kan, hänvisa till undantaget för journalistiska ändamål. Vår bedömning är att undantaget inte omfattar publicering som rör uppgifter av rent privat karaktär, vilket ofta är fallet när föräldrar publicerar bild och text om sina barn. I sådana fall kan däremot det så kallade privatundantaget aktualiseras.

Enligt privatundantaget i GDPR ska dataskyddsreglerna inte tillämpas på behandling av personuppgifter som en fysisk person utför som ett led i verksamhet av rent privat natur eller som har samband med hans eller hennes hushåll. Var gränsen går för vad som är ett led i verksamhet av rent privat natur eller mellan privat och yrkesmässig publicering på internet är inte klart. Enligt EU-domstolens praxis ska dock undantaget för privat behandling, till skillnad från undantaget för journalistiska ändamål, tolkas snävt. 

EU-domstolen har hittills uttalat att i vart fall personuppgifter som görs tillgängliga för ett oidentifierbart antal människor inte omfattas av privatundantaget. Vår uppfattning är att om man som privatperson publicerar till exempel bilder på sitt barn i sociala medier för en bredare krets, är det sannolikt inte att anse som en behandling av rent privat natur. Detsamma gäller om det finns kommersiella intressen bakom publiceringen. 

Hur stor kretsen kan vara kan variera beroende på omständigheterna i det enskilda fallet. I vissa sociala medier finns till exempel möjlighet att begränsa visningen av ett inlägg till en viss typ av kategori av mottagare, till slutna grupper, egna kontakter på nätverket, kontakters kontakter och så vidare som i varierande grad innebär begränsningar i kretsen. Här bör man samtidigt väga in att det finns en risk för att sådana begränsningar kringgås och att uppgifterna sprids vidare.

Föräldrar möjliggörare för att skydda barnens personliga integritet

Om inget av undantagen aktualiseras blir alltså dataskyddsförordningen tillämplig. Betyder det att sharenting är förbjudet enligt GDPR? 

Nej. Dataskyddsförordningen är inte en straffrättslig reglering utan anger regler för den som behandlar personuppgifter. En förälder får publicera inlägg i sociala medier om sina barn, men det är viktigt att veta att det finns gränser. 

När dataskyddsförordningen gäller blir en förälder som publicerar text om eller bilder på sitt barn personuppgiftsansvarig för behandlingen. Detta innebär en rad skyldigheter (för den personuppgiftsansvarige) och att föräldern behöver tillgodose ett antal rättigheter som barnet (den registrerade) har.

En personuppgiftsansvarig behöver bland annat säkerställa att det finns en rättslig grund för publiceringen, att man följer ett antal grundläggande principer i dataskyddsförordningen och också ger barnet adekvat information om hur hens personuppgifter behandlas. 

I dagens uppkopplade samhälle finns omfattande möjligheter att dela uppgifter om sig själv och sina barn. I ett debattinlägg om sharenting skriver Statens medieråd att det finns okunskap om riskerna med att dela bilder på barn.

Jag delar den uppfattningen. Även om det, utöver straffbestämmelser, finns regler i dataskyddsförordningen som skulle kunna sätta stopp för vissa föräldrars inlägg i sociala medier så anser jag att de största möjliggörarna för att respektera barns och ungas integritet – nu och för framtiden – är föräldrarna.

Även om en publicering håller sig inom ramarna för vad som är lagligt, bör en förälder som vill publicera bild och text om sitt barn i sociala medier stanna upp och utifrån barnets perspektiv fråga sig om publiceringen är etiskt försvarbar.

• Är det mitt eller barnets intressen jag värnar när jag lägger ut den aktuella bilden på barnet?
• Vad tror jag att mitt barn kommer att tycka om den här publiceringen? Nu men även om några år när barnet vuxit upp?
• Är jag medveten om att det kan vara svårt att radera ett inlägg fullt ut och för all framtid (”internet glömmer sällan”)?
• Vad hade jag själv tyckt som barn om mina föräldrar publicerat sådana här inlägg?

En förälder som publicerar bild och text om sitt barn och där inget av undantagen gäller bör också ställa sig frågan hur hen säkerställer att bestämmelserna i dataskyddsförordningen följs. 

Integritetsskyddsmyndighetens vision är: ”Ett tryggt informationssamhälle – tillsammans värnar vi den personliga integriteten”. Det inkluderar alla i samhället, från oss som tillsynsmyndighet för dataskyddsförordningen, till föräldrar som publicerar inlägg om sina barn i sociala medier. Vi bör alla ta ett gemensamt ansvar för att värna den personliga integriteten, särskilt hos våra barn som är det mest skyddsvärda vi har.

Lena Lindgren Schelin, generaldirektör IMY