Ferill 601. máls. Aðrar útgáfur af skjalinu: PDF - Word

---

157. löggjafarþing 2025–2026.

Þingskjal 1030 — 601. mál.

Stjórnarfrumvarp.

Frumvarp til laga

um breytingu á lögum um fjarskipti, nr. 70/2022 (EES-reglur).

Frá innviðaráðherra.

1. gr.

Við 88. gr. laganna bætist ný málsgrein, svohljóðandi:

Þrátt fyrir 1. mgr. 88. gr. er fjarskiptafyrirtækjum heimilt, við framboð á þjónustu sem ekki er tengd númerum, að nýta sjálfvirkan, tæknilegan búnað sem sérstaklega er ætlaður til að skima fjarskiptaumferð fyrir efni sem inniheldur kynferðislegt ofbeldi gegn börnum.

2. gr.

Við 107. gr. laganna bætist við ný málsgrein, svohljóðandi:

Ráðherra er heimilt að setja reglugerð um nánari útfærslu á framkvæmd skimunar skv. 5. mgr. 88. gr., svo sem um eftirlit, fyrirkomulag kvartana, eyðingu gagna o.fl.

3. gr.

Við 108. gr. laganna bætast við tvær nýjar málsgreinar, svohljóðandi:

Ráðherra er heimilt með reglugerð að innleiða reglugerð Evrópuþingsins og ráðsins (ESB) 2021/1232 frá 14. júlí 2021 um tímabundna undanþágu frá tilteknum ákvæðum tilskipunar 2002/58/EB að því er varðar notkun veitenda fjarskiptaþjónustu milli einstaklinga, sem er ótengd númerum, á tækni til að vinna úr persónuupplýsingum og öðrum gögnum í þeim til­gangi að berjast gegn kynferðislegri misnotkun barna á netinu, sem birt er á bls. 641–651 í EES-viðbæti við Stjórnartíðindi Evrópusambandsins nr. 10 frá 12. febrúar 2026, ásamt reglu­gerð Evrópuþingsins og ráðsins (ESB) 2024/1307 frá 29. apríl 2024 um breytingu á reglugerð (ESB) 2021/1232 um tímabundna undanþágu frá tilteknum ákvæðum tilskipunar 2002/58/EB að því er varðar notkun veitenda fjarskiptaþjónustu milli einstaklinga, sem er ótengd númer­um, á tækni til að vinna úr persónuupplýsingum á öðrum gögnum í þeim tilgangi að berjast gegn kynferðislegri misnotkun barna á netinu, sem birt er á bls. 652–654 í EES-viðbæti við Stjórnar­tíðindi Evrópusambandsins nr. 10 frá 12. febrúar 2026, með þeim aðlögunum sem leiðir af bókun 1 um altæka aðlögun við samninginn um Evrópska efnahags­svæðið og ákvörðun sameiginlegu EES nefndarinnar nr. 310/2025 frá 5. desember 2025, eins og hún er birt í EES-viðbæti við Stjórnartíðindi Evrópusambandsins.

Reglugerðir Evrópusambandsins, sem teknar verða upp í samninginn um Evrópska efna­hags­svæðið og fela í sér breytingar eða viðbætur við reglugerðir Evrópuþingsins og ráðsins (ESB) 2021/1232 og (ESB) 2024/1307 eða settar með tilvísun í þær, er einnig heimilt að inn­leiða með reglugerð með sömu aðferð og getið er í 1. mgr.

4. gr.

Lög þessi öðlast þegar gildi.

Greinargerð.

1. Inngangur.

Hinn 24. júlí 2020 lagði Evrópusambandið grunninn að stefnuáætlun sinni sem ber yfir­skriftina „Stefnuáætlun ESB um árangursríkari baráttu gegn kynferðislegri misnotkun barna“. Með stefnunni ákváðu ríki Evrópusambandsins að gera verndun barna bæði á netinu og utan þess að einu af forgangsverkefnum sínum. Kynferðisleg misnotkun og misneyting á börnum eru alvarleg brot á mannréttindum og grundvallarréttindum, einkum að því er varðar rétt barna til að vera vernduð gegn ofbeldi, misþyrmingum, vanrækslu og illri meðferð, þ.m.t. kynferðis­legri misnotkun.

Sáttmáli Evrópusambandsins um grundvallarréttindi, hér eftir kallaður sáttmálinn, viðurkennir öll grundvallar­mannréttindi. Þannig verndar 7. gr. sáttmálans grundvallarréttindi allra til friðhelgi einkalífs og fjölskyldu, heimilis og samskipta, þar á meðal fjarskiptaleyndar. Í 8. gr. sáttmálans má finna réttinn til verndar persónuupplýsingum.

Í 1. mgr. 3. gr. samnings Sameinuðu þjóðanna um réttindi barnsins frá 1989, sem lögfestur hefur verið hér á landi með lögum nr. 19/2013, og 2. mgr. 24. gr. sáttmálans er kveðið á um að í öllum aðgerðum sem snerta börn, hvort sem opinber yfirvöld eða einkareknar stofnanir grípa til, skuli fyrst og fremst hafa það að leiðarljósi sem er barninu fyrir bestu. Í 2. mgr. 3. gr. samnings Sameinuðu þjóðanna um réttindi barnsins og í 1. mgr. 24. gr. sáttmálans er lögð áhersla á rétt barna til verndar og umönnunar sem nauðsynleg er fyrir velferð þeirra.

