Det er i dag nøyaktig én måned siden Regjeringen la frem sitt forslag til ny personopplysningslov. At EUs frist på 25. mai ikke kommer til å bli nådd har vært klart lenge, selv om Regjeringen klarte å avlevere proposisjonen raskere enn den selv hadde spådd.
Statssekretær i Justisdepartementet, Sveinung Rotevatn (V), sier at målet fortsatt er «så raskt som mulig».
Må vente på EØS
– Men då er vi avhengige av både fortgang på EU-sida og fortgang i Stortinget. Mitt inntrykk er at dei jobbar godt begge plassar. Det skal i alle fall ikkje stå på Regjeringa, sier Rotevatn.
Regjeringen har så langt avvist tanken på å la den nye personvernloven tre i kraft før GDPR er blitt en formell del av EØS-avtalen. Blant annet risikerer man da motstrid mellom den nye personvernloven og det i så tilfelle fortsatt eksisterende personverndirektivet fra 1995.
Flyttet komitémøtet
Et avgjørende ledd i å få det nye lovverket på plass, er derfor at GDPR-forordningen innlemmes i EØS-avtalen. Det kan tidligst skje på det neste møtet i EØS-komitéen, som opprinnelig var berammet til 1. juni. Visegeneralsekretær Dag Werno Holter i EFTA opplyser at dette møtet nå er flyttet frem.
– Det er riktig at vi håper at GDPR kan innlemmes i EØS-avtalen ved neste møte i EØS-komiteen, som ganske riktig var satt opp for 1.juni, men som nå vil bli holdt 31. mai i stedet. Saken er i utgangspunktet avklart på EFTA-siden, men vi venter ennå på endelig godkjenning av utkastet til Joint Committee Decision fra EUs Råd. Vi regner med at det vil komme i tide til vedtak 31. mai, men kan naturlig nok ikke garantere det.
Folkeavstemming
Når komitéen har sagt sitt, viser det seg imidlertid nok et hinder: EØS-komitéens beslutning vil ikke kunne tre i kraft før alle EFTA-landene har godkjent den, og i Liechtenstein, med deres 37.000 innbyggere, gjelder én måneds frist for den som vil kreve folkeavstemming.
– En beslutning 31.mai vil måtte tas med konstitusjonelt forbehold for Liechtensteins del. Deres interne prosedyrer for en sak av denne art innebærer en måneds frist for et eventuelt krav om folkeavstemning, slik at det konstitusjonelle forbeholdet ikke kan oppheves før tidligst omkring 1.juli. Det betyr at GDPR ikke vil tre i kraft i EØS-avtalen før dette er skjedd. Ikrafttreden på EU-siden er 25. mai og det har vært et poeng for EFTA-landene å få det på plass i EØS så nær samtidig som mulig for å unngå negative praktiske konsekvenser med hensyn til dataoverføring, sier Holter.
95-direktivet lever videre
Ifølge visegeneralsekretæren har EU nå gjort det klart at den gamle lovgivningen vil gjelde for EØS-området inntil den nye trer i kraft.
– Vi ser derfor for oss at denne forsinkelsen på en drøy måned på grunn av interne prosedyrer i Liechtenstein ikke vil få konsekvenser av betydning, sier Holter.
Justisdepartementet har imidlertid tidligere opplyst at den såkalte «one stop shop»-mekanismen ikke kan tre i kraft før GDPR er på plass i EØS-avtalen.
– Inntil forordningen formelt er innlemmet i EØS-avtalen og den nye norske personopplysningsloven har trådt i kraft, er det departementets syn at Norge ikke vil kunne delta i den såkalte «one stop shop» mekanismen, da en tilsvarende mekanisme ikke finnes i 95-direktivet. «One stop shop» er en mekanisme hvor selskaper som har kontorer i flere EU/EØS-land, som et utgangspunkt bare skal behøve å forholde seg til den nasjonale tilsynsmyndigheten i landet hvor de har sitt hovedkontor, skrev departementet i mars.
– Kommer uansett
Gry Hvidsten, specialist councel i Wikborg Rein, påpeker at regelene kommer uansett tidspunkt, og at det ikke er noen grunn til å utsette arbeidet.
– Det har vært mye og til dels motstridene informasjon i mediene knyttet til utsatt implementering av personvernforordningen – GDPR – i norsk rett. Vi mener det er viktig å avdramatisere situasjonen for virksomhetene. Det er én ting som er sikkert, og det er at dette regelverket kommer, og at det uansett nå er rett rundt hjørnet. Uavhengig av om det formelt sett får anvendelse i Norge fra 25. mai eller 1. juli, så er dette et regelverk som virksomheten må forholde seg til og gjennomføre i sin organisasjon. Det er ingen grunn til å utsette arbeidet med å få dette på plass eller tenke noe annerledes. Det er med andre ord "business as usual" og all mulig grunn til å fortsette det arbeidet som allerede er i gang, sier Hvidsten.
