Det geografiske virkeområdet utvides

Personvernreglene i EU gjelder også for selskaper i stater utenfor EU-sonen dersom de selger varer eller tjenester til borgere i EU. Det stilles blant annet krav om at slike selskaper må ha en representant i EU, for å kunne behandle opplysninger om EUs borgere.

Strengere krav til angivelse av formålet ved behandlingen

Personopplysninger må, som tidligere, ikke brukes til annet enn det forutsatte formålet med innhentingen. Dersom behandlingsansvarlig ønsker å utvide formålet, eller bruke opplysningene til andre formål enn det som ble opplyst da de ble innhentet, må behandlingsansvarlig gjøre en vurdering av hvorvidt det nye formålet er forenlig med det opprinnelige. Den nye forordningen inneholder en «kompatibilitetstest», slik at behandlingsansvarlig lettere kan avgjøre hva som er forenlige formål.

Dersom behandlingsansvarlig kommer til at formålene ikke er forenlige, må man innhente nye samtykker, eller ha lovhjemmel for behandlingen av opplysningene.

Økt rettsvern for de som personopplysningene omhandler

Den nye forordningen innfører også nye konkrete rettigheter for ivaretakelsen av EU-borgernes personvern. Dette gjelder særlig fire nyheter:

• Retten til å begrense behandlingen av egne opplysninger

• Muligheten til å flytte opplysninger mellom ulike systemer («dataportabilitet»)

• Retten til å motsette seg behandling av egne opplysninger

• Retten til å motsette seg personprofilering og automatiserte avgjørelser

I tillegg er «retten til å bli glemt» kodifisert i forordningen, og korrekt sletting av opplysninger hos virksomheten blir derfor enda viktigere enn før. Dette vil igjen kunne innebære behov for at virksomheter omstiller sin behandling av personopplysninger, i tråd med borgernes utvidede rettigheter.

Ansvaret for behandling av personopplysninger overføres til bedriftene

Et gjennomgående trekk ved den nye forordningen er at mer av ansvaret for behandling av personopplysninger flyttes fra de nasjonale tilsynsorganene, slik som Datatilsynet i Norge, og over på virksomhetene som behandlingsansvarlig. Dette skjer som en konsekvens av at tilsynsorganene foreslås gitt en mer passiv rolle, og som utgangspunkt kun skal behandle saker hvor en behandlingsansvarlig virksomhet rapporterer om overtredelser av personvernreglene.

Den nåværende meldeplikten for behandling av personopplysninger videreføres altså ikke i sin alminnelighet, men i de tilfellene virksomheten anser risikoen ved behandling av personopplysninger som for stor til at den kan håndteres internt, skal det kreves forhåndsgodkjenning fra Datatilsynet. Også behovet for å søke om konsesjon reduseres.

I stedet for meldeplikt utvides virksomhetenes plikt til selv å vurdere personvernet når personopplysninger skal behandles, men virksomhetene foreslås samtidig ilagt en vidtgående plikt til å rapportere dersom behandling av personopplysninger ikke skjer i tråd med regelverket. Blant annet skal virksomhetene rapportere sikkerhetsbrudd som rammer personopplysninger til tilsynsmyndighetene uten ugrunnet opphold, og senest innen 72 timer.

I forlengelsen av at ansvaret for behandling overføres til virksomhetene, vil flere enn tidligere nå være forpliktet til å ha et personvernombud – men oppgavene til personvernombudet forblir stort sett de samme som de er i dag. Plikten til å oppnevne personvernombud foreslås utvidet til også å gjelde databehandlere, i tillegg til behandlingsansvarlige. Dermed vil det stilles ytterligere krav om kompetanse innen personvern. I tillegg er det nytt i forordningen at kravene til innhold i databehandleravtaler er uttrykkelig spesifisert.

Innebygget personvern («Privacy by design») og personvern som standardinnstilling i programmer («Privacy by default») har tidligere vært ansett som et «best practice»-prinsipp, men vil nå bli lovpålagt.

Kraftig økte sanksjoner ved overtredelse

For å sikre etterlevelse av bedriftens omfattende personvernforpliktelser, har EU vedtatt et sanksjonssystem som skal virke som et solid ris bak speilet. For forsettlige eller grovt uaktsomme overtredelser av de mest sentrale påbudene, kan en virksomhet ilegges bøter på opptil 4 % av konsernets globale årsomsetning. For store internasjonale konsern vil alvorlige overtredelser kunne medføre bøter i milliardklassen. Til sammenligning har Datatilsynet etter dagens regelverk anledning til å ilegge virksomheter gebyrer på inntil 10 G (p.t. NOK 900 680). Endringen innebærer vesentlig strengere sanksjonsmuligheter enn Datatilsynet har i dag, og dobbelt så mye som det opprinnelige forslaget til forordning, som hadde et øvre tak på 2 % av konsernets globale omsetning.

Personvernreglene i EU har hittil vært vedtatt som direktiv, men de nye reglene vedtas som forordning. Det innebærer at forordningen får direkte virkning og automatisk blir bindende som lov i alle EUs medlemsland, når den trer i kraft. Forordningen trer antagelig i kraft i mars 2018. I Norge vil forordningen ikke få direkte virkning, men vil måtte gjennomføres i norsk rett, som følge av EØS-avtalen.

Endringene i personvernreglene er høyst relevante for alle som behandler personopplysninger, uavhengig av egenskap. Er du for eksempel arbeidsgiver, leverandør av løsninger som håndterer personopplysninger, eller benytter skytjenester i din virksomhet, vil endringene sannsynligvis medføre behov for en tilpasning av virksomheten.