Forseti. Ég ætla að gera grein fyrir fyrirvaranum. Píratar eru á nefndaráliti meiri hlutans, en fyrirvarinn snýr að því að komið hefur í ljós eftir gestakomu að gríðarlegur kostnaður fylgir innleiðingu þessara laga og erfitt er að sjá eða nánast ómögulegt að sjá út frá núverandi fjármálaáætlun hvort gert sé ráð fyrir þessum aukna kostnaði. Eins og sagan hefur sýnt okkur hafa lyfjamál verið vanáætluð í fjármálaáætlun þannig að ég legg til að gætt sé sérstaklega að því að nægilegt fé verði til þess að fjármagna þann aukna kostnað sem kemur með þessum nýju lögum.
Virðulegi forseti. Við ræðum þennan doðrant sem datt inn hjá okkur í gærkvöldi. Mig langaði að fara yfir nokkur atriði sem maður rekur augun í við fyrstu sýn í þessu frumvarpi. Hér er fjallað um ýmis áhugaverð atriði, það er t.d. bætt hérna við notkun kennitölu sem ég geri ráð fyrir að sé ekki endilega í upprunalegu reglugerðinni. Það er talað um rafræna vöktun og vinnslu upplýsinga um fjárhagsmálefni og lánstraust og svo framvegis. Svo er í skemmtilegum kafla fjallað um réttindi hins skráða og takmarkanir á þeim, sem mig langar aðeins að vekja athygli á áður en ég fer út í hin atriði. Í 17. gr. stendur að heimilt sé að víkja frá ákvæðum reglugerðarinnar á grundvelli ákveðinna atriða og þar segir í 4. tölulið, með leyfi forseta, að víka megi frá þeim til þess að „koma í veg fyrir, rannsaka, koma upp um eða saksækja fyrir refsiverð brot …“ Það eru ákveðnar meginreglur um gagnsæi upplýsinga og rétt hins skráða. En það má víkja frá þeim ákvæðum til þess að koma í veg fyrir, koma upp um eða saksækja fyrir refsiverð brot. Þetta hljómar pínulítið fyrir mér eins og forvirkar rannsóknarheimildir. Það væri mjög áhugavert að nefndin færi betur yfir hvort svo sé og hvað þetta þýðir í raun og veru og hvort þetta sé hluti af upprunalegu reglugerðinni og hverjar takmarkanirnar á þessu eru. Mig langar að taka smá kennslustund sem tengist rafrænni vöktun, tengist í rauninni friðhelgi einkalífs og því að notendur búa oft til gögn sem snerta þeirra eigin friðhelgi, eigin persónu. Það er nokkuð sem heitir á ensku „location tracking“, eða að gefa upp staðsetningu og fylgjast með staðsetningu viðkomandi notanda. Það eru margir með þetta í gangi í símanum sínum til dæmis en þetta á líka við um staðsetningu og notkun hvers notanda á vefsíðum. Það er tækni sem heitir kökur eða vefkökur. Þetta er mjög áhugaverð viðbót fyrir notendur og vefsíður til að geyma upplýsingar um notandann, geyma hjá sér ákveðnar upplýsingar sem er hægt að endurnota næst þegar hann heimsækir síðuna, t.d. tákn fyrir innskráningu, þannig að hann þurfi ekki að endurtaka innskráningu á einhvern hátt og þar fram eftir götunum. Það er fullt af flækjum í þessu. En í þessari reglugerð er kveðið á um að það verði að taka fram hvort vefkökurnar noti þessa, á ensku, „tracking“-tækni eða þennan möguleika til að fylgjast með notandanum. Þetta virkar nokkurn veginn á þann hátt, ef ég reyni að útskýra þetta, að þegar notandi fer á vefsíðu nær hann ekki bara í eina vefköku frá vefsíðunni sem hann er að fara að nota heldur getur hann náð í fullt af öðrum vefkökum. Ég fór t.d. á einfalda vefsíðu sem fjallar aðeins um hvernig GDPR, persónuverndarlöggjöfin, virkar og útskýrir hana. Þar býður vefsíðan upp á að samþykkja að hún megi skrá þessar vefkökur um mig og gefur mér litla möguleika til að hafna því, það var bara einn takki, að samþykkja. Maður þarf að fara sérstaklega ákveðna bakdyraleið í gegnum aðra síðu þessa vefseturs sem útskýrir betur hvaða vefkökur er þar um að ræða. Á þessari einstöku síðu eru heilar 56 vefkökur sem tengjast mjög mörgum öðrum vefsvæðum, t.d. mjög mörgum Google-vefsvæðum og þarna eru AdaptTv, AddThis, AdMeta, Advertising.com, Aggregate Knowledge, Amazon Associates - þetta er heill haugur af öðrum aðilum sem fá að vita að þú eða þinn vafri heimsótti þessa fréttasíðu. Þá virkar það dálítið á þann hátt sem fólk kannast kannski við þegar það fer t.d. á Amazon og kaupir eða skoðar einhverjar vörur og þegar það fer síðan á þessa fréttasíðu eða margar aðrar síður sem tengjast Amazon, þessum vefkökum, þá kemur upp auglýsing frá t.d. Amazon eða Google sem veit um þessar upplýsingar, hvaða hlutur var skoðaður, og getur gefið tilboð eða auglýsingu eða því um líkt sem tengist notkun þess sem fer á vefsíðuna. Í þessari persónuverndarlöggjöf er sérstaklega fjallað um rétt notanda til að fá að vita af því hverjir fá upplýsingar um vefnotkun hans. En eins og var ljóst á t.d. þessari síðu er ekki endilega svo auðvelt að slökkva á því, ekki endilega sjálfsagt að fólk hugsi um það. Viðmótið sem mætir manni er í raun bara: Viltu nota vefköku eða ekki? Svo er lítill hjálpartakki ef fólk vill komast að einhverjum meiri upplýsingum. Upplýsingarnar sem mæta fólki eru einfaldlega risavaxið skjal af upplýsingum eins og allir kannast við þegar þeir eru búnir að setja upp nýjan hugbúnað, maður fær langan texta af notendaskilmálum sem hefur sýnt sig að fólk les ekki alla jafna. Fólk er gjarnt á að smella á Já. Það gerir að verkum að það að innleiða þessa löggjöf er í raun ekki nóg til að ná markmiðum hennar að öllu leyti. Jú, vissulega hefur fólk möguleika, ákveðna nýja möguleika, en skylda okkar að upplýsa fólk um réttindi sín liggur samt fyrir. Ef fjármálaáætlun ríkisstjórnarinnar er skoðuð er fræðsla vegna nýrrar persónuverndarlöggjafar einmitt markmið stjórnvalda, sem er gott og blessað. Þar er unnið að viðmiði 2023 að því að kynna hver réttindi fólks eru. Það eitt og sér er ágætismarkmið. En þar vantar algerlega inn eftirlitshlutann, þessa persónuverndarfulltrúa sem talað er um í frumvarpinu og hér hefur verið talað um í umræðunni að kosti þó nokkuð mikið, og alla þá fjármuni sem tengjast þeim hluta innleiðingarinnar. Það er ekki lítið af efni hérna. Það eru ákvæði t.d. í 22. gr. um réttindi tengd einstaklingsmiðuðum ákvörðunum sem byggjast á sjálfvirkri gagnavinnslu. Nú er maður að reyna að setja þetta í samhengi við alvörudæmi sem við höfum lent í á undanförnum árum. Maður hugsar kannski til máls Cambridge Analytica þar sem voru ásakanir um kosningaspjöll. Með þess háttar starfsemi var tvímælalaust beitt ákveðnum aðferðum til að greina hópa fólks í undirhópa og síðan beint að þeim ákveðnum tegundum af auglýsingum til þess að hafa áhrif á skoðanir þeirra í kosningum. Maður veltir fyrir sér hvort þær reglur sem eru komnar hérna myndu koma í veg fyrir slíka möguleika eða ekki. Það myndi alla vega hjálpa til í frumvarpinu ef það væri farið yfir þekkt dæmi sem skapa þörfina fyrir þessa nýju persónuverndarlöggjöf. Það væri hjálplegt að setja það t.d. í búning þeirra dæma sem við þekkjum á Íslandi eins og t.d. lekann hjá Vodafone á SMS-skilaboðunum. Ég nefni lekamálið sem varð í innanríkisráðuneytinu, tengt t.d. 48. gr. frumvarpsins um refsingar. Þar var ákveðinn einstaklingur sem braut af sér og það var dæmt fyrir það. En myndi sama dæmi leiða til harðari refsingar miðað við þann refsiramma sem er í 48. gr., þó að þar sé sérstaklega tiltekið að það þurfi að vera upplýsingar um fjölda skráðra einstaklinga en ekki bara eins eða tveggja eins og var í því máli? Það væri mjög gott að ná að ramma þessa umræðu inn í alvörudæmi sem við höfum á Íslandi. Ég myndi síðan að lokum aðeins vilja fjalla um nokkrar greinar í lokin á frumvarpinu. Þar kemur fram að lög um persónuvernd og meðferð persónuupplýsinga, nr. 77/2000, falla brott, sem er svo sem alveg eðlilegt, en í frumvarpinu segir í ákvæði til bráðabirgða II að reglugerðir svo og reglur, fyrirmæli og leyfi sem Persónuvernd eða ráðherra hafa gefið út á grundvelli laga nr. 77/200, sem falla niður, skulu halda gildi, enda fari þau ekki í bága við þessi lög, þ.e. þetta frumvarp, og reglugerðina. Í þeim lögum er ráðherra gefin heimild til að setja reglur. Þegar þau lög falla á brott er ráðherra ekki lengur gefin heimild til að setja reglur. Ég velti fyrir mér hvort reglurnar geti þá haldið þó að það sé sagt sérstaklega að þetta sé til bráðabirgða. Ég veit ekki hversu lengi þessi bráðabirgðaákvæði eiga að gilda. Ég velti fyrir mér hvort það sé eðlilegt að þau haldi gildi sínu. Þessu tengt er 54. gr. þessa viðamikla frumvarps, sem er breyting á öðrum lögum, 42 öðrum lögum. Þetta frumvarp hefur áhrif á fullt af reglugerðum líka sem þarf mögulega að skoða með tilliti til þess hvaða breytingum frumvarpið veldur og athuga hvort þær reglugerðir séu eðlilegar eða ekki og þá hvort þetta ákvæði til bráðabirgða sé eðlilegt í því ljósi. Eins og hefur komið fram áður er þetta ekki lítið frumvarp og ekki langur tími til að fara yfir það. Ég lít dálítið á 1. umr. sem ákveðinn samlestur okkar þingmanna sem hafa náð að fara hratt yfir það og finna einhverja ákveðna punkta þar sem við hlustum á hvað hver hefur fundið í þessu frumvarpi. Við erum einfaldlega að læra hvert af öðru. Þetta er það mikilvægt og stórt frumvarp að við megum ekki missa 1. umr. í að sleppa málinu beint til nefndar. Við verðum að nýta 1. umr. til þess að skoða þetta mál ofan í kjölinn áður en það fer inn í nefnd því að ef umsagnarfresturinn á að vera stuttur þurfum við enn frekar að nýta tímann í 1. umr. til að rýna málið ofan í kjölinn.
