6 Utformingen av lovforslaget

6.1 Lovens formål

6.1.1 Forslaget i høringsnotatet

I høringsnotatet foreslo departementet at formålet med loven skal være å sikre en forsvarlig behandling av særlige kategorier av personopplysninger og personopplysninger om straffedommer og lovovertredelser når det er nødvendig å behandle slike opplysninger for å forebygge, avdekke og reagere mot seksuelle overgrep, trakassering og vold mv. i idretten.

6.1.2 Høringsinstansenes syn

Datatilsynet vurderer at departementet har gjort hensiktsmessige avgrensninger knyttet til lovens formål, da det som særpreger idretten som frivillig organisasjon er det store antallet barn som er medlemmer. Behandling av personopplysninger for en videre krets av formål bør eventuelt ses i sammenheng med et bredere arbeid for å kartlegge behovene til frivillige organisasjoner på generelt grunnlag, slik departementet redegjorde for i punkt 1 i høringsnotatet.

Norges idrettsforbund mener at økonomiske misligheter bør inkluderes som et fjerde behandlingsformål i loven for å gjøre det enklere for idretten å sanksjonere personer som begår underslag av offentlige midler i et idrettslag og idømmes straff for dette av domstolene.

Norges Fotballforbund mener at lovforslagets formål bør utvides, slik at det også dekker ordensforstyrrelser, da arbeid mot ordensforstyrrelser inngår i oppfølgingen av Europarådets konvensjon om en integrert tilnærming til trygghet, sikkerhet og servicetilbud ved fotballkamper og andre idrettsarrangementer. De peker blant annet på planlagt aktivisme og demonstrasjoner under idrettsarrangementer som eksempler på slike ordensforstyrrelser.

Norges studentidrettsforbund mener at lovforslaget ikke dekker alle forhold som det kan varsles om innenfor idretten. De nevner i likhet med Norges idrettsforbund økonomiske misligheter, men de peker i tillegg på korrupsjon, miljøkriminalitet og kampfiksing.

6.1.3 Departementets vurdering

I § 1 foreslår departementet at formålet med loven er å «sikre en forsvarlig behandling av særlige kategorier av personopplysninger og personopplysninger om straffedommer og lovovertredelser når det er nødvendig å behandle slike opplysninger for å forebygge, avdekke eller reagere mot seksuelle overgrep, trakassering eller vold mv. i idretten».

Idrettens behov for å behandle personopplysninger som omfattes av lovforslaget, er knyttet til det overordnede formålet å sikre trygge arenaer for deltakelse, spesielt for barn og ungdom. For å kunne nå dette målet må idretten ha mulighet til å gjøre effektive tiltak i arbeidet mot seksuelle overgrep, trakassering og vold. Slike handlinger har store negative individuelle og samfunnsmessige konsekvenser, og de er en direkte trussel mot den tryggheten alle som deltar i idretten skal oppleve. Det er derfor i alles interesse at idretten har mulighet til å forhindre slike handlinger i forbindelse med trening, konkurranse eller i en annen idrettslig sammenheng.

Noe av det som særpreger Norges idrettsforbund og deres organisasjonsledd, er det store antallet barn og ungdom som deltar. Barn og ungdom er en sårbar gruppe, og det er særlig viktig å verne dem mot skadelige handlinger. Behandlingsformålene «forebygge, avdekke eller reagere mot seksuelle overgrep, trakassering eller vold mv. i idretten» som inngår i lovforslaget er derfor særlig relevante for denne gruppen. Loven skal gi idretten grunnlag for å behandle særlige kategorier av personopplysninger og personopplysninger om straffedommer og lovovertredelser når det er nødvendig for å forebygge, avdekke og reagere mot slike handlinger i idretten.

Lovforslaget er avgrenset til disse behandlingsformålene fordi formålene i særlig grad kan begrunnes ut fra hensynet til å ivareta trygge arenaer for deltakelse for barn og ungdom. En eventuell behandling av personopplysninger for ytterligere formål vil, i tråd med innspillet fra Datatilsynet, vurderes i arbeidet med å kartlegge behovene for behandling av personopplysninger i frivillig sektor som helhet. Basert på høringsinnspillet fra Norges idrettsforbund vil behandlingsformålet «økonomiske misligheter» inngå i denne vurderingen. Arbeidet mot økonomiske misligheter er et formål som er viktig i idretten, men som vil være like aktuelt for andre frivillige organisasjoner.

Departementet vurderer også at Norges idrettsforbund og deres organisasjonsledd har flere muligheter til å følge opp og sanksjonere økonomiske misligheter i idretten etter dagens regelverk. I flere tilfeller vil saker om økonomiske misligheter involvere ansatte i idretten. Dette vil for eksempel kunne gjelde Norges idrettsforbunds sentralledd, særforbund og idrettskretser. I tillegg vil også mange av de store idrettslagene ha ansatte som økonomiansvarlige. Når saker om økonomiske misligheter involverer ansatte, vil idretten ha grunnlag for å behandle aktuelle personopplysninger på samme måte som andre arbeidsgivere.

I mange idrettslag vil saker om økonomiske misligheter også kunne involvere frivillige. Dersom idretten i oppfølgingen av slike saker har behov for å behandle alminnelige personopplysninger, vurderer departementet at de har alternative behandlingsgrunnlag etter personvernforordningen artikkel 6 for å behandle slike opplysninger. På samme måte som for behandlingsformålene «forebygge, avdekke eller reagere mot seksuelle overgrep, trakassering eller vold mv. i idretten», vurderer departementet at «berettiget interesse» etter bokstav f vil være det mest aktuelle rettslige behandlingsgrunnlaget.

Videre vurderer departementet at Norges idrettsforbund og deres organisasjonsledd i utgangspunktet ikke har behov for å behandle særlige kategorier av personopplysninger etter personvernforordningen artikkel 9 for å kunne følge opp og sanksjonere økonomiske misligheter i idretten. Departementet kan ikke se at slike personopplysninger er relevante for å kunne følge opp og sanksjonere slike saker.

Etter omstendighetene kan trolig idrettens sanksjonering av økonomiske misligheter i noen tilfeller utgjøre behandling av personopplysninger om straffedommer og lovovertredelser etter personvernforordningen artikkel 10. Det er imidlertid ingen automatikk i at slik sanksjonering vil omfattes av artikkel 10, og departementet viser her til drøftingen i punkt 6.6.4.2 om anvendelsesområdet for artikkel 10.

I de tilfeller hvor idrettens oppfølging og sanksjonering av økonomiske misligheter etter omstendighetene skulle utgjøre behandling av personopplysninger om straffedommer og lovovertredelser etter personvernforordningen artikkel 10, vurderer departementet at idretten i en del tilfeller vil kunne ha rettslig grunnlag for behandlingen etter forordningen artikkel 9 nr. 2 bokstav f. Denne bestemmelsen gjør unntak for behandling av særlige kategorier av personopplysninger som er nødvendig for å fastsette, gjøre gjeldende eller forsvare rettskrav, eller når domstolene handler innenfor rammen av sin domsmyndighet.

Bokstav f er blant unntaksbestemmelsene som kan anvendes direkte uten ytterligere nasjonale lovbestemmelser. Departementet viser her til personopplysningsloven § 11, hvor det heter at artikkel 9 nr. 2 bokstav a og c til f samt §§ 6, 7 og 9 gjelder tilsvarende for behandling av personopplysninger som nevnt i personvernforordningen artikkel 10 som ikke utføres under en offentlig myndighets kontroll. I de tilfellene hvor Norges idrettsforbund og deres organisasjonsledd kan anvende artikkel 9 nr. 2 bokstav f som grunnlag for å behandle personopplysninger i arbeidet mot økonomiske misligheter, vurderer derfor departementet at de samtidig har grunnlag for å behandle personopplysninger om straffedommer og lovovertredelser etter artikkel 10 for samme formål.

På bakgrunn av drøftingen over vurderer departementet at Norges idrettsforbund og deres organisasjonsledd har muligheter til å følge opp og sanksjonere økonomiske misligheter i idretten i dag. Departementet vil likevel vurdere behandlingsformålet ytterligere i det bredere arbeidet som skal kartlegge behovene til frivillige organisasjoner generelt.

Når det gjelder Norges Fotballforbunds forslag om at loven også bør omfatte ordensforstyrrelser, understreker departementet at idretten etter lovforslaget vil kunne behandle personopplysninger knyttet til ordensforstyrrelser, i den grad de knytter seg til et av lovens behandlingsformål. Det vil for eksempel kunne være tilfeller hvor vold eller trakassering inngår i ordensforstyrrelser. «Ordensforstyrrelser» er imidlertid et vidt begrep, og det vil kunne inkludere veldig mange ulike typer handlinger. Et behandlingsgrunnlag generelt for ordensforstyrrelser vil kunne resultere i et potensielt stort inngrep i personvernet. Det er departementets vurdering at et slikt inngrep i personvernet ikke vil være forholdsmessig, og loven bør derfor ikke åpne opp for at idretten kan behandle særlige kategorier av personopplysninger og personopplysninger om straffedommer og lovovertredelser knyttet til ordensforstyrrelser, dersom det ikke inngår elementer av seksuelle overgrep, trakassering eller vold. Departementet viser også til at politiet i mange tilfeller vil gripe inn og reagere mot personer som forstyrrer idrettsarrangementer.

6.2 Lovens virkeområde

6.2.1 Forslaget i høringsnotatet

I lovforslaget som ble sendt på høring foreslo departementet i § 2 at loven skal gjelde for «organisasjonsledd som er tilknyttet Norges idrettsforbund og olympiske og paralympiske komité (Norges idrettsforbund). Med organisasjonsledd menes sentralleddet, idrettskretser, særforbund, særkretser/regioner, idrettsråd og idrettslag. Norges idrettsforbunds påtalenemnd, domsorgan og appellorgan skal også regnes som organisasjonsledd i loven.»

Departementet foreslo videre at loven også skal gjelde på Svalbard.

6.2.2 Høringsinstansenes syn

Høringsinnspillene fra Frivillighet Norge og LNU knyttet til lovens virkeområde er omtalt i punkt 5.3.

Norges idrettsforbund peker på at begrepsbruken i departementets forslag til § 2 er upresis. Sentralleddet og de tingvalgte organene påtalenemnd, domsorgan og appellorgan defineres ikke av Norges idrettsforbund som organisasjonsledd. De foreslår derfor at § 2 omformuleres i tråd med organisasjonens egen begrepsbruk.

6.2.3 Departementets vurdering

Arbeidet med å utrede behovet for behandlingsgrunnlag i frivillig sektor som helhet er omtalt i punkt 5.4.4.

Organisatorisk virkeområde

I § 2 første ledd foreslår departementet at loven skal gjelde for Norges idrettsforbund og deres organisasjonsledd. Med Norges idrettsforbund menes her sentralleddet og tingvalgte organer som påtalenemnd, domsutvalg og appellutvalg. Med deres organisasjonsledd menes idrettskretser, særforbund, særkretser og regioner, idrettsråd og idrettslag.

Ordlyden i første ledd er i tråd med høringssvaret til Norges idrettsforbund. Justeringen i ordlyd fra høringsforslaget innebærer ingen substansiell endring i forslaget til lovens virkeområde.

Roller og oppgaver for de ulike organisasjonsleddene og organene i Norges idrettsforbund er beskrevet i punkt 3.4. Hvert organisasjonsledd er et selvstendig rettssubjekt og behandlingsansvarlig for aktuelle personopplysninger. Alle organisasjonsledd vil dermed i større eller mindre grad kunne ha behov for å behandle personopplysninger i arbeidet med å forebygge, avdekke eller reagere mot seksuelle overgrep, trakassering eller vold mv. i idretten.

De aller fleste hendelser knyttet til lovens behandlingsformål vil trolig skje i tilknytning til et lokalt idrettslag. I disse tilfellene vil det være det enkelte idrettslaget som er behandlingsansvarlig i oppfølgingen av aktuelle hendelser, for eksempel gjennom håndteringen av et varsel. I løpet av et år vil det imidlertid være et fåtall av de 7 720 idrettslagene som har behov for å behandle personopplysninger for å forebygge, avdekke eller reagere mot seksuelle overgrep, trakassering eller vold mv. i idretten. Departementet legger likevel til grunn at ethvert idrettslag potensielt kan komme i en situasjon hvor slik behandling av personopplysninger vil være nødvendig.

Behovet for å behandle personopplysninger blant særforbund, særkretser/regioner og idrettskretser vil i særlig grad gjøre seg gjeldende i tilfeller hvor de skal bistå idrettslag i deres oppfølging av konkrete hendelser. Det kan imidlertid også være tilfeller hvor de har behov for å behandle personopplysninger ved hendelser tilknyttet deres egne aktiviteter/ arrangementer. Når det gjelder sentralleddet i Norges idrettsforbund, vil deres behov for å behandle personopplysninger blant annet være knyttet til deres rådgivningsrolle overfor underliggende organisasjonsledd.

Idrettsrådene er trolig det organisasjonsleddet som i minst grad har behov for å behandle personopplysninger i arbeidet mot seksuelle overgrep, trakassering eller vold mv. i idretten. Det kan imidlertid ikke utelukkes at idrettsråd i enkelte tilfeller kan bli involvert i oppfølgingen av konkrete hendelser, og departementet mener derfor at det er formålstjenlig at de også er omfattet av denne loven.

Oppfølgingen av konkrete hendelser knyttet til seksuelle overgrep, trakassering eller vold kan resultere i at det aktuelle organisasjonsleddet mener at det også foreligger brudd på Norges idrettsforbunds straffebestemmelser. En slik sak kan enten påtales direkte til Norges idrettsforbunds domsutvalg av styret i det aktuelle organisasjonsleddet, eller så kan det fremmes en anmodning om påtale til Norges idrettsforbunds påtalenemnd. Dersom påtalenemnda beslutter å påtale forholdet til domsutvalget, blir nemnda part i saken. Partene i saken kan anke en avgjørelse fra domsutvalget til Norges idrettsforbunds appellutvalg. Både påtalenemnda, domsutvalget og appellutvalget vil ha behov for å behandle personopplysninger i deres behandling av saker knyttet til «seksuelle overgrep, trakassering eller vold mv. i idretten».

Geografisk virkeområde

I § 2 annet ledd foreslår departementet at loven også skal gjelde på Svalbard. Departementet viser til at personopplysningsloven også gjelder på Svalbard, og at det er etablert idrettslag på Svalbard som er tilknyttet Norges idrettsforbund.

6.3 Definisjoner

6.3.1 Forslaget i høringsnotatet

I høringsnotatet foreslo departementet i § 3 definisjoner av begrepene «seksuelle overgrep, trakassering og vold mv.» for denne lovens formål. Definisjonene knyttes så langt det er mulig opp mot eksisterende regelverk.

Med seksuelle overgrep mv. menes handlinger som omfattes av straffeloven §§ 291 til 318.

Med trakassering mv. menes handlinger som omfattes av likestillings- og diskrimineringsloven § 13 første til femte ledd, herunder seksuell trakassering, og straffeloven § 267 a og 267 b.

Med vold mv. menes handlinger som omfattes av straffeloven §§ 251 til 252, §§ 263 til 264, §§ 266 til 266 a, §§ 271 til 275 og §§ 280 til 283, og som overstiger det som etter idrettens regler, er godkjente handlinger i en idrett.

Handlingene i første til tredje ledd faller inn under loven her selv om de ikke straffes etter straffelovens bestemmelser. Handlingene i andre ledd som omfattes av likestillings- og diskrimineringsloven, faller inn under loven her uavhengig av om de er bragt inn for Diskrimineringsnemnda.

6.3.2 Høringsinstansenes syn

Norges idrettsforbund påpeker at flere av bestemmelsene i straffeloven kan inngå i definisjonen av både vold og trakassering, og de foreslår at vold og trakassering defineres samlet i samme ledd. De mener også at det er noen bestemmelser i straffeloven som i lovforslaget verken inngår i definisjonen av vold eller trakassering. Dette gjelder § 185 (hatefulle ytringer), § 267 (krenkelse av privatlivets fred) og §§ 326 og 327 (ran og grovt ran).

Likestillings- og diskrimineringsombudet foreslår at definisjonene av trakassering og seksuell trakassering i likestillings- og diskrimineringsloven § 13 tas inn i loven, slik det er gjort i arbeidsmiljøloven § 4-3. Dette kan gjøres i eller etter det som nå er lovforslagets § 3 andre ledd. Siden trakassering etter likestillings- og diskrimineringsloven må skje i tilknytning til ett eller flere diskrimineringsgrunnlag, foreslår de at det også tas inn en henvisning til disse. Det vil gjøre arbeidet for de som skal bruke loven, enklere.

6.3.3 Departementets vurdering

6.3.3.1 Seksuelle overgrep mv.

Departementet foreslår i § 3 første ledd at «med seksuelle overgrep mv.» menes handlinger som omfattes av straffeloven §§ 291 til 318.

Her inngår blant annet straffebestemmelser om voldtekt, misbruk av overmaktsforhold, seksuell omgang med barn mellom 14 og 16 år, seksuell handling uten samtykke og seksuelt krenkende atferd offentlig eller uten samtykke. Også handlinger som beføling, blotting, digitale eller teknologiassisterte overgrep, eller trusler av seksuell art vil kunne være straffbare.

Seksuelle overgrep i idretten kan forekomme både overfor barn og voksne. Som beskrevet i punkt 3.3, vil det å bli utsatt for seksuelle overgrep ofte ha svært stor negativ innvirkning på psykisk helse. Det er derfor både i idrettens egen interesse og samfunnets interesse at idretten jobber målrettet for å forebygge seksuelle overgrep og avdekker og reagerer mot eventuelle overgrep som har funnet sted. Dette bidrar til å sikre at idretten er en trygg arena for barn så vel som for voksne.

I sin informasjonsbrosjyre om seksuell trakassering og overgrep i idretten omtaler Norges idrettsforbund seksuelle overgrep på denne måten:

«Seksuelle overgrep vil være enhver seksuell handling utført mot noen som ikke gir, eller er i stand til å gi sitt samtykke, der handlingen medfører subjektivt ubehag, smerte, frykt eller annen opplevelse av krenkelse. Med seksuelle overgrep menes derfor å lure eller påtvinge et annet menneske seksualitet som det ikke ønsker, eller er utviklingsmessig i stand til å gi sitt samtykke til. Slike overgrep kan straffes etter straffeloven, som også definerer seksuelle overgrep i ulike alvorlighetsgrader. De mildeste former for overgrep er visning av porno eller blotting. Videre kommer «tukling»/beføling, mens de groveste overgrepene er alle former for inntrengning i kroppens hulrom. Dette defineres som voldtekt, uavhengig av om det er brukt kroppsdeler eller gjenstander. Straffeloven rammer den som i ord eller handling utviser seksuelt krenkende eller annen uanstendig atferd på offentlig sted, i nærvær av eller overfor noen som ikke har samtykket til det, eller i nærvær av eller overfor barn under 16 år samt psykisk utviklingshemmede i alle aldre. Loven omfatter også seksuell omgang ved misbruk av stilling, avhengighetsforhold eller tillitsforhold.»

