Hvem har ansvaret for strømmingen?
Det første som må avklares ved strømming av idrettsarrangementer for barn, er ansvarsforholdet etter personvernregelverket mellom de aktørene som er involvert.
Det er den behandlingsansvarlige som har ansvar for å sikre at personvernregelverket er fulgt. Den behandlingsansvarlige er den som alene eller sammen med andre skal bestemme formålene og midlene ved behandlingen – altså hvorfor og hvordan strømmingen skal skje.
I noen tilfeller vil det bare være én involvert aktør, og det er dermed enkelt å avklare hvem som er behandlingsansvarlig.
Eksempel 1
En idrettsklubb filmer og legger selv ut strømming av en håndballkamp som et av klubbens lag spiller på klubbens nettside. Idrettsklubben er alene behandlingsansvarlig for strømmingen av idrettsarrangementet, og ansvarlig for å følge personvernregelverket.
Eksempel 2
Petter filmer datterens fektekonkurranse og publiserer opptaket på en videodelingsplattform på internett. Petter er behandlingsansvarlig for publiseringen av opptaket av idrettsarrangementet, og er ansvarlig for å følge personvernregelverket.
Databehandlere
Dersom en behandlingsansvarlig delegerer oppgaver knyttet til strømmingen av idrettsarrangementet til en ekstern virksomhet eller andre som behandler personopplysninger på vegne av den behandlingsansvarlige, vil denne aktøren være en databehandler. Databehandleren kan bare behandle personopplysninger etter instruks fra den behandlingsansvarlige, og det må inngås en databehandleravtale mellom de to aktørene.
Eksempel
En idrettsklubb finner ut at de ikke har ressurser og kompetanse til å håndtere strømmingen av håndballkampene deres selv. De inngår en avtale med et selskap som driver med kameraproduksjon, med instruksjoner om at denne virksomheten skal filme og tilgjengeliggjøre strømmingen av kampen på klubbens nettside. Idrettsklubben er her behandlingsansvarlig, og selskapet er databehandler for idrettsklubben.
Felles behandlingsansvar?
I andre tilfeller kan det være flere involverte parter, og der partene i fellesskap bestemmer formålene og midlene med strømmingen. Partene vil da være felles behandlingsansvarlige. Felles behandlingsansvar kan oppstå mellom to eller flere parter. Disse er da sammen ansvarlige for å følge kravene i personvernregelverket, og de må avtale seg imellom hvordan de skal fordele ansvaret.
Eksempel
To idrettsklubber er lokale rivaler og spiller en fotballkamp mot hverandre. De går sammen og blir enige om at kampen skal filmes, og at opptaket skal legges ut på en bestemt videodelingsplattform. Klubbene blir også enige om hvordan filmingen skal gjennomføres på idrettsarenaen. Idrettsklubbene er her felles behandlingsansvarlige for filmingen av kampen og publiseringen av opptaket på videodelingsplattformen.
Dersom en av klubbene senere på eget initiativ også bruker opptaket i andre sammenhenger, vil imidlertid denne klubben alene være behandlingsansvarlig for den bruken.
Det er ikke et krav at partene faktisk har avtalt at de er felles behandlingsansvarlige for at det skal være felles behandlingsansvar (selv om en slik avtale i praksis vil være nødvendig for at partene skal kunne etterleve personvernregelverket). Det avgjørende for hvem som har behandlingsansvar, er hvem som faktisk bestemmer at strømming skal skje, samt bestemmer formålene og midlene.
Det er heller ikke noe krav om at de involverte partene må ha samme formål for strømmingen, eller at alle partene må ha tilgang til personopplysningene, for at behandlingsansvaret skal være felles.
Det vil ikke bare være felles behandlingsansvar når partene bestemmer formålene og midlerne i felleskap. Det vil også kunne være felles behandlingsansvar når behandlingen ikke kunne skjedd uten flere parters beslutninger om formålene og midlene, og hvor hver parts behandling av personopplysninger henger uløselig sammen.
Eksempel 1
En idrettsklubb inngår en avtale med en strømmeplattform om at klubbens arrangementer skal strømmes på strømmeplattformens abonnementstjeneste. Idrettsklubben vil få en andel av inntektene fra abonnentene, og strømmingen vil skje under strømmeplattformens kontroll med produksjon og teknologi. Partene inngår ikke noen avtale om behandlingsansvar.
