Datatilsynet vil ikke anerkende kryptering af persondata som alternativ til Safe Harbour
Kryptering af følsomme persondata på amerikanske servere er ikke løsningen, der kan redde danske virksomheder fra Safe Harbour-dommen.
Tusindvis af virksomheder risikerer at blive anmeldt til Datatilsynet i starten af 2016, hvis de ikke får styr på de persondata, som de gemmer hos amerikanske cloud-tjenester som Google Drive og Dropbox.
Det gælder alt fra oplysninger om personale til kontaktlister og andre personlige oplysninger, som bliver gemt i skyen og ender på amerikanske servere.
EU-domstolen slog med Safe Harbor-dommen i oktober fast, at det mest udbredte lovgrundlag, som ellers gjorde dataoverførslerne lovlige, er ugyldigt.
Det har fået flere - heriblandt Version2’s læsere - til at overveje muligheden for i stedet at kryptere de følsomme data. På den måde ville oplysningerne ikke være noget værd, selvom de skulle falde i de forkerte hænder.
Men det kan der ikke blive tale om ifølge Datatilsynet. Overfører man persondata til USA på Safe Harbour-grundlaget, så er det stadig ulovligt, selvom data er krypterede.
»Kryptering betyder selvfølgelig noget for sikkerheden. Men så længe der findes en nøgle til at dekryptere persondata, så gælder det stadig som en dataoverførsel, der kræver et overførselsgrundlag,« siger specialkonsulent hos Datatilsynet Jesper Husmer Vang.
Virksomheder må i stedet lave standardkontrakter eller såkaldte Binding Corporate Rules (BCR) med databehandlere fra februar 2016. Hvorvidt disse to muligheder fremover vil garantere et overførselsgrundlag er dog i skrivende grund uvist.
Krypto-professor: Gammeldags tilgang
Safe Harbour-dommen er faldet i kølvandet på flere års bekymringer om de amerikanske efterretningstjenesters snagen i europæiske borgeres persondata, der for alvor kom på dagsordenen med Snowden-afsløringerne.
Kryptering er flere gange blevet fremhævet som løsningen, der kan være med til at sikre privatlivet. Blandt andet har Apple automatisk krypteret kundernes data, hvilket gør dem ude af stand til at udlevere oplysninger til efterretningstjenesterne.
Derfor er kryptering af data opbevaret i USA også det rigtige svar på Safe Harbour-dommen ifølge professor i kryptologi og it-sikkerhed på Aarhus Universitet, Ivan Damgård.
»Det er ren formalisme, når Datatilsynet siger, at kryptering stadig kræver et overførselsgrundlag,« siger han og påpeger, at med de rette forholdsregler, så er kryptering lige så sikkert, som at opbevare data i europæiske datacentre:
»Det vigtige er, at krypteringen overholder de gældende standarder (AES, red.), og at man håndterer nøglen på den rigtige måde.«
Der er flere cloud-udbydere, som tilbyder at kryptere filerne. Dog skal man være varsom med at vælge dem, hvor den private nøgle også gemmes i skyen, advarer professoren.
»Du kan kun bevare kontrollen over data, hvis du selv håndterer nøglen. Men hvis du gør det, så kan jeg ikke se, at der skulle være nogen grund til, at det ikke er lige så godt, som hvis du havde data liggende i Europa.«
Lovgivning tager ikke højde for kryptering
Når Datatilsynet ikke vil anerkende kryptering som et alternativ til Safe Harbour, skyldes det ifølge Ivan Damgård en gammeldags lovgivning.
»Man bliver nødt til at opdatere juraen, så den følger med teknologien. Man bliver formentlig nødt til at skrive kryptering ind i juraen,« siger han og fortsætter:
»Den gammeldags juridiske tilgang er, at hvis data er personlige og skal beskyttes, og der findes en nøgle, så man kan genskabe de oprindelige data, selvom de er krypterede, så er det lige meget, hvem der har nøglen. Så er det ligesom at have klar tekst.«
Med andre ord anerkender lovgivningen ikke kryptering som en sikker opbevaring af persondata.
Dette står dog i skærende kontrast til den udbredte digitale signatur Nemid, som på samme måde som kryptering, benytter sig af en privat nøgle som sikkerhed.
Tidligere havde den digitale signatur ingen juridisk gyldighed, men i dag kan man bruge den til alt fra at underskrive dokumenter fra det offentlige og tilmelde sig som organdonor.
»Man kan sammenligne situationen med digital signatur for et par år siden. Der havde det ikke nogen juridisk gyldighed, men det har det nu, selvom der er en nøgle involveret,« siger Ivan Damgård.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
