Umuligt at få overblik over, hvor meget dansk persondata sendes ud af EU
Det er umuligt at danne sig et billede af, hvordan danskernes person-, sundheds- og patientdata bruges af databehandlere uden for EU.
Version2 har søgt aktindsigt hos alle fem regioner, med det simple spørgsmål: »Hvilke forskningsprojekter har regionen kørende, der benytter databehandlere udenfor EU?«
Ikke alene er svarene vidt forskellige - nogle regioner gav simpelthen op på at finde et svar, mens fx Region Hovedstaden måtte bruge tre måneder på at finde et svar.
Hovedstaden: 28 Sjælland: 4 Midtjylland: 31 Nordjylland: 0 Syddanmark: Ikke oplyst Bemærk: Region Nordjylland har kun oplyst antallet af projekter startet i 2017 - andet ville være for omfattende. Region Syddanmark har ikke kunnet oplyse et tal.Så mange forskningsprojekter med databehandlere uden for EU har regionerne:
Det er bekymrende, at det er så besværligt for regionerne at oplyse, hvilke databehandlere de benytter uden for EU, mener Jesper Husmer Vang, kontorchef i Datatilsynet:
»Det lyder helt utroligt, at det skulle være så svært. Det kan godt være, at der ikke er nogen, der har et samlet overblik, men den informationen bør kunne skaffes. Det lyder bekymrende, hvis en region ikke ved, hvor mange og hvilke databehandlere, de benytter,« siger han.
»Vi kunne godt – fx i forbindelse med et tilsyn – finde på at stille de samme spørgsmål, som Version2 har stillet til regionerne, og vi ville næppe være indstillet på at vente flere måneder på et svar.«
For besværligt at få overblik
Som det fremgår af faktaboksen, valgte Region Syddanmark som den eneste region simpelthen at afvise Version2s aktindsigt, da det ville være for omfattende en opgave.
»Region Syddanmark har ikke en samlet opgørelsen over forskningsprojekter, der benytter databehandlere uden for EU. Regionen foretager en særskilt registrering og opfølgning på hvert enkelt projekt. En manuel optælling af forskningsprojekterne vurderes at tage mere end 100 timer, hvorfor dette ikke står mål med henvendelsen,« skriver Nicolai Arvedsen, funktionschef hos Region Syddanmark i en mail, der fortsætter:
»Endvidere oplyser vores jurister, at forskningsprojekter og forskningsdata ikke er omfattet af reglerne om indsigtsret. Region Syddanmark har i dette tilfælde fravalgt at anvende princippet om meroffentlighed.«
Region Nordjylland valgte en mellemvej, da det var muligt at fortælle tallene fra projekter, der var startet fra 2017 og frem.
»For så vidt angår forskningsprojekter iværksat før 2017, har Region Nordjylland ikke mulighed for at angive antallet af projekter med databehandler uden for EU, da disse projekter ikke er anmeldt i et centralt system, men registreret som enkelte projekter. Region Nordjylland ville for at kunne angive antallet af databehandlere skulle gennemgå hver enkelt projektanmeldelse,« skriver Karoline Andersen, jurist hos Region Nordjylland i en mail.
Det skal for god ordens skyld understreges, at der på papiret ikke er noget forkert i at benytte databehandlere uden for EU, men det kræver en databehandleraftale og kontrol med sikkerheden. Derfor lyder det mærkeligt, når regionerne har så svært ved at danne sig et overblik, mener Jesper Husmer Vang:
»Det burde være relativt overskueligt at oplyse, hvilket databehandlere de benytter - det skal de have styr på. De skal have en databehandleraftale med hver enkelt databehandler, ligesom de skal påse sikkerheden hos disse,« siger kontorchefen fra Datatilsynet.
Han fortæller samtidigt, at selvom Datatilsynet på nogle områder selv burde kunne holde styr på brugen af databehandlere uden for EU, så har de heller ikke et overblik, da myndigheder og virksomheder er dårlige til at holde Datatilsynet opdateret.
Tidligere sager viser, at det ofte halter med kontrollen af databehandlerne. Version2 har fx kunne berette, at Statens Serum Institut i tre år ikke har ført et eneste tilsyn med databehandlere. På samme måde har Region Syddanmark indrømmet, at man ikke har ført tilsyn med en databehandler, der stod bag et spørgeskema til regionens patienter.
»Ingen har overblik«
Patientdataforeningen ser store problemer i, at ingen har overblik over, hvor meget dansk persondata der fosser ud af EU.
»Chancen for, at man som databehandler kan føre meningsfyldt tilsyn, falder betydeligt, hvis man skal til Indien eller USA,« siger Thomas Birk Kristiansen, formand i Patientdataforeningen.
Han erkender, at der er forskningsprojekter, hvor det vil være essentielt at trække på ressourcer i resten af verden, men han mener stadig, at der er problemer i regionernes manglende overblik:
»De har tydeligvis ikke styr på deres forskningsprojekter. Alle de her data, der flyder rundt i Danmark. Der er ingen, der har overblik over, hvilke forskere der har data, eller hvilke projekter data indgår i,« siger han.
Og han mener, at problemet ikke kun gælder regionerne, men hele det danske forskermiljøs forbrug af danskernes persondata:
»Vi er nødt til at tale om den fuldstændigt manglende gennemsigtighed om forskningsdata i Danmark. Man aner simpelthen ikke, hvad data bliver brugt til - og der er ingen mulighed for at finde ud af det,« siger Thomas Birk Kristiansen, der tilføjer:
»Det er en kædereaktion. Først begyndte vi at samle data ind - uden at spørge om lov, så deler vi det - uden at spørge om lov, og det udvikler sig eksponentielt. Til sidst løber det løbsk, og min bekymring er, at det er ude af kontrol.«
Om det er ude af kontrol er svært at sige - for der er intet reelt overblik. Det skal understreges, at de - trods alt - overskuelige tal, regionerne oplyste afspejler samtidigt ikke, hvor meget følsom data, der sendes ud af EU.
I oversigten er udelukkende spurgt om forskningsprojekter, og der er ikke oplyst om projekter fra kommuner, ministerier, styrelser, universiteter, virksomheder eller organisationer, der alle kan benytte databehandlere uden for EU.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