Departementet vurderer at det er hensiktsmessig at definisjonene i loven her samsvarer så langt det er mulig med andre aktuelle lovbestemmelser. Det å skrive ut en tekstlig definisjon av seksuelle overgrep, for eksempel på linje med idrettens omtale av seksuelle overgrep sitert over, kan utelukke enkelte handlinger som det vil være naturlig å omfatte. Det kan også medføre tolkningsutfordringer knyttet til hva som ligger innenfor en slik definisjon. Ved å knytte definisjonen opp mot relevante straffebud i straffeloven vil omfanget av begrepet kunne tolkes i lys av hvordan straffeloven tolkes. Departementet mener det er hensiktsmessig å knytte definisjonen opp mot de relevante straffebudene i straffeloven kapittel 26 om seksuallovbrudd.

Barneomsorgsattesten, som skal bidra til å beskytte barn og unge blant annet mot seksuelle overgrep, omfatter ikke alle lovbruddene som inngår i straffeloven kapittel 26. Lovforslaget vil imidlertid ikke bare omfatte situasjoner hvor barn er involvert, men skal også bidra til å beskytte voksne mot seksuelle overgrep. Departementet mener derfor at det er grunn til å inkludere noen flere lovovertredelser i lovforslagets definisjon av seksuelle overgrep, enn det som nedtegnes på en barneomsorgsattest. For eksempel kan det være nødvendig for idretten å behandle personopplysninger i tilknytning til handlinger som faller inn under § 297 om seksuell handling uten samtykke og § 298 om seksuelt krenkende atferd offentlig eller uten samtykke. Det samme kan gjelde § 316 om kjøp av seksuelle tjenester fra voksne og § 317 om pornografi, som kan være handlinger som er lite forenlige med å ha treneransvar for barn og ungdom dersom slike handlinger forekommer i forbindelse med organisert idrettsaktivitet, for eksempel en treningsleir.

I merknadene til § 3, se punkt 8, spesifiseres det at handlingene etter første ledd faller inn under loven her selv om de i de konkrete tilfellene ikke blir straffet etter straffelovens bestemmelser. Hensikten er å ikke utelukke handlinger som ikke påtales eller straffes for eksempel på bakgrunn av prioriteringer hos politiet, strafferettslig bevisbyrde eller andre vurderinger og avgjørelser i straffesporet. Det kan i noen tilfeller likevel være grunn til at idretten bør forfølge slike saker i idrettens eget system, for å beskytte de som deltar i idretten, og da spesielt barn og unge. For eksempel vil dette kunne være aktuelt dersom idretten varsles om seksuelle overgrep som har forekommet i en idrettslig sammenheng. Idretten vil da ha behov for å kunne reagere for å beskytte andre deltakere i idretten, før politi og domstolene har ferdigbehandlet saken.

6.3.3.2 Trakassering mv.

Departementet foreslår i § 3 annet ledd at «med trakassering mv. menes handlinger som omfattes av likestillings- og diskrimineringsloven § 13 første til femte ledd, herunder seksuell trakassering, og straffeloven §§ 185, 267, 267 a og 267 b».

Likestillings- og diskrimineringsloven § 13 forbyr trakassering på grunn av kjønn, graviditet, permisjon ved fødsel eller adopsjon, omsorgsoppgaver, etnisitet, religion, livssyn, funksjonsnedsettelse, seksuell orientering, kjønnsidentitet, kjønnsuttrykk, alder eller kombinasjoner av disse grunnlagene. Med etnisitet menes blant annet nasjonal opprinnelse, avstamning, hudfarge og språk.

Loven definerer trakassering som handlinger, unnlatelser eller ytringer som har som formål eller virkning å være krenkende, skremmende, fiendtlige, nedverdigende eller ydmykende.

I trakassering inngår også seksuell trakassering. Med seksuell trakassering menes enhver form for uønsket seksuell oppmerksomhet som har som formål eller virkning å være krenkende, skremmende, fiendtlig, nedverdigende, ydmykende eller plagsom. Med seksuell oppmerksomhet menes at oppmerksomheten må være seksuelt betont eller av seksuell karakter. Oppmerksomheten kan være av verbal, ikke-verbal eller fysisk karakter. Dersom det foreligger et skjevt maktforhold mellom partene, for eksempel dersom den som blir trakassert, er i en underordnet posisjon overfor den som utviser den seksuelle oppmerksomheten, vil atferden trolig lettere anses som plagsom. Relasjonen mellom partene er derfor et sentralt vurderingstema. I idretten kan dette særlig være relevant dersom seksuell trakassering forekommer i et trener-utøver-forhold.

Bestemmelsene om trakassering og seksuell trakassering i likestillings- og diskrimineringsloven kan ramme et vidt spekter av atferd som skaper eller har til formål å skape ubehag hos den som atferden rammer. En rekke former for plagsom og sjikanøs atferd kan være trakassering. Det kan skje i form av aktive handlinger, som fysisk plaging, ødeleggelser mv. Videre kan vold eller trusler om vold, krenkende tilrop, telefonsjikane, brev eller e-post med nedsettende innhold være trakassering. Trakassering kan også ta form av unnlatelser, som for eksempel utfrysning og andre former for sosial utstøtelse.

Kravet om at handlingene, unnlatelsene eller ytringene må være «krenkende, skremmende, fiendtlige, nedverdigende eller ydmykende», betyr at det ikke er tilstrekkelig at atferden er plagsom eller irriterende. Det kreves en viss alvorlighetsgrad. Med dette siktes det til gjentakende, vedvarende eller grove handlinger eller ytringer som virker krenkende, skremmende, fiendtlige eller nedverdigende. Men også et enkeltstående tilfelle av uønsket atferd kan være ulovlig trakassering. Forarbeidene til likestillings- og diskrimineringsloven presiserer at ved enkeltstående tilfeller kreves en mer kvalifisert alvorlighetsgrad.

Ikke alle former for trakassering som forbys etter likestillings- og diskrimineringsloven, er like relevante når det gjelder trakassering som kan forekomme i idretten. Departementet legger likevel til grunn at de formene for trakassering, inkludert seksuell trakassering, som er forbudt etter likestillings- og diskrimineringsloven, vil være naturlig å inkludere i en definisjon av trakassering i denne loven. Likestillings- og diskrimineringsloven gir en plikt for ledelsen i organisasjoner til å forebygge og søke å hindre trakassering. Idretten bør derfor, når det er nødvendig, ha mulighet til å behandle personopplysninger for å kunne forebygge, avdekke og reagere mot enhver form for trakassering, inkludert seksuell trakassering, som er forbudt etter likestillings- og diskrimineringsloven, og som idretten er pålagt å arbeide mot at forekommer innen sin organisasjon.

I merknadene til § 3, se punkt 8, presiseres det at handlinger etter annet ledd som omfattes av likestillings- og diskrimineringsloven, faller inn under loven her uavhengig av om de er brakt inn for Diskrimineringsnemnda. Nemnda er et forvaltningsorgan som behandler innklagde saker om diskriminering, trakassering, seksuell trakassering og gjengjeldelse etter likestillings- og diskrimineringsloven. Nemnda avgjør årlig 100–200 saker om trakassering. De fleste trakasseringssakene meldes trolig ikke til nemnda. Et slikt prosessuelt krav vil derfor virke mot målet om at idretten skal forebygge, avdekke og reagere mot trakassering i idretten, da terskelen for mange vil bli for høy. Idretten har etter likestillings- og diskrimineringsloven et selvstendig ansvar for å forebygge og søke å hindre trakassering. Denne plikten er uavhengig av om en sak meldes til Diskrimineringsnemnda eller ikke.

Deling av seksualiserte og andre krenkende bilder, film eller lydopptak uten samtykke utgjør et økende samfunnsproblem, og det kan få alvorlige og langvarige konsekvenser for den som rammes. I 2021 ble det besluttet å tilføye spesifikke straffebestemmelser i straffeloven, § 267 a og § 267 b, for å sikre og tydeliggjøre at all uberettiget deling av krenkende bilder, film og lydopptak er straffbar. Denne typen trakassering omfattes ikke nødvendigvis av likestillings- og diskrimineringsloven § 13. Det er likevel en av de mer vanlige formene for trakassering og seksuell trakassering som skjer i idretten, og den skjer ofte over internett eller i en annen form for digital deling. Idretten bør derfor ha mulighet til å behandle personopplysninger for å kunne forebygge, avdekke og reagere mot enhver form for trakassering som er straffbar etter straffeloven § 267 a og 267 b. Departementet foreslår å inkludere disse bestemmelsene i definisjonen av trakassering.

Departementet er enig i innspillet fra Norges idrettsforbund om at straffeloven § 185 (hatefulle ytringer) og § 267 (krenkelse av privatlivets fred) bør inngå i de handlingene som denne loven definerer som trakassering. Departementet vurderer riktignok at hatefulle ytringer inngår i definisjonen av trakassering og seksuell trakassering i likestillings- og diskrimineringsloven, og at handlingen dermed allerede er dekket av definisjonen i § 3. Det kan likevel være formålstjenlig å synliggjøre dette gjennom en spesifikk referanse til straffeloven § 185. Departementet vurderer også at handlinger etter § 267 faller innenfor en vanlig forståelse av trakassering og foreslår å inkludere dem i definisjonen i § 3.

Departementet har vurdert forslaget fra Likestillings- og diskrimineringsombudet om å ta definisjonene av trakassering og seksuell trakassering i likestillings- og diskrimineringsloven § 13 inn i loven her, slik det er gjort i arbeidsmiljøloven § 4-3. Departementet er enig i behovet for å synliggjøre disse definisjonene, men ser samtidig at en slik løsning vil kunne komplisere oppbyggingen av § 3. Departementet foreslår i stedet å ta inn disse definisjonene i merknadene til § 3 (punkt 8).

6.3.3.3 Vold mv.

Departementet foreslår i § 3 tredje ledd at «med vold mv. menes handlinger som omfattes av straffeloven §§ 251, 252, 263, 264, 266, 266 a, 271, 272, 273, 274, 275, 280, 281, 282 og 283, og som overstiger det som etter idrettens regler er godkjente handlinger i en idrett».

Begrepet «vold» har ikke en entydig definisjon. Verdens helseorganisasjon (WHO) definerer vold som forsettlig bruk, eller trussel om bruk, av fysisk makt eller tvang, rettet mot en selv, andre enkeltpersoner eller en gruppe, som enten resulterer i, eller har høy sannsynlighet for å resultere i, død, fysisk eller psykisk skade, eller mangelfull utvikling.

Norges idrettsforbund viser i sin veileder for håndtering av vold og trusler til Per Isdals definisjon av vold: «Vold er enhver handling rettet mot en annen person, som gjennom at denne handlingen skader, smerter, skremmer eller krenker, får den personen til å gjøre noe mot sin vilje eller slutte å gjøre noe den vil.» (Isdal 2000). Norges idrettsforbund viser samtidig til at vold og trusler er definert i straffeloven, og at disse definisjonene ligger til grunn for forståelsen av hva som er straffbart etter idrettens lov- og regelverk.

Departementet foreslår at straffelovens bestemmelser legges til grunn for en definisjon av vold mv. i loven her. Straffeloven kapittel 25 gjelder voldslovbrudd, og kapittel 24 gjelder vern av den personlige frihet og fred. Ikke alle bestemmelsene i de to kapitlene er like relevante for behandlingsformålet «forebygge, avdekke eller reagere mot vold mv. i idretten». For eksempel er det liten grunn til å tro at bestemmelser om tvangsekteskap, frihetsberøvelse, menneskehandel, slaveri m.m. i kapittel 24 er relevante. Bestemmelser om medvirkning til selvmord, medlidenhetsdrap, kjønnslemlestelse og vold mot særskilte yrkesgrupper i kapittel 25 vil også være lite relevante. Departementet vurderer heller ikke at forsømmelse av hjelpeplikten eller det å hensette noen i hjelpeløs tilstand, er direkte relevant for å forebygge, avdekke eller reagere mot vold mv. i idretten.

Handlinger som tvang (herunder grov tvang), jf. straffeloven §§ 251 til 252, trusler (herunder grove trusler), jf. straffeloven §§ 263 til 264, hensynsløs atferd, jf. straffeloven § 266, alvorlig personforfølgelse, jf. straffeloven § 266 a, kroppskrenkelse (herunder grov kroppskrenkelse), jf. straffeloven §§ 271 til 272, kroppsskade (herunder grov kroppsskade), jf. §§ 273 til 274, drap, jf. straffeloven § 275, uaktsom forvoldelse av betydelig skade på kropp eller helse, jf. § 280, uaktsom forvoldelse av død, jf. § 281 og mishandling i nære relasjoner (herunder grov mishandling i nære relasjoner), jf. straffeloven §§ 282 til 283, foreslås inkludert i definisjonen.

Departementet har også vurdert Norges idrettsforbunds forslag om å inkludere §§ 326 og 327 (ran og grovt ran). Handlinger etter § 327 skal anmerkes på barneomsorgsattest for personer som skal ha oppgaver knyttet til mindreårige, jf. politiregisterloven § 39. Det samme gjelder ikke for § 326. I punkt 6.6.4.2 understreker departementet at idretten etter lovforslaget skal ha mulighet til å behandle personopplysninger om straffedommer og lovovertredelser som gjelder alle bestemmelser som inngår i barneomsorgsattesten, selv om enkelte av bestemmelsene ikke er direkte relatert til seksuelle overgrep, trakassering eller vold. § 327 er et eksempel på en slik bestemmelse, og departementet vurderer det ikke som hensiktsmessig å inkludere §§ 326 og 327 i definisjonen av vold mv. i § 3.

I idretten kan det i noen sammenhenger aksepteres handlinger fra utøvere som utenfor idrettsarenaen vil være straffbar vold. Et eksempel på dette er kampsport, hvor det forekommer slag og spark som en naturlig del av idretten. Her må det legges til grunn at utøverne har akseptert risikoen for å bli utsatt for disse handlingene ved å delta i idretten. Norges idrettsforbund peker imidlertid i sin veileder for håndtering av vold og trusler på at «[v]old som overstiger det som etter reglene er godkjente handlinger i en idrett, vil kunne være straffbare både i norsk rettsvesen og etter idrettens regelverk». En definisjon av vold bør derfor kun inkludere handlinger som ligger utenfor akseptert risiko og idrettens regler.

I merknadene til § 3, se punkt 8, spesifiseres det at handlingene etter tredje ledd faller inn under loven her selv om de i de konkrete tilfellene ikke blir straffet etter straffelovens bestemmelser. Det betyr at idretten vil ha adgang til å behandle personopplysninger i tilknytning til vold også i saker som ikke anmeldes, påtales eller hvor domstolene ikke ilegger straff. Hensikten er å ikke utelukke voldshandlinger som ikke anmeldes eller følges opp videre, for eksempel på bakgrunn av frykt for represalier, prioriteringer hos politiet, strafferettslig bevisbyrde eller andre vurderinger og avgjørelser i det strafferettslige sporet.

6.4 Behandlingsansvarlig

6.4.1 Forslaget i høringsnotatet

I høringsnotatet foreslo departementet en bestemmelse hvor behandlingsansvarlige ble definert slik de defineres i personvernforordningen artikkel 4 nr. 7. Bestemmelsen i forordningen definerer hvem som skal eller kan være behandlingsansvarlig i henhold til forordningens bestemmelser. Den eller de behandlingsansvarlige er primære pliktsubjekt og skal påvise at behandlingen skjer i samsvar med forordningens prinsipper om forsvarlig behandling av personopplysninger som følger av artikkel 5 nr. 1.

Organisasjonsleddet som bestemmer formålet med behandlingen av personopplysningene og hvilke midler som skal benyttes, er behandlingsansvarlig for opplysningene, jf. personvernforordningen artikkel 4 nr. 7.

6.4.2 Høringsinstansenes syn

Norges idrettsforbund mener at det ikke gis veiledning i hva som ligger i behandlingsansvaret, ut over en henvisning til personvernforordningen. Slik bestemmelsen nå er formulert, mener de at den egner seg bedre i § 3 Definisjoner. De mener også at det bør tas inn en presisering av det felles behandlingsansvaret som i enkelte tilfeller kan ligge hos flere organisasjonsledd. De ber samtidig departementet vurdere om det er hensiktsmessig å tydeliggjøre hva som inngår i behandlingsansvaret, f.eks. å sørge for at de registrertes rettigheter i personvernforordningen kapittel III blir ivaretatt.

6.4.3 Departementets vurdering

Departementet foreslår å ikke ta inn en bestemmelse om behandlingsansvarlig, slik det ble foreslått i høringsnotatet, da bestemmelsen ikke vil si noe mer enn det som fremgår av personvernforordningen artikkel 4 nr. 7, som gjelder som norsk lov, jf. personopplysningsloven § 1.

De behandlingsansvarliges plikter reguleres direkte av forordningen. Den behandlingsansvarlige har ansvaret for å overholde personvernregelverket. Dette kommer av ansvarlighetsprinsippet i forordningen artikkel 5 og artikkel 24. Den behandlingsansvarlige er blant annet ansvarlig for å behandle personopplysninger på en lovlig, rettferdig og gjennomsiktig måte, for å behandle personopplysningene på en sikker måte, for å sikre at de registrerte får utøvd sine rettigheter og for en rekke andre plikter. I punkt 6.9.3.4 omtales rettighetene de registrerte har etter forordningen kapittel III, og behandlingsansvarliges ansvar for å ivareta disse rettighetene. Datatilsynet har på sine hjemmesider en god oversikt over hvilke plikter den behandlingsansvarlige har etter personvernregelverket.

Det følger av punkt 79 i fortalen til personvernforordningen at et effektivt vern av de registrertes rettigheter og friheter krever en tydelig plassering av behandlingsansvaret. Ansvarsplassering kan imidlertid by på utfordringer i tilfeller hvor flere juridiske enheter er involvert i behandlingen, samt i tilfeller hvor det ikke er lett å skille mellom hvem som er behandlingsansvarlig, og hvem som er databehandler. Det kan også være tilfeller hvor ansvarsforholdene er delt. Et felles behandlingsansvar oppstår når to eller flere separate behandlingsansvarlige i fellesskap beslutter formålet med behandlingen og hvilke midler som skal brukes. Ansvarsforholdene må uansett avgjøres konkret i tilknytning til en bestemt behandling.

Alle organisasjonsledd i Norges idrettsforbund er selvstendige rettssubjekter og behandler personopplysninger som de også er behandlingsansvarlig for. For å kunne «forebygge, avdekke eller reagere mot seksuelle overgrep, trakassering eller vold mv. i idretten», er det nødvendig at flere organisasjonsledd i Norges idrettsforbund har adgang til å behandle personopplysninger lovforslaget omfatter. Departementet vurderer det derfor ikke som hensiktsmessig å fastslå i loven hvilket organisasjonsledd som i ethvert tilfelle er å anse som behandlingsansvarlig.

I § 6 annet ledd foreslår departementet at et organisasjonsledd kun kan behandle personopplysninger om personer nevnt i første ledd, som har eller skal ha en tilknytning til organisasjonsleddet eller til et underliggende organisasjonsledd. Det betyr at idretten må ha et system som sikrer at de enkelte sakene til enhver tid behandles i riktig organisasjonsledd.

Departementet viser for øvrig til drøftingen i punkt 6.10.3 av behovet for å gi regler i forskrift.

