Persónuvernd - 25. maí og hvað nú?

Persónuvernd - 25. maí og hvað nú?

Í dag kemur ný reglugerð Evrópusambandsins um vernd persónuupplýsinga („GDPR“) til framkvæmda í aðildarríkjum sambandsins, sem leysir eldri tilskipun frá 2000 af hólmi.

Mikið hefur verið spurt um hvenær hið nýja regluverk mun taka gildi hér á landi. Dómsmálaráðuneytið hefur frá byrjun stefnt að því að nýtt regluverk taki gildi á sama tíma á Íslandi og í aðildarríkjum Evrópusambandsins. Nú er aftur á móti ljóst að svo verður ekki. Lokadrög að frumvarpi til nýrra persónuverndarlaga liggja fyrir, en frumvarp hefur þó ekki verið lagt fram á Alþingi.

Mikilvægt er að hafa í huga að reglugerðin verður ekki innleidd hér á landi fyrr en hún hefur formlega verið tekin upp í EES-samninginn. Næsti fundur sameiginlegu EES-nefndarinnar, þar sem ákvarðanir eru teknar um upptöku gerða í EES-samninginn, verður haldinn 31. maí nk. Þar sem innleiðing reglugerðarinnar kallar á lagabreytingar hér á landi verður Ísland að taka ákvörðunina með svokölluðum stjórnskipulegum fyrirvara, nema Alþingi samþykki þingsályktun þess efnis að stjórnskipulega fyrirvaranum sé aflétt fyrir fund nefndarinnar. Aðeins þrír þingfundir eru á dagskrá fram að fundi sameiginlegu EES-nefndarinnar og er því afar ólíklegt að aflétting stjórnskipulega fyrirvarans náist á þeim tíma.

Þá liggur fyrir að Liechtenstein mun þurfa að taka ákvörðun sameiginlegu EES-nefndarinnar með stjórnskipulegum fyrirvara, verði hún tekin á fundi nefndarinnar 31. maí nk., þar sem innleiðing reglugerðarinnar krefst þjóðaratkvæðagreiðslu þar í landi. Þar sem reglugerðin getur ekki tekið gildi í Noregi, Liechtenstein og á Íslandi fyrr en öll ríkin þrjú hafa aflétt hinum stjórnskipulega fyrirvara er ljóst að reglugerðin mun ekki taka gildi í kjölfar næsta fundar sameiginlegu EES-nefndarinnar. Jafnvel þótt Ísland og Liechtenstein myndu ná að aflétta stjórnskipulegum fyrirvara fyrir 31. maí myndi Alþingi eingöngu hafa þrjá þingfundi til að afgreiða frumvarp til innleiðingar reglugerðarinnar, samkvæmt starfsáætlun þingsins.

Sameiginlega EES-nefndin mun hittast aftur hinn 6. júlí og er því möguleiki á að hægt verði að taka ákvörðun um upptöku reglugerðarinnar í EES-samninginn á þeim fundi, verði ákvörðun ekki tekin 31. maí nk. Samkvæmt starfsáætlun Alþingis verður þingið þó ekki að störfum á þeim tíma. Frestun innleiðingar fram á haustþing virðist því líkleg.

Þótt innleiðing hér á landi frestist mega fyrirtæki og stofnanir ekki sofna á verðinum. Undirbúningur fyrir hið nýja regluverk getur reynst flókinn og er í mörg horn að líta. Þá er einkum mikilvægt að hafa í huga að vegna víðtæks gildissviðs reglugerðarinnar tekur hún gildi í dag gagnvart fyrirtækjum og stofnunum hér á landi sem bjóða uppá vörur eða þjónustu í aðildarríkjum Evrópusambandsins.