Datatilsynet slår fast: Klartekst-data til USA er som hovedregel ulovligt

14. marts kl. 03:4529
Pigtråd
Illustration: Singjai | Bigstock.
Efter en ny cloud-vejledning fra Datatilsynet, understreger myndighedens ekspert, at danske virksomheder og myndigheder »som hovedregel« ikke må bruge amerikanske cloud-tjenester, der opbevarer data i klar tekst i USA.
Artiklen er ældre end 30 dage
Manglende links i teksten kan sandsynligvis findes i bunden af artiklen.

Den længe ventede cloud-vejledning fra Datatilsynet er ankommet, og derfor har dataansvarlige nu et konkret dokument – på dansk – at søge råd i, når cloud-frustrationerne vokser.

Men vejledningen indeholder ikke ligefrem gode nyheder til de virksomheder og myndigheder, der håbede på, at det nu ville blive lettere at bruge amerikansk cloud lovligt.

Log ind og læs videre
Du kan læse indholdet og deltage i debatten ved at logge ind eller oprette dig som ny bruger, helt gratis.
29 kommentarer.  Hop til debatten
Debatten
Log ind eller opret en bruger for at deltage i debatten.
settingsDebatindstillinger
29
17. marts kl. 13:34

"4. De samfundsinteresser, der er omhandlet i stk. 1, første afsnit, litra d), skal være anerkendt i EU-retten eller retten i den medlemsstat, som den dataansvarlige er underlagt."

28
15. marts kl. 17:05

såfremt nøglen til LUKS systemet så indhentes/indtastes på en sikker måde ved boot/mount

Og det er jo lige det. Hvis jeg sidder i Danmark, skal starte en server og indtaste et password eller en nøgle, har lille jeg jo ingen mulighed for at sikre at HTML formen til at indstaste passwordet kun behandles af sikker kode inde i en særlig enclave.

Eller der der nogen der kan forklare hvordan man kan lave et garanteret sikkert system, selvom vi giver angriberne root access til hele miljøet uden om enclaven, og jeg skal indtaste passwordet remote fra? Hvordan kan jeg f.eks. sikre mig at det ikke bare er en simulation af en enclave, som NSA har sat op med en FISA court order?

P.t. kan jeg ikke se at det kan lade sig gøre.

Selvom jeg værdsætter nye teknologier som gør det sværere at f.eks. aflytte en VM, så ændre det ikke på det fakta – at det i sidste ende er tillid - som det drejer sig om.

Jeg kan ikke se at det kan være anderledes.

27
15. marts kl. 14:43

Nu er Version2s læserskare nok ret varieret, men jeg er bekendt med, at foreninger for meget snævre interessegrupper som bestemte politiske eller seksuelle interesser også anvender MailChimp. Muligheden for læk af disse adresser via MailChimp til NSA eller andre er bekymrende.

26
15. marts kl. 14:21

Det danske datatilsyn har udtalt at de ikke ville have tolket sagen på samme måde som i Tyskland. Men det ændrer selvfølgelig ikke på, at en given sag ville skulle fortolkes konformt med andre EU-medlemslandes domme.

Spørgsmålet er, om det med DTs vurdering af, at det måske ikke står så slemt til med brug af Mailchimp, ville kunne ende med at argumentet for EU-konform fortolkning afvises, da (sagt med andre ord) det ikke er det samme som i den tyske sag.

Det ville helt klart være en meget interessant sag, da der hersker lidt uenighed om denne dom, som dog overskygger det væsentlige: det er en overførsel, og der er persondata iblandt, og det handler om en cloud-leverandør. Tidligere har (og det har DT også) gået ud fra at de oplysninger, NSA spørger efter, kun vedrører terror og våbenprofilering. Men den antagelse har vist sig at være tvivl omkring, hvilket kort sagt betyder: NSA snuser ikke kun i oplysninger, som kunne omhandle sager om våben og terror, men også alt andet, som USA skulle vurdere som "foreign intelligence".

25
15. marts kl. 14:08

Når jeg skal forklare mine teenagere hvad skyen er (cloud) er – så siger jeg at altid – at der findes ingen sky!

