frjálst flæði ópersónugreinanlegra gagna.
Forseti. Þetta mál lætur ekki mikið yfir sér. Það er stutt og greinargerðin er stutt og hún er tæknileg. Kollegi minn, hv. þm. Gísli Rafn Ólafsson, fór ágætlega yfir það í ræðu sinni hérna áðan þar sem hann tók að sér að útskýra málið á mannamáli, enda afar tæknilegt eftir orðanna hljóðan og kannski ekki auðvelt að átta sig á því um hvað er rætt við lestur frumvarpsins sem slíks. Hv. þm. Gísli Rafn Ólafsson sá það eftir að hafa tekið til máls um þetta í atkvæðagreiðslu og ætlaði að reyna að skýra það á einni mínútu. Í kjölfarið komu margir hv. þingmenn og þökkuðu honum fyrir að þau gætu áttað sig á því hvað við værum að fara að greiða atkvæði um hér í þessum sal — þó það nú væri að við hefðum það á hreinu.
Það segir kannski líka sitt að þetta mál fékk ekki eina einustu umsögn, ekki þegar það var birt í samráðsgátt stjórnvalda áður en það barst til þingsins og ekki heldur í meðförum þingsins — ekki eina einustu umsögn. Engu að síður fóru út umsagnarbeiðnir.
Málið er tæknilegt og orðalag þess er kannski þannig að fólk áttar sig ekki í fljótu bragði á því hvað er verið að tala um. Ég ætla að taka dæmi, með leyfi forseta:
„Markmið laga þessara er að tryggja frjálst flæði ópersónugreinanlegra gagna innan Evrópska efnahagssvæðisins.“
Hvað eru ópersónugreinanleg gögn? Það getur verið ýmislegt. Það geta verið hlutir sem við höfum á tölvunni okkar og eru kannski ekkert endilega persónulegar upplýsingar en eru samt bara gögn sem við eigum. Er verið að tala um það? Nei, það er ekki verið að tala um það.
Í 3. gr. frumvarpsins er að finna orðskýringar. Reglugerðin sem um ræðir hefur nefnilega ekki verið þýdd í heild sinni á íslensku, sem sagt reglugerð Evrópuþingsins og ráðsins (ESB) 2018/1807. Titillinn hefur þýddur, reglugerð um ramma um frjálst flæði ópersónulegra upplýsinga í Evrópusambandinu. Í þessu frumvarpi eru lögfest tiltekin lykilákvæði laganna sem eiga að gera reglugerðina nógu aðgengilega almenningi til þess að við birtingu þessara laga hafi reglugerðin lagagildi hér. Þetta sem tekið er upp í lögin beint er talið nægja til þess að lögin séu nógu skýr og skiljanleg á íslensku svo að birting þeirra teljist vera fullnægjandi en samkvæmt íslenskri stjórnskipan og íslenskum lögum þurfa lög að vera birt til að vera gild og að jafnaði þurfa þau að vera birt á íslensku.
Í 3. gr. frumvarpsins eru orðskýringar og ég ætla að leyfa mér að fara yfir þær aðeins, með leyfi forseta, þar sem ég held að þær skýri talsvert.
„Merking orða í lögum þessum er sem hér segir:
Gögn: Gögn, önnur en gögn sem innihalda persónuupplýsingar eins og þær eru skilgreindar í 1. tölul. 1. mgr. 3. gr. laga um persónuvernd og vinnslu persónuupplýsinga, nr. 90/2018.“
Þarna erum við að tala um lög um persónuvernd og vinnslu persónuupplýsinga sem var byltingarkennd löggjöf Evrópusambandsins sem var tekin upp hér á landi og hefur umbylt, held ég, bæði framkvæmd og ákveðinni virðingu og skilningi á því hvað eru persónuupplýsingar og hvað meðferð og vinnsla persónuupplýsinga þýðir. Hér er tekið fram að samkvæmt þessum lögum eru gögn ekki persónuupplýsingar. Það eru gögn, önnur en þau sem innihalda persónuupplýsingar samkvæmt þessum lögum um persónuvernd og vinnslu persónuupplýsinga.
