Microsofts danske datacentre vil sende data til USA

Jeg arbejder et sted, hvor eleverne bruger Office 365 og de har mange ting liggende på Onedrive. Det betyder så at NSA måske kan udspionere deres afleveringsopgaver, uha....

Alle kontorets ting ligger på vores egen server.

Så der er vist ikke noget stort problem....

Hej Claus, tak for svar.

Men jeg har svært ved at se, at man kan være i compliance med support fra lande udenfor EU der ikke efterlever EU's GDPR regler. Hvis 3. parts landets love gør, at 'de' kan banke på døren til kontoret hvor supportmedarbejderen arbejder og bede om at få udleveret data - så er den dataansvarliges gennemsigtighed vel ikke meget værd? Det er vel netop landets love der skal vurderes i følge SCC'erne?

Og så er spørgsmålet om det vurderes (af EU) om det er problematisk at der IKKE findes en lov der beskytter GDPR data? Eller om det kun er problematiks i de tilfælde (USA) hvor der er en lov der direkte bryder med GDPR?!?

Ved du om Microsofts cloud understøtter AMD's SEV?

Dine data kan jo ikke forblive krypterede for CPU'en skal bearbejde dem så der er et hul imellem dekryptering ==> CPU ==> kryptering og da vi nu ved at der inde i nogle CPU'er kan bo en spion så kan den også bo i andre CPU'er og sidst jeg checkede var AMD også et amerikansk ejet selskab.

Det eneste vi så opnår er at i stedet for at DHS/NSA skal rekvirere adgang via Microsoft så kan de bare rekvirere den via AMD... det her er naturligvis meget langt ude i falsk skæg / blå briller / sølvpapirshat land.

Så længe den eneste begrænsning er juridisk, så giver jeg ikke meget for garantien, og hvis Snowdens afsløringer ikke får dig til at nå samme konklusion, så må du gerne skrive, hvad der så skal til før du ændrer holdning.

Med Cloud act i hånden har jeg endda svært ved at se, at den juridiske garanti er noget værd.

Men som beskrevet på: https://www.version2.dk/blog/confidential-cloud-computing-digital-restrictions-management-international-day-against-drm så kommer jeg frem til, at det (i hvert fald i teorien) er muligt at behandle fortrolige data i skyen, så længe man stoler på AMD's SEV-teknologi.

Her vil selv Microsofts ansatte i Danmark ikke have adgang til data på maskinen.

Ved du om Microsofts cloud understøtter AMD's SEV?

Hvad med offshore support i 3. part lande? Hvis GDPR data kan læses i klar tekst af en supportmedarbejder i f.eks. Malaysia eller USA eller Kina - så er det vel også et problem? Også selvom data ligger på egen server i egen kælder. Eller hvilken regel dækker her?

De samme regler gælder, det betyder dog ikke automatisk non-compliance, da du som data-ansvarlige har gennemsigtighed for hele løsningen og kan udføre de nødvendige risikovurderinger. Det kan sagtens være at I selv kommer frem til at i ikke kan gøre det inden for lovens rammer.

Har Datatilsynet stadig kikkerten fast monteret for det blinde øje?

Hvad med offshore support i 3. part lande? Hvis GDPR data kan læses i klar tekst af en supportmedarbejder i f.eks. Malaysia eller USA eller Kina - så er det vel også et problem? Også selvom data ligger på egen server i egen kælder. Eller hvilken regel dækker her?

Malaysia og Kina er brugt som eksempeler, da jeg ikke forestiller mig at de har love der lever op til EU's GDPR regler.

I gamle dage var spørgsmålet "Hvor skal du henvende dig for at vide noget om forsvaret !" svaret var Moskva. Idag er svaret Moskva, Peking, NSA, London o.s.v o.s.v. Alternativet er at smide computeren væk, eller lave sine egne krypteringsprogrammer. HØR EU, EU, EU

Er data ikke på egen server, er det naivt at tro at det er sikkert.

man sige at hvis en virksomhed ikke er fra EU/Schengen så er den usikker

Det er ikke engang dækkende, hvis der var en Europæisk der havde meget (bevist ikke defineret klart) forretning i USA, ville myndighederne i USA kunne sige "hvis i ikke lever efter vores regler og giver os hvad vi har brug for så bliver i udelukket fra det Amerikanske marked!" I sådan et tilfælde vil den pågældende Cloudleverandør også være non-compliant med GDPR.

Hvis artiklen står til troende, så er Microsoft ikke et sikkert opbevaringssted – heller ikke selv datacenteret ligger på Sjælland.

Mange ting kan flyttes til anden hosting men hvis man har fedtet tingene for meget ind i div. integrationer så kan det blive en større udfordring.

På den anden side kunne man så spørge: hvorfor kan vi ikke køre det selv som vi har gjort før?

Men i sidste uge fortalte Ayo Næsborg-Andersen, lektor i persondataret ved Syddansk Universitet, at hvis data er krypteret i USA, så har myndighederne adgang til krypteringsnøglen ifølge amerikansk lovgivning.

Helt kort er sagen om EDPBs nye anbefalinger, at det ligegyldigt om de har (amerikansk) ret på deres side eller ikke (til at tilgå europæiske data). Data må ikke kunne tilgås fra USA eller andre usikre tredjelande.

Hvis artiklen står til troende, så er Microsoft ikke et sikkert opbevaringssted – heller ikke selv datacenteret ligger på Sjælland.

...det er jo hele konceptet: kunden ved aldrig reelt hvor data er.