Virðulegi forseti. Við fjöllum hér um persónuverndarlög, við fengum 147 blaðsíður til þess að lesa fyrir minna en sólarhring síðan. Það er eiginlega vonlaust að átta sig á því nákvæmlega hvaða breytingar eru í þessum nýju lögum sem ekki voru í gömlu lögunum. Það sem veldur mér töluverðum áhyggjum er að í gömlu persónuverndarlögunum - ég held að orðið hafi mistök hjá löggjafanum í sambandi við almannatryggingalög - er heimilt að fara lengra út fyrir valdsvið í öflun persónuupplýsinga en ég hef nokkurn tímann séð gagnvart einstaklingum. Það er gagnvart einstaklingum sem eru undir verndarvæng Tryggingastofnunar ríkisins, sem eiga að vera skjólstæðingar Tryggingastofnunar ríkisins. Það eru ekki bara einstaklingarnir sem þar eru inni og eru á bótum hjá Tryggingastofnun, heldur makar þeirra líka. Búin eru til persónuverndarlög sem horfa fram hjá svona hlutum þar sem ekki er bara brotið gróflega gegn persónuvernd skjólstæðinga Tryggingastofnunar, heldur er líka brotið gegn mökum þeirra. Ef makarnir gefa ekki leyfi til ítarlegra persónuupplýsinga er hægt að loka á bætur til skjólstæðinganna. Í lögum um almannatryggingar segir, með leyfi forseta: „Þegar um hjón er að ræða er Tryggingastofnun heimilt, að fengnu skriflegu samþykki beggja, að afla upplýsinga um tekjur maka og greiðslur til hans hjá framangreindum aðilum ef þær gætu haft áhrif á fjárhæð bóta. Sama gildir um tekjur sambúðarfólks sem uppfyllir skilyrði fyrir samsköttun samkvæmt 3. mgr. 62. gr. laga um tekjuskatt. Telji umsækjandi, greiðsluþegi eða maki upplýsingar frá þessum aðilum ekki réttar skal hann leggja fram gögn því til staðfestingar.“ Síðan segir einnig: „Skortur á upplýsingum. Ef ekki reynist unnt að taka ákvörðun um bótarétt, fjárhæð og greiðslu bóta og endurskoðun þeirra vegna skorts á nauðsynlegum upplýsingum sem rekja má til umsækjanda, greiðsluþega eða maka hans er Tryggingastofnun heimilt að fresta ákvörðun og greiðslu bóta þar til úr því er bætt. Tryggingastofnun skal tafarlaust gera viðkomandi viðvart ef til frestunar kemur, skora á hann að veita nauðsynlegar upplýsingar og gera honum grein fyrir afleiðingum þess ef áskorun um að veita upplýsingar er ekki sinnt.“ Síðan kemur inn í þetta upplýsingaskylda annarra aðila. Þar er talið upp gagnvart þessum einstaklingum, með leyfi forseta: „Skattyfirvöld, Vinnumálastofnun, Þjóðskrá Íslands, Innheimtustofnun sveitarfélaga, Fangelsismálastofnun, Útlendingastofnun, ríkislögreglustjóri, Samgöngustofa, lífeyrissjóðir, sjúkrastofnanir, dvalar- og hjúkrunarheimili, sveitarfélög, Lánasjóður íslenskra námsmanna, viðurkenndar menntastofnanir innan hins almenna menntakerfis og skólar á háskólastigi skulu láta Tryggingastofnun í té upplýsingar með rafrænum hætti eða á annan hátt að því marki sem slíkar upplýsingar eru nauðsynlegar til að unnt sé að framfylgja lögum þessum.“ Það er allt undir. Ég segi: Hvar er persónuverndin? Þá skulu Tryggingastofnun og Sjúkratryggingastofnun á sama hátt skiptast á upplýsingum um mat. Annað er líka stórfurðulegt í sambandi við þessi mál Tryggingastofnunar ríkisins og Persónuverndar gagnvart því, þ.e. réttarstaða sambýlisfólks. Einstaklingar sem eru í óvígðri sambúð samkvæmt 7. lið 2. gr. almannatryggingarlaga, njóta sömu réttinda og bera sömu skyldur og hjón samkvæmt lögum. Um fjármagnstekjur sambýlisfólks fer samkvæmt 16. gr. og sameiginlegu lögheimili eða sambúð eftir öðrum og ótvíræðum gögnum lengur en eitt ár skal lagt að jöfnu við skráningu sambúðar í þjóðskrá. Það er undarlegt að Tryggingastofnun var á sínum tíma kærð til Persónuverndar fyrir svokallaðan bótasvikahnapp. Persónuvernd sagði að þessi bótasvikahnappur væri ólöglegur, Tryggingastofnun mætti ekki setja upp samsvarandi hnapp nema með leyfi Persónuverndar. En Tryggingastofnun setti upp hnappinn nú nýlega. Í sambandi við hnappinn sem var áður kemur fram að árið 2015 voru upplýsingar sendar til Tryggingastofnunar í gegnum svokallaðan ábendingahnapp sem sett var á heimasíðu stofnunar í því skyni að hver sem var gat í skjóli nafnleyndar látið Tryggingastofnun í té upplýsingar og nafngreint fólk. Í framhaldi fór fram rannsókn á högum þess, hvort það hefði látið réttar upplýsingar í té um stöðu sína. Persónuvernd úrskurðaði árið 2015 að þessar upplýsingar væru brot á lögum um persónuvernd. TR fjarlægði hnappinn í framhaldinu, en nú er hann kominn upp aftur. Eins og fram kom var óvíst um heildarfjölda ábendinga sem bárust á þessum tíma, en talað var um að 521 skjólstæðingur hefði verið tekinn til rannsóknar. Í þriðjungi tilfella, í 172 málum eða eitthvað álíka, var eitthvað á bak við en ekkert var sannað á tvo þriðju hluta þeirra í rannsókninni, 349 skjólstæðingar alls. Tryggingastofnun bætir við að það þýði ekki að ábendingin hafi ekki átt við rök að styðjast. En hverjir voru þessir einstaklingar sem verið var að reyna að ná með þessum blessaða hnappi? Jú, verið var að reyna að finna hjón sem voru að skilja að borði og sæng til þess að standa betur fjárhagslega, bjarga sér. Við hljótum að spyrja okkur að því hvers vegna í ósköpunum Persónuvernd lét þetta viðgangast. Mál um ábendingahnapp á vef Tryggingastofnunar ríkisins, nr. 2017/1003, var tekið fyrir á stjórnarfundi Persónuverndar 8. mars 2018. Var þar kveðinn upp svohljóðandi úrskurður, með leyfi forseta: „Sú vinnsla persónuupplýsinga, sem fram fer fyrir tilstilli ábendingahnapps á vefsíðu Tryggingastofnunar ríkisins, samrýmist lögum nr. 77/2000, um persónuvernd og meðferð persónuupplýsinga.“ Á þessum tíma var Persónuvernd með þessi nýju lög í vinnslu. Einhverra hluta vegna virðist hún horfa fram hjá því. Það er athyglisvert að skoða úrskurð Persónuverndar. Með leyfi forseta ætla ég að vitna beint í úrskurðinn þar sem eftirfarandi kemur fram: „[L]ögmaður hjá Öryrkjabandalagi Íslands, svaraði með bréfi, dags. 1. desember 2017, fyrir hönd kvartanda. Kemur þar meðal annars fram að TR hafi mátt vera ljóst að óheimilt væri að setja upp ábendingahnapp á ný án þess að slíkt yrði fyrst borið undir Persónuvernd, enda hafi þegar legið fyrir úrskurðir frá Persónuvernd um lögmæti slíkra hnappa TR. Einnig er mótmælt rökum TR um að sú vinnsla persónuupplýsinga, sem felst í ábendingahnappinum, sé nauðsynleg til að fullnægja lagaskyldu stofnunarinnar. Þá segir að ekki hafi heldur verið færð fyrir því rök að vinnslan geti talist þjóna almannahagsmunum.“ Við skulum átta okkur á því vegna hverra verið er að setja upp hnapp til þess að upplýsa um að þeir séu svikarar. Við erum að tala um veikt fólk. Við erum að tala um barnafólk. Við erum að tala um eldri borgara þessa lands. Við erum að tala um að þetta fólk sé þannig að það þurfi að setja upp svikahnapp vegna þess. Ég segi: Ef þetta er löglegt og má, þá verðum við að fara að setja upp svona hnappa hjá skattstofunni, stjórnsýslunni, og hér á Alþingi, nafnlausa hnappa, eða svo til nafnlausa. Það á að vísu að gefa upp nafn. Eftir því sem ég fæ best séð þarf að setja inn nafn sendanda og netfang. Hvaða nafn gæti maður sett þarna inn? Jú, Gróa á Leiti. Hvaðan sendir hún? Það getur verið úr hvaða netfangi sem er í sjálfu sér. Maður þarf bara að komast í einhverja tölvu sem annar aðili er jafnvel með. Það er hægt að komast í tölvur út um allt. Þá getur maður sent ábendingar til Tryggingastofnunar ríkisins um að einhver sé að svíkja bætur eða eitthvað og skrifað undir: Gróa á Leiti. Það gildir samkvæmt því sem Persónuvernd segir. Mig langar að benda á annað í sambandi við ný persónuverndarlög. Það er skrýtið að gömlu lögin - ég lenti í því sjálfur, þegar gömlu lögin voru í gildi, að sjúkraskrá minni var stolið. Ég segi bara: stolið. Ég vann málið í Persónuvernd. Ég vann málið í héraðsdómi. En Hæstiréttur segir: Þetta er í lagi í þetta sinn. Þarna er ég að tala um lækni. Hann fer úr Orkuhúsinu beint inn á bæklunardeild Landspítalans þar sem ég fór í aðgerð. Hann fór inn í gögnin á sínum kóða. Hann segir þegar honum er bent á þetta - af því að ég sé í niðurstöðu tryggingafélagsins að það hafi verið vegna aðgerðarlýsingar og eins og annars sem ég hafði aldrei séð og vissi ekki um. Ég benti á það en hann sagði að hann hefði aldrei farið inn í sjúkraskrána. Sjúkrahúsið segir: Nei, hann fór aldrei inn. En þegar IP-talan komst upp var sagt: Jú, hann kíkti inn. Persónuvernd segir: Hann fór inn. En spítalinn segir: Við berum enga ábyrgð á þessu. Þetta er alfarið mál læknisins. Málið er borðleggjandi. Undirskrift mín var hvergi. En hugsið ykkur. Til þess að ég fengi þessar upplýsingar sem hann gat náð í einn, tveir og þrír, þurfti ég að mæta upp á Landspítala. Ég þurfti að leggja fram skilríki, koma með skriflega beiðni um að fá þessi gögn. Ég þurfti að bíða í viku. Síðan þurfti ég að koma aftur, sýna aftur persónuskilríki, kvitta fyrir gögnunum. Það var mín aðferð til þess að ná þessum gögnum. En viðkomandi gat náð þeim bara af því að hann komst inn í tölvukerfið, hafði aðgang að því. Það undarlegasta í þessu samhengi er það voru rangar upplýsingar í þessum gögnum sem hann sagði að væru þarna. Það var bara rangt. Hvernig í ósköpunum eigum við að treysta persónuverndarupplýsingum eða persónuverndarlögum ef ekki er einu sinni hægt að verja sjúkraskrá þar sem eigandi þessarar sjúkraskrár hefur hvergi gefið skriflegt samþykki sitt og sá sem náði í gögnin hafði hvergi beðið um það? Við hljótum að gera þá lágmarkskröfu að einhver sjái til þess, þ.e. löggjafinn, við, að svona hlutir eigi sér ekki stað. Það er annað í þessum nýju persónuverndarlögum sem mér finnst alveg stórfurðulegt, að það eigi að búa til persónuverndarfulltrúa og vottunaraðila. Ég segi fyrir mitt leyti að þegar ég var að reyna að lesa í gegnum - það virðist engin regla gilda um þetta, það veit enginn hver á að borga þetta. Það má gera þetta, það má gera hitt. Hversu margir eru það? Hvað kostar þetta? Hvernig á að gera þetta? Hvaða krafa er gerð til menntunar þessara votta? Hvað eiga þeir að votta? Hvernig í ósköpunum eigum við að skrifa upp á þetta? Þetta er eins og ég myndi gefa opinn víxil fyrir einhverju sem ég veit ekki hvað á að nota í. Þessi persónuverndarlög þurfa mun meiri umræðu en við eigum að fá til þess eða því sem er reiknað með að eigi að fara í þetta. Ég myndi segja að best væri að fresta gildistöku þessara laga, taka þau gjörsamlega undir smásjá og tryggja að fólk sem er á lífeyrislaunum, fólk sem er á vegum Tryggingastofnunar, fólk sem er á sjúkraskrá, er að berjast við tryggingafélög, að það sé lágmarkskrafa að þessir einstaklingar geti varið sig og að persónugreinanleg gögn í sjúkraskrám verði ekki notuð gegn þeim til þess að hafa af þeim lögbundnar bætur.
Virðulegi forseti. Ég þakka fyrir ræðu hv. þingmanns og upptalninguna áðan og dæmið sem nefnt var um það þegar hjón eru að skilja og geta orðið fyrir skerðingu. Það er mjög merkilegt að fyrirkomulagið sé þannig að þegar fólk er skráð á sama lögheimili í ákveðinn tíma sé það allt í einu skráð í sambúð, eins og nefnt var hér áðan. Mér þætti gaman að vita hvort hv. þingmaður veit hvort það á bara við um fólk af gagnstæðu kyni eða hvernig það er. Mig langaði að vekja athygli á tveimur liðum 9. gr. þar sem eru almennar reglur um heimildir fyrir vinnslu persónuupplýsinga. Þar stendur í 3. lið, að vinnslan sé nauðsynleg til að fullnægja lagaskyldu sem hvíli á ábyrgðaraðila. Í 5. lið segir að vinnslan sé nauðsynleg vegna verks sem unnið sé í þágu almannahagsmuna eða við beitingu opinbers valds sem ábyrgðaraðili fer með. Það hljómar eins og þetta sé mjög víðtæk undanþága til þess að vinna með persónuupplýsingar ef lög eru samþykkt eins og til dæmis almannatryggingalögin sem hv. þingmaður vísaði í. Ég sé ekki, í þeim 42 lagabreytingum sem fylgja frumvarpinu, að einhverju sé í raun breytt í almannatryggingalögum hvað þetta varðar nema að orðið „vinnsla“ er notað í staðinn fyrir „meðferð“, það er mjög algeng breyting í þessu. Þá lítur út fyrir að það sé í raun engin breyting á þeirri framkvæmd sem hv. þingmaður fór hér yfir og ég tel vera mjög þarft innlegg í umræðu um þessi lög.
Virðulegur forseti. Ég þakka þingmanni þessar spurningar. Þetta er algjörlega rétt hjá honum, ég finn þetta ekki heldur. Þess vegna er ég mjög hræddur við þessa lagasetningu, það virðist engu breyta, eins og segir í textanum. Og þessi víðtæka heimild sem er til staðar plús það sem sagt er í sambandi við maka. Orðrétt segir, með leyfi forseta: „Einstaklingar sem eru í óvígðri sambúð njóta sömu réttinda, bera sömu skyldur og hjón samkvæmt lögum þessum. Sameiginlegt lögheimili eða sambúð eftir öðrum ótvíræðum gögnum lengur en eitt ár skal lagt að jöfnu við skráningu sambúðar.“ Nú er fullt af ungu fólki, kannski fjórir, fimm saman, að leigja eina íbúð. Ef þeir eru búnir að vera þar í eitt ár, og kannski tveir, þrír á bótum Tryggingastofnunar, búnir að vera saman í eitt ár, eru þeir þá orðnir hjón? Á að samskatta viðkomandi án þess að spyrja þá að því? Samkvæmt þessu má það. Ég segi bara: Hvar er persónuvernd þessara einstaklinga? Hvernig eiga þeir að verja sig gagnvart þessu kerfi? Ég segi fyrir mitt leyti að það er því miður farið ótrúlega illa með þá sem eru skjólstæðingar Tryggingastofnunar ríkisins að þessu leyti. Við verðum að bera alla vega smávirðingu fyrir því að við erum að eiga við veikt fólk, gamalt fólk og barnafjölskyldur. Það hlýtur að vera það síðasta að horfa á þá einstaklinga sem svikara eða eitthvað þaðan af verra.
