frjálst flæði ópersónugreinanlegra gagna.

Frú forseti. Ég er þakklát fyrir að komast loks til að taka þátt í þessum góðu umræðum sem hafa átt sér stað hér undir þessum lið fundarins í tengslum við ópersónugreinanleg gögn. Við erum búin að fara saman mjög vítt og breitt yfir innri markaðinn og málefni hans og EES-samninginn og til hvers hann nú eiginlega er, hvaða tilgangi hann á að þjóna í nútímasamfélagi og hvað við viljum fá út úr því að vera í EES-samstarfinu svona í stóru myndinni. Mér finnst bara alltaf gott að ræða það í þaula. Hérna hefur hv. þm. Eyjólfur Ármannsson sagt að ef við hefðum haft vitneskju um bókun 35 árið 1992 þegar við samþykktum að ganga til liðs við Evrópska efnahagssvæðið þá hefðum við aldrei samþykkt EES-samninginn og að verða hluti af honum með þeim eiginlegu forgangsáhrifum sem verða. Ég ætla að láta það liggja á milli hluta en ég held að ég geti tekið heils hugar undir þau sjónarmið sem hafa komið fram hérna í dag og heyrast nú yfirleitt hjá öllum þeim sem tjá sig um EES-samninginn; að við eigum að gera svo miklu betur í því að standa vörð um íslenska hagsmuni úti í Brussel. Svo erum við á hinn bóginn ósammála um hvernig við gerum það. Við getum farið norsku leiðina sem er alltaf góð, þ.e. sett mikið fútt í það að vera með fjöldann allan af aðilum á vegum stjórnvalda, hagsmunasamtaka, með fasta starfsstöð í Brussel eða á öðrum vettvangi þar sem ákvarðanir eru teknar sem hafa áhrif á þjóðina, þar sem sjónarmið Norðmanna komast á dagskrá. Þetta er í daglegu máli auðvitað bara kallað lobbíismi. Hugtakið lobbíismi hefur í för með sér neikvæð hughrif í hugum einhverra en fyrir mér er þetta bara stór partur af því að halda úti nauðsynlegri hagsmunagæslu fyrir litla þjóð. Athugum að það hefur dálítið oft verið sagt hérna í stóra samhengi hlutanna að við eigum bara að geta fengið Norðmenn til að taka með sér punkta inn í Evrópusamstarf hér og þar, en hagsmunir Íslands og Norðmanna fari ekki alltaf saman, án þess að ég ætli að fara mörgum orðum um það.

Ég ætla hins vegar, frú forseti, að fara hérna aðeins út af sporinu í þessari umræðu, með leyfi þingheims, því að mig langar dálítið til að ræða þetta mál efnislega og reyna að kjarna svolítið það sem umræðan hefur kannski ekkert endilega farið ofan í saumana á sem er það hvaða áhrif þetta hefur eiginlega á íslenskt atvinnulíf, íslenska stjórnsýslu, samkeppni hérna og íslenskan tækniiðnað. Árið 2018 er þessi reglugerð ESB samþykkt á Evrópuþinginu og hún fer í biðröðina. Það er auðvitað þannig að GDPR, General Data Protection Regulation, 2016/679, er tekin fram fyrir allt í röðinni vegna þess að þar er auðvitað um að ræða vinnslu persónuupplýsinga, persónugreinanlegra upplýsinga. Þetta er tímamótalöggjöf, reglugerð. Undirrituð hefur notið þess að fá að starfa mikið með þessa reglugerð sem persónuverndarfulltrúi hjá stærsta sveitarfélaginu og notið hvers dags í starfi, flesta daga. Ég veit því aðeins hvaða áskoranir birtast okkur í daglegu starfi þegar kemur að vinnslu upplýsinga og upplýsingatækni, upplýsingaréttinum, tækniréttinum. Það er nú þannig að hið stafræna hagkerfi rúllar ekkert bara. Fólk gerir mjög mikið ráð fyrir því að þessir hlutir rúlli bara einhvern veginn. Það að vera með stór gagnasöfn í tölvuskýjum, í skýjalausnum er daglegt brauð fyrir okkur öll sem hreinlega notum tölvur. Það er allt í skýinu. En skýið er auðvitað ekkert annað en tölva einhvers annars. Og hvar er þessi tölva? Hún er bara einhvers staðar.