Fyrir setningu reglugerðar (ESB) 2021/1232 frá 14. júlí 2021 um tímabundna undanþágu frá tilteknum ákvæðum tilskipunar 2002/58/EB að því er varðar notkun veitenda fjarskipta­þjónustu milli einstaklinga, sem er ótengd númerum, á tækni til að vinna úr persónu­upp­lýsingum og öðrum gögnum í þeim tilgangi að berjast gegn kynferðislegri misnotkun barna á netinu var farið að bera á því að veitendur ónúmeraháðrar fjarskiptaþjónustu, svo sem vefpósts og skilaboðaþjónustu, væru farnir að nota tækni að eigin frumkvæði með það að markmiði að koma upp um kynferðislega misnotkun barna og tilkynna það yfirvöldum. Í sinni einföldustu mynd fólst tæknin í því að skima myndefni, texta eða umferðargögn fjarskipta og í sumum tilvikum söguleg gögn fjarskipta við svokallað tæti, (e. hash) úr gagnagrunni sem viðhaldið er af samtökum sem vinna gegn kynferðislegu ofbeldi gegn börnum. Þessir aðilar komu síðan ábendingum til landsbundinna ábendingalína sem staðsettar voru ýmist innan eða utan Evrópusambandsins, sem höfðu það að markmiði að bera kennsl á börn, draga úr kyn­ferðis­legri misnotkun barna og koma í veg fyrir að börn yrðu að fórnarlömbum. Þessar aðgerðir voru mikilvægar til þess að draga úr dreifingu efnis með kynferðislegri misnotkun barna á netinu og til að stuðla að því að bera kennsl á og rannsaka brotamenn en jafnframt til að koma upp um, rannsaka og saksækja fyrir kynferðislega misnotkun barna.

Þrátt fyrir göfug markmið frumkvöðla á þessu sviði þá fór þessi starfsemi í bága við persónu­verndarlöggjöf Evrópusambandsins og ekki var hægt að réttlæta slík inngrip inn í friðhelgi einkalífs og fjölskyldu, þar á meðal fjarskiptaleynd, án lagaheimildar. Skv. 1. mgr. 52. gr. sáttmálans þarf að kveða á um slíkar takmarkanir með lögum og skulu þær virða eðli réttarins til friðhelgi einkalífs og fjölskyldu og verndar persónuupplýsinga með fyrirvara um meðal­hófsregluna, nauðsyn og að uppfylla í raun og veru markmið á sviði almannahagsmuna sem viðurkennt er af yfirvöldum á hverjum tíma eða þörfina á að vernda mannréttindi og mann­frelsi. Ef slíkar takmarkanir fela í sér almennt og tilviljanakennt eftirlit og greiningu á samskiptum allra notenda skerða þær réttinn til fjarskiptaleyndar.

Í þessu ljósi var nauðsynlegt að mati Evrópusambandsins að setja reglur á þessu sviði og úr varð reglugerð (ESB) 2021/1232 um tímabundna undanþágu frá tilteknum ákvæðum tilskipunar 2002/58/EB að því er varðar notkun veitenda fjarskiptaþjónustu milli einstaklinga, sem er ótengd númerum, á tækni til að vinna úr persónuupplýsingum og öðrum gögnum í þeim tilgangi að berjast gegn kynferðislegri misnotkun barna á netinu.

Háskóla-, iðnaðar- og nýsköpunarráðherra lagði fram frumvarp á 153. löggjafarþingi til breytinga á ýmsum lögum, þar á meðal lögum um fjarskipti, sjá þingskjal 1480, 947. mál. Í frum­varpinu var lögð til breyting á 88. gr. laga um fjarskipti á þann hátt að þrátt fyrir 1. mgr. ákvæðisins yrði fjarskiptafyrirtækjum heimilt, við framboð á þjónustu sem ekki væri tengd númerum, að nýta sjálfvirkan, tæknilegan búnað sem sérstaklega er ætlaður til að skima fjarskiptaumferð fyrir efni sem inniheldur kynferðislegt ofbeldi gegn börnum. Markmiðið með ákvæði þessu var að veita heimild fyrir skimun fjarskiptaumferðar í samræmi við reglugerð (ESB) 2021/1232. Það frumvarp náði ekki fram að ganga. Það var því lagt fram að nýju á 154. löggjafarþingi (205. mál) en þá án ákvæðis um breytingar á 88. gr. laga um fjarskipti. Ákvæði um breytingu á 88. gr. laga um fjarskipti var umdeilt á 153. löggjafarþingi en ekkert inn­leiðingarákvæði var í þingskjali 1480 enda ekki búið að taka reglugerð (ESB) 2021/1232 upp í samninginn um Evrópska efnahagssvæðið.

Verndun barna á netinu er eitt af áhersluatriðum í Netöryggisstefnu Íslands 2022–2037 þar sem fram kemur að huga þurfi sérstaklega að vernd barna á netinu. Í d-lið á bls. 14 í stefnunni kemur eftirfarandi fram: „Vernd barna gegn misnotkun á Netinu verði tryggð með stefnu, skýrri löggjöf og ábyrgð á framkvæmd og eftirfylgni. Einnig verði hugað að öðrum hópum sem kunna að þarfnast aukinnar vernda með svipuðum hætti.“ Ekki er minnst á þessa stefnu í þingskjali 1480.