Der findes kun ”andre folks” computere.

Uanset hvordan man vender og drejer situationen, så har ”andre folk” altid fysisk adgang til maskineriet og kan derfor gøre ting med hardwaren, uden din vidende.

Selvom jeg værdsætter nye teknologier som gør det sværere at f.eks. aflytte en VM, så ændre det ikke på det fakta – at det i sidste ende er tillid - som det drejer sig om.

Jeg mener ikke at du kan have tillid til f.eks. AWS fordi de kan blive tvunget til at medvirke i – skal vi sige uetiske handlinger af deres regering.

Det jeg ikke forstår, er hvorfor så mange er så forhippet på at løbe de risici?

Det er i realiteten russisk dataroulette man er ude i – når man vælger AWS eller andre US clouds.

24
15. marts kl. 13:25

Samtidig omdannes alle links i de udsendte emails til links, der går viahttps://ing.us6.list-manage.com/track/click?u=1c81296a3a502cb76bc378789&id=b9e85807d6&e=8c8e2839cd

hvor u er listen og e er brugeren dvs alle kliks på links går lige en tur omkring en anden server, før de når Version2

IP-adressen er e13829.x.akamaiedge.net 23.78.54.24 og selvom adressen er allokeret til Akamai International, BV i Amsterdam, så er både
OrgAbusePhone: +1-617-444-253 OrgTechPhone: +1.617.444.4699 så mon ikke serveren befinder sig i USA ?

Et tysk datatilsyn har forbudt brugen af MailChimp https:/dpb.europa.eu/news/national-news/2021/bavarian-dpa-baylda-calls-german-company-cease-use-mailchimp-tool_en Bavarian DPA (BayLDA) calls for German company to cease the use of 'Mailchimp' tool

Hvordan mon Version2 vil forholde sig til dette ?

23
15. marts kl. 12:18

Azure VM i SKU DCsv2 understøtter secure enclave via Intel® Software Guard Extensions, AWS har deres Nitro Enclaves. Det forhindrer root/administrator i at tilgå data på CPU og memory på en VM.

Det ser interesssant ud - og hvis disken så er krypteret af OS (f.ex. med LUKS opsat på OS) - så BURDE det kunne gøres sikkert (såfremt nøglen til LUKS systemet så indhentes/indtastes på en sikker måde ved boot/mount).

Det er ikke et setup jeg har set nogen køre endnu - så jeg glæder mig til at det bliver "battle tested" - men det er da bestemt interessant som en mulig løsning, hvis det kan performe godt nok. Jeg tænker der nok går "nogle år" - før det performer godt nok - men vi får af se :)

22
15. marts kl. 11:00

IGEN - HVIS du kan SE dine data i en VM der kører på hardware hos Azure/Amazon/etc. så betyder det at dem der har ROOT adgang til de samme servere (fordi de ejer dem) - OGSÅ kan se DINE DATA og udlevere dem hvis en FISA henvendelse siger de skal.

Azure VM i SKU DCsv2 understøtter secure enclave via Intel® Software Guard Extensions, AWS har deres Nitro Enclaves. Det forhindrer root/administrator i at tilgå data på CPU og memory på en VM.

21
15. marts kl. 10:25

dermed er du garanteret at ingen kan tilgå dine krypterede data, uden krypteringsnøglerne

IGEN - HVIS du kan SE dine data i en VM der kører på hardware hos Azure/Amazon/etc. så betyder det at dem der har ROOT adgang til de samme servere (fordi de ejer dem) - OGSÅ kan se DINE DATA og udlevere dem hvis en FISA henvendelse siger de skal.

Det kan du IKKE fikse. Det beskytter KUN imod at nogen STJÆLER "data at rest" - dvs. disken data ligger på.

20
15. marts kl. 10:24

I Azure kan du køre SQL Server med BYOK via Azure Key Vault som kører på et HSM og dermed er du garanteret at ingen kan tilgå dine krypterede data, uden krypteringsnøglerne.