Virðulegi forseti. Ég sé ekki ráðherra á svæðinu, hann hefði kannski áhuga á að kynna sér þetta. Aðeins tengt þessu þá heyrði ég nýlega af máli í fjölbýlishúsi. Fólk getur skráð sig í fjölbýlishús án þess að skrá sig sérstaklega í íbúð. Það er því hægt að vera skráður í fjölbýlishús án þess að nokkur viti að þú býrð þar. Íbúar fjölbýlishússins fá sendan póst og spurt er: Hvar býr þessi? Það eru líka dæmi um að tugir starfsmanna séu skráðir á lögheimili einhvers, þar sem er starfsmannaleiga eða eitthvað svoleiðis, þó augljóslega geti húsið ekki borið þann fjölda fólks. Maður veltir fyrir sér hvort þeir einstaklingar verði allt í einu samskattaðir. Kannski? Þeir hafa verið skráðir á sama heimilisfang, þetta getur verið dálítið flókið með fjölbýlishús. Ég er ekki alveg eins hræddur við þennan hluta af frumvarpinu, hvað þetta varðar, því að sjónum er meira beint að því að ákveðið samþykki þurfi og upplýsingu o.s.frv. En það ákvæði sem ég vísaði í hér áðan, og það sem hv. þingmaður talar um varðandi almannatryggingalögin, bendir einmitt til þess að þetta eigi ekki við um stjórnvöld eða stofnanir á einhvern hátt; þetta beinist að fyrirtækjum. Mér þætti voðalega gaman ef dómsmálaráðherra gæti kannski komið og skýrt þetta út fyrir okkur.
Virðulegi forseti. Ég þakka fyrir þessar spurningar. Ég hef miklar áhyggjur af þessum svikahnappi hjá Tryggingastofnun ríkisins sem ég tel stangast á við persónuverndarlög; það á að ganga þannig frá þeim lögum að þetta sé ekki hægt. Eins og ég segi, annaðhvort er þetta hægt hjá öllum eða engum. Mér finnst það alltaf mjög skrýtið þegar þeir sem eru verst settir og geta síst varið sig eru settir undir þennan hatt, en allir aðrir, tökum sem dæmi skattsvik og annað, eru ekki settir undir sama hatt og ekki horft á þá sömu augum, ekki grunaðir um svik. Af því að við erum að tala um veikt og slasað fólk. Það er ofsalega sárt að lenda í því - ég tala af reynslu - að lesa lýsingar í sjúkraskrám um sig og vita ekki einu sinni af þeim. Vita ekki hvort það er rétt, sem þú lest, eða hvort það er rangt. Þá þarf að fara af stað til þess að gá að því, svo kemstu að því að þetta er rangt; þú sannar að þetta er rangt og gerir allt rétt. En einhvern veginn enda hlutirnir á því að Hæstiréttur segir að það sé rétt sem var kolrangt. Í hvaða tilgangi, ef við förum að hugsa, var þetta gert? Jú, þetta var gert í einum tilgangi, þarna var brotið gróflega á mér, hvað varðar persónuvernd og friðhelgi einkalífs, með því að fara í sjúkraskrár, til að hafa af mér lögbundnar slysabætur, vegna tjóns í tryggðum bíl - tvítryggðum meira að segja, bæði ökumannstrygging og almenn trygging - af því að það var tilgangurinn. Þetta skelfir mig. Ég sé ekki í þessu frumvarpi að búið sé að breyta þessu eða gera neitt til þess að bæta úr því.
Frú forseti. Hér ræðum við mjög mikilvægt mál, frumvarp til laga sem tengist innleiðingarreglugerð sem snýst um grundvallarréttindi og frelsi einstaklingsins, ekki síst það sem snýr að vernd persónuupplýsinga. Það er ótrúlega gott til þess að vita að þetta mál sé á dagskrá, þ.e. það sem varðar réttindi einstaklingsins, að verið sé að færa okkur rétt yfir upplýsingum um okkur sjálf. Um það snýst innleiðingarmálið. Síðan snýst það auðvitað um samræmingu á eftirliti og ýmislegt annað. Í augnablikinu erum við hins vegar að ræða frumvarp sem er í rauninni tengt því. Þar er að sumu leyti verið að nýta svigrúm sem reglugerðin veitir. Þar hef ég spurningar og hugsanlega athugasemdir. Það er auðvitað ekki hægt að tala um þetta nema ræða aðeins meðferð málsins. Málið kom inn allt of seint, miklu seinna en boðað var, þrátt fyrir að margoft hafi verið kallað eftir því og þrátt fyrir að slíkt mál væri í farvatninu í mjög langan tíma, einhver ár, jafnvel tvö ár, og búið að ræða það hér. Ég hlýt að gera alvarlegar athugasemdir við það. Það að ætla þingmönnum að afgreiða málið á þeim nokkru dögum sem eru eftir af starfsáætlun þingsins er eiginlega óboðlegt, ekki síst í ljósi þess að nú eiga umsagnaraðilar, sem við hljótum að þurfa að reiða okkur mjög á, eftir að fara yfir þetta og nota til þess, skilst mér, tíu daga. Þá er töluvert lítið eftir af þinginu. Í umsögn um þetta mál frá 19. mars 2018 kemur fram að Samband íslenskra sveitarfélaga gerir verulegar athugasemdir við þennan hluta málsins. Í staðinn fyrir að tala um kosti reglugerðarinnar - sem ég held að gæti runnið greiðlega í gegn vegna þess að hún er eins og svo margt annað sem kemur frá Evrópusambandinu ótrúleg réttarbót fyrir einstaklinga og ef við neitum að samþykkja hana mun það hafa mjög víðtækar afleiðingar, bæði fyrir önnur EES-ríkin og ekki síður fyrir Ísland og þau fyrirtæki sem hér eru á markaði - vil ég einbeita mér að því frumvarpi sem er til umræðu og beina sjónum mínum að þeim sveigjanleika, því svigrúmi sem ráðherra hefur og nýtir sér til þess að víkja frá reglugerðinni. Það eru til að mynda mál um aldur, um hversu lengi eigi að geyma gögn eftir dauða fólks. En það sem mig langar sérstaklega sem fyrrverandi sveitarstjórnarmaður að beina augum mínum að eru stjórnvaldssektir eða heimildir fyrir þeim sem eru lagðar á opinber fyrirtæki, sem sum hver hafa ekkert val um að safna upplýsingum heldur er það hluti af lögbundinni skyldu þeirra. Við búum í litlu landi og því miður enn þá í umhverfi þar sem sveitarfélög eru mörg allt of veik og stofnanir þeirra enn þá veikari. Sektarákvæðin sem gefin er heimild fyrir eru allt of há. Við erum að tala um að hægt er að leggja 2,4 milljarða kr. stjórnvaldssekt á sveitarfélag. Það þarf ekki að hafa mörg orð um það hvaða afleiðingar það getur haft fyrir meðalsveitarfélag í landinu. Samband íslenskra sveitarfélaga spyr hver rökin séu fyrir því að gengið sé lengra við innleiðingu en í mörgum öðrum ríkjum, lengra en reglugerðin beinlínis krefst af okkur, og varar við því. Ég spyr líka: Af hverju er þetta? Í Austurríki t.d. er fallið frá því algerlega að hafa slíka sektarheimild inni á opinber fyrirtæki og í Svíþjóð og Danmörku er hún miklu lægri. Mér finnst þetta ámælisvert, ekki síst í ljósi þeirrar staðreyndar að sveitarfélögin inna af hendi sífellt stærri hluta af þjónustu við einstaklinga í landinu, hina svokölluðu nærþjónustu. Við höfum séð ákveðna tilhneigingu þess efnis að verkefni hafa verið færð frá ríki yfir til sveitarfélaga. Það er að mörgu leyti frábær hlutur vegna þess að reynslan hefur sýnt okkur að þjónusta sem veitt er í nærsamfélagi er líklegri til að vera betri. Þar er mögulega hægt að sýna meiri sveigjanleika og aðlaga þjónustuna betur að þeim aðstæðum sem eru uppi á hverjum stað. Bakhliðin á þeim peningi er að fjármagn hefur ekki fylgt þeim verkefnum sem er verið að færa yfir á sveitarfélögin. Það er verkefni sem ég held að sé eitt það brýnasta á þingi, að endurskoða skiptingu tekna milli ríkis og sveitarfélaga, en það er önnur umræða. Nú er verið að setja mjög íþyngjandi kröfur á sveitarfélögin sem eru sannarlega af hinu góða en menn verða hins vegar að hafa skilning á því að það er flókið mál fyrir þau að standast þær á skömmum tíma. Ég hefði þess vegna talið að ef menn á annað borð vilja beita sektarákvæðum verði að vera eitthvert meðalhóf í því. Menn hefðu átt að stilla því í hóf og ekki setja rekstur sveitarfélaga hugsanlega í uppnám. Við skulum ekki gleyma því að ef sveitarfélag lenti í þeirri hryllilegu stöðu að brjóta þessi lög hefði það ekki tök á neinu öðru en að grípa til skatttekna sinna. Og í hvað fara skatttekjur sveitarfélaga? Þær fara ekki inn á sjóði, svo mikið er víst, vegna þess að hvert einasta sveitarfélag borgar stóran hluta af aurum sínum, eins og ég sagði áðan, fyrir þá þjónustu sem ríkið er búið að skikka þau til að sinna. Það getur verið öldrunarþjónusta, málefni fatlaðra og annað. Við blasir sú staðreynd að sveitarfélag sem lendir í slíkum hremmingum þarf að nota af takmörkuðum skatttekjum sínum, sem eiga að renna til grunnþjónustunnar og að hluta til lögbundinnar grunnþjónustu, til að borga stjórnvaldssektir. Ég hefði því álitið að réttara væri að fara aðrar leiðir að þessu. Við vitum líka að því fylgir gríðarlegur kostnaður að innleiða nýju persónuverndarlögin hjá sveitarfélögum. Það mun hafa áhrif á fjárhag þeirra. Það er mjög merkilegt að þegar lög eru sett á Alþingi er lagt á þau fjárhagslegt mat, nema þegar þau beinast að þriðja aðila eins og sveitarfélögum, þá virðist það ekki skipta neinu máli. Mér hefði fundist að það mætti fylgja í greinargerð eða öðru fyrirheit um að þar sem þetta er íþyngjandi komi ríkið til móts við það með einhverjum hætti. Síðan er það hin hliðin á peningnum, að Persónuvernd, sem er falið að fylgjast með þessu og leggja áherslu á stjórnvaldssektir, er ekki í stakk búin til að sinna því með þeim mannafla sem hún ræður yfir. Það kom fram í ræðu hjá hv. þm. Helgu Völu Helgadóttur að forstjóri Persónuverndar hefði talað um að fjórfalda þyrfti mannaflann til að tryggt væri að þau gætu sinnt slíku eftirliti. Þá erum við komin að enn einum hlutnum, við erum í rauninni í spíral sem endar að lokum í tómri ógæfu, þ.e. við erum alltaf að setja ný lög með góðum ásetningi en sem er í raun ekki fyrirséð hvernig á að kosta. Það virðist vera þannig að ríkinu sé nokkurn veginn sama um það á meðan kostnaðurinn fellur ekki á það sjálft. Það er algerlega óboðlegt, ekki síst í ljósi þeirrar stöðu sem ég var að tala um áðan þar sem sífellt stærri hluti af rekstri þjónustunnar er hjá sveitarfélögum. Mér hefði fundist lágmark hjá ráðherra að taka með einhverjum hætti tillit til þeirra ábendinga sem koma frá Sambandi íslenskra sveitarfélaga, sem koma fram fyrir hönd sveitarfélaganna allra, alveg sama hvort þar búa hundrað og einhver þúsund manns eða nokkur hundruð - sem er auðvitað sjálfstætt vandamál - en það er ekki gert í því. Það er ekki hægt að bera því við að athugasemdirnar hafi komið seint fram vegna þess að þær eru, eins og ég sagði áðan, dagsettar um miðjan mars. Eins mikilvægt og mér finnst að greiða fyrir þingsályktunartillögunni og innleiðingunni á kannski mikilvægustu reglum sem við höfum séð í þinginu í mjög langan tíma og varða persónufrelsi, einstaklingsfrelsi og vernd gegn algerlega nýjum veruleika, þá sé ég ekki endilega þörf á því að við ruslum í gegn þessu frumvarpi, alla vega ekki því sem lýtur að íþyngjandi ákvæðum reglugerðarinnar. Ég hefði frekar talið að við ættum að nota þann sveigjanleika sem við höfum án þess að gefa eftir þegar kemur að markmiðum reglugerðarinnar og þeim ásetningi að verja persónu- og einkalífið. Við ættum frekar að laga ákvæðin að smæð Íslands og þeim sérstöku aðstæðum sem við búum við. Ég vil að ráðherra komi hér og skýri, einhvern tíma í þessari umræðu, hver tilgangurinn sé með því að halda inni svona stífum og íþyngjandi stjórnvaldssektarákvæðum á sveitarfélög og svari því hvort ekki komi til greina að fara sömu leið og Austurríki eða, ef menn telja það algerlega bráðnauðsynlegt sem aðhald að hafa þetta sektarákvæði á opinbera aðila, að sníða það frekar í átt við það sem við sjáum í Svíþjóð og Danmörku. Ráðherra sér sér ekki fært á að vera við umræðuna en hún hlustar væntanlega á upptökurnar, annaðhvort í Stjórnarráðinu eða seinna í kvöld eða á morgun, og þá er þessum skilaboðum komið á framfæri við hana. Það gengur ekki að annað stjórnsýslustigið í landinu, sem verður kannski það stærsta á endanum, sé skilið eftir án þess að því sé svarað.
