Útgáfa: 27. maí 2026. Skýrslan er sjálfstæð lögfræðileg heimild og samanburðargreining á innleiðingu reglugerðar Evrópuþingsins og ráðsins (ESB) 2016/679 (almenna persónuverndarreglugerðin, GDPR) með lögum nr. 90/2018 og þeim reglum sem á þeim grundvelli hafa verið settar. Skýrslan tekur til allra greina laganna sem og reglugerðar nr. 606/2023 um vinnslu upplýsinga um fjárhagsmálefni og lánstraust.
Lög nr. 90/2018 innleiða reglugerð (ESB) 2016/679 efnislega en bera með sér viðamiklar innlendar sérreglur sem ekki rekja sig til reglugerðarinnar og a.m.k. eina undirinnleiðingu á ófrávíkjanlegri grein. Greiningin nær til allra 57 greina laganna (54 efnisgreinar og 3 ákvæði til bráðabirgða) og skilar níu niðurstöðum: fjórar alvarlegar (🔴), þrjár háar (🟠) og tvær miðlungs (🟡). Heildarmyndin er sú að íslenska innleiðingin gengur lengra en reglugerðin krefst á sex sjálfstæðum sviðum og þrengir bótarétt að einu leyti — afleiðing þess að margar séríslenskar reglur úr fyrri lögum nr. 121/1989 og nr. 77/2000 voru fluttar yfir nær óbreyttar án rökstuðnings fyrir samrýmanleika við svigrúm gerðarinnar.
Þrenging bótaréttarins (51. gr.) er alvarlegasta niðurstaðan og sú eina sem þegar hefur verið staðfest fyrir dómstólum. 51. gr. laganna takmarkar bótaskyldu við „fjárhagslegt tjón", en 1. mgr. 82. gr. reglugerðarinnar kveður ófrávíkjanlega á um bótarétt vegna „eignatjóns eða óefnislegs tjóns". Landsréttur tilgreindi misræmið beinlínis í máli nr. 312/2025 og beitti 82. gr. reglugerðarinnar fram hjá íslenska ákvæðinu með vísan til dómaframkvæmdar Dómstóls Evrópusambandsins (C-300/21 Österreichische Post og fylgimála C-340/21, C-667/21, C-456/22). Þetta er hreint dæmi um undirinnleiðingu (Davidson-1 öfugt) á ófrávíkjanlegu ákvæði — og því ólögmæt gullhúðun sem ber að lagfæra án tafar.
Hin frávikin eru að mestu lögmæt nýting svigrúms aðildarríkja en falla undir hugtakið „gullhúðun" — innleiðingu umfram lágmark — vegna þess að þau leggja íþyngjandi sérreglur á íslensk fyrirtæki sem samkeppnisaðilar þeirra á Norðurlöndum bera ekki, án þess að rökstuðningur fyrir slíkri viðbót komi fram í greinargerð frumvarpsins. Þetta á við um sjálfstætt regluverk um rafræna vöktun (14. gr.), leyfiskerfi fyrir fjárhagsupplýsingastofnanir (15. gr.), bannskrá Þjóðskrár (21. gr.), almennt leyfisskyldukerfi (31.–32. gr.), dagsektakerfi (45. gr.) og refsiviðurlög með allt að þriggja ára fangelsi (48.–49. gr.). Sex þessara sjö meginfrávika eru beitt í framkvæmd, eitt (refsiviðurlögin) hefur ekki verið nýtt í sjö ár og virðist táknrænt. Atvinnulífssamtök tilgreindu sum frávikin í sameiginlegri umsögn 5. júní 2018 (þskj. 1773) en breytingartillögur fylgdu ekki, og engin samanburðartafla fylgdi frumvarpinu sem bar saman einstakar greinar laganna við greinar reglugerðarinnar.
Hér eru níu niðurstöður greiningarinnar skipaðar saman eftir málefnasviðum. Hver niðurstaða er rakin nánar í §3 og — fyrir 🔴 og 🟠 — í §4.
Bótaréttur skráðra einstaklinga (F07 — 🔴, sjá 51. gr.) er sá þáttur þar sem íslenska innleiðingin gengur skemmra en gerðin krefst. 1. mgr. 51. gr. takmarkar bótarétt við „fjárhagslegt tjón", sem útilokar miskabætur (óefnislegt tjón) á yfirborðinu. Þetta er undirinnleiðing á 82. gr. reglugerðarinnar, sem er ófrávíkjanleg. Dómaframkvæmd Dómstóls Evrópusambandsins frá 2023–2024 (C-300/21, C-340/21, C-667/21, C-456/22) staðfestir að óefnislegt tjón skuli njóta sjálfstæðs bótaréttar og að aðildarríki megi ekki binda það við þröskuld alvarleika. Landsréttur í máli 312/2025 (13. maí 2026) tilgreindi misræmið beinlínis og beitti 82. gr. reglugerðarinnar fram hjá íslenska ákvæðinu á grundvelli forgangsreglu 3. mgr. 5. gr. laganna.
