Forslag til ny personopplysningslov

Transkript

1 Forslag til ny personopplysningslov 1_Tittellysbilde Advokat Arve Føyen Leder IT-politisk Råd i DND 1

2 Overordnede betraktninger Erkjenner myndighetene økonomiske og administrative konsekvenser av forordningen? Svært mange virksomheter vil ikke være i stand til å innrette seg innen 25. mai neste år Kunne myndighetene på grunnlag av EØS-avtalen ha bevilget oss mer tid for å få bedre oversikt? 2

3 Regelrådet: Rødt lys 3

4 Endringer fra gjeldende rett Rettskilde- og fortolknings-messige endringer Vurderings- og dokumentasjonskrav «Alle» norske virksomheter (ref Art 30) må føre protokoll over behandlingen de gjør av personopplysninger - må klargjøres Krav til å ha personvernombud må klargjøres Forsterkede rettigheter for datasubjektene Behov for en unntakshjemmel for opplysninger som «utelukkende finnes i tekst som er utarbeidet for den interne saksforberedelse», jf. personopplysningsloven 23 bokstav e. 4

5 Endringer fra gjeldende rett (forts) Vurdering av personvernkonsekvenser (DPIA) Avgjørende at de behandlingsansvarlige vet når en slik vurdering må foretas, og hvilke metodikk som kan benyttes. Svært uklart hvilken metodikk som skal benyttes, og hvor grundig en slik vurdering skal være. Klar og tydelig veiledning fra myndighetene er en forutsetning for at denne ordningen skal ha den tiltenkte effekt heller enn å bli en unødvendig tidstyv 5

6 Behov for mer spesifikke lovhjemler for offentlige myndigheters behandling av personopplysninger Forordningen Artikkel 6 nr. 3 - Når behandlingsgrunnlag i egen lov: Utgangspunktet i GDPR er at formålet skal angis i loven Forholdet til særlovgivning som behandlingsgrunnlag er lite berørt i lovforslaget For å gi mest mulig likhet og rettssikkerhet bør det tilstrebes at særlovgivningen angir klart hvilke typer opplysninger som omfattes og for hvilke konkret angitte formål de kan behandles Kravene til klar angivelse av formål og rammene for behandling av personopplysninger skjerpes ved behandling av sensitive opplysninger, jfr artikkel 9 nr. 2, og Artikkel 10 6

7 7

8 Behovet for veiledning Datatilsynet gjør et betydelig arbeid, og kan støtte seg på andre lands tilsyn og på Artikkel 29 gruppen Fokuserer i betydelig grad på hensynet til individet på bekostning av hensynet til økonomisk aktivitet og fri flyt av varer og tjenester i Europa Forordningen griper grunnleggende inn på så vidt mange samfunnsområder at behovet for veiledning vil være betydelig større enn hva Datatilsynet kan gi med de ressursene DT får stillet til rådighet 8

9 Nasjonale regler om kameraovervåkning Ikke grunnlag for å videreføre dagens regler om kameraovervåkning, men grunnlag for å gi regler om kameraovervåkning av arbeidsplass hvor en begrenset krets av personer ferdes jevnlig Virkeområdet «arbeidsplass» er utydelig. Det må klargjøres bedre når man er innenfor særreglene om kameraovervåkning og når man er innenfor forordningens generelle regler. Ikke akseptabelt at det overlates til «praksis» hvordan reglene om informasjon om kameraovervåkning skal forstås dette er et helt sentralt spørsmål som må få sin avklaring før forordningen trer i kraft. 9

10 Nasjonale regler om innsyn i e-post De foreslåtte reglene om innsyn i e-post er i stor grad en videreføring av eksisterende regler på området. Dagens utbredelse av lett tilgjengelige private elektroniske kommunikasjonsmidler reduserer behovet for de strenge reglene man har i dag E-post er i dag bare én av mange kommunikasjonskanaler som brukes av arbeidstakere, i mange virksomheter foregår kommunikasjonen hovedsakelig i andre kanaler. Det gir derfor betydelig tolkningstvil når regelverket om innsyn i e- post, som er tilpasset denne kommunikasjonsformen, skal anvendes på det som nå kun nevnes som «mv.», og som omfatter Skype, Snap- Chat, Messinger, Facetime osv 10

11 Arve Føyen Mobil: E-post: 11