Personuppgifter om barn

Personuppgifter om barn anses särskilt skyddsvärda i dataskyddsförordningen eftersom barn kan ha svårare att förutse riskerna med att lämna ifrån sig uppgifter och att förstå vilken rätt till skydd för sina uppgifter som de har. Precis som när det gäller vuxna måste man ha en rättslig grund, det vill säga stöd i lagen, för att kunna behandla personuppgifter om barn. Här beskriver vi vilka rättsliga grunder som kan vara aktuella och vilka rättigheter som man särskilt bör uppmärksamma.

Samtycke

Personuppgifter får behandlas om personen ifråga har samtyckt till det. Samtycket måste vara frivilligt och avse just det särskilda syfte som uppgifterna samlas in för. Det får inte råda någon tvekan om att personen samtycker till att uppgifterna behandlas. Den som samtycker måste också först ha fått information om behandlingen och förstå vad samtycket gäller. I fråga om barn måste ni vara extra uppmärksamma på att barnet har förmåga att förstå och samtycka till behandlingen.

När behövs samtycke från vårdnadshavare?

Om ni erbjuder onlinetjänster till barn och då hämtar in personuppgifter med stöd av samtycke, krävs det att samtycket hämtas in från barnets vårdnadshavare om barnet är under 13 år. Detta gäller insamling av uppgifter om barn som bor i Sverige. I andra EU-länder kan vårdnadshavarens samtycke krävas ända upp tills barnet är 16 år. Vårdnadshavares samtycke krävs dock inte för sådana onlinetjänster som erbjuder hjälp och stöd direkt riktat till barn och ungdomar.

Åldersgränsen gäller uttryckligen för onlinetjänster enligt dataskyddsförordningen och kompletterande svenska regler. I andra situationer finns det ingen särskilt angiven åldersgräns men det krävs förstås alltid att barnet har förmåga att förstå vad det samtycker till för att samtycket ska vara giltigt. När det gäller barn under 13 år bör alltid vårdnadshavarens samtycke inhämtas.

När kan barn lämna giltigt samtycke?

Barn över 16 år har en viss rättshandlingsförmåga och kan till exempel disponera sin egen arbetsinkomst. De bör som regel också själva kunna ge ett giltigt samtycke till behandling av personuppgifter. För barn mellan 13 och 16 år får det bedömas i varje enskilt fall om barnet kan anses ha förmåga att förstå konsekvenserna av ett samtycke. Faktorer som kan ligga till grund för bedömningen är till exempel hur pass känsliga uppgifterna är, vilka syften uppgifterna ska användas för, hur länge de ska sparas och barnets ålder. Hur den information ser ut som lämnas om personuppgiftsbehandlingen är också av betydelse. Informationen måste vara klar och tydlig, begriplig och lättillgänglig, särskilt när den riktar sig till barn. Den som samlar in och behandlar personuppgifter med stöd av samtycke måste alltid kunna visa ett giltigt samtycke från den som uppgifterna rör.

Fullgörande av avtal

Personuppgifter får behandlas om det är nödvändigt för att fullgöra ett avtal med den som uppgifterna rör. Barn under 18 år har endast en begränsad rättshandlingsförmåga och kan inte ingå vilka avtal som helst. Barn över 16 år får ingå avtal om de använder sin egen arbetsinkomst eller om det behövs för den dagliga hushållningen om de har eget hushåll. Annars krävs vårdnadshavares samtycke för att ett avtal ska vara giltigt. Om avtalet inte är giltigt kan det inte heller ligga till grund för behandling av personuppgifter.

Intresseavvägning

Personuppgifter kan få behandlas efter en intresseavvägning där den registrerades intressen och grundläggande rättigheter vägs mot företagets intresse av att behandla uppgifterna. Om den registrerades intresse väger tyngre får uppgifterna inte behandlas. Ni måste vara extra försiktiga vid en intresseavvägning när det handlar om personuppgifter som rör barn, ta hänsyn till att barns personuppgifter kräver särskilt skydd och se till att barnets rättigheter är väl skyddade. Tänk också på att informationen till barnet ska vara tydlig och lämplig i förhållande till barnets ålder. I vissa fall kan en konsekvensbedömning vara nödvändig för att försäkra er om att barnets rättigheter och friheter är tillräckligt väl skyddade.

Behandling av personuppgifter för marknadsföring grundar sig ofta på en intresseavvägning. Eftersom barn inte alltid kan förutse fullt ut vad detta innebär och kan vara mer utsatta för påverkan bör ni vara särskilt försiktiga med att behandla uppgifter om barn för marknadsföringsändamål. I en intresseavvägning som gäller uppgifter om barn för sådana ändamål måste ni därför lägga extra tyngd vid barnets rättigheter och intresse av skydd för sina personuppgifter.

Känsliga personuppgifter

Vissa slags personuppgifter anses särskilt känsliga, det gäller till exempel uppgifter om politiska åsikter, religiös eller filosofisk övertygelse, etniskt ursprung, hälsa eller sexuell läggning. För behandling av sådana personuppgifter ställs särskilda krav i dataskyddsförordningen. Även här gäller förstås att ta hänsyn till att personuppgifter om barn är särskilt skyddsvärda.

Registrerades rättigheter

Barn har samma rättigheter till skydd för sina personuppgifter som vuxna. Det innebär att även barn har rätt att till exempel få information om personuppgiftsbehandlingen, få tillgång till sina uppgifter, få uppgifter rättade eller borttagna och att få skadestånd vid felaktig behandling. Dessa rättigheter kan utövas av barnet självt eller av en vårdnadshavare beroende på barnets ålder. Vårdnadshavare som utövar rättigheterna å sina barns vägnar måste komma ihåg att det är barnets rättigheter som ska skyddas.

Rätten till information

Dataskyddsförordningen kräver att den information som ges om personuppgiftsbehandling ska vara lättbegriplig och tydlig för mottagaren. Informationen måste därför anpassas till den målgrupp som den riktar sig till. Det gäller förstås också i förhållande till barn. Nivån på språket i informationen kan därför behöva varieras beroende på ålder på barnet som ska ta emot informationen. Även om det är vårdnadshavaren som begär att få information för barnets räkning kan det vara bra att också ta fram mer lättbegriplig och barnvänlig information så att barnet självt kan tillgodogöra sig den.

Rätt till radering

Den registrerade har enligt dataskyddsförordningen rätt att under vissa förutsättningar få personuppgifter raderade. Detta gäller särskilt om uppgifterna behandlas med stöd av samtycke från någon som var under 18 år när uppgifterna samlades in. Rätten att få uppgifterna raderade gäller även efter att den registrerade blivit myndig.