Refsiviðurlög (F06 — 🔴, sjá 48.–49. gr.) eru meðal ströngustu útfærslna 84. gr. reglugerðarinnar, sem er svigrúmsákvæði en gerir enga skyldu til refsiviðurlaga. 48. gr. lög 90/2018 kveður á um fangelsi allt að þremur árum — hækkun úr einu ári í fyrri lögum 77/2000. Engin önnur Norðurlandaþjóð (Noregur, Svíþjóð, Danmörk, Finnland) beitir sambærilegri refsiramma fyrir persónuverndarbrot. Dómaframkvæmd Dómstóls Evrópusambandsins í C-807/21 Deutsche Wohnen (5. desember 2023) staðfesti að stjórnsýslusektir samkvæmt 83. gr. reglugerðarinnar (innleitt í 46. gr. íslensku laganna með allt að 2,4 milljörðum króna eða 4% heimsveltu) eru sjálfstæð viðurlög sem fullnægja kröfu um „skilvirk, í réttu hlutfalli og varnaðaráhrif". Refsiviðurlögin eru því ofan á fullnægjandi sektarkerfi. Engin ákæra hefur verið rekin á grundvelli 48. gr. í 7+ ár — varnaðaráhrif greinarinnar eru því táknræn.
Sjálfstætt regluverk án samsvarandi greinar í reglugerðinni (F01 14. gr., F02 15. gr., F05 45. gr. — innlend sérákvæði, G30-mynstur). Þrjár greinar laganna bera innlenda sérútfærslu sem á sér enga samsvörun í reglugerðinni. Rafræn vöktun (14. gr.) er sérstakt regluverk um sjónvarpsvöktun og hljóðupptökur sem reglugerðin fjallar ekki um sem sjálfstætt efni — Norðurlöndin nýta í staðinn 88. gr. reglugerðarinnar (vinnustaðavernd) án sjálfstæðs regluramma. Fjárhagsupplýsingastofnanir (15. gr.) eru bundnar fyrirframleyfi Persónuverndar; ekkert sambærilegt kerfi er í gildi á Norðurlöndum, og víkkun út til lögaðila fer út fyrir persónugildissvið reglugerðarinnar (sbr. 14. lið formála). Dagsektir (45. gr.) eru íslensk stjórnsýslulagahefð (allt að 200.000 kr./dag) sem leggst ofan á stjórnsýslusektir 46. gr. — útfærsla sem 58. gr. reglugerðarinnar heimilar almennt en aðildarríki á Norðurlöndum nýta sjaldan með sjálfstæðu hámarki.
Leyfisskyld vinnsla og bannskrá (F03 21. gr., F04 31.–32. gr. — 🟠). Bannskrá Þjóðskrár (21. gr.) er íslensk útfærsla á andmælarétti 21. gr. reglugerðarinnar gagnvart beinni markaðssetningu; reglugerðin krefst andmælaréttar einstaklingsins en ekki landskrár á vegum ríkisaðila, og ábyrgðaraðila er skylt að samkeyra markaðsskrár sínar við hana fyrir hverja markaðsherferð. Almenn leyfisskylda (31.–32. gr.) nýtir 5. mgr. 36. gr. reglugerðarinnar — sem heimilar fyrirframleyfi „að því er varðar opinbera þjónustu, sem aðildarríki framkvæmir á grundvelli laga" — en víkkar gildissviðið út fyrir opinbera þjónustu. Atvinnulífssamtökin lögðu beinlínis til afnám 31.–33. gr. í umsögn sinni (þskj. 1773) en breytingartillögur fylgdu ekki.
Útvíkkun gildissviðs og tvöfalt leyfiskerfi (F08 4. gr., F09 34. gr. — 🟡). Gildissvið (4. gr.) nær til vinnslu látinna í 5 ár, sem 27. liður formála reglugerðarinnar heimilar; rökstuðningur er til staðar og útvíkkunin innan svigrúms. Vísindarannsóknir á heilbrigðissviði (34. gr.) eru bundnar samþykki Vísindasiðanefndar samkvæmt lögum nr. 44/2014 til viðbótar kröfum persónuverndarreglugerðarinnar — tvöfalt leyfiskerfi sem j-liður 2. mgr. 9. gr. og 89. gr. reglugerðarinnar heimila að efni en er íþyngjandi í framkvæmd.
Greiningin staðfestir að gullhúðunin er ekki einungis fræðileg — sjö af níu niðurstöðum hafa þegar verið beitt í framkvæmd af Persónuvernd eða íslenskum dómstólum.
