Sigrún Jóhannesdóttir forstjóri Persónuverndar

Presentasjon om: "Sigrún Jóhannesdóttir forstjóri Persónuverndar"— Utskrift av presentasjonen:

1 Sigrún Jóhannesdóttir forstjóri Persónuverndar
Áhrif reglna Evrópusambandsins á íslenskan rétt og ný Evrópulöggjöf um persónuvernd Sigrún Jóhannesdóttir forstjóri Persónuverndar Persónuvernd á tímamótum Ég setti þetta spurningamerki því ég veit ekki hvort tímamótin séu akkúrat hér og nú velti tvennu fyrir mér í senn – eru þessi tímamót í raun að verða – munu fyrirhugaðar breytingar ná fram að ganga – en á sama tíma get ég spurnt: Hvenær hefur persónuvernd ekki verið á tímamótum

2 Söguleg þróun Eldri stjórnarskrárákvæði
Ákvæði 71. gr. í núgildandi stjórnarskrá 8. gr. mannréttindasáttmálans stjórnarskrá sem Ísland fékk árið 1874, var að miklu leyti samin upp úr dönsku stjórnarskránni, Þar voru rannsóknaraðgerðum stjórnvalda settar ákveðnar skorður í 52. gr. Hún var svohljóðandi. Heimilið er friðheilagt. Ekki má gera húsleit, nje kyrsetja brjef og önnur skjöl og rannsaka þau, nema eftir dómsúrskurði, ef lögin ekki gera sjerlega undantekning. Sambandslögin tóku gildi árið 1918 og árið 1920 var sett ný stjórnarskrá – Stjórnarskrá konungsríkisins Íslands. Í 62. gr. hennar var ákvæði, samhljóða því sem áður var í 52. gr. Stjórnarskrá Íslenska lýðveldisins nr. 33/1944 tók gildi hinn 17. júní 1944 og hafði að geyma ákvæði sem var efnislega sambærilegt við það sem áður var í 62. gr. Einkalífið var þá í senn varið í stjórnarskrá og með hegningarlögum, en bæði í hegningarlögunum frá 1869 og 1940 hafa verið ákvæði um viðurlög við því að skýra frá einkamálefnum og raska bréfaleynd. Með stjórnskipunarlögum nr. 97/1995 var reglu stjórnarskrárinnar um friðhelgi einkalífs breytt. Gildissvið hennar var stórlega rýmkað – m.a. með tilliti til vinnslu persónupplýsinga. Eftir breytinguna er reglan í 71. gr. stjórnarskrárinnar í athugasemdum við 9. gr. þess frumvarps sem varð að stjórnskipunarlögum nr. 97/1995. Þar segir m.a.: Mjög raunhæft dæmi um svið, þar sem álitaefni vaknar um hvort brotið er gegn friðhelgi einkalífs, er skráning persónuupplýsinga um einstaklinga, en í því sambandi reynir á hve langt megi ganga í skipulagðri skráningu á lífsháttum manns og högum og meðferð slíkra upplýsinga. Einkalífsréttur skiptist í marga þætti – einn af þeim er réttur til að ráða yfir eigin persónuupplýsingum, þ. á m. til að andmæla vinnslu upplýsinga um sjálfan sig og vita hvað er um sig skráð. Mannréttindasáttmálinn var undirritaður í Róm 4. nóvember Í 8. gr. hans segir að sérhver maður eigi rétt til friðhelgi einkalífs síns, fjölskyldu, heimilis og bréfaskipta. Sáttmálinn öðlaðist ekki lagagildi hér á landi fyrr en með lögum nr. 62/1994. Áður höfðu dómstólar þó litið til hans í framkvæmd og gert ráð fyrir rétti manna samkvæmt „óskráðum grunnreglum um þagnarvernd einkalífs“