Reglugerð (ESB) 2021/1232 gilti til 3. ágúst 2024 í Evrópusambandinu. Gildistími reglu­gerðar­innar var framlengdur til 3. apríl 2026 með reglugerð (ESB) 2024/1307 um breytingu á reglugerð (ESB) 2021/1232 um tímabundna undanþágu frá tilteknum ákvæðum tilskipunar 2002/58/EB. Auk þess að framlengja gildistíma þá voru breytingar reglugerðar (ESB) 2024/1307 frá 29. apríl 2024 um breytingu á reglugerð (ESB) 2021/1232 um tímabundna undan­þágu frá tilteknum ákvæðum tilskipunar 2002/58/EB að því er varðar notkun veitenda fjar­skipta­þjónustu milli einstaklinga, sem er ótengd númerum, á tækni til að vinna úr persónu­upplýsingum á öðrum gögnum í þeim tilgangi að berjast gegn kynferðislegri misnotkun barna á netinu minni háttar. Áætlað var að fyrir 3. apríl 2026 yrðu komnar fram varanlegar reglur um sama efni en ekki hefur náðst samkomulag um þær. Evrópusambandið hefur lagt fram breytingar­reglugerð á Evrópuþinginu, sem er í meðförum þess, gerð (COM)2025)797 þar sem lagt er til að gildistími reglugerðanna verði framlengdur til 3. apríl 2028.

2. Tilefni og nauðsyn lagasetningar.

Hinn 5. desember 2025 voru reglugerð Evrópuþingsins og ráðsins (ESB) 2021/1232 frá 14. júlí 2021 um tímabundna undanþágu frá tilteknum ákvæðum tilskipunar 2002/58/EB að því er varðar notkun veitenda fjarskiptaþjónustu milli einstaklinga, sem er ótengd númerum, á tækni til að vinna úr persónuupplýsingum og öðrum gögnum í þeim tilgangi að berjast gegn kynferðislegri misnotkun barna á netinu og reglugerð (ESB) 2024/1307 um breytingu á reglugerð (ESB) 2021/1232 um tímabundna undanþágu frá tilteknum ákvæðum tilskipunar 2002/58/EB að því er varðar tækninotkun veitenda númeraóháðra samskiptaþjónustu til vinnslu persónuupplýsinga og annarra upplýsinga í þeim tilgangi að berjast gegn kynferðis­ofbeldi gegn börnum á netinu teknar upp í samninginn um Evrópska efnahagssvæðið með ákvörðun sameiginlegu EES-nefndarinnar nr. 310/2025.

Tilefni lagasetningar þessarar er að innleiða reglugerðir Evrópusambandsins í íslenskan rétt. Grunnreglugerðin, þ.e. reglugerð (ESB) 2021/1232, er um margt sérstök þar sem hún er tímabundin og veitir undanþágu frá mikilvægum réttindum, þ.e. fjarskiptaleynd. Þá er gildistími hennar að renna út, en framlenging á reglugerðunum er handan við hornið.

Markmið lagasetningarinnar er að stuðla að því að reglugerðin fái gildi hér á landi og að börn njóti sömu verndar á Íslandi og þau gera í ríkjum Evrópusambandsins.

Lagt er til í frumvarpi þessu að sett verði heimild fyrir ráðherra í lög um fjarskipti um að ráðherra geti með reglugerð innleitt framangreindar reglugerðir með svokallaðri tilvísunar­aðferð. Þeirri aðferð er oft beitt við innleiðingar EES-gerða í íslenskan rétt þar sem svigrúm er lítið til að aðlaga þær að íslenskum aðstæðum. Með tilvísunaraðferð er reglugerðin tekin upp samkvæmt orðanna hljóðan í reglugerð og hefur gildi sem slík. Með því er komið í veg fyrir að frekari skyldur séu settar við innleiðingu en nauðsyn ber til.

3. Meginefni frumvarpsins.

3.1. Efni frumvarpsins.

Í 1. gr. er að finna breytingu á 88. gr. laga um fjarskipti þar sem nýrri málsgrein er bætt við greinina. Um er að ræða sömu breytingu og lögð var til með frumvarpi háskóla-, iðnaðar- og nýsköpunarráðherra á 88. gr. laga um fjarskipti á 153. löggjafarþingi, sjá 947. mál. Breytingin heimilar fjarskiptafyrirtækjum að framkvæma sjálfvirka skimun og nýta til þess tæknilegan búnað sem sérstaklega er ætlaður til að skima fjarskiptaumferð fyrir efni sem inniheldur kynferðislegt ofbeldi gegn börnum. Ákvæðið er nauðsynlegt til að hægt sé að innleiða reglugerðir (ESB) 2021/1232 og (ESB) 2024/1307.

Í 2. gr. er að finna heimildarákvæði fyrir ráðherra til að setja nánari reglur í reglugerð í 107. gr. laga um fjarskipti um útfærslu skimunar. Það er margs að gæta við skimun sem þessa. Í reglugerð (ESB) 2021/1232 er t.d. gert ráð fyrir mannlegri íhlutun og því verður að setja reglur í reglugerð um þann þátt og öryggi. Einnig er ráðherra heimilt að setja reglur um eftirlit, fyrir­komulag kvartana og eyðingu gagna svo eitthvað sé nefnt, upptalning í ákvæðinu er ekki tæmandi. Árétta ber að skimun samkvæmt reglugerð (ESB) 2021/1232 er valkvæð og því er fjarskiptafyrirtækjum ekki skylt að framkvæma skimun.