Veigamesta áhrifið er á 51. gr. (F07), þar sem Landsréttur 312/2025 er fyrsta íslenska dómsmálið sem berum orðum tilgreinir misræmið milli innleiðingar og gerðarinnar á þessu sviði og beitir reglugerðinni fram hjá ákvæði laganna. Dómurinn er fordæmisgefandi: hann staðfestir að 82. gr. reglugerðarinnar er ófrávíkjanleg, að „fjárhagslegt tjón" takmörkun 51. gr. stenst ekki samanburð, og að lögmenn geta sótt miskabætur með beinni vísan til reglugerðarinnar. Jafnframt hafa lögmenn áður farið í kringum 51. gr. með kröfu á grundvelli 26. gr. b skaðabótalaga nr. 50/1993 (sem hefur þrengra skilyrði um stórfellt gáleysi). Niðurstaðan er sú að íslenska bótaréttarkerfið starfar í tveimur lögum: yfirborðsleg takmörkun í 51. gr., og raunverulegt regluverk í 82. gr. reglugerðarinnar og 26. gr. b skaðabótalaga. Þetta er lagaóvissa sem leggst þungt á lögmannastéttina og málflytjendur.
Sjálfstætt regluverk 14. gr. um rafræna vöktun er beitt í Héraðsdómi Suðurlands í tveimur samtengdum málum E-552/2022 og E-553/2022 (27. júní 2023), þar sem dómstóllinn beitti séríslensku skilgreiningunni „rafræn vöktun" til að taka afstöðu til myndbandsupptöku með snjallsímum — án samanburðar við reglugerðina. Þetta sýnir að séríslenska skilgreiningin er sjálfstæð aðferðafræði sem víkur frá samhæfingu reglugerðarinnar á því sviði. Persónuvernd hefur jafnframt beitt 14. gr. í tugum úrskurða um vinnustaðamyndavélar.
Leyfisskylda 15. gr. fyrir fjárhagsupplýsingastofnanir er útfærð til þaula í reglugerð nr. 606/2023 (sett á grundvelli 15. gr.), sem leggur á skriflega áskriftarsamninga, uppflettingar í hverju tilviki, 14 daga viðvörun og 50.000 kr. lágmark vanskils. Hæstaréttur 837/2014 (Creditinfo, mál frá gildistíma eldri persónuverndarlaga) sýndi grundvallarvægi þessa kerfis í íslenskri lánaviðskiptaskipan.
Leyfisskylda 31.–32. gr. er beitt af Persónuvernd í tugum úrskurða, þar á meðal í tengslum við vísindarannsóknir á heilbrigðissviði og leyfisveitingar Vísindasiðanefndar. Reglugerð nr. 606/2023 byggir á þessu kerfi varðandi lánstraust. Bannskrá Þjóðskrár (21. gr.) hefur verið beitt í tugum úrskurða um markaðssetningu og er fastur þáttur í markaðsstarfsemi.
Á hinn bóginn hafa refsiviðurlög 48.–49. gr. ekki verið nýtt í 7+ ár. Engin refsiákæra hefur verið rekin á grundvelli 48. gr. á tímabilinu 2018–2026. Persónuvernd hefur ekki kært neitt mál til lögreglu samkvæmt 49. gr. Sambærilega hafa dagsektir 45. gr. verið beittar sjaldan — yfirleitt eru stjórnsýslusektir 46. gr. valdar. Þessi tvö ákvæði eru því táknræn í framkvæmd og hafa ekki þau íþyngjandi áhrif sem orðanna hljóðan gefur til kynna — en þau standa engu að síður sem lagaóvissa fyrir ábyrgðaraðila sem þurfa að haga skipulagi sínu með tilliti til refsiábyrgðar.
Greiningin leiðir til þriggja brýnna lagfæringa, fjögurra æskilegra lagfæringa og tveggja til íhugunar. Heildarmyndin er sú að lög nr. 90/2018 geta haldið kjarnasamræmi við reglugerðina meðan séríslenskar viðbætur og undirinnleiðing eru afmarkaðar eða afnumdar. Engar breytingar er ráðlagt að gera á þeim greinum sem rekja sig hreinlega til reglugerðarinnar — kjarnatryggingar persónuverndar standa óhaggaðar.
Brýn lagfæring (Flokkur 1):
Æskilegar lagfæringar (Flokkur 2):
Til íhugunar (Flokkur 3): Frekari einföldun á útvíkkun gildissviðs (4. gr., F08, 🟡) og á tvöföldu leyfiskerfi fyrir vísindarannsóknir (34. gr., F09, 🟡).
Verklags- og málsmeðferðartillögur: Birta heildstæða samanburðartöflu sem fylgi lögum nr. 90/2018 í samræmi við ábendingar starfshóps utanríkisráðuneytisins frá 31. maí 2024; gefa út viðauka við greinargerð þar sem þau frávik sem voru ótilgreind (sérstaklega 51. gr.) eru rökstudd eftir á; og leita álits utanríkisráðuneytisins á samrýmanleika 51. gr. við 82. gr. reglugerðarinnar í ljósi Landsréttar 312/2025.
Samhliða þessari skýrslu fylgir breytingarfrumvarp sem útfærir Flokk 1 og Flokk 2 að fullu — það ber heitið Frumvarp til laga um breytingu á lögum um persónuvernd og vinnslu persónuupplýsinga, nr. 90/2018 (samræming við reglugerð (ESB) 2016/679 — afnám gullhúðunar).
(Niðurstöður F08 og F09 — 🟡 — eru raktar í §3 en eru ekki teknar í þessa töflu vegna alvarleikastigs.)
