5 Behov for ny lovregulering

5.1 Innledning

Bakgrunnen for lovforslaget er gjennomføringen av EUs personvernforordning i norsk rett gjennom personopplysningsloven. Loven og forordningen stiller krav til når og hvordan personopplysninger kan behandles. For å behandle personopplysninger må det finnes et behandlingsgrunnlag. For å behandle særlige kategorier av personopplysninger, som for eksempel helseopplysninger, opplysninger om etnisitet eller opplysninger om seksuell orientering, vil det i mange tilfeller kreves et supplerende rettsgrunnlag i nasjonal rett. Det samme gjelder for behandling av personopplysninger om straffedommer og lovovertredelser.

Personopplysningsloven og personvernforordningen har generelle regler, og i forarbeidene til personopplysningsloven er det forutsatt at det skal fastsettes supplerende rettsgrunnlag og ytterligere regulering i særlovgivning.

Gjennomgangen av gjeldende rett i punkt 4 viser at det finnes regelverk som berører problemstillingene som tas opp i lovforslaget her, men ny regulering om idrettens behov passer ikke så godt inn i det eksisterende regelverket. Departementet mener at det er mest hensiktsmessig at det vedtas en egen lov for å dekke idrettens behov for å behandle personopplysninger for å forebygge, avdekke og reagere mot seksuelle overgrep, trakassering og vold i idretten.

Likestillings- og diskrimineringsloven har regler om trakassering og seksuell trakassering. Som omtalt i punkt 4.5, forutsettes det at den som har plikt etter loven til å forebygge og søke å hindre seksuell trakassering og annen trakassering, har adgang til å behandle alminnelige personopplysninger for dette formålet. Det er usikkert om loven gir tilstrekkelig hjemmel til å behandle særlige kategorier av personopplysninger i trakasseringssaker. Uavhengig av dette vil loven trolig ikke gi tilstrekkelig hjemmelsgrunnlag for de andre to formålene i dette lovforslaget, da ikke alle situasjoner som omfatter «seksuelle overgrep eller vold mv.» vil kunne anses for å være trakassering.

Krav om vandelskontroll i form av politiattest er ett av flere forebyggende tiltak, men er ikke tilstrekkelig i seg selv til å forhindre vold og overgrep. En attest gir kun opplysninger om en person har vært ilagt straff eller andre strafferettslige reaksjoner eller er under straffeforfølgning. Videre er det en utfordring for idretten at dersom opplysningene om straffedommer og andre lovovertredelser skal kunne brukes til et bestemt formål, krever det at mottakeren av opplysningene har et tilstrekkelig behandlingsgrunnlag for den videre behandlingen. Som beskrevet i punkt 4.4, forutsettes det at slik hjemmel er fastsatt i regelverk som gjelder for mottakeren av opplysningene. Slikt regelverk finnes ikke i dag.

Departementet vurderer at verken avvergingsplikten eller hjelpeplikten etter straffeloven vil være tilstrekkelige hjemmelsgrunnlag for idretten i de situasjonene hvor idretten har behov for å behandle personopplysninger for å forebygge, avdekke og reagere mot seksuelle overgrep, trakassering og vold. Videre tolker departementet bestemmelsen om hjelpeplikt slik at det må foreligge en klar fare for tap av liv eller betydelig personskade, jf. Ot.prp. nr. 22 (2008–2009) punkt 16.6 side 437. Heller ikke denne hjelpeplikten vurderes å ivareta behovet for å behandle personopplysninger i idretten for å kunne forebygge, avdekke og reagere mot seksuelle overgrep, trakassering og vold.