Í 3. gr. er að finna tillögu um að bæta tveimur nýjum málsgreinum við 108. gr. laganna Í 1. mgr. er lagt til að ráðherra verði heimilt að innleiða með reglugerð tvær reglugerðir Evrópu­þingsins og ráðsins, annars vegar (ESB) 2021/1232 frá 14. júlí um tímabundna undanþágu frá tilteknum ákvæðum tilskipunar 2002/58/EB að því er varðar notkun veitenda fjarskipta­þjónustu milli einstaklinga, sem er ótengd númerum, á tækni til að vinna úr persónu­upp­lýs­ingum og öðrum gögnum í þeim tilgangi að berjast gegn kynferðislegri misnotkun barna á netinu. Hins vegar reglugerð (ESB) 2024/1307 um breytingu á reglugerð (ESB) 2021/1232 um tímabundna undanþágu frá tilteknum ákvæðum tilskipunar 2002/58/EB að því er varðar tækni­notkun veitenda númeraóháðra samskiptaþjónustu til vinnslu persónuupplýsinga og annarra upplýsinga í þeim tilgangi að berjast gegn kynferðisofbeldi gegn börnum á netinu.

Reglugerð (ESB) 2021/1232 veitir undanþágu frá tveimur ákvæðum tilskipunar Evrópu­sambandsins og ráðsins 2002/58/EB frá 12. júlí 2002 um vinnslu persónuupplýsinga og um verndun einkalífs á sviði rafrænna fjarskipta (tilskipun um friðhelgi einkalífsins og rafræn fjarskipti). Tilskipun 2002/58/EB tekur til vinnslu persónuupplýsinga í tengslum við framboð á rafrænni fjarskiptaþjónustu sem er aðgengileg á fjarskiptanetum innan Evrópska efnahags­svæðisins. Reglugerð (ESB) 2021/1232 er ætlað að veita undanþágu frá 1. mgr. 5. gr. og 1. mgr. 6. gr. tilskipunarinnar 2002/58/EB. Ákvæði 1. mgr. 5. gr. er svohljóðandi í íslenskri þýð­ingu: „Aðildarríkin skulu, með innlendri löggjöf, tryggja fjarskiptaleynd og leynd tengdra umferðargagna við notkun almennra fjarskiptaneta og rafrænnar fjarskiptaþjónustu sem er öllum aðgengileg. Einkum skulu þau leggja bann við hlustun, upptöku, geymslu eða öðrum aðferðum við hleranir eða eftirlit með fjarskiptum og tengdum umferðargögnum af öðrum aðilum en notendum, án samþykkis viðkomandi notanda, nema þegar slíkt er heimilt samkvæmt lögum í samræmi við 1. mgr. 15. gr. Þessi málsgrein skal ekki koma í veg fyrir tækni­­lega geymslu sem nauðsynleg er vegna flutnings fjarskiptasendingar, sbr. þó megin­regluna um fjarskiptaleynd.“ Ákvæði 1. mgr. 6. gr. er svohljóðandi í íslenskri þýðingu: „Eyða verður umferðargögnum, sem varða áskrifendur og notendur, sem eru unnin og eru geymd hjá þeim sem býður fram almenn fjarskiptanet eða rafræna fjarskiptaþjónustu sem er öllum aðgengileg, eða aðskilja þau frá nafni um leið og þeirra er ekki lengur þörf til að senda fjar­skiptasendingu, sbr. þó ákvæði 2., 3. og 5. mgr. í þessari grein og 1. mgr. 15. gr.“ Tilgangur undan­þágunnar er að gera þjónustuveitendum kleift að nýta tiltekna tækni við vinnslu persónuupplýsinga og annarra ópersónugreinanlegra upplýsinga, þegar hún telst vera nauðsynleg til að koma upp um kynferðisofbeldi gegn börnum á netinu ásamt því að tilkynna um þannig athæfi og fjarlægja slík gögn. Reglugerð (ESB) 2021/1232 gildir um fjarskipti ótengd númerum. Fjarskiptaþjónusta sem slík nær einnig yfir fjarskipti milli einstaklinga sem eru ótengd númerum, sbr. 7. mgr. 2. gr. tilskipunar Evrópuþingsins og ráðsins (ESB) 2018/1972 frá 11. september 2018 um setningu evrópskra reglna um rafræn fjarskipti, oft nefnd fjarskiptatilskipunin eða kóðinn, sem var innleidd í íslenskan rétt með lögum nr. 70/2022. Reglugerð (ESB) 2021/1232 gildir því ekki um talsamband, þ.e. síma. Enn fremur gildir reglugerðin ekki um SMS skilaboð sem er númeraháð þjónusta. Reglugerðin gildir um OTT-samskiptaþjónustu, (e. over the top communication services) eins og Microsoft Teams Chat, Google Chat, o.fl. og tölvupóstþjónustur eins og Gmail, Outlook o.fl. ásamt Facebook Messenger og Telegram svo dæmi séu nefnd.

Reglugerð (ESB) 2021/1232 veitir einungis undanþágu frá meginreglunni um fjarskipta­leynd en veitir ekki lagagrundvöll fyrir vinnslu persónuupplýsinga við notkun greininga­tækja. Verði frumvarpið að lögum og kjósi þjónustuveitendur að nýta sér undanþáguna er þeim skylt að fara eftir reglugerð Evrópusambandsins og ráðsins (ESB) 2016/679 um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálsa miðlun slíkra upplýsinga og niður­fellingu tilskipunar 95/46/EB (almenna persónuverndarreglugerðin), sbr. lög um persónu­vernd og vinnslu persónuupplýsinga, nr. 90/2018.