6.5 Behandling av særlige kategorier av personopplysninger

6.5.1 Gjeldende rett

Som omtalt i punkt 4.3.1.2 er behandling av særlige kategorier av personopplysninger i utgangspunktet forbudt, jf. personvernforordningen artikkel 9 nr. 1. Dette gjelder behandling av personopplysninger om rasemessig eller etnisk opprinnelse, politisk oppfatning, religion, filosofisk overbevisning eller fagforeningsmedlemskap, samt behandling av genetiske opplysninger og biometriske opplysninger med det formål å entydig identifisere en fysisk person, helseopplysninger eller opplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering. Slike opplysninger kan likevel behandles dersom man oppfyller et av unntakene i artikkel 9 nr. 2.

Artikkel 9 nr. 2 bokstav g åpner for behandling som er nødvendig av hensyn til viktige allmenne interesser. Anvendelse av bokstav g som rettsgrunnlag krever et supplerende rettsgrunnlag i EØS-retten eller i nasjonal rett. I tillegg krever bestemmelsen at behandlingen skal stå i et rimelig forhold til det mål som søkes oppnådd, være forenlig med det grunnleggende innholdet i retten til vern av personopplysninger og sikre egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser.

6.5.2 Forslaget i høringsnotatet

I høringsnotatet foreslo departementet et behandlingsgrunnlag for behandling av særlige kategorier av personopplysninger etter artikkel 9 i personvernforordningen. Når det er nødvendig for å forebygge, avdekke eller reagere mot seksuelle overgrep, trakassering og vold mv. i idretten, var forslaget at den behandlingsansvarlige kan behandle følgende personopplysninger som nevnt i personvernforordningen artikkel 9 nr. 1: a. opplysninger om rasemessig eller etnisk opprinnelse, b. opplysninger om politisk oppfatning, c. opplysninger om religion, d. opplysninger om en persons seksuelle orientering, e. opplysninger om en persons seksuelle forhold og f. helseopplysninger.

6.5.3 Høringsinstansenes syn

Datatilsynet er enig i at det ikke er grunn til å åpne for å behandle personopplysninger om fagforeningsmedlemskap eller genetiske og biometriske opplysninger i lovforslaget. Ettersom det er vurdert at det kan være nødvendig å behandle opplysninger om politisk oppfatning og religion, er Datatilsynet av den oppfatning at det bør vurderes om også filosofisk overbevisning skal inkluderes.

Norges idrettsforbund mener at en hjemmel for behandling av personopplysninger etter artikkel 9 bør omfatte alle særlige kategorier av personopplysninger, og ikke avgrenses til nærmere spesifiserte kategorier slik departementet foreslår. Opplysninger kan uansett kun behandles når det er nødvendig for å oppfylle lovens formål, og NIF kjenner ikke til at andre lover har en tilsvarende avgrensning av artikkel 9-opplysninger. De mener at det er uklart hvorfor politisk oppfatning er tatt med, men ikke filosofisk overbevisning eller fagforeningsmedlemskap. De peker også på at biometriske opplysninger med formål om å entydig identifisere en person blir stadig vanligere.

6.5.4 Departementets vurdering

6.5.4.1 Innledning

Norges idrettsforbund og deres organisasjonsledd har i arbeidet med å «forebygge, avdekke eller reagere mot seksuelle overgrep, trakassering eller vold mv. i idretten» behov for å behandle særlige kategorier av personopplysninger etter personvernforordningen artikkel 9. Departementet vurderer at artikkel 9 nr. 2 bokstav g er det mest aktuelle rettsgrunnlaget. Bokstav g gir et rettslig grunnlag for behandling av personopplysninger der «behandlingen er nødvendig av hensyn til viktige allmenne interesser, på grunnlag av unionsretten eller medlemsstatenes nasjonale rett som skal stå i et rimelig forhold til det mål som søkes oppnådd, være forenlig med det grunnleggende innholdet i retten til vern av personopplysninger og sikre egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser».

6.5.4.2 Viktige allmenne interesser

Hva som kan være viktige allmenne interesser, er ikke beskrevet i personvernforordningen. Ordlyden tilsier at behandlingen av personopplysninger må skje for å oppfylle formål som kommer samfunnet til gode. Ifølge juridisk teori gir bestemmelsen uttrykk for en sikkerhetsventil som tillater behandling av særlige kategorier av personopplysninger når ingen av de andre unntakene i artikkel 9 nr. 2 er oppfylt, men hvor det likevel er et klart samfunnsmessig behov for behandlingen, jf. Skullerud mfl., lovkommentar til personvernforordningen, kommentarer til artikkel 9 nr. 2 bokstav g, Juridika, ajourført 1. april 2023. Departementet vurderer at unntaket i artikkel 9 nr. 2 bokstav g vil kunne tillate behandling av særlige kategorier av personopplysninger for å «forebygge, avdekke eller reagere mot seksuelle overgrep, trakassering eller vold mv. i idretten».

Departementet viser her til drøftingen i punkt 3.3 om omfang og konsekvenser av seksuelle overgrep, trakassering og vold både i samfunnet generelt og konkret i idretten. Seksuelle overgrep, trakassering og vold utgjør et samfunns- og folkehelseproblem, og det er i samfunnets interesse at idretten jobber for å forhindre slike hendelser. Departementet vurderer derfor at viktige allmenne interesser ligger til grunn for idrettens behov for å behandle særlige kategorier av personopplysninger for å «forebygge, avdekke eller reagere mot seksuelle overgrep, trakassering eller vold mv. i idretten».

Departementet peker også på at det er idrettslag i alle landets kommuner, og at en stor andel av barn og ungdom deltar i idretten gjennom oppveksten, se punkt 3.1. Dette underbygger ytterligere at det er viktige allmenne interesser som vil ligge til grunn for idrettens behandling av personopplysninger for å følge opp de nevnte behandlingsformålene.

6.5.4.3 Forholdsmessighetsvurdering

Unntaket i artikkel 9 nr. 2 bokstav g krever at inngrepet i personvernet står i et rimelig forhold til de målene som søkes oppnådd. Det må gjøres en forholdsmessighetsvurdering, hvor hensynet til den enkeltes integritet veies opp mot formålet med behandlingen av personopplysningene.

Lovforslaget gir grunnlag for å behandle meget sensitive personopplysninger i arbeidet med å forebygge, avdekke eller reagere mot seksuelle overgrep, trakassering eller vold mv. i idretten. For eksempel vil behandling av opplysninger om seksuelle forhold i tilknytning til overgrep kunne utgjøre et stort inngrep i personvernet. Tilsvarende vil informasjon om en persons seksuelle orientering eller religion kunne utgjøre et stort inngrep, særlig der slik informasjon ikke er allment kjent.

Som omtalt i punkt 3.1, har Norges idrettsforbund flere tusen idrettslag, nærmere 1,9 millioner medlemskap og tusenvis av frivillige som hver dag gjør en innsats for at idretten skal kunne gi et godt aktivitetstilbud til sine medlemmer. Kun et fåtall av idrettslagene vil årlig måtte behandle saker om seksuelle overgrep, trakassering eller vold, men lovforslaget innebærer likevel at idretten potensielt kan behandle personopplysninger om et stort antall personer. De fleste av lagene er i det vesentlige drevet av frivillige som har begrenset kompetanse i personvern og informasjonssikkerhet. Lagene er ofte tett knyttet til lokalsamfunn og små miljøer, noe som kan øke risikoen for at sensitive personopplysninger spres. Videre vil ofrene for aktuelle handlinger kunne være barn, og det kan også være barn blant dem som utfører handlingene. Personvernrisikoen knyttet til behandling av sensitive personopplysninger i idretten kan derfor være stor, blant annet når det gjelder ivaretakelse av konfidensialitet og informasjonssikkerhet, men samtidig er det av stor samfunnsmessig betydning at idretten er en trygg arena for alle. Barn og unge har krav på særskilt beskyttelse mot overgrep og trakassering, og idrettens arbeid med å forebygge, avdekke og reagere mot overgrep, trakassering, inkludert seksuell trakassering, og vold mot barn og unge er av stor samfunnsmessig betydning. Departementet vil også peke på at staten ved domstolene gir uttrykk for viktigheten av å sikre trygge rammer for idretten, og særlig idrett for barn og unge, når domstolene ilegger rettighetstap rettet inn mot idrettslig aktivitet, se eksempler på dette i punkt 6.6.4.2. Det er følgelig i samfunnets interesse at idretten jobber aktivt for å forebygge, avdekke og reagere mot seksuelle overgrep, trakassering og vold, samt får anledning til å behandle personopplysninger når det er nødvendig for å ivareta disse formålene.

Som påpekt i punkt 3.3, har arbeidslivet klare regelverk og ansvarsforhold gjennom lovregulering av arbeidsmiljø og arbeidsgivers forpliktelser til å forebygge og reagere mot trakassering, inkludert seksuell trakassering, og andre uønskede forhold. Videre beskyttes barn og unge i skolen av opplæringslova kapittel 12 om elevenes skolemiljø. Tilsvarende regler finnes ikke for frivilligheten generelt eller idretten spesielt. Lovforslaget tar sikte på å bøte på noe av denne forskjellen.

For at idretten skal kunne «forebygge, avdekke eller reagere mot seksuelle overgrep, trakassering eller vold mv.» vil det være nødvendig å behandle særlige kategorier av personopplysninger etter personvernforordningen artikkel 9. Departementet vurderer at de tungtveiende samfunnsmessige interessene som ligger til grunn for lovforslaget, står i forhold til de inngrepene i personvernet som vil følge av idrettens behandling av nødvendige personopplysninger for å oppnå de nevnte formålene.

6.5.4.4 Tiltak for å verne den registrertes grunnleggende rettigheter og interesser

Departementet foreslår samtidig flere tiltak som skal begrense personvernkonsekvensene av lovforslaget. I § 4 foreslår departementet å avgrense hvilke særlige kategorier av personopplysninger som Norges idrettsforbund og deres organisasjonsledd skal kunne behandle, basert på nødvendighetsvurderinger (se omtale nedenfor). I forslaget til § 7 foreslås det å avgrense hvilke organisasjonsledd som kan dele personopplysninger med hverandre, basert på nødvendighetsvurderinger (se omtale i punkt 6.8). I § 8 foreslår departementet bestemmelser om tilgangsstyring og taushetsplikt (se omtale i punkt 6.9).

Forslaget til § 4 første ledd bokstavene a til g spesifiserer hvilke særlige kategorier av personopplysninger som idretten kan behandle for å forebygge, avdekke eller reagere mot seksuelle overgrep, trakassering eller vold mv. i idretten. Basert på høringsinnspillet fra Norges idrettsforbund har departementet vurdert muligheten for å gi en generell hjemmel til å behandle særlige kategorier av personopplysninger, i stedet for å spesifisere hvilke kategorier som kan behandles. Begrunnelsen for likevel å opprettholde forslaget om en lovfestet avgrensning av hvilke særlige kategorier av personopplysninger idretten kan behandle, er hensynet til de registrertes rettigheter og friheter. Som omtalt i punkt 5.4.2 og i forholdsmessighetsvurderingene i dette punktet, forsterkes risikoen ved at lovens virkeområde omfatter flere tusen idrettslag som i det vesentlige er drevet av frivillige som har begrenset kompetanse i personvern og informasjonssikkerhet.

Norges idrettsforbunds poeng om at personopplysninger uansett kun kan behandles når det er nødvendig for å oppfylle lovens formål, baserer seg på at de behandlingsansvarlige skal gjøre påkrevde nødvendighetsvurderinger i hvert enkelt tilfelle. Departementet vektlegger her at utformingen av § 4 må ta utgangspunkt i hvilke særlige kategorier av personopplysninger som er strengt nødvendige å behandle for å ivareta lovens behandlingsformål. Departementet vurderer at enkelte kategorier ikke er relevante å behandle, se nedenfor. Å avgrense hvilke kategorier av personopplysninger som kan behandles, vil lette de behandlingsansvarliges ansvar, da noen nødvendighetsvurderinger allerede er gjort i loven.

Innenfor det behandlingsgrunnlaget som gis i loven, vil de behandlingsansvarlige likevel måtte gjøre påkrevde nødvendighets- og forholdsmessighetsvurderinger i hvert enkelt tilfelle. Forslaget til § 4 første ledd presiserer at behandling av særlige kategorier av personopplysninger bare må skje når det er «nødvendig» for å forebygge, avdekke eller reagere mot seksuelle overgrep, trakassering eller vold mv. i idretten. De behandlingsansvarlige må derfor ta stilling til hvilke opplysninger som er nødvendige å behandle i konkrete tilfeller for å oppnå lovens formål. Departementet presiserer her at idretten må legge til grunn en streng nødvendighetsvurdering.

I utgangspunktet er personvernregelverket for barn det samme som for voksne. I personvernforordningens fortale er det imidlertid framhevet at barns personopplysninger fortjener et særlig vern, ettersom barn kan være mindre bevisste på aktuelle risikoer, konsekvenser og rettigheter. Både i fortalen og i forordningens artikkel 12 framgår det at man særlig må ta hensyn til utforming når informasjon rettes mot barn. I Datatilsynets praksis og uttalelser ser man også at barns særskilte vern framheves.

I saker om seksuelle overgrep, trakassering eller vold mv. i idretten kan både personen som har utført handlingene, og personen som er utsatt for handlingene, være barn under 18 år. Selv om bestemmelsene i lovforslaget ikke spesifikt skiller mellom barn og voksne, vurderer departementet likevel at barns særskilte vern bør inngå i de forholdsmessighetsvurderingene som de behandlingsansvarlige skal gjøre. Vurderingen av hvilke personopplysninger som er nødvendige å behandle for å følge opp lovens behandlingsformål, kan dermed i konkrete tilfeller påvirkes av alderen til de involverte personene.

6.5.4.5 Særlige kategorier av personopplysninger som idretten skal kunne behandle etter denne loven

I § 4 første ledd bokstavene a til g foreslår departementet at det skal kunne behandles følgende personopplysninger som nevnt i personvernforordningen artikkel 9 nr. 1: a. opplysninger om rasemessig eller etnisk opprinnelse, b. opplysninger om politisk oppfatning, c. opplysninger om filosofisk overbevisning, d. opplysninger om religion, e. opplysninger om en persons seksuelle orientering, f. opplysninger om en persons seksuelle forhold og g. helseopplysninger.

I saker som gjelder trakassering eller vold på bakgrunn av rasisme eller annen diskriminering, kan det være nødvendig å behandle personopplysninger om en persons rasemessige eller etniske opprinnelse, eller religion. Også en persons politiske oppfatning kan være relevant i trakasseringssaker, for eksempel ved trakassering på bakgrunn av medlemskap i en politisk ungdomsorganisasjon eller kontroversielle politiske meninger.

I en sak hvor idretten mottar et varsel eller en bekymringsmelding om seksuelle overgrep eller seksuell trakassering i idretten, for eksempel gjennom varslingskanalen MittVarsel, kan det være nødvendig å behandle opplysninger om en persons seksuelle forhold og eventuelt indirekte seksuelle orientering, der dette kommer frem av de handlingene varselet gjelder. I arbeidet med å avdekke slike hendelser vil det kunne være nødvendig for det behandlingsansvarlige organisasjonsleddet å behandle denne typen sensitive personopplysninger om den personen et eventuelt overgrep har blitt begått mot.

I tillegg vil det i slike saker også kunne være nødvendig å behandle helseopplysninger, der saken eksempelvis inneholder informasjon om konsekvensene av handlingene, for eksempel fysiske skader eller psykiske reaksjoner etter hendelsen. Dette kan særlig gjøre seg gjeldende når idretten skal reagere i en slik sak etter idrettens eget sanksjonsregelverk.

I saker som gjelder «vold mv.», vil det være relevant å behandle helseopplysninger for å beskrive virkningen av voldshandlingene. Det kan også være saker der vold er et element, men der saken også omfatter rasisme eller annen diskriminering. I så fall kan det være behov for å behandle også disse kategoriene av personopplysninger.

I høringsnotatet inngikk ikke «filosofisk overbevisning» i forslaget til særlige kategorier av personopplysninger som idretten skal kunne behandle i arbeidet mot seksuelle overgrep, trakassering og vold. Basert på høringsinnspill fra Datatilsynet og Norges idrettsforbund foreslår departementet å inkludere «filosofisk overbevisning» i § 4. Opplysninger om politisk oppfatning og om religion inngår allerede i forslaget, og departementet begrunner ovenfor hvorfor det kan være behov for idretten å behandle slike personopplysninger i arbeidet på dette området, særlig i arbeidet mot trakassering og vold. Departementets vurdering er at opplysninger om filosofisk overbevisning er nært beslektet med opplysninger om politisk oppfatning og religion, og at begrunnelsen for å behandle disse kategoriene av personopplysninger også kan brukes om kategorien «filosofisk overbevisning».

6.5.4.6 Særlige kategorier av personopplysninger som idretten ikke skal kunne behandle etter denne loven

Personvernforordningen artikkel 4 nr. 13 definerer «genetiske opplysninger» som «personopplysninger om en fysisk persons nedarvede genetiske egenskaper som gir unik informasjon om den aktuelle fysiske personens fysiologi eller helse, og som særlig er framkommet etter analysering av en biologisk prøve fra den aktuelle personen».

I artikkel 4 nr. 14 defineres «biometriske opplysninger» som «personopplysninger som stammer fra en særskilt teknisk behandling knyttet til en fysisk persons fysiske, fysiologiske eller adferdsmessige egenskaper, og som muliggjør eller bekrefter en entydig identifikasjon av nevnte fysiske person, for eksempel ansiktsbilder eller fingeravtrykksopplysninger».

Behandling av denne typen personopplysninger utgjør et betydelig inngrep i personvernet. Departementet vurderer at det ikke er strengt nødvendig å behandle verken genetiske eller biometriske opplysninger for å ivareta lovens behandlingsformål. I lys av dette foreslår departementet å avgrense behandlingsgrunnlaget i loven mot slike personopplysninger.

Departementet ser heller ikke at fagforeningsmedlemskap er en relevant personopplysning å behandle i arbeidet mot seksuelle overgrep, trakassering og vold i idretten. Forslaget er derfor å avgrense behandlingsgrunnlaget også mot denne kategorien av personopplysninger.

6.5.4.7 Sammenhenger hvor idretten har behov for å behandle særlige kategorier av personopplysninger

Etter lovforslaget § 4 kan Norges idrettsforbund og deres organisasjonsledd behandle særlige kategorier av personopplysninger når det er «nødvendig for å forebygge, avdekke eller reagere mot seksuelle overgrep, trakassering eller vold mv. i idretten».

Det generelle arbeidet med å «forebygge» seksuelle overgrep, trakassering eller vold mv. vil idretten i stor grad kunne gjennomføre uten at det er nødvendig å behandle særlige kategorier av personopplysninger. Forebyggende arbeid kan imidlertid også foregå på individnivå, for eksempel gjennom oppfølging av varsler eller annen informasjon om konkrete personer tilknyttet idretten, eller gjennom håndteringen av ordningen med barneomsorgsattester og fornyet vandelskontroll. I dette forebyggende arbeidet vil det kunne være nødvendig å behandle særlige kategorier av personopplysninger.

I arbeidet med å «avdekke» seksuelle overgrep, trakassering eller vold mv. kan det for eksempel være nødvendig å behandle særlige kategorier av personopplysninger i oppfølgingen av konkrete varsler mot personer med tilknytning til idretten. For å kunne avdekke handlingene kan det i noen tilfeller være nødvendig å behandle slike personopplysninger både om personene som har begått handlingene, og om personene som er utsatt for dem.

