I de fleste tilfelle vil det ikke foreligge lovhjemmel for å behandle personopplysninger. I praksis vil det derfor ofte være tale om enten å basere skolens behandling av personopplysninger på samtykke fra eleven eller elevens foresatte, eller på slike "nødvendige grunner" som loven selv angir. Lovteksten kan gi inntrykk av at disse to alternative er likestilte, og i så fall kunne en unngå å spørre etter samtykke. Personvernnemnda, som er øverste klageorgan i saker etter personopplysningsloven, har imidlertid fastsatt at samtykke er lovens hovedregel. Det er derfor ikke uten videre anledning til å finne en passende "nødvendig grunn" og se bort i fra innhenting av samtykke. Dette får størst betydning i forhold til den nødvendige grunnen som er angitt i § 8 bokstavene d og f, og som gir anvisning på en bred interesseavveining mellom personvern og andre hensyn. Se nærmere om hvorledes denne grensen kan trekkes under Forklaring vedrørende "nødvendige grunner".
For at det skal foreligge et gyldig samtykke, må kravene i § 2 nr 7 være oppfylt, dvs. samtykket må være informert, uttrykkelig og frivillig.
Hvem som har rett til å samtykke til å behandle personopplysninger om mindreårige elever er ofte vanskelig å avgjøre. Det er imidlertid mulig å gi enkelte retningslinjer:
- Fra fylte 7 år skal barn få si sin mening før det tas avgjørelser om personlige forhold, se barneloven § 31 annet ledd. Dette omfatter også spørsmål vedrørende personopplysninger om barnet, men innebærer ikke at barnet av den grunn får egen kompetanse til å samtykke.
- Fra barnet er 12 år skal det legges stor vekt på barns meninger, se barneloven § 31 annet ledd. Det er da nærliggende å la dette få den konsekvensen at barnet og foresatte skal avgi samtykke i fellesskap fra og med 12 år og frem til barnet kan samtykke alene.
- Dersom loven gir barn/ungdom bestemmelsesrett alene på et bestemt livs-/saksområdet, er det grunn til å gå ut i fra at de også har rett til å samtykke til å behandle personopplysninger på det samme området. Blant slike rettigheter for mindreårige til å bestemme kan særlig nevnes:
- I pasientrettighetsloven er barn gitt stor bestemmelsesrett i saker om egen helse, særlig pasientrettighetsloven § 3-4 og § 4-3. Barn mellom 12 og 16 år har rett til å be om at informasjonen om helseforhold til foreldre blir begrenset, når de anfører grunner som "bør respekteres". Barn bør derfor kunne samtykke til behandling av helseopplysninger når dette er nødvendig for å begrense denne informasjonstilgangen. Barn som har fylt 16 år kan gi samtykke til helsehjelp. Det er da nærliggende å konkludere med at de da også kan samtykke til behandling av personopplysninger som er knyttet til slik helsehjelp.
- Barn som har fylt 15 år kan bestemme i spørsmål om utdanning og melde seg inn og ut av foreninger, se barneloven § 32. De bør derfor kunne samtykke til å behandle slike personopplysninger som hører sammen med slike rettigheter til å selv å bestemme. Kan de selv bestemme om de vil være medlem av en forening, må de også kunne gi samtykke til at foreningen behandler opplysninger om dem forutsatt at dette skjer innenfor foreningens formål.
- Barn som har fylt 15 år kan som hovedregel inngå arbeidsavtaler, men disse kan heves av foreldrene, se vergemålsloven § 32 og arbeidsmiljøloven § 11-1. De må da også kunne samtykke til behandling av opplysninger om dem uten foreldrenes samtykke i tilknytning til gjennomføringen av slike arbeidsavtaler. Både barnet selv og foresatte må imidlertid kunne trekke samtykke tilbake.
- Barn som har fylt 15 år kan disponere over egne midler, se vergemålsloven § 33. De må i den sammenheng også kunne samtykke til slik behandling av personopplysninger som er nødvendige for å disponere midlene.
- Barn som har fylt 15 år kan selv gi skriftlig melding om fritak fra de deler av undervisningen som ut i fra egen religion eller livssyn opplever som støtende eller krenkende, se opplæringslova § 2-3a. De må derfor også kunne gi samtykke til å behandle slike personopplysninger som kreves for å virkeliggjøre retten til fritak.
- Barn på 8. skoletrinnet har rett til på egen hånd å velge skriftlig hovedmålform, se opplæringslova § 2-5. De må derfor også kunne gi samtykke til å behandle slike personopplysninger som kreves for å virkeliggjøre retten til å velge.
Listen overfor gir sikre holdepunkter for ungdoms rett til å samtykke på egenhånd etter fylte 15 år. Dette betyr imidlertid ikke at foresatte alltid kan samtykke sammen med barnet i andre tilfelle, frem til 18 år. Tvert i mot er utgangspunktet trolig at ungdom som har fylt 15 år kan samtykke på egen hånd, med mindre det foreligger særlige grunner som tilsier at foresatte skal spørres. Jo eldre ungdommen er, desto mer skal det til for at ungdommens foresatte har rett til å samtykke på ungdommens vegne.
Det eksisterer neppe situasjoner der foresatte til ungdom over 15 år vil kunne samtykke på vegne av ungdommen uten at han/hun er enig. Skal det benyttes slik tvang, må det trolig skje med hjemmel i lov.