3 SES 108 Evrópuráðssamningur nr. 108 frá 28. janúar 1981 um vernd einstaklinga vegna vélrænnar vinnslu persónuupplýsinga Við setningu Hinn 28. janúar 1981 var gerður samningur Evrópuráðsins (SES 108) um vernd einstaklinga við vélræna vinnslu persónuupplýsinga (e. Convention 108/81 for the Protection of Individuals with regard to Automatic Processing of Personal Data; CETS 108). Fullgiltur 1991

4 Fyrstu lögin um meðferð persónuupplýsinga
Lög nr. 63/1981, því næst 39/1985 og 121/1989. Þau voru stundum kölluð tölvulög og tölvunefnd hafði eftirlit með framkvæmd þeirra. Ör þróun tölvutækni leiddi til þess að menn vantaði reglur og hér var tekið mið af því var að gerast í Evrópu þar sem menn voru í óða önn að bregðast við þeirri ógn sem talin var stafa af henni ... Og því að „þessum sköpunarverkum mannsandans verði beitt í andstöðu við skráðar, sem óskráðar, grundvallarreglur um mannfrelsi og mannréttindi

5 Tilskipun 95/46/EB Tilskipun 95/46/EB um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálsa miðlun slíkra upplýsinga Féll undir EES samninginn Innleidd með lögum 77/2000 um persónuvernd og meðferð persónuupplýsinga Svo kom að því að Evrópusambandið setti sínar eigin reglur á þessu sviði. Framangreindur samningur Evrópuráðsins, frá 28. janúar 1981, var að miklu leyti lagður til grundvallar. Markmiðin voru tvö: Að verna persónuupplýsingar og tryggja að með þær verði farið í samræmi við regluna um friðhelgi einkalífs. Að tryggja frjálst flæði persónuupplýsinga á hinum innri markaði. Ósamræmi í löggjöf um vernd persónuupplýsinga innan aðildarríkjanna var þá farið að standa því flæði í vegi og þar með skapa vandkvæði í efnahagslegu samstarfi þeirra. MÚR Með ákvörðun sameiginlegu EES-nefndarinnar nr. 83/99 var íslenska ríkinu veittur sex mánaða frestur til að aðlaga löggjöf sína um vernd og meðferð persónuupplýsinga, að henni. Samið var frumvarp sem varð að lögum nr. 77/2000 um persónuvernd og meðferð persónuupplýsinga

6 Landfræðilegt gildissvið
Lögin gilda um vinnslu persónuupplýsinga á vegum ábyrgðaraðila sem hefur staðfestu hér á landi Lögin gilda einnig þótt ábyrgðaraðili hafi staðfestu utan Íslands noti hann tæki og búnað hér á landi - þó ekki ef búnaðurinn er aðeins notaður til að flytja upplýsingar um Ísland

7 Valdmörk Persónuverndar
Um sjálfstæði hennar og valdmörk Ákvarðanir verða bornar undir dómstóla en ekki önnur stjórnvöld Persónuvernd fjallar aðeins um ágreiningsmálum um vinnslu persónuupplýsinga sem á sér stað á Íslandi. Ergo PV getur þurft að úrskurð í málum á grv t.d. Franskra laga ef vinnslan gerist hér og frakkar geta þurft að úrskurða á grv íslenskra laga ef áb.aðili en íslenskur en vinnslan fer fram í Frakklandi Áður en lengra er haldið þurfum við að skoða aðeins betur þessa tilskipun – og það með okkar lög.

8 Efnislegt gildissvið Lögin gilda um :
sérhverja rafræna vinnslu persónuupplýsinga – og um handvirka vinnslu persónuupplýsinga sem eru eða eiga að verða hluti af skrám eða skrásafni Lögin eru því það sem stundum er kallað tækni-neutral

9 Lykilhugtakið „persónuupplýsingar“
Sérhverjar persónugreindar eða persónugreinanlegar upplýsingar um hinn skráða, þ.e. upplýsingar sem beint eða óbeint má rekja til tiltekins einstaklings, látins eða lifandi. Persónuupplýsingar eru tvenns konar: Almennar persónuupplýsingar Viðkvæmar persónuupplýsingar

