Pólitísku samkomulagi náð um nýja Evrópureglugerð um persónuvernd

16.12.2015

Í gær, 15. desember 2015, náðu framkvæmdastjórn Evrópusambandsins, Evrópuþingið og ráðherraráð Evrópusambandsins pólitísku samkomulagi um breytta persónuverndarlöggjöf í Evrópu sem samrýmist betur stafrænum upplýsingatækniheimi. Í janúar 2012 lagði framkvæmdastjórnin fram tillögur að endurbótum, annars vegar drög að almennri reglugerð um persónuvernd og hins vegar drög að tilskipun um persónuvernd í löggæslu. Endurbæturnar uppfæra og endurnýja núgildandi reglur um persónuvernd sem byggjast á tilskipun Evrópuþingsins og ráðsins nr. 95/46/EB frá 24. október 1995, um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálsa miðlun slíkra upplýsinga, og rammaákvörðun ráðsins nr. 2008/977/DIM, um vernd persónuupplýsinga sem unnar eru innan ramma lögreglu- og dómsmálasamstarfs í sakamálum. 

Eftirfarandi er lausleg þýðing á fréttatilkynningu frá framkvæmdastjórn Evrópusambandsins.

Grundvallarréttur borgaranna til persónuverndar

Reglugerð Evrópusambandsins um persónuvernd mun taka til grundvallarréttinda almennra borgara og gefa einstaklingum færi á að stjórna hvaða persónuupplýsingar um þá unnið er með. Reglugerðin mun styrkja rétt til persónuverndar, sem telst grundvallarréttur innan Evrópusambandsins, og byggja upp traust hjá borgurunum þegar þeir afhenda persónuupplýsingar sínar. Samkvæmt nýlegri könnun Eurobarometer hafa 2/3 hlutar Evrópubúa áhyggjur af því að þeir hafi ekki fulla stjórn á persónuupplýsingum sem þeir láta af hendi á Internetinu auk þess sem sjö af hverjum tíu evrópubúum hafa áhyggjur af því hvernig fyrirtæki muni hugsanlega nota persónuupplýsingar sem þeim eru afhentar.

Hinar nýju reglur munu taka á fyrrnefndum áhyggjum með því að styrkja gildandi réttindi og gera einstaklingum kleift að hafa meiri stjórn á persónuupplýsingum sínum og þá sérstaklega með því að:

• Einfalda aðgengi einstaklinga að þeirra eigin upplýsingum.
• Auðvelda flutning persónuupplýsinga milli þjónustuveitenda.
• Skýra rétt einstaklinga til að gleymast þegar þeir óska eftir því að ekki verði lengur unnið með persónuupplýsingar þeirra.
• Kveða á um rétt einstaklinga til vitneskju um það hvenær misfarið hefur verið með upplýsingar um þá.

 Skýrar reglur í samræmi við nútímann fyrir viðskiptaaðila

Í stafrænu viðskiptaumhverfi nútímans hafa persónuupplýsingar öðlast umfangsmikið efnahagslegt gildi. Sameining evrópskra reglna um persónuvernd í eina persónuverndarlöggjöf skapar viðskiptatækifæri og hvetur til nýsköpunar:

• Ein, samræmd persónuverndarlöggjöf mun gera fyrirtækjum kleift að stunda viðskipti innan Evrópu á einfaldari og hagkvæmari hátt.
• Fyrirtæki munu einungis þurfa að eiga í samskiptum við eitt eftirlitsstjórnvald sem áætlað er að spari 2,3 milljarða evra á ári.
• Evrópskar reglur munu gilda á evrópskum grunni. Fyrirtæki utan Evrópu sem veita þjónustu innan svæðisins munu einnig þurfa að fylgja hinum nýju reglum.
• Reglurnar munu ýta undir nýsköpun og tryggja að persónuvernd sé innbyggð í vörur og þjónustu frá upphagsstigi framleiðslu (innbyggð friðhelgi). Hvatt verður til notkunar á tækniaðferðum sem styðja við persónuvernd, s.s. með nafnleynd, svo að unnt sé að njóta ávinnings af vinnslu magnupplýsinga (e. Big Data) en vernda um leið friðhelgi einkalífs.

