frjálst flæði ópersónugreinanlegra gagna.
Virðulegur forseti. Frumvarp til laga um frjálst flæði ópersónugreinanlegra gagna sem er hér til umræðu er vissulega mjög áhugavert mál og ég vil þakka hv. þm. Gísla Rafni Ólafssyni fyrir fína ræðu sem kveikti ákveðinn áhuga minn á þessu máli. Ég vil byrja á að segja að þetta frumvarp minnir mig strax á persónuverndarlöggjöfina sem var innleiðing á hinni almennu persónuverndarreglugerð Evrópusambandsins, GTPR, General Data Protection Regulation, sem var mikið í umræðunni fyrir nokkrum árum. Sú reglugerð, almenna persónuverndarreglugerðin, og persónuverndarlögin náðu yfir persónugreinanlegar upplýsingar en hér erum við að fjalla um upplýsingar sem eru ópersónugreinanlegar. Ég hefði talið æskilegt að reglugerð Evrópusambandsins um ramma um frjálst flæði ópersónugreinanlegra upplýsinga í Evrópusambandinu hefði verið lögleidd með öðrum hætti en með svokallaðri tilvísunaraðferð sem er beitt í 2. gr. Ég held að það hefði verið miklu skynsamlegra og mikilvægara.
Lögleiðing á persónuverndarreglugerðinni á sínum tíma var mjög sérstök. Það var tekinn úrdráttur úr reglugerðinni, settur í íslensk lög og þýðing á persónuverndarreglugerðinni sjálfri höfð sem fylgiskjal. Það tókst ekki betur en svo að þýðingin á persónuverndarreglugerðinni var röng. Opinbera heitið var reglugerð um vernd persónuupplýsinga og frjálsan flutning slíkra upplýsinga, „free movement“ þeirra upplýsinga. Þetta var þýtt sem miðlun upplýsinga, ekki flutningur. Það er grundvallarmunur á flutningi og miðlun. Það er grundvallarmunur á „free movement“ og „dissemination“. Íslendingar þýddu „free movement“ sem „dissemination“ og þaðan sem miðlun. Það var misskilningur.
Málið er að þetta frumvarp er til að auka frjálst flæði ópersónugreinanlegra gagna. Af hverju? Jú, af því að Evrópusambandið er að reyna eins og enginn væri morgundagurinn að keppa við Bandaríkin í hinni stafrænu tækni og reyna að búa til svokallaðan stafrænan innri markað Evrópusambandsins. Eitt af forgangsmálum Junkers, síðasta framkvæmdastjóra Evrópusambandsins, var að koma á fót svokölluðum stafrænum innri markaði Evrópusambandsins, „digital internal market“. Það var m.a. gert með persónuverndarreglugerðinni og þessi reglugerð er hluti af því. Persónuvernd er grundvallaratriði í öllu sem lýtur að netinu. Olía dagsins í dag eru þau verðmæti sem eru á netinu. Þar eru það persónuupplýsingarnar sem er verið að selja. Facebook er að selja persónuupplýsingarnar okkar til auglýsenda og Google er að gera það sama. Við erum varan. Ég hef talið æskilegt í ljósi mikilvægis málsins að þetta hefði verið þýtt en ekki innleitt með þessari tilvísunaraðgerð.
Frumvarpið sem slíkt bannar kröfur um staðsetningu gagna og þær verða eingöngu rökstuddar á grundvelli almannaöryggis og í samræmi við meðalhófsregluna. Það kemur fram í greinargerð með frumvarpinu, sem er mjög áhugavert, að það er til löggjöf sem gerir kröfur um að ópersónugreinanleg gögn verði staðsett hér á landi og það eru lög um bókhald og svo varnarmálalög. Það ber að athuga að bókhaldsgögn hafa einnig að geyma persónugreinanleg gögn, þ.e. samsett gögn sem falla undir lög um persónuvernd. Samsett gagnasett, þ.e. persónugreinanleg gögn og ópersónugreinanleg gögn, falla undir lög um persónuvernd. En það verða að vera eingöngu hrein ópersónugreinanleg gögn.