10 Höfuðákvæði; lagaáskilnaðar- og gæðareglur
Um hvenær vinna má með almennar persónuupplýsingar og viðkvæmar persónuupplýsingar. Um hvernig á að vinna með persónuupplýsingar. Gömlu tölvulögin höfðu afmarkað hvað var bannað – með tilskipuninni breyttist þetta – nú eru heimildir taldar upp í 8.og 9. gr. Telja upp 7. gr. 10 10

11 Lykilhugtakið ábyrgðaraðili
Ábyrgðaraðili er sá „sem ákveður tilgang vinnslu persónuupplýsinga, þann búnað sem notaður er, aðferð við vinnsluna og aðra ráðstöfun upplýsinganna“ Nýtt hugtak: hinn skráði

12 „29. gr. starfshópurinn“ Starfar sjálfstætt og hefur það meginhlutverk að samræma lagaframkvæmd að landsrétti á grundvelli tilskipunarinnar Við höfum verið að framkvæma þessi lög síðan – það hefur gengið ágætlega. Á grundvelli 29. gr. tilskipunar nr. 95/46/EB var komið á fót starfshópi sem í daglegu tali er nefndur 29. gr. starfshópurinn. Hann starfar sjálfstætt og hefur það meginhlutverk að samræma lagaframkvæmd að landsrétti á grundvelli tilskipunarinnar, sbr. 30. gr. hennar. Frá því starfshópnum var komið á fót hefur oft verið fjallað um lykilhugtök og framkvæmd í ýmsum réttarsamböndum. Persónuvernd hefur fylgst þétt með þeirri vinnu og mun gera það áfram.

13 auð www.personuvernd.is 13 Hvað hefur breyst
síðan tilskipunin var samþykkt? Hún markaði þáttaskil í sögu Persónuverndar og einkalífsréttar og þau markmið sem hún byggir á eru enn í fullu gildi. Þessi 17 eða 18 ár hafa engu breytt um það Hins vegar þarf að færa reglurnar til nútímans ef svo má að orði komast. Þær voru lögfestar þegar menn vissu varla hvað þeir ættu að kalla netið. Það var ennþá óraunveruleg framtíðarsýn. Ótal aðrar nýjungar: Samskiptavefir, tölvuský, staðsetningartækni, snjallkorta, 3 G – Í daga nota u.þ.b. 250 evrópubúar netið daglega og á þessum tíma hraðra tæknibreytinga verður að tryggja þeim raunverulegt vald yfir sínum persónuupplýsingum. Við skiljum eftir okkur rafræn spor, slóðir sem auðvelt er að rekja. Hver aðgerð okkar daglega lífs skilur eftir sig ummerki og þau eru stöðugt rakin af aðilum utan EES sem þessi löggjöf nær ekki til. Persónuupplýsingar flæða yfir landamæri, bæði ósýnileg landamæri og áþreifanleg – og eru varðveittar á netþjónum um allan heim. Með tölvuskýjum fá menn fjaraðgang að gagnaverum – í stað þess að eiga og halda sjálfir utan um gögnin á sínum einkatölvum Upplýsingar þjóta milli heimsálfa – fara um hnöttinn allan á sekúndubrotum Venjuleg landamæri og lögsögureglur breyta því ekki – þess vegna þarf að breyta reglunum Hið hnattvædda eðli þessa upplýsingaflæðis kallar á alþjóðlega styrkingu einkalífsréttarins. Það krefst strangra grundvallarreglna um einkalífsrétt Í þessum hugrakka netheimi “brave new data world” þurfum við sterk ákvæði og úrræði sem verða að þola tímans tönn og henta okkar stafræna heimi. Reglna sem verði lausar við göt (loopholes) og of hátt flækjustig. 13

