Morgunblaðið - 16.08.2018, Blaðsíða 41

41
MORGUNBLAÐIÐ FIMMTUDAGUR 16. ÁGÚST 2018
Litbrigði Öll él birtir upp um síðir, segir máltækið, og hvað sem sumrinu líður leynast mörg gullkorn í náttúrunni. Í Húnavatnssýslu má til dæmis sjá hesta setja skemmtilegan svip á umhverfið.
Eggert
Rétt fyrir þinglok
samþykkti Alþingi
frumvarp mitt um ný
persónuverndarlög
sem innleiða reglugerð
ESB um sama efni
(skammstöfuð GDPR).
GDPR kom til fram-
kvæmda 25. maí í
ESB. Þingmenn höfðu
sumir á orði að frum-
varpið hefði komið of
seint fram og því gæfist þeim lítill
tími til að ræða það efnislega. Ég
benti hins vegar á að í raun hefði ég
lagt málið fram of snemma en tók
undir að æskilegt hefði verið að
málið hefði fengið lengri tíma hjá
þinginu. Þessi málsmeðferð á sér
hins vegar skýringu. Síðan þá hefur
borið á gagnrýni á form innleið-
ingarinnar, þ.e. að ekki hafi verið
stuðst við svokallað tveggja stoða
kerfi EES-samningsins. Sú gagn-
rýni er ekki ný af nálinni og kann að
eiga rétt á sér en það er þó ekki ein-
hlítt. Innleiðingin gaf mér hins veg-
ar tilefni til þess að íhuga stöðu ís-
lenskrar löggjafar í því
alþjóðasamstarfi sem við eigum.
Málsmeðferðin
Það er óvenjulegt að frumvarp til
laga sem ætlað er að innleiða lög-
gjöf ESB á grundvelli EES-
samningsins sé lagt fram á Alþingi
áður en viðkomandi löggjöf er form-
lega tekin upp í EES-samninginn.
Það var ekki fyrr en 6. júlí sl. sem
GDPR var tekin upp í EES-
samninginn. Ólíkt flestum gerðum
ESB sem Ísland þarf að taka upp á
vettvangi EES kveður GDPR á um
háar sektir á fyrirtæki sem ekki
hlíta gerðinni og miðla persónu-
upplýsingum til ríkja sem ann-
aðhvort hafa ekki innleitt GDPR (í
tilviki ríkja á EES-svæðinu) eða
hafa fengið sérstaka vottun er lýtur
að persónuvernd (Bandaríkin eru
dæmi um slíkt ríki en Kína ekki).
Evrópskir aðilar hefðu því þurft að
hugsa sig tvisvar um áður en per-
sónuupplýsingum var miðlað til m.a.
íslenskra aðila eftir að GDPR var
tekin upp í EES-samninginn í júlí ef
gerðin hefði þá ekki samhliða verið
komin inn í landslög. Af þessum
sökum taldi ég nauðsynlegt að
tryggja að frumvarpið yrði að lög-
um ekki síðar en þegar GDPR yrði
tekin upp í EES.
En hefði frumvarpið getað komið
fyrr fram? Nei, ekki svo nokkru
nemi, því að forsenda framlagningar
þess var að fyrir lægi með hvaða
hætti og hvenær GDPR yrði tekin
upp í EES-samninginn. Í þeim efn-
um var það skýr afstaða Íslands að
reyna til þrautar með samkomulagi
við samstarfsríki okkar í EES að
byggja á hefðbundnum aðferðum
EES-samningsins,
tveggja stoða kerfinu.
Það lá ekki fyrir fyrr
en um áramót að ekki
var samstaða um það,
hvorki af hálfu EFTA-
ríkjanna né ESB. Það
var svo ekki fyrr en í
apríl að drög að texta
fyrir upptöku GDPR í
EES-samninginn lá
fyrir. Í kjölfarið lagði
utanríkisráðherra fram
þingsályktunartillögu
um heimild til þess að
taka GDPR upp í EES-samninginn.
