Mange tror GDPR forbyr skytjenester, eller i hvert fall amerikanske av slaget. Det stemmer ikke. Men regelverket stiller krav, og noen av dem er lette å overse. Her er det norske bedrifter faktisk bør vite om personvern når dataene flytter til skyen.
Dette er en oversikt, ikke juridisk rådgivning. Konkrete vurderinger bør gjøres for hvert enkelt tilfelle, gjerne i dialog med Datatilsynet eller juridisk kompetanse.
Grunnregelen: tryggest i EØS
Det enkleste utgangspunktet er at personopplysninger behandles innenfor EØS. Da slipper du de mest kompliserte spørsmålene om overføring av data ut av området. Ligger dataene i et datasenter i Europa, og behandles der, er du på trygg grunn etter hovedregelen.
Utfordringene begynner når data, eller tilgangen til dem, krysser grensen ut av EØS.
Myten om amerikanske skytjenester
GDPR forbyr ikke amerikanske skyleverandører. Men det finnes en kjent komplikasjon: den amerikanske CLOUD Act kan pålegge amerikanske selskaper å utlevere data til amerikanske myndigheter, uansett hvor i verden dataene fysisk ligger. Loven følger hvem som kontrollerer dataene, ikke hvor de er lagret.
Det betyr at det å velge «europeisk region» hos en amerikansk leverandør ikke alene fjerner risikoen. Etter Schrems II-dommen ble den gamle ordningen for dataoverføring til USA kjent ugyldig, nettopp fordi amerikansk lov ga myndighetene tilgang på en måte som var uforenlig med europeisk personvern.
I dag finnes et rammeverk (Data Privacy Framework) som gir et lovlig grunnlag for overføring til amerikanske selskaper som sertifiserer seg. Men ordningen er omstridt og allerede utfordret rettslig, med en ny avgjørelse ventet. Kort sagt: det er mulig, men det hviler på et grunnlag som kan endre seg.
Datalagring er ikke det samme som datasuverenitet
En viktig forskjell som ofte blandes sammen:
- Datalagring (data residency) handler om hvor dataene fysisk ligger.
- Datasuverenitet (data sovereignty) handler om hvilke lands lover og domstoler som har myndighet over dem.
Du kan lagre data i et datasenter i Europa og likevel være eksponert for utenlandsk jurisdiksjon, dersom leverandøren er underlagt et annet lands lover. Det er suvereniteten, ikke bare plasseringen, som avgjør.
Leverandørene har svart på dette. Microsoft har fullført sin «EU Data Boundary» for Azure, Microsoft 365 og flere tjenester, og det finnes egne suverene skyløsninger for virksomheter med strengere krav.
Hva bør dere gjøre i praksis?
- Vit hvor dataene ligger, og hvem som har tilgang. Du kan ikke beskytte det du ikke har oversikt over.
- Hold personopplysninger i EØS der det er mulig. Bruk leverandørenes europeiske datagrenser, eller suverene alternativer ved sensitive data.
- Gjør en risikovurdering. Ved behandling som kan utgjøre høy risiko for personvernet, kreves en personvernkonsekvensvurdering (DPIA).
- Ha en databehandleravtale på plass. Avtalen med skyleverandøren må være i tråd med regelverket.
- Slett det dere ikke trenger. Mange virksomheter samler på data lenge etter at de har sluttet å bruke dem. Det er både unødvendig og en sikkerhetsrisiko.
- Styr tilgangen. Sørg for at bare de rette personene ser de rette dataene, og at det er sporbart.
Tilsynet skjerpes
Datatilsynet har de siste årene flyttet oppmerksomheten fra om virksomheter har dokumentasjon, til hvordan data faktisk brukes i praksis. Det holder ikke lenger å ha personvernerklæringen i orden hvis virkeligheten ser annerledes ut. God praksis må være innebygd, ikke etterpåklokskap.
Personvern som en del av god dataforvaltning
Det enkleste rådet er også det mest grunnleggende: ha kontroll på dataene dine. Vet du hvor de ligger, hvem som har tilgang, og hvorfor du har dem, er du langt på vei. Personvern er ikke et hinder for å bruke data godt, men en del av det å forvalte dem ansvarlig. Det er den samme strukturen og styringen som gjør en dataplattform pålitelig, slik vi beskriver i hva en moderne dataplattform er.
Lurer dere på om dataene deres ligger trygt? Ta kontakt for en uforpliktende prat.