Uttalande: 3-årsjubileum för GDPR
För tre år sedan, den 25 maj 2018, trädde den allmänna dataskyddsförordningen i kraft. GDPR var tänkt att ge rättigheter till vardagsmänniskor som är föremål för databehandling ("registrerade"). På noyb tillämpar vi GDPR utifrån detta användarperspektiv varje dag.
Efter tre år är vår första preliminära slutsats blandad: GDPR har helt klart lett till att frågan har uppmärksammats av alla, att företag har sett över sina rutiner (ofta för första gången) och att användarna har blivit mer medvetna om att de har rättigheter i den digitala sfären.
Sekretess på papper?
Attha rättigheter och att få rättvisa är två skilda saker: Precis som under de tidigare reglerna i dataskyddsdirektivet från 1995 (direktiv 95/46) befinner vi oss i ett läge där EU har lyckats utfärda en progressiv lag (om man jämför på global nivå). Medlemsstaterna misslyckas dock i stor utsträckning med att genomdriva denna nya europeiska lagstiftning. Detta leder till "integritet på papperet", men inte nödvändigtvis på användarnas telefoner eller datorer.
Som en organisation som är specialiserad på dataskydd och integritet tillämpar våra tio jurister GDPR på daglig basis. Trots detta ser vi regelbundet fall som tar flera år att lösa, särskilt när användare vill hävda sina rättigheter över nationsgränserna. Vissa dataskyddsmyndigheter gör ett bra jobb, men andra accepterar inte ens användarnas rätt att få sina klagomål utredda, än mindre att få sina rättigheter tillgodosedda. Eftersom företag lägger sitt huvudkontor i den medlemsstat som passar dem bäst ("forum shopping"), drabbas användare i hela EU av svaga länkar mellan dataskyddsmyndigheterna.
I vissa medlemsstater har domstolarna varit lika ovilliga att genomdriva användarnas rättigheter. Det verkar ofta som om domarna inte har fått någon utbildning om GDPR, vilket leder till beslut som återupplivar juridiska debatter som borde ha varit över för länge sedan - till exempel rätten att få ekonomisk ersättning för känslomässiga skador. Likaså tillämpar domstolarna lokal processrätt på ett sätt som gör det näst intill omöjligt att tillämpa dataskyddsförordningen.
Denna situation leder inte bara till grova kränkningar av medborgarnas rättigheter, utan också till illojal konkurrens, eftersom vissa aktörer på den europeiska marknaden kanske inte känner något behov av att följa reglerna, medan andra oroar sig för eventuella böter.
Små och medelstora företag
En annan sak som blir tydligare nu är att GDPR:s "en storlek passar alla"-strategi är otillräcklig. Stora företag drev på för att få en enhetlig lag, för att säkerställa att de bara behöver uppfylla medelstora krav. Särskilt politiska partier som är stolta över att vara "företagsvänliga" följde den idén. Dessa medelstora krav överväldigar nu många småföretag som inte behandlar data i någon större skala, samtidigt som de är för svaga för att bekämpa big tech.
Till skillnad från andra regleringar där det finns klasser av företag kräver GDPR ofta samma procedurer från en liten butik och från teknikjättar som Google, Amazon eller Facebook. Detta leder till höga bördor för de allra flesta företag, samtidigt som de relevanta aktörerna inte regleras på ett adekvat sätt. Det verkar som om de som gynnas mest är stora databehandlingskonglomerat och kanske konsultbranschen. Trots detta finns det (av goda skäl) ingen vilja att öppna upp GDPR igen, eftersom man är rädd för att big tech ska utnyttja varje sådan möjlighet för att göra fler hål i lagen.
Sammanfattning
Europa kan vara stolt över att ha antagit den mest progressiva integritetslagstiftningen i världen, men små fel i lagen och bristen på efterlevnad leder till berättigad frustration hos användare och småföretag. Det kommer att vara upp till dataskyddsmyndigheterna och domstolarna att lösa dessa problem inom den befintliga rättsliga ramen för att göra GDPR till en verklig framgång. Vi på noyb är glada över att få arbeta med att utlösa sådana förändringar i vårt dagliga arbete.