For behandling av personopplysninger ved ansettelser er det rettslige grunnlaget samtykke etter personvernforordningen artikkel 6 nr. 1 bokstav a og eventuelt artikkel 9 nr. 2 bokstav a. For å oppfylle arbeidsrettslige forpliktelser er behandlingsgrunnlaget som hovedregel artikkel 6 nr. 1 bokstav b og artikkel 9 nr. 2 bokstav b. Det følger i tillegg av personopplysningsloven § 6 at særlige kategorier personopplysninger etter artikkel 9 nr. 1 kan behandles for å ivareta arbeidsrettslige plikter eller rettigheter. En arbeidsrettslig plikt kan være å forebygge og forhindre seksuell trakassering og annen trakassering, jf. omtalen over av likestillings- og diskrimineringsloven § 13. Disse behandlingsgrunnlagene krever ikke ytterligere supplerende rettsgrunnlag i nasjonal rett. I tillegg vil behandling av personopplysninger i disse tilfellene være regulert i for eksempel arbeidsmiljøloven.

De generelle bestemmelsene om ansettelsesforhold i personopplysningsloven vil ikke gjelde for frivillige, ulønnede personer i idretten. Disse utgjør de fleste av personene som i dag har verv eller utfører oppgaver i idretten.

I ansettelsesforhold vil skjevheten mellom den registrerte og behandlingsansvarlige kunne tilsi at behandlingen av personopplysninger ikke kan basere seg på samtykke. En slik forståelse har støtte i personvernforordningens fortalepunkt 43. Trolig vil mye av det samme gjelde i idretten, og også for tilfeller ut over arbeidsforhold. Artikkel 9 nr. 2 bokstav a tillater behandling av særlige kategorier av personopplysninger dersom den registrerte har gitt uttrykkelig samtykke til behandling for ett eller flere spesifikke formål. Et slikt samtykke må gis frivillig, slik at det ikke foreligger noe press for å gi samtykke, og at det heller ikke oppstår negative konsekvenser ved at et samtykke ikke gis. Et samtykke kan oppleves «tvungent» fordi «alle andre» samtykker, eller det kan medføre at de som ikke kan eller vil samtykke, utestenges fra aktuell aktivitet. Det kan dermed ikke settes som vilkår for å bli medlem av et idrettslag at man samtykker til behandling av særlige kategorier av personopplysninger. Departementet legger til grunn at samtykke til behandling av særlige kategorier av personopplysninger i idretten kun vil være aktuelt i helt spesielle tilfeller, for eksempel ved helsetesting i toppidretten. Samtykke vil ikke være et egnet unntak for å forebygge, avdekke og reagere mot seksuelle overgrep, trakassering og vold i idretten.

5.2 Forslaget i høringsnotatet

I høringsnotatet foreslo departementet en egen lov om behandling av personopplysninger i Norges idrettsforbund og deres organisasjonsledd for å «forebygge, avdekke og reagere mot seksuelle overgrep, trakassering og vold mv. i idretten». Lovforslaget gjaldt behandling av særlige kategorier av personopplysninger og personopplysninger om straffedommer og lovovertredelser etter personvernforordningen artikkel 9 og artikkel 10.

Departementet valgte i høringsnotatet å ikke foreslå et supplerende rettsgrunnlag i loven for å behandle alminnelige personopplysninger etter personvernforordningen artikkel 6 nr. 1 bokstav e. Vurderingen var at idretten har alternative behandlingsgrunnlag etter artikkel 6 til å kunne behandle alminnelige personopplysninger.

I høringsnotatet het det at departementet vil kartlegge behovet i frivillige organisasjoner for øvrig for et hjemmelsgrunnlag for å behandle særlige kategorier personopplysninger og personopplysninger om straffedommer og lovovertredelser. Avhengig av resultatet av kartleggingen vil det kunne foreslås egne lovbestemmelser for frivilligheten for øvrig på et senere tidspunkt, dersom behovet for et slikt regelverk er til stede. I høringsnotatet ba samtidig departementet om innspill til om annen sektorlovgivning kan være egnet til å gi frivillige organisasjoner hjemmelsgrunnlag for behandling av personopplysninger for de aktuelle formålene.