Þjónustuveitendum er enn sem komið er ekki skylt að fara eftir reglugerð (ESB) 2021/1232. Þetta hefur valdið deilum innan Evrópusambandsins en sum ríki þess hafa beitt sér fyrir því að gera skimun fyrir barnaníði að skyldu en ekki valkvæða, svo sem Danmörk. Þetta hefur m.a. tafið samþykkt varanlegrar löggjafar á þessu sviði. Kjósi þjónustuveitendur að nýta sér undanþáguheimild reglugerðar (ESB) 2021/1232 ber þeim að fylgja ákvæðum almennu persónuverndarreglugerðarinnar og þeim skilyrðum sem reglugerð (ESB) 2021/1232 kveður á um. Vinnslan verður að vera nauðsynleg til að koma upp um kynferðisofbeldi gegn börnum og meint barnaníð þarf að tilkynna til þar til bærra yfirvalda. Þá þarf að gæta meðal­hófs við vinnsluna og hún þarf að vera takmörkuð við það efni og umferðargögn sem nauð­synleg eru til að uppfylla tilgang vinnslunnar. Loks má ekki geyma gögnin lengur en þörf er á og er hámarksgeymslutími 12 mánuðir frá söfnun upplýsinga.

Reglugerð (ESB) 2021/1232 skilgreinir ekki tækni heldur er vísað til þess að sú tækni sem nýtt er skuli uppfylla ákvæði 25. gr. almennu persónuverndarreglugerðarinnar. Fram kemur í reglugerð (ESB) 2021/1232 að tæknin, að því marki sem hún er notuð til að skima texta í samskiptum, megi ekki geta ályktað um efni innihalds samskiptanna og megi aðeins vera fær um að greina mynstur sem benda til hugsanlegrar kynferðislegrar misnotkunar barna á netinu.

Gerðar eru þær kröfur til þjónustuveitenda að þeir geri ráðstafanir, ætli þeir sér að nýta undanþáguna frá fjarskiptaleynd. Innri ferlar þurfa að vera til staðar hjá þjónustuveitendum sem miða að því að koma í veg fyrir misnotkun, óheimilan aðgang eða miðlun á upplýsingum sem unnið er með. Rétt er að vekja athygli á því að gerð er krafa um mannlega íhlutun þegar unnið er með upplýsingar, greiningar og við tilkynningar til lögboðinna yfirvalda. Þannig er óheimilt að tilkynna mál til lögreglu án þess að mannleg íhlutun hafi áður staðfest grun um kynferðislega misnotkun barna á netinu. Í reglugerðinni er að finna andmælarétt ef efni er fjarlægt eða ef lokað er á notendur. Þá er skylda til að upplýsa notendur ef efni er fjarlægt og upplýsa þá um réttindi sín samkvæmt lögum. Þeir aðilar sem kjósa að nýta sér undanþáguna þurfa að skila skýrslu til Persónuverndar sem og framkvæmdastjórnar Evrópusambandsins árlega.

Í ákvörðun sameiginlegu EES-nefndarinnar nr. 310/2025 þar sem samþykkt er að taka upp reglugerð (ESB) 2021/1232 inn í samninginn um Evrópska efnahagssvæðið kemur fram að reglugerðin sé tekin upp í samninginn með aðlögunum. Þar ber helst að nefna ítarlegar skil­greiningar á 2. gr. reglugerðarinnar um það hvað teljist til kynferðislegrar misnotkunar barna á netinu.

Reglugerð (ESB) 2024/1307 um breytingu á reglugerð (ESB) 2021/1232 framlengir gildistíma reglugerðar til 3. apríl 2026 en gerir einnig smávægilegar breytingar á kröfum um skýrslugerð sem ekki þykir tilefni til að gera skil hér.

Í 2. mgr. 3. gr. er lagt til að ráðherra verði heimilt að innleiða reglugerðir Evrópu­sam­bandsins sem teknar verða upp í samninginn um Evrópska efnahagssvæðið og fela í sér breytingar eða viðbætur við reglugerðir Evrópuþingsins og ráðsins (ESB) 2021/1232 og (ESB) 2024/1307 eða settar með tilvísun í þær. Fyrir liggur að núverandi gerðir falla úr gildi 3. apríl 2026. Fyrir Evrópuþinginu er í þinglegri meðferð Evrópureglugerð (COM(2025))797 sem framlengir gildistíma þeirra Evrópureglugerða sem eru til umfjöllunar í þessu frumvarpi til 3. apríl 2028. 2. mgr. 3. gr. er því nauðsynleg til að heimila ráðherra að framlengja gildistíma þessara Evrópugerða svo Ísland gerist ekki brotlegt við EES-samninginn.

Ljóst er að ekki er verið að ganga lengra við innleiðingu á reglugerðinni en þörf krefur enda er hér lagt til að reglugerð (ESB) 2021/1234 verði tekin upp samkvæmt orðanna hljóðan líkt og gert er í ríkjum Evrópusambandsins, t.d. Svíþjóð og Danmörku, og að börn hér á landi njóti sömu verndar og í Evrópu.