Greinargerð frumvarpsins skal samkvæmt eftirfarandi reglum tilgreina frávik frá undirliggjandi gerð:
Eftirfylgni hverrar reglu:
Reglugerðin er að megininntaki ófrávíkjanleg en hefur afmörkuð svigrúmsákvæði þar sem aðildarríki hafa skilgreint svigrúm til að setja sérreglur. Þetta er meginsamræmingarmynstur reglugerðarinnar.
Þýðing fyrir niðurstöður: Gullhúðun á svigrúmsbundnum greinum er lögmæt að efni en metanleg (sbr. F03, F04, F05, F06, F08, F09); gullhúðun á ófrávíkjanlegri grein er ólögmæt og ber að lagfæra (sbr. F07). Innlendar viðbætur sem ekki rekja sig til neinnar greinar gerðarinnar (G30) eru sérstakar (F01, F02 að hluta, F03 að hluta, F05).
Lög þessi gilda um vinnslu persónuupplýsinga látinna einstaklinga eftir því sem við getur átt í fimm ár frá andláti þeirra eða lengur þegar um ræðir persónuupplýsingar sem sanngjarnt og eðlilegt má telja að leynt fari.
Ákvæði laga þessara og reglugerðarinnar gilda án tillits til þess hvort málefni fellur undir gildissvið EES-samningsins, að undanskildum VII. kafla reglugerðarinnar.
Þessi reglugerð gildir ekki um vinnslu persónuupplýsinga látinna einstaklinga. Aðildarríkjum er heimilt að setja reglur um vinnslu persónuupplýsinga látinna einstaklinga.
Útvíkkun gildissviðsins til vinnslu látinna í fimm ár er innan svigrúms 27. liðar formála og lögmæt. Almenn útvíkkun gildissviðs „án tillits til þess hvort málefni fellur undir gildissvið EES-samningsins" er innlend samræmingarregla — gagnleg að efni en ekki krafin af gerðinni.
☑ Tilgreint en aðeins að hluta rökstutt.
☑ 🟡 — innan svigrúms; rökstuðningur til staðar; útvíkkanir hagstæðar.
☑ Hár.
Mótrökin ná fram að ganga — söguleg samfella og menningarsögulegir hagsmunir réttlæta. Niðurstaðan helst 🟡.
Beitt í úrskurðum Persónuverndar um vinnslu látinna (m.a. í tengslum við erfðafræðirannsóknir).
Rafræn vöktun er ávallt háð því skilyrði að hún fari fram í málefnalegum tilgangi. Rafræn vöktun svæðis þar sem takmarkaður hópur fólks fer um að jafnaði er jafnframt háð því skilyrði að hennar sé sérstök þörf vegna eðlis þeirrar starfsemi sem þar fer fram.
Vinnsla persónuupplýsinga sem á sér stað í tengslum við rafræna vöktun skal uppfylla ákvæði laga þessara.
Heimilt er í tengslum við framkvæmd rafrænnar vöktunar að safna efni sem verður til við vöktunina, svo sem hljóð- og myndefni, með viðkvæmum persónuupplýsingum og upplýsingum um refsiverða háttsemi ef eftirfarandi skilyrði eru uppfyllt: 1. vöktunin sé nauðsynleg og fari fram í öryggis- eða eignavörsluskyni; 2. það efni sem til verður við vöktunina verði ekki afhent öðrum eða unnið frekar nema með samþykki þess sem upptaka er af eða á grundvelli heimilda í reglum skv. 5. mgr.; ...; 3. því efni sem safnast við vöktunina verði eytt þegar ekki er lengur málefnaleg ástæða til að varðveita það.
Þegar rafræn vöktun fer fram á vinnustað eða á almannafæri skal með merki eða á annan áberandi hátt gera glögglega viðvart um þá vöktun og hver sé ábyrgðaraðili.
Í 14. gr. frumvarpsins er að finna sérreglur um rafræna vöktun, samhljóða núgildandi reglum um efnið ... Reglugerð ESB hefur ekki að geyma sérstök ákvæði um sjónvarpsvöktun. (Þskj. 1029, almennar athugasemdir.)
☑ Vantar — greinargerðin viðurkennir berum orðum að reglugerðin hafi ekki samsvarandi ákvæði, en tilgreinir ekki að um sé að ræða innleiðingu umfram lágmark.
Lög nr. 90/2018, 14. gr. (sjá 3.14.1).
Reglugerð (ESB) 2016/679 (íslensk gerðarþýðing, fylgiskjal laga 90/2018): Engin samsvarandi grein um sjónvarpsvöktun.
Reglugerð (ESB) 2016/679 (enska): No counterpart article.
Rafræn vöktun er sjálfstætt íslenskt regluverk sem ekki á sér samsvarandi grein í reglugerð (ESB) 2016/679. Greinin er rakin til eldri persónuverndarlöggjafar á Íslandi (lög nr. 121/1989 og lög nr. 77/2000) og var óbreytt flutt yfir í lög nr. 90/2018. Hún bætir við skilyrðum (málefnaleg ástæða, brýn nauðsyn, viðvörunarskylda, reglugerðarvald Persónuverndar) sem ekki eru í reglugerðinni. Þetta er hreint G30-mynstur — innlend sérregla í hreinu innleiðingarfrumvarpi.