5.3 Høringsinstansenes syn

Datatilsynet er positiv til at departementet legger fram lovforslag for å sikre tilstrekkelig hjemmel for behandling av personopplysninger etter personvernforordningen artikkel 9 og 10. Tilsynet er enig i at formålene bak lovforslaget utgjør viktige allmenne interesser. Samtidig understreker de at det knytter seg høy risiko til blant annet konfidensialitet og informasjonssikkerhet, særlig med tanke på at idretten består av flere tusen idrettslag som i det vesentlige er drevet av frivillige som ikke har tilstrekkelig kompetanse på personvern og informasjonssikkerhet. På denne bakgrunnen er det viktig at lovforslaget begrenses til det som er «strengt nødvendig» for å ivareta formålene om å forebygge, avdekke og reagere mot seksuelle overgrep, trakassering og vold mv. i idretten. Det må gjøres tilstrekkelige tiltak for å håndtere risikoene og verne de registrertes rettigheter og interesser.

Tilsynet mener at det ville vært hensiktsmessig å utrede et supplerende rettsgrunnlag etter artikkel 6 nr. 1 bokstav e. Uten et slikt rettsgrunnlag er bokstav f («berettiget interesse») det aktuelle rettslige grunnlaget å vurdere for de behandlingsansvarlige. Bokstav f forutsetter en interesseavveining, hvor behandlingen må være «nødvendig for formål knyttet til de berettigede interessene som forfølges av den behandlingsansvarlige eller en tredjepart, med mindre den registrertes interesser eller grunnleggende rettigheter og friheter går foran og krever vern av personopplysninger, særlig dersom den registrerte er barn». Interesseavveiningene kan være utfordrende for idrettslag. Det vil derfor være behov for tydelige retningslinjer og god rådgivning fra overordnede sentralledd.

Norges idrettsforbund mener at lovforslaget er en anerkjennelse av arbeidet de driver mot seksuelle overgrep, trakassering og vold i idretten, og de mener at høringsnotatet gir en god beskrivelse av hvilke behov idretten har på dette området. Samtidig har de flere bekymringer knyttet til deler av lovforslaget, og de mener at forslaget kan gjøres mer presist, dekkende og enklere for organisasjonsleddene å forholde seg til. Norges idrettsforbund har på grunnlag av dette foreslått en alternativ utforming av lovforslaget, med konkrete, justerte lovbestemmelser.

Norges idrettsforbund vurderer at idretten også bør ha et grunnlag i lov for behandling av alminnelige personopplysninger etter personvernforordningen artikkel 6 nr. 1 bokstav e, slik at deres organisasjonsledd selv skal slippe å måtte vurdere alternative rettsgrunnlag etter bokstavene a, b, c eller f.

Frivillighet Norge er enig i at det er behov for særlovgivning for å kunne behandle personopplysninger etter artikkel 9 og 10 i personvernforordningen. De understreker samtidig at behovet gjelder hele frivillig sektor, og at det er behov for et regelverk som er tilpasset frivillighetens særegne natur. De er kritiske til at departementet, i stedet for å lage et enhetlig regelverk for hele sektoren, foreslår lovbestemmelser som er spesifikt tilpasset idrettens behov og som ikke nødvendigvis er overførbart til andre organisasjoner. Frivillighet Norge ber om at departementet raskt kommer i gang med å lage en tilsvarende lovhjemmel for resten av frivilligheten, i nært samarbeid med frivilligheten selv.

LNU er bekymret for manglende lovhjemmel for frivillige organisasjoner til å behandle særlige kategorier av personopplysninger og personopplysninger om straffedommer og lovovertredelser. LNU mener det er en tapt mulighet å begrense lovforslaget til én enkelt organisasjon. De forventer at arbeidet for å regulere hele sektoren starter opp snarest, og at frivilligheten inkluderes i prosessen. De mener det er nødvendig å samkjøre innsatsen mellom KUD, Barne- og familiedepartementet og Justis- og beredskapsdepartementet.

Likestillings- og diskrimineringsombudet er i utgangspunktet positiv til forslag som vil styrke organisasjoners rammeverk for forebygging og håndtering av saker om trakassering og seksuell trakassering. Ombudet er også positiv til at departementet vil utrede behovet for tilsvarende personvernregler for andre frivillige organisasjoner. Samtidig understreker ombudet at et grunnlag i lov for å behandle personopplysninger i slike saker ikke må bidra til opprettelse av det som kan oppleves som parallelle systemer som hever terskelen for å gå til Diskrimineringsnemnda. At vanskelige saker kan behandles i nemnda, er viktig både for tilliten til det offentlige lavterskeltilbudet, og for utvikling og tilgjengeliggjøring av praksis på dette rettsområdet.