Arbeidet med å «reagere mot» seksuelle overgrep, trakassering eller vold mv. vil for eksempel inkludere behandling av saker i Norges idrettsforbunds påtalenemnd, domsutvalg og appellutvalg. For at saker om seksuelle overgrep, trakassering eller vold mv. skal kunne sanksjoneres kan det være nødvendig å behandle særlige kategorier av personopplysninger både om personene som har begått aktuelle handlinger, og om personene som er utsatt for handlingene. Det kan for eksempel være behov for å behandle informasjon om at trakassering eller vold var motivert av personens hudfarge eller legning, eller informasjon om helsemessige konsekvenser av seksuelle overgrep eller vold. Slike forhold kan virke skjerpende i en sanksjonsvurdering etter idrettens regelverk.

I § 2 om lovens virkeområde slås det fast at loven gjelder for Norges idrettsforbund og olympiske og paralympiske komité og deres organisasjonsledd. Lovens virkeområde reflekteres i § 4, hvor det heter at det kan behandles særlige kategorier av personopplysninger når det er nødvendig for å forebygge, avdekke, eller reagere mot seksuelle overgrep, trakassering eller vold mv. «i idretten».

I lys av nødvendighetsvilkåret og lovens virkeområde legger departementet til grunn at det i de aller fleste tilfeller kun vil være grunnlag for idretten til å behandle særlige kategorier av personopplysninger i tilknytning til handlinger som finner sted forbindelse med trening, konkurranse eller annet arrangement organisert av eller i samarbeid med et organisasjonsledd, eller handlinger som skjer i en relasjon som innebærer et tillits- eller ansvarsforhold overfor andre i idretten. Dette kan sies å være handlinger som skjer i en idrettslig sammenheng. Uttrykket «idrettslig sammenheng» brukes ikke i lovteksten, men i punkt 8 inngår det merknader til § 4 og § 5 bokstav e som presiserer hva som menes med dette. Merknadene fungerer som en veiledning for de behandlingsansvarlige, men de gir ikke en uttømmende opplisting av hva som kan utgjøre en idrettslig sammenheng.

Departementet har vurdert behovet for en bestemmelse i lovforslaget § 4 som speiler § 5 første ledd bokstav e. Den sistnevnte bestemmelsen sier at det kan behandles personopplysninger om straffedommer og lovovertredelser som gjelder «lovbrudd som har forekommet i forbindelse med trening, konkurranse eller annet arrangement organisert av eller i samarbeid med et organisasjonsledd, eller lovbrudd som er utført i en relasjon som innebærer et tillits- eller ansvarsforhold overfor andre i idretten».

Nødvendighetsvilkåret i lovforslaget § 4 innebærer at behandling av særlige kategorier av personopplysninger i hovedsak vil være aktuelt i tilfeller hvor seksuelle overgrep, trakassering eller vold mv. har skjedd i sammenhenger som beskrevet i § 5 første ledd bokstav e. Det kan imidlertid være noen unntakstilfeller hvor det vil være behov for å behandle særlige kategorier av personopplysninger i tilknytning til behandlingen av personopplysninger om straffedommer og lovovertredelser etter § 5 første ledd bokstav a til d. Slike straffedommer og lovovertredelser kan knytte seg til hendelser som har skjedd både i og utenfor en idrettslig sammenheng. Departementet har derfor valgt å ikke innta en bestemmelse i § 4 som kun åpner for behandling av særlige kategorier av personopplysninger knyttet til handlinger som har foregått i sammenhenger som beskrevet i § 5 første ledd bokstav e (en idrettslig sammenheng).

6.6 Behandling av personopplysninger om straffedommer og lovovertredelser

6.6.1 Gjeldende rett

Personvernforordningen artikkel 10 krever at det er etablert et hjemmelsgrunnlag i EØS-retten eller nasjonal rett dersom behandling av personopplysninger om straffedommer og lovovertredelser og tilknyttede sikkerhetstiltak skal gjennomføres utenfor offentlige myndigheters kontroll. Dersom idretten skal ha mulighet til å behandle slike personopplysninger, er det behov for en egen hjemmel i lov eller forskrift om dette.

Personvernforordningen artikkel 10 gjelder i tillegg til reglene om behandlingsgrunnlag etter artikkel 6. Det innebærer at det må foreligge et behandlingsgrunnlag også etter artikkel 6 for at behandling av personopplysninger om straffedommer og lovovertredelser skal være lovlig. Departementet viser her til punkt 5.4.3, som vurderer hvilket behandlingsgrunnlag etter artikkel 6 som kan være gjeldende for idretten.

6.6.2 Forslaget i høringsnotatet

I høringsnotatet foreslo departementet et behandlingsgrunnlag for behandling av personopplysninger om straffedommer og lovovertredelser etter artikkel 10 i personvernforordningen. Når det er nødvendig for å forebygge, avdekke eller reagere mot seksuelle overgrep, trakassering og vold mv. i idretten, kan den behandlingsansvarlige behandle følgende personopplysninger, jf. personvernforordningen artikkel 10:

1. Opplysninger i barneomsorgsattest, jf. politiregisterloven § 39

2. Opplysninger som gir grunn til å tro at det er behov for å be om fornyet vandelskontroll, jf. politiregisterloven § 43

3. Opplysninger som er nødvendige for å kunne følge opp dommer om rettighetstap

4. Opplysninger som gjelder lovbrudd som har forekommet i forbindelse med trening, konkurranse eller annet organisert idrettsarrangement, eller lovbrudd som er utført i en relasjon som innebærer et tillits- eller ansvarsforhold overfor andre i idretten.

6.6.3 Høringsinstansenes syn

Det er flere høringsinstanser som har uttalt seg om denne bestemmelsen i lovforslaget.

Datatilsynet vurderer at departementet i utgangspunktet har gjort hensiktsmessige avgrensninger i forslaget. De påpeker imidlertid at grensene for hva som utgjør personopplysninger om straffedommer og lovovertredelser etter personvernforordningen artikkel 10, ikke er fullstendig klarlagt i praksis. De anbefaler at lovforslaget hensyntar at opplysninger om at noen er ilagt straff av NIFs egne domsorganer, etter omstendighetene kan omfattes av artikkel 10 i seg selv, og konsekvensene dette innebærer for behandling av slike personopplysninger.

Norges idrettsforbund mener at det ikke er behov for å avgrense loven til å omfatte en opplisting av bestemte opplysninger knyttet til lovovertredelser og straffedommer, slik det ble gjort i lovforslaget. De viser til at det etter lovforslagets § 1 kun kan behandles personopplysninger når det er nødvendig for å forebygge, avdekke og reagere mot seksuelle overgrep, trakassering og vold mv. i idretten.

Lovforslaget gir anledning til å behandle opplysninger om straffebestemmelser som måtte fremkomme av barneomsorgsattesten, forutsatt at dette gjøres for å oppnå formålene i lovforslaget. Norges idrettsforbund mener at dette blir for snevert, og at opplysninger må kunne behandles uavhengig av de angitte formålene. De mener også det er for snevert å gi hjemmel til å behandle «opplysninger som fremkommer av barneomsorgsattesten». De påpeker at de har behov for å behandle alle personopplysninger som er nødvendige i forbindelse med håndteringen av barneomsorgsattester, ikke bare opplysninger som fremkommer av selve attesten. Det samme gjelder hjemmel for å behandle alle opplysninger som gir grunn til å tro at det er behov for å be om fornyet vandelskontroll.

Norges idrettsforbund er fornøyd med at departementet hjemler et klart grunnlag for behandling av personopplysninger for å følge opp dommer om rettighetstap. De peker imidlertid på en praktisk utfordring ved forslaget til bestemmelse om rettighetstap. De hevder at et idrettslag som mottar informasjon om et rettighetstap, ikke kan vite om det kan anvendes for å forebygge seksuelle overgrep, trakassering eller vold uten at de vet hva vedkommende er dømt for. For å sikre at idrettslag har hjemmel til å behandle opplysningene må som minimum hele domsslutningen bli oversendt, og den kan inneholde mange andre lovbrudd enn dem som er listet opp i lovforslagets definisjon i § 3.

Oslo Idrettskrets mener at det sentrale er om handlingene har skjedd i tilknytning til idretten, og de foreslår at personopplysninger om straffedommer og lovovertredelser skal kunne behandles ved lovbrudd som skjer i tilknytning til virksomheten til Norges idrettsforbund og underliggende organisasjonsledd.

Politidirektoratet, Kripos og Øst politidistrikt påpeker at det ved utarbeidelse av politiattest gjøres søk i politiets registre hvor det kan fremkomme andre opplysninger som er relevante for vurderingen av om en person er skikket eller egnet til å ha omsorg for mindreårige. Slike opplysninger vil ikke fremkomme av attesten, men kan utleveres av politiet med hjemmel i politiregisterloven §§ 27, 30 eller 31 til den som har rett til å kreve fremlagt attest. De mener derfor at det bør klargjøres i lovteksten at også opplysninger som formidles på slikt grunnlag, er omfattet av lovforslaget. Dette kan eksempelvis gjøres med en tilføyelse i bestemmelsen som klargjør at også opplysninger som er utlevert fra politiet med hjemmel i politiregisterloven §§ 27 og 31, kan behandles for samme formål.

6.6.4 Departementets vurdering

6.6.4.1 Innledning

Idrettslag har sammen med en rekke andre frivillige organisasjoner mulighet til å innhente politiattest (barneomsorgsattest) for frivillige som skal jobbe med barn og unge eller andre sårbare grupper. Politiet har hjemmelsgrunnlag til å dele slike opplysninger for de formålene som omfattes av politiregisterregelverket. Dette er nærmere beskrevet i punkt 4.4 om politiregisterloven og politiregisterforskriften.

Attester utstedes for at mottaker skal kunne vurdere om personen skal gis en stilling, oppgave, verv eller lignende. Ordningen er ment som en effektiv inngangskontroll og skal sikre at personer som er siktet, tiltalt, har vedtatt forelegg eller er dømt for overtredelser av straffebud som fremgår i politiregisterloven § 39, ikke kan utføre oppgaver som innebærer et tillits- eller ansvarsforhold overfor mindreårige eller personer med utviklingshemming.

En barneomsorgsattest gir kun et øyeblikksbilde. Det kan skje endringer som ikke fremgår av den opprinnelige attesten, og som gjelder personopplysninger om straffedommer og lovovertredelser. Lagene kan motta slik informasjon på ulike måter, for eksempel gjennom varslingskanaler. Informasjonen vil være relevant for å kunne be om fornyet vandelskontroll, jf. politiregisterloven § 43. Informasjonen vil også være relevant for at idretten selv skal kunne reagere mot personer som har begått lovovertredelsen, ved å kunne behandle sakene i idrettens eget sanksjonssystem.

Det vil også være tilfeller hvor idretten har behov for å behandle personopplysninger som fremgår av straffedommer, for å kunne følge opp dommer om rettighetstap. Rettighetstap kan ilegges etter straffeloven kapittel 10 og innebærer tap av retten til å ha en stilling eller utøve en virksomhet eller aktivitet.

For at opplysninger om straffedommer og andre lovovertredelser skal kunne brukes til et bestemt formål må mottaker av opplysningene ha et tilstrekkelig behandlingsgrunnlag for den videre behandlingen. Som beskrevet over, forutsettes det at slik hjemmel er fastsatt i regelverk som gjelder for mottakeren av opplysningene. Departementet vurderer derfor at det er behov for en klar hjemmel for idretten til å behandle personopplysninger om straffedommer og andre lovovertredelser for å følge opp behandlingsformålene i lovforslaget. Dette vil også styrke de registrertes rettigheter, ved at det blir tydeligere for hvilke formål og i hvilke situasjoner idretten kan behandle slike personopplysninger.

6.6.4.2 Innramming av behandlingsgrunnlaget

Oversikt

I § 5 foreslår departementet at det kan behandles personopplysninger om straffedommer og lovovertredelser etter personvernforordningen artikkel 10, når det er nødvendig for å «forebygge, avdekke eller reagere mot seksuelle overgrep, trakassering eller vold mv. i idretten».

Departementet foreslår i bokstavene a til e å beskrive fem sammenhenger/tilfeller hvor Norges idrettsforbund og deres organisasjonsledd gis hjemmel til å behandle slike personopplysninger. Bokstav a gjelder opplysninger som inngår i barneomsorgsattester. Bokstav b gjelder opplysninger utlevert fra politiet med hjemmel i politiregisterloven. Bokstav c gjelder opplysninger som gir grunn til å tro at det er behov for å be om fornyet vandelskontroll. Bokstav d gjelder opplysninger som er nødvendige for å kunne følge opp dommer om rettighetstap. Bokstav e gjelder opplysninger knyttet til lovbrudd som har forekommet i forbindelse med trening, konkurranse eller annet arrangement organisert av eller i samarbeid med et organisasjonsledd, eller handlinger som er utført i en relasjon som innebærer et tillits- eller ansvarsforhold overfor andre i idretten.

Departementet har på grunnlag av høringssvaret fra Norges idrettsforbund vurdert om § 5 kan gi idretten en generell adgang til å behandle personopplysninger om straffedommer og lovovertredelser som er nødvendige for å følge opp lovens behandlingsformål. Med en slik generell hjemmel vil det i større grad være opp til idretten selv å definere hvilke personopplysninger som er relevante å behandle for å oppnå formålene. For å sikre at det ikke gjøres større inngrep i personvernet enn nødvendig, vurderer departementet at det er formålstjenlig å beskrive nærmere tilfeller hvor de behandlingsansvarlige kan behandle slike personopplysninger.

Datatilsynet påpeker imidlertid i sitt høringssvar at grensene for hva som utgjør personopplysninger om straffedommer og lovovertredelser etter personvernforordningen artikkel 10, ikke er fullstendig klarlagt i praksis. Departementet vurderer på denne bakgrunnen at § 5 bokstavene a til e likevel ikke bør utgjøre en uttømmende liste over hvilke personopplysninger om straffedommer og lovovertredelser som kan behandles. Det vil kunne gi behov for å endre loven dersom grensene for hva som utgjør personopplysninger om straffedommer og lovovertredelser etter artikkel 10, endres. For å balansere personvernhensynet med behovet for nødvendig fleksibilitet i § 5 foreslår departementet å legge inn formuleringen «blant annet» før opplistingen i bokstavene a til e, slik at listen over personopplysninger som kan behandles, ikke er uttømmende. Opplistingen i bokstavene a til e betyr likevel at behandling av personopplysninger først og fremst vil være aktuelt i disse sammenhengene.

Gjennom formuleringen «blant annet» søker departementet særlig å hensynta at opplysninger om at noen er ilagt straff av Norges idrettsforbunds egne domsorganer, etter omstendighetene kan omfattes av artikkel 10 i seg selv, jf. Datatilsynets høringssvar. Tilsynet viser her til uttalelsen fra EU-domstolens generaladvokat i C-115/22, hvor vurderingen var at artikkel 10 omfatter avgjørelser om suspensjon for å ha brutt antidopingregelverket i idretten, uavhengig av om dette er straffbart etter nasjonal rett. Generaladvokaten la til grunn at straffebegrepet i artikkel 10 må tolkes autonomt, og at retten måtte vurdere handlingens/ lovbruddets karakter og hvor streng sanksjon den som har utført handlingen, risikerer.

Sak C-115/22 ble senere avvist av EU-domstolen som følge av prosessuelle mangler, og domstolen tok ikke stilling til generaladvokatens vurdering av anvendelsesområdet for artikkel 10. Departementet har derfor ikke konkludert med om sanksjoner i idrettens domsorganer vil omfattes av artikkel 10. Virkeområdet for artikkel 10 synes imidlertid å være dynamisk, og det kan ikke utelukkes at avgjørelser i idrettens domsorganer etter omstendighetene kan omfattes av artikkel 10. I den grad avgjørelser fra idrettens domsorganer skulle anses som artikkel 10-opplysninger, vil slike avgjørelser ha et behandlingsgrunnlag i departementets forslag til § 5.

Etter forslaget til § 5 kan det behandles personopplysninger om straffedommer og lovovertredelser når det er nødvendig for å «forebygge, avdekke eller reagere mot seksuelle overgrep, trakassering eller vold mv. i idretten». Behandlingsansvarlige som får tilgang til personopplysninger om straffedommer og lovovertredelser som gjelder andre forhold enn hva lovforslaget omfatter, vil i utgangspunktet ikke ha mulighet til å behandle slik informasjon, om det ikke finnes et annet rettslig grunnlag for behandlingen.

Departementet presiserer likevel at § 5 bokstavene a til d i noen tilfeller også kan omfatte handlinger som ikke er direkte relatert til seksuelle overgrep, trakassering eller vold, f.eks. narkotikaforbrytelser. For at idretten skal kunne følge opp behandlingsformålene «forebygge, avdekke eller reagere mot seksuelle overgrep, trakassering eller vold mv. i idretten» kan det etter omstendighetene også være nødvendig å behandle personopplysninger knyttet til slike handlinger. § 5 bokstav a til d gir behandlingsgrunnlag for dette. Behandling av personopplysninger etter bokstavene a til d vil uansett være relevant for å ivareta trygge rammer for barn og voksnes deltakelse i idretten, som er det overordnede formålet med lovforslaget. Dette er nærmere beskrevet i punkt 6.1.3.

Opplysninger i barneomsorgsattest

I bokstav a foreslår departementet at idretten skal kunne behandle opplysninger fra barneomsorgsattest som fremlegges av personer som skal utføre oppgaver som innebærer et tillits- eller ansvarsforhold overfor mindreårige eller personer med utviklingshemming, jf. politiregisterforskriften § 34-1 og § 34-13, jf. politiregisterloven § 39.

Krav om vandelskontroll i form av barneomsorgsattest er ett av flere relevante tiltak for å forebygge seksuelle overgrep, trakassering og vold overfor barn, unge og personer med utviklingshemming i idretten. En barneomsorgsattest gir imidlertid kun opplysninger om at en person har vært ilagt straff eller andre strafferettslige reaksjoner eller er under straffeforfølgning. En attest uten anmerkninger er ingen garanti for at en person ikke har begått, eller kommer til å begå, overgrep mot mindreårige. Barneomsorgsattesten er heller ingen garanti for at en person er egnet til å ha oppgaver eller ansvar overfor mindreårige.

I barneomsorgsattesten anmerkes det om en person er siktet, tiltalt, har vedtatt forelegg eller er dømt for en rekke straffbare forhold. Forarbeidene til politiregisterloven, Ot.prp. nr. 108 (2008–2009) punkt 21.7 side 313, viser til at hensikten med loven § 39 er å skape en ensartet praksis på de områdene der det kreves politiattest for personer som har omsorg for eller oppgaver knyttet til barn. Videre pekes det på at straffebestemmelsene som skal anmerkes, er avgrenset til straffbare handlinger som er relevante for formålet om å beskytte barn og unge, herunder seksualforbrytelser, volds- og ransforbrytelser og narkotikaforbrytelser.

I arbeidet med politiregisterloven er det gjort en vurdering av hvilke straffebestemmelser som er særlig relevante i lys av formålet om å beskytte barn og unge. Enkelte straffebestemmelser som er relevante for barneomsorgsattesten, er ikke direkte relatert til seksuelle overgrep, trakassering eller vold, for eksempel narkotikaforbrytelser. Departementet ser det likevel ikke som hensiktsmessig i lovforslaget å avgrense mot enkelte bestemmelser som inngår i barneomsorgsattesten, og dermed fjerne idrettens mulighet til å behandle personopplysninger om straffedommer og lovovertredelser for slike forhold.