Það sem GDPR hefur leitt af sér eru mjög áleitnar deilur á milli t.d. Bandaríkjanna og Evrópu í tengslum við það hvaða flutningsmekanismar eru gildir til að flytja gögn milli heimsálfa. Ég veit ekki hvort þið fylgdust með fréttum sumarið 2021 en þá var t.d. fjallað um mjög frægt mál hjá Evrópudómstólnum sem í daglegu tali er kallað Max Schrems málið, eða Schrems II málið, þar sem lagt var blátt bann við því að færa stór gagnasöfn frá Evrópu til Bandaríkjanna af þeirri einföldu ástæðu að það er eiginlega algjört formsatriði fyrir bandarísk eftirlitsyfirvöld að komast ofan í þessar persónugreinanlegu gagnagáttir. Munið það bara þegar þið stofnið tölvuský í Bandaríkjunum. Það er reyndar búið að „leysa“ úr þessu, Evrópusambandið er búið að gera samning um nýjan lögmætan flutningsmekanisma. En ég hugsa að það sé bara spurning um hvenær en ekki hvort hann verði brotinn á bak aftur vegna þess að í grundvallaratriðum er sá mekanismi ekki lögmætur út frá þeim lágmarksviðmiðum sem lögð eru fyrir í tengslum við GDPR. Það gilda auðvitað önnur lögmál þegar við erum með ópersónugreinanleg gögn, það gefur augaleið. Og hvað eru ópersónugreinanleg gögn? Þetta eru staðsetningargögn einhverra hluta, allt þetta leiðinlega. En það er ekki svo auðvelt að henda reiður á því hvenær gögn eru persónugreinanleg og hvenær ekki.

Dulkóðun er í rauninni dásamleg listgrein og ég ætla ekki einu sinni að reyna að útskýra fyrir ykkur hvernig hægt er að dulkóða sem best, það verða einhverjir Píratar að sjá um það. Ég ætla hins vegar að segja ykkur að ef þú ert með lykla sem geta aflæst dulkóðuninni þá ertu í lok dags með persónugreinanlegar upplýsingar. Léleg dulkóðun gerir það að verkum að það eru bara of margir sem komast upp með að segja: Já, ég er með ópersónugreinanlegt gagnasett, og ætla einhvern veginn að sigla undir fölsku flaggi þess verndarhjúps sem sá verðmiði leiðir af sér. Það segi ég vegna þess að við höfum oftar en ekki þurft að stöðva stóra gagnaflutninga frá borginni til annarra aðila vegna þess að því hefur verið haldið fram að mjög viðkvæmar persónuupplýsingar hafi hreinlega verið dulkóðaðar og engin leið fyrir neinn að persónugreina þær. Og hverjir eru það sem skera úr um það hvort eitthvað sé persónugreinanlegt eða ekki? Alla jafna ætti það vera að vera Persónuvernd. Persónuvernd ákvað hins vegar að skila ekki inn umsögn um þetta frumvarp og kveða einhvern veginn á um það hvaða hlutverki stofnunin ætlar að gegna í þessu sambandi. Mér þykir ákaflega leitt að sjá að það hafi ekki verið gengið eftir því að fá álit þeirra. Ég geri mér fullkomlega grein fyrir því að lítil stofnun sem fæst við fjölmörg verkefni, fjölmörg erindi frá einstaklingum og áköll um aðstoð frá stjórnvöldum þurfi að forgangsraða verkefnum sínum. En ég átta mig ekki alveg á því hvernig verður unnið úr því að vera með stórt gagnasett hér til skoðunar sem á að falla undir þessa reglugerð, þessa löggjöf, sem reynist síðan vera mjög persónugreinanlegt vegna alls konar atriða. Það er bara staðreynd að þegar stjórnvöld eiga í hlut þá taka við sektarheimildir Persónuverndar, auðvitað líka þegar einkaaðilar eiga í hlut. Við höfum svo sannarlega séð dæmi um stórar sektarálagningar beggja aðila, beggja hópanna, aðila á markaði og aðila í opinbera geiranum. En það er nú efni í aðra umræðu.