Virðulegi forseti. Maður rekur augun í ýmislegt í yfirferðinni þegar maður les með öðrum þingmönnum. Í 5. gr. er einmitt talað um, svipað og hv. þingmaður byrjaði ræðu sína á, að ákvæði reglugerðarinnar gangi framar ákvæðum laganna sjálfra. Sérákvæði annarra laga, sem sett eru innan ramma reglugerðarinnar, ganga líka framar ákvæðum þessara laga. Fyrir mig býr þetta til nýtt lag af flækjum sem þarf að skoða með tilliti til þessara laga. Hvaða áhrif hefur reglugerðin á öll þessi lög og þær aðstæður sem geta komið upp í samfélaginu varðandi persónuverndarleka o.s.frv.? Hvernig er samspilið í þessu öllu og hversu nauðsynlegt er fyrir okkur að samþykkja nákvæmlega þetta frumvarp ef reglugerðin væri bara samþykkt? Ég held að við þurfum að fá dálitla útskýringu á þessu hjá ráðuneytinu, hjá dómsmálaráðherra. Ég skil ekki af hverju hún er ekki í salnum eða í hliðarsal til að útskýra þetta aðeins betur. Við erum að glíma við þrennt í rauninni, reglugerðina, þessi væntanlegu lög sem skipta út og breyta mörgum öðrum lögum og svo sérlög sem er ekki verið að breyta eins og hv. þm. Guðmundur Ingi Kristjánsson benti á, t.d. almannatryggingalög sem nota mikið af persónuupplýsingum. Hvernig breytist það þegar núverandi persónuverndarlögum er kippt burt og þessi sett inn í staðinn? Það kemur ný reglugerð sem hefur áhrif á þetta allt. Mig langaði að vita hvort hv. þingmaður sé eins ringlaður og ég [[Forseti hringir.]]í þessum graut sem er verið að búa til rétt í þinglokin.
Frú forseti. Já, ég er það. Auðvitað reynir maður að lesa sig í gegnum frumvarpið og átta sig á hinum góða ásetningi og hvernig hann getur þjónað okkur í nútímasamfélagi. En ég átta mig ekkert endilega á samspilinu. Ég býst bara við að hv. þingmaður, sem er stærðfræðingur, [[Gripið fram í.]]ja, a.m.k. tölvunarfræðingur [[Gripið fram í.]]en glöggur á munstur, ætti að vera mér fremri í því að átta sig á því. Ég sé það ekki. Þess vegna spurði ég í upphafi ræðunnar hvort ekki hefði verið einfaldara að við tækjum bara innleiðingarreglugerðina. Síðan gætum við rætt hitt en það kunna að vera einhverjir meinbugir á því. Nei, ég hef ekki yfirsýn yfir málið algjörlega, hvernig samspil þessara hluta er, og það er líka grafalvarlegt. Annað er að setja sig inn í þessi tvö mál, frumvarpið og þingsályktunartillöguna, og hitt að átta sig á öllu samspilinu og það á einni viku. Það finnst mér hættulegt og ömurlegt í jafn mikilvægu máli og þetta er.
Virðulegi forseti. Það var einmitt um orðin um einfaldleika málsins sem ég vildi veita hv. þingmanni andsvar. Eins og hv. þingmaður benti á eru þetta risastór mál. Þó að ég sé mjög æfður í að greina kerfi úr tölvunarfræðinni - ég er ekki stærðfræðingur - tekur einfaldlega tíma að rekja sig í gegnum alla þræði kerfisins og hvernig þeir spila saman, hvað þá önnur sérlög sem eru þegar í gildi og eru í persónuverndarnotkun. Þegar þingið tekur inn þingmál förum við í gegnum umræðuna, fáum álit sérfræðinga í nefndinni, reynum að skilja málið og komum að lokum í 2. umr. og reynum að útskýra málið fyrir fólki á mannamáli með okkar samvisku að leiðarljósi í því. Við sjáum einfaldlega fram á það núna í 1. umr. að reyna að klóra okkur í gegnum þetta og nota þann stutta tíma sem er eftir af þinginu til að púsla saman málinu til að geta útskýrt fyrir alþjóð hvernig þetta á að virka. Það er rosalega stórt verkefni. Þetta er miklu flóknara en fjármálaáætlun, hún er einföld í samanburðinum.
Frú forseti. Það sem gerir þetta líka svo flókið er þessi brjálæðislega breytti heimur sem við lifum í. Persónuverndarreglugerðin og löggjöfin eru tilraun til að sníða líf okkar að þeim veruleika og vernda okkur. Einhver greindur maður sagði einhvern tímann að siðvitið væri alltaf tveimur, þremur skrefum á eftir tækninni. Ég held að það sé alveg hægt að fallast á að það sé sannleikskorn í því þegar maður horfir á söguna, hvað þá þegar við lifum á tækniöld þar sem breytingar vaxa með veldishraða. Ég er alveg klár á því að siðvitið gerir það ekki. Við slíkar aðstæður held ég að það sé enn mikilvægara að hvert einasta skref sem við tökum og hver einasta tilraun sem við eigum til að bregðast við þessum nýja veruleika og þeim ógnum sem steðja að okkur sem einstaklingum sé yfirvegað og að við fáum ráðrúm til að skilja það og að almenningur skilji það á endanum. Það getur hins vegar vel verið að kerfið okkar virki þannig að farið sé að gera ráð fyrir því almennt að við séum stimpilstofnun og eigum ekkert að láta okkur þetta varða vegna þess að fólk uppi í ráðuneytum sé búið að lúslesa þetta og fara yfir það, að okkar meðferð á málum sé sýndarmennska, en þá erum við líka í alvarlegri kreppu. Ég held að við eigum að gefa okkur þann tíma sem við þurfum til að skilja þetta mál og afgreiða það vegna þess að ég hef enga ástæðu til að ætla að það sé einhver ljótur ásetningur á bak við það. Við þurfum hins vegar að skilja það, sérstaklega frávikin frá reglugerðinni. [[Gripið fram í: Heyr, heyr.]]
Frú forseti. Ég er að mörgu leyti sammála því sem hv. þm. Logi Einarsson fjallaði um. Áhyggjuefnin eru mörg. Ég hef miklar áhyggjur af því hvernig aðlögunin fór fram og það er ekki algerlega skýrt í mínum huga hvar mörkin liggja á milli GDPR-reglugerðarinnar annars vegar og þessa frumvarps sem við ræðum hins vegar liggja, hvort svokölluð gullhúðun hefur farið fram með viðbótum úr ráðuneytinu eftir þeirra höfði eða hvað. En úr því að hv. þingmaður talaði mikið um sveitarfélögin og ég virðist hafa fengið óendanlega tíma þá velti ég fyrir mér: Það eru greinilega margir sem hafa áhyggjur af sveitarfélögunum. Hv. þm. Birgir Þórarinsson talaði áðan um svipaða hluti. En persónulega hef ég miklu meiri áhyggjur af öðrum gagnagrunnum, t.d. fyrirtækja og stofnana annarra en sveitarfélaga, til að mynda þeim þúsundum gagnagrunna úti um allt land sem gætu hugsanlega fallið undir GDPR - eða ekki - vegna þess hvað 1. mgr. 4. gr. frumvarpsins er loðin. Ég velti fyrir mér hvort hv. þingmaður hafi leitt hugann að því hvernig umskiptin eiga eftir að verða fyrir t.d. bókasöfn og félagasamtök sem eru með námskeiðaskrár og annað slíkt sem gæti að einhverju leyti verið safnað sjálfvirkt - eða ekki. Sjálfvirknin skilur mikið svigrúm eftir til túlkunar í þessu ákvæði og ég veit ekki hvar mörkin liggja nákvæmlega [[Forseti hringir.]]í tilfelli sjálfvirkrar skönnunar á bókasafnskortum og álíka.
Frú forseti. Ég ætla ekki að gera lítið úr því að full ástæða er til að hafa áhyggjur af því hvaða áhrif þetta hefur á einkafyrirtæki og félagasamtök og allt það. Það er auðvitað sjálfstætt vandamál. Ástæðan samt fyrir því að ég tek upp það sem varðar opinbera aðila eins og sveitarstjórnir er að það eru aðilar sem hafa jafnvel lögbundnar skyldur til að safna upplýsingum, sem öll fyrirtæki hafa ekki endilega. Og vegna samspils ríkis og sveitarfélaga þegar kemur að rekstri. Ég er með öðrum orðum að nota þennan ræðutíma til að gagnrýna það að við getum tekið risastórar ákvarðanir sem varða annað stjórnsýslustig sem eru mjög íþyngjandi og kostnaðarsamar, stjórnsýslustig sem hefur enga möguleika á sama hátt og við til að grípa til aukinna tekjuauka án þess að eyða á það orði. Ég hef hins vegar alveg samúð með því sjónarmiði sem kemur fram í greinargerðinni, að það sé ákveðin sanngirni í því að gæta jafnræðis á milli opinberra aðila og einkaaðila. Ég er alveg sammála því. En fyrst og fremst er það þessi plagsiður okkar, eins og þegar við slógum öll saman höndum þegar við vorum búin að lögfesta NPA. Það var frábært mál og mjög stór stund hér inni en við gleymdum hins vegar að leysa minni háttar mál eins og hvernig ætti að fjármagna það. Þetta mál er kannski af sama meiði.
Frú forseti. Það er algerlega rétt að það er ekkert nýtt að ríkisstjórnin gleymi að fjármagna stórkostleg útgjöld eins og NPA var af hálfu sveitarfélaganna og það er eins með þetta mál því að ekki virðist vera gert ráð fyrir fjármagni til sveitarfélaganna. Það er vissulega áhyggjuefni. Kollegi minn gerði mér grein fyrir því milli andsvara að sú breyting hefur orðið á samfélaginu að fólk notar kannski síður bókasafnskort og meira líkamsræktarkort en engu að síður er það eitthvað sem veldur mér miklum áhyggjum, sjálfvirknin á t.d. Costco-kortum og hvaðeina. Það hvar mörkin liggja er svo mikið atriði í þessu öllu, hvort sem það gagnast sveitarfélögum eða öðrum. Í 1. mgr. 4. gr. frumvarpsins segir nokkuð óljóst að lögin og reglugerðin gildi um vinnslu persónuupplýsinga sem er sjálfvirk að hluta eða í heild og um vinnslu með öðrum aðferðum en sjálfvirkum á persónuupplýsingum sem eru eða eiga að verða hluti af skrá. Ég hef unnið í gagnagrunnsvinnslu síðan ég var tólf ára, með hléum, og ég er ekki viss um að ég skilji nákvæmlega hvaða áhrif þetta hefur. Það sem ég held að við þurfum að gera og spyr hv. þingmann að er: Getum við lagað þetta orðalag? Getum við verið skýrari um það hvar mörkin liggja? Ég veit ekki nákvæmlega hvernig við getum gert það en þarna er, held ég, ákveðið tækifæri til að vera skýr. Skortur á skýrleika í þessu frumvarpi held ég að geti verið rosalega skaðlegur fyrir stofnanir, sveitarfélög, fyrirtæki og einstaklinga.
Frú forseti. Já, algerlega, bæði ef orðalagið væri skýrara og kannski myndi það líka hjálpa manni að fá meira en tólf klukkutíma til að lesa það þannig að maður gæti áttað sig á því. [[Gripið fram í: Heyr, heyr.]]Ef hv. þingmaður áttar sig ekki á orðalaginu sem er tengt sérfræðisviði hans er lítil von að ég geri það. Á endanum skiptir þetta hins vegar ofboðslegu máli og ég held að við Íslendingar höfum sýnt allt of mikið gáleysi í meðförum persónuupplýsinga. Ég man fyrir 20 árum þegar ég var að byrja að slá mér upp með konunni minni og heimsótti hana suður til Reykjavíkur. Við ákváðum að vera róleg eitt kvöld og tókum okkur myndbandsspólu úti á leigu. Þegar ég ætla að borga hana segir gaurinn á kassanum: Þú ert búinn að sjá hana. Ég hafði aldrei tekið spólu annars staðar en á Akureyri. Við förum allt of gáleysislega með upplýsingar, kennitölunotkun okkar og annað. Ég held að þetta sé gott mál og við eigum auðvitað að fara vel yfir það vegna þess að það lýtur að frelsi okkar, friðhelgi og dýrmætustu gæðum. En það gengur ekki að rusla málinu í gegn á nokkrum dögum með einhverjum viðbótum eða öðru sem er í fyrsta lagi greinilega óljóst í salnum hverjar eru og hverjar ekki. En jú, ég held að það gildi almennt um lagatexta að hann megi færa til hversdagslegra og betra málfars.
Virðulegi forseti. Ég biðst afsökunar á því að hafa ekki verið alveg undir það búinn þegar forseti kallaði á mig í ræðustól, en svona er þetta stundum. Mig langar í upphafi að ræða aðeins vinnubrögð og framsetningu þessa máls. Ég ætla ekki að óska eftir því, hæstv. forseti, að ráðherrann sitji undir þessari ræðu, hún verður ekkert sérstaklega góð, en mér finnst kurteisi að ráðherrann sitji undir ræðum þingmanna. Ég ætla ekki að fara fram á að hún verði kölluð í salinn en vil koma á framfæri að það væri kurteisi af ráðherranum - og þarna er ráðherrann í hliðarsal.
