GDPR i Norge: hvorfor loven gjelder direkte, ikke som en EU-lov

En eksportbedrift i Ålesund som selger sjømatteknologi til kunder i Nederland og Frankrike, får en e-post fra en fransk innkjøpsavdeling: "Vennligst bekreft at dere overholder GDPR før vi fornyer avtalen." Første tanke i ledelsen er ofte den samme som hos et amerikansk eller britisk selskap i samme situasjon: "Er dette en EU-lov som plutselig gjelder for oss fordi vi har europeiske kunder?" Svaret overrasker de fleste. For et norsk selskap er spørsmålet stilt feil. GDPR er ikke en fremmed lov som strekker seg inn i Norge fordi dere har EU-kunder — det er norsk lov, på lik linje med arbeidsmiljøloven eller regnskapsloven. Denne artikkelen forklarer hvorfor, og hva forskjellen faktisk betyr i praksis.

Norge er EØS, ikke EU — men for GDPR er svaret det samme

Norge er ikke medlem av EU, men er medlem av Det europeiske økonomiske samarbeidsområdet (EØS) sammen med Island og Liechtenstein. Gjennom EØS-avtalen er en stor del av EUs indre marked-regelverk gjort til norsk rett, og personvernforordningen (forordning (EU) 2016/679, GDPR) er ett av de klareste eksemplene. GDPR ble innlemmet i EØS-avtalen og gjennomført i norsk rett gjennom personopplysningsloven, som trådte i kraft i juli 2018 — samtidig med at forordningen begynte å gjelde i EUs medlemsstater. Det betyr at norske virksomheter har vært underlagt de samme reglene, med samme rettigheter for registrerte og samme plikter for behandlingsansvarlige, i like lang tid som virksomheter i Tyskland eller Sverige. Datatilsynet er Norges uavhengige tilsynsmyndighet og har håndhevet regelverket siden starten, med samme sanksjonsadgang og samme samarbeid med andre europeiske tilsynsmyndigheter gjennom Det europeiske personvernrådet (EDPB) som sine motparter i EU.

Ikke ekstraterritoriell rekkevidde — det ER norsk lov

Her ligger den viktigste presiseringen. GDPR har en kjent ekstraterritoriell mekanisme i artikkel 3 nr. 2: den fanger opp virksomheter uten etablering i EU/EØS, dersom de tilbyr varer eller tjenester til, eller overvåker atferden til, personer i EU/EØS. Det er denne mekanismen som gjør at et amerikansk SaaS-selskap uten europeisk kontor likevel må forholde seg til GDPR fordi det har europeiske brukere. Mange antar at norske selskaper rammes av GDPR på akkurat denne måten — som en slags forlenget arm fra Brussel. Det stemmer ikke. Et norsk selskap er omfattet av GDPR gjennom artikkel 3 nr. 1: territorialprinsippet for virksomheter etablert "i Unionen". Fordi Norge er EØS-stat og GDPR er innlemmet i EØS-avtalen, regnes en etablering i Norge som en etablering "i Unionen" i denne sammenhengen. Dere trenger ingen europeisk kunde og ingen grenseoverskridende aktivitet i det hele tatt for at GDPR skal gjelde — loven gjelder for enhver behandling av personopplysninger som skjer i forbindelse med virksomheten deres i Norge, akkurat som den ville gjort i Tyskland eller Sverige.

Hva dette betyr i praksis: ingen EU-representant er nødvendig

Forskjellen har en konkret, praktisk konsekvens som ofte skaper forvirring. GDPR artikkel 27 krever at behandlingsansvarlige og databehandlere som er etablert utenfor EU/EØS, men som omfattes av forordningen gjennom den ekstraterritorielle mekanismen i artikkel 3 nr. 2, må utpeke en skriftlig representant etablert i en av EUs medlemsstater. Dette gjelder for eksempel amerikanske eller britiske selskaper (Storbritannia er tredjeland etter brexit) med europeiske brukere. Et norsk selskap trenger ikke dette. Fordi Norge er EØS-stat og omfattes gjennom artikkel 3 nr. 1, ikke artikkel 3 nr. 2, er dere ikke en tredjelandsvirksomhet i GDPR-forstand — og representant-plikten i artikkel 27 gjelder rett og slett ikke for dere. Det er en reell forskjell fra situasjonen til et selskap i, si, USA eller Storbritannia som selger til de samme europeiske kundene dere gjør.

Hvor det likevel er en forskjell å være obs på: overføring til tredjeland

At GDPR gjelder direkte som norsk lov, betyr ikke at alle grenseflater forsvinner. Bruker virksomheten skytjenester eller underleverandører utenfor EØS-området — en amerikansk CRM-leverandør uten tilstrekkelighetsbeslutning, en indisk supportleverandør, eller lignende — gjelder kapittel V i GDPR om overføring til tredjeland på nøyaktig samme måte som for enhver annen EØS-etablert virksomhet. Da kreves et gyldig overføringsgrunnlag, typisk EUs standard personvernbestemmelser (SCC-er) eller en tilstrekkelighetsbeslutning, og ofte en supplerende vurdering (transfer impact assessment) av mottakerlandets lovgivning. Dette er ikke en konsekvens av at Norge er "utenfor EU" — det er nøyaktig samme regelsett som gjelder for en tysk eller fransk virksomhet som bruker de samme leverandørene.

Hva norske bedrifter bør sjekke i praksis

• Har dere et oppdatert behandlingsprotokoll etter artikkel 30, som viser hvilke personopplysninger dere behandler, formål og rettslig grunnlag?
• Er rettslig grunnlag dokumentert for hver hovedkategori av behandling — samtykke, avtale, rettslig forpliktelse, berettiget interesse eller annet?
• Har dere en personvernerklæring som faktisk gjenspeiler den behandlingen dere driver, ikke en generisk mal hentet fra internett?
• Bruker dere leverandører eller skytjenester etablert utenfor EØS, og har dere i så fall et gyldig overføringsgrunnlag (SCC-er, tilstrekkelighetsbeslutning) på plass for disse?
• Har dere vurdert om virksomheten er pålagt å ha et personvernombud etter artikkel 37, ut fra omfanget og arten av behandlingen dere driver?
• Vet dere hvem i organisasjonen som svarer når en kunde eller en samarbeidspartner i EU spør om GDPR-etterlevelse i et innkjøpsspørreskjema?

Generell informasjon, ikke juridisk rådgivning

Denne artikkelen gir generell informasjon og erstatter ikke juridisk rådgivning tilpasset deres konkrete situasjon, særlig ved overføring av personopplysninger til tredjeland eller vurdering av om personvernombud er påkrevd. Komplya skiller konsekvent mellom redaksjonelt kvalitetssikret innhold og utkastmateriale, slik at dere vet hva dere kan basere en beslutning på.

Det mest praktiske neste steget er sjelden å lese hele forordningen på nytt, men å få en personvernerklæring som faktisk stemmer med hvordan dere behandler personopplysninger i dag. Generer en personvernerklæring basert på deres konkrete virksomhet — ikke en generisk mal — og få et dokument dere kan sende til den neste kunden som spør.