14 Annað sem hefur gerst er misræmi í framkvæmd frá einu ríki til annars
Annað sem hefur gerst er misræmi í framkvæmd frá einu ríki til annars. Það hefur leitt til mismunandi verndar. Í sumum ríkjum hafa menn beitt þröngum skýringarkostum gagnvart lykilhugtökum, eins og hugtakinu viðkvæmar p og hugtakið ábyrgðaraðili. Það hefur leitt til réttarskerðingar. Þess vegna þarf að grípa til úrræða – samræmingar – svo evrópskir borgarar njóti sömu verndar óháð því hvar þeir búa og athafna sig – hvar þeir kaupa vörur og þjónustu. Til þess þurfa allir að gera eins – allir að hafa eins dyr á einum og sama gangi. Súmmera – það er þetta tvennt: Hnattvæðingin og misræmið

15 Fyrir liggur tillaga að grundvallarbreytingu („reform“)
Setja á reglugerð og tilskipun fyrir vinnslu á sviði löggæslu. Pakkalausn („package approach“) Af hálfu framkvæmdastjórnar ESB hafa verið lögð fram drög að nýjum reglum um persónuvernd Þetta eru drög að pakkalausn. Þau annars vegar ráð fyrir að sett verði reglugerð um meðferð persónuupplýsinga, hins vegar verði sett tilskipun um meðferð persónuupplýsinga í lögreglumálum og við framkvæmd viðurlaga. Lausnin á að vera „comprehensive“ – það er talið vera nauðsynlegt til að halda sama standard, sömu réttindum, sama öryggisstigi Óvissa með ísland um tilskipunina – 3. stoðar mál – þó kann hún að verða talin hluti af þróun á schengen og þá myndi hún binda okkur. Það sem kann að girða fyrir þetta er sú staðreynd að ekki öll ESB ríki eru aðilar að Schengen. Það mun flækja málin er ef menn halda „pakka-hugmyndinni“ til streitu. ... Reglugerðinni einni og sér held ég flestir munu geta kyngt – amk efnisreglunum – en skoðum þá hverjar þær eru. Hvað er verið að leggja til? 15

16 I Eitt samræmt regluverk og víðara landfræðileg gildissvið
Nýjar reglur (reglugerð) á að ná til allra – líka ábyrgðaraðila utan EES Hvers vegna? Í fyrsta lagi - : Hvers vegna reglugerð. Kannanir hafa sýnt að 4% evrópubúa telja afhjúpun persónuupplýsinga stöðugt verða stærri hluta síns daglega lífs og 72% netnotenda hafa áhyggjur af því að þeir verði að gefa sífellt meiri persónuupplýsingar um sig. Þetta er talið grafa undan trausti á rafrænum samskiptum og torvelda rafræna stjórnsýslu. Það bitni á vaxtarmöguleikum stafræns markaðar og þar með hagkerfinu öllu. Fyrirtæki sem standast ekki kröfur missa traust og í rafrænu viðskiptaumhverfi hefur traust úrslitaþýðingu. Án þess verður fólk ekki hvatt til að nýta sér nýja vörur og þjónustu. Með einu samræmdu regluverki – eitt reglusett – Einstaklingar standa líka frammi fyrir óskýrri og ójafnri persónuvernd. Með einni löggjöf sem gildi á öllu EES svæðinu má einfalda stjórnsýslu og létta skriffinsku og það geti sparað u.þ.b. 2.3 billjón € á ári. Í dag eru til innan evrópu 27 lög um persónuvernd. Þau eru mismunandi að mörgu leyti og ef fyrirtæki er með aðsetur í t.d. 6 ríkjum þarf það að uppfylla lagareglur þeirra allra. Fyrirtæki þurfa að átta sig á og uppfylla flóknar reglur. Þannig helst þetta í hendur – réttur hins skráða og hagur markaðarins. Út fyrir EES: Þetta háa flækjustig hefur leitt til þess að mörg fyrirtæki hafa valið að flytja höfuðstöðvar sínar út fyrir Evrópu. Þetta bitnar á hagvextinum. Þess vegna er gert ráð fyrir því að evrópskar reglur muni gilda ef unnið er með persónuupplýsingar í útlöndum en af fyrirtækjum sem eru aktív á hinum innra markaði EES og bjóða evrópu-búum þjónustu. evrópsk lög eiga að náð til fyrirtækja þótt þau séu með staðfestu utan EES, svo fremi þau selji vöru eða þjónustu innan Evrópu, eða vakti rafrænar venjur og neyslu evrópskra borgara. Þau geta sem sag ekki flúið reglurnar. Til þess þarf alþjóðlega persónuverndarstaðla – samninga - og úrræði til fylgja eftir settum reglum.

