persónuvernd og vinnsla persónuupplýsinga.
Herra forseti. Það er með ánægju sem sú sem hér stendur notar tækifærið til að fjalla um svo mikilvægt málefni sem persónuvernd er og vinnsla persónuupplýsinga. Það er grundvallarréttur hvers einstaklings að vel sé vandað til verka þegar sett er löggjöf um slíkan rétt. Þess vegna er það líka þyngra en tárum tekur að það skuli vera gert með þessum hætti. Við höfum talað okkur hás um það í dag hvernig staðið geti á því að þetta kemur fram með þessum hætti. Hér erum við, undir 3. dagskrárlið, að fjalla um frumvarp til laga um persónuvernd og vinnslu persónuupplýsinga sem var lagt fram á Alþingi í gær. Og undir 4. dagskrárlið erum við að fara að tala um tillögu til þingsályktunar sem hæstv. utanríkisráðherra hefur lagt hér fram um hina margumræddu reglugerð frá Evrópusambandinu um staðfestingu ákvörðunar sameiginlegu EES-nefndarinnar um breytingu á XI. viðauka og bókun 37 um persónuvernd og miðlun persónuupplýsinga. Ég held að betur hefði farið á því að ræða 4. dagskrármálið á undan af því að þar er einmitt mjög mikið verið að fjalla um allt sem við kemur ferli þessa máls og hvar það er statt í hinni mjög svo geðþekku Evrópu. Það eru fjölmargar upplýsingar sem við getum fundið í þessu litla plaggi hér og í raun væri mjög gott að lesa þetta hvort tveggja samhliða. Hér er einmitt verið að tala um þær heimildir sem aðildarríkin hafa til að breyta út frá reglugerðinni sjálfri. Þar kemur til dæmis fram að þessi reglugerð var samþykkt í Evrópuþinginu og ráðinu 27. apríl 2016. Þá lá ljóst fyrir að þetta væri eitthvað sem koma skyldi.
Þá var líka ákveðið að hún skyldi taka gildi 25. maí 2018 og í þingsályktunartillögunni, sem er líka nýkomin hingað fram, stendur að þessi almenna persónuverndarreglugerð muni koma til framkvæmda innan Evrópusambandsins 25. maí 2018 sem var í síðustu viku. Samt var verið að dreifa þessu í gær og ræða þetta hér í dag. Það er rétt að þessi reglugerð hefur tekið gildi í Evrópusambandinu en hinn 16. mars sl. sendu EFTA-ríkin með formlegum hætti til Evrópusambandsins drög að ákvörðun sameiginlegu EES-nefndarinnar um upptöku gerðarinnar inn í EES-samninginn. Það kemur líka fram í greinargerðinni með þingsályktunartillögunni, sem ég hef skemmt mér við að lesa í dag, að að jafnaði taki það ESB þrjá til fimm mánuði að ljúka málsmeðferð til að fá umboð til að samþykkja ákvörðun svo að þetta fari inn í þennan samning. Það hefur líka komið fram hér í dag að aðildarríkin hafi heimild til að annaðhvort taka reglugerðina óbreytta upp hjá sér eða gera smávægilegar breytingar. Eftir því sem ég heyri, og þá er hægt að leiðrétta það, skilst mér að Norðmenn hafi tekið ákvörðun um að taka reglugerðina upp hjá sér komplett og geri ekki breytingar eins og við erum að gera hér. Það er kannski það sem óskað var eftir áðan, sér í lagi vegna þess að frumvarpið kemur svona seint og er 147 blaðsíður, var dreift í gærkvöldi, og þá er enn meiri ábyrgð á hæstv. dómsmálaráðherra að útskýra með faglegum hætti hvaða breytingar nákvæmlega hafa verið gerðar í ráðuneyti dómsmála á þessari Evrópureglugerð af því að Evrópureglugerðin hefur legið fyrir frá því í apríl 2016. Þar höfum við getað kynnt okkur hana, þeir sem hafa gaman af að lesa Evrópureglugerðir sem eru auðvitað ekki margir.
Á bls. 14 í þingsályktunartillögunni er ýmislegt að finna sem líka er áhugavert. Þar er einmitt verið að tala um að í ljósi umfangs þeirra breytinga og sérreglna sem eigi að setja hér á landi — þ.e. ekki reglugerðina heldur allar þær breytingar sem ákveðið hefur verið að fara í — hafi verið ákveðið að setja ný heildarlög og kom það auðvitað fram í máli hæstv. dómsmálaráðherra.
Það hryggir mig að hæstv. dómsmálaráðherra segi einfaldlega við þingmenn hér við 1. umr., þegar ráðherra kynnir þessi heildarlög, þetta stjórnarfrumvarp sitt, að þingmenn geti bara lesið það sem er í greinargerðinni, geti bara lesið í frumvarpinu hvernig verið sé að gera breytingar á því sem kemur fram í reglugerðinni. Óska þurfti afbrigða til að fá að ræða þetta hér í dag. Þessu var dreift í gærkvöldi og um er að ræða 147 blaðsíður. Hér hafa verið fundir frá því snemma í morgun með stuttu matarhléi og þingmenn höfðu því engan kost annan en að lesa frumvarpið í nótt og kynna sér þær breytingar sem verið er að gera á þessari reglugerð.