Redd Barna mener at det er positivt at departementet foreslår en lovhjemmel for å forebygge, avdekke og reagere mot seksuelle overgrep, trakassering og vold i idretten. Det er også positivt at departementet vil igangsette en kartlegging av behovet i frivillige organisasjoner for øvrig, og at det kan foreslås egne lovbestemmelser for resten av frivillig sektor dersom kartleggingen viser et behov for dette.

5.4 Departementets vurdering

5.4.1 Innledning

Departementet vurderer at Norges idrettsforbund og deres organisasjonsledd i dag mangler et tilstrekkelig hjemmelsgrunnlag for å behandle særlige kategorier av personopplysninger og personopplysninger om straffedommer og lovovertredelser i arbeidet med å forebygge, avdekke og reagere mot seksuelle overgrep, trakassering og vold i idretten. Eksisterende særlovgivning og annet regelverk dekker ikke fullt ut idrettens behov på dette området.

Departementet ser derfor behov for å etablere et supplerende rettsgrunnlag i lov for å skape et tilstrekkelig, helhetlig og tydelig hjemmelsgrunnlag for idrettens behov for å behandle personopplysninger i arbeidet mot seksuelle overgrep, trakassering og vold. Dette er avgjørende for å sikre at Norges idrettsforbund og deres organisasjonsledd har nødvendige verktøy til å kunne drive et effektivt og helhetlig arbeid som bidrar til å sikre trygge arenaer for deltakelse for både barn og voksne.

Ingen av høringsinstansene har satt spørsmålstegn ved behovet for et supplerende rettsgrunnlag i lov for behandling av særlige kategorier av personopplysninger og personopplysninger om straffedommer og lovovertredelser for å «forebygge, avdekke eller reagere mot seksuelle overgrep, trakassering eller vold mv. i idretten». Departementet legger derfor til grunn at lovforslaget ivaretar et nødvendig behov for et slikt behandlingsgrunnlag.

Grunnlag for behandling av alminnelige personopplysninger etter personvernforordningen artikkel 6 drøftes nærmere i punkt 5.4.3.

5.4.2 Utforming av et lovforslag basert på strenge nødvendighetsvurderinger

Departementet deler Datatilsynets vurdering om at det knytter seg stor personvernrisiko til behandling av sensitive personopplysninger i idretten, blant annet når det gjelder ivaretakelse av konfidensialitet og informasjonssikkerhet. Dette særlig med tanke på at idretten består av flere tusen idrettslag som i det vesentlige er drevet av frivillige.

På bakgrunn av den høye personvernrisikoen er behandlingsgrunnlaget i lovforslaget avgrenset til det som er strengt nødvendig for å ivareta behandlingsformålene «forebygge, avdekke eller reagere mot seksuelle overgrep, trakassering eller vold mv. i idretten».

I sitt høringssvar viser Norges idrettsforbund til departementets forslag til § 1 Lovens formål, hvor det heter at formålet med loven er å sikre en forsvarlig behandling av personopplysninger når det er nødvendig å behandle slike opplysninger for å forebygge, avdekke og reagere mot seksuelle overgrep, trakassering og vold mv. i idretten. I lys av dette mener de at den nærmere reguleringen av nødvendighetskravet i flere av de andre bestemmelsene er unødvendig.

Departementet deler ikke denne vurderingen. Lovforslaget gjelder behandling av svært sensitive personopplysninger, og det innebærer i seg selv en høy risiko for de registrertes rettigheter og friheter. Risikoen forsterkes ytterligere ettersom lovens anvendelsesområde omfatter flere tusen idrettslag som i det vesentlige er drevet av frivillige som har begrenset kompetanse innen personvern og informasjonssikkerhet. Idrettslagene er ofte tett knyttet til lokalsamfunn og små miljøer, noe som kan øke risikoen for at sensitive personopplysninger spres. Videre vil ofrene for aktuelle handlinger ofte være barn, og det kan også være barn blant dem som anklages for å utføre handlingene.