Deres egen dokumentation siger følgende:

Azure SQL transparent data encryption (TDE) with customer-managed key enables Bring Your Own Key (BYOK) scenario for data protection at rest, and allows organizations to implement separation of duties in the management of keys and data.

Det er kryptering at-rest, når SQL serverne har databaserne åbne og processerer hvad de end skal lave, så er data dekrypterede og kan læses af cloud-leverandøren. BYOK er bare at du leverer krypteringsnøglen fremfor leverandøren, den skal stadig overleveres så leverandøren kan levere den ydelse du bestiller...

19
15. marts kl. 10:05

For mig er fordelen ved cloud at jeg f.eks. kan have en SQL database, eller en virtuelt Linux server kørende og det hele kan skalere meget nemt.

I Azure kan du køre SQL Server med BYOK via Azure Key Vault som kører på et HSM og dermed er du garanteret at ingen kan tilgå dine krypterede data, uden krypteringsnøglerne. Du kan også kryptere disk på VM

På AWS hedder det tilsvarende CloudHSM.

18
14. marts kl. 18:04

Med udmeldingen er SaaS løsninger, der afvikles i cloud, hvor juridisk ejerskab er placeret i usikkert tredjeland hermed en død sild, da data jo skal dekrypteres inden de kan vises i skærmbilleder. Eneste undtagelse er, at data fremsendes til frontend krypteret, og denne frontend befinder sig i sikkert tredjeland - altså juridisk ejerskab i tredjeland.

17
14. marts kl. 16:53

Der findes løsninger, hvor data gemmes krypteret på Cloudløsningen, men dekrypteres lige inden det vises via en lokal maskine, som tager sig af hele kryptering og dekryptering af data.

Så det eneste vi kan anvende US cloud løsninger til er at opbevare (krypteret) bits - intet andet.

For mig er fordelen ved cloud at jeg f.eks. kan have en SQL database, eller en virtuelt Linux server kørende og det hele kan skalere meget nemt.

Det er vel pænt dyrt at opbevare data?

14
14. marts kl. 14:15

Ja, men så mister man jo hovedparten af (de fremførte) fordele der er ved cloud-løsninger da man så igen skal have nok CPU-kraft lokalt til at lave analyser mm (og man kan så heller ikke lige hurtigt købe x GFLOPS mere til brug i 2 dage).

Og er man så først der, så kan man jo lige så godt have det hele lokalt/i EU også.

Men jeg vil mene er den rigtige løsning under alle omstændigheder (men NSA er jo i sagens natur nok ikke enige i den analyse...).

Søren

12
14. marts kl. 13:45

Så vidt jeg forstår på de der BYOK løsninger, som handler det blot om man selv kan stå for generering af nøgler, men den skal jo i sagens natur uploades til den tjeneste man vil anvende, fordi ellers kan tjenesten jo ikke rigtig behandle data (andet end opbevare krypteret bits).

11
14. marts kl. 12:53

uanset om man bruger sin "egen nøgle" - hvis VM'en kører på en AWS server - kan ROOT (dvs. deres admins/support) tilgå alle data din VM kan tilgå - og der er data jo ukrypteret.

Det beskytter i mod at nogen stjæler/spejler diske - og koster på IO performance.

10
14. marts kl. 12:11

Indtil FHE kan udføres nogenlunde feasible, så må man nøjes med krypteret storage uden for EU.

https://en.wikipedia.org/wiki/Homomorphic_encryption

Jeg er stadig spændt på hvorledes MitId vil forklare deres brug af Akamai som underdatabehandler.

Deres DPO svarer ikke på hvilke data Akamai har adgang til.

8
14. marts kl. 10:30

Storage af data i tilstrækkeligt krypteret form er OK, men hvad er tilstrækkeligt, for den kryptering der er god nok i dag er måske ikke god nok i morgen, og krypterede data kan kopieres og siden kan krypteringen så brydes når muligt, og er der til den tid fortsat tale om oplysninger der skal være beskyttet.

Man kan slet ikke have systemer der kan vise data kørende i 3. landes cloud, for så har de som andre skriver adgang til krypteringsnøglen og den går ikke.

En database som man kan søge i, virker heller ikke holdbar.