Endurbæturnar eru hagfelldar bæði stórum og litlum fyrirtækjum. Einnig munu þær gera litlum og meðalstórum fyrirtækjum kleift að sækja inn á nýja markaði. Einföldun á regluverkinu hefur ferns konar ávinning í för með sér:

• Formleg tilkynningarskylda um vinnslu persónuupplýsinga fellur brott.
• Lítil og meðalstór fyrirtæki munu geta tekið gjald fyrir gagnabeiðni í þeim tilvikum þar sem slík beiðni er illa rökstudd eða óvenjuleg að umfangi.
• Lítil og meðalstór fyrirtæki verða undanskilin þeirri skyldu sem hvíla mun á stærri fyrirtækjum að tilnefna sérstakan gagnaverndarfulltrúa svo lengi sem gagnavinnsla er ekki hluti af kjarnastarfsemi þeirra.
• Lítil og meðalstór fyrirtæki munu ekki þurfa að vinna sérstakt mat á áhrifum fyrirhugaðra vinnsluaðgerða á gagnaöryggi.

Þá er endurbótunum ætlað að vernda persónuupplýsingar á sviði löggæslu og refsivörslu með betri samvinnu milli yfirvalda á því sviði. Þau munu eiga möguleika á því að deila nauðsynlegum upplýsingum í þágu rannsókna sín á milli á skilvirkari hátt, en það bætir samvinnu og varnir gegn hryðjuverkum og öðrum alvarlegum glæpum í Evrópu. Skýrar reglur er að finna um miðlun þeirra á upplýsingum til aðila utan Evrópusambandsins sem tryggja að réttarvernd borgaranna sé sambærileg og innan Evrópu.

Tilskipun um vernd persónuupplýsinga sem unnar eru innan ramma lögreglu- og dómsmálasamstarfs í sakamálum

Tilskipunin um persónuvernd hjá yfirvöldum á sviði löggæslu og refsivörslu mun bæði taka tillit til sérstakra þarfa á því sviði og til ólíkrar löggjafar í aðildarríkjum, auk þess sem hún verður í fullu samræmi við réttindasáttmála Evrópusambandsins.

Þá munu persónuupplýsingar borgaranna njóta betri verndar við vinnslu í þágu löggæslu, þ. á m. til að koma í veg fyrir afbrot. Upplýsingar allra verða verndaðar óháð því hvort einstaklingur telst brotaþoli, sakborningur eða vitni. Öll vinnsla persónuupplýsinga í þágu löggæslu skal vera sanngjörn, málefnaleg og nauðsynleg og tryggja réttaröryggi. Eftirlit verður í höndum persónuverndarstofnana  aðildarríkjanna.  

Næstu skref

Í kjölfar þess að pólitísk samstaða hefur náðst milli framkvæmdastjórnar Evrópusambandsins, Evrópuþingsins og ráðherraráðs Evrópusambandsins munu þingið og ráðið ákveða endanlegan texta reglugerðarinnar og tilskipunarinnar, þ.e. í byrjun árs 2016. Að tveimur árum liðnum frá þeim tíma mun hin nýja löggjöf taka gildi.

Framkvæmdastjórn Evrópusambandsins mun vinna náið með persónuverndarstofnunum aðildarríkjanna í þeim tilgangi að tryggja samræmda beitingu hinna nýju reglna. Á meðan á hinu tveggja ára innleiðingartímabili stendur mun framkvæmdastjórnin veita einstaklingum upplýsingar um rétt þeirra og fyrirtækjum upplýsingar um skyldur þeirra.

Persónuverndarstofnanir munu vinna mun nánar saman í framtíðinni til þess að leysa mál sem lúta að persónuvernd þvert á landamæri og þá sérstaklega í þeim tilvikum þar sem unnt verður að leita einungis til einnar persónuverndarstofnunar innan Evrópu.