Ég ætla að sitja hérna.
Gott hjá þér, hæstv. ráðherra. Hér ræðum við stórt mál en eðlilega hefur mikið verið gagnrýnt hvernig það berst til þingsins á síðustu metrum þingstarfanna. Það mjög sérstakt í ljósi þess að unnið hefur verið mjög lengi að því. Þá veltir maður fyrir sér hvort þetta sé vegna þess að stjórnarflokkarnir áttu í vandræðum með að koma sér saman um innihald málsins eða hvort vinnan var hreinlega svo mikil á lokasprettinum í ráðuneytinu að þetta tók það langan tíma. Það er svolítið sérstakt að á dagskrá þingfundar eru tvö mál tengd þessari umfjöllun, þ.e. annars vegar frumvarpið frá hæstv. ráðherra og hins vegar tillaga til þingsályktunar sem hæstv. utanríkisráðherra á að flytja. Í ljósi þess að þetta er gríðarlega stórt og mikið mál geri ég ráð fyrir að utanríkisráðherra mæti og flytji málið komist það á dagskrá í kvöld. Ég velti fyrir mér hvort ekki væri réttara að þingsályktunin væri á undan frumvarpinu því að frumvarpið byggir á þingsályktunartillögunni, eða eins og segir í inngangi tillögunnar, með leyfi forseta: „Alþingi ályktar að heimila ríkisstjórninni að staðfesta fyrir Íslands hönd fyrirhugaða ákvörðun sameiginlegu EES-nefndarinnar um breytingu …“ - o.s.frv. Ef við samþykkjum þetta er hægt að samþykkja lögin, koma þeim áfram. Mér finnst þetta svolítið undarlegt. En örlítið að frumvarpinu. Ég verð að viðurkenna að á þeim stutta tíma sem ég hef haft til að fara í gegnum þetta mikla plagg hef ég aðeins náð að skanna það. Ég hef ekki haft tækifæri til að leita álits eða ráðfæra mig um ákveðnar spurningar sem eðlilega hafa vaknað, enda er þetta viðamikið mál. Ég get tekið undir það með þeim þingmönnum sem hafa talað að mikilvægt er að sú réttarbót sem mér sýnist málið vera nái fram að ganga. Ég velti því hins vegar fyrir mér hvort ráðuneytið eða ráðherra gangi hér e.t.v. helst til bratt fram varðandi innleiðingu á ákveðnum breytingum á lögunum. Ég ætla ekki að fullyrða það en ég velti því fyrir mér. Ég hef ekki, eins og ég sagði áðan, getað leitað ráðgjafar um það. Á bls. 25 byrjar greinargerðin og þar stendur, með leyfi forseta: „Engu að síður er ráðgert í reglugerðinni að í allmörgum atriðum geti aðildarríki útfært einstök ákvæði og hafi svigrúm til að setja efnisreglur eða víkja frá ákvæðum reglugerðarinnar.“ Nú velti ég fyrir mér hvort í þessu mikla plaggi sé einhvers konar samantekt á því, hvort hægt sé að nálgast það á einum stað hvort Ísland í þessu tilviki víkji frá eða innleiði þetta með einhverjum öðrum hætti, hugsanlega ítarlegri hætti, en reglugerðin gerir ráð fyrir. Ég held því að mikilvægt sé, hæstv. forseti, að óska eftir því við ráðherra að þingið fái samantekt á því hvar og hvernig vikið er frá reglugerðinni eða hún útvíkkuð umfram það sem kveður á samkvæmt beinni innleiðingu o.s.frv. Ég held að það sé mikilvægt til að glöggva sig á málinu því að það er ekkert sérstaklega auðvelt að gera það, alla vega ekki fyrir okkur sem höfum ekki stúderað málið. Ég hef hins vegar fylgst með umræðum og í þingsal hafa verið einstaklingar, þingmenn, sem þekkja málið gríðarlega vel. Ég hef eins og nokkrir aðrir lagst aðeins yfir þessar sektarpælingar eða sektarhugmyndir og velt þeim fyrir mér. Það má lesa hér ákveðinn texta með þeim gleraugum að menn séu býsna stoltir af því að geta loksins innleitt alvörusektargreiðslur. Um er að ræða gríðarlega háar upphæðir og ef ég skil þetta mál rétt á ekki að gera mikinn greinarmun á því hvort það eru einstaklingar eða lögaðilar, en hins vegar kemur fram að taka eigi mið af launaþróun og fjárhagslegu umhverfi sem þetta getur verið í. Sveitarfélögin fjalla um þetta og Samband íslenskra sveitarfélaga hefur komið með athugasemdir þar sem það hefur áhyggjur af hinum óljósa hluta frumvarpsins sem lýtur m.a. að sektargreiðslum og hlutverki þeirra. Talað er um að vikmörk leiki á hundruðum milljóna kr., sem er kannski eðlilegt af því að þetta er nýtt. Það kemur vissulega fram í frumvarpinu, í greinargerðinni að mig minnir, að lítil reynsla sé af umfanginu og því renni menn svolítið blint í sjóinn með það. Það kann að vera þess vegna sem tölurnar eru það háar að maður staldrar við þær. Það er ljóst að kostnaður sveitarfélaganna verður töluverður. Það er hins vegar ekki að sjá að atvinnulífið, eins og það er gjarnan kallað, hafi gert sérstakar athugasemdir við kostnaðinn og telur í rauninni að frumvarpið sé til bóta. Ég dreg ekki úr því. Það er samt áhugavert að sjá að atvinnulífið hafi ekki lagst í athugun á því hvort þessu fylgir kostnaðarauki fyrir þann hluta samfélags okkar. Kannski er það hugmynd þeirra að svo sé ekki. Hér er talað um persónuverndarfulltrúa. Ég verð að viðurkenna að ég lagðist í að lesa um það allt saman en er ekki alveg kominn á þann stað enn þá að skilja hvort það var fyrirframmótuð hugmynd að slíkir persónuverndarfulltrúar yrðu til þegar farið var af stað í þessa vegferð, þ.e. af hálfu Evrópusambandsins, eða hvort þetta varð til á endasprettinum vegna þess að einhverjir þurftu að hafa þetta eftirlit. En það er eins og það er. Það er eitt sem ég velti fyrir mér og langar að spyrja hæstv. ráðherra að ef hún hefur tök á því að svara því í lok umræðunnar. Persónuvernd ákveður sektir, ákveður að beita dagsektum. Ef ég hef ekki misst af því í textanum sýnist mér að það sé endanlegur úrskurður að Persónuvernd ákveði þær, auðvitað eftir stærð meints brots og þess háttar. Það sem ég velti fyrir mér er hvort það sé einhver úrskurðaraðili sem hægt er að skjóta ákvörðunum Persónuverndar til. Það getur verið að það sé textanum og hafi farið fram hjá mér en ég velti fyrir mér hvort það sé eðlilegt að svo sé eða hvort menn vilji hafa það þannig að ef Persónuvernd ákveður að leggja 500 millj. kr. sekt á sveitarfélag eða lögaðila þá standi það. Kannski er hægt að sækja það fyrir dómstólum, ég þekki það ekki, man ekki hvernig það er orðað, en væntanlega er það þannig. Við höfum alveg dæmi um að hægt sé að skjóta svona ákvörðunum til úrskurðarnefnda. Ég velti fyrir mér hvort það sé eitthvað sem gæti átt við hér, en allt eru þetta vangaveltur. Annað sem kemur fram í greinargerðinni, ég held að þar sé verið að fjalla um 45. gr., er um refsiábyrgð. Það er þannig að í stað refsiábyrgðar koma stjórnvaldssektir og refsiábyrgð lögaðila aflögð og þá á það við hvort sem er um einkaaðila eða opinbera aðila að ræða. Það er nánar farið yfir þetta í 46. gr. Þetta eru ítarlegar útskýringar, sem er að sjálfsögðu mjög gott. Í umfjöllun um 46. gr. er fjallað um þessar upphæðir sem geta í lægri flokki verið frá 100.000 til 1,2 milljarðar kr. og í hærri flokki, ef ég hef náð því öllu saman, getur sektin verið allt að 2 milljarðar. Það sjá allir að það eru mjög fáir sem ráða við slíkar sektir. Ég er enginn sérfræðingur um það hversu háar upphæðirnar eiga að vera en þetta eru verulega háar upphæðir. Ég var búin að nefna vangaveltur um hvort ætti að vera hægt að skjóta slíkri ákvörðun til úrskurðar eða þess háttar. Virðulegi forseti. Þetta er gríðarlega umfangsmikið mál. Ég held að flestir séu sammála um að það sé væntanlega til bóta fyrir okkur einstaklingana, fyrir okkur sem höfum áhyggjur af því hvernig er farið með persónuupplýsingar okkar. Það er verið að skýra og herða á reglunum og á leikreglunum. Ég hef ekki þekkingu á því hvernig þær upplýsingar eru notaðar, litla þekkingu í það minnsta, en ég geri mér grein fyrir því að hægt er að misnota persónuupplýsingar eins og svo margt annað og eflaust er það gert. Við höfum svo sem séð og heyrt dæmi um erlenda aðila, eins og það fyrirtæki sem var nefnt í þingsal í dag, Cambrigde Analytica, ef ég man rétt, og eflaust eru þau fleiri. Það er því ástæða til að fagna því að reyna eigi að taka á eða girða fyrir að fyrirtæki eða aðrir sem kunna ekki að fara með svona upplýsingar noti þær á óeðlilegan hátt. Eitt af fylgigögnum frumvarpsins er álit Stefáns Más Stefánssonar prófessors, gert 14. desember 2017, um það hvernig hægt er að innleiða þetta út frá íslenskri stjórnarskrá, íslensku réttarfari o.s.frv. Þar er bent á leiðir sem hægt er að fara til þess að við göngum ekki of nærri framsali valds, sem okkur er óheimilt samkvæmt stjórnarskrá okkar. Það er mjög mikilvægt að sú nefnd sem fær málið til umfjöllunar, væntanlega allsherjar- og menntamálanefnd, gefi sér góðan tíma til að fara yfir það hvort í frumvarpinu sé gert nógu vel grein fyrir því hvernig að þessu öllu saman er staðið. Virðulegi forseti. Eins og ég sagði í upphafi ræðu minnar kemur þetta mál inn á síðustu metrum þingsins. Þetta er stórt og mikið mál. Það var sorglegt að fylgjast með umræðunni í dag, sérstaklega hjá stjórnarliðum, þegar við stjórnarandstaðan gagnrýndum málið. Mönnum fannst þetta ekki stórmál, sérstaklega fannst mér það koma fram hjá ráðherra málaflokksins og þingflokksformanni Sjálfstæðisflokksins, heldur hefðu þingmenn átt að vera búnir að kynna sér málið á netinu og látið í það skína að það ætti að duga. Það vekur okkur til umhugsunar um það hvort það sé almennt viðhorf að í lagi sé að koma með slíkt mál, svo stórt mál, inn í þingið og ætlast til þess að það fái sérstaka flýtimeðferð. Kannski er það vegna þess að við gerum okkur öll, held ég, grein fyrir því að mál þetta þyrfti helst að klárast í sumar þannig að allir sitji við sama borð innan Evrópska efnahagssvæðisins, en að sjálfsögðu verður að gæta vel að lagasetningunni og vanda til verka. Alþingi þarf að gefa sér tíma til að fara yfir málið og getur ekki látið slíkar dagsetningar reka á eftir sér. Það verður þá því miður að vera þannig að menn lendi vanda og klúðri með þetta en það er ekki er við Alþingi að sakast heldur stjórnarflokkana, sem bera ábyrgð á málinu, ef málið tefst á einhvern hátt. Ég vil hvetja nefndina sem fær málið til umfjöllunar til að gefa sér góðan tíma til að fara yfir það og óska eftir umsögnum, vanda mjög til verka og leita eftir áliti sérfróðra aðila telji menn þess þörf.
Frú forseti. Ég tek undir allflesta punkta sem hv. þm. Gunnar Bragi Sveinsson kom með. Mig langar að spyrja hv. þingmann hvort hann geri sér grein fyrir því sem hann minntist á með aðildarríkin, hversu mikið svigrúm þau hafa. Þetta er mjög áhugavert og í raun lykilatriði sem hv. þm. Gunnar Bragi Sveinsson talar um vegna þess að það er einmitt hlutverk okkar sem hér störfum að vita hvar þetta svigrúm er, hvar það liggur. Því hlýtur aðkoma okkar að því að teljast mjög mikilvæg og þurfa að gefa tíma í það. Varðandi sektargreiðslurnar sem hv. þingmaður minntist á er það mjög stórt og mikilvægt mál. Þarna eru gríðarlega háar fjárhæðir sem geta snert fyrirtæki á þann hátt að skera úr um hvort hægt sé að reka fyrirtækið áfram eða ekki. Ég spyr hv. þingmann hvort hann viti hvort íslensk fyrirtæki eru undirbúin eða ekki. Við í þinginu fengum þetta frumvarp í skóinn í nótt og því vil ég vita hvort íslensk fyrirtæki hafi haft einhverja vitneskju um það á undan okkur.
