ákvörðun sameiginlegu EES-nefndarinnar um breytingu á XI. viðauka og bókun 37 við EES-samninginn.
Virðulegi forseti. Ég þakka hv. þingmönnum sem hafa tekið þátt í umræðunni og margir verið málefnalegir og borið á borð sitt sjónarhorn á þetta. Ég reyni að hafa það í heiðri að betur sjá augu en auga. Ég tek undir áhyggjur þingmanna af því að þessu máli, þ.e. persónuverndarfrumvarpinu og þá í raun þessu líka, sé gefinn naumur tími hér í þinginu. Ég hefði svo sannarlega viljað gefa þinginu lengri tíma til að fjalla um þessi mál. Þetta mál er mjög sérstakt. Það er mjög sérstakt að Ísland þurfi að innleiða reglugerð Evrópusambandsins með þessum hætti, reglugerð sem kveður á um að evrópsk fyrirtæki fremji lögbrot brjóti þau reglugerðina með því að miðla gögnum til landa sem ekki hafa innleitt hana eða ekki fengið sérstaka undanþágu eða vottun Evrópusambandsins. Þessi reglugerð er um margt mjög sérstök. Í því ljósi liggur fyrir að fara þurfti í þessa miklu vinnu við undirbúning að henni, sem þó tók nú ekki nema tvö ár. Ég bendi á, eins og aðrir hv. þingmenn hafa gert, að venjulegar tilskipanir, jafnvel um smæstu atriði, hafa legið hér svo árum skiptir í umfjöllun bæði þings og í stjórnsýslunni og hjá stjórnvöldum almennt og í alls kyns mati á áhrifum og kostum þess að innleiða slíkar tilskipanir. Oftast er þetta málefnalegur dráttur á innleiðingu, jafnvel þótt það taki mörg ár. En í þessu tilfelli er okkur gefinn mjög knappur tími. Það verður að mínu mati að skrifast á Evrópusambandið, með hvaða hætti það setur þessa reglugerð með svo skömmum fyrirvara, tveggja ára aðlögunartíma fyrir Evrópuríkin. Þá á eftir að taka tillit til aðstæðna og hagsmuna EFTA-ríkjanna.
Það er umræða sem þarf að taka í framhaldinu, þ.e. þróun á þessu samstarfi EFTA-ríkjanna við Evrópusambandið. Það er sjálfsagt að gera það og halda þessu máli og öðrum málum sem hefur lyktað með svipuðum hætti, þó ekki alveg eins, til haga í þessu. Þess vegna árétta ég að það var mikilvægt að fá fram þessa yfirlýsingu sem sett er við bókunina, í drögum, sem verður sett í ákvörðun sameiginlegu EES-nefndarinnar, yfirlýsingu um að þetta hafi ekki fordæmisgildi.
Ég vil líka nefna sérstaklega — því að fundið hefur verið að því, eins og kemur fram í greinargerð, að sérstakur starfshópur hafi verið settur á laggirnar 21. nóvember 2017 sem hafi verið falið að hefja smíð frumvarpsins — að það er nú ekki alveg rétt lýsing á þessu. Haft var samband við Björgu Thorarensen á vordögum 2017 og ég fyrir mitt leyti gaf samþykki fyrir því að samið yrði við hana um að taka að sér að semja frumvarpið. Vegna persónulegra aðstæðna hennar gat ekki orðið af því fyrr en um haustið en ég veit að hún var byrjuð að leggja drög að þessu öllu löngu áður en starfshópurinn sjálfur kom formlega saman. Það er orðhengilsháttur, eða menn að tapa sér í miklum smáatriðum, að líta á dagsetninguna á þessum málum. Að mínu mati hefur verið haldið á þessu máli, af hálfu utanríkisráðuneytisins og dómsmálaráðuneytisins, innanríkisráðuneytinu þar áður, fyrir 1. maí 2017, af miklum skörungsskap. Menn hafa reynt að ýta þessu máli eins hratt áfram og hægt er.
Ég tek líka undir það hjá hv. þingmönnum, sem ég hef greint í umræðum hér í dag en einnig við framsögu mína varðandi persónuverndarfrumvarpið fyrir tveimur dögum, að það er erfitt að setja sig inn í þessi mál. Mér þykir hins vegar verra, og ég held að það sé misskilningur, þegar menn finna að því að innleiðingin fari fram með þeim hætti sem hún gerir hér, þ.e. með nýjum persónuverndarlögum sem vísa í reglugerðina. Það er rétt að Noregur innleiðir þetta þannig, með því að taka reglugerðina eins og hún kemur af kúnni, og setur síðan lög, mjög tyrfin, bandormslög í raun, til breytinga á ýmsum lögum. Ég verð að viðurkenna að ekki treysti ég mér að minnsta kosti í fljótu bragði til að lesa hina almennu persónuverndarreglugerð og setja mig inn í hana. Ég hef reyndar fengið þær leiðbeiningar að menn eigi alls ekki að byrja á að lesa hana við 1. gr. og 2. gr., eins og menn lesa venjulega lagafrumvörp hér, heldur þurfi að byrja inni í miðri gerðinni. Menn þurfa svolítið að þekkja til persónuverndarfræðanna til að geta sett sig inn í það.