☑ Tilgreint en órökstutt.
☑ 🔴. Hefur veruleg áhrif á atvinnulíf og einstaklinga.
☑ Mikill (95%+).
Mótrökin standast ekki — engin EES-aðlögun, engin dómaframkvæmd Dómstóls Evrópusambandsins, engin stjórnarskrárregla réttlætir sjálfstætt regluverk umfram GDPR-meginreglur. Söguleg samfella við 77/2000 réttlætir áframhald en ekki forgang fram yfir lágmarksviðmið. Niðurstaðan stenst sem 🔴.
Starfræksla fjárhagsupplýsingastofa og vinnsla upplýsinga sem varða fjárhagsmálefni og lánstraust einstaklinga og lögaðila, þ.m.t. vanskilaskráning og gerð lánshæfismats, í því skyni að miðla þeim til annarra, skal bundin leyfi Persónuverndar. Þegar um lögaðila er að ræða gilda eingöngu eftirfarandi ákvæði laga þessara: 17. gr. um upplýsingarétt hins skráða, 20. gr. um rétt til leiðréttingar og eyðingar gagna, 25. gr. um meðferð vinnsluaðila á upplýsingum, 31. gr. um leyfisskylda vinnslu, 32. gr. um forsendur leyfisveitingar, 33. gr. um skilmála, 5. og 6. tölul. 1. mgr. 41. gr. um aðgang Persónuverndar að upplýsingum o.fl., 6. tölul. 42. gr. um stöðvun vinnslu o.fl., 45. gr. um dagsektir, 48. gr. um refsingar og 51. gr. um bætur.
Ráðherra skal setja reglugerð þar sem nánar er mælt fyrir um skilyrði fyrir vinnslu skv. 1. mgr.
Lög nr. 90/2018, 15. gr. (sjá 3.15.1).
Reglugerð (ESB) 2016/679 (íslensk gerðarþýðing, fylgiskjal laga 90/2018): Engin samsvarandi grein um starfrækslu fjárhagsupplýsingastofa eða leyfisskylda vinnslu lánstraustsgagna.
Tvíþætt frávik: (a) innlent sérákvæði (G30) — reglugerðin hefur ekki sérgrein um lánstraust og fjárhagsmálefni; (b) Davidson-3 — krefst fyrirframleyfis frá Persónuvernd, sem er strangari málsmeðferðarregla en gerðin krefst. Greinin víkkar persónugildissviðið út til lögaðila þótt reglugerðin gildi einungis um einstaklinga (sbr. 14. lið formála).
☑ Ótilgreint.
☑ 🔴.
☑ Mikill.
Engin EES-aðlögun, engin dómaframkvæmd Dómstóls Evrópusambandsins, engin sterk stjórnarskrárregla styður fyrirframleyfiskerfi. Söguleg samfella við 45. gr. laga 77/2000 réttlætir ekki Davidson-3-fyrirkomulag sem fer fram úr svigrúmi reglugerðarinnar. Niðurstaðan stenst sem 🔴.
Þjóðskrá Íslands heldur bannskrá yfir nöfn þeirra sem eru andvígir því að nöfn þeirra séu notuð í markaðssetningarstarfsemi.
Áður en hafin er vinnsla persónuupplýsinga, til dæmis nafna eða heimilisfanga, til notkunar við markaðssetningu eða uppflettingar í markaðsskrá skal ábyrgðaraðili bera þær upplýsingar saman við bannskrá Þjóðskrár Íslands í því skyni að koma í veg fyrir að markpóstur verði sendur eða hringt verði til einstaklinga sem hafa andmælt slíku.
Reglugerð (ESB) 2016/679, 21. gr. (íslensk gerðarþýðing): mælir fyrir um andmælarétt skráðs einstaklings; vegna markaðssetningar á einstaklingur „rétt til að andmæla hvenær sem er, þ.m.t. gerð persónusniðs í tengslum við slíka beina markaðssetningu". Engin grein gerðarinnar mælir fyrir um landskrá yfir andmæli.
Bannskrá Þjóðskrár Íslands er íslensk lausn á framkvæmd andmælaréttarins gagnvart markaðssetningu — ekki ákvæði reglugerðarinnar. Greinin felur í sér viðbótarkvöð: ábyrgðaraðili skal bera markaðsskrár sínar saman við opinbera bannskrá áður en hafin er markaðsstarfsemi.
☑ Tilgreint en órökstutt.
☑ 🟠.
☑ Hár.
Mótrökin ná fram að nokkru — hagkvæmt fyrir markaðsstarfsemi að ein opinber miðstöð sýsli með andmæli. Niðurstaðan helst 🟠.
Persónuvernd hefur úrskurðað um markaðsstarfsemi og bannskrá í tugum mála. Bannskráin er virkt eftirlitskerfi.
