Flere store tech-giganter, blandt andet Microsoft og Google, arbejder lige nu på at lave europæiske cloud-løsninger, efter Schrems II-dommen har gjort det meget vanskeligt for danske virksomheder og myndigheder at migrere til amerikansk cloud.
Rykket til Europa indebærer blandt andet, at databehandlingen udelukkende foregår inden for EUs rammer. På den måde kan dataansvarlige virksomheder og myndigheder undgå, at europæiske borgeres personoplysninger ender i USA, hvor problematisk lovgivning truer retten til privatliv.
Men selv de ultra-europæiske løsninger, som tech-giganterne planlægger, er ikke nok til at gøre databehandlingen lovlig, hvis den skal foregå på baggrund af de databehandleraftaler, cloud-leverandørerne tilbyder i dag, fortæller Allan Frank, it-sikkerhedsspecialist og jurist hos Datatilsynet:
»I de situationer, vi har kigget ind i, har det været sådan, at alle de store leverandører har forbeholdt sig muligheden for i yderste konsekvens at udlevere oplysningerne til deres hjemland.«
Så det er ikke nok, at cloud-leverandørerne sørger for en udelukkende europæisk databehandling og -opbevaring?
»De skal ind og skrive under på, at de altid følger europæisk lovgivning uanset, hvad de måtte blive mødt med af amerikanske krav. Reelt set skal de sige, at hvis de står i en situation, hvor de bliver tvunget til at vælge mellem europæisk og amerikansk lovgivning, så vælger de europæisk lov,« understreger han.
»Det er jo et spørgsmål om de kan og tør det. Det ved jeg ikke.«
Ulovligt at sende data til USA
Årsagen til, at tech-giganterne planlægger de europæiske løsninger, er, at det lige nu er meget svært at sende data i klartekst – i ukrypteret form – til USA. Det fortalte Allan Frank, it-sikkerhedsspecialist og jurist i Datatilsynet, til Version2 i sidste uge:
»Jeg vil sige, der er et meget, meget – jeg kan næsten ikke sige det nok gange – meget snævert rum for det.«
»Hovedreglen vil være, at det ikke er muligt at overføre persondata til USA i de situationer, hvor oplysningerne i klar tekst er omfattet af problematisk lovgivning,« slog han fast.
Men cloud-leverandørerne skal kunne se data for at tilbyde noget af den funktionalitet, som mange danske virksomheder nyder godt af – det kan eksempelvis være i support-situationer.
Derfor er løsningen, at databehandlingen foregår udelukkende i EU, hvor data ligger i klar tekst, så tech-giganterne kan arbejde med den inden for Europas rammer.
Men her kommer amerikansk lovgivning igen på banen og spænder ben for planen. Loven Cloud Act giver nemlig de amerikanske myndigheder mulighed for at anmode tech-giganterne om at udlevere data, uanset hvor i verden oplysningerne er opbevaret.
På den måde kommer Microsoft, Google og andre amerikanske cloud-leverandører til at sidde fastklemt mellem amerikansk og europæisk lovgivning og skal vælge, hvilke regler man vil overholde.
Ingen garanti fra tech-giganterne
Microsofts danske teknologi-direktør, Ole Kjeldsen, sagde i starten af året under et webinar hos Danmarks DPO-forening, at »vi har aldrig, og vi vil aldrig udlevere data fra den offentlige sektor til nogen myndighed.«
Men det er indholdet af databehandleraftalen, som gælder, understreger Allan Frank.
»Selvom de store leverandører siger, at data som udgangspunkt bliver opbevaret i Europa, så er der ofte en undtagelse i aftalerne. Hvis man læser hele kontrakten – alle de mange sider med bilag – så finder man ud af, at selvom de siger, de vil kæmpe med næb og kløer for, at ens oplysninger ikke bliver udleveret, så står der alligevel i en bisætning: ‘Hvis vi alligevel bliver pålagt at udlevere data, så overlever vi den’. I de situationer er der tale om en på forhånd kendt overførsel, og så skal der være et overførselsgrundlag.« siger han.
»Langt nede i flere af de store leverandørers kontrakter står der også, at hvis man får vredet armen rundt på ryggen, så udleverer man data alligevel. Det er de klausuler, dataansvarlige skal ned og have fat i og få masseret ud af sit kontraktgrundlag.«
Det er nemlig stadig de danske virksomheder og myndigheder, der har ansvaret for behandlingen af oplysningerne, hvis man har skrevet under på en aftale, hvor der står, at ens databehandler kan være tvunget til at udlevere data.
»Selvom det er svært at forstå, så må man finde sig i det, der står i kontrakten, når man skriver under på den. Og hvis der står i den, at ens leverandør udleverer oplysninger til USA, så har man en aftalt overførsel til USA. Så kan man ikke komme bagefter og sige, at man ikke troede, leverandøren ville overføre. Man har skrevet under på, at det må leverandøren gerne.«
Et redskab til de dataansvarlige
Datatilsynet forsøger at gøre opmærksom på det kravet til leverandørernes kontrakter i tilsynets nye cloud-vejledning, der også har et afsnit om tech-giganternes migrering til EU.
Men vejledningen understreger også, at hvis man har leverandørens lovning på altid at overholde europæisk lovgivning frem for den amerikanske, så er der mulighed for, at man lovligt kan bruge amerikansk cloud, der hegnet ind i EU. Så vil der nemlig være en utilsigtet overførsel, hvis leverandøren alligevel sender oplysningerne til USA.
Et af Datatilsynets formål med vejledningen er netop er at give virksomheder og myndigheder et dokument, de kan bruge til at tvinge leverandøren til at indgå en GDPR-sikker aftale, understreger Allan Frank:
»Vejledningen er også et redskab for de dataansvarlige, der kan gå til leverandørerne og sige: ‘Datatilsynet siger, at hvis ikke I skriver under på, at I ikke udleverer oplysningerne, så gør det ingen forskel, om I er i EU eller ej’.«
Det er tilmed et realistisk værktøj, mener han, for tech-giganterne er begyndt at bevæge sig i en retning af GDPR-compliance efter pres fra europæiske kunder.
»Vi kan se, at alle de store spillere prøver at levere de her ting på en mere europæisk model. Før Schrems II var der jo ikke nogen diskussion om det. Der var der ikke den store motivation til at ændre et komma i deres retningslinjer og kontrakter.«
»Men der er en bevægelse mod at gøre det her på en mere lovlig måde. Vi håber vejledningen også kan være en brækstang til, at de danske dataansvarlig lettere kan komme i dialog med deres leverandører og få nogle kontrakter, der lever op til de her regler.«
Tilmeld dig V2 Security 2022 | Danmarks største messe om cybersikkerhed
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