3.2. Staðan annars staðar á Norðurlöndunum.

Hjá þeim Norðurlandaþjóðum sem eru í Evrópusambandinu hefur reglugerðin tekið sjálf­krafa gildi enda um reglugerð að ræða. Ríkin hafa aftur á móti þurft að innleiða tilskipun 2002/58/EB inn í löggjöfina með lögum.

Í Svíþjóð hefur tilskipun 2002/58/EB verið tekin upp í sænsk fjarskiptalög (Lag (2022:482) om elektronisk kommunkation). Reglugerð (ESB) 2021/1232 gildir beint gagnvart sænskum þjónustu­­veitendum, sbr. almennar reglur Evrópuréttar, og framkvæmd og eftirlit fer fram hjá Persónuvernd Svíþjóðar (Intergritetsskyddsmyndigheten) og Fjarskiptastofnun Svíþjóðar (Post- och telestyrelsen).

Í Finnlandi var tilskipun 2002/58/EB innleidd með lögum nr. 917/2014 um rafræna sam­skipta­þjónustu (e. Act on Electronic Communications Services) og síðan aðlöguð með lögum um persónuvernd þar í landi. Reglugerð (ESB) 2021/1232 bindur þjónustuveitendur beint án frekari laga en um eftirlitið sjá fjarskiptayfirvöld (Traficom) og persónuvernd Finna (Tietosuojavaltuutettu).

Í Danmörku var tilskipun 2002/58/EB innleidd í lög um um rafræn fjarskiptanet og þjónustu (d. lov om elektroniske kommunikationsnet og tjenester) sem hafa verið uppfærð nokkrum sinnum. Reglugerð (ESB) 2021/1232 gildir beint í Danmörku og eftirlitið er hjá Persónu­vernd Dana (Datatilsynet) og stofnun sem er sambærileg Fjarskiptastofu hér á landi (Energistyrelsen/styrelsen for Dataforsyning og Infrastructure).

Noregur bíður þess að stjórnskipulegum fyrirvara sé aflétt hérlendis og þar í landi er málið talið þjóðþrifamál.

3.3. Framkvæmd skimunar samkvæmt reglugerðinni.

Eins og kemur fram hér að framan þá er tækni ekki skilgreind í reglugerðinni heldur er vísað til þess að sú tækni sem nýtt er skuli uppfylla ákvæði 25. gr. almennu persónuverndar­reglu­gerðarinnar (ESB) 2016/679.

Í ákvæðum reglugerðarinnar eru heimildir fyrir þjónustuveitendur rafrænna samskipta til að beita aðferðum til að greina, tilkynna og fjarlægja efni sem tengist kynferðisofbeldi gegn börnum, svo sem fram hefur komið. Efni reglugerðarinnar tekur aðeins til tiltekinnar, mjög afmarkaðrar gagnavinnslu og setur strangar kröfur um meðalhóf, gagnsæi, öryggi og mannlegt eftirlit.

Til að útskýra á einfaldan hátt hvernig skimun fer fram má taka fram að í reglugerðinni eru leyfðar þrjár tegundir svokallaðra reiknirita. Í fyrsta lagi samsvörun á þekktu ólöglegu efni er varðar kynferðisbrot gegn börnum sem byggist á áreiðanlegri samanburðartækni. Í öðru lagi greining á óþekktu efni er varðar kynferðisbrot gegn börnum sem byggist á mynd- og myndbandsgreiningum með djúpum „tauganetum“ og í þriðja lagi greining á barnagirnd í textaskilaboðum (e. grooming) sem byggist á málvinnslu og hegðunarlíkönum sem meta áhættu­einkenni.

Engin önnur aðrar gagnavinnsla er heimiluð og er notkun gagnanna aðeins bundin við aðgerðir gegn kynferðisbrotum gegn börnum. Þá er í reglugerðinni bann við endurnotkun gagnanna í öðrum tilgangi eins og markaðssetningu eða almennri eftirlitsstarfsemi.

Þegar efni er sent um þjónustu sem ekki notar endalokadulkóðun, (e. server side scanning), t.d. hefðbundinn vefpóst, skýjageymslur eða ódulkóðuð spjallkerfi, þá fer skimun að jafnaði fram á vefþjóninum. Þannig sendir notandi eða hleður upp efni sem getur verið á formi myndar, myndbands eða texta. Þjónustan vinnur efnið í gegnum svokallaða tætis-samsvörun eða tauganetalíkön áður en því er dreift eða vistað. Ef sjálfvirk greining bendir til að um kynferðisofbeldi gegn barni sé að ræða þá er efnið tímabundið einangrað. Það leiðir til þess að matsaðili, sem er einstaklingur, yfirfer málið. Ef einstaklingurinn staðfestir að um brot sé að ræða, þ.e. að um kynferðisofbeldi gegn barni sé að ræða, er málið sent til réttra yfirvalda. Ef greiningin er röng er öllu efni strax eytt og engin vistun á sér stað. Þegar efni er sent um þjónustu sem ekki notar endalokadulkóðun hefur það mikla nákvæmni í þekktum tilvikum er varða kynferðisofbeldi gegn börnum. Þetta er þó háð ströngum öryggisráðstöfunum til að lágmarka aðgang starfsmanna eða óviðkomandi að gagnaflæði. Samkvæmt reglugerðinni er rof á dulkóðun ekki heimilt. Gerðar eru miklar kröfur til þjónustuveitenda, m.a. þurfa þeir að tryggja að aðeins sé greint það efni sem nauðsynlegt sé í samræmi við meðalhóf, og mega aðeins geyma efni sem hefur verið flaggað, þ.e. merkt sem kynferðisofbeldi gegn börnum. Þá skal aðgangur að gögnum vera takmarkaður og rekjanlegur. Enn fremur má engin sjálfvirk tilkynning fara til yfirvalda, mannshöndin verður að hafa farið yfir gögnin. Loks má ekki vinna aðrar persónuupplýsingar en þær sem nauðsynlegar eru samkvæmt reglugerðinni.