- gr. Leyfisskyld vinnsla. Persónuvernd getur ákveðið að tiltekin vinnsla persónuupplýsinga sé háð leyfi stofnunarinnar, t.d. þegar um er að ræða sérlega miklar áhættur fyrir réttindi og frelsi einstaklinga.
Reglugerð (ESB) 2016/679, 5. mgr. 36. gr. (íslensk gerðarþýðing): „Að því er varðar opinbera þjónustu, sem aðildarríki framkvæmir á grundvelli laga, m.a. þá vinnslu sem fer fram í tengslum við skattheimtu, geta aðildarríki krafið ábyrgðaraðila um að leita samráðs við og fá fyrirframleyfi eftirlitsyfirvalds."
☑ Tilgreint en órökstutt.
☑ 🟠.
☑ Hár.
Söguleg samfella við 33.–35. gr. fyrri laga 77/2000. Mótrökin ná að réttlæta viðhald kerfisins en ekki að víkkun gildissviðs falli sjálfkrafa innan ramma 5. mgr. 36. gr. reglugerðarinnar. Niðurstaðan helst 🟠.
Persónuvernd hefur beitt 31.–32. gr. í tugum úrskurða. Reglugerð nr. 606/2023 byggir á þessu kerfi varðandi lánstraust. Engin ESA-/EFTA-/CJEU-afgreiðsla.
Innan svigrúms 9. gr. 2. mgr. j-liðs og 89. gr. reglugerðarinnar; tvöfalt leyfiskerfi (Persónuvernd og Vísindasiðanefnd skv. lögum nr. 44/2014) er stjórnsýsluleg samfella. Tilgreint og að hluta rökstutt. Niðurstaðan helst 🟡.
Ef ekki er farið að fyrirmælum Persónuverndar skv. 6., 7. og 9. tölul. 42. gr. laga þessara getur hún, áður en hún ákveður stjórnvaldssekt skv. 46. gr. laga þessara, lagt dagsektir á þann sem fyrirmælin beinast að þar til úr hefur verið bætt að mati hennar. Sektir geta numið allt að 200.000 kr. fyrir hvern dag sem líður eða byrjar að líða án þess að fyrirmælunum sé fylgt.
Reglugerð (ESB) 2016/679: 58. gr. mælir fyrir um „viðeigandi ráðstafanir" eftirlitsyfirvalda; stjórnvaldssektir koma fram í 83. gr. Engin grein gerðarinnar mælir fyrir um dagsektakerfi með 200.000 kr./dag hámarki.
Dagsektir eru íslensk stjórnsýslulagahefð (sbr. lög nr. 91/1991) sem ekki tengist beint reglugerðinni. Þær eru sjálfstætt íþyngjandi viðurlög umfram stjórnvaldssektir 83. gr. — Davidson-3 / mynstur G30.
☑ Ótilgreint.
☑ 🟠 — innlend sérviðbót innan svigrúms aðildarríkja varðandi þvingunarráðstafanir.
☑ Mikill.
Söguleg samfella við íslenska stjórnsýslulagahefð réttlætir lögmæti. Niðurstaðan helst 🟠.
Persónuvernd hefur sjaldan beitt dagsektum — yfirleitt eru stjórnvaldssektir 83. gr. valdar.
Ef brot einstaklings er stórfellt getur það varðað fangelsi allt að þremur árum. Brot telst stórfellt þegar það er framið af ásetningi og í hagnaðarskyni með sérstaklega vítaverðum hætti og persónuupplýsingar mikils fjölda skráðra einstaklinga sem leynt eiga að fara samkvæmt lögum eða eðli máls komast í hendur þriðja aðila eða birtast opinberlega.
Hafi fyrirsvarsmaður lögaðila, starfsmaður hans eða annar á hans vegum framið brot skv. 1. mgr. í starfsemi lögaðilans má gera honum refsingu, samhliða stjórnvaldssekt sem lögaðilanum er gerð skv. 46. gr. laga þessara.
Brot einstaklings á þagnarskyldu skv. 36. og 44. gr. laga þessara varðar sektum eða fangelsi allt að einu ári. Hafi hann framið brotið til þess að afla sér eða öðrum óréttmæts ávinnings má beita fangelsi allt að þremur árum.
Lög nr. 90/2018, 48. gr. (sjá 3.48.1).
Reglugerð (ESB) 2016/679, 1. mgr. 84. gr. (íslensk gerðarþýðing — fylgiskjal laga 90/2018): „Aðildarríkin skulu ákvarða reglur um önnur viðurlög við brotum gegn þessari reglugerð, einkum brotum sem varða ekki stjórnsýslusektum skv. 83. gr., og skulu gera allar nauðsynlegar ráðstafanir til að sjá til þess að þeim sé komið til framkvæmda. Slík viðurlög skulu vera skilvirk, í réttu hlutfalli við brot og hafa varnaðaráhrif."
Reglugerð (ESB) 2016/679, Article 84 (enska): "Member States shall lay down the rules on other penalties applicable to infringements of this Regulation, in particular for infringements which are not subject to administrative fines pursuant to Article 83, and shall take all measures necessary to ensure that they are implemented. Such penalties shall be effective, proportionate and dissuasive."
