"Håll i hatten, för det kommer en uppsjö av ny lagstiftning från EU efter GDPR"

Karin Schurmann, partner/advokat på MAQS och expert på integritets- och dataskyddsfrågor

Hur har uppstarten fungerat – följs förordningen?
– Verksamheter har tagit sig an regelverket med olika ambition, syn på risk och förståelse för vad som krävs för att kunna följa regelverket. Många har kommit långt med etablering av en gedigen dataskyddsorganisation, en tydlig dataskyddsstrategi som är förankrad hos ledning och styrelse, samt inarbetade processer och strukturer för det dagliga arbetet. Andra verksamheter har inte arbetat med frågorna sedan GDPR-projekten genomfördes inför att GDPR skulle börja gälla – och vissa har inte ens påbörjat sitt arbete än idag. För alla verksamheter gör den snabba och omfattande rättsutvecklingen det minst sagt utmanande att hänga med och hålla dokumentation, processer och bedömningar uppdaterade.

Är GDPR bra i sin nuvarande form, eller finns det behov av reformering?
– Det är en både komplex och resurskrävande lagstiftning att förhålla sig till. Även om det i grunden är bra att enskildas rättigheter får ett starkt skydd så kan lagstiftningen ge upphov till oproportionerliga effekter när insatsen för dess efterlevnad ställs mot andra intressen i en verksamhet. Tänkbara reformeringsalternativ skulle kunna vara vissa regellättnader för mindre verksamheter, och/eller lättnader för behandling av personuppgifter för vissa syften.

GDPR har pekats ut som en språngbräda för andra kommande regelverk. Vad är det att vänta framöver?
– EU-lagstiftaren pumpar ur lagstiftning som på olika sätt rör datahantering och som ska gälla parallellt med GDPR. Ett exempel är den nya AI-förordningen som just nu slutförhandlas på EU-nivå – som liksom GDPR bygger på ett riskbaserat förhållningssätt. Att det ständigt, och snabbt, tillkommer ytterligare lagstiftning skapar utmaningar och otydlighet, bland annat kring hur regelverken ska samverka. Detta ställer höga krav på ansvarstagande och proaktivitet, men även på förmågan att än mer balansera olika intressen och risker mot varandra.

Fredrik Norberg, privacy specialist på PwC Legal

Är GDPR bra i sin nuvarande form, eller finns det behov av reformering?
– Implementationen av GDPR var minst sagt tumultartad, en förstärkt skyddslagstiftning med risk för höga sanktionsavgifter i kombination med oklara skyldigheter för organisationer. Efter fem år med lagstiftningen börjar vi bli varma i kläderna, men samtidigt växer nya svåra frågeställningar fram på grund av det här arbetet. Frågor som är svåra att lösa, exempelvis molnlösningar, AI-applikationer, digital infrastruktur och suveränitet samt industrin för digital marknadsföring. Jag vågar påstå att de flesta organisationer idag tar hänsyn till dataskyddsaspekter, men att vi fortfarande har långt kvar att gå i hur vi praktiskt tillämpar regelverket. 

Hur har uppstarten fungerat – följs förordningen?
– En sak står helt klart: det finns inget stöd i EU-kommissionen eller EU-parlamentet för en reform av den europeiska dataskyddslagstiftningen. Det finns inte på kartan helt enkelt. Däremot finns det gott om utrymme för förbättring och utveckling av GDPR. Det vi behöver är fler förtydliganden och vägledningar från tillsynsmyndigheterna och fortsatt arbete på harmoniseringen mellan EU-länderna. En återkommande kritik mot GDPR är att den stävjar innovation och digitalisering. Jag skulle däremot säga att kritiken är missvisande då man kan ställa sig frågan om en utveckling som inte respekterar grundläggande fri- och rättigheter, ens är en önskvärd utveckling? Dataskydd för med sig en etisk aspekt som vi måste ta hänsyn till när det kommer till innovation. 

GDPR har pekats ut som en språngbräda för andra kommande regelverk. Vad är det att vänta framöver?

– Håll i hatten för det kommer en uppsjö av ny lagstiftning från EU. Just nu förhandlas ePrivacy Regulation som reglerar digital kommunikation över publika nät med särskilt fokus på konfidentialitet i kommunikation, cookies och samtycke för digital marknadsföring. Andra pågående lagstiftningsakter är Data Act (reglerar dataöverföringar mellan B2B, B2C, and B2G och molntjänstleverantörer) samt AI Act (inför stränga regler kring AI system som anses “hög-risk” samt förbjuder vissa applikationer av AI). GDPR är bara ett steg i en längre resa i EU:s digitala strategi som syftar till att stärka vår digitala suveränitet och skapa standarder med ett tydligt fokus på data, teknologi och infrastruktur – eller kort och gott, en hållbar utveckling.

Martin Söderberg, specialist på dataskydd och informationssäkerhet på Sentor.

Är GDPR bra i sin nuvarande form, eller finns det behov av reformering?
– Sett till alla EU:s medlemsstater kan det konstateras att det ser väldigt olika ut. GDPR rör snart vad alla EU-medborgare gör. Sverige, som har en kultur av mycket öppenhet och mindre av regelefterlevnad, har sannolikt haft större utmaningar än många andra medlemsstater att implementera vad som i mångt och mycket är ett nytt sätt att tänka kring integritet. Det sker en gradvis ökning av förståelse och acceptans i företagen, men eftersom GDPR i många delar bygger på riskbedömning och vi alla tenderar att bedöma risk olika kommer efterlevnad alltid vara föremål för diskussion.  

Hur har uppstarten fungerat – följs förordningen?
– GDPR behöver konkretiseras. Det görs över tid genom exempelvis vägledningar och rättsfall, och vi som arbetar med GDPR drunknar snart sagt i den våg av nyheter som sköljer över oss dagligen, från alla EU:s medlemsstater. Det är en utmaning men i grunden något bra och med tiden tror jag det kommer bli bra.

GDPR har pekats ut som en språngbräda för andra kommande regelverk. Vad är det att vänta framöver?
– GDPR ingår som en tidig del i EU:s olika paket för en allomfattande och trygg digital vardag för alla EU-medborgare. Just nu arbetar EU med mål för 2030 som innefattar bättre internet, digitala identiteter. Men det vi ser fram emot närmast är AI Act som ska beslutas under 2023 efter ett par år av beredning, samt NIS2 som innebär att många företag kommer att behöva strama åt såväl fysiska som digitala processer innan oktober 2024. Dataskydd och cybersäkerhet fortsätter att närma sig varandra vilket också ställer nya krav på oss som individer och verksamma i Sverige.