17 II. Breytt tilkynningarskylda
Brottfall hefðbundinnar tilkynningarskyldu Aðeins verður skylt að tilkynna um brot En hvernig á að einfalda regluverkið? Jú - samkvæmt gildandi reglum þarf sérhver ábyrgðaraðili, sem beitir rafrænni tækni við vinnslu persónuupplýsinga, tilkynna Persónuvernd um vinnsluna tímanlega áður en hún hefst. Samkvæmt fyrirliggjandi drögum að fella þessa skyldu brott. Það er áætlað að hún hafi kostað fyrirtæki u.þ.b. 130 million € á ári. Í staðinn á að leggja ríkari ábyrgð á þá sem annast vinnslu persónuupplýsinga – m.a. á áreiðanleika upplýsinga, öryggi og vönduðum vinnsluháttum. Fyrirtækjum og samtökum verður gert skylt að tilkynna PV-stofnunum um alvarleg brot á reglum og mistök sem gerast. Þau eiga almennt að tilkynna um þetta innan 24 stunda. Ef það dregst þarf að rökstyðja og skýra þær tafir sérstaklega.

18 III Ein stofnun fer með mál („one stop shop“)
Eitt yfirvald fer með mál ábyrgðaraðila þótt hann sé í nokkrum löndum Einstaklingar geta snúið sér til sinnar heimastofnunar Í öðru lagi á að minnka skriffinskuna með svokölluðu one stop shop Verði drögin samþykkt munu fyrirtæki aðeins þurfa að eiga samskipti við eitt yfirvald – eina persónuverndarstofnun í Evrópu – í því landi þar sem þau hafa aðalstaðfestu Á sama hátt geta einstaklingar snúið sér til sinna heimastofnunar og borið mál undir hana– jafnvel þótt sá aðili sem hafi unnið með persónuupplýsingar um viðkomandi sé utan EES. (FACEBOOK) “

19 IV. Skerpa á rétt einstaklinga
Krafa um yfirlýst samþykki Ný réttindi - réttur til að flytja eigin gögn („right to data portability“) og til að gleymast („right to be forgotten“) Tvennt: Gert er ráð fyrir að í nýjum reglum verði fyrirmæli um að menn eigi að fá skýra og skiljanlega fræðslu um vinnslu persónuupplýsinga. Og… sé samþykkis krafist þarf það að liggja fyrir áður en vinnslan hefst. Aukinn upplýsinga- og aðgangsréttur. Auðvelda á fólki aðgang að eigin persónuupplýsingum og auðvelda því að fá þær fluttar frá einum þjónustuaðila til annars (right to data portability). Þetta mun horfa til meiri og betri samkeppni þjónustuaðila. Réttur til að gleymast (right to be forgotten) á hjálpa fólki að hafa stjórn á því sjálft hvaða áhættu það tekur á netinu. Með þessu er einnig ætlunin að fólk eigi ótvíræðan rétt til að fá upplýsingum um sig eytt sé engin málefnaleg eða lögmæt ástæða til að geyma þær.