Ég held að þarna verði stjórnvöld, og hérna erum við bara með kjörið tækifæri, að slá tóninn um það hvað við viljum sjá í þeim hugsanlegu deilum sem gætu vaknað í kringum nákvæmlega þetta atriði. Hér eigum við sem löggjafi að vera með stefnumótun. Þetta er reglugerð frá 2018. Þetta var ekki að gerast í gær. Við erum með ýmsa stefnumótun sem lýtur að tæknimálum hjá hinu opinbera og við erum með mjög rómantíska hugmynd um það hvernig við getum gert þetta sem best. Staðreyndin er hins vegar sú að það eru mjög fáir aðilar í íslenskri stjórnsýslu sem hafa það hlutverk að vera til staðar fyrir stofnanir og stjórnsýsluna, og ég nefni sveitarfélögin líka, um svona bestu praktík sem þarf að ríkja í því hvernig við vinnum með gögn, persónugreinanleg sem og ópersónugreinanleg. Mér þykir rosalega leiðinlegt eða það er alls ekki ætlun mín, vil ég frekar segja, að kasta rýrð á einstaka stofnanir en því miður hefur þessi vanræksla í þessum mikilvægu málaflokkum leitt af sér mikla óreiðu í því hvað má og hvað má ekki gera í tengslum við vinnslu upplýsinga. Þetta er eitthvað sem er kannski í grundvallaratriðum mjög ópólitískt viðfangsefni. Eiga stjórnmálaflokkar að hafa skoðun á þessu, vilja kannski einhverjir spyrja. Ég segi já, það er ekki einkamál Pírata.

Fyrir mér er þetta rosalega stórt félagshyggjumál. Mér finnst þetta stórt félagshyggjumál því að þegar við útvistum þjónustu af hálfu hins opinbera til einkaaðila — og þá er ég ekki að tala um einkarekstur eða einkavæðingu. Við erum kannski að tala um að það eru stórir einkaaðilar á markaði sem fást de facto við það að vinna með persónuupplýsingar til að ákveðin þjónusta sé veitt. Ég tek það fram að það eru örugglega allir núna að skrá börn í frístund í sumar eða á námskeið og nota til þess lausn sem er rekin og haldið úti af einkaaðila. En hvenær hættir þjónustan að vera algjörlega á forræði hins opinbera og byrjar að vera meira og meira á forræði þess sem veitir þjónustuna? Nú er ég ekki að segja að það sé eitthvert tilfelli hér. Ég er að segja: Ef við erum komin með mjög langa, áralanga reynslu af ákveðnum þjónustuveitanda, ákveðnum vinnsluaðila sem hefur kannski bara bundið þannig um hnútana að það sé erfitt og jafnvel ómögulegt fyrir stjórnvöld að taka gagnasett og færa það til sín eða til annars aðila á markaði sem gæti jafnvel verið staðsettur fyrir utan landsteinana líkt og lagt er upp með hér, þá gæti það orðið dálítið erfitt. Við sjáum nú þegar ýmis teikn á lofti um að það sé orðið reyndin hér núna. Ég nefni sérstaklega, og mér finnst mikilvægt að nefna það, að við erum t.d. ekki með samræmda sjúkraskrá á Íslandi af þessari ástæðu m.a., vegna þess að þær eru víða. Það að sameina hana með einföldum hætti er bara óraunhæft.

Ég komst kannski ekki í það að kryfja helstu áskoranir sem leiða nákvæmlega að þessu hér og ætla að meta hvort ég fari í aðra ræðu um það. En tæknistefna ríkisins, gagnastefna ríkisins, skýjastefna ríkisins, — jú, það síðastnefnda er reyndar til — þetta hefur áhrif á það. Þetta skiptir okkur miklu meira máli heldur en kannski margir gera sér grein fyrir og við eigum að gera kröfur.