Það er af þessum ástæðum sem ég tók þá ákvörðun að fela Björgu Thorarensen að semja frumvarp til nýrra persónuverndarlaga. Það er til mikilla bóta fyrir þá sem þurfa að vinna eftir þessu kerfi að fá heildstæðan lagatexta sem er settur fram á því formi sem við þekkjum hér á Íslandi og vinnum eftir, lögfræðingar og fyrirtæki, og geta síðan flett í reglugerðinni til fyllingar. Það er þá auðvitað texti reglugerðarinnar sem gildir alltaf. Ég hef ekki heyrt nokkurn mann andmæla því, í atvinnulífinu eða annars staðar, þótt athugasemdir hafi verið gerðar um það á fyrstu stigum málsins. En þegar menn áttuðu sig á umfangi málsins og innleiðingaraðferðinni í Noregi heyrði ég ekki annað en að menn væru mjög vel sáttir við þetta og þakklátir fyrir að þessi leið hefði verið farin. Hin leiðin hefði verið miklu ódýrari og einfaldari frá mínum bæjardyrum séð, að innleiða þetta eins og Noregur gerir, en miklar athugasemdir eru gerðar í Noregi við málið. Persónuverndarstofnunin þar skilaði umsögn upp á 387 bls. við innleiðinguna enda tók það þingið dágóðan tíma að setja sig inn í þau mál. En lögin þar hafa verið samþykkt.
Hv. þm. Helga Vala Helgadóttir fann að því, ég vil bara koma því að, að réttarvernd íslenskra barna yrði eitthvað minni en réttarvernd annarra barna varðandi samþykkisaldur þeirra í tengslum við samfélagsmiðlana. Nú er það þannig að öll Norðurlöndin hafa tekið ákvörðun um að miða við 13 ára aldurinn. Það gerir Ísland líka og ég tel ekki annað raunhæft í ljósi þess samfélags sem við búum hér í. Menn þurfa ekki að vera hræddir við að leyfa þrettán ára börnum að vera á samfélagsmiðlum. En það er auðvitað heilmikið uppeldisatriði sem foreldrar þurfa að hafa í huga að ábyrgðin er að sjálfsögðu þeirra. Það eru þeir sem setja reglurnar um notkun samfélagsmiðla en ekki samfélagsmiðlarnir sjálfir eða börnin.
Í máli hv. þm. Smára McCarthy kom fram að hann teldi að ákvæði um dagsektir væri einhvers konar nýmæli eða frávik frá reglugerðinni. Það er ekki rétt. Reglugerðin heimilar beinlínis að setja reglur um dagsektir. Dagsektir hafa verið í þessum efnum í lögum í 16 ár. Þeim hefur aldrei verið beitt af hálfu Persónuverndarstofnunar á Íslandi en þetta er úrræði sem menn telja nú að best þjóni þeim tilgangi að halda mönnum við efnið í þessum efnum. Það er engin breyting hér á.
Það sama má segja um það sem hv. þm. Smári McCarthy nefndi varðandi rafræna vöktun, bannskrá þjóðskrár og lánstraustsupplýsingar, eins og hann nefndi, sem væru einhvers konar nýmæli og frávik frá reglugerðinni. Allt er þetta efnislega þegar til staðar í lögum í dag. Það er engin breyting þar á.
Ég vil víkja stuttlega að því, þar sem ég var sérstaklega spurð út í af hv. þm. Smára McCarthy sem vildi fá útlistun á því hvaða fjórar leiðir hefðu verið í stöðunni þegar kemur að upptöku gerðarinnar í EES-samninginn. Því er mjög vel lýst í fylgiskjali IV með þeirri þingsályktunartillögu sem ég var að mæla fyrir sem er álit Stefáns Más Stefánssonar, prófessors emerítus, á stjórnskipulegum álitaefnum. Í 4. kafla þar er fjallað sérstaklega um þessa fjóra þætti. Þar má nefna að í fyrsta lagi, sem hann telur reyndar síðast, hefði verið mögulegt að fela eftirlitsstofnun EFTA að taka bindandi ákvarðanir gagnvart eftirlitsvaldi í EFTA-ríki. Þá lá fyrir að Evrópusambandið myndi alls ekki fallast á þetta. Í öðru lagi var möguleiki að stofnað yrði EFTA-persónuverndarráð til að taka bindandi ákvarðanir líka. Það lá fyrir og var reynt til þrautar að semja um þetta við Evrópusambandið og það tókst ekki. Í þriðja lagi var útfærsla sem gerði ráð fyrir að persónuverndarráðið evrópska gæfi út álit eða tæki ákvarðanir sem yrðu svo ekki bindandi fyrir EFTA-ríkin. Það var heldur ekki fallist á þetta. Það eina sem var í stöðunni var í raun að Íslendingum og EFTA-ríkjunum var settur stóllinn fyrir dyrnar í því að gerast aðilar að þessu evrópska persónuverndarráði án atkvæðisréttar. Norðmenn voru reyndar mjög fylgjandi því svo að Íslendingar voru nú svolítið að synda á móti straumnum.
Að lokum vil ég segja þetta: Ég er þess alveg fullviss að evrópska persónuverndarreglugerðin, GDPR eins og hún er kölluð, mun taka efnislegum breytingum (Forseti hringir.) á næstu misserum og árum. Það er alveg óhjákvæmilegt. Mörg álitaefni munu koma upp. Þetta verður mörgum fyrirtækjum í Evrópusambandinu, miklu fremur en hér á Íslandi, þungt í skauti og evrópskum stjórnvöldum þungt í skauti þegar kemur að samningaviðræðum við stór ríki eins og Bandaríkin og Kína. Við skulum sjá hvert sú þróun leiðir en hún mun ná hingað líka á vettvang EES-samstarfsins. En ábyrgðin á þessu öllu er hjá Evrópusambandinu.
