Da den tidligere ekomloven ble vedtatt i 2003, var hverdagen vår lite digitalisert sammenliknet med i dag. Den norske befolkningen hadde nylig oppdaget internett, og smarttelefoner og sosiale medier var ikke-eksisterende. I dag lever vi i en tid hvor vi er «pålogget» store deler av dagen, med alt det innebærer av sikkerhetstrusler og konsekvenser for både kritisk infrastruktur og den enkelte bruker.
Den nye ekomloven møter disse utfordringene med strengere krav til sikkerhet og personvern, samtidig som den legger til rette for bedre vilkår, kontroll og transparens for brukerne. Loven stiller dermed krav som mange virksomheter, både private og offentlige, vil bli berørt av.
Hva er nytt om ekomloven?
Den nye ekomloven, eller «Lov om elektronisk kommunikasjon», inneholder flere sentrale endringer, blant annet:
- Utvidet anvendelsesområde: Reglene gjelder alle virksomheter knyttet til elektronisk kommunikasjon og tilhørende utstyr, som nå også uttrykkelig inkluderer over-the-top-tjenester (OTT-tjenester), slik som chattetjenester, tale over IP og alle former for e-post.
- Datasentre reguleres for første gang: Datasentre må blant annet registreres og oppfylle krav til forsvarlig sikkerhet og beredskap, og etterlevelse må kunne dokumenteres på forespørsel. Kostnader knyttet til etterlevelse av kravene må som hovedregel dekkes av virksomheten.
- Styrkede forbrukerrettigheter: De nye reglene oppstiller forbud mot diskriminerende krav eller vilkår, og skal sikre forbrukerne økt transparens og informasjon om bruk av tjenesten, blant annet gjennom opplysningsplikt før avtaleinngåelse, rett til avtalesammendrag, kontroll av kostnader, prissammenlikningstjenester og tilgang til e-post etter oppsigelse av abonnementsavtale.
- Strengere krav til samtykke for cookies (informasjonskapsler): For cookies som ikke er strengt nødvendige for å levere en informasjonssamfunnstjeneste eller utelukkende har til formål å overføre kommunikasjon i et elektronisk kommunikasjonsnett, må brukeren avgi et aktivt, frivillig, spesifikt, informert, utvetydig og dokumenterbart samtykke i tråd med kravene i personvernforordningen (GDPR). Det skal være like enkelt å si nei som å si ja til bruk av cookies. Regulering gjennom standardinnstillingene i nettleseren er ikke lenger godt nok. Forhåndsavkryssede bokser er ikke tillatt.
- Bredbånd til alle: Loven innfører hjemmel til å kunne pålegge leveringsplikt for bredbånd der det ikke kan leveres funksjonelt internett på andre måter, og hvor andre mindre inngripende virkemidler ikke kan benyttes (f.eks. bredbåndsstøtteordningen).
- Rettferdig konkurranse: Loven legger i større grad enn tidligere til rette for rettferdig konkurranse ved å sikre at store aktører ikke misbruker sin markedsmakt. Blant annet kan Nasjonal kommunikasjonsmyndighet (Nkom) utpeke en tilbyder med sterk markedsstilling og pålegge denne å gi konkurrentene tilgang til sine elektroniske kommunikasjonsnett, dersom tilgang til anleggsinfrastruktur ikke er tilstrekkelig til å fremme bærekraftig konkurranse.
- Krav til sikkerhet og robusthet: Loven viderefører kravene til forsvarlig sikkerhet og robusthet i elektronisk kommunikasjonstjenester og -nett for ekomtilbyderne, og utvider kravene til også å gjelde for datasenteroperatører. Særskilte krav til forsvarlig sikkerhet vil bli ytterligere spesifisert i forskrift.
Praktiske tiltak for etterlevelse av ekomloven
For å sikre etterlevelse av den nye ekomloven, anbefaler vi at din virksomhet blant annet vurderer følgende konkrete tiltak:
Kartlegg dages praksis:
- Identifiser hvilke elektroniske kommunikasjonstjenester, datasentre og bredbåndsløsninger virksomheten din eventuelt tilbyr eller benytter.
- Kartlegg bruken av cookies og andre sporingsmekanismer og vurder hvilke som krever aktivt samtykke.
Oppdater samtykkeløsninger:
- Implementer samtykkeløsninger for cookies som er i tråd med GDPR, inkludert muligheten for brukere å gi et aktivt, frivillig, spesifikt, informert, utvetydig og dokumenterbart samtykke. Her finnes det flere gode leverandører på markedet.
- Sikre at brukere enkelt kan velge bort cookies og at forhåndsavkryssede bokser (unntatt for nødvendige cookies) fjernes.
Utarbeid og revider sikkerhetsrutiner og -dokumentasjon dersom loven gjelder for din virksomhet:
- Sørg for at tilfredsstillende internkontroll er på plass. Utarbeid eller oppdater sikkerhetsrutiner for å beskytte mot datainnbrudd og sabotasje.
- Tilbydere av elektroniske kommunikasjonsnett eller -tjenester må utarbeide dokumentasjon som viser at sikkerheten er forsvarlig.
Forbered deg på mulig leveringsplikt for bredbånd:
- Dersom du er bredbåndsleverandør, vurder hvordan kravene til leveringsplikt for bredbånd kan berøre din virksomhet, spesielt i områder med svak digital infrastruktur.
Tilpass informasjon og kontrakter:
- Sikre at kontraktsvilkår og brukervilkår er i samsvar med de nye kravene, inkludert opplysningsplikt og avtalesammendrag.
- Sørg for at det foreligger spesifikke og oppdaterte personvernerklæringer, inkludert cookieserklæringer, der hvor personopplysninger behandles.
Sikre rettferdig konkurranse:
- Små og mellomstore aktører bør sette seg inn i hvordan loven beskytter dem mot markedsmaktmisbruk fra større aktører.
- Store aktører bør forberede seg på krav om å gi tilgang til nettverk og tjenester.
Informer og tren ansatte:
- Gjennomfør opplæring for relevante ansatte om de nye kravene og de praktiske konsekvensene av disse.
Samarbeid med juridiske og tekniske eksperter:
- Involver spesialister for å sikre at alle eksisterende og nye rutiner og systemer er i tråd med lovkravene.
Implementering av disse tiltakene vil kunne hjelpe din virksomheten med å oppfylle lovens krav og samtidig skape større trygghet og tillit blant brukerne.
Hva skjer ved manglende etterlevelse?
Brudd på den nye ekomloven kan føre til:
- Sanksjoner: Nasjonal kommunikasjonsmyndighet (Nkom) og Datatilsynet kan ilegge sanksjoner, herunder pålegg eller overtredelsesgebyr, for brudd på blant annet ekomloven og personvernregelverket.
- Omdømmetap: Tap av tillit fra brukere og negative medieoppslag kan få store konsekvenser for virksomheten.
- Juridiske tvister: Brukere og mikroforetak kan klage inn virksomheter som ikke overholder kravene til Brukerklagernemnda (BKN). Som alltid kan saker også innbringes for retten.
Ta kontakt med oss for å sikre at din virksomhet er i samsvar med de nye kravene — vi hjelper deg med å navigere i endringene.