Personopplysningene som fremgår av barneomsorgsattesten, skal kun behandles for intern bruk i idrettslaget for å ivareta formålet med ordningen. Det er ikke opplysninger som skal deles med andre organisasjonsledd. Hvert idrettslag har selv ansvar for å innhente slik attest når de skal engasjere personer som skal utføre oppgaver som innebærer et tillits- eller ansvarsforhold overfor mindreårige eller personer med utviklingshemming. Det vil følgelig ikke være aktuelt å dele slik informasjon mellom idrettslag.

Ved førstegangsfremvisning av barneomsorgsattest vil idrettslagets behandling av personopplysninger være begrenset. Den vil bestå i å nekte personer med merknader på attesten å få et verv som innebærer et tillits- eller ansvarsforhold overfor mindreårige eller personer med utviklingshemming. Ved fornyet vandelskontroll, hvor det avdekkes merknader på barneomsorgsattesten, vil behandlingen av personopplysninger være noe mer omfattende. Her vil vedkommende som mottar attesten (politiattestansvarlig), måtte fremlegge opplysningene for de nødvendige organene eller ansvarlige i idrettslaget for å sikre at personen ikke kan ha verv som innebærer et tillits- eller ansvarsforhold overfor mindreårige eller personer med utviklingshemming.

Opplysninger som er utlevert fra politiet med hjemmel i politiregisterloven

I bokstav b foreslår departementet at idretten skal kunne behandle opplysninger utlevert fra politiet med hjemmel i politiregisterloven §§ 27 og 31. Forslaget ivaretar høringssvaret fra politiet.

Politiets høringssvar vektlegger at opplysninger som ikke fremkommer av barneomsorgsattesten, men som er relevante for vurderingen av om en person er skikket eller egnet til å ha omsorg for mindreårige, bør omfattes av lovforslaget. Dette forholdet har også Norges idrettsforbund omtalt i sitt høringssvar. Departementet legger til grunn at politiet gjør grundige vurderinger av idrettens behov når de utleverer opplysninger med hjemmel i politiregisterloven §§ 27 og 31. For at Norges idrettsforbund og deres organisasjonsledd skal kunne «forebygge, avdekke eller reagere mot seksuelle overgrep, trakassering eller vold mv. i idretten» gir bestemmelsen adgang til å behandle opplysninger utlevert fra politiet.

Opplysninger som gir grunn til å tro at det er behov for å be om fornyet vandelskontroll

I bokstav c foreslår departementet at idretten skal ha mulighet til å behandle opplysninger som gir grunn til å tro at det er behov for å be om fornyet vandelskontroll. Forarbeidene til politiregisterloven § 43, som gjelder utlevering av opplysninger etter at politiattest er utstedt, viser til at bestemmelsen gjelder tilfeller der brukeren av opplysningene, etter at attesten er utstedt, får tilgang til informasjon som gir grunn til å tro at det foreligger nye opplysninger av betydning for innholdet på attesten.

I tilfeller hvor idretten mottar informasjon om nye relevante straffbare forhold, for eksempel gjennom varslingskanalen MittVarsel, vil det være nødvendig å behandle slike opplysninger for å kunne innhente en fornyet vandelskontroll. For eksempel kan idretten få opplysninger om at en person har blitt straffedømt eller siktet for forhold som vil vises på fornyet vandelskontroll.

Departementet vurderer at idretten i dag ikke har nødvendig hjemmelsgrunnlag til å behandle personopplysninger om straffedommer og lovovertredelser for dette formålet. Det er ikke tilfredsstillende med tanke på å skulle følge opp behandlingsformålene i denne loven. For det første gir det idrettslag få muligheter til å motta, nedtegne og reagere på nye opplysninger om slike forhold i form av varsler e.l. For det andre gir det ikke idrettslag mulighet til å varsle andre idrettslag i tilfeller der det har oppstått etterfølgende forhold som ikke vises på en barneomsorgsattest.

Departementet vurderer derfor at det bør være en klar hjemmel som åpner opp for at idretten kan behandle personopplysninger om straffedommer og lovovertredelser når det er behov for å be om fornyet vandelskontroll. Departementet viser her særlig til at bestemmelsen kun vil gjelde i tilfeller hvor hensynet bak behandlingen av personopplysningene vil være å beskytte barn, unge og andre sårbare grupper.

Opplysninger om dommer om rettighetstap

I bokstav d foreslår departementet at idretten skal ha adgang til å behandle opplysninger som er nødvendige for å kunne følge opp dommer om rettighetstap, jf. straffeloven § 56. Rettighetstap kan ilegges etter straffeloven kapittel 10 og innebærer tap av retten til å ha en stilling eller utøve en virksomhet eller aktivitet. Etter straffeloven § 56 kan en person som har begått en straffbar handling, fratas retten til å ha en stilling eller utøve en virksomhet eller aktivitet. Rettighetstapet vil normalt kunne idømmes for inntil fem år, men kan når særlige grunner tilsier det, ilegges på ubestemt tid. Det er et vilkår at allmenne hensyn tilsier en slik reaksjon og at den straffbare handlingen viser at vedkommende er uskikket til eller kan misbruke en stilling, virksomhet eller aktivitet. Eksempler på rettighetstap som er ilagt av domstolene og som er relevante for idretten, er:

«A dømmes til å tåle tap av retten til for framtida å inneha stilling eller utføre organisert frivillig arbeid rettet mot barn.»

«A fradømmes for en periode på 5 – fem – år retten til å være instruktør, trener eller å ha ledende stilling for jenter under 20 år»

«A, (…), fradømmes retten til å arbeide som lærer/ansatt innenfor barne- og ungdomssektoren eller barnehagesektoren og barne- og ungdomsarbeider i organisasjoner/idrettslag i 5 – fem – år»

Idretten har behov for å behandle personopplysninger knyttet til rettighetstap i straffedommer, for å følge opp rettighetstapene internt i idretten. Rettighetstap vil gjelde i tilfeller hvor domstolene allerede har vurdert at allmenne hensyn tilsier at en person ikke kan inneha slike verv eller oppgaver som personen er fradømt. For å sikre trygge arenaer for deltakelse, og for å kunne forebygge seksuelle overgrep, trakassering eller vold, er det nødvendig at idretten har mulighet til å behandle personopplysninger om slike forhold for å kunne følge opp rettighetstapene i sine organisasjonsledd. Rettighetstap vil i mange sammenhenger være knyttet til oppgaver som innebærer en relasjon med barn, og vil dermed bidra særlig til å beskytte barn og unge. Som eksemplene over viser, kan rettighetstapet også delvis omfatte voksne.

Politiet har adgang, men ikke plikt, til å utlevere informasjon om rettighetstap til private aktører dersom det er nødvendig for å forebygge lovbrudd, jf. politiregisterloven § 27. Informasjon kan også utleveres til private i deres interesse dersom det er nødvendig for å hindre at virksomhet blir utøvd på en uforsvarlig måte, jf. § 31. Bestemmelsene bygger på en forutsetning om at mottakeren har anledning til å motta dem. Departementet vurderer at det er behov for en klar hjemmel som sikrer idretten adgang til å behandle opplysninger om rettighetstap.

Norges idrettsforbund poengterte i sitt høringssvar at den foreslåtte bestemmelsen begrenser tilgangen til å behandle personopplysninger til situasjoner der det er nødvendig for å forebygge, avdekke eller reagere mot seksuelle overgrep, trakassering eller vold mv. Dette kan resultere i noen praktiske utfordringer. For eksempel vil et idrettslag som mottar informasjon om et rettighetstap, ikke nødvendigvis kunne vite om informasjonen kan anvendes for å forebygge «seksuelle overgrep, trakassering og vold mv.» uten at de faktisk får vite hva vedkommende er dømt for.

Departementet vurderer at dommer om rettighetstap i de fleste tilfellene vil angå forhold som er direkte relevante for lovforslagets behandlingsformål «forebygge, avdekke eller reagere mot seksuelle overgrep, trakassering eller vold mv. i idretten». Departementet deler likevel Norges idrettsforbunds vurdering om at idretten skal kunne følge opp dommer om rettighetstap, selv om de ikke er direkte relatert til seksuelle overgrep, trakassering eller vold. Rettighetstap stammer fra dommer fra de alminnelige domstolene, hvor det allerede har blitt vurdert at allmenne hensyn tilsier at en person ikke kan inneha slike verv eller oppgaver som personen er fradømt. Forslaget til § 5 bokstav d gir idretten grunnlag for å behandle personopplysninger om dommer om rettighetstap.

Opplysninger som gjelder lovbrudd som har forekommet i en idrettslig sammenheng

I bokstav e foreslår departementet at idretten skal ha adgang til å behandle personopplysninger om straffedommer og lovovertredelser knyttet til «lovbrudd som har forekommet i forbindelse med trening, konkurranse eller annet arrangement organisert av eller i samarbeid med et organisasjonsledd, eller lovbrudd som er utført i en relasjon som innebærer et tillits- eller ansvarsforhold overfor andre i idretten».

Departementet vurderer at bokstavene a til d ikke fullt ut dekker idrettens behov for å kunne sikre trygge arenaer for deltakelse for både barn og voksne gjennom å «forebygge, avdekke eller reagere mot seksuelle overgrep, trakassering eller vold mv. i idretten». Framleggelse av barneomsorgsattest (bokstav a) og begjæring om fornyet vandelskontroll (bokstav c) gjelder kun for personer som utfører oppgaver som innebærer et tillits- eller ansvarsforhold overfor mindreårige eller personer med utviklingshemming. Opplysninger som er utlevert fra politiet med hjemmel i politiregisterloven §§ 27 og 31 (bokstav b), og opplysninger som er nødvendige for å følge opp dommer om rettighetstap (bokstav d), vil etter departementets vurdering heller ikke fullt ut dekke idrettens behov på dette området.

Departementet foreslår derfor bestemmelsen i bokstav e, som skal dekke idrettens restbehov for å behandle personopplysninger om straffedommer og lovovertredelser i arbeidet på dette området. Bokstav e stiller krav om at lovbruddene må ha skjedd i en idrettslig sammenheng. Uttrykket «idrettslig sammenheng» brukes ikke i lovteksten, men oppsummerer ordlyden i bokstav e. I punkt 8 inngår det merknader til § 5 bokstav e som beskriver hva som menes med en idrettslig sammenheng. Merknadene fungerer som en veiledning for de behandlingsansvarlige, men de gir ikke en uttømmende opplisting av hva som omfattes. De behandlingsansvarlige må i hvert enkelt tilfelle foreta en konkret vurdering av om de aktuelle lovbruddene kan sies å være begått i en idrettslig sammenheng, og følgelig er omfattet av bokstav e.

Departementet har vurdert om idretten også bør ha mulighet til å behandle personopplysninger om straffedommer og andre lovovertredelser som har skjedd utenfor en idrettslig sammenheng for å kunne «forebygge, avdekke eller reagere mot seksuelle overgrep, trakassering eller vold mv. i idretten». Det kan argumenteres med at en person som begår et seksuelt overgrep eller utøver vold i en annen sammenheng, vil kunne utgjøre en risiko i idretten, og at behandlingsansvarlige innen idretten derfor bør ha mulighet til å behandle slike personopplysninger om personer som skal delta i en idrettslig sammenheng.

Utover barneomsorgsattesten er ikke departementet kjent med at det foreligger en hjemmel til at idretten kan be om politiattest for personer som skal delta i eller ha ansvarsoppgaver i idretten generelt, for eksempel en person med treneroppgaver overfor voksne (personer over 18 år). Behandling av personopplysninger om straffedommer og lovovertredelser kan utgjøre et stort inngrep i en persons personvern. Når lovgiver ikke har gitt adgang til å kreve vandelskontroll, utover barneomsorgsattesten, for å kunne delta eller ha verv i idretten, mener departementet at det heller ikke vil være rimelig å åpne opp for at idretten skal ha en generell hjemmel til å behandle personopplysninger om straffedommer og lovovertredelser som har skjedd utenfor en idrettslig sammenheng.

Departementet viser også til at bokstav e ikke er begrenset til forhold som gjelder barn, unge og andre sårbare grupper, men også gjelder hendelser overfor voksne. Det potensielle omfanget av behandling av personopplysninger vil dermed kunne være stort. Voksne har også et mindre behov for beskyttelse enn barn. Hensynet til den registrertes rettigheter vurderes derfor her å veie tyngre enn hensynet til å kunne følge opp behandlingsformålene. Overgrep, vold og andre uønskede forhold som foregår utenfor en idrettslig sammenheng, vil naturligvis forventes fulgt opp i tilstrekkelig grad av politi og de ordinære domstolene, men uten at idretten vurderes å ha et begrunnet behov for å behandle personopplysninger som gjelder disse forholdene. Departementet foreslår derfor ikke en hjemmel som gir adgang til at idretten på generelt grunnlag kan behandle personopplysninger om straffedommer og lovovertredelser som ikke har skjedd i en idrettslig sammenheng.

6.7 Hvem det kan behandles personopplysninger om

6.7.1 Forslaget i høringsnotatet

I høringsnotatet foreslo departementet at de behandlingsansvarlige kan behandle særlige kategorier av personopplysninger og personopplysninger om straffedommer og lovovertredelser om følgende persongrupper: a. utøvere, b. trenere, c. dommere og funksjonærer som deltar i en idrettskonkurranse og d. personer som innehar andre frivillige verv eller oppgaver i idretten.

Videre foreslo departementet at hvert organisasjonsledd bare kan behandle personopplysninger om egne medlemmer, tillitsvalgte og frivillige samt andre personer som skal ha en rolle eller utføre oppgaver i organisasjonsleddet, og tilsvarende gruppe personer i et underliggende organisasjonsledd.

Departementet foreslo også at den behandlingsansvarlige, når det er nødvendig for å følge opp en konkret handling som omfattes av loven her, også kan behandle personopplysninger om personer som hadde en rolle som nevnt i første ledd, eller tilknytning som nevnt i annet ledd da handlingen skjedde.

Departementet vurderte at behandling av personopplysninger om tilskuere i hovedsak er aktuelt for å forebygge eller reagere mot trakassering eller vold, såkalt tribunevold. Det ble påpekt at idretten har få muligheter til å sanksjonere mot tilskuere som ikke er medlemmer, tillitsvalgte eller frivillige. Samtidig la departementet til grunn at idretten i noen sammenhenger kan utestenge personer fra arenaer eller arrangementer ut fra selvråderett over egen eiendom, uten å måtte behandle særlige kategorier av personopplysninger. Det ble også påpekt at det ofte vil være hensiktsmessig at politiet følger opp saker som involverer tilskuere på idrettsarrangementer. Etter en samlet vurdering foreslo derfor departementet at det ikke skulle åpnes for at idretten kan behandle personopplysninger om tilskuere som er til stede på et idrettsarrangement.

6.7.2 Høringsinstansenes syn

Norges idrettsforbund var særlig kritiske til at det foreslåtte behandlingsgrunnlaget ikke omfattet tilskuere, og dermed ikke tok høyde for idrettens behov for å kunne reagere overfor tilskuere gjennom bruk av eierrådighet. Eierrådigheten gir rett til å bestemme hvem som kan benytte organisasjonsleddets anlegg og være til stede på arrangementer i regi av organisasjonsleddet. Eierrådigheten benyttes for eksempel når tilskuere utelukkes fra et anlegg. Norges idrettsforbund understreker at utøvelse av eierrådighet er særlig viktig ved aktivitet for barn og unge for å kunne ivareta deres trygghet.

Norges idrettsforbund mener at det vil være behov for å behandle personopplysninger etter artikkel 9 og artikkel 10 i utøvelsen av eierrådigheten, f.eks. i forbindelse med voldshendelser eller rasistiske tilrop fra tribunen. De peker på at idrettslagene må kunne dokumentere det faktiske grunnlaget for beslutningene, og at begrunnelsen må være saklig. De viser også til Europarådets konvensjon om en integrert tilnærming til trygghet, sikkerhet og servicetilbud ved fotballkamper og andre idrettsarrangementer. De ser ikke at Norge fullt ut kan oppfylle konvensjonsforpliktelsene uten at det gis en lovhjemmel for å behandle personopplysninger om tilskuere i arbeidet med å forebygge, avverge og reagere mot for eksempel trakassering og vold fra tilskuere.

Norges idrettsforbund har også en merknad knyttet til ansatte i idretten. De påpeker at det kan være ansatte trenere som begår overgrep, og som søker seg for eksempel til et verv i et annet idrettslag. I slike tilfeller mener de at det må være et behandlingsgrunnlag i denne loven som også omfatter ansatte.

Norges Fotballforbund understreker at de har behov for å behandle både særlige kategorier av personopplysninger og personopplysninger om straffedommer og lovovertredelser for tilskuere på sine arrangementer. De har blant annet behov for å behandle helseopplysninger ved personskader. Forbundets domsorganer vil også ha behov for å behandle særlige kategorier av personopplysninger ved aktuelle sanksjonssaker. Forbundet vil også i noen tilfeller motta opplysninger fra politiet om at kjente voldsutøvere planlegger slåssing rett på utsiden av stadion, noe arrangøren kan bidra til å forebygge dersom de blir informert.

Norges Rytterforbund viser til en erfart problemstilling fra ryttersporten, hvor personer som ikke er medlem av idretten, og som har en straffedom eller en dom fra et idrettslig disiplinærorgan, relatert til seksuelle overgrep, trakassering eller vold, benyttes som private trenere for utøvere. I slike tilfeller kan personene inngå relasjoner til både medlemmer og ikke-medlemmer. Forbundet peker på at departementets lovforslag ikke dekker denne persongruppen, og de stiller seg bak Norges idrettsforbunds alternative forslag til bestemmelse om hvem det kan behandles personopplysninger om.

Oslo Idrettskrets mener at bestemmelsen er for snever og kasuistisk. De peker på at idretten kan ha behov for å reagere overfor personer uten medlemskap i Norges idrettsforbund, men som deltar og/eller er til stede under aktiviteten, herunder publikum, foreldre og «vandrere».

Redd Barna viser til at lovforslaget åpner for å behandle personopplysninger om personer som hadde en tilknytning til idretten da aktuelle handlinger fant sted. Departementet vurderte i høringsnotatet at et sentralt moment i nødvendighetsvurderingen i slike tilfeller vil være om personen som har vært utsatt for handlingen, ønsker at saken forfølges videre av idretten. Redd Barna mener at det i saker om vold eller seksuelle overgrep mot barn ikke kan være opp til barnets ønske om videre forfølging. De savner en drøfting av behovet for beskyttelse av barn versus behovet for å ivareta personvern.

6.7.3 Departementets vurdering

6.7.3.1 Hvilke personer det kan behandles personopplysninger om

Forslaget til § 6 første ledd bokstav a til e angir hvilke personer det kan behandles personopplysninger om. Det er utøvere (bokstav a), trenere (bokstav b), dommere og funksjonærer som deltar i en idrettskonkurranse (bokstav c), personer som innehar andre verv eller oppgaver i idretten (bokstav d), og tilskuere (bokstav e).

«Utøvere» omfatter alle som deltar i idrettsaktiviteter i regi av organisasjonsleddene i Norges idrettsforbund. De aller fleste av Norges idrettsforbunds medlemmer i barne- og ungdomsgruppen vil tilhøre gruppen utøvere. Også mange av de voksne medlemmene vil være utøvere. Profesjonelle utøvere vil kunne ha et arbeidsforhold i et organisasjonsledd i Norges idrettsforbund.

