frjálst flæði ópersónugreinanlegra gagna.
Frú forseti. Þetta er búin að vera athyglisverð umræða um mál sem ég skal viðurkenna að ég hef bara ekki hundsvit á í stóra samhenginu. Það eina sem ég sé hér er enn eitt stimpilpúðaverkefnið, enn ein Brussel-tilskipunin sem við erum að fara að stimpla hér. Spurningin er: Hversu góð er hún fyrir okkur? Er hún góð, er hún vond, er hún hálfgóð eða eitthvað þar á milli? Þannig að ég hef nú hugsað mér aldrei þessu vant að skella mér bara í greinargerðina og byrja á inngangi með greinargerðinni að nákvæmlega þessu frumvarpi, sem samið er af háskóla-, iðnaðar- og nýsköpunarráðuneytinu, og athuga hvort þið sem á mig hlýðið og ég sjálf, eftir því sem ég les oftar þessa greinargerð, nálgast það betur að skilja í rauninni nákvæmlega hvað um er rætt. Ég fór nú í andsvör við hv. þm. Andrés Inga Jónsson áðan og maður kemur ekki að tómum kofanum þar. Hann er náttúrlega alveg ótrúlega seigur að lesa þessi furðumál hérna eins og okkar hv. þm. Eyjólfur Ármannsson sem hreinlega ljómar með þetta mál. Þannig að, með leyfi forseta, þá ætla ég að tala hér um greinargerðina og innganginn og byrja bara eins og þar stendur:
„Frumvarp þetta er samið í háskóla-, iðnaðar- og nýsköpunarráðuneyti. Með því er lagt til að reglugerð Evrópuþingsins og ráðsins (ESB) 2018/1807 frá 14. nóvember 2018 um ramma um frjálst flæði ópersónulegra upplýsinga í Evrópusambandinu verði tekin upp í íslenskan rétt með tilvísunaraðferð á grundvelli sérlaga.“
Við erum hreinlega að sjá strax að hér eru komnar sérreglur sem munu í rauninni ganga öllum öðrum reglum framar hvað þetta varðar. Eins og við vitum ganga lex specialis náttúrlega algerlega framar almennum reglum og þetta er enn ein reglan sem er að koma frá Brussel. Flæðið hefur náttúrlega tekið ansi langan tíma, sérstaklega ef þetta skiptir miklu máli fyrir okkur, ef það væri svo mikið jákvætt fyrir okkur að drífa okkur í að innleiða þetta, en þetta tók ekki nema sex ár í vinnslu og framkvæmd.
„Reglugerðin var tekin upp í EES-samninginn með ákvörðun sameiginlegu EES-nefndarinnar…“
Ég veit nú ekki alveg hversu oft ég hef lesið nákvæmlega þessa setningu. Eins og við vitum þá gerum við fátt annað á þessu ágæta hv. Alþingi en að stimpla reglugerðir frá Brussel. Við sjáum það t.d. núna að þessi þingvetur, hann hefur meira og minna farið í það að stjórnarandstaðan hefur mælt fyrir af sínum dugnaði sínum þingmannamálum, þeim sem hafa fengið að fara á dagskrá, á meðan stjórnarflokkarnir hafa nánast ekki komið nokkrum sköpuðum hlut að nema núna á síðustu dögunum en þá fleygðu þeir fram einhverjum 80 þingmannamálum. Minna má það nú ekki vera. Við skulum sjá hvernig þeir sigla þeirri skútu. En alla vega er það þannig að þessi ákvörðun sameiginlegu EES-nefndarinnar nr. 240/2023 var hins vegar klár þann 22. september sl.
Í öðru lagi ætla ég að tala um tilefni og nauðsyn þessarar lagasetningar. Þarna er kannski aðalmálið.
„Markmiðið með reglugerðinni sem hér er innleidd er að lögfesta meginreglu um frjálst flæði gagna, annarra en gagna sem innihalda persónuupplýsingar …“
Ég hef allan tímann greinilega misskilið hvað felst í réttindum okkar varðandi EES-samninginn og hið svokallaða fjórfrelsi og frjálst flæði fólks, fjármagns, peninga og vinnuafls. Í rauninni er greinilegt að með þessu vinnuafli og frjálsa flæði og för fólks þá höfum við ekkert haft með upplýsingar með þeim að gera greinilega, ekki fram til þessa eins og ég skil þetta. Þetta eru nú svona vangaveltur.
