Forslag: Giv op til 750 millioner kr. i bøde for at sjuske med persondata

Mens de udenlandske og indenlandske diskussioner om datalækager skyller ind over os, foregår der et større reformarbejde i EU om reglerne for databeskyttelse i Europa.

Spørgsmålet er, om reformen, der har karakter af en EU-forordning, får betydning for den seneste tids historier om datahåndtering.

Anette Høyrup, der er seniorjurist i Forbrugerrådet Tænk, mener, at datareformen generelt vil forbedre beskyttelsen af borgernes persondata, og hun peger blandt andet på, at den lægger op til det, hun kalder indbygget sikkerhed, i de systemer, der håndterer persondata.

»Kravet om indbygget datasikkerhed vil betyde, at en medarbejder ikke ville kunne sidde i fire år og hente data fra en server, uden at det ville blive opdaget,« siger hun med henvisning til den verserende sag om lækkede betalingskortdata fra Nets til ugebladet Se og Hør:

»Der er kæmpe forskel på, at man som medarbejder skriver under på, at man ikke er nysgerrig, og så at lave en sikkerhedskontrol i selve systemet. Altså en teknisk beskyttelse af oplysningerne.«

Desuden hæfter Anette Høyrup sig ved, at datareformen lægger op til et større samarbejde mellem europæiske datatilsyn.

Charlotte Bagger Tranberg, persondataspecialist hos advokatfirmaet Bech-Bruun, fremhæver, at bødeniveauet for brud på persondataloven kan blive op til 5 pct. af omsætningen med et loft på 100 millioner euro.

»Der er ingen tvivl om, at det forhold, at bødeniveauerne bliver højere, vil betyde, at der kommer et helt andet fokus på området, end der har været tidligere, hvor private virksomheder kun har fået en bøde på højst 25.000 kroner.«

Respekt for EU’s regler

Også i lyset af sagen, hvor en New York-domstol har beordret Microsofts datterselskab i Irland til at udlevere personoplysninger, vil datareformen betyde forbedringer, påpeger justitskommissær Viviane Redings talsperson, Mina Andreeva, i en e-mail til Ingeniøren:

»Europa-Parlamentet har med dets stemme på EU’s databeskyttelsesreform bekræftet – og faktisk skærpet – princippet om, at virksomheder, der opererer på det europæiske marked, skal respektere de europæiske regler for databeskyttelse – også selvom de (virksomhederne, red.) befinder sig i USA.«

Skærpelsen er en tilføjelse om, at data kun kan udleveres til amerikanske myndigheder, hvis den nationale databeskyttelsesmyndighed har givet grønt lys til det.

Det oprindelige reformforslag blev fremlagt af EU-Kommissionen i 2012. Det har derefter været behandlet i Europa-Parlamentet i marts i år. Nu ligger bolden hos EU’s ministerråd.

Professor ved Det Juridiske Fakultet på Københavns Universitet Peter Blume er forbeholden over for det nuværende reformarbejde, som han mener i stort omfang vil kunne rummes inden for det eksisterende databeskyttelsesdirektiv fra 1995.

»Jeg siger ikke, det ikke går fremad, men det går ikke fremad med de der kæmpe skridt, som nogle vil gøre det til,« siger han.

Ifølge Peter Blume er der dog nogle forbedringer i den igang­værende reform, blandt andet oplysningspligten, hvor dataansvarlige skal rette henvendelse til myndigheden for databeskyttelse, såfremt der sker brud på databeskyttelsen.

»Men man skal selvfølgelig være opmærksom på, at selvom der er en pligt, er det jo ikke det samme, som at der bliver givet meddelelse.«

Hvad angår overvågning fra efterretningstjenester som amerikanske NSA mener Peter Blume ikke, den nye forordning vil batte noget.

»For det første er NSA jo en amerikansk virksomhed, der slet ikke er omfattet af forordningen. Det kan de være ligeglade med. For det andet så gælder forordningen, ligesom med direktivet, ikke for behandling af personoplysninger inden for na­tional sikkerhed,« siger han.