Í forföllum utanríkisráðherra mælti
ég fyrir tillögunni samhliða fram-
sögu um frumvarp mitt. Það hefði
verið enn undarlegra fyrir Alþingi
að fjalla um frumvarp mitt áður en
tillaga utanríkisráðherra var kynnt.
EES-samningurinn
EES-samningurinn einkennist af
því að vera tveggja stoða kerfi þar
sem EFTA-stoðin er látin spegla
samsvarandi stofnanir Evrópusam-
bandsins. Þannig höfum við tryggt
forræði á ákvörðunum okkar í sam-
hengi við EES-samninginn eins og
hægt er og því hafa íslensk stjórn-
völd ætíð lagt mikla áherslu á að
viðhalda því kerfi. Með upptöku
GDPR í EES-samninginn var vikið
frá tveggja stoða aðferðinni og þess
í stað er það evrópska persónu-
verndarráðið sem getur tekið
ákvarðanir er lúta að túlkun
persónuverndarreglugerðarinnar og
sem binda Persónuvernd á Íslandi.
Evrópska persónuverndarráðið er
nefnd forstjóra allra persónuvernd-
arstofnana EES-ríkjanna auk þess
sem fulltrúar Evrópsku persónu-
verndarstofnunarinnar og fram-
kvæmdastjórnar ESB eiga þar
seturétt. Við umfjöllun um hið nýja
persónuverndarfrumvarp komu
fram efasemdir um að sú einnar
stoðar nálgun sem valin var stæðist
stjórnarskrá og því er nauðsynlegt
að skýra þetta mál nánar.
Stjórnarskráin
Upp úr aldamótum hófst þróun í
ESB þar sem aukin áhersla var lögð
á að koma á fót sameiginlegum
stofnunum sem höfðu það markmið
að aðstoða framkvæmdastjórn ESB
við framkvæmd og þróun Evr-
ópulöggjafar á ýmsum sérsviðum.
Fyrst þessara stofnana var Mat-
vælastofnun Evrópu (EFSA), þá
Siglingamálastofnun Evrópu
(EMSA) og Flugöryggisstofnun
Evrópu (EASA). Þessar stofnanir
hafa fremur takmarkaðar valdheim-
ildir en þó getur EASA tekið
ákvarðanir sem eru bindandi fyrir
aðildarríki og lögaðila í aðildarríkj-
unum, svo sem flugvélaframleið-
endur og flugrekstraraðila. Í kjölfar
2008-kreppunnar var svo komið á
fót stofnunum á sviði fjármálaréttar
sem hafa ýmiss konar heimildir til
að binda stjórnvöld og lögaðila, þ. á
m. fjármálafyrirtæki á Íslandi.
Íslensk stjórnvöld hafa alltaf lagt
mikla áherslu á að tryggja að vald
til ákvarðana á sviði EES-mála fari
ekki til stofnana ESB heldur haldist
innan stofnana í samstarfi okkar,
sem eru helstar EFTA-skrifstofan,
Eftirlitsstofnun EFTA og EFTA-
dómstóllinn. Þetta er tveggja stoða
kerfið í hnotskurn. Rétt er þó að
hafa í huga að EES-samningurinn
bannar ekki að vikið sé frá tveggja
stoða kerfinu í einstaka málum,
enda hefur það verið gert nokkrum
sinnum og stofnunum ESB þannig
falið að setja reglur sem gilda á öllu
EES-svæðinu.
Þegar GDPR kom til umræðu fór
fram ítarleg greining á möguleikum
okkar til aðildar að regluverki ESB.
