Pas på nye privacy-regler: Datatilsynet får kæmpe bødehammer

Om få år slipper erhvervslivet og myndigheder for Datatilsynet som barnepigen, der skal spørges om lov til alt og med fri ret til inspektion af 'børneværelset'. Lettelsen fremgår af det forslag til en reform af EU's persondatalovgivning, som EU-kommissionen fremlagde i går. Der er tale om en forordning, og en sådan skal i modsætning til et direktiv ikke til behandling i Folketinget.

Det mindskede bureaukrati har dog en pris. Hammeren falder, så det kan mærkes på pengepungen, hvis ansvaret for sikker persondatabehandling svigtes. Herhjemme har Datatilsynet hidtil kun kunnet uddele næser, men ifølge EU-forslaget vil tilsynet kunne idømme bøder på op til en million euro (7,4 mio. kroner) eller op til to procent af en koncerns globale årlige omsætning.

Væk med anmeldelser

Skiftet fra at de registerførende skal bede om lov til næsten alt, indebærer et farvel til det forsinkende anmeldelses- og godkendelsesbureaukrati, der har hersket herhjemme siden Datatilsynets forgænger, Registertilsynet, blev oprettet i 1979.

»Datatilsynets sanktionsmuligheder bliver mere lig konkurrencemyndighederne, der har gjort indtryk takket være de store bøder,« lyder kommentaren fra advokatfuldmægtig Pernille Kirk Østergaard fra advokatfirmaet BvHD til Version2. Hun er specialiseret inden for persondata- og it-ret.

Informationspligt ved datatab

Yderligere et krav har store konsekvenser. EU’s virksomheder og institutioner får pligt til at orientere berørte borgere, hvis der sker datatab, og hvis muligt inden for 24 timer. Informationspligten gælder, hvad enten der er tale om hackerangreb, tab af forsendelse af personregister eller noget helt tredje.

Orienteringspligten har længe været gældende i flere amerikanske stater, og det har kostet virksomheder dyrt både på imagekonto og bankkonto. De nuværende EU-regler stammer imidlertid fra en tid med et helt andet risikobillede, da de er 17 år gamle.

Besparelser

EU lægger vægt på at fortælle, at indførelsen af nye fælles europæiske regler for persondatahåndtering giver besparelser for erhvervslivet. Ifølge EU vil alene bortfaldet af registreringspligt give administrative besparelser på 2,3 milliarder euro årligt (godt 17 mia. kroner).

»Dog skal man stadig anmelde, hvis data skal behandles uden for EU, såsom for eksempel i Indien eller Pakistan, og man skal i kontrakter gøre det krystalklart, at det er EU-love og hjemlandets datatilsynsmyndigheder, der alene råder,« siger Pernille Kirk Østergaard.

Dataansvarlig chef

Virksomheder og organisationer med over 250 ansatte skal også oprette en ekstra chefpost, hvis denne ikke forefindes.

»Der skal forefindes en såkaldt data protection officer, der bliver ansigtet mod offentligheden, og som får det overordnede ansvar,« fortæller Pernille Kirk Østergaard.

Advokatfuldmægtigen fornemmer, at grænsen på de 250 er sat for i særlig grad at få de store internationale koncerner til at få bedre styr på persondatasikkerheden, men – som hun siger – en mindre e-virksomhed kan meget vel stå for lige så megen persondatabehandling eller mere som den store.

Flere rettigheder til borgere

Den nye EU-forordning giver borgere flere rettigheder, og det kommer erhvervslivet til at mærke, også som en konkurrenceudfordring. Borgeren har for eksempel ret til hurtigt at få egne data med sig videre.

»En kunde, der vil skifte til en anden teleudbyder, kan således med EU-ordningen i hånden kræve at få sine data overført langt hurtigere end i dag, hvor det typisk går langsomt,« siger Pernille Kirk Østergaard.

Sletning og det med småt

Borgeren kan også kræve egne data slettet, hvis intet juridisk taler imod, hvilket ifølge advokatfuldmægtigen p.t. især synes rettet mod Facebook.

»Alt i alt vil EU-borgere – i hvert fald på papiret - stå stærkere overfor for store udenlandske nettjenester, da datatilsynet i borgerens hjemland bliver myndigheden, som den udenlandske tjeneste er oppe imod,« siger Pernille Kirk Østergaard. »Men der er klassiske problemer ved grænseoverskridende forretning som næppe forsvinder,« fortsætter hun.

Hun påpeger, at virksomheder fremover også skal have borgerens eksplicitte godkendelse af ”det, der er skrevet med småt”. EU understreger dermed igen, at ingen blot må gå ud fra et stiltiende samtykke.

Større hensyn til børn

Ifølge advokaten rummer forordningen en lidt overset del, nemlig et større hensyn til børnene, der færdes på nettet.

»Man har fokuseret meget på de ting, der er vigtige for voksne borgere, men det er på høje tid, at børnenes data beskyttes bedre mod udnyttelse,« siger Pernille Kirk Østergaard.

Hun pointerer, at netop børn kaster sig ind i nettets verden – fra chat til konkurrencer - ofte uden at tænke over konsekvenserne over at aflevere persondata til højre og venstre, og disse data kan misbruges blandt andet til markedsføring direkte rettet mod barnet.

Politi og persondata

Selv om den nye persondataforordning giver borgerne flere rettigheder, indebærer den paradoksalt nok ingen lempelse, hvad angår den øgede registrering af borgernes færden på nettet, som terrorlovgivningen medførte.

EU-kommissionen har holdt terror og anden kriminalitet ude. Politiets beføjelser fremlægges i et separat direktiv, hvis skærpelser skal godkendes lokalt. Danmark har i forvejen et forbehold over for det gamle direktiv om politisamarbejde på tværs af grænser.

Tidsfristen

Ifølge reformforslaget skal det træde i kraft om to år, men det kan blive forsinket som følge af den kommende hørings- og forhandlingsfase i EU-landene.

Det interessante ved valget af en forordning frem for et direktiv er imidlertid, at ingen EU-lande længere kan kaldes dukse frem for andre, eftersom en forordning er direkte gældende for medlemslandene. Advokatfuldmægtigen giver dog udtryk for, at utvivlsomt vil være store udfordringer i de enkelte EU-lande, blandt andet fordi der vil være national lovgivning, som skal konsekvensrettes, ligesom også de forskellige kulturer i EU-landene spiller ind. Samme holdning udtrykte Datatilsynet onsdag i en pressemeddelelse.

»EU skal også selv finde egne ben, og det er en meget stor og kompleks pakke,« siger Pernille Østergaard.

Fakta:

• EU-kommissionen fremlagde i går (onsdag) en omfattende reform af EU’s databeskyttelsesregler fra 1995.
• EU begrunder behovet for en ny lovgivning med, at den teknologiske udvikling har gjort de gamle regler forældede, men også med det uhensigtsmæssige i, at 1985-reglerne er implementeret forskelligt i de 27 medlemsstater.
• Ifølge EU vil den nye persondataforordning lette erhvervslivets administrative belastning, samt styrke borgernes tillid til online services. EU tilkendegiver, at disse to ting skaber vækst, job og innovation i Europa.
• Persondataforordningen går uden om politiets jurisdiktion. Den rummes i et direktiv, der er fremlagt samtidig.