«Trenere» utgjør en sentral persongruppe, da alle idrettslagene i Norges idrettsforbund vil ha et større eller mindre antall personer som utfører treneroppgaver. De fleste av trenerne vil være voksne, men man finner også mange mindreårige trenere i norsk idrett. De fleste av trenerne i barne- og ungdomsidretten utøver sine verv som frivillige, men det finnes også mange ansatte trenere i norsk idrett.

«Dommere og funksjonærer som deltar i en idrettskonkurranse», utgjør også en stor persongruppe. Eksempler på funksjonærer kan være rennledere, tidtakere, banemannskap, speakere eller sekretariat. Disse vervene utføres i hovedsak av frivillige.

«Personer som innehar andre verv eller oppgaver i idretten», utgjør en stor og mangfoldig gruppe i idretten. Eksempler kan være personer som innehar ulike lederoppgaver, anleggsansvarlige, personer som driver kafe- eller kiosksalg, eller foreldre som er med som ansvarlige på turer/treningssamlinger. De fleste av disse vervene ivaretas av frivillige, men det vil også være eksempler på ansatte. Departementet har vurdert om adgangen til å behandle personopplysninger om personer som innehar slike verv eller oppgaver, bør avgrenses til de som har kontakt med utøvere, for å begrense antallet personer det kan behandles personopplysninger om. Departementet mener imidlertid at alle som innehar slike verv eller oppgaver, bør ha et vern mot seksuelle overgrep, trakassering eller vold i idretten. Samtidig må disse også kunne stilles til ansvar for eventuelle handlinger etter denne loven som de utfører mot andre i idretten. Departementet foreslår derfor at det ikke bør være noen skranker i hvilke verv eller oppgaver man innehar, for å kunne omfattes av loven.

Behandling av personopplysninger om ansatte

Som omtalt i punkt 4.6, kan Norges idrettsforbund og deres organisasjonsledd etter personopplysningsloven §§ 6 og 11 behandle særlige kategorier av personopplysninger og personopplysninger om straffedommer og lovovertredelser når det er nødvendig for å ivareta arbeidsrettslige plikter eller rettigheter i ansettelsesforhold. Det vil blant annet inkludere behandling av mottatte varsler mot ansatte om seksuelle overgrep, trakassering eller vold i idretten. Som arbeidsgiver skal idretten behandle personopplysninger om ansatte på lik linje med andre arbeidsgivere.

Det som skiller Norges idrettsforbund og deres organisasjonsledd fra de fleste andre arbeidsgivere, er at de også er en medlemsorganisasjon med eget sanksjonsregelverk. Sanksjonsregelverket gjelder for alle medlemmer og øvrige personer med tilknytning til et organisasjonsledd i Norges idrettsforbund, både frivillige og ansatte. Det er også slik at ansatte i idretten kan ha ulike frivillige verv i idretten, og det kan være tilfeller hvor en person går fra et ansattforhold i et organisasjonsledd til et frivillig verv i et annet organisasjonsledd.

I lys av innspillene i høringen, ser departementet at det blir for snevert å innrette lovforslaget kun mot de frivillige i idretten. Et behandlingsgrunnlag for frivillige er riktignok en sentral begrunnelse for behovet for en ny lov. Samtidig vil idretten i noen tilfeller også ha behov for et behandlingsgrunnlag for å behandle personopplysninger om ansatte. Det kan blant annet være tilfeller hvor det er aktuelt å sanksjonere ansatte personer for seksuelle overgrep, trakassering eller vold etter idrettens sanksjonsregelverk, i tillegg til eller i stedet for reaksjoner knyttet til arbeidsforholdet. Sanksjoner etter det regelverket kan eksempelvis være tap av medlemskap i Norges idrettsforbund og tap av retten til å ha valgte og/eller oppnevnte tillitsverv i idretten. Dette er sanksjoner som ikke er direkte knyttet til en persons ansattforhold. Departementet vurderer at behandling av personopplysninger i en slik sanksjonsprosess vil gå utover det behandlingsgrunnlaget idretten har i rollen som arbeidsgiver.

Behovet for et behandlingsgrunnlag kan også gjelde tilfeller hvor organisasjonsledd må dele personopplysninger for å forebygge ny(e) seksuelle overgrep, trakassering eller vold fra ansatte som søker seg videre til frivillige verv andre steder i idretten. Blandingen av frivillige og ansatte i idretten gjør det særlig viktig at Norges idrettsforbund og deres organisasjonsledd har et behandlingsgrunnlag i denne loven for å behandle personopplysninger om begge gruppene.

På grunnlag av drøftingen ovenfor foreslår departementet å justere ordlyden i bokstav d fra høringsforslaget. Behandlingsansvarlige skal kunne behandle personopplysninger som nevnt i §§ 4 og 5 om «personer som innehar andre verv eller oppgaver i idretten». Vervene behøver ikke å være frivillige, slik det het i høringsforslaget.

I merknadene til § 6, se punkt 8, presiseres det at opplistingen av personer det kan behandles personopplysninger om, kan omfatte både frivillige og ansatte i idretten.

Nærmere om tilskuere

Til forskjell fra høringsnotatet er tilskuere nå inkludert i departementets forslag til § 6. Endringen ivaretar et sentralt innspill i høringssvaret fra Norges idrettsforbund og Norges Fotballforbund.

Med «tilskuere» menes personer som er til stede ved/overværer et arrangement eller en aktivitet i regi av et organisasjonsledd i Norges idrettsforbund. Tilskuere kan igjen deles opp i to hovedgrupper hvor den ene gruppen utgjør tilskuere på større publikumsarrangementer i regi av idrettsorganisasjoner, og den andre gruppen utgjør tilskuere på arrangementer/aktiviteter i bredde- og barne- og ungdomsidretten.

Tilskuere på større publikumsarrangementer i regi av idrettsorganisasjoner vil som hovedregel dreie seg om betalende tilskuere på en utendørs- eller innendørs arena. Det vil eksempelvis være tilskuere til kamper i de øverste divisjonene i fotball, ishockey og håndball. De færreste av tilskuerne vil være medlemmer i klubbene som er ansvarlige for arrangementet.

Klubbene i de øverste divisjonene vil i stor grad ha egne sikkerhetsbestemmelser med tilhørende sanksjonsmuligheter for uakseptabel opptreden ved deres arrangementer. Uakseptabel opptreden vil blant annet omfatte truende oppførsel, voldsutøvelse mot f.eks. andre tilskuere, vakter, utøvere, og/eller sjikane eller hatefulle ytringer rettet mot f.eks. spillere eller dommere med bakgrunn i etnisitet, religion eller legning. Sanksjonene vil avhenge av handlingens alvorlighetsgrad og kan variere fra bortvisning fra arena til utestengelse på livstid.

Tilskuere på arrangementer/aktiviteter i bredde- og barne- og ungdomsidretten omfatter tilskuere som er til stede på konkurransearrangementer, men også personer som overværer ordinære treningsaktiviteter og andre typer arrangementer i regi av et organisasjonsledd. I en del tilfeller vil tilskuerne på konkurransearrangementene betale en inngangsbillett, men uten at de registrerer sine navn ved billettkjøpet. I mange andre tilfeller, og særlig ved treningsaktiviteter, vil det være snakk om ikke-betalende tilskuere som er til stede ved den aktuelle aktiviteten. De fleste av tilskuerne vil være foreldre eller øvrig familie og venner til utøverne. I begrenset grad kan det også være snakk om mer tilfeldige tilskuere som er til stede ved aktiviteten. En del av tilskuerne vil kunne være medlemmer av det aktuelle idrettslaget, men mange vil være ikke-medlemmer.

Med utgangspunkt i høringssvaret fra Norges idrettsforbund og Norges Fotballforbund, samt nærmere dialog med Datatilsynet, vurderer departementet at Norges idrettsforbund og deres organisasjonsledd vil ha behov for å behandle personopplysninger etter artikkel 9 og artikkel 10 om tilskuere, særlig knyttet til utøvelse av eierrådighet.

For at idretten skal kunne sikre en trygg arena generelt, og spesielt sørge for en trygg arena for deltakelse for barn og ungdom, vil det være tilfeller hvor Norges idrettsforbund og deres organisasjonsledd har behov for å utøve eierrådighet på bakgrunn av uakseptabel opptreden fra tilskuere. Den uakseptable opptredenen kan være rettet mot utøvere, trenere, dommere, andre tilskuere eller andre personer tilknyttet et arrangement eller en aktivitet. Med eierrådighet menes privatrettslig eierrådighet som et organisasjonsledd har over det de eier og disponerer. Det er dermed eierrådigheten som benyttes ved utelukkelse av tilskuere fra et anlegg eller en aktivitet på grunn av uakseptabel opptreden.

Når et organisasjonsledd beslutter å utestenge en person fra et anlegg eller en aktivitet på grunnlag av for eksempel trakassering eller vold, har de behov for å kunne dokumentere det faktiske grunnlaget for beslutningen. Det vil også være et krav om at begrunnelsen for utestengelsen er saklig. Datatilsynet påpeker at en slik faktisk nedtegnelse av en handlingsbeskrivelse i visse tilfeller kan være behandling av særlige kategorier av personopplysninger etter artikkel 9, siden beskrivelsen indirekte kan avsløre for eksempel de involvertes etnisitet, seksuelle orientering eller politiske overbevisning. Datatilsynet vurderer også at idrettens sanksjoner mot enkeltpersoner under visse omstendigheter kan involvere personopplysninger om straffedommer og lovovertredelser etter artikkel 10.

Utøvelse av eierrådighet vil normalt begrense seg til nedtegnelse av en objektiv beskrivelse av handlinger fra tilskuere under et arrangement eller en aktivitet i regi av idretten. De behandlingsansvarlige må i slike tilfeller vurdere hva som er strengt nødvendig informasjon å nedtegne for å kunne utøve eierrådigheten gjennom å utestenge en person fra et anlegg eller en aktivitet.

I tilfeller hvor det i et forebyggingsperspektiv er behov for å behandle personopplysninger knyttet til tidligere handlinger fra tilskuere, skal en slik behandling ha direkte relevans for organisasjonsleddets arbeid med å sikre en trygg arena for deltakelse. Departementet legger til grunn at Norges idrettsforbund og deres organisasjonsledd i de fleste tilfeller av utøvelse av eierrådighet ikke har behov for å behandle personopplysninger om straffedommer og lovovertredelser knyttet til andre handlinger enn de som ligger til grunn i aktuell sak. I gitte tilfeller kan imidlertid mottatte personopplysninger om straffedommer og lovovertredelser trolig inngå i en samlet risikovurdering av tilskuere ved arrangementer eller aktiviteter i regi av organisasjonsleddene, og følgelig være relevant å behandle.

Formålet med å behandle personopplysninger om tilskuere etter personvernforordningen artikkel 9 og artikkel 10 vil være det samme som for de andre persongruppene som lovforslaget omfatter, det vil si når det er nødvendig for å «forebygge, avdekke eller reagere mot seksuelle overgrep, trakassering eller vold mv. i idretten». Etter en samlet vurdering av idrettens behov på dette området foreslår departementet å gi et hjemmelsgrunnlag i § 6, slik at Norges idrettsforbund og deres organisasjonsledd kan behandle slike personopplysninger om tilskuere.

6.7.3.2 Personenes tilknytning til aktuelt organisasjonsledd

Forslag til § 6 annet ledd

I § 6 annet ledd foreslår departementet at hvert organisasjonsledd kun kan behandle personopplysninger som nevnt i §§ 4 og 5 om personer nevnt i § 6 første ledd som har eller skal ha en tilknytning til organisasjonsleddet, eller som har eller skal ha en tilknytning til et underliggende organisasjonsledd.

Ordlyden i bestemmelsen er justert fra forslaget i høringsnotatet basert på høringssvaret fra Norges idrettsforbund. De påpekte at departementet i høringsforslaget brukte ulike begreper i første og annet ledd om hvilke personer organisasjonsleddene kan behandle personopplysninger om. Det igjen kan skape uklarhet blant de behandlingsansvarlige med tanke på hva som inngår i behandlingsgrunnlaget i § 6.

For å unngå en slik uklarhet foreslår departementet at annet ledd spesifikt viser til personene nevnt i første ledd. Dermed vil det ikke være tvil om at de to bestemmelsene omhandler de samme personene. Justeringen er i tråd med intensjonen bak forslaget i høringsnotatet og innebærer ikke en substansiell endring i behandlingsgrunnlaget. Justeringen vil derimot bidra til en klargjøring som gjør bestemmelsen tydeligere og enklere å forholde seg til for de behandlingsansvarlige.

For idrettslag innebærer forslaget til § 6 annet ledd at de kan behandle personopplysninger ikke bare om personer som har en tilknytning til eget lag, men også om personer som skal ha en tilknytning til laget. Det kan for eksempel være aktuelt i tilfeller der en person må framvise barneomsorgsattest i forkant av et treneroppdrag. Muligheten til å behandle personopplysninger om personer som ikke ennå er tilknyttet et idrettslag, kan også forhindre såkalte «vandrere» i idretten. Med vandrere menes personer som søker seg til for eksempel idrettslag B, når det foreligger varsler eller annen informasjon i idrettslag A om at personen har begått handlinger som faller inn under loven, eksempelvis seksuelle overgrep. Vandrere vil på denne måten søke å unndra seg et kontroll- og sanksjonssystem og minimere risikoen for å bli oppdaget og utestengt fra idretten. Det er spesielt viktig at idretten også kan behandle opplysninger om vandrere.

Departementet foreslår i § 6 annet ledd at et organisasjonsledd skal kunne behandle personopplysninger om personer tilknyttet et underliggende organisasjonsledd. Utgangspunktet er at personopplysninger behandles lokalt i det aktuelle organisasjonsleddet. De kan imidlertid søke veiledning og råd hos et overordnet organisasjonsledd, for eksempel en idrettskrets eller et særforbund, i saker som gjelder seksuelle overgrep, trakassering eller vold. I slik veiledning vil det ikke alltid være behov for å behandle særlige kategorier av personopplysninger eller personopplysninger om straffedommer og lovovertredelser, men departementet legger likevel til grunn at det i noen tilfeller kan være nødvendig.

Norges Rytterforbunds forslag om at idretten også skal kunne behandle personopplysninger om private trenere for utøvere, berører lovforslagets virkeområde samt kravet om tilknytning til aktuelt organisasjonsledd. I forslaget til § 2 heter det at loven gjelder for Norges idrettsforbund og deres organisasjonsledd. Norges Rytterforbund og deres medlemsklubber vil etter § 6 annet ledd kunne behandle personopplysninger om trenere som har eller skal ha en tilknytning til eget organisasjonsledd. Private trenere som ikke har eller skal ha en tilknytning til organisasjonsledd i Norges idrettsforbund, vil falle utenfor lovens virkeområde. Departementet vurderer at en eventuell inkludering av private trenere vil måtte omfatte alle idrettene i Norges idrettsforbund, og det vil bety at lovforslagets virkeområde utvides betraktelig. Jo flere personer det kan behandles sensitive personopplysninger om, desto større vil personvernrisikoen knyttet til lovforslaget være. Departementet vurderer at en slik utvidelse av lovforslagets virkeområde ikke vil være forholdsmessig med tanke på de inngrepene som vil gjøres i personvernet. Lovforslaget omfatter allerede et stort antall personer, og organisasjonsleddene bør følgelig kun ha anledning til å behandle særlige kategorier av personopplysninger og personopplysninger om straffedommer og lovovertredelser om personer som har eller skal ha en tilknytning til eget eller underliggende organisasjonsledd.

Forslag til § 6 tredje ledd

§ 6 annet ledd gjelder for personer som har eller skal ha en tilknytning til et organisasjonsledd. For å kunne følge opp behandlingsformålene i loven kan idretten unntaksvis også ha behov for å behandle personopplysninger om personer som ikke lenger har en tilknytning til idretten. Det kan være tilfellet dersom en person har meldt seg ut av et idrettslag etter å ha blitt utsatt for en handling som omfattes av denne loven, men likevel ønsker at idretten følger opp med sanksjoner overfor personen som har utført handlingene, og som fortsatt har en tilknytning til idretten. At idretten i slike tilfeller har mulighet til å behandle personopplysninger om personen som ikke lenger er medlem, kan være viktig for å oppnå målet om trygge arenaer for deltakelse og for å forebygge nye hendelser.

Departementet foreslår derfor i tredje ledd at det også skal kunne behandles personopplysninger om personer nevnt i første ledd som hadde en tilknytning som nevnt i annet ledd da handlingen skjedde, dersom dette er nødvendig for å følge opp en konkret handling som omfattes av loven. Departementet vurderer at et sentralt moment i nødvendighetsvurderingen i slike tilfeller vil være om personen som har vært utsatt for handlingen, ønsker at saken forfølges videre av idretten. Dersom det ikke er tilfellet, og det er voksne personer som er utsatt for de aktuelle handlingene, vurderer departementet at saken ikke bør forfølges av idretten, da inngrepet i personvernet vanskelig kan sies å være forholdsmessig sett i lys av formålet som søkes oppnådd.

I tilfeller hvor det er barn som har vært utsatt for de aktuelle handlingene, er departementet enig med Redd Barna i at oppfølgingen fra idretten ikke utelukkende kan basere seg på om barnet ønsker videre forfølging av saken. I saker som angår barn, skal grunnleggende barnerettslige prinsipper og hensyn, herunder hensynet til barnets beste og barnets rett til å bli hørt, legges til grunn. Idretten må i de enkelte tilfellene vurdere behovet for beskyttelse av barn opp mot behovet for å ivareta personvern, og de må gjøre en samlet vurdering av om slike saker skal forfølges i idrettens egne domsorganer.

6.8 Deling av personopplysninger

6.8.1 Forslaget i høringsnotatet

I høringsnotatet foreslo departementet bestemmelser om deling av personopplysninger mellom organisasjonsledd i Norges idrettsforbund.

I en bestemmelse foreslo departementet at personopplysninger som omfattes av loven, kan deles med overordnet eller underliggende organisasjonsledd, samt med påtalenemnd, domsutvalg og appellutvalg, dersom og i den utstrekning det er nødvendig for å oppnå behandlingsformålene i lovforslaget.

I en annen bestemmelse foreslo departementet at organisasjonsledd kan dele personopplysninger med andre organisasjonsledd enn de som var nevnt i første bestemmelse, dersom de har grunn til å tro at personen skal ha en rolle eller utføre oppgaver i det organisasjonsleddet opplysningene deles med. Formålet er her å ivareta idrettens behov for å håndtere de såkalte «vandrerne».

Departementet ba videre om høringsinstansenes innspill på om det bør foreslås en begrensning i muligheten til å dele personopplysninger om personer som har blitt utsatt for seksuelle overgrep, trakassering eller vold, da det kan stilles spørsmål om det er nødvendig å dele opplysninger om dem som er utsatt for slike handlinger, for å kunne forebygge, avdekke eller reagere mot handlingene.

6.8.2 Høringsinstansenes syn

Flere av høringsinstansene har uttalt seg om forslaget til delingsbestemmelser.

