Almenna persónuverndarreglugerðin - 32016R0679

Á árinu 2012 lagði framkvæmdastjórn ESB fram tillögur að endurskoðuðum reglum um persónuvernd, þ.e. um vernd einstaklinga í tengslum við vinnslu persónuupplýsinga og um frjálsa miðlun slíkra upplýsinga, sem ætlunin var að kæmi í stað tilskipunar nr. 95/46/EB. Samhliða lagði framkvæmdastjórnin fram tillögu að tilskipun ráðsins og Evrópuþingsins um vernd einstaklinga með tilliti til vinnslu persónuupplýsinga af viðeigandi yfirvöldum til að: koma í veg fyrir afbrot, í þágu rannsókna, til að koma upp um eða saksækja vegna lögbrota eða vegna fullnustu refsinga og um frjálsa miðlun slíkra upplýsinga. Mun sú tilskipun koma í stað rammaákvörðunar ESB nr. 2008/977 en hún telst falla á sviði Schengen-samstarfsins. Reglurnar hafa nú verið samþykktar í endanlegri mynd af Evópusambandinu.
Markmið tillagnanna er að einfalda þær reglur sem gilda og breyta þeim þannig að þær eigi við þær aðstæður sem gilda í dag. Réttindi og skyldur fyrirtækja sem nota persónupplýsingar eru skilgreindar sem og réttindi þeirra sem upplýsingarnar eiga við. Megintilgangur endurskoðunarinnar er að samræma framkvæmd tilskipunarinnar frá 1995 innan aðildarrríkja ESB (og EES-ríkjanna) til að draga úr hættu á að tiltekin aðildarríki hagi framkvæmd sinni þannig að fyrirtæki sæki til þeirra vegna þess að reglurnar séu hagstæðari fyrirtækjum sem fara með persónuupplýsingar en í öðrum aðildarríkjum.
Grundvallarreglur persónuverndar einstaklinga eru óbreyttar en þó þannig að réttindi einstaklinga eru styrkt til muna. Það leiðir til þess að ábyrgð fyrirtækja er að sama skapi aukin til muna - t.d. tilkynningarskylda um öryggisbresti, fræðsla til einstaklinga um vinnslu, reglur um innbyggða og sjálfgefna friðhelgi, sem og að heimilt verður að sekta um sem nemur 4% af heildaveltu þeirra.
Sérstaklega er rétt að nefna að þau nýmæli verða að einstaklingur getur eftirleiðis farið með kvörtun til þess aðildarríkis þar sem einstaklingurinn hefur búsetu en hefur utan þess rýmri heimildir til að fara með kvartanir þvert á landamæri og að sama skapi verður fyrirtækjum gert kleift að leita til persónuverndarstofnunar í því ríki þar sem höfuðstöðvar viðkomandi fyrirtækis eru á innri markaðnum. Eigi málið við fleiri en eitt land, mun ein persónuverndarstofnun verða leiðandi í meðferð málsins (e. Lead Supervisory Authority) og vinna ákvörðun sem mun verða bindandi fyrir aðrar persónuverndarstofnanir sem hlut eiga að máli (e. concerned DPA).
Komi upp ágreiningur milli stofnanna mun Evrópska persónuverndarráðið ESB (e. European Data Protection Board) skera úr um ágreining og beina ákvörðun til hins leiðandi stjórnvalds, sem síðan tekur ákvörðun í málinu gagnvart viðkomandi lögaðila. Ljóst er að reglugerðin mun kalla á aukna stjórnsýslu á sviði persónuverndarmála og kunna þessi atriði jafnframt að fela í sér stjórnskipuleg álitaefni á Íslandi og áskoranir fyrir tveggja-stoða kerfi EES-samningsins.
Af öðrum atriðum má nefna réttinn til að gleymast, þ.e. láta eyða upplýsingum um sig af internetinu og að heimilt er að lækka aldursmark til að gerast þátttakandi að samfélagsmiðlum úr 16 árum í 13 ár en ákvörðun um það er á forræði hvers ríkis.