„Frjálst flæði persónuupplýsinga innan EES var tryggt með reglugerð Evrópuþingsins og ráðsins (ESB) 2016/679 um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálsa miðlun slíkra upplýsinga, eins og hún var tekin upp í samninginn um Evrópska efnahagssvæðið með ákvörðun sameiginlegu EES-nefndarinnar nr. 154/2018, sem innleidd var með lögum um persónuvernd og vinnslu persónuupplýsinga, nr. 90/2018, sem innleidd var með lögum um persónuvernd og vinnslu persónuupplýsinga, nr. 90/2018. Sambærilegar reglur gilda ekki um ópersónulegar upplýsingar.“ — Sem sagt persónulegar upplýsingar sem við erum að fjalla um hér og nú, ópersónugreinanlegar væntanlega? Eða hvað?
Löggjöfin miðar að því að auðvelda viðskipti þvert á landamæri eins og hv. þm. Andrés Ingi Jónsson sagði okkur svo fimlega frá áðan, sem í rauninni opnaði glufu hjá mér a.m.k. að skilja hlutina betur en ég áður gerði. Þetta skapar sem sagt einn gagnamarkað í samræmi við frelsi til að veita þjónustu samkvæmt EES-samningnum. Við erum náttúrlega komin á hina frábæru gervihnatta- og stafrænu öld. Við erum að horfast í augu við hina óþekktu gervigreind sem við vitum svo sem ekki hvert leiðir okkur. Við tölum um skýið. Ertu með gögnin þín í skýinu? Það er rétt núna, öllum þessum tíma síðan skýið kom til sögunnar, sem ég er raunverulega að átta mig á skýinu. Þetta virðist síður lúta að persónunni sjálfri heldur, eins og hv. þm. Andrés Ingi Jónsson benti svo réttilega á hér áðan — hann talar um að tryggja frekar gagnaflutninga á milli fyrirtækja, auðvelda fyrirtækjunum okkar að koma frá sér upplýsingum.
Ef ég held aðeins áfram í greinargerðinni þá er verið að tala um að í þeim tilgangi „… þarf jafnframt að tryggja frjálst flæði upplýsinga, annarra en persónuupplýsinga, innan EES með því að takmarka reglur sem fela í sér beinar eða óbeinar hindranir á flutningi ópersónulegra upplýsinga á milli aðildarríkja.“
Þetta á sem sagt að takmarka reglur. Við erum að draga úr því regluverki sem hefur haft hamlandi áhrif á flutning ópersónugreinanlegra upplýsinga á milli aðildarríkjanna. Þarna erum við að reyna að fella þröskulda greinilega sem hafa verið að hindra flutning á persónugreinanlegum upplýsingum.
„Það eru einkum tvenns konar hindranir sem standa í vegi fyrir hreyfanleika gagna á innri markaði EES. Í fyrsta lagi kröfur sem aðildarríki hafa sett um staðsetningu gagna á tilteknu landsvæði eða yfirráðasvæði. Í öðru lagi lagaleg, samningsbundin og tæknileg atriði sem hindra eða koma í veg fyrir að notendur gagnavinnsluþjónustu flytji eigin gögn frá einum þjónustuveitanda til annars.“
Ég verð náttúrlega alveg að viðurkenna að þó að ég sé að rembast við að reyna að skilja þetta alveg til hlítar þá finnst mér ég eiginlega vera komin hér í latneskt námskeið, að reyna að læra bara að tala latínu. Þetta er að verða mér það mikill fjötur um fót. Mig langar virkilega að skilja þetta. Ég sé samt sem áður og það liggur náttúrlega alveg á borðinu að þetta er jákvætt í meira lagi, vonandi. Maður er alltaf með einhvern varnagla og ég er alltaf svo smeyk þegar við erum að innleiða hér reglugerðir og hitt og þetta. Þegar við erum að stimpla eitthvað frá Evrópusambandinu þá verð ég að segja að stundum jafnvel dettur svona smá klakaströngull niður hryggsúluna af því að maður er bara hreinlega skeptískur á þetta. Ég verð að viðurkenna það.
Þessi reglugerð miðar t.d. að því að efla samkeppni á skýjaþjónustumarkaðnum, sem ég er nú rétt farin að átta mig á. Ég hef reynt að vera skýjum ofar núna síðustu þrjú árin að átta mig á því hvað ég á að gera við gögnin mín. Ég er að borga fyrir það. Heyrðu, nú er ég búin að fylla skýið. Nú týnast allar myndirnar. Hvað á ég að gera? Nei, ég verð að fá mér nýjan kubb til þess að færa þetta inn á. Nei, Inga, vertu bara í skýinu. Þetta er greinilega eitthvað sem er komið nokkrum skrefum fram úr mér og minni visku í allri þessari skýjastarfsemi.