Áfram segir í ákvæðinu, með leyfi forseta:
„Krafa um staðsetningu gagna: Hver sú skuldbinding, bann, skilyrði, takmörkun eða önnur krafa, sem kveðið er á um í lögum eða stjórnvaldsfyrirmælum eða byggist á stjórnsýsluvenjum opinberra aðila, sem áskilur að vinnsla gagna fari fram á yfirráðasvæði tiltekins aðildarríkis EES-samningsins eða hindrar vinnslu gagna í einhverju aðildarríkjanna.“
Ég geri örstutt hlé á þessari tilvitnun líka. Það sem gerir hinum almenna borgara kannski erfitt fyrir að skilja hvað er verið að tala um hér er að í þessu frumvarpi og í reglugerðinni er í rauninni einungis verið að taka á einni hindrun sem getur verið fyrir því að gögn sem nauðsynleg eru í einhverjum tilgangi séu afhent. Auðvitað eru bæði í íslenskum lögum og lögum annarra Evrópuríkja skýrar reglur um aðgang að gögnum í tilteknum tilgangi. Það geta verið gögn sem þörf er á vegna, hvað eigum við að segja, lögreglurannsóknar, vegna einhvers. Heimildin til að afla þeirra gagna er einhvers staðar. Krafan um að fá gögn afhent, hún byggist á einhverri lagaheimild. Það sem við erum að tala um í þessu frumvarpi og þessari reglugerð er í rauninni eingöngu sú krafa sem fyrirfinnst í löggjöf sumra ríkja og í sumri löggjöf um að það megi ekki afhenda tiltekin gögn vegna þess að beiðnin um afhendingu kemur ekki fram í réttu aðildarríki. Það er í rauninni bara verið að afnema þessa einu hindrun. Það er ekki verið að tala um neitt annað. Það er ekki verið að auka heimildir til aðgangs að gögnum í neinum tilgangi eða neitt slíkt heldur einungis verið að leitast við að afnema þessa einu hindrun.
Ég ætla að klára þessar orðskýringar, með leyfi forseta:
„Vinnsla: Aðgerð eða röð aðgerða þar sem unnið er með gögn eða gagnamengi á rafrænu formi, hvort sem vinnslan er sjálfvirk eða ekki, svo sem söfnun, skráning, flokkun, kerfisbinding, varðveisla, aðlögun eða breyting, heimt, skoðun, notkun, miðlun um framsendingu, dreifing eða aðrar aðferðir til að gera upplýsingarnar tiltækar, samtenging eða samkeyrsla, aðgangstakmörkun, eyðing eða eyðilegging.“
Hér erum við með skilgreiningu á vinnslu upplýsinga sem er áþekk skilgreiningu í lögum og reglugerðum um vinnslu persónuupplýsinga. Mörgum þykir ruglingslegt við lestur t.d. laga um persónuvernd og vinnslu persónuupplýsinga að orðin vinnsla persónuupplýsinga eru mjög mikið notuð. Það er svona lykilhugtak í lögunum. Ég held að það sé dálítið þungur lestur fyrir hinn almenna leikmann að lesa lög um meðferð persónuupplýsinga vegna þess að það sem er kallað vinnsla persónuupplýsinga — og hér er bara vinnsla upplýsinga sem eru ekki persónuupplýsingar — er í rauninni það sem við í daglegu tali köllum allt annað. Þegar ég tek upplýsingar úr einu skjali og færi yfir í annað þá er ég að vinna með upplýsingarnar. Þegar ég framsendi þær í tölvupósti þá er það vinnsla persónuupplýsinga. Þegar ég er að breyta þeim þá er ég að vinna með þær. Til þess akkúrat að varpa ljósi á hvað er átt við þarna og leyfa fólki að setja þetta í samhengi sem það skilur ætla ég að lesa þetta aðeins aftur, með leyfi forseta:
„… svo sem söfnun, skráning, flokkun, kerfisbinding, varðveisla …“ — Það að varðveita gögn er vinnsla, að hafa þau undir höndum getur talist vinnsla. — „… aðlögun eða breyting, heimt …“ — Það að taka við þeim. — „… skoðun …“ — Að skoða gögn er vinnsla persónuupplýsinga. — „… notkun, miðlun um framsendingu …“ — Ef ég framsendi gögnin er það vinnsla upplýsinga. — „… dreifing eða aðrar aðferðir til að gera upplýsingarnar tiltækar, samtenging eða samkeyrsla, aðgangstakmörkun, eyðing eða eyðilegging.“ — Þetta er allt vinnsla gagna.
Það sem er ruglingslegt við þetta frumvarp og ekki beinlínis ruglingslegt heldur torvelt að skilja er nákvæmlega hvað er verið að tala um. Hvaða gögn er verið að tala um og hver vill fá þau, af hverju og í hvað tilgangi og af hverju fær hann það ekki eins og staðan er og hverju er verið að breyta? Þetta ekki augljóst af þessum lögum vegna þess að þeim er, eins og ég nefndi áðan, í rauninni bara ætlað að afnema þessa einu hindrun á meðan aðrar hindranir sem gætu verið fyrir því að þú fáir þessi gögn afhent, aðrar en sú hindrun að þau eru staðsett í einhverju öðru ríki, velta á annarri löggjöf, annarri heimild. Það eru aðrir þættir sem segja til um hvort þú getir fengið þau gögn afhent eða megir afhenda þau eða annað slíkt. En það er ekki verið að taka á því í þessari reglugerð og í þessum lögum. Það eina sem þessi lög taka á og fjalla um er þessi hindrun sem er víða, virðist ekki vera neitt sérstaklega viðvarðandi hér á landi eða mikið vandamál, alla vega miðað við greininguna sem hefur verið gerð af hálfu ráðuneytisins og kemur fram í greinargerð með frumvarpinu, en í löggjöf ýmissa landa er oft og kannski af ekkert endilega málefnalegum ástæðum gerð krafa um að gögnin séu á tilteknum stað í tilteknu landi til þess að þau verði flutt á milli.