Virðulegi forseti. Ég þakka þingmanninum spurningarnar. Ég verð að viðurkenna að ég átta mig ekki alveg á því hversu víðtækt samráð var haft við gerð þessa frumvarp en ljóst er að a.m.k. Samband íslenskra sveitarfélaga og atvinnulífið, eins og það er kallað, komu eitthvað að málum, fengu að líta á og skoða þetta. Ég átta mig hins vegar ekki á því hversu ítarlegt það var og held að mikilvægt sé að nefndin kalli eftir ítarlegri umræðu og skoðunum frá þeim aðilum á málinu. Líkt og ég sagði ítrekað í ræðu minni áðan hef ég ekki náð að lesa þetta algjörlega ofan í kjölinn en eins og ég skil málið er töluvert svigrúm varðandi sektargreiðslurnar. Þess vegna held ég að mikilvægt sé að fá svör við því hvers vegna þessar upphæðir eru eða hvaða leið er farin, hvort hægt er að gera það öðruvísi o.s.frv. Ég held þess vegna að líka sé mikilvægt að fá þá samantekt sem ég nefndi í ræðu um það hvar er verið að bæta í eða víkja frá meginreglum eða þeim texta sem kemur fram í reglugerðinni frá Evrópusambandinu, hvar við göngum lengra, hvar við göngum skemur, ef það er einhvers staðar. Það tel ég að verði að lista upp fyrir okkur. Það er mikilvægt að það svigrúm sem menn hafa í lagasetningunni komi fram. Við vitum alveg að í mjög mörgum tilfellum er ákveðið svigrúm þegar við inleiðum reglugerðir frá Evrópusambandinu en því miður finnst manni stundum að við göngum býsna langt í innleiðingunni.
Frú forseti. Ég vil þakka hv. þm. Gunnari Braga Sveinssyni fyrir gott svar. Ég tek undir þetta með sektargreiðslurnar og hversu mikið svigrúm er þar. Þetta skiptir höfuðmáli á Íslandi af því við erum smærri þjóð en aðrar þar sem verið er að taka upp þessar reglugerðir. Því skiptir höfuðmáli hverjar sektirnar eru fyrir lítil fyrirtæki, eins og flest fyrirtæki á þessu landi eru.
Virðulegi forseti. Ég þakka hv. þingmanni þessi orð. Það eru ekki aðeins fyrirtækin sem maður hefur áhyggjur því að þessar upphæðir geta, ef menn fara ýtrustu leiðir í því öllu saman, reynst mörgum sveitarfélögum mjög erfiðar. Ljóst er að ef eitthvað sem er metið alvarlegt gerist í minni sveitarfélögum, hvort sem það gerist fyrir slysni eða hvernig það er, og ákveðið er að sekta viðkomandi sveitarfélag um 1,5 milljarða eða eitthvað slíkt er hægt að loka sjoppunni. Þá getur vel verið að það sveitarfélag teikni bara upp einhverja galna mynd og hægt sé að loka því. Það er mikilvæg að skýra hvernig á að beita slíkum sektum. Mér finnst það ekki koma nógu vel fram í frumvarpinu.
Frú forseti. Það var margt áhugavert í ræðu hv. þm. Gunnars Braga Sveinssonar, sérstaklega áhyggjur varðandi 45. gr. til og með 48. gr. þar sem fjallað er um refsirammana. Ég velti fyrir mér hvort hv. þingmaður óttist að með svona stórum refsiramma sé meðalhófsreglu ógnað. Ég þekki svolítið til þess þegar þetta mál var í þróun í Brussel og þekki margt af því fólki sem leitaði í gegnum Evrópuþingið og veit að það var svolítið þar verið að hugsa á þann veg að refsiramminn væri gerður, og sérstaklega sektarfjárhæðir væru gerðar svona víðtækar til þess að geta tekið á risavöxnum fyrirtækjum sem eru jafnvel með árstekjur upp á hundrað milljarða kr. sem þekkist náttúrlega ekki hér á Íslandi. En aftur á móti er hugsunin auðvitað sú að þetta ætti að vera notað innan eðlilegra marka. Komið hafa upp tilfelli á Íslandi, eins og t.d. þegar SMS-gagnagrunnur Vodafone lak hérna um árið, þar sem hefði átt samkvæmt þessu frumvarpi að beita mjög háum sektum. En er ekki líklegt að Persónuvernd eða það stjórnvald sem fer með þetta sektarvald myndi beita sektum í hóflegu mæli og fylgja meðalhófsreglu, vegna þess að það er ákveðið grunnprinsipp í allri okkar löggjöf?
Virðulegi forseti. Ég þakka þingmanninum fyrir þessar spurningar og vangaveltur. Ég náði aðeins að staldra við refsirammann í þessari hröðu yfirferð á annars ágætu máli. Ég treysti mér ekki til að svara því hvort það sé líklegt eða ólíklegt hvort Persónuvernd - og nú vil ég taka það fram, virðulegi forseti, að það er fjarri mér að efast um heilindi eða þekkingu eða getu starfsfólks þeirrar ágætu stofnunar til þess að taka slíkar ákvarðanir. Við þurfum bara að gæta vel að öllum réttaráhrifum í þessu, því að menn þurfa að geta borið hönd fyrir höfuð sér. Ég get ekki sagt um hvort það sé líklegt eða ólíklegt eða hvernig þessum heimildum verði beitt. En eins og fram kemur í textanum einhvers staðar í þessu mikla plaggi er gengið út frá því að menn gæti hófs við slíkar ákvarðanir. Talað er um launaþróun í landinu og eitthvað þess háttar og svo framvegis. Þá má hins vegar líka velta fyrir sér hvort hreinlega sé skynsamlegra þegar kemur að lögaðilum að miðað sé við einhvers konar veltu, þ.e. það sé hreinlega sett inn til viðmiðunar að veltutengja sektir, að þau fyrirtæki sem eru risastór og með mikla veltu viti ef þau gerast brotleg þýðir það nákvæmlega þetta. Það er ein leið. En ég hef aðeins smávegis áhyggjur af því að þeir sem telja Persónuvernd, í þessu tilviki, brjóta á sér með því að sekta eða eitthvað slíkt, þurfi að leita til dómstóla til að fá úr því skorið - ég velti fyrir mér hvort allir ráði við slíka ferð fyrir dómstóla og hreinlega út frá kostnaði.
Frú forseti. Ég get að mörgu leyti tekið undir þetta. Það er alltaf hættan þegar refsiramminn er stór að hann verði síðan nýttur. Ef mig misminnir ekki er í persónuverndarreglugerðinni sjálfri einmitt talað um veltutengingu upp á - hvort það var 1% af heildarveltu yfir árið, ég man það ekki alveg. En hvort það endurspeglast síðan í frumvarpinu er ágætisspurning. Ég veit ekki hvort hv. þingmaður hafi náð að lesa frumvarpið á þeim örstutta tíma sem við höfum fengið til þess. Ég hef ekki náð því sjálfur. Ég hef varla náð að renna yfir það í snöggheitum. En ég óttast samt, og það væri áhugavert að heyra sjónarmið hv. þingmanns á því, að það hvað refsiramminn og sektaramminn eru stórir gæti orðið til þess að hugsanlegir þjónustuveitendur, fyrirtæki verði bara hreinlega hræddir við að bjóða upp á þjónustu, að það muni letja nýsköpunaratvinnu, letja útvíkkun á þjónustuformum, að þetta muni hreinlega draga úr möguleikum okkar á framþróun í framtíðinni. Náttúrlega hinn möguleikinn sem ég held að hafi alltaf verið grundvallarskilningurinn í reglugerðinni er að það verði í stað þess farið að stunda það sem Martin Fowler kallaði „Datensparsamkeit“ á þýsku, með leyfi forseta, sem kalla mætti gagnanísku eða gagnasparsemi, sem snýst um að halda í algjöru lágmarki þeim gögnum sem safnað er um persónur í eðlilegri meðferð og þar með takmarka mjög verulega hættuna á því hvað umfangsmikill leki fyrir slysni, handvömm eða innbrot eða hvað, geti valdið miklum skaða. En ég held þessi ótti við að fara af stað og bjóða upp á þjónustu á annað borð gæti alveg orðið raunverulegur.
Virðulegi forseti. Ég þakka hv. þingmanni fyrir. Þetta er mjög áhugaverð spurning. Ef menn þora ekki að fara í ákveðna þróun eða nýsköpun vegna þessara gríðarlega háu sekta er það vitanlega slæmt, því að verið er að draga úr þeirri nýsköpun sem við þurfum svo mikið á að halda. Menn tala gjarnan um að þurfum að fara inn í nýja öld, um fjórðu iðnbyltinguna og allt það sem fer inn í allar góðar ræður hjá ríkisstjórninni þessa dagana. Þá verða menn vitanlega að passa að þetta virki ekki letjandi fyrir það. Á móti kemur að viðkomandi aðili sem er að þróa eitthvað getur leitað sér ráðgjafar og fengið aðstoð, mögulega frá yfirvöldum, kannski Persónuvernd og leitað til þeirra, en væntanlega kostar það peninga. Þá er spurning hvort verið sé að auka um leið þróunarkostnað með þessu og kostnað þeirra sem eru að reyna að gera eitthvað sniðugt úr upplýsingum, sem ég held að engum detti í hug að sé slæmt að séu nýttar, sé það gert með eðlilegum og réttum hætti. Í það minnsta myndi ég ekki vilja fara einhverja áratugi aftur í tímann þar sem ekki væri hægt að nýta upplýsingar sem menn geta safnað saman. En þetta er vandratað. Gagnasparsemi. Ekki hefði það nú hvarflað að mér, en það er vissulega mjög áhugavert að menn eða fyrirtæki og stofnanir fari hreinlega fari að halda að sér höndum þegar kemur að því að safna gögnum eða vinna úr gögnum, af ótta við að lenda einhvers staðar úti á túni, ef má orða það þannig. Þarna þarf að finna meðalveg. Það er einfaldlega þannig. Ég vona svo sannarlega til þess að nefndin fari vel yfir málið og reyni að finna lausnir á þessum spurningum. Það er mikilvægt að fá svör við þeim í það minnsta. Ef eitthvað er óljóst í þessu öllu saman þurfum við einfaldlega að skoða hvort breyta þurfi frumvarpinu með því að fresta einhverjum ákvæðum eða draga úr eða eitthvað þess háttar.