20 3. Aukin krafa um hátt öryggisstig
3. Aukin krafa um hátt öryggisstig. Ákvæði um innbyggða hönnun („privacy by design“) og sjálfgefnar stillingar („privacy by default“) Í þriðja lagi á að skerpa réttinn með kröfum um hátt öryggisstig við alla vinnslu persónuupplýsinga – kröfum sem eiga á gilda á öllum sviðum mannlegs lífs – hvort sem það er innan veggja heimilisins, í vinnunni, í verslun, heilsugæslu, skólum, hjá lögreglu og á samskiptavefjum. Eins og ég sagði áðan er nýjum reglum ætlað að gera tvennt í senn – að styrkja rétt einstaklinga og styrkja markaðinn.. Þetta þýðir að þeir sem veita netþjónustu þurfa að beita reglunni um ‘privacy by default’, sem þýðir að þær stillingar sem veita mest vernd koma sjálfkrafa - verði sjálfstilltar eða staðlaðar. Önnur regla er um innbyggða persónuvernd (”privacy by design”) sem þýðir að ábygðaraðilar verða að nota tæknilegar og skipulagslegar öryggisráðstafanir til að tryggja gott öryggisstig – bæði áður en vinnsla hefst og meðan hún er í gangi.

21 V. Styrking stofnana Vald til að beita sektum
Ákvæði um lágmarksfjárveitingar Í fimmta lagi á að styrkja eftirlitsstofnanir í einstökum ríkjum svo þær verði betur í stakk búnar til að beina kröftum sínum að því sem gerist á sínum heimavelli. Þeim verður heimilað að leggja sektir á þá sem brjóta lög um persónuvernd. Þær geta num allt að 1 million € eða allt að 2% af árlegri heimsveltu. Að fenginni reynslu er þetta úrræði ómissandi. Í einkageiranum eru persónupplýsingar hinn nýi gjaldmiðill – hið nýja gull. Það er nóg að líta á verð hlutabréfa í Facebook í kauphöllum. Markaðshlutdeild fyrirtækja er svo mikið að jaðrar við einokun. Í ljósi reynslunnar verður ekki komið auga á ástæðu til að gera mun á sektum samkvæmt samkeppnislögum og persónuverndarlögum. Fjárveitingar. Fyrir áhrifamikla persónuvernd eru fjárveitingar veikur hlekkur. Uppi eru hugmyndir um lágmarksfé sem taki mið af - íbúafjölda - ársframleiðslu - Fjölda aðila sem aðalstaðfestu í ríkinu Fjárhagslegt ójafnvægi í þessu sambandi gæti leitt til þess að hjá HEP munu ráða ríkjum sömu hugmyndir um hina grunuðu – og það mun til legri tíma litið grafa undan ráðinu og áhrifum þess meðal aðildarríkja.

22 Samræmingargangverk („consisteny mechanism“)
Evrópskt persónuverndarráð („European Data Protection Board“) Samræmd ákvæði - bæði almenn lög („implementing acts“) og sértæk („delegated acts“ ) Í heild er talað um að verið sé að koma á samræmingarferli – danirnir tala um samhengismekanisma. Hann felur í sér aðkomu nýs aðila – sem myndi koma í stað 29. gr. starfshópsins - Hins evrópska PV-ráðs. HEP Gert ráð fyrir að í því sitji í fyrsta lagi fulltrúar hinna sjálfstæðu PV-stofnana Samkvæmt orðanna hljóðan er aðeins gert ráð fyrir aðkomueftirlitsstofnana í aðildarrikjum – ég geri ráð fyrir að Ísland og Noregur muni líka eiga fulltrúa en þetta er eitthvað sem huga þarf að. Í öðru lagi fulltrúar framkvæmdastjórnarinnar. Það er mjög umdeilt Oft myndu PV-stofnanir hvorki geta kveðið upp úrskurði, né gefið bindandi fyrirmæli, nema hafa áður tekið tillit til þessa ráð. Hver stofnun, ráðið (HEP) og framkvæmdastjórnin gætu fengið mál prófað. Ráðið ætti að taka ákvörðun innan viku um hvort það muni gefa álit og skal þá skila því innan mánaðar. Framkvæmdastjórnin hefur a.m.k. 10 vikna frest til að skila umsögn um mál sem eru í vinnslu og á meðan mega einstakar PV-stofnanir ekki leysa efnislega úr málum. Um þetta eru skiptar skoðanir – Það er áhyggjuefni að þetta séu of þröngir frestir – þá er deilt um vald framkvæmdastjórnarinnar til að blanda sér í vinnu ráðsins. Við fyrstu sýn er það erfið tilhugsun að framkvæmdastjórnin fái möguleika á einhvers konar yfirumsjón með PV-stofnunum í einstaka málum. Það myndi stangast á við sjálfstæði PV og yrði sérlega erfið fyrir Ísland og Noreg sem ekki eru aðildarríki. Hinn hlutinn af þessum mekanisma er sá að hafa samræmt regluverk. Ekki aðeins samræmd landslög heldur einnig sérreglur frá Brussel - svokallaðar delegated acts. Í umræðunni er greint á milli implementing acts (nasjonale regelverk-landslög) og delegated acts (utfyllende europeisk regelverk- sérreglna frá framkvæmdastjórninni). Huga yrði vandlega að gildi þeirra hér á landi og þessu gæti fylgt réttaróvissa. Óháð því er ljóst að það bráðvantar reglur um tiltekin svið – það er óhjákvæmlegt að setja slíkar reglur. Sumar mætti setja í sjálfa reglugerðina – og sumar mætti láta einstökum ríkjum eftir að setja. Með því yrði tekin viss áhætta á ósamræmi en draga mætti úr því með að fela HEP að veita leiðsögn. Etv mun sú leið ekki reynast fær að skylda stofnanir til að afla forúrskurða frá HEP. Það mætti etv mætast á miðri leið með því að fela ráðinu meira leiðbeiningarhlutverk – gegnum álit o.þ.h Það breytir engu um það að dómstólar munu alltaf eiga lokaorðið.

