Personvernforordningen (GDPR) har nå vært i kraft i omtrent ti år, og en fersk analyse fra Compliance Week tar opp igjen et spørsmål som har fulgt loven siden den ble innført: Fungerer håndhevingen av GDPR faktisk likt overalt der den gjelder? Ifølge rapporten er svaret fortsatt nei. Ti år senere er forskjeller i hvordan de enkelte EU-landene overvåker og straffer personvernbrudd et vedvarende problem – et problem med reelle konsekvenser for folk som loven skal beskytte.

Et tiår med GDPR: Én lov, 27 ulike håndhevere

GDPR ble utformet som et enkelt, harmonisert regelverk for alle EUs medlemsland, men ble aldri håndhevet av én sentralisert tilsynsmyndighet. I stedet har hvert land sitt eget nasjonale datatilsyn (DPA), med ansvar for å undersøke klager, revidere virksomheter og ilegge bøter innenfor egne grenser. I saker som krysser landegrenser, for eksempel når et multinasjonalt teknologiselskap opererer i hele EU, utpekes vanligvis en «ledende tilsynsmyndighet», og koordinering skjer gjennom Det europeiske personvernrådet.

På papiret gir denne strukturen rom for lokal ekspertise og tilgjengelighet, slik at innbyggere i hvert land har en tilsynsmyndighet som snakker språket deres og forstår den nasjonale rettslige konteksten. I praksis har denne desentraliserte modellen, slik Compliance Week-analysen understreker, gitt ujevne resultater. Noen datatilsyn er bedre finansiert, mer pågående og raskere til å handle enn andre. Denne ujevnheten betyr at styrken på personvernet ditt kan avhenge, i hvert fall delvis, av hvor selskapet som behandler dataene dine tilfeldigvis har hovedkontor, eller hvor du tilfeldigvis bor.

Dette er ingen ny kritikk. Personvernforkjempere og juridiske forskere har pekt på det gjentatte ganger opp gjennom årene, og det faktum at det fortsatt trekkes frem et tiår etter at loven trådte i kraft, tyder på at det ikke er fullstendig løst. En forordning er bare så sterk som håndhevingen av den, og når håndhevingen varierer betydelig fra ett medlemsland til et annet, blir løftet om lik beskyttelse i hele EU vanskeligere å garantere i praksis.

Hvorfor håndhevingsforskjeller har betydning for vanlige brukere

Ujevn håndheving er ikke bare et abstrakt etterlevelsesproblem for juridiske avdelinger i selskaper. Det får praktiske konsekvenser i det øyeblikket noe går galt. Tenk på hva som skjer etter et datainnbrudd: Et selskap er rettslig forpliktet til å varsle berørte personer og tilsynsmyndigheter, men hvor raskt og grundig denne meldingen følges opp, og om det ansvarlige datatilsynet sørger for reell ansvarliggjøring, kan variere sterkt avhengig av hvilket land som behandler saken.

Et nylig eksempel illustrerer hva som står på spill når beskyttelsen svikter. Rapportering om Stormous-løsepengeangrepet mot et nederlandsk kirkenettverk viste hvor raskt sensitive personopplysninger – i dette tilfellet knyttet til en religiøs organisasjon som opererer i Nederland – kan havne på avveie når angripere først bryter seg inn i et nettverk. Hendelser som dette understreker hvorfor konsekvent og velfinansiert håndheving er viktig: Når et brudd skjer, er det ofte styrken og hastigheten i tilsynsresponsen som avgjør om ofrene får reelle svar, om de rammede organisasjonene forbedrer sikkerhetsnivået sitt, og om fremtidige hendelser avverges i det hele tatt.

Når håndhevingen er sterk, utløser brudd undersøkelser, bøter og offentlig ansvarliggjøring som presser organisasjonene mot bedre datapraksis. Når håndhevingen henger etter, enten på grunn av underfinansierte tilsynsmyndigheter, saksbehandlingskøer eller ulike nasjonale prioriteringer, svekkes den forebyggende effekten, og enkeltpersoner står enda mer ubeskyttet neste gang noe går galt.

Hva dette betyr for deg

Hvis du bor eller driver virksomhet i EU, gir GDPR deg fortsatt meningsfulle rettigheter: muligheten til å be om innsyn i egne data, kreve sletting og kreve åpenhet om hvordan de brukes. Men rapportens hovedfunn er en nyttig påminnelse om at disse rettighetene ikke håndheves med perfekt ensartethet, så det lønner seg å være proaktiv i stedet for å anta at systemet alltid vil fange opp problemer for deg.

Noen praktiske grep kan bidra til å tette gapet mellom den beskyttelsen som er nedfelt i loven, og den beskyttelsen du faktisk opplever i hverdagen:

  • Bruk GDPR-rettighetene dine direkte overfor selskaper i stedet for å vente på at tilsynsmyndighetene handler på dine vegne.
  • Følg med på varsler om datainnbrudd og følg dem opp, siden ikke alle svar fra datatilsyn vil være like raske eller grundige.
  • Bruk sterke, unike passord og aktiver tofaktorautentisering, ettersom tekniske sikkerhetstiltak ikke avhenger av hvilket lands tilsynsmyndighet som er involvert.
  • Vurder personvernverktøy som VPN eller kryptert kommunikasjon når du håndterer sensitiv informasjon, særlig hvis du er usikker på hvor strengt dataene dine vil bli beskyttet i senere ledd.

Hovedpoenget

Ti år etter at GDPR ble lov, har rammeverket utvilsomt hevet grunnivået for databeskyttelse i hele Europa og påvirket personvernregulering langt utenfor EUs grenser. Men Compliance Week-analysen er en betimelig påminnelse om at en lov bare er så effektiv som sitt svakeste håndhevingsledd. Frem til håndhevingen på tvers av medlemslandene blir mer konsistent, vil enkeltpersoner fortsette å dra ujevn nytte av den beskyttelsen GDPR var ment å garantere. Den sikreste veien videre foreløpig er å kombinere bevissthet om de juridiske rettighetene dine med fornuftige vaner for egen sikkerhet, i stedet for å stole utelukkende på at tilsynsmyndighetene tettes gapet.