Þar sem slíkar lausnir þurfa að vera
ákveðnar í samráði við samstarfs-
ríki okkar lagði EFTA-skrifstofan
fram fjórar mismunandi leiðir til að
tryggja aðild okkar að evrópska
persónuverndarráðinu. Fyrsta leið-
in, sem á endanum varð fyrir valinu,
var að við ættum aðild að ráðinu og
hlytum úrskurðum þess án sér-
stakrar aðlögunar á grundvelli
EES-samningsins. Önnur leiðin fól í
sér hina hefðbundnu tveggja stoða
lausn þar sem Eftirlitsstofnun
EFTA tæki hina bindandi ákvörðun
samhliða ákvörðun evrópska
persónuverndarráðsins og þær yrðu
samhljóða. Sú þriðja var að evr-
ópska persónuverndarráðið gæti
tekið ákvarðanir sem væru ekki
bindandi heldur myndi stjórnvald
EFTA-ríkisins sjálft taka ákvörðun
sem hefði hliðsjón af ákvörðun ráðs-
ins. Og að lokum var sá kostur að
EFTA myndi spegla evrópska per-
sónuverndarráðið með sínu eigin
ráði. Í ljósi afdráttarlausrar afstöðu
ESB var það bara fyrsti kosturinn
sem kom raunverulega til álita.
Hér er um flókið samspil Evrópu-
réttar og íslenskrar stjórnskipunar
að ræða. Stefán Már Stefánsson
prófessor emeritus var fenginn til
að kanna þá kosti sem í boði voru.
Álitsgerð hans, sem byggði að veru-
legu leyti á fyrri rannsóknum hans
og Bjargar Thorarensen prófessors
frá árinu 2012, sagði að sennilega
væri tveggja stoða leiðin heppileg-
ust en fyrsta leiðin sem valin var
gæfi ekki gott fordæmi. Þó gætu all-
ar þær leiðir sem skoðaðar voru
staðist íslenska stjórnskipan. Að
sömu niðurstöðu komust aðrir sér-
fræðingar á sviði EES-réttar sem
leitað var til.
Þegar kom að samráði innan
EFTA-ríkjanna kom í ljós að Norð-
menn vildu hafa náið samstarf við
Evrópska persónuverndarráðið um
túlkun persónuverndarreglugerðar
ESB og því hugnaðist þeim í raun
bara fyrsti kosturinn. Róðurinn við
að tryggja tveggja stoða kerfið var
því þungur og niðurstaða samninga-
viðræðna samstarfsríkja okkar og
ESB varð fyrsta leiðin sem lýst var
hér á undan. Það er þó tekið skýrt
fram af öllum samningsaðilum
EES-samningsins með sérstakri
yfirlýsingu að hér sé ekki um for-
dæmi að ræða. Að sjálfsögðu er yf-
irlýsing sem þessi ekki bindandi.
Hún skiptir hins vegar máli í sam-
starfi okkar í EES, sem er í stöð-
ugri þróun. Þá er rétt að geta þess
að komið var til móts við Ísland að
nokkru leyti með því að við höfum
rýmri heimildir til að koma sjón-
armiðum okkar á framfæri innan
stjórnar Evrópska persónuvernd-
arráðsins við ákvarðanatöku en
venjan er í sambærilegum ráðum.
Þetta ferli, sem var á forræði
utanríkisráðuneytisins sem EES-
mál en dómsmálaráðuneytis sem
persónuverndarmál, var unnið í
nánu samráði við Alþingi og í mars
2018 samþykkti utanríkismálanefnd
Alþingis þá leið sem valin hafði ver-
ið eftir nákvæma skoðun á kostum
okkar og álitsgerðum helstu sér-
fræðinga. Fyrir liggur einnig ein-
róma álit stjórnskipunar- og eftir-
litsnefndar Alþingis um að það
framsal valds til Evrópska persónu-
verndarráðsins sem GDPR kvæði á
við um væri vel afmarkað og hvorki
íþyngjandi fyrir ríki né einstaklinga.
Hvers eðlis er framsalið?
Staða Íslands gagnvart ákvörð-
unum Evrópska persónuverndar-
ráðsins skiptir miklu máli. Íslensk
stjórnvöld hafa seturétt í ráðinu
með tillögurétt en án atkvæð-
isréttar. Hins vegar er afstaða
landsins færð til bókar í fundargerð
og við töku ákvarðana. Heimildir
Evrópska persónuverndarráðsins til
töku ákvarðana lúta eingöngu að því
hvernig túlka beri efnisákvæði
GDPR. Að þessu leyti er nið-
urstaðan í reynd ekki svo ólík því
sem gildir á tilteknum öðrum svið-
um þar sem íslensk stjórnvöld hafa
fallist á að alþjóðlegir dómstólar og
stofnanir geti túlkað tiltekna al-
þjóðlega sáttmála sem Ísland á aðild
að. Það myndi sennilega ekki
hvarfla að íslenskum dómara að
túlka Mannréttindasáttmála Evr-
ópu með öðru lagi en talið er heimilt
og skylt samkvæmt dómafram-
kvæmd Mannréttindadómstóls Evr-
ópu.