I dette tilfellet vil det likevel være felles behandlingsansvar mellom partene knyttet til strømmingen, siden den ikke kunne skjedd uten begge partenes beslutninger knyttet til strømmingens formål og midler. Disse beslutningene henger uløselig sammen. Partene er dermed sammen ansvarlige for å sørge for at kravene i personvernregelverket ivaretas.
Eksempel 2
En idrettsklubb leier en lokal kommunal idrettshall for treninger og kamper. Idrettshallen brukes også av andre idrettsklubber, i tillegg til at den lokale skolen bruker hallen til gymtimer. Barn og voksne bruker også hallen på fritiden når den er ledig. Idrettsklubben søker til kommunen om å få sette opp et fastmontert kamera ved idrettshallen. Dette skal brukes for å strømme klubbens kamper, og skal bare skrus på i tidsrommene til klubbens oppsatte kamper. Kommunen mener strømmingen kan bidra til økt engasjement og oppmerksomhet rundt den lokale idretten, og er positive til strømmingen. I tillatelsen til idrettsklubben stiller de imidlertid flere vilkår knyttet til hvilke type arrangementer som kan strømmes, hvilke aldersgrupper som kan filmes og tiltak for å bedre ivareta personvern og informasjonssikkerhet.
I tillegg til å gjøre etiske og politiske vurderinger av om det ønskes strømming på kommunens eiendom, gjør kommunen i dette tilfellet også beslutninger knyttet til formålet og midlene ved behandlingen. Siden den aktuelle strømmingen ikke kunne skjedd uten begge partenes beslutninger om formål og midler, og disse beslutningene skjer i fellesskap og henger sammen, foreligger det dermed også felles behandlingsansvar mellom idrettsklubben og kommunen etter personvernregelverket.
Hva er særlig viktig å tenke på ved felles behandlingsansvar?
Dersom det foreligger felles behandlingsansvar, må de behandlingsansvarlige fastsette ansvaret på en åpen og tilgjengelig måte gjennom en ordning – typisk en avtale – for å overholde pliktene i personvernregelverket. Denne ordningen må gjelde for alle pliktene, slik som hvordan rettighetene til de registrerte skal ivaretas, hvordan informasjonen til de registrerte skal gis og hvordan det skal sørges for tilstrekkelig personopplysningssikkerhet. Det viktigste i denne ordningen skal gjøres tilgjengelig for de som filmes.
Få klarhet i ansvarsplasseringen
Dersom det er mange involverte aktører i strømmingen, vil ansvarsforholdene kunne være krevende å avklare. Det er de behandlingsansvarlige som må avklare dette. Før du skal behandle personopplysninger er det derfor viktig at ansvarsplasseringen er på plass og dokumentert for alle behandlingene av personopplysninger.
Rett ansvarsplassering er viktig for at personvernregelverket skal kunne etterleves, for at enkeltpersoner skal kunne utøve rettighetene sine og for at tilsynsmyndighetene effektivt kan utføre oppgavene sine. Ved uklarheter rundt ansvaret, kan enkeltpersoner i praksis oppleve en dårligere beskyttelse enn personvernforordningen er ment å gi.
Eksempel
Et særforbund gir beskjed til alle idrettsklubbene som er underlagt forbundet om at det er inngått en avtale med en strømmeplattform. Plattformen har fått rettighetene til alle kampene i breddeidretten til særforbundet. Idrettsklubbene kan selv velge å inngå avtale med plattformen om strømming av idrettsklubbenes kamper. Strømmeplattformen vil i så fall montere et smartkamera (som kun skal filme kampene) på idrettsarenaen til klubbene.
En idrettsklubb bestemmer seg for å inngå en slik avtale med strømmeplattformen. De to søker sammen til kommunen som eier idrettshallen hvor klubben spiller, og ber om tillatelse til å montere smartkameraet. I forbindelse med strømmingen av kampene skal det vises grafikk over kamptropper, hvem som scorer mål, spillerbytter og lignende. Dette gjøres ved at strømmeplattformen har en integrering mot systemet til særforbundet. Den registrerer alle disse hendelsene.
Her må alle de involverte partene sammen avklare ansvarsplasseringen og rollene tilknyttet alle de relevante behandlingene av personopplysninger for at personvernregelverket skal kunne etterleves.