Frú forseti. Af andsvörum mínum hingað til er líklega orðið ljóst að ég gæti talað um þetta mál í mjög lengi, vegna þess að ég hef verið að fylgjast með því liggur við frá því að fyrst var talað um það hjá Evrópusambandinu. Ég fór að ræða það við fólk þar úti sennilega seinni hluta árs 2012 og það er svolítið lýsandi fyrir vandamálið sem við stöndum frammi fyrir í dag. Þetta frumvarp kom fram í gærkvöldi. Við höfum vitað að það væri í vændum síðan 2012 og alveg frá því að það var tekið upp í Evrópurétti 2016 hefur verið útbreiddur skilningur á því að þetta væri eitt stærsta mál komandi ára. Þetta er gríðarlegt framfaraskref fyrir persónuvernd, hugsanlega mesta framfaraskrefið í mjög langan tíma, en fúskað hefur verið stórkostlega af hálfu ríkisstjórnarinnar við meðferð málsins og ríkisstjórnin dregið lappirnar í því. Það hefur t.d. margsinnis í dag verið vísað í drög sem voru í samráðsgátt upp á 26 blaðsíður en frumvarpið sem við erum núna með er 147 blaðsíður með 90 blaðsíður af skýringum sem eru mestmegnis nýjar. Það lýsir að mínu mati ótrúlegri vanvirðingu gagnvart þinginu að okkur sé gert að vinna málið á hundavaði. Tafirnar valda skaða. Það skiptir ekki máli hverjum þær eru að kenna vegna þess að fyrirtækin í landinu þurfa á þessu að halda hið snarasta. Lokaorðin í frétt dómsmálaráðuneytisins um daginn um nýja persónuverndarlöggjöf frá 25. maí voru ekki einungis röng, þau voru mjög óábyrg. Þar segir, með leyfi forseta: „Millibilsástandið sem myndast milli gildistöku GDPR-reglugerðarinnar í ESB og upptöku hennar í EES-samningnum ætti því ekki að valda truflunum á notkun persónuupplýsinga á innri markaði EES.“ Þetta er ósatt vegna þess að í millibilsástandinu þurfa öll íslensk fyrirtæki sem veita þjónustu sem fellur undir GDPR að svara neitandi þegar þau eru spurð hvort GDPR hafi verið lögfest hér á landi. Það mun kosta þau viðskipti. Ég veit ekki hvort það hafi gert það nú þegar, en það hlýtur að koma til með að gera það. Ég veit að það eru fyrirtæki úti í bæ sem hafa unnið hörðum höndum að því að undirbúa sig fyrir GDPR og eru hissa á því að þau skuli vera tilbúin en löggjöfin ekki. En nóg um það í bili. Efnisatriði frumvarpsins eru ótrúlega víðfeðm og eins og ég sagði áðan hef ég ekki náð að lesa allt frumvarpið. Ég náði að skima hluta af því en ég er ekki viss um að ég skilji það allt, hreinlega vegna þess að svo margt er óljóst. Eitt tiltekið atriði sem ég átti í vandræðum með er 1. mgr. 4. gr., hún stoppaði mig í nokkra klukkutíma í hugsun vegna þess að það er svo ótrúlega margt sem er á gráu svæði í þeirri tilteknu málsgrein og gæti valdið vandræðum. Hugsanlega næ ég að lesa allt saman fyrir 2. umr. en núna er fínt að fara yfir GDPR, kosti þess og galla og þær hættur sem við þurfum að vera meðvituð um þegar málið fer til nefndar til frekari meðferðar. Fyrsta atriðið þar, í dálknum Kostir, er að mjög lengi hefur verið mikil viðleitni hjá fyrirtækjum til að finna efnahagslegan grundvöll undir starfsemi sína á netinu. Það hefur oft skilað mjög sérstökum viðskiptalíkönum, m.a. hefur orðið til gríðarlega verðmætur iðnaður sem snýst hreinlega um að njósna um fólk með einhverjum hætti og nota upplýsingar sem er safnað um það í ýmsum tilgangi, ýmist til að markaðssetja vörur til þess eða selja gögn til kosningaherferða og annað, eins og í tilfelli Cambridge Analytica og reyndar fleiri fyrirtækja. Strax á fyrstu dögunum eftir að GDPR tók gildi hjá Evrópusambandinu fóru fyrirtæki sem hafa það að tekjulind sinni að njósna um almenning og markaðssetja þær upplýsingar í baklás. Fjölmargir hafa vissulega rangtúlkað GDPR og gripið til aðgerða sem voru óþarfar og sumir hafa túlkað GDPR sér í hag og neytt notendur sína til að samþykkja áframhaldandi njósnir, enn aðrir hafa ákveðið að sniðganga GDPR vísvitandi. Eitt dæmi sem sló mig svolítið var að Washington Post hefur ákveðið að bjóða upp á þrjár áskriftarleiðir, ein þeirra er frí áskrift þar sem haldið er áfram að njósna um fólk, önnur er áskrift sem fólk borgar fyrir en þá fá menn líka njósnir og þriðji valkosturinn er dýrastur og Evrópusambandssamþykktur og þar losna menn við allar njósnir. Það er ekki í anda GDPR og fer á svig við það því að ef eina markmið GDPR væri að bjóða upp á nýja leiðir fyrir fólk til að borga meira fyrir að láta ekki njósna um sig þá held ég að þetta hefði getað verið töluvert styttra frumvarp. Kannski er rétt að skýra frá því að inngangslína 171 í reglugerðinni sjálfri skýrir að ekki er nauðsynlegt að leita samþykkis aftur sé samþykki þegar til staðar fyrir einhverri þjónustu, svo fremi sem samþykki er bæði innan marka GDPR og skrásett skýrt. Þar sem reglugerðin tók gildi síðastliðinn föstudag höfum við á síðustu dögum séð áhrifin byrja að myndgerast. Það er t.d. búið að leggja fram kæru á hendur nokkrum netrisum, m.a. Facebook, þar eru fjárkröfur upp á 3,9 milljarða evra, og á hendur Google, með kröfum upp á 3,7 milljarða evra. Þarna er fólk náttúrlega að einhverju leyti að reyna að misnota aðstæðurnar og kannski er líka ákveðið skilningsleysi fyrir hendi, en að einhverju leyti er hreinlega verið að nota tækifærið til að refsa fyrirtækjum sem hafa stundað slíka njósnastarfsemi mjög lengi og í rauninni gert út á það að selja upplýsingar á einu eða öðru formi. Þó svo að þetta geti verið hart gagnvart fyrirtækjum myndi ég setja það í jákvæða dálkinn. Það er svo margt í því sem byggir á því að færa valdið til notendanna um það hvernig þeir stjórna netnotkun sinni, stjórna persónu sinni, eins og hún raungerist gagnvart fyrirtækjum og öðrum sem eru á netinu. Aðstæður einstaklinga eru mjög flóknar. Fyrirtæki bera auknar skyldur samkvæmt þessu til að upplýsa notendur um til hvers upplýsingarnar eru ætlaðar, jafnvel án þess að einstaklingarnir leiti sérstaklega eftir því, og einstaklingar hafa rétt á afriti í almennt notuðu sniði af öllum persónuupplýsingum sem fyrirtæki eiga um þá. Þetta eru atriði sem kosta töluvert mikla vinnu að útfæra en er eitthvað sem fólk hefur af ýmsum ástæðum farið fram á í mörg ár. Hingað til hefur eini valkosturinn t.d. í tilfelli sumra félagsmiðla verið að senda póst og biðja um að fá sendan geisladisk með afriti af öllum persónuupplýsingunum. Það er jákvætt að við brot gagnvart einstaklingi sé ekki aðeins miðað við mistök við meðhöndlun heldur þurfi fyrirtæki að sýna fram á það öllum stundum að meðhöndlunin sé lögum samkvæmt. Sönnunarbyrðin flyst yfir á aðilann sem fer með persónuupplýsingarnar, án þess að neitt sérstakt hafi komi fyrir eða annar aðili leiti réttar síns. Það er ekki lengur hægt að skýla sér á bak við einhvers konar ætlað samþykki til dreifingar eða fólgið samþykki, eins og er reyndar mjög oft gert í meðförum mála í nefndum Alþingis þar sem formenn segjast ganga út frá því að málið sé samþykkt og það ekki rætt nánar. Samkvæmt þessu á fólk skýlausan rétt á því að vita nákvæmlega hvað á að gera við upplýsingarnar, hvað það er að fara að samþykkja og samþykki verður að vera þeim fullkomlega ljóst. En það eru gallar í GDPR. Þó svo að Píratar séu almennt sammála markmiðunum eru ákveðin vandamál. Það eru kannski fyrst og fremst ófyrirséðu áhrifin. Hv. þm. Gunnar Bragi Sveinsson ræddi áðan um hættuna á því að þetta dragi úr nýsköpun, letji fólk til að bjóða upp á nýjar tegundir af þjónustu og þar fram eftir götunum. Þetta verður þungt fyrir rekstur margra fyrirtækja sem þarfnast mikillar aðlögunar, ekki síst í upplýsingaöryggi, sem er reyndar orðið löngu tímabært að sé bætt, en líka almennt gagnvart því hvernig við geymum gögn og hversu miklu af gögnum við erum að safna. Út af fúski ríkisstjórnarinnar fá íslensk fyrirtæki almennt minni aðlögunartíma en fyrirtæki í Evrópu þar sem nákvæmar lagaútfærslur voru jafnvel tilbúnar heilu ári áður en allt saman tók gildi 25. maí sl. Útfærslan á Íslandi var fyrst að koma fram núna og þetta tekur hugsanlega gildi eftir tvo til þrjá mánuði, eftir því hvenær sameiginlega EES-nefndin lýkur störfum. Jafnframt hafa komið kynningarpésar frá Persónuvernd, sem voru alveg frábærir, en þess utan hafa komið fram afskaplega takmörkuð skýringargögn frá sérfræðingum, stofnunum, ríkinu, um það hvernig aðlögun eigi að eiga sér stað hjá fyrirtækjum. Síðan eru flóknari áhrif. Ég minntist á áðan í samtali við hv. þm. Loga Einarsson að bókasöfn, Costco, líkamsræktarstöðvar og álíka fyrirbæri, sem safna á einhvern hátt gögnum hálfsjálfvirkt í gegnum eðlilega notkun á kortum sínum og kerfum, falla innan gráa svæðisins sem ég nefndi áðan, í 1. mgr. 4. gr. frumvarpsins, þar sem talað er um sjálfvirka vinnslu að hluta eða í heild. Það skilur eftir mikið rými til túlkunar. Er það sjálfvirkt þegar skanni er notaður af einstaklingi til að fletta sjálfvirkt upp í upplýsingum um viðskiptavini í einhverri skrá, t.d. í verslun? Eða er það sjálfvirkt ef skanni er notaður til að bæta bók á útlánaskrá viðskiptavinar á bókasafni eða hvaðeina? Svo eru það allar hinar skrárnar. Ein mikilvægasta skráin á netinu er skrá sem nánast enginn hefur heyrt um, en það eru DNS/WHOIS-kerfi. Þau eru mikilvæg undirstaða bæði gagnsæis og rakningarábyrgðar á netinu en ekki er ljóst hvort rekstur DNS-kerfa með opinberum upplýsingum um eigendur léna og IP-talnasviða sé í andstöðu við GDPR. Það er opin spurning. Annars vegar er hægt að segja að kaupendur léna eigi að vera meðvitaðir um að upplýsingar þeirra verði birtar í WHOIS-gagnagrunninum, en hins vegar má líka ganga út frá því að margir séu alfarið ómeðvitaðir um það, þar sem þeir vita jafnvel ekki að gagnagrunnurinn er yfir höfuð til, og ætlað samþykki af því tagi er með öllu bannað í GDPR. Réttu viðbrögðin væru að leita staðfestingar hjá öllum en því fylgir ærinn kostnaður, ekki síst vegna þess að mörg netföng eru rangt skráð, ýmsar úreltar upplýsingar eru í grunninum. Röng viðbrögð væru að loka á WHOIS-upplýsingar sem myndi valda gríðarlegum skaða, bæði gagnvart getu netsins til að skipuleggja sig og þegar kemur að sjálfreglun, en það myndi líka takmarka getu lögregluyfirvalda til að bregðast við hvers konar netglæpum. Þetta er dæmi um risastórt grátt svæði sem þarfnast skýringar og þangað til við fáum svar við því hvernig það er nákvæmlega geta rekendur WHOIS-gagnagrunna, hvort sem það er ISNIC á Íslandi eða aðilar erlendis, átt von á himinháum sektargreiðslum. Ég er að verða búinn með tímann minn en eins og ég hef sagt gæti ég fjallað um málið ansi lengi áður en ég yrði uppiskroppa með efni. Grundvallaratriðið er þetta: Málið er risastórt. Það er ótrúlega mikið af flækjum í því hvernig það er útfært. Við höfum vitað af því árum saman að það væri í vændum og við fenguð aðeins að sjá frumvarpið í gærkvöldi. Þetta kemur til með að gera mörg viðskiptalíkön ólögleg. Það er hið besta mál í flestum tilfellum en ekki öllum. Við viljum auðvitað koma í veg fyrir að njósnað sé um fólk í hagnaðarskyni en við viljum ekki koma í veg fyrir eðlilega notkun á skráningu gagna sem eru nauðsynleg til þess að reka samfélagið eðlilega, og þá vísa ég kannski ekki síst í sveitarfélögin sem ansi margir hafa komið inn á. Til þess að segja eitt jákvætt að lokum er afskaplega gott að það er áfram alveg opið fyrir notkun kennitalna í frumvarpinu. Það er hið besta mál. Því miður hef ég ekki náð að lesa frumvarpið í heild. Það er gríðarlega flókið. Ég vona að nefndin sem tekur málið til meðferðar muni [[Forseti hringir.]]fara mjög vandlega yfir það og ekki leyfa pressu vegna tímaskorts [[Forseti hringir.]]valda því að hún geri það ekki.
Virðulegur forseti. Ég heyri það að þingmaðurinn gæti talað hér í nokkra daga um þessi mál. Það er mjög hollt held ég fyrir okkur sem erum í allsherjar- og menntamálanefnd og fáum málið til umfjöllunar að hlusta á hann og aðra sem hafa sett sig vel inn í persónuverndarreglugerðina. Ég hjó eftir því sem hann sagði um DNS-grunninn sem internetið allt eins og við notum það byggir á og við stólum dálítið á sem eitt af grunnkerfum samfélagsins sem við byggjum. Ég velti fyrir mér hvort við í allsherjar- og menntamálanefnd þurfum að skoða sérstaklega ISNIC, eins og þingmaðurinn nefndi, hvernig frumvarpið snertir þeirra rekstur, hvort þetta sé innleiðingaratriði eða hvort þetta sé stærra vandamál sem tengist reglugerðinni eins og hún kemur að utan. Varðandi önnur grunnkerfi, sameiginleg grunnkerfi á netinu, þá dettur mér í hug island.is, hvort við þurfum að hafa einhverjar gætur á því eða taka tillit til einhverrar sérstöðu þar.
Frú forseti. Þetta er ótrúlega flókið. Ég tók DNS- og WHOIS-kerfið sérstaklega fyrir vegna þess að þetta er svo stórt grunnkerfi sem við reiðum okkur mikið á, en eru þess eðlis að það er mjög auðvelt að gleyma tilvist þeirra. Það er ekki bara ISNIC og aðrir sem reka WHOIS-kerfið sem þetta frumvarp getur snert heldur líka bara t.d. símaskráin. Nú er þeim upplýsingum safnað mikið til sjálfvirkt þannig að hún fellur mjög skýrlega undir skilyrðið í 4. gr. Þetta er opinber gagnagrunnur sem sýnir persónuupplýsingar fólks, nafn, heimilisfang, símanúmer, starfstitil og annað og hefur hingað til verið ákveðið ætlað samþykki eða fólgið samþykki fyrir birtingu, en það er spurning hvort það sé nægilega skýrt og fólk átti sig á því þegar það setur upplýsingar í símaskrá hversu margir nákvæmlega muni hafa aðgang að þeim og í hvaða tilgangi. Vandamálið er kannski ekki bara ákveðnir aðilar, heldur er það kerfislægt. Ég er ekki að segja að þetta sé óyfirstíganlegt. Þetta er náttúrlega svolítið eðli málsins að reyna að draga línuna á einhverjum skynsamlegum stað, en við verðum að passa upp á að frumvarpið valdi ekki tjóni á svona gagnagrunnum sem eru einmitt hugsaðir sem opinberir en gætu verið túlkaðir þannig að þeir hefðu að geyma of mikið af upplýsingum eða fólgnu leyfi. Svo eru náttúrlega öll hin atriðið. Þetta er endalaust.