Datatilsynet vurderer at det er stor risiko for de registrerte ved deling av sensitive personopplysninger. Delingsadgangen må ikke gå lenger enn strengt nødvendig for å oppnå lovens formål. De påpeker at forslaget om at deling kan skje «med overordnet eller underliggende organisasjonsledd», innebærer at et underordnet ledd kan dele personopplysninger med overordnet ledd, som deretter ikke har noen begrensninger knyttet til deling med andre underordnede ledd. Tilsynet mener at bestemmelsen må presiseres, slik at det kun kan deles personopplysninger med underliggende organisasjonsledd som er tilknyttet en mulig hendelse, eller har mottatt informasjon om en slik hendelse. Dersom overordnet organ skal dele personopplysninger med andre underordnede organer som ikke er tilknyttet selve hendelsen – for eksempel i forebyggende hensikt, må det ifølge Datatilsynet skje i medhold av adgangen i annet ledd.

Datatilsynet fremhever også viktigheten av å skjerme identiteten til dem som er utsatt for handlingene. De påpeker at deling av personopplysninger om dem som skal ha utført handlingene, under visse omstendigheter indirekte kan avsløre hvem som er utsatt for disse handlingene.

Norges idrettsforbund mener at departementets forslag ikke i tilstrekkelig grad imøtekommer behovet for å dele personopplysninger mellom organisasjonsledd. De foreslår i stedet en helt overordnet delingsbestemmelse som åpner for at den behandlingsansvarlige kan dele personopplysninger med andre organisasjonsledd når det er nødvendig for å oppnå lovens formål.

Norges idrettsforbund vurderer videre at det i de fleste tilfellene kan deles informasjon med beskrivelse av omfang, alvorlighetsgrad og konsekvenser av en handling uten at det er nødvendig å dele opplysninger om identiteten til dem som er utsatt for handlingen. I alle tilfeller vil opplysningene så langt det lar seg gjøre, avidentifiseres. De mener at det kan være hensiktsmessig og pedagogisk å tydeliggjøre offerets særskilte vern i loven.

Norges Fotballforbund peker på at en klubb som utestenger en supporter for eksempelvis rasistiske tilrop, vil ha behov for å henvende seg til andre klubber med informasjon om utestengelsen for å hindre at vedkommende får adgang til bortekamper.

Norges studentidrettsforbund mener at det må være mulig å dele personopplysninger mellom sidestilte organisasjonsledd, f.eks. mellom særforbund og mellom idrettslag. De mener også at det bør vurderes om behandlingsansvarlige skal ha en juridisk forpliktelse til å informere et organisasjonsledd om aktuelle straffedommer og lovovertredelser.

Oslo Idrettskrets vektlegger også betydningen av at personopplysninger kan deles sideveis i idretten for å kunne oppfylle lovens formål. Det gjelder bl.a. deling mellom idrettslag.

Politiet (Politidirektoratet, Kripos og Øst politidistrikt) mener at deling av personopplysninger bør begrenses så langt det er mulig uten å at det går ut over formålet. Adgangen til å dele personopplysninger om dem som har vært utsatt for handlingene, bør være like restriktiv uavhengig av om opplysningene gjelder voksne eller barn.

Redd Barna mener det er viktig at det er åpning for å dele opplysninger om personer som kan ha begått ulovlige forhold, blant annet for å forebygge nye handlinger andre steder. De minner likevel om viktigheten av særlig varsomhet og begrunnelse for deling når den som har utført handlingene er under 18 år. Redd Barna viser også til barns særskilte rett til personvern og mener at regelverket særlig må ta høyde for dette. De mener at det er sentralt å minimere informasjon som kan knyttes til barnet som er utsatt i en sak.

6.8.3 Departementets vurdering

6.8.3.1 Innledning

For å kunne «forebygge, avdekke eller reagere mot seksuelle overgrep, trakassering eller vold mv. i idretten» vil et behandlingsansvarlig organisasjonsledd i noen tilfeller ha behov for å dele personopplysninger med andre organisasjonsledd, dvs. andre behandlingsansvarlige etter denne loven. Slik deling kan være nødvendig både for å følge opp en konkret hendelse og for å forebygge nye hendelser. Det kan for eksempel være tilfeller hvor et organisasjonsledd har behov for råd og veiledning fra et overordnet organisasjonsledd i sin oppfølging av konkrete varsler om handlinger som faller innenfor lovens behandlingsformål. Det kan også være tilfeller hvor et organisasjonsledd finner grunnlag for å sende saken til Norges idrettsforbunds påtalenemnd for videre oppfølging. Videre kan det være tilfeller hvor et organisasjonsledd har behov for å dele personopplysninger med et annet organisasjonsledd for å hindre nye hendelser fra «vandrere».

Samtidig utgjør deling av sensitive personopplysninger en stor risiko for den registrertes personvern, særlig med tanke på informasjonssikkerhet og konfidensialitet. Departementet søker derfor i forslaget til § 7 å balansere hensynet til idrettens behov for å kunne drive et effektivt arbeid mot seksuelle overgrep, trakassering og vold med hensynet til en forsvarlig behandling av personopplysninger.

Departementet vurderer at Norges idrettsforbunds forslag til delingsbestemmelse vil gi et for vidt behandlingsgrunnlag. Det vil overlate alle nødvendighetsvurderinger til det enkelte organisasjonsleddet som er behandlingsansvarlig i den konkrete saken. Departementet vurderer at det er behov for å avgrense delingshjemmelen til hva som er strengt nødvendig for å kunne «forebygge, avdekke eller reagere mot seksuelle overgrep, trakassering eller vold mv. i idretten». Det er særlig behov for å skjerme identiteten til dem som er utsatt for handlingene, ved deling av sensitive personopplysninger. En slik avgrensning er også i tråd med Datatilsynets høringssvar.

6.8.3.2 Deling av personopplysninger etter § 7 første ledd

I første ledd foreslår departementet at personopplysninger som nevnt i § 4 og § 5 bokstavene b til e, kan deles med Norges idrettsforbund og med overordnet eller underliggende organisasjonsledd, dersom og i den utstrekning det er nødvendig for å «forebygge, avdekke eller reagere mot seksuelle overgrep, trakassering eller vold mv. i idretten».

Bestemmelsen skal blant annet omfatte tilfeller hvor et organisasjonsledd, for eksempel et idrettslag, har behov for å innhente råd og veiledning fra et overordnet organisasjonsledd i håndteringen av konkrete tilfeller av «seksuelle overgrep, trakassering eller vold mv.». Råd og veiledning fra overordnet organisasjonsledd medfører ikke nødvendigvis behov for å dele personopplysninger som nevnt i § 4 og § 5 bokstavene b til e, men det kan være tilfeller hvor en effektiv rådgivning forutsetter at det overordnede organisasjonsleddet får tilgang til aktuelle personopplysninger. Departementet vurderer at veiledning og rådgivning fra overordnede organisasjonsledd kan bidra til å sikre en god og forsvarlig oppfølging av handlinger som er omfattet av lovforslaget.

Det kan også skje at varsler om seksuelle overgrep, trakassering eller vold i et idrettslag kommer inn til et overordnet organisasjonsledd, for eksempel et særforbund. I slike tilfeller vil det overordnede organisasjonsleddet ha behov for å dele informasjonen med det aktuelle idrettslaget som skal være behandlingsansvarlig for oppfølging av saken. Første ledd skal derfor også dekke deling av personopplysninger fra overordnet til underliggende organisasjonsledd. Basert på høringssvaret fra Datatilsynet presiseres det i merknadene til § 7, se punkt 8, at deling av personopplysninger med underliggende organisasjonsledd kun skal skje med organisasjonsledd som er tilknyttet en mulig hendelse, eller har mottatt informasjon om en slik hendelse.

Bestemmelsen skal også dekke tilfeller hvor det er behov for å dele personopplysninger når saker skal forfølges i idrettens eget sanksjonssystem. I slike tilfeller vil en sak ofte starte i et idrettslag, for eksempel som en varslingssak. Idrettslaget som behandler varselet, vil i noen tilfeller beslutte å sende saken til Norges idrettsforbunds påtalenemnd for videre oppfølging. Dersom påtalenemnda beslutter å påtale forholdet til Norges idrettsforbunds domsutvalg, blir det opp til domsutvalget å avgjøre om det skal ilegges en sanksjon etter idrettens sanksjonsregelverk, og i så fall omfanget av denne. Partene i den aktuelle saken kan anke en avgjørelse til Norges idrettsforbunds appellutvalg. For at saker som gjelder «seksuelle overgrep, trakassering eller vold mv. i idretten», skal kunne sanksjoneres i idrettens eget system, forutsettes det at nødvendige personopplysninger kan deles med påtalenemnda, domsutvalget og appellutvalget.

6.8.3.3 Deling av personopplysninger etter § 7 annet ledd

I annet ledd foreslår departementet at det kan deles personopplysninger med andre organisasjonsledd enn dem som er nevnt i første ledd, dersom den som deler har grunn til å tro at en person skal ha en tilknytning til det organisasjonsleddet opplysningene deles med.

Hensikten med annet ledd er å gi et organisasjonsledd muligheten til å dele personopplysninger på tvers av idrettsorganisasjonen, og på tvers av særidretter, dersom det er nødvendig for å forebygge nye handlinger. Dette vil for eksempel gjelde deling mellom to idrettslag, mellom to særforbund eller mellom et særforbund og et idrettslag tilknyttet et annet særforbund. Departementet vurderer at forslaget til bestemmelse ivaretar behovet for sideveis deling av personopplysninger, et behov som har blitt vektlagt i flere av høringssvarene.

Bestemmelsen vil omfatte tilfeller hvor det er behov for å dele personopplysninger for å forebygge nye handlinger i form av «seksuelle overgrep, trakassering eller vold mv. i idretten». Det kan for eksempel være tilfellet når en person har treneroppgaver i flere idrettslag samtidig, og et av idrettslagene blir oppmerksom på at personen har fått en dom som tilsier at det må innhentes ny barneomsorgsattest. Bestemmelsen skal også omfatte tilfeller hvor det er behov for å forebygge nye handlinger fra «vandrere».

I annet ledd avgrenses muligheten til å dele personopplysninger til tilfeller hvor organisasjonsleddet har grunn til å tro at en person skal ha en tilknytning til det organisasjonsleddet opplysningene deles med. Det gis ikke mulighet til å dele personopplysninger med et bredt utvalg av organisasjonsledd i forebyggende øyemed. Departementet vurderer at en slik bred deling ikke vil være forholdsmessig med tanke på de inngrepene som vil gjøres i personvernet.

En målrettet deling av personopplysninger til organisasjonsledd hvor vedkommende skal ha en tilknytning, vil derimot ha en direkte og sterk forebyggende effekt, og kan dermed forsvare inngrepet i personvernet. I alle tilfeller må deling av personopplysninger med andre organisasjonsledd vurderes opp mot ivaretakelse av det konkrete behandlingsformålet, og delingen må stå i forhold til inngrepet som gjøres i de registrertes personvern. Departementet understreker også at det etter lovforslaget ikke er anledning til å dele slike personopplysninger med organisasjoner som faller utenfor lovens virkeområde.

6.8.3.4 Spesielt om skjerming av identiteten til dem som er utsatt for handlingene

Ved deling av særlige kategorier av personopplysninger og personopplysninger om straffedommer og lovovertredelser vil det kunne oppstå en forhøyet personvernrisiko for de registrerte. Det vil være flere som får tilgang til konfidensielle opplysninger, som igjen kan øke faren for at opplysningene kommer på avveie. Flere av høringsinstansene påpeker også risikoen ved deling av personopplysninger, og de framhever viktigheten av å skjerme identiteten til dem som er utsatt for de aktuelle handlingene, uavhengig av om de er barn eller voksne.

Departementet vurderer derfor at deling av personopplysninger om personer som er utsatt for de aktuelle handlingene, bør begrenses. Departementet har vurdert om det bør gjøres et skille mellom deling av personopplysninger om barn under 18 år og deling av personopplysninger om voksne. Loven gjelder personopplysninger som i mange tilfeller vil oppfattes som meget sensitive, og det skal i en nødvendighetsvurdering tas særlig hensyn til inngrep i barns personopplysninger. På den annen side vil slike opplysninger være sensitive også for voksne personer. Departementet vurderer derfor at deling av personopplysninger om personer som er utsatt for seksuelle overgrep, trakassering eller vold, bør reguleres like strengt for barn og voksne.

Departementet vurderer videre at deling av personopplysninger om personer som er utsatt for slike handlinger, ikke er nødvendig når organisasjonsledd skal dele personopplysninger på tvers av idrettsorganisasjonen for å forebygge nye handlinger, jf. § 7 annet ledd. Formålet med en slik deling, for eksempel å hindre nye handlinger fra «vandrere», vil kunne ivaretas uten å avsløre identiteten til dem som har vært utsatt for seksuelle overgrep, trakassering eller vold.

Det er også et poeng at deling av personopplysninger etter annet ledd i mange tilfeller kan gjelde deling mellom idrettslag hvor frivillige besitter verv og posisjoner. Det kan være krevende for disse å vurdere hvilke personopplysninger som er nødvendige å dele. Følgelig knytter det seg en ekstra stor personvernrisiko til denne bestemmelsen, og departementet vurderer at det er behov for et tydelig krav til skjerming av identiteten til dem som er utsatt for aktuelle handlinger. Et slikt krav i loven vil sikre minimering av personopplysninger som deles, og det vil ikke være opp til det enkelte organisasjonsleddet å avgjøre om slik deling er nødvendig eller ikke.

Også innenfor rammen av § 7 første ledd bør de behandlingsansvarlige så langt som mulig søke å skjerme identiteten til dem som er utsatt for aktuelle handlinger. Bestemmelsen vil imidlertid dekke tilfeller hvor det likevel kan være nødvendig å dele personopplysninger om disse personene. Dette gjelder i første rekke i saker som skal behandles i Norges idrettsforbunds påtalenemnd, domsutvalg og appellutvalg. For at disse organene skal kunne behandle saker etter idrettens sanksjonsregelverk på en tilfredsstillende måte vil de ha behov for å kjenne identiteten til dem som er utsatt for handlingene. Det kan også være behov for å behandle informasjon om at for eksempel trakassering eller vold var motivert av personens hudfarge eller legning, eller informasjon om helsemessige konsekvenser av seksuelle overgrep eller vold. Slike forhold kan virke skjerpende i en sanksjonsvurdering etter nevnte regelverk.

Første ledd gjelder også for deling av personopplysninger når et overordnet organisasjonsledd veileder et underliggende ledd i en konkret sak. For å opplyse saken best mulig kan det i noen tilfeller være behov for å dele personopplysninger om dem som er utsatt for handlingene. Det kan også skje at varsler om hendelser sendes til et overordnet organisasjonsledd som ikke er ansvarlig for saken, for eksempel et særforbund. I slike tilfeller kan særforbundet ha behov for å dele informasjon med det aktuelle idrettslaget om hvem som har vært utsatt for handlingene, og hva handlingene omfatter, slik at laget som behandlingsansvarlig kan ivareta videre oppfølging av saken.

For å skjerme identiteten til dem som er utsatt for handlingene på en best mulig måte, vurderer departementet at det er mest hensiktsmessig at den behandlingsansvarlige pålegges en særlig forpliktelse til å skjerme identiteten til de aktuelle personene. For at skjermingen skal ha ønsket effekt må den behandlingsansvarlige også vurdere i hvert enkelt tilfelle hva som er nødvendig å dele av personopplysninger om dem som har utført handlingene. Denne problemstillingen har også Datatilsynet framhevet i sitt høringssvar. Den behandlingsansvarlige må derfor være oppmerksom på hvilke opplysninger som deles om dem som har utført handlingene, slik at man ikke risikerer å avsløre identiteten til personene som er utsatt for handlingene.

På grunnlag av drøftingen ovenfor foreslår departementet i § 7 følgende skjerming av identiteten til personene som er utsatt for de aktuelle handlingene:

I § 7 første ledd foreslår departementet formuleringen: «Ved deling av personopplysninger skal man så langt som mulig skjerme identiteten til dem som er utsatt for handlingene.» Formuleringen reflekterer at denne bestemmelsen omfatter tilfeller hvor det kan være nødvendig å behandle personopplysninger om dem som er utsatt for de aktuelle handlingene.

I § 7 annet ledd foreslår departementet formuleringen: «Ved deling av personopplysninger skal man skjerme identiteten til dem som er utsatt for handlingene.» Kravet til skjerming av personenes identitet er i denne bestemmelsen absolutt.

6.9 Tilgangsstyring og taushetsplikt

6.9.1 Forslaget i høringsnotatet

I høringsnotatet foreslo departementet at den behandlingsansvarlige skal sørge for tilgangsstyring, slik at personer tilknyttet organisasjonsleddet bare har tilgang til aktuelle personopplysninger, dersom og i den utstrekning det er nødvendig for å oppfylle behandlingsformålene i lovforslaget.

Departementet foreslo også en bestemmelse som sier at personer som har tilgang til personopplysninger etter denne loven, er underlagt taushetsplikt med hensyn til de nevnte opplysningene. Taushetsplikten er ikke til hinder for at opplysningene kan brukes for å oppnå det formålet de er gitt eller innhentet for, eller at opplysningene formidles til den registrerte for å oppfylle krav som følger av personvernforordningen kapittel III.

6.9.2 Høringsinstansenes syn

Datatilsynet er positive til at tilgangsstyring inngår som et eksplisitt tiltak i lovforslaget. De mener samtidig at det bør vurderes om det i loven skal etableres en formell rolle i hvert organisasjonsledd som har hovedansvar for å følge opp denne type saker, etter inspirasjon fra rollen som politiattestansvarlig. Idretten kan ha regelmessige kursopplegg for dem som innehar rollen, og Datatilsynet bistår gjerne i utviklingen av slike kurs.

Det framgikk av høringsforslaget at taushetsplikten ikke er til hinder for at «opplysningene brukes for å oppnå det formålet de er gitt eller innhentet for». Datatilsynet mener at unntaksregelen er for vid og vag og uthuler virkningen av den foreslåtte taushetsplikten. Unntaket bør knyttes opp mot bestemmelsene og adgangen til behandling av slike personopplysninger i lovforslaget, med relevante unntak som utlevering til politiet og for å ivareta kravene i personvernforordningen kapittel III. Det bør også presiseres at taushetsplikten vedvarer etter at personen ikke lenger har tilgang til opplysningene.

Norges idrettsforbund mener det er hensiktsmessig med en tydeliggjøring av enkelte garantier som den behandlingsansvarlige plikter å ivareta etter personvernforordningen. De mener at det i bestemmelsen om tilgangsstyring vil være klargjørende å henvise til forordningen artikkel 5 (1) (f) og artikkel 32. De mener også at det er hensiktsmessig å presisere ansvaret som ligger i den behandlingsansvarliges taushetsplikt.

6.9.3 Departementets vurdering

6.9.3.1 Innledning

Personvernforordningen artikkel 9 nr. 2 bokstav g krever at det rettsgrunnlaget som gir grunnlag for behandling av særlige kategorier av personopplysninger, må sikre egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser. Videre krever artikkel 10 at rettsgrunnlaget som gir adgang til å behandle personopplysninger om straffedommer og lovovertredelser utenfor offentlige myndigheters kontroll, må sikre nødvendige garantier for de registrertes rettigheter og friheter.

I § 8 foreslår departementet en bestemmelse om tilgangsstyring og en bestemmelse om taushetsplikt. I tillegg åpner den foreslåtte forskriftshjemmelen i § 9 for at departementet kan gi nærmere regler om blant annet lagringstid, sletterutiner mv., se punkt 6.10.3.