Nogen der overhovedet kan se hvordan man kan bruge en cloudløsning i et 3. land.

7
14. marts kl. 09:42

På M365/Azure hedder det også Customer Key Encryption og virker dels på M365 og Azure data.

Man skal godkendes til at anvende løsningen og hvis 'customer' forlægger sin 'key' er der i sagens natur ikke længere adgang til at dekrypterer sit data.

6
14. marts kl. 09:15

Pas på med at give så brede udtalelser. AWS understøtter Bring Your Own Key (BYOK) på mange af deres tjenester. På AWS hedder det Customer Managed Key og det tilbyder nemlig at AWS kender ikke din krypterings nøgle og kan derfor ikke tilgå data ukrypteret. EC2 instanser findes også i udgaver med kryptering, de kaldes AWS Nitro Enclaves.

4
14. marts kl. 07:17

Jeg er lidt i tvivl om, hvordan denne sætning skal forstås:

"Leverandørerne skal kunne se data i klartekst for at udføre support, men også eksempelvis når en leverandør tilbyder at lave statistik til en hjemmesideejer baseret på sidens trafik."

Er det eksempler på undtagelser, hvor overførsel lovligt kan ske, eller er det eksempler på situationer, hvor overførsel i klartekst er nødvendig, men ikke lovlig?

Om undtagelser står der i artikel 49:https://gdpr.dk/databeskyttelsesforordningen/kapitel-5-overfoersler-af-personoplysninger-til-tredjelande-eller-internationale-organisationer/artikel-49-undtagelser-i-saerlige-situationer/

Jeg synes godt nok, der er fortolkningsmuligheder der. F.eks.:

"c) overførslen er nødvendig af hensyn til indgåelse eller opfyldelse af en kontrakt, der i den registreredes interesse indgås mellem den dataansvarlige og en anden fysisk eller juridisk person"

Hvad med diverse "lægeveje", hvor man kan kommunikere med egen læge? Man accepterer brugerbetingelserne (uden at ane, hvor clouden kommunikationen foregår), og måske vil nogen hævde, at det er i registreredes interesse, at sådan digital kommunikation er tilgængelig? Hvad ved vi i givet fald om, hvor disse data bevæger sig hen? (til gengæld kan man måske hævde, at der burde findes alternativer - men der står intet i undtagelserne (synes jeg) om, at det kun er, hvis der ikke er alternativer, at undtagelserne gælder)

Eller:"d) overførslen er nødvendig af hensyn til vigtige samfundsinteresser"

Deet kan jo betyde hvad som helst. Hvem tolker så det? Kunne det f.eks. gælde Sundhedsplatformen, eller NGC?

Jeg begynder at frygte, at der alligevel er en del huller i osten - men skal blankt erkende, at det kan skyldes min manglende tekniske og juridiske forståelse.

3
14. marts kl. 06:51

Og lad os lige slå fast: kryptering "at rest" dvs. på disken, men ukrypteret i RAM er ikke nok. Derypteringsnøglen må slet ikke være tilgængelig af en amerikansk cloud tjeneste under nogen form. Derfor er alt på AWS undtagen rå storage ikke brugbart.

2
14. marts kl. 06:47

Så man har noget at vise de cloud konsulenter der "fortolker"reglerne på kreative måder.

Den går nemlig ikke. Udover krypter og gem i S3. Virtuelle maskiner, kubernetes, databaser og 99% af de andre cloud tjenester kan ikke benyttes ud over i meget særlige tilfælde.

Så må vi i gang med at bruge og støtte de europæiske alternativer: Hetzner, OVH og hvad de ellers hedder.

1
14. marts kl. 06:39

så er spørgsmålet;

dk virksomheder, der bruger cloud hos AWS, microsoft, google etc, hvad er fordelingen mellem brug af klar tekst og kryptering, og afhænger det også af krypteringens kvalitet? kender i hvert fald en off virk, der bruger aws og siger det er krypteret.

under alle omstændigheder er det nok en go ide at se sig om efter leverandører m hovedsæde i EU eller et andet 'sikkert tredjeland'