Við getum tekið Þjóðskjalasafnið sem dæmi. Ég get ímyndað mér að í framtíðinni verði það þannig að ef það eru gögn á Þjóðskjalasafninu sem eru ópersónugreinanleg, jafnvel eftir látinn mann sem er búinn að vera látinn lengur en fimm ár, þá megi flytja þau og geyma þau hvar sem er innan Evrópusambandsins. Í dag — og það eru mjög frægir dómar til um það, t.d. varðandi austurríska laganemann sem fór í mál við írska persónuverndareftirlitið og vann það mál. Þá voru svokölluð „safe harbour“ ákvæði í samningum Evrópusambandsins við Bandaríkin ekki talin nægjanleg fyrir Evrópusambandið hvað varðar vernd persónuverndargagna í Bandaríkjunum vegna þess að persónuverndargögn frá Evrópu eru geymd í stórum stíl í Bandaríkjunum. Google var með gagnaver í Bandaríkjunum og fleiri fyrirtæki. Ákveðinn hluti Google geymdi t.d. persónugreinanleg gögn sín í Bandaríkjunum, í gagnaverum þar. Það var ekki talið nægjanlegt að vera með samninga við bandarísk stjórnvöld, m.a. vegna Snowden-málsins. Snowden upplýsti að öryggismálastofnun Bandaríkjanna fór bara sínu fram. Þeir fóru inn í öll gagnaver sem þeir vildu, skoðuðu öll gögn sem þeir vildu. Lögreglan gerði það sama og FBI líka, án nokkurra dómsúrskurða. Það var ekki talið að það mætti ákvæðinu um „save harbour“ eða örugga höfn fyrir gögn frá Evrópu. Ákvæðið var ekki talið nægjanlegt.
Hér er hins vegar verið að gera kröfur um að það megi ekki banna staðsetningu gagna. Það er bannað. Við sjáum fram á að ef Ísland mun ekki standa sig í vörslu gagna verði þau einfaldlega geymd erlendis. Við getum líka farið að sjá fyrir okkur að stjórnvöld og fyrirtæki fari að geyma gögn erlendis ef gagnaverin erlendis bjóða betri kjör en þau gagnaver sem eru hér. Ég tel að þetta sé mjög mikilvægt mál núna á tímum upplýsingaaldar og í upplýsingabyltingunni. Hér er verið að takmarka löggjöf og auðvelda viðskipti þvert á landamæri innan Evrópska efnahagssvæðisins og skapa einn gagnamarkað í samræmi við frelsi til að veita þjónustu samkvæmt EES-samningnum. Þetta er klassískt mál innri markaðarins. Við erum að reyna að búa til innri markað með frjálsu flæði ópersónugreinanlegra gagna.
Í þeim tilgangi þarf jafnframt að tryggja frjálst flæði upplýsinga annarra en persónuupplýsinga innan EES með því að takmarka reglur sem fela í sér beinar eða óbeinar hindranir á flutningi ópersónugreinanlegra upplýsinga milli aðildarríkjanna. Þetta eru markaðir sem hlaupa á tugum milljarða króna, tugir milljarða sem eru þarna undir. Þær hindranir sem standa í vegi fyrir hreyfanleika gagnanna á innri markaðurinn eru tvenns konar. Annars vegar eru það kröfur sem aðildarríki hafa sett um staðsetningu gagna á tilteknu landsvæði eða yfirráðasvæði. Við höfum sett reglur í bókhaldslögum og það eru einu lögin, ef það á að trúa reglugerðinni, þar sem fjallað er um kröfur um að ópersónugreinanleg gögn séu staðsett hér á landi. Ég efast ekki um að það séu fleiri lög sem þetta getur átt við. Í Þjóðskjalasafninu eru örugglega einhver rafræn gögn sem það gæti vistað á ódýrari hátt utan landsteinanna. Ef þetta fer í nefnd er spurning hvort það verði kannað af nefndinni hvort það séu önnur lög sem gera þessar kröfur. (Gripið fram í: Þetta er 3. umræða.) Já, þetta er 3. umræða, fyrirgefið. Varnarmálalögin eru alveg skýr hvað þetta varðar þar sem öryggishagsmunir landsins eru þar undir. Ég held að þessar hindranir í lögum séu þá mjög einfaldar. Það yrði bara þetta. Mér heyrðist á hv. þm. Gísla Rafn Ólafssyni að það hafi ekki verið mikil umræða í nefnd um þetta og engar umsagnir.