Reglugerðin felur aðildarríkjum í sjálfsvald hvort og hvernig refsiviðurlög séu sett — engin skylda. Ísland hefur valið hörðustu leiðina: fangelsi allt að þremur árum. Þetta er Davidson-3 nýting á svigrúmsákvæði og að því leyti lögmæt nýting svigrúms, en útfærslan er mjög ströng.
☑ Tilgreint, en aðeins að hluta rökstutt.
☑ 🔴 — Davidson-3 nýting svigrúms með ströngum refsiramma hefur veruleg áhrif á réttarstöðu einstaklinga og atvinnurekenda.
☑ Mikill.
Mótrökin standast ekki: dómaframkvæmd Dómstóls Evrópusambandsins (C-807/21 Deutsche Wohnen, 5. desember 2023) staðfesti að stjórnsýslusektir samkvæmt 83. gr. reglugerðar (ESB) 2016/679 eru sjálfstæð viðurlög sem fullnægja kröfu „skilvirk, í réttu hlutfalli og varnaðaráhrif". 76. gr. stjórnarskrár (meðalhófsregla refsinga) mælir eindregið gegn 3 ára fangelsisrefsingu þegar 83. gr. sektir eru þegar mjög háar. Niðurstaðan stenst sem 🔴.
Hafi ábyrgðaraðili eða vinnsluaðili unnið með persónuupplýsingar í andstöðu við ákvæði reglugerðarinnar, laga þessara eða reglna settra á grundvelli þeirra eða fyrirmæli Persónuverndar skal hann bæta hinum skráða það fjárhagslega tjón sem sá síðarnefndi hefur orðið fyrir af þeim völdum. Ábyrgðaraðila eða vinnsluaðila verður þó ekki gert að bæta tjón sem hann sannar að hvorki verður rakið til mistaka né vanrækslu af hans hálfu.
Lög nr. 90/2018, 51. gr. (sjá 3.51.1).
Reglugerð (ESB) 2016/679, 1. mgr. 82. gr. (íslensk gerðarþýðing — fylgiskjal laga 90/2018):
Hver sem hefur orðið fyrir eignatjóni eða óefnislegu tjóni vegna brots á ákvæðum þessarar reglugerðar skal eiga rétt á skaðabótum frá ábyrgðaraðila eða vinnsluaðila fyrir það tjón sem hann hefur orðið fyrir.
Reglugerð (ESB) 2016/679, Article 82(1) (enska):
Any person who has suffered material or non-material damage as a result of an infringement of this Regulation shall have the right to receive compensation from the controller or processor for the damage suffered.
Þrátt fyrir að 3. mgr. 5. gr. laga nr. 90/2018 (forgangsákvæði reglugerðarinnar) leysi árekstur með því að reglugerðin gangi framar, hefur orðalag 51. gr. valdið hagnýtum vandkvæðum: lögmenn hafa farið í kringum 51. gr. með kröfu á grundvelli 26. gr. b skaðabótalaga nr. 50/1993 sem hefur strangara skilyrði um stórfellt gáleysi.
☑ Ótilgreint — orðið „fjárhagslegt" er fest í lögum án rökstuðnings fyrir því hvers vegna miskabætur eru útilokaðar. 8. gr. b-liður reglna forsætisnefndar er ekki uppfylltur.
☑ 🔴 — undirinnleiðing á ófrávíkjanlegri grein. Davidson-1 öfugt (þrengra en lágmark — brot á samræmingu).
☑ Mikill (95%+) — orðréttur samanburður er ótvíræður; dómaframkvæmd Dómstóls Evrópusambandsins (C-300/21 og fylgimál) staðfestir kröfu 82. gr.
Mótrökin standast ekki: dómaframkvæmd Dómstóls Evrópusambandsins styður breitt og samræmt bótaréttarhugtak; engin EES-aðlögun krefst þrengingar; engin stjórnarskrárregla styður takmörkun. Söguleg samfella við 43. gr. fyrri laga 77/2000 (sem einnig sagði „fjárhagslegt tjón") réttlætir ekki undirinnleiðingu á ófrávíkjanlegri reglu. Niðurstaðan stenst sem 🔴.
Fyrir hverja niðurstöðu sem flokkast 🟠 eða 🔴 í §3 hefur verið unnin sjálfstæð heimildarrakning lagaferils sem fylgir í þessum kafla. Þrjár vikur lágu fyrir á þingnefndarstigi (samhliða 22. og 23. lagagrein og samhliða öðrum greinum) þannig að umsagnaraðilar gátu lagt fram athugasemdir.
Lög nr. 90/2018, 14. gr. — „Rafræn vöktun er ávallt háð því skilyrði að hún fari fram í málefnalegum tilgangi. ... Heimilt er í tengslum við framkvæmd rafrænnar vöktunar að safna efni sem verður til við vöktunina ... "
Reglugerð (ESB) 2016/679 — Engin samsvarandi grein.