Þegar talað er um vandaða lagasetningu er sér í lagi horft á skýrleika laga. Skýrleiki laga er algjört grundvallaratriði þegar um vandaða lagasetningu er að ræða. Ekki er hægt að horfa fram hjá því að í þessu frumvarpi eru svo mörg ákvæði svo óskýr og svo þvæld að löglærðir þurfa beinlínis að vera sérfræðingar, ekki bara í persónuverndarrétti heldur einnig í Evrópureglugerðalestri, til að skilja rétt og skyldur einstaklinga og skyldur opinberra stofnana og fyrirtækja.
Í greinargerð með frumvarpinu er sagt að tekin hafi verið ákvörðun um að fara í heildarlöggjöf þar sem talið var að lögin yrðu of torskilin ef þau geymdu bara undantekningarnar frá reglugerðinni. Það má vel vera rétt en þá verða að minnsta kosti ákvæði laganna að vera þess eðlis að þau séu skiljanleg. Ef maður horfir til dæmis á refsiheimildirnar og ákvæði um stjórnvaldssektir verður sá þingmaður sem hér stendur að upplýsa að þetta er fullkomlega óskiljanlegt. Endalaust er vísað í einhver ákvæði reglugerðarinnar með einum eða öðrum hætti. Og þarna erum við ekkert að tala um neina smáaura, það er ekkert klink sem hér er um að ræða. Hér erum við að tala um stjórnvaldssektir sem geta numið allt að 2,4 milljörðum íslenskra kr. Og þá er vísað í hin og þessi ákvæði reglugerðarinnar sem er þá hin evrópska reglugerð.
Þetta er í 46. gr. frumvarpsins:
„Stjórnvaldssektir geta numið frá 100 þús. kr. til 2,4 milljarða kr. eða ef um er að ræða fyrirtæki allt að 4% af árlegri heildarveltu fyrirtækisins á heimsvísu á næstliðnu fjárhagsári, hvort heldur er hærra, þegar brotið hefur verið gegn eftirfarandi ákvæðum um grundvallarreglur um vinnslu, þ.m.t. skilyrði fyrir samþykki, skv. 5., 6., 7. og 9. gr. reglugerðarinnar.“ — Það er fyrsta ákvæðið sem tilgreint er í upptalningunni.
Menn þurfa að vera ansi fróðir á bókina til að skilja hvort þetta sé eitthvað sem eigi við þá, almenna borgara. Það má beita almenna borgara sektum og refsingum. Í 48. gr. frumvarpsins er talað um að ef brot einstaklings sé stórfellt geti það varðað fangelsi allt að þremur árum. Brot telst stórfellt þegar það er framið af ásetningi og í hagnaðarskyni með sérstaklega vítaverðum hætti og persónuupplýsingar mikils fjölda skráðra einstaklinga, sem leynt eiga að fara samkvæmt lögum eða eðli máls, komast í hendur þriðja aðila eða birtast opinberlega.
Svo kemur fram að einstaklingurinn geti allt eins verið starfsmaður í einhverju fyrirtæki og að refsa megi starfsmanninum, það megi setja hann í þriggja ára fangelsi samhliða 2,4 milljarða kr. stjórnvaldssekt fyrirtækisins. Þetta er umtalsvert íþyngjandi lagabálkur. Ég held að við verðum að horfa á þetta allt saman af alvöru.
Hver hefur svo allt þetta vald til að úrskurða um stjórnvaldssektir eða leggja á dagsektir sem er til dæmis ekki að finna í reglugerðinni? Þetta er bara nýmæli, eða ekki nýmæli — þetta var í eldri lögum en þetta er bara eitthvað sem hefur verið ákveðið að hafa í þessum lögum. Hver fær að gera það? Jú, það er Persónuvernd.
Formaður stjórnar Persónuverndar er einn af þeim sem sömdu þetta frumvarp eða var í nefndinni sem skipuð var í nóvember sl. Hún hefur tekið svo til orða að fjórfalda þurfi starfsmannafjölda Persónuverndar svo að Persónuvernd geti sinnt því hlutverki sem hér er sett í frumvarp og við þingmenn eigum að samþykkja á harðahlaupum. Hún segir að það þurfi a.m.k. að fjórfalda starfsmannafjöldann þar. Þá er ekki úr vegi að spyrja hæstv. dómsmálaráðherra: Hefur verið gert ráð fyrir því í fjárlögum? Hefur verið gert ráð fyrir því í fjármálaáætlun? Hefur verið gert ráð fyrir fjárveitingu til þess að við séum ekki enn einu sinni að leggja umtalsverða ábyrgð á ríkisfyrirtæki eða stofnanir sem þær geta á engan hátt sinnt eins og til dæmis hefur verið gert hjá sýslumannsembættunum úti um allt land?
Það verður að fylgja fjármagn. Það að fjórfalda starfsmannahópinn kostar auðvitað dágóða summu og þá þarf að vera algjörlega tryggt, herra forseti, að ekki sé verið að gera þetta á einhverju hundavaði, að eftirlitsaðilinn og sá sem á að leggja á svona viðamiklar stjórnvaldssektir og hafa eftirlit og kæra til lögreglu — það verður að vera tryggt að fjármagnið fylgi. Annars getum við alveg sleppt því að hafa svona ströng viðurlög í íslenskum lögum, ef við ætlum ekki að fylgja því eftir.
Það er líka lágmark að þetta sé gert með þeim hætti að hagsmunaaðilar séu hafðir með í ráðum, að þeir séu spurðir og að tekið sé tillit til ábendinga þeirra. Hvað varðar hlutverk Persónuverndar held ég að við verðum a.m.k. að vanda okkur þar.