4. Samræmi við stjórnarskrá og alþjóðlegar skuldbindingar.

Með frumvarpinu er lagt til að uppfylltar verði þjóðréttarlegar skuldbindingar íslenska ríkisins samkvæmt samningnum um Evrópska efnahagssvæðið, með vísan til 2. kafla frumvarpsins um tilefni og nauðsyn lagasetningar. Hinn 5. desember 2025 voru reglugerðir Evrópuþingsins og ráðsins (ESB) 2021/1232 frá 14. júlí 2021 um tímabundna undanþágu frá til­teknum ákvæðum tilskipunar 2002/58/EB að því er varðar notkun veitenda fjarskipta­þjónustu milli einstaklinga, sem er ótengd númerum, á tækni til að vinna úr persónu­upplýsingum og öðrum gögnum í þeim tilgangi að berjast gegn kynferðislegri misnotkun barna á netinu og reglugerð (ESB) 2024/1307 um breytingu á reglugerð (ESB) 2021/1232 um tímabundna undanþágu frá tilteknum ákvæðum tilskipunar 2002/58/EB að því er varðar tækni­notkun veitenda númeraóháðra samskiptaþjónustu til vinnslu persónuupp­lýsinga og annarra upplýsinga í þeim tilgangi að berjast gegn kynferðisofbeldi gegn börnum á netinu teknar upp í EES-samninginn með ákvörðun sameiginlegu EES-nefndarinnar nr. 310/2025.

Við samningu frumvarpsins kom til skoðunar hvort ákvæði þess færu í bága við ákvæði stjórnar­skrár lýðveldisins Íslands, nr. 33/1944. Kom þá einkum og sér í lagi til skoðunar hvort bráðabirgðaákvæði frumvarpsins færu í bága við 71. gr. stjórnarskrárinnar um friðhelgi einkalífs. Það var mat ráðuneytisins að svo sé ekki.

Við matið var litið til þess að um heimildarákvæði er að ræða, fjarskiptin sem um ræðir, þ.e. ónúmeraháð fjarskipti, séu eingöngu skimuð vélrænt af tölvum sem leita að ákveðnum villum eða hnökrum samkvæmt ákveðnum forskriftum, með það að leiðarljósi að vernda börn í neyð og eru tilvik sem tölvan staðfestir síðan endanlega staðfest af einstaklingi áður en þau eru send til réttra yfirvalda. Enn fremur var litið til þeirrar frumskyldu ríkisvaldsins að tryggja öryggi barna með hliðsjón af samningi Sameinuðu þjóðanna um réttindi barnsins sem veitt hefur verið lagagildi hér á landi með lögum nr. 19/2013 en af þeim sökum verður að telja að löggjafinn hafi að stjórnlögum rúma heimild og svigrúm til lagasetningar um viðfangsefni frumvarpsins. Þrátt fyrir þessa rúmu heimild var það metið svo að gætt sé meðalhófs við framan­greinda reglusetningu.

5. Samráð.

Frumvarpið snertir fyrst og fremst almenning, þjónustuaðila sem veita ónúmeraháða fjar­skipta­þjónustu, lögregluyfirvöld, héraðssaksóknara, ríkissaksóknara dómsmálaráðuneytið, Persónu­vernd og Fjarskiptastofu.

Áform um frumvarpið voru birt til umsagnar í samráðsgátt stjórnvalda (mál S-1/2026) frá 5. janúar til 18. janúar 2026. Engar umsagnir bárust. Drög að frumvarpinu voru birt til um­sagnar í samráðsgáttinni (mál S-43/2026) frá 13. febrúar til 1. mars 2026. Engar umsagnir bárust.

6. Mat á áhrifum.

Afleiðingar af samþykkt frumvarpsins á almannahagsmuni eru þær að frumvarpið, verði það að lögum, mun gefa þjónustuveitendum kost á að skima ónúmeraháða fjarskiptaumferð og þar með auka líkurnar á því að það komist upp um þá sem brjóta skipulega kynferðislega gegn börnum. Vandamálið er alþjóðlegt. Þannig mun frumvarpið vera „vopn“ í baráttunni gegn skipulagðri brotastarfsemi gegn kynlífsstarfsemi með börn og jafnvel mansali.

