I tysthet presenterade EU-kommissionen under förra veckan Omnibus-paketet. Ett paket med lagar som syftar till att reformera GDPR-lagstiftningen. För svenskt vidkommande innebär det lättnader för AI-relaterade företags produkt- och tjänsteutveckling men samtidigt innebär det skärpningar för svensk media eller företag som hanterar personuppgifter som kan vara integritetskränkande.

EU-kommissionen genomför enligt artikel 97 i GDPR en regelbunden utvärdering av förordningen. Förra årets utvärdering har nu resulterat i ett omfattande reformpaket, det så kallade Omnibus-paketet som presenterades under torsdagen i förra veckan.

Även om bland annat Tyskland, som historiskt varit ett av länderna som drev på för en omfattande integritetsskyddande lagstiftning rest frågan för en total omarbetning innebär Omnibus-paketet endast tekniska justeringar. Tyskland har kommit att kräva en omarbetning mot bakgrund av de negativa effekterna som dagens GDPR har för AI-utvecklingen och försvarsindustrin.

Förslagen fokuserar på att minska byråkratin kring GDPR, klargöra tillämpningen av EU:s AI Act och relaterad forskning, samt effektivisera olika former av processer. Här är de viktigaste punkterna:

Den viktigaste reformen, eller åtgärden, som adresserar informationsfriheterna och den svenska tryckfrihetsförordningen är definitionen av personuppgifter. Lagförslaget adresserar användandet av alias i tillämpningen av lagen, eller det som kallas för pseudifiering. Den nya lagen innebär att även alias, eller ”pseudonymiserade data” är att betrakta som personuppgifter om dessa kan spåras till fysisk person. Tillämpningen skall vara kontexberoende menar kommissionen. En skärpning av tidigare regelverk.

Lagförslaget innebär ytterligare undantag från transparenskravet och datatillgångsrättigheterna, inklusive för kommissionen en möjlighet att neka tillstånd för att ta betalt för tjänster som regleras av GDPR.

Sammanfattningsvis innebär Omnibus-paketet både en lättnad och en skärpning av regelverket kring GDPR. 

De goda nyheterna är för AI-industrin där regelverket luckras upp för de applikationer som kan visa upp samhällsnytta och ökad försvarsförmåga. En direkt respons på försvarsmaterielindusrins krav.

De dåliga nyheterna detta innebär är att regelverket ytterligare skärper kraven på anonymisering av personuppgifter som publiceras publikt eller offentligt som kan vara integritetskränkande. Såsom uppgifter ur domstolsbeslut. Anonymiseringskraven, eller pseudomiseringen, skall vara så pass långtgående att en identifiering av person omöjliggörs.

Vilka konsekvenser detta kommer få för företag eller media som publicerar uppgifter om begångna brott eller rättsfall är idag svårt att överblicka men frågan kommer sannolikt att behöva prövas rättsligt.

EU:s generaladvokat har i ett parallellt rättsfall fört fram att GDPR trumfar de svenska grundlagarna.