Datatilsynet har gennemgået sine databaser for at finde frem til de virksomheder, der har anmeldt sager fra år 2000 og frem med særligt personfølsomme data, som ligger i USA.
At gemme europæiske persondata i USA kan nemlig ikke længere gøres frit efter den såkaldte Facebook-dom i oktober. Den underkender Safe Harbor-aftalen mellem USA og EU, som hidtil har gjort det muligt for internationale dataleverandører at lagre persondata fra EU i USA
Tilsynet har sendt brev til ca. 200, men det er muligvis ikke alle, fortæller specialkonsulent Jesper Husmer Vang.
Dertil kommer et formodentlig større antal virksomheder, som har overført personoplysninger til USA uden at skulle hente en tilladelse fra Datatilsynet, fordi der ikke er tale om følsomme oplysninger.
Problemet er, at danske virksomheder i dag efter Safe Harbor-dommen overtræder persondataloven, fordi de sender deres data til store leverandører som Google, Dropbox, Amazon og Microsoft.
Ingen har overblik over, hvor mange virksomheder der i dag lægger data på tjenester, som benytter amerikanske servere.
»Men det er givetvis mange,« siger juraprofessor Peter Blume, som er medlem af Datarådet.
Advokat Nis Peter Dall fra firmaet Bird & Bird mener ligefrem, at der er tale om tusindvis.
»Tidligere overholdt man reglerne, når man fik hosted sine persondata hos en leverandør, der var med i Safe Harbor-ordningen. I dag skal man selv finde en alternativ overførselshjemmel. Det er mit indtryk, at mange virksomheder ganske ofte ikke er klar over det,« siger han.
Også data via mobilen
Kravet gælder alle persondata, herunder almindelige løn-, HR- og kundedata, som mange danske virksomheder har liggende i regneark på Google Drive. Selv kontaktdatabaser fra medarbejdernes mobiltelefoner, som synkroniseres mod Googles og Apples servere, kan være omfattet.
EU og USA forhandler lige nu om en ny aftale, som skal sikre, at de amerikanske efterretningstjenester kun har adgang til persondata i et omfang, som ‘er rimeligt i et demokratisk samfund’. Det er den formulering i EU-direktivet, som amerikanerne ifølge EU-Domstolen overtræder i dag.
Indtil udgangen af januar kommer myndighederne, herhjemme Datatilsynet, ikke efter virksomhederne, men arbejder sammen i EU om en fortolkning af dommen og dens konsekvenser.
Ifølge den hollandske regering er der ikke udsigt til, at den lander inden fristen 1. februar. Der er nemlig fortsat ikke taget hul på de store knaster om de amerikanske myndigheders adgang til europæernes data.
»Det er langtfra givet, at USA og EU kan blive enige, selv om begge parter har en interesse i det. Derfor bliver virksomhederne nødt til at tænke på, hvad de gør,« siger professor Peter Blume.
Små bøder i Danmark
Overtrædelser af persondataloven er i princippet strafbart.
»Vi ser dog ikke mange sager, og praksis er heller ikke at udstede store bøder,« understreger advokat Nis Peter Dall.
Bødeniveauet i Danmark er få tusinde kroner. Andre EU-lande giver bøder i millionklassen.
Der er tre typer af standardaftaler, som virksomhederne kan læne sig op ad, når de lægger persondata i skyen. Kun Safe Harbor er underkendt.
Det betyder, at danske virksomheder i stedet for Safe Harbor kan benytte en anden aftale, en standardkontrakt med navnet Standard Model Clauses.
I Dansk Industri kan chefkonsulent Henning Mortensen, der også er medlem af Datarådet, desuden oplyse, at de store dataleverandører gør det enkelt at skifte kontrakttype.
»Man kan hos nogle leverandører blot sætte et flueben et andet sted,« siger Henning Mortensen.
Microsoft fremhæver i en mail til Ingeniøren, at selskabet efterlever standardkontrakten.
Det kan dog være en stakket frist med også standardaftalen, der accepterer samme adgang til persondata for de amerikanske myndigheder som den ulovlige Safe Harbor-aftale.
Spørgsmålet er derfor, om de europæiske datatilsyn også efter 1. februar vil godkende, at data bliver sendt til USA på det grundlag. Det er ifølge Jesper Husmer Vang endnu for tidligt at svare på.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