Þetta á að auðvelda notendum að „… skipta um þjónustuveitendur, sem jafnframt eru hvattir til þess að setja hátternisreglur til þess að auðvelda flutning á gögnum.“ Það vantar þarna einhverjar hátternisreglur. Það virðist því vera að það sé verið að innleiða þetta áður en það eru komnar hátternisreglur sem koma í veg fyrir eitthvert rugl og einhverja vitleysu. Þarna kom t.d. smá klakaströngull niður hryggsúluna þegar ég fór að velta þessu fyrir mér. Hvað þýðir þetta eiginlega? Hvað erum við að fara að innleiða? Erum við að gera þetta án þess að það sé nógu vel ígrundað?
En að meginefni þessa frumvarps. Í þriðja lagi er verið að tala um að það feli í sér reglugerð um ramma um frjálst flæði annarra upplýsinga en persónuupplýsinga og meginefni frumvarpsins er því lögfesting á þessari reglugerð sem ég áður hef talað um, 2018/1807, og á nauðsynlegum ákvæðum þar að lútandi. Og í kafla 3.1 reglugerðarinnar segir:
„Reglugerðin gildir um vinnslu gagna, annarra en persónuupplýsinga, sem veitt er sem þjónusta við notendur gagnavinnsluþjónustu innan EES eða sem einstaklingur, fyrirtæki eða stofnun innan EES framkvæmir vegna eigin þarfa.“
Já, þetta var nú ansi kröftug setning, ég verð að segja það. En ég sé að það væri kannski ástæða til þess að við fengjum bara hreinlega námskeið í þessu, þeir sem eru svona stútungar eins og ég og komnir af léttasta skeiði. Mig langar virkilega til að skilja þetta en eins og ég hef áður sagt erum við í Flokki fólksins yfir höfuð ekkert ginnkeypt fyrir því að vera stimpilpúðar fyrir innleiðingar og gerðir sem flæða hér yfir eins og eldur um akur til okkar. Við viljum ekki stimpla hvaðeina sem er. Við erum í rauninni alltaf að því og venjulega er það svo að við förum bara á takkann án þess að hafa hugmynd um hvað er verið að tala, vegna þess að venjulega er þetta svo djúpt og þessir 100.000 starfsmenn þarna í Brussel, hvítflibbarnir þar, — þó að ég sé nú kannski að ýkja töluna því að ég veit ekki hversu mörg tugþúsund það eru, alla vega held ég 60.000, en það var nú allt í lagi kannski aðeins að krydda þetta — þessir einstaklingar eru búnir að liggja yfir þessu mánuðum saman og gera ekkert annað en að búa til reglur og lög fyrir okkur hin til að samþykkja og innleiða.
„Reglugerðin gildir ekki um starfsemi sem fellur utan gildissviðs EES-samningsins.“
Hún gildir sem sagt ekkert um það sem ég var að segja hér áðan um þetta svokallaða fjórfrelsi, þetta flæði vöru, þjónustu, fólks og peninga. Hún gildir ekki um það. (ÞSÆ: Hún gildir um það.) Hv. þm. Þórhildur Sunna Ævarsdóttir leiðréttir mig hérna mjög rækilega. Já, það var akkúrat. Ég sneri þessu við. Það er nefnilega það. Ég er nefnilega komin í svefngalsa hérna. Það er nefnilega málið. Þetta er nú eiginlega flottasta setningin og ég þakka hv. þm. Þórhildi Sunnu fyrir það. Þessi setning, sem sagði allt sem segja þarf, segir mér einfaldlega: Hvers vegna í ósköpunum erum við þá að innleiða þetta? Hvers vegna erum við að stimpla þetta ef þessi reglugerð er ekki að ná neitt lengra heldur en þegar gerður EES-samningurinn nær? Hvað þýðir það?
Meginefni reglugerðarinnar er eftirfarandi, í fyrsta lagi:
„Reglugerðin setur fram þá meginreglu að kröfur í lögum eða stjórnvaldsfyrirmælum um að vinnsla gagna sé takmörkuð við tiltekið svæði innan EES séu óheimilar, nema slíkar kröfur séu rökstuddar á grundvelli almannaöryggis og í samræmi við meðalhófsreglu.“
Þannig að það er ekki hægt að meina einum eða neinum innan þessa svæðis að tileinka sér þessar reglur svo fremi sem það varðar hreinlega ekki almannahag og að meðalhófsreglur séu virtar.
„Meginreglan er með fyrirvara um þær kröfur um staðsetningu gagna sem þegar er mælt fyrir um á grundvelli gildandi EES-löggjafar sem og annarra undanþága sem fram koma í reglugerðinni.“
Nú er ég sem sagt tæplega hálfnuð með þetta, finnst þetta mjög spennandi og ég heiti því að þetta tek ég absalútt með mér á koddann í kvöld. Ég náttúrlega get ekki verið þekkt fyrir annað heldur en að kryfja þetta algerlega til mergjar. Það var ákveðinn punktur þarna sem ég náði og opnaði smá glufu. Þannig að þetta er spennandi, alltaf gaman á þingi.