Departementet vurderer at disse tiltakene, sammen med de generelle personvernreglene som følger av personopplysningsloven og personvernforordningen, samlet vil ivareta kravene i forordningen artikkel 9 nr. 2 bokstav g og artikkel 10 om å sikre tiltak og garantier for de registrertes rettigheter, interesser og friheter.

6.9.3.2 Tilgangsstyring

I § 8 første ledd foreslår departementet en bestemmelse om tilgangsstyring. Den behandlingsansvarlige skal sørge for tilgangsstyring, slik at personer tilknyttet organisasjonsleddet bare har tilgang til personopplysninger som nevnt i §§ 4 og 5, dersom og i den utstrekning det er nødvendig for å oppfylle formålene nevnt i disse bestemmelsene.

Personopplysninger skal kun behandles i nødvendig utstrekning og av færrest mulige personer i hvert organisasjonsledd. Hvert organisasjonsledd må definere hvilke roller som skal håndtere forebygging, avdekking og reaksjoner mot seksuelle overgrep, trakassering og vold i idretten, slik at kun personer som har konkrete oppgaver i oppfølgingen av hendelser, har tilgang til aktuelle personopplysninger.

Dette er en sentral bestemmelse ettersom det er et stort antall organisasjonsledd i Norges idrettsforbund, som igjen betyr at antallet personer som i teorien kan behandle personopplysninger etter lovforslaget, er stort. Organisasjonsleddene er også av forskjellig størrelse, og det varierer hvordan de er innrettet. Noen av organisasjonsleddene er helprofesjonelle, mens andre nesten utelukkende er basert på frivillig arbeid.

Hvem i de ulike organisasjonsleddene i Norges idrettsforbund som vil behandle personopplysninger tilknyttet saker om seksuelle overgrep, trakassering eller vold, kan variere med hensyn til hvilket organisasjonsledd det er snakk om. I idrettslagene vil for eksempel politiattestansvarlig, daglig leder eller trener kunne være personer som mottar denne typen opplysninger. I idrettskretsene og i Norges idrettsforbunds sentralledd vil ansatte med ansvar for rådgivning i saker om seksuelle overgrep m.m. være dem som mottar og behandler opplysninger. Videre vil personopplysninger i varslingssaker som registreres og oppbevares i varslingskanalen MittVarsel, håndteres av tildelte, definerte funksjoner i løsningen (administrator og saksbehandler). I Norges idrettsforbunds påtalenemnd og domsorganer behandles personopplysningene av de til enhver tid sittende tillitsvalgte med sekretærer. Særforbund kan også opprette egne disiplinær- og sanksjonsutvalg som ilegger reaksjoner for bl.a. brudd på kamp- og konkurranseregler, og de vil være behandlingsansvarlige for personopplysninger om egne medlemmer i slike tilfeller.

Departementet vurderer det som meget positivt at Norges idrettsforbund har en veiledende rolle overfor sine organisasjonsledd, både med hensyn til hvordan saker om seksuelle overgrep, trakassering eller vold bør håndteres i det enkelte organisasjonsleddet, og med hensyn til å etablere gode rutiner for behandling av personopplysninger med hjemmel i denne loven.

Norges idrettsforbund gjennomfører også kursing av alle som får tilgang til varslingsportalen MittVarsel, hvor et av temaene er konfidensialitet. I kurset opplyses det om at opplysninger som innhentes i varslingssaker, kun skal deles videre til dem som har et nødvendig behov for informasjonen for å kunne saksbehandle varselet, eller eventuelt til offentlige myndigheter som trenger informasjonen for å forebygge/avverge eller strafferettslig forfølge lovbrudd. I tillegg omtales prinsippet om konfidensialitet både på Norges idrettsforbunds nettsider om varsling samt i veilederen for varslingssaker.

6.9.3.3 Taushetsplikt

I § 8 annet ledd foreslår departementet en bestemmelse om taushetsplikt for personer som får tilgang til personopplysninger etter lovforslaget. Personer som har tilgang til personopplysninger etter denne loven, er underlagt taushetsplikt med hensyn til de nevnte opplysningene. Taushetsplikten er ikke til hinder for at opplysningene kan behandles i samsvar med bestemmelsene i denne loven, utleveres til politiet, gjøres kjent for dem som de direkte gjelder, eller for andre i den utstrekning de som har krav på taushet, samtykker.

Departementet er enig med Datatilsynet i at forslaget i høringsnotatet om at taushetsplikten ikke er til hinder for at opplysningene kan brukes for å oppnå det formålet de er gitt eller innhentet for, innebærer en for vid unntaksadgang. Departementet foreslår i stedet at opplysningene kan behandles i samsvar med bestemmelsene i denne loven. Det betyr for eksempel at de behandlingsansvarlige har mulighet til å dele personopplysninger med andre organisasjonsledd i Norges idrettsforbund i henhold til bestemmelsene i § 7.

Taushetsplikten skal heller ikke være til hinder for at idretten kan utlevere personopplysninger til politiet i den utstrekning det er nødvendig for at politiet skal kunne etterforske straffbare handlinger.

Bestemmelsen gir også adgang til at taushetsbelagte opplysninger kan «gjøres kjent for dem som de direkte gjelder». Bakgrunnen for unntaket er at hensyn bak taushetsplikten ikke gjør seg gjeldende i slike tilfeller.

Taushetsplikten er heller ikke til hinder for at opplysningene gjøres kjent for «andre i den utstrekning de som har krav på taushet, samtykker». Det gis følgelig en adgang til å dele taushetsbelagte opplysninger på bakgrunn av samtykke. Et samtykke til å dele personopplysninger må imidlertid oppfylle vilkårene i personvernforordningen artikkel 6 nr. 1 bokstav a for å kunne utgjøre et behandlingsgrunnlag. Definisjonen av et samtykke følger av personvernforordningen artikkel 4 nr. 11. Det sentrale er om samtykket er å anse som frivillig, og ved vurderingen av om et samtykke er frivillig, må en blant annet vurdere styrkeforholdet mellom den registrerte og den behandlingsansvarlige.

At opplysninger kan «gjøres kjent for dem som de direkte gjelder, eller for andre i den utstrekning de som har krav på taushet samtykker», er i tråd med regelen i forvaltningsloven § 13 a nr. 1.

Etter straffeloven § 209 straffes «den som krenker taushetsplikt som han eller hun har i henhold til lovbestemmelse eller forskrift, eller utnytter en opplysning han eller hun har taushetsplikt om med forsett om å skaffe seg eller andre en uberettiget vinning». Det fremgår av bestemmelsen at den som røper opplysninger som har taushetsplikt, kan straffes, men at det også i andre tilfeller kan foreligge et straffbart brudd på taushetsplikten. For eksempel vil tilfeller der man lar taushetsbelagte opplysninger ligge tilgjengelig for andre i husstanden, kunne omfattes. Skyldkravet er forsett eller grov uaktsomhet. Medvirkning er ikke straffbart. Grov overtredelse kan straffes etter straffeloven § 210.

Lovforslaget bygger ellers på en forutsetning om at de alminnelige sanksjonsreglene i personopplysningsloven kan komme til anvendelse. Eksempelvis har Datatilsynet med sin undersøkelsesmyndighet etter personvernforordningen artikkel 58 nr. 1 hjemmel til å stanse og eventuelt også sanksjonere ulovlig behandling av personopplysninger.

6.9.3.4 Andre tiltak for å verne den registrertes grunnleggende rettigheter og interesser

Personopplysningssikkerhet

Som selvstendige rettssubjekter og behandlingsansvarlige vil samtlige organisasjonsledd i Norges idrettsforbund være underlagt de kravene personvernregelverket stiller til informasjonssikkerhet og personvern, og organisasjonsleddene er selv ansvarlige for at kravene etterleves. Situasjonen er her sammenlignbar med annen nasjonal lovgivning som organisasjonsleddene er underlagt, som regnskapsloven, skatteloven, arbeidsmiljøloven osv. Kravene til informasjonssikkerhet innebærer at det enkelte organisasjonsleddet har ansvar for å etablere sitt eget internkontrollsystem. Der skal alle aktiviteter som inkluderer behandling av personopplysninger, dokumenteres, det skal benyttes forsvarlige løsninger for oppbevaring av opplysninger og rutiner for sletting skal være på plass.

Norges idrettsforbund tilbyr løsninger som tilrettelegger for ivaretakelse av personvern, både hva gjelder medlemsinformasjon, men også i forbindelse med varslingssaker gjennom tjenesten MittVarsel. Denne tjenesten kan alle organisasjonsleddene benytte. Varslingskanalen sikrer en forsvarlig oppbevaring av personopplysningene som registreres, og ivaretakelse av kravene til informasjonssikkerhet. Norges idrettsforbund har overfor departementet presisert at varslingskanalen vil være det foretrukne stedet å registrere personopplysninger som omtalt i personvernforordningen artikkel 9 og 10, og de vil på det sterkeste oppfordre sine organisasjonsledd til å ta denne løsningen i bruk for behandling av slike personopplysninger.

Departementet vurderer at Norges idrettsforbunds digitale løsninger hvor personopplysninger registreres, tilfredsstiller kravene i personvernregelverket til personopplysningssikkerhet.

Innhenting og registrering

Særlige kategorier av personopplysninger og personopplysninger om straffedommer og lovovertredelser vil kunne samles inn fra den registrerte selv, men også fra andre. Det kan for eksempel bli gitt informasjon direkte fra en fornærmet til et organisasjonsledd, typisk i form av et varsel. Selve varselet vil i så fall kunne inneholde personopplysninger om varsleren selv, og om den det er varslet om, og som er mistenkt for å ha begått den aktuelle handlingen. Deretter vil organisasjonsleddet kunne samle inn ytterligere personopplysninger i saken i forbindelse med den videre behandlingen.

I saker som gjelder seksuelle overgrep, vil kilden i hovedsak være den fornærmede, den som mistenkes, eller eventuelle vitner. Kilder kan derfor være både utøvere, trenere, tilskuere, frivillige, foresatte med mer. I tillegg vil organisasjonsledd i idretten kunne få informasjon fra politi, påtalemyndigheten, domstolene eller andre offentlige instanser, som deler informasjonen for å forebygge eller avverge nye overgrep, eller for å følge opp at et overgrep får konsekvenser innenfor idrettens selvdømme.

Dersom et organisasjonsledd får informasjon om seksuelle overgrep begått av eller mot en person med tilknytning til organisasjonsleddet, kan det være aktuelt for dem å behandle saken med sikte på å ilegge sanksjoner mot vedkommende. Det kan også være aktuelt at en sak får arbeidsrettslige konsekvenser dersom vedkommende er ansatt. Siden saker om seksuelle overgrep normalt blir politianmeldt, vil organisasjonsleddet kunne få informasjon om saken fra politiet, dersom politiet anser at slik utlevering er nødvendig for å avverge eller forebygge lovbrudd. I noen tilfeller vil organisasjonsleddet også få informasjon fra de berørte i saken, som fornærmede og vitner. Hvordan det enkelte organisasjonsleddet får eller innhenter opplysninger i slike saker, vil derfor kunne variere.

Informasjonen som organisasjonsleddet innhenter om saken, vil kunne bli benyttet ved anmodning om påtale til Norges idrettsforbunds påtalenemnd, eventuelt ved påtale direkte til Norges idrettsforbunds domsutvalg. Organisasjonsleddet vil i så fall oversende relevant informasjon til påtalenemnda eller domsutvalget, som deretter vil behandle saken i henhold til sine rutiner. Tilsvarende vil et enkeltmedlem kunne oversende informasjon om en sak om et seksuelt overgrep ved anmodning om påtale til påtalenemnda.

I trakasseringssaker, både i saker som gjelder seksuell trakassering og annen trakassering, vil det ofte kunne være et behov for oppbevaring av dokumentasjon i form av skjermbilder fra dialog gjennom sosiale medier, videoklipp som deles mv. I slike saker vil det ofte være relativt mye dokumentasjonsmateriale.

Norges idrettsforbund har et etablert internkontrollsystem som blant annet inneholder rutiner for sikker og forsvarlig oppbevaring av personopplysninger. Norges idrettsforbund har også utarbeidet et malverk for et internkontrollsystem som idrettslag og andre organisasjonsledd kan benytte for å få etablert tilsvarende rutiner.

Lagringstid

Etter personvernforordningen artikkel 5 nr. 1 bokstav e skal personopplysninger «lagres slik at det ikke er mulig å identifisere de registrerte i lengre perioder enn det som er nødvendig for formålene som personopplysningene behandles for».

Hvor lenge et organisasjonsledd lagrer personopplysningene, kan variere ut fra behovet for oppfølging, hva en sak gjelder, og hvilken type personopplysninger saken inneholder. Om en person for eksempel ilegges en reaksjon i idrettens sanksjonssystemer vil det ikke nødvendigvis være behov for å lagre mer enn avgjørelsen, slik at opplysningene som lå til grunn for avgjørelsen, kan slettes.

Det vil være opp til den behandlingsansvarlige å sikre at personvernregelverkets krav om å minimere lagringstid for opplysninger overholdes. Departementet legger til grunn at hver behandlingsansvarlig etablerer gode rutiner for slik oppfølging. Det er essensielt at Norges idrettsforbund oppfordrer sine organisasjonsledd, særlig organisasjonsledd av mindre størrelse og profesjonalitet, til å ta i bruk utarbeidede maler fra Norges idrettsforbund for å sikre dataminimering gjennom etablering av egnede rutiner for sletting og lagringstid for ulike typer personopplysninger.

Den foreslåtte forskriftshjemmelen som omtales i punkt 6.10.3, gir departementet mulighet til å gi ytterligere regler om lagringstid.

Nærmere om ivaretakelse av den registrertes rettigheter

Personvernforordningen kapittel III gir den registrerte en rekke rettigheter ved behandling av personopplysninger om seg selv. Lovforslaget innebærer i utgangspunktet ingen begrensninger i den registrertes rett til innsyn i opplysninger som er registrert om seg selv, rett til informasjon, retting eller begrenset behandling og rett til å protestere etter forordningen kapittel III, jf. personopplysningsloven § 16. Disse rettighetene skal primært ivaretas av den behandlingsansvarlige i den enkelte saken. Reglene som følger av kapittel III, med de unntakene fra retten til informasjon og innsyn som er fastsatt i personopplysningsloven, vil etter departementets vurdering være tilstrekkelig til å balansere hensynet til de ulike partene i forhold som reguleres av loven her.

Norges idrettsforbund har allerede utarbeidet rutiner som en del av internkontrollsystemet, som skal sørge for at de registrerte kan utøve sine rettigheter til blant annet innsyn, korrigering og sletting. For organisasjonsledd som idrettslag, idrettskretser og særforbund har Norges idrettsforbund utarbeidet et malverk som disse kan benytte for å ha tilsvarende rutiner på plass.

Håndteres en varslingssak i MittVarsel, vil varsleren få beskjed om at henvendelsen er mottatt. Dersom varsleren er part i saken, vil varsleren også få informasjon om videre saksgang. Den det er varslet om, vil også få informasjon om saksgang og om utfallet av saken. Det er organisasjonsleddet som mottar varselet, som åpner saken i MittVarsel. I portalen ligger det lenker til Norges idrettsforbunds nettsider om varsling og en veileder som redegjør for hvordan varslingssaker skal følges opp. Gjelder det varsler om seksuelle overgrep, står det tydelig i både veiledere og på nettsidene at politiet bør kontaktes først.

I noen sammenhenger vil det være nødvendig å behandle personopplysninger som ikke er verifiserte, for eksempel basert på anonyme varsler. Den behandlingsansvarlige, det enkelte organisasjonsleddet i idretten, må derfor sørge for at det etableres rutiner for verifisering og eventuell korrigering eller sletting av personopplysningene.

6.10 Forskrifter

6.10.1 Forslaget i høringsnotatet

I høringsnotatet ble det foreslått at departementet kan gi forskrift om behandling av personopplysninger etter denne loven, blant annet nærmere regler om behandlingsansvarlig, hvilke personopplysninger som kan behandles, lagringstid og sletting av personopplysninger.

6.10.2 Høringsinstansenes syn

Det er ingen høringsinstanser som har uttalt seg spesifikt om forslaget.

6.10.3 Departementets vurdering

Departementet mener det kan være behov for ytterligere og mer detaljerte regler om behandling av personopplysninger knyttet til lovens behandlingsformål, for å sikre at behandlingen skjer i tråd med de grunnleggende prinsippene for behandling av personopplysninger. Slike detaljerte og utdypende bestemmelser er ikke naturlig å regulere i lov, og de egner seg etter departementets syn best i forskrifts form, da innholdet kan bli detaljert og omfangsrikt. Det foreslås derfor at departementet kan gi nærmere regler i forskrift om de ulike behandlingene. Dette kan omfatte blant annet regler om behandlingsansvarlig, hvilke personopplysninger som kan behandles, lagringstid og sletting av personopplysninger.

Det kan blant annet være aktuelt å gi forskriftsbestemmelser om hvem som er behandlingsansvarlig, dersom det viser seg å være vanskelig å identifisere hvilket organisasjonsledd som er behandlingsansvarlig for personopplysninger i ulike situasjoner. Departementet vil også, i dialog med idretten, vurdere om det er behov for å sette absolutte grenser for hvor lenge personopplysninger kan lagres. Personvernforordningens prinsipp om lagringsbegrensning tilsier at personopplysninger ikke skal lagres lengre enn nødvendig for formålet de ble innhentet for. I lys av at mange av organisasjonsleddene i Norges idrettsforbund er relativt små og i hovedsak drives på frivillig basis, kan det være hensiktsmessig å vurdere bestemmelser om lagringstid og sletting som gjør det enklere å overholde prinsippet om lagringsbegrensning. Eventuelle forskriftsbestemmelser om lagringstid vil ikke åpne for lengre lagringstid enn det politiregisterlovgivningen gir føringer på, jf. for eksempel politiregisterforskriften § 37-2. Politiregisterforskriften § 37-2 gir anvisning på at en politiattest for eksempel ikke kan oppbevares «utover det tidspunkt vedkommende slutter i den stillingen som ga grunnlaget for vandelskontroll».

Departementet viser for øvrig til at Norges idrettsforbunds sentralledd tilbyr veiledning til underliggende organisasjonsledd om hvordan personopplysninger bør behandles for å være i tråd med personvernregelverket. Slikt veiledningsmateriale kan gjøre behovet for forskriftsregulering mindre dersom det implementeres i underliggende organisasjonsledd.

Departementet har i tillegg vurdert om det er behov for en hjemmel til å gi forskrift om adgang til viderebehandling av opplysninger til andre formål enn de formålene som loven definerer. Departementet har imidlertid vanskelig for å se at det foreligger behov som kan rettferdiggjøre viderebehandling for formål som er uforenlige med lovens formål. Det er lagt særlig vekt på at opplysningene lovforslaget omfatter, i hovedsak vil være sensitive personopplysninger. Departementet foreslår derfor ingen hjemmel til å gi forskrift om viderebehandling til andre formål.

Gjenbruk av personopplysninger til statistiske forhold vil likevel være mulig, da dette ikke vurderes å være uforenlig med det opprinnelige formålet når behandlingen er underlagt nødvendige garantier. Det samme gjelder gjenbruk av personopplysninger til arkivformål i allmenhetens interesse og til vitenskapelige eller historiske forskningsformål.