Schrems II-anbefaling til kommunerne: Lad leverandøren vurdere loven i tredjelande
Schrems II-dommen har sendt chokbølger gennem it-organisationer i hele verden, og sammenholdt med nye anbefalinger fra Det Europæiske Databeskyttelsesråd ser det nu jævnt besværligt ud at overføre data til USA på lovlig vis.
Blandt andet er det nu et krav, at den dataansvarlige skal vurdere, om lovgivningen i eksempelvis USA respekterer europæisk databeskyttelseslovgivning - og hvis det ikke er tilfældet, skal man aftale tekniske foranstaltninger med sin leverandør.
Men det mener KL ikke, at kommunerne bør indlade sig på.
»Det er KL's anbefaling, at kommunerne går i gang med at følge de seks skridt for ansvarlig dataoverførsel, som er beskrevet i Det Europæiske Databeskyttelsesråds anbefalinger om iværksættelse af supplerende foranstaltninger,« lyder det i KLs nye Schrems II-anbefalinger til de danske kommuner.
»KL anbefaler dog, at kommunerne ikke går i gang med at vurdere tredjelandenes databeskyttelsesniveau, herunder lovgivning på området, men lader leverandørerne foretage denne opgave, eftersom leverandørerne må formodes allerede at kende lovgivningen i de tredjelande, de overfører data til.«
I stedet opfordrer KL kommunerne til igennem en række trin at få styr på, hvor og hvornår de overfører data til tredjelande og indlede en dialog med de relevante leverandører om at få bragt sagerne i orden.
Presbold til leverandøren
Opfordringen fra KL flugter med udtalelser fra Jesper Langemark, der er partner i advokatvirksomheden Bird&Bird.
I et interview med Version2 for nylig gav han sit bud på, hvad man kan gøre, hvis man som kunde står med det ene ben i et nyt cloud-projekt.
»Man kan sige til sin leverandør, at hvis man ikke skal tage en time out, så skal leverandøren stå på mål for, at tredjelandsoverførsler kan foregå lovligt. Det kræver, at leverandøren erklærer sig villig til at indbygge de tekniske løsninger, der er nødvendige for at for at leve op til retningslinjer, der kommer fra EDBP,« sagde han.