Lovforslaget er følgelig utarbeidet på en måte som forsøker å hensynta den forhøyede risikoen på dette området. Bestemmelsene er gjennomgående mer detaljerte enn hva som er vanlig for andre personvernbestemmelser som gjelder på områder med en lavere personvernrisiko. Flere av lovbestemmelsene har også et avgrenset behandlingsgrunnlag som gjør at de behandlingsansvarlige, som i flere tilfeller er frivillige idrettslag, slipper å ta stilling til problemstillinger som vil falle utenfor bestemmelsene.

Mindre detaljerte lovbestemmelser, med færre avgrensninger av behandlingsgrunnlaget, vil derimot gi større ansvar til de behandlingsansvarlige for å gjøre påkrevde nødvendighets- og forholdsmessighetsvurderinger når de har behov for å behandle personopplysninger. For mange lokale idrettslag vil et mer omfattende ansvar for slike vurderinger kunne være vanskelig å håndtere på en tilfredsstillende måte.

Departementet har vurdert muligheten for å forskriftsfeste nødvendige avgrensninger i behandlingsgrunnlaget, i stedet for å gjøre avgrensningene i loven. Argumentasjonen fra Norges idrettsforbund er at spesifikke avgrensninger i de enkelte lovbestemmelsene gir risiko for at loven ikke dekker alle idrettens behov for behandlingsgrunnlag, og at endringer i disse behovene kan gjøre det nødvendig å endre loven. I lys av personvernrisikoene som knytter seg til lovforslaget, er det imidlertid departementets vurdering at sentrale avgrensninger i behandlingsgrunnlaget bør inngå i loven. Departementet vurderer det også som en fordel at slike avgrensninger fremgår av lovteksten, og ikke i forskrift, siden lov er den rettskilden som brukerne enklest kan skaffe seg adgang til.

I lovforslaget søker departementet samtidig å ivareta Norges idrettsforbunds innspill om en mer enhetlig begrepsbruk og lovbestemmelser som er enkle å forstå og anvende for de behandlingsansvarlige. Gjennom proposisjonsteksten og gjennom merknader til de enkelte lovbestemmelsene søker også departementet å klargjøre innholdet i bestemmelsene slik at de behandlingsansvarlige skal ha et best mulig grunnlag for å benytte hjemlene.

5.4.3 Grunnlag for behandling av alminnelige personopplysninger etter personvernforordningen artikkel 6

All behandling av personopplysninger må ha et rettslig grunnlag for å være gyldig. Alminnelige personopplysninger som behandles av Norges idrettsforbund, er i hovedsak navn, kontaktinformasjon, familierelasjoner, betalingskrav, lisens, forsikring, påmeldinger til kurs og konkurranser, resultater, roller personen har i idretten, og annen informasjon som er relatert til personens medlemskap, aktivitet og tilknytning til idretten.

Personvernforordningen artikkel 6 nr. 1 bokstav b gir et rettslig grunnlag for behandling av personopplysninger som er nødvendige for å oppfylle en avtale som den registrerte er part i. Idrettens behandling av personopplysninger knyttet til medlemskap i et idrettslag, vil i mange tilfeller ha behandlingsgrunnlag i dette alternativet.

Artikkel 6 nr. 1 bokstav f åpner for å behandle personopplysninger som er nødvendige for formål knyttet til de berettigede interessene som forfølges av den behandlingsansvarlige eller en tredjepart. Dersom dette alternativet brukes som behandlingsgrunnlag, skal den behandlingsansvarlige gjennomføre en forholdsmessighetsvurdering hvor det vurderes om den enkeltes personvern må gå foran hensynet til å oppnå den berettigede interessen. Det skal særlig tas hensyn til om den registrerte er barn

I noen konkrete tilfeller, særlig i toppidretten og i paraidretten, benyttes også samtykke som behandlingsgrunnlag for behandling av personopplysninger i idretten, jf. personvernforordningen artikkel 6 nr. 1 bokstav a.