23 Hverju fer að fagna? Hvað má betur fara?
Fyrstu viðbrögð Hverju fer að fagna? Hvað má betur fara? Í fyrirliggjandi drögum er þannig margt er gott og mörgu er tímabært að breyta. Það þarf að einfalda regluverkið – það er orðið allt of flókið. Meðal þess sem ég fagna er tillögur að ákvæðum sem eiga að styrkja hin borgaralegu réttindi með því að gera vinnslu gegnsærri og gefa fólki betri tæki til að stjórna henni. I ljósi tæknilegrar þróunar er vissulega tímabært að tryggja hátt öryggisstig á sama tíma og nýttir verði kostir stafrænna lausna og þjónustu. Þá eru þarna auknar kröfur um ábyrgð á öryggi sem lögð verður herðar fyrirtækja, sérfræðinga og samtaka. Þá á að styrkja Persónuvernd – og þvi fagna ég líka. Annað vekur spurningar og þar vil ég staldra við. Ég set spurningamerki við að reglugerð komi í stað tilskipunar. Reglugerðir geta verið ágætar í ýmsum sviðum en öðrum ekki. Það er mikill munur á framkvæmd milli aðildarríkja sambandsins, bæði sögulegur og menningarlegur, og ég veit ekki hvað þetta myndi þýða fyrir okkur íslendinga – einkum með tilliti til stjórnsýsluframkvæmdar. Ef reglugerð verður sett – og hún innleidd hér á landi – falla gömlu persónuverndarlögin brott í heild sinni, en þau hafa reynst okkur ágætlega – og því er eftirsjá af þeim. Á sama tíma færist aukið vald til framkvæmdastjórnarinnar og til heildareftirlits á ESB-grunni. Og síðast en ekki síst – það er sagt að núverandi reglur séu of torskildar – en það vandamál minnkar ekki verði þessar nýju reglur samþykktar. Þetta nýja regluverk verður ekki nein barnabók – ekki Gagn og gaman. Með reglugerð á að tryggja aukna samræmingu. Engu að síður verður að draga í efa að í raun verði unnt að koma á samræmingu innan allra aðildarríkjanna. Þótt ætlunin sé að ná fram aukinni persónuvernd og réttindum fyrir borgarana geta þær snúist upp í andhverfu sína. Þá er hætt við að þegar upp verði staðið verði skriffinskubyrðar ábyrgðaraðila einungis þyngri en nú er .   23