Telja verður að stjórnsýslan sé vel í stakk búin til að takast á við verkefnin sem frumvarpið leiðir af sér. Skipulögð brotastarfsemi gegn börnum er alþjóðlegt vandamál sem teygir anga sína m.a. til Íslands. Þannig hafa alþjóðlegar lögreglurannsóknir náð hingað til lands svo dæmi sé tekið. Það eru mikil líkindi fyrir því að fari íslensk fjarskiptafyrirtæki að skima fyrir kynferðislegri misnotkun á börnum aukist álag á íslenskar stofnanir, t.d. lögreglu, ákæruvald, Fjarskiptastofu og Persónuvernd. Hins vegar er það líklegt, í ljósi þess hve alþjóðleg þessi brotastarfsemi er, að þessi mál muni lenda hjá erlendum lögregluyfirvöldum í rannsókn. Talið er að ómögulegt sé að áætla að svo stöddu áhrif frumvarpsins á Persónuvernd, Fjarskiptastofu og stofnanir réttarvörslukerfisins. Tíminn verður að leiða það í ljós og rétt þykir að fylgjast vel með tölfræðinni verði frumvarpið að lögum með það fyrir augum að stofnanirnar geti sinnt þessum verkefnum með sóma. Að svo stöddu er það metið svo að verkefni sem leiða af frum­varpinu falli innan fjárheimilda stofnana ríkisins.

Fyrirhuguð lagasetning er almennt ekki þess eðlis að hún auki útgjöld ríkissjóðs.

Ekki er að finna vísbendingar um að sérstakt jafnréttismat samkvæmt EIGE-leiðbeiningum hafi verið framkvæmt á reglugerð (ESB) 2021/1232 en EIGE (e. European Institute for Gender Equality), Evrópska jafnréttisstofnunin, hefur t.d. sett fram leiðbeiningar til að aðstoða stjórnvöld og stofnanir í að meta áhrif löggjafar á jafnrétti. Það þýðir þó ekki að það hafi ekki verið gert erlendis en slíkt matið hefur ekki verið birt opinberlega.

Barnaníð er refsivert skv. 210. gr. a almennra hegningarlaga, nr. 19/1940, og í brotum gegn kyn­ferðislegri friðhelgi, oft nefnt stafrænt kynferðisbrot, sbr. 199. gr. a sömu laga. Samkvæmt afbrotatölfræði frá Ríkislögreglustjóra sem tekin var saman hinn 12. janúar 2026 eru konur í flestum tilvikum brotaþolar í brotum er varða brot gegn 210. gr. a almennra hegningarlaga, nr. 19/1940, og sama á við um brot gegn 199. gr. a sömu laga, sjá mynd 1 og 2. Ljóst þykir að samþykkt frumvarps þessa muni hafa jákvæð áhrif á getu lögreglu til að upplýsa brot og færa sönnur á saknæma háttsemi í málum sem þessum og gera brotamönnum erfiðara fyrir að leynast. Það er hins vegar ekki hægt að fullyrða hvort samþykkt frumvarpsins muni rétta hlut kvenna sérstaklega.

Í kafla 3.1 kemur fram að reglugerð (ESB) 2021/1232 veiti einungis undanþágu frá megin­reglunni um fjarskiptaleynd en veiti ekki lagagrundvöll fyrir vinnslu persónuupplýsinga við notkun greiningatækja. Kjósi þjónustuveitendur hins vegar að nýta sér undanþáguna er þeim skylt að fara eftir almennu persónuverndarreglugerðinni, sbr. lög um persónuvernd og vinnslu persónu­upplýsinga nr. 90/2018. Fram kemur í reglugerð (ESB) 2021/1232 að hafi þjónustuveitandi framkvæmt mat á áhrifum á persónuvernd og haft samráð við eftirlitsyfirvöld að því er varðar tækni í samræmi við almennu persónuverndarreglugerðina áður en reglugerð (ESB) 2021/1232 tekur gildi ætti þeim þjónustuveitanda ekki að vera skylt að framkvæma viðbótarmat á áhrifum á persónuvernd eða samráð að því tilskildu að eftirlitsyfirvöldin hafi gefið til kynna að vinnsla gagna með þeirri tækni myndi ekki hafa í för með sér mikla áhættu fyrir réttindi og frelsi einstaklinga eða ábyrgðaraðili hafi gert ráðstafanir til að milda slíka áhættu. Þá er tekið sérstaklega fram í c-lið 1. tölul. 3. gr. reglugerðar (ESB) 2021/1232 „að því er varðar sérstaka tækni sem notuð er í þeim tilgangi sem settur er fram í i. lið a-liðar þessarar málsgreinar, hafi fyrirframmat á áhrifum á persónuvernd eins og um getur í 35. gr. reglugerðar 2016/649 og fyrirframsamráðsferli sem um getur í 36. grein þeirrar reglugerðar verið framkvæmd“. Það er í höndum þjónustuveitanda að meta áhrif á persónuvernd í sam­ræmi við 29. gr. laga um persónuvernd og vinnslu persónuupplýsinga, nr. 90/2018, sbr. almennu persónuverndarreglugerðina. Samkvæmt skýru ákvæði c-liðar 1. mgr. 3. gr. reglu­gerðar­innar ber þjónustuveitanda að gera mat á áhrifum persónuverndar og hafa fyrir­fram­samráð við eftirlitsstofnunina. Því er ekki nauðsynlegt að gera mat á áhrifum persónu­verndar vegna frumvarps þessa. Þá liggur ekki fyrir hvaða búnað þjónustuveitendur hér á landi muni nýta sér, kjósi þeir að nýta þessa heimild og líklegt er að erlendir aðilar, sem þegar eru byrjaðir að skima fyrir kynferðislegri misnotkun barna og eru með þjónustu hér á landi hafi þegar framkvæmt mat á áhrifum erlendis og séu með slíkt mat tilbúið og bíði eftir setningu reglugerðar.