Artikkel 6 nr. 1 bokstav e sier at behandling av personopplysninger er lovlig dersom «behandlingen er nødvendig for å utføre en oppgave i allmennhetens interesse […]». Dette alternativet krever et supplerende rettsgrunnlag, det vil si enten hjemmel i lov eller forskrift, eventuelt også vedtak fattet med hjemmel i lov eller forskrift.

Departementet har vurdert om det kan være hensiktsmessig å etablere et supplerende rettsgrunnlag etter artikkel 6 nr. 1 bokstav e i lovforslaget. Dette behandlingsgrunnlaget viser først og fremst til offentlige myndigheters behandling av personopplysninger, men kan også være relevant når private virksomheter er tillagt oppgaver i allmennhetens interesse. Det er et politisk mål å legge til rette for at alle, og særlig barn og unge, skal kunne ta del i idrett. Norges idrettsforbund mottar også store offentlige tilskudd. Departementet mener likevel at det er knyttet noe usikkerhet til om Norges idrettsforbund kan sies å være tillagt oppgaver i allmennhetens interesse, spesielt med tanke på idrettens uavhengighet.

Det fremgår av Datatilsynets høringssvar at «berettiget interesse» etter artikkel 6 nr. 1 bokstav f er det mest aktuelle rettslige grunnlaget for behandling av alminnelige personopplysninger for de aktuelle formålene, gitt at det ikke gis et supplerende rettsgrunnlag i loven etter bokstav e. Departementet er enige med Datatilsynet og Norges idrettsforbund i at det kan være krevende for idrettslag å gjøre interesseavveininger etter bokstav f. Departementet mener likevel at med tydelige retningslinjer og god rådgivning fra overordnede organisasjonsledd vil slike interesseavveininger være gjennomførbare.

Departementet vil påpeke at et eventuelt supplerende rettsgrunnlag etter bokstav e ikke vil frita behandlingsansvarlige fra å gjøre nødvendighets- og forholdsmessighetsvurderinger ved behandling av personopplysninger. Personvernforordningen artikkel 5 gir generelle prinsipper for behandling av personopplysninger. Blant disse er krav om et definert formål med behandlingen, at behandlingen må være relevant og nødvendig for å nå formålet, at opplysningene skal være korrekte og oppdaterte og slettes når det ikke lenger er bruk for dem, samt krav om beskyttelse av integritet og konfidensialitet.

Etter en vurdering av aktuelle høringssvar legger departementet fremdeles til grunn at Norges idrettsforbund og deres organisasjonsledd har alternative behandlingsgrunnlag etter artikkel 6, og at det følgelig ikke er et tydelig behov for å etablere et supplerende rettsgrunnlag etter personvernforordningen artikkel 6 nr. 1 bokstav e i lovforslaget

Gitt vurderingen av at idretten har alternative behandlingsgrunnlag etter artikkel 6 til å kunne behandle alminnelige personopplysninger, har ikke departementet gjort en nærmere utredning av muligheten for et supplerende rettsgrunnlag etter artikkel 6 nr. 1 bokstav e. Lovforslaget begrenser seg derfor til å etablere et rettslig grunnlag for behandling av særlige kategorier av personopplysninger og personopplysninger om straffedommer og lovovertredelser, jf. personvernforordningen artikkel 9 og artikkel 10.

5.4.4 Kartlegging av behovene i frivillig sektor som helhet

Departementet vil utrede behovet for tilsvarende hjemler for behandling av personopplysninger i frivillig sektor som helhet. I dette arbeidet vil det være nær dialog med sektoren, og departementet vil også samarbeide med andre berørte departementer.

Frivillig sektor er sammensatt av et bredt spekter av organisasjoner med vidt forskjellige medlemsmasser og ulike måter å jobber på. Behandlingsansvarlig, type informasjon som er aktuell å behandle og muligheter for personvernsikkerhet kan variere betydelig fra organisasjon til organisasjon.

På grunnlag av utredningen kan det være aktuelt å foreslå lovhjemler som ivaretar de behovene som avdekkes.