Ég ætla að fara í það hvernig þessi lög hafa áhrif á önnur lög á Íslandi. Eins og ég segi þá er þessu ætlað að vera ákveðin uppfylling á allt annarri löggjöf sem getur verið mjög víðtæk. Þetta er mjög almennt um frumvarp, þetta eru mjög almennar reglur sem banna að afhending gagna sé bundin við staðsetningu, með leyfi forseta:
„ Af ákvæðum 1.–3. mgr. 4. gr. reglugerðarinnar leiðir að aðildarríki skuli fella úr gildi ákvæði sem hafa að geyma kröfur um að gögn skuli vinna á ákveðnu landssvæði, nema þær séu rökstuddar á grundvelli almannaöryggis og að meðalhófs sé gætt.“
Þetta er gríðarlega lágur þröskuldur. Það er í rauninni engin heimild til að binda heimild til afhendingar gagna eða vinnslu þeirra við landsvæði nema það sé á grundvelli almannaöryggis og samkvæmt meðalhófi. Þetta er held ég hreinlega lægsti þröskuldur sem hægt er að setja.
Ég held aðeins áfram, með leyfi forseta:
„Slíkar takmarkanir halda gildi sínu þrátt fyrir ákvæði reglugerðarinnar og frumvarpsins, þar til þær hafa verið felldar úr gildi með lagabreytingu eða breytingu á stjórnvaldsfyrirmælum.“
Ég ætla að gera hlé á tilvitnun minni til að útskýra aðeins hvað er átt við hér. Þarna er átt við að í rauninni er verið að innleiða skyldu ríkja til að fella þessar reglur úr gildi. Það þýðir ekki að þær falli sjálfkrafa úr gildi.
Nú ætla ég að fara yfir þau fáu ákvæði sem komu til skoðunar, sýnist mér, af hálfu ráðuneytisins, alla vega samkvæmt umfjöllun í greinargerðinni, með leyfi forseta:
„Lög um bókhald, nr. 145/1994, eru einu lögin þar sem fjallað er um kröfu til að ópersónugreinanleg gögn séu staðsett hér á landi. Það ber þó að athuga að bókhaldsgögn hafa einnig að geyma persónugreinanleg gögn, og samsett gagnasett falla undir lög um persónuvernd og vinnslu persónuupplýsinga, nr. 90/2018.
Varnarmálalög, nr. 34/2008, reglugerð um vernd trúnaðarupplýsinga, öryggisvottanir og öryggisviðurkenningar á sviði öryggis- og varnarmála, nr. 959/2012, og reglur fjármála- og efnahagsráðuneytisins um öryggisflokkun gagna íslenska ríkisins geta falið í sér mögulegar kvaðir um staðsetningu gagna, en þær takmarkanir eru byggðar á sjónarmiðum um almannaöryggi að því marki sem slík gögn gætu fallið undir gildissvið reglugerðarinnar.“
Nú hef ég ekki gert sjálfstæða rannsókn eða athugun á því hvaða mögulegu reglur gætu gilt hér á landi sem þarf þá að fella úr gildi samkvæmt þessari reglugerð og þessum lögum en miðað við þetta er það mjög fátt. Það þýðir að þessi reglugerð hefur lítil áhrif á aðra löggjöf hér á landi. Ég hef svo sem ekki þekkingu á því hvar þessar hindranir sem hér er verið að reyna að afnema á Evrópska efnahagssvæðinu hafa orðið til trafala fyrir íslensk stjórnvöld eða fyrirtæki eða aðra hér á landi en líklega munu þessi lög og þessi reglugerð, takandi gildi í öðrum ríkjum, hafa þau áhrif hér á landi að það greiði fyrir miðlun upplýsinga sem á öðrum grundvelli er heimilt og skylt að miðla. Þannig að áhrifin hér á landi virðast, miðað við það sem þarna kemur fram, fyrst og fremst verða tiltölulega jákvæð. Og það segi ég hér með fyrirvara um (Forseti hringir.) takmarkaða þekkingu mína á þessum málaflokki og (Forseti hringir.) þá staðreynd að það bárust bókstaflega engar umsagnir um málið.