☑ Framlagt frumvarp (þskj. 1029) — 14. gr. var hluti af upphaflegu frumvarpi dómsmálaráðherra. Ákvæðið er rakið til 4. gr. og 9. gr. fyrri laga nr. 77/2000 sem aftur byggðu á lögum nr. 121/1989.
Engin sérstök umræða um 14. gr. sem hafði áhrif á orðalag.
„Í 14. gr. frumvarpsins er að finna sérreglur um rafræna vöktun, samhljóða núgildandi reglum um efnið ... Reglugerð ESB hefur ekki að geyma sérstök ákvæði um sjónvarpsvöktun."
Ekkert sértækt kostnaðarmat fyrir sérreglu um rafræna vöktun.
Lög nr. 90/2018, 15. gr. — „Starfræksla fjárhagsupplýsingastofa og vinnsla upplýsinga sem varða fjárhagsmálefni og lánstraust ... skal bundin leyfi Persónuverndar."
Reglugerð (ESB) 2016/679 — Engin samsvarandi grein.
☑ Framlagt frumvarp (þskj. 1029) — 15. gr. er flutt áfram úr 45. gr. fyrri laga nr. 77/2000.
Dómsmálaráðuneyti.
Allsherjar- og menntamálanefnd (þskj. 1281): engin sérstök efnisleg umfjöllun.
Greinargerðin vísar í 5.–6. gr. reglugerðarinnar en rökstyður ekki fyrirframleyfiskerfið með vísan til 2. og 3. mgr. 6. gr. eða 23. gr. reglugerðarinnar.
Norðurlandasamanburður: ekkert af Noregi, Danmörku, Svíþjóð eða Finnlandi hefur sjálfstætt leyfiskerfi vegna lánstraustsstofnana sambærilegt 15. gr. laga nr. 90/2018. Almenn ákvæði reglugerðarinnar og málsmeðferð 36. gr. reglugerðarinnar nægja.
Söguleg samfella við 28. gr. fyrri laga 77/2000. Engar sérstakar umsagnir gegn bannskránni. Persónuvernd hefur úrskurðað um markaðsstarfsemi og bannskrá í tugum mála; kerfið er virkt og nýtt af markaðsaðilum. Áhrifaflokkur: beitt samkvæmt orðanna hljóðan.
Sameiginleg umsögn SA og fimm annarra atvinnulífssamtaka (þskj. 1773):
„31.–33. frumvarpsins: Leyfisskylda og ráðgjöf. Í 31.–33. gr. frumvarpsins er að finna ákvæði um íþyngjandi sérreglur er lúta að leyfisskyldri vinnslu og leggja samtökin til að þau verði felld brott. Ákvæðin fela í sér viðbótarskyldu á íslenska ábyrgðaraðila sem eru matskennd og skapa vafa..."
Beint kall um afnám frá lykilhagsmunaaðilum. Allsherjar- og menntamálanefnd sá ekki ástæðu til að fella ákvæðin brott.
Söguleg samfella við íslenska stjórnsýslulagahefð. Persónuvernd hefur sjaldan beitt dagsektum.
Vísað í 84. gr. reglugerðarinnar sem heimildargrundvöll. Hámarki var hækkað úr einu ári í þrjú ár við lög 90/2018 (samanborið við 77/2000 sem mælti fyrir um eitt ár). Norðurlandasamanburður: Noregur — sektir, ekki fangelsi; Danmörk — bótaábyrgð og fangelsi allt að 6 mánuðum fyrir tiltekin alvarleg brot; Svíþjóð — engar refsingar; Finnland — engar sjálfstæðar refsingar. Ísland er strangasta refsiviðurlagaríkið á Norðurlöndum að þessu leyti.
„Þannig er ábyrgðaraðili eða vinnsluaðili bótaskyldur fyrir fjárhagslegt tjón sem rekja má til ólögmætrar vinnslu, nema hann sanni að tjón megi ekki rekja til hans, sbr. 51. gr. og 82. gr. reglugerðarinnar."
Tilgreining á því að „fjárhagslegt tjón" þrengi við „eignatjón eða óefnislegt tjón" 82. gr. reglugerðarinnar er ekki gerð.
Tillögur eru flokkaðar eftir forgangi. Sérhver tillaga vísar í þá niðurstöðu sem hún byggir á.
Engin niðurstaða þurfti lækkun um meira en eitt þrep eða brottfellingu. Allar 9 niðurstöður standa óhaggaðar eftir sjálfsprófun.
Eftirfarandi efnislegar takmarkanir skipta lesandann máli við mat á niðurstöðum:
Allar tilvitnanir fylgja íslenskri aðlögun OSCOLA-staðalsins. Nákvæm tilvísun í grein og málsgrein þar sem unnt er.
Lög og reglur:
Lagaferill málsins (Alþingi):
Umsagnir (þingnefndarstig, 622. mál, 148. lögþ.):
Íslensk dómaframkvæmd:
Úrskurðir Persónuverndar (úrval):
Undirliggjandi gerð og upptaka:
Dómaframkvæmd Dómstóls Evrópusambandsins:
Lok skýrslu.