Það eru einnig aðrar hindranir sem gætu komið til greina hér, þ.e. lagalegar hindranir eða samningsbundin og tæknileg atriði sem hindra eða koma í veg fyrir að notendur gagnavinnsluþjónustu flytji eigin gögn frá einum stað til annars, frá einum þjónustuveitanda til annars. Það getur verið samningsbundið. Þú ert búinn að skuldbinda þig til að semja um að hafa þessi gögn um aldur og ævi hér þannig að þú getur ekki flutt þau. Þau ákvæði í samningunum væru ógild þegar þessi lög eru orðin gild.
Ég ítreka að ég tel að það hefði verið eðlilegt að þýða reglugerðina og nota ekki þessa tilvísunaraðferð við þessa lögleiðingu. Ég tel að þetta sé það mikilvæg löggjöf að við eigum að gera kröfu til þess að það komi lagatexti um reglugerðina frá Evrópusambandinu um ramma um frjálst flæði ópersónulegra upplýsinga innan Evrópska efnahagssvæðisins. Við erum komin með vísi að ágætistækniiðnaði. Það eru alls konar nýsköpunarfyrirtæki sem vilja vinna á þessu sviði og við erum að hasla okkur völl þó svo að við séum kannski ekki með marga nemendur í fögum eins og „data science“ í Háskóla Reykjavíkur sem býður upp á það grundvallarfag. Frumvarpið sem við fjöllum um á eftir mun enn þá fremur sýna fram á hversu mikilvægt þetta er.
Ég held að þetta séu mikilvæg lög og líka að hér sé um löggjöf að ræða sem við þurfum að skoða enn þá betur. Þingið hefði átt að gera kröfu til þess að það væri betur unnið. Þessi tilvísunaraðferð dugar ekki. Það er allt of mikið um þetta, allt, allt of mikið um þetta. Ég get tekið dæmi um önnur lög sem er bara nánast parkerað í reglugerð. Lögin um raforkuviðskipti yfir landamæri hafa t.d. aldrei verið sett inn í raforkulög heldur eru þau bara sett inn í reglugerð og látin bíða þar.
Við skulum sjá hvernig reynir á þetta. Þetta er klárlega mál sem á eftir að vekja meiri athygli í framtíðinni eins og almenna persónuverndarreglugerðin gerði á sínum tíma en hún var innleidd með nýjum persónuverndarlögum. Þetta er ekki minna mikilvægt mál út frá efnahagslegu sjónarmiði. Persónuverndarreglugerðin snerist um tvo þætti, hún snerist um persónuvernd, mannréttindi, friðhelgi einkalífsins og líka um frjálsan flutning gagna á Evrópska efnahagssvæðinu, sem við þýddum sem frjálsa miðlun gagna á Evrópska efnahagssvæðinu sem var röng þýðing. Ég vona að sömu mistök séu ekki eiga sér stað hér að einhverju leyti með þessari tilvísunaraðferð. Vissulega er það trygging fyrir því að gera ekki mistök að vísa bara beint í reglugerðina en það geta verið mistök í þýðingu þar eins og var í hinni reglugerðinni.
