Oversikt: Disse nye EU-lovene påvirker personvernet

Datatilsynet har publisert en liste over de mest relevante nye EU-lovene med grenseflate mot personvern.

– Dette er en uformell oversikt og en ferskvare som illustrerer den regulatoriske kompleksiteten som møter oss de neste årene, forteller leder for internasjonal seksjon i Datatilsynet, Tobias Judin i en uttalelse på Datatilsynets nettsider.

Tilsynet har sett at det er behov for en slik oversikt. Onsdag ble enighet om Data act, som gjør at den i prinsippet er vedtatt. Det var en god anledning å legge frem oversikten, forteller han til Digi.

– Vi opplever at det er flere som spør oss om hvilke lover som kommer fra EU. Det kan virke stort og komplekst, sier han.

Se listen nederst i saken.

Fra lov til praksis

Da jurist Line Coll tiltrådte som ny direktør for Datatilsynet i fjor sommer understreket hun at det er vanskelig å balansere presset fra virksomheters ledelse om å ligge foran i den teknologiske utviklingen, og å gjøre ting riktig personvernmessig.

– Vi har så mye regler i så mange lag, at det er nesten umulig for en person, et team eller en enhet i virksomheter å holde seg oppdatert, sa hun under Sikkerhetsfestivalen i Lillehammer i august i fjor.

Coll uttalte til Digi at det er et stort behov for en oversetterjobb mellom personvernregelverket og det som skal være operasjonelt og fungere ute i virksomhetene, og at Datatilsynet bør være tøffere og bedre på å bidra i den jobben.

For virksomheter og politikere

Den ferske oversikten er rettet først og fremst mot virksomheter og politikere, forteller Judin.

– Vi har sett at det er vanskelig for mange virksomheter å få oversikt over regelverket. Det har to effekter. Den ene at at man bryter reglene, den andre er at man blir for redd og ikke tør å ta i bruk gode løsninger som kan være lovlige, sier han.

– De kan være interessant også for politikere, da de skal inn i norsk rett på et tidspunkt.

– Vi følger nøye med på spesielt AI act, og vi mener at det er naturlig at vi får tilsynsrollen der, legger han til.

Listen er ikke uttømmende, og tilsynet har fokusert på det som er relativt nytt. Derfor er ikke «etablerte» personvern-relevante lover på lista. Schengen-rettsakter er heller ikke tatt med.

– Det treffer andre virksomheter som politiet, Kripos og UDI – en litt snevrere krets, så det tok vi ikke med her. Men vi jobber på ulike måter med en del av disse lovforslagene, sier Judin.

Relativt ferske vedtatte lover:

• Critical Entities Resilience Directive (CER)
• Data Act (det ble nettopp nådd politisk enighet mellom de tre institusjonene, og vi venter på publisering av den endelige lovteksten)
• Data Governance Act (DGA)
• Digital Markets Act (DMA)
• Digital Operational Resilience Act (DORA)(se også dette tilknyttede direktivet)
• Digital Services Act (DSA)
• General Product Safety Regulation (GPSR)
• NIS 2 Directive

Lovforslag under utarbeidelse:

Med link til EU-kommisjonens opprinnelige lovforslag.

• AI Act (her tillater vi oss også å lenke til Rådets posisjon og EU-parlamentets posisjon)
• AI Liability Directive
• Consumer Credit Directive
• CSAM Regulation
• Cyber Resilience Act
• Cyber Security Act
• Cyber Solidarity Act
• Data Collection and Sharing Relating to Short-Term Accommodation Rental Services Regulation
• ePrivacy Regulation
• European Health Data Space (EHDS)
• European Media Freedom Act
• Platform Work Directive
• Political Advertising Regulation
• Product Liability Directive (PLD)

I utredningsfase:

• Cookie Pledge
• Fitness Check on EU Consumer Law
• GDPR Procedural Rules

Lovgivningsprosessen i EU innebærer at EU-kommisjonen først kommer med et lovforslag. Deretter vedtar EU-parlamentet og Rådet sine posisjoner til lovforslaget, som ofte innebærer mange endringsforslag, før de tre institusjonene starter såkalte trilog-forhandlinger. Når alle tre kommer til enighet om lovens innhold, kan den vedtas.