Forslag til nye personvernregler i EU

EU-kommisjonen offentliggjorde 25. januar sitt forslag til ny forordning om behandling av personopplysninger. Fordningen vil erstatte dagens personverndirektiv fra 1995, som sårt har trengt en revisjon for å følge den tekniske utvikling.

Bakgrunnen for at Kommisjonen foreslår en forordning  og ikke et revidert direktiv, er at personverndirektivet er blitt implementert og praktisert forskjellig i de ulike landene. Det anslås at en forordning med direkte virkning i EU/EØS-landene vil redusere administrative byrder for virksomheter med ca 2,3 mrd Euro per år.

Selv om forslaget bygger på grunnprinsippene til personverndirektivet, innebærer det endringer som vil kunne ha stor betydning for norske og internasjonale virksomheter:

• Økte krav til uttrykkelig samtykke
• Klarere rettigheter til den registrerte, herunder «a right to be forgotten» (f.eks. rett til å kreve full sletting i sosiale medier)
• Strengere krav til varsling av Datatilsynet og de registrerte i tilfeller av alvorlige sikkerhetsbrudd
• Reglene vil ikke bare gjelde for virksomheter som er etablert i EØS-området, men også de som retter sine tjenester mot borgere i EØS
• Forenkling av regler for overføring av personopplysninger til land utenfor EØS-området
• Krav til personvernøkende teknologi (teknologier som begrenser omfanget av opplysninger) og «privacy by design» (personvern bygges inn i systemer og løsninger fra begynnelsen av)
• Styrking av Datatilsynenes kompetanse, bl.a. til å ilegge overtredelsesgebyrer på opp mot 1 million Euro eller 2 % av selskapets globale omsetning

Forslaget til forordning skal nå videre til høring i Europa-parlamentet og Rådet. Det er grunn til å tro at dette vil ta minst et år. Forordningen foreslås å tre i kraft 2 år etter at den er vedtatt.