Eitt þeirra meginákvæða sem Ís-
land hefur undirgengist er holl-
usturegla 3. gr. EES-samningsins,
sem felur í sér að samningsaðilar, þ.
á m. Ísland, skuli gera allar viðeig-
andi almennar eða sérstakar ráð-
stafanir til að tryggja að staðið
verði við þær skuldbindingar sem af
samningnum leiðir. Aðilar samn-
ingsins skulu varast ráðstafanir sem
teflt geta því í tvísýnu að mark-
miðum samningsins verði náð. Í
næstum öllum tilvikum ber því ís-
lenskum stjórnvöldum að fara að
túlkun Evrópska persónuverndar-
ráðsins án tillits til þess hvaða út-
færsla af hinum fjórum mögulegu
hefði orðið fyrir valinu til að tryggja
aðild okkar að persónuverndar-
regluverki ESB og hvort heldur
bindandi ákvörðun væri tekin af
EFTA, Eftirlitsstofnun EFTA eða
Persónuvernd. Hér er því enn sem
komið er um formlegt álitamál að
ræða fremur en efnislegt.
Framhald EES
Með persónuvernd er leitast við
að tryggja þau grundvallarmann-
réttindi sem friðhelgi einkalífs er.
Það er mikilvægt að Íslendingum sé
búin sama réttarvernd og borgurum
ESB-ríkja. Um leið er mikilvægt að
tryggja að íslensk fyrirtæki hafi
sömu möguleika á að vinna með og
miðla persónuupplýsingum og önn-
ur fyrirtæki á EES-svæðinu. Þessi
sjónarmið vógu þyngst við úrlausn
þessa máls, bæði af hálfu utanríkis-
ráðherra og mín.
Á hinn bóginn er ekki óeðlilegt að
rædd sé framtíð EES í ljósi þróunar
ESB sem hér hefur verið lýst. ESB
hefur reyndar frá upphafi tekið sí-
felldum breytingum. Þeir sem
skuldbundu Ísland á vettvangi EES
máttu hafa gert sér grein fyrir því
og þá um leið að sú stöðuga þróun
kynni að hafa áhrif á samstarfið við
EES-ríkin. Þá hafa stjórnskipunar-
leg álitaefni blasað við Íslandi frá
því að EES-samningurinn öðlaðist
lagagildi hér árið 1993, bæði al-
mennt og í einstökum tilvikum. Al-
þingi tók hins vegar ákvörðun um
þátttöku okkar í EES og við höfum
svarað einstökum álitaefnum einnig
með ákvörðunum Alþingis. Það
breytir því ekki að það er sjálfsagt
og eðlilegt að velta fyrir sér á hverj-
um tíma hvort það gjald sem Ísland
greiðir fyrir þátttöku í EES, m.a. í
því formi að sætta sig við
úrskurðarvald utan Íslands fremur
en að reka sjálft enn eina ríkisstofn-
unina, skilar árangri fyrir þjóðina.
Það sama á reyndar við um allt það
alþjóðasamstarf sem Ísland á í.
Eftir Sigríði
Á. Andersen » Það er mikilvægt að
Íslendingum sé búin
sama réttarvernd og
borgurum ESB-ríkja.
Um leið er mikilvægt að
tryggja að íslensk fyrir-
tæki hafi sömu mögu-
leika á að vinna með og
miðla persónuupplýs-
ingum og önnur fyrir-
tæki á EES-svæðinu.
Sigríður Á. Andersen
Höfundur er dómsmálaráðherra.
EES og fullveldi