Frú forseti. Mig langar að velta örstutt upp einu atriði til viðbótar við þetta, hvort það skipti einhverju máli hvort rekstur á þessum grunnkerfum sé í höndum opinberra aðila eða einkaaðila. ISNIC t.d. heldur utan um landslénið .is og var illu heilli einkavætt á sínum tíma. Símaskráin var sömuleiðis einkavædd á sínum tíma, af því að þingmaðurinn nefndi hana. Ég velti fyrir mér hvort þessi vandamál væru yfirstíganlegri ef það væri enn þá opinbert eignarhald á þessu eða hvort reglurnar séu þær sömu hvort heldur sem er. Mér dettur í hug frumvarp um lögheimili sem við erum með til umfjöllunar á þinginu þar sem er verið að byggja inn í kerfið þann möguleika að vera með dulið lögheimili þannig að maður sé í miðlæga grunninum en geti valið að birtast ekki í leit utan þess sem hinn opinberi aðili þarf til að geta skattlagt mann og hvað það er sem lögheimili er notað til. Ég velti fyrir mér hvort einhverjir svona fídusar þurfi að byggjast inn í kerfið hér þar sem við erum nú þetta samtengda nettengda samfélag og reiðum við okkur dálítið mikið á þessa sameiginlegu grunna.
Frú forseti. Það eru ákveðnar undanþágur gerðar í frumvarpinu hef ég séð sem taka á upplýsingum í fórum opinberra aðila sem gera gráa svæðið alla vega töluvert ljósara. En það eru kannski þessir einkaaðilar sem eru í meiri vandræðum, ég nefni dæmi eins og einmitt símaskrána, ISNIC og kannski fyrirtæki eins og Creditinfo sem eru með alveg gríðarlega stór gagnasöfn um lánstraust fólks, það mætti líka nefna bankana almennt sem hafa miklar upplýsingar undir höndum. Fólk undirgengst auðvitað skilmála hjá bönkum þegar það opnar reikninga og þannig. Það er ákveðinn skilningur á því að þessi gögn eigi að fara leynt og að það megi safna þeim. Mér er ekki kunnugt um að ég hafi persónulega nokkurn tímann gefið Creditinfo heimild til þess að safna upplýsingum um mig, hvorki fyrirtæki sem ég hef átt aðild að né lánstraust eða annað. Það er annað dæmi um að fólgið leyfi dugi ekki. Það verður að vera mun nákvæmara. Ég held að það sé ekki vandamál til staðar gagnvart opinberu aðilunum og það gæti verið einhver sérstök heimild gagnvart þeim. Ég endurtek að ég hef ekki náð að lesa frumvarpið í gegn þannig að það er mjög líklegt að ég hafi misst af einhverju. En skilningurinn verður að vera þannig að það sé alveg skýrt hvaða kvaðir eru gerðar og til hvers er ætlast af fyrirtækjum sem eru með alla þessa gagnagrunna, alveg frá vídeóleigum upp í rekstraraðila, sjúkraskrá hjá einkalæknastofum og álíka. Hvað eiga þau að gera til þess að uppfylla skilyrðin? Mér er það ekki ljóst í dag.
Hæstv. forseti. Ég vil þakka hv. þm. Smára McCarthy fyrir mjög góða ræðu. Hún hefði mátt vera miklu lengri, kannski ekki tveir dagar eins og þingmaðurinn talaði um, en ef ég hefði fengið mat og kaffi og smá hvíld hefði ég alveg verið til í að hlusta á hann. Ég er mjög blankur í þessum málum. Ég hef aðeins verið að fletta í gegnum þetta 147 blaðsíðna frumvarp og er eiginlega ekki búinn að átta mig á nema einhverju broti af því. Ég hjó eftir því að þingmaðurinn talaði um að hafa fylgst með þessu af miklum áhuga síðan 2012 og ég sá að fyrstu lögin um persónuvernd tóku gildi 1981. Þá var ég sá sem hér stendur í Iðnskólanum í Reykjavík að læra rafvirkjun og þar fengum við aðeins innsýn inn í hvernig tölvubúnaður er uppbyggður frá grunni í gegnum tvíundakerfi og eitthvað svoleiðis og ég hafði mikinn áhuga á því. Síðan eru liðin mörg ár og internetið varð að veruleika, ég man ekki hvenær. Þetta snýst náttúrlega mikið um internetþjónustu og það sem skeður í gegnum tölvur. Ég hjó eftir því að þingmaðurinn talaði um að fyrirtæki yrðu að svara neitandi ef þau væru spurð út í persónuvernd. Er það af því að ekki er búið að koma þessu á koppinn? Eins í sambandi við kærur til Facebook og Google og annarra slíkra aðila, á hverju byggjast þær? Ég byrja á því að spyrja að þessu.
Frú forseti. Þetta eru ágætar spurningar. Það er held ég eðlilegt að allir séu frekar ferskir og nýir þegar kemur að persónuverndarmálum. Þó svo að ég hafi haft mikinn áhuga á þeim málum lengi og fylgst með þróuninni eru heilu hugmyndasviðin innan þeirrar umræðu sem ég er algjörlega ókunnugur. Friðhelgi einstaklinga, persónufriðhelgi, er mjög ný hugmynd í sögunni. Það voru kannski Brandeis og Warren sem bjuggu þetta hugtak til í nútímaskilningi í grein sinni í Harvard Law Review, að mig minnir, árið 1890 eða þar um bil. Við eigum því öll eftir að læra mjög margt. Ástæðan fyrir því að fyrirtæki þurfa að svara neitandi er sú að þótt þau séu beinlínis búin að undirbúa sig og gera allt sitt til að vera samstæð GDPR þá er þetta ekki orðið að lögum og verður ekki að lögum fyrr en í fyrsta lagi eftir að þingsályktunartillagan verður samþykkt. Það er búið að taka þetta upp í sameiginlegu EES-nefndinni og samþykkja þar og síðan þarf frumvarpið auðvitað að vera komið í gegn. Fram að því er þetta ekki orðið að lögum og alveg sama hversu vel fyrirtækin eru undirbúin verða þau að svara neitandi ef þau eru spurð hvort þetta sé orðið að lögum í hér, vegna þess að annars væru þau hreinlega að ljúga. Hvert var hitt atriðið? [[Gripið fram í: Kærur.]]Ég veit satt að segja ekki hvort kærurnar á hendur Google og Facebook, og sennilega margra annarra, séu byggðar á einhverju, en það er náttúrlega vel þekkt og allir ættu að geta áttað sig á því að þetta eru fyrirtæki sem hafa safnað gríðarlegu magni persónuupplýsinga um fólk, alla notendur og jafnvel marga sem nota þetta ekki, svokallaðir skuggaprófílar, [[Forseti hringir.]]í mörg ár. Það er ekki ólíklegt að eitthvað af þeim gögnum hafi orðið til þess að fólk hafi kært. Ég held að það sé aðallega Max Schrems sem hefur lagt [[Forseti hringir.]]fram kærur. Hann er frægur fyrir skoðanir sínar.
Hæstv. forseti. Ég þakka þingmanninum fyrir svörin. Maður hefur heyrt þetta með t.d. Facebook og Google varðandi ýmislegt sem kemur upp á vefnum og maður er að skoða og þegar þeir bjóða manni upp á leiki og eitthvað slíkt, að þá séu þeir að kortleggja mann og maður er flakaður og flattur út um allan heim. Svo hjó ég líka eftir því hjá þingmanninum að fólk þurfi að fá að vita rétt sinn í málum um persónuvernd. Þá er spurningin: Vantar mikið upp á í því að upplýsa fólk um það? Svo er eflaust en hvað er það þá helst? Eru það upplýsingar um aðgengi fólks að því hvaða rétt það hefur? Getur þingmaðurinn aðeins farið yfir hvað hann átti við með því að fólk ætti rétt á að vita meira um eigin persónu á alheimsvefnum?
Frú forseti. Hvað varðar upplýsingar sem er safnað eiga einstaklingar rétt á því að vita nákvæmlega hverju hver vefsíða, hver aðili, hvert fyrirtæki, hvaðeina, safnar, nákvæmlega hvaða gögnum er safnað, í hvaða tilgangi, hvernig þau gögn verða notuð, hvort aðrir aðilar, þriðju aðilar, fái afrit af þeim gögnum, hvort búin séu til ný gögn úr þeim gögnum o.s.frv. Það er allt saman inni í þessu. Þetta er auðvitað heilmikið. Nú veit ég að hv. þm. Helgi Hrafn Gunnarsson hefur legið sveittur yfir því undanfarnar vikur að uppfæra kosningakerfi Pírata til þess að vera í fullkomnu samræmi við GDPR-reglugerðina. Hugsa þarf út í furðulegustu smáatriði. Ég ætla að hætta mér út í að tala tæknilega - eins og ég hafi ekki gert það áður. Tökum sem dæmi like-takka á Facebook, eða hvaða takka sem er frá þriðja aðila. Ef slíkur takki er inni á vefsíðu getur sú þjónusta sett svokallað smáköku í vafrann hjá manni. Það er óháð því hvort viðkomandi sé notandi þeirrar þjónustu eða ekki. Segjum sem svo að maður hafi alla tíð verið ákveðinn í því að vilja ekki vera á Facebook og hafi aldrei búið til aðgang. Það er samt þannig að Facebook getur fylgst með manni, haft þessa smáköku í vafranum hjá manni - nema maður hafi sérstaklega lokað á það - og með því er hægt að fylgjast með manni í gegnum netið. Þetta er svokallaður skuggaprófíll og það gefur augaleið að sá sem undirgengst slíkan skuggaprófíl hefur aldrei gefið Facebook leyfi fyrir því að fylgjast með sér á þennan hátt. Og þetta er ekki aðeins Facebook, þótt það sé kannski stærsti aðilinn, það eru hundruð aðila á netinu sem gera sömu eða svipaða hluti [[Forseti hringir.]]og hafa gríðarleg völd yfir persónuupplýsingum fólks. Það þarf auðvitað að takmarka.
Frú forseti. Mér finnst mjög umhugsunarvert að dómsmálaráðherra sjálf skuli líta svona léttvægt á það að heilum doðranti með frumvarpi til nýrra laga sé skellt svona léttúðlega inn í íslenskt lagaumhverfi án þess að gefinn sé góður tími og almennilegt næði fyrir þingið að skoða og mynda sér skoðun á doðrantinum umrædda. Og kannski sérstaklega í ljósi þess að þetta er einmitt hennar málaflokkur, hennar sérgrein, réttarkerfið sjálft, sem á að heita viðbragðsaðili lögbrota. Það er uggvænlegt að dómsmálaráðherra skuli ekki stíga varlegar til jarðar í þessum efnum. Þetta er atriði, GDPR, sem snertir öll svið samfélagsins eins og ítrekað hefur komið hér fram í ræðustól í dag. Þetta er í raun og veru alveg einstakt mál og ekkert annað en hrein og bein bylting í persónuvernd. Þetta ætti ekki að koma hæstv. dómsmálaráðherra neitt á óvart því að þetta hefur verið fyrirséð í lengri tíma. Persónuvernd hefur gefið það út að fjölga þyrfti starfsmönnum fjórfalt eins og kom fram í dag til þess að stofnunin geti sinnt því hlutverki sem henni verður falið eftir innleiðingu þessarar reglugerðar. Þetta ætti ekki að koma hæstv. dómsmálaráðherra á óvart heldur vegna þess að sú sem hér stendur hlýddi einmitt fyrir ári á forstjóra Persónuverndar útskýra þessa staðreynd. Eins og ég skildi hana þá snerist sú röksemd að fjölga þyrfti mannskap innan stofnunarinnar að einhverju leyti um þann tímaramma sem hún fær til að bregðast við kvörtunum og kærum. Það snerist til dæmis um að ef stofnunin brygðist ekki við, að mig minnir innan 72 klukkustunda, félli málið niður. Þannig að eins og ég segi, það er ár síðan þetta kom hér skýrt fram innan veggja þingsins. Sektirnar og þessar gígantískt háu upphæðir sem fræðilega um ræðir gætu, eins og þingmaður talaði um hér fyrr í kvöld, snert lítil sveitarfélög mjög illa og þungt, jafnvel það þungt að það gæti, fræðilega séð, sett sveitarfélög á hliðina fjárhagslega. Nýlegt dæmi kom upp innan sveitarfélaga hér á höfuðborgarsvæðinu, í Garðabæ og á Seltjarnarnesi, þar sem mjög viðkvæmar persónuupplýsingar voru aðgengilegar almenningi vegna mistaka hjá undirverktaka - það er ekki enn þá komið í ljós til dæmis hvort þessi sveitarfélög séu bótaskyld gagnvart þeim aðilum sem málið snerti. Ef við hugsum um þetta í raunheimum, ekki bara á prenti í þykkum bunka eða á netinu heldur bara hér á Íslandi í raunheimum, þá geta afleiðingar verið margar og ófyrirsjáanlegar og jafnvel mjög fyrirsjáanlegar líka sem geta verið mjög alvarlegar fyrir land og þjóð. Mér finnst augljóst að fresta þurfi þinglokum til að gefa málinu það næði sem þingið þarf til að vinna úr svo gríðarstóru máli. Nú hefur orðið mikil vitundarvakning hér á landi sem og annars staðar í heiminum eftir að Cambridge Analytica málið kom upp og fólk er ekki tilbúið til að sætta sig við hvað sem er. Þess vegna er þetta mjög jákvætt. Þess vegna er svolítið leiðinlegt að þetta skuli koma fram undir þessum kringumstæðum, á einhverjum handahlaupum þegar hægt væri að líkja internetinu okkar við byggingu sem við búum öll í, undir sama þaki. Þessi reglugerð, GDPR, snýst um að þvo gluggana, að einhverju leytinu til. En við skulum ekki þvo gluggana okkar með óhreinu vatni. Ef þetta er gert á svona leifturhraða eins og virðist vera vilji ríkisstjórnarinnar, þá erum við bara að gera nákvæmlega það, við erum að þvo gluggana með óhreinu vatni.