Advokat: Der er tendens til rigid fortolkning af reglerne på cloud-området

Standardkontraktbestemmelser kan ikke stå alene

For det andet fastslog EU-domstolen, at EU-Kommissionens standardkontraktbestemmelser (SCC’ere) er gyldige som overførselsgrundlag, men at det kan være nødvendigt at etablere supplerende foranstaltninger for at lovliggøre overførslen til tredjelandet. Behovet herfor skal vurderes konkret for hver enkelt overførsel.

Med andre ord kan brugen af SCC’erne i sådanne tilfælde ikke stå alene, men skal suppleres af "noget mere". 

SCC’erne overlevede altså, men er "in coma on life support", som nogle iagttagere efterfølgende konstaterede.

Dommen angik overførsler af store mængder personoplysninger om borgere i EU til USA. Dermed er vi langt fra det, som i dag kendetegner brugen af cloud-løsninger, som efterhånden alle kan via driftscentre, der befinder sig inden for EU.

I visse tilfælde udføres support og vedligeholdelse dog af teknikere i USA eller et andet tredjeland via en fjernopkobling.

Hvis der i forbindelse hermed er adgang til en server eller database, hvorpå der befinder sig personoplysninger, anses det persondataretligt også for en overførsel.

Det er denne fjernadgang - og herudover risikoen for at oplysninger, som befinder sig i EU, men som kræves udleveret af det amerikanske moderselskab i medfør af den såkaldte Cloud Act - der i dag er problemet, som truer med at trække tæppet væk under brugen af amerikanske cloud-løsninger.

Jesper Langemark
Advokat og partner, Bird & Bird

Det er denne fjernadgang - og herudover risikoen for at oplysninger, som befinder sig i EU, men som kræves udleveret af det amerikanske moderselskab i medfør af den såkaldte Cloud Act - der i dag er problemet, som truer med at trække tæppet væk under brugen af amerikanske cloud-løsninger.

Og det er navnlig i relation til denne problemstilling at man kunne ønske sig en mere pragmatisk tolkning af EU-domstolens afgørelser.

Tendens til rigid fortolkning

Desværre synes tendensen at gå i retning mod en mere rigid fortolkning. Et eksempel herpå er Datatilsynets cloudvejledning, hvor Datatilsynet reelt fjerner muligheden for at overføre oplysninger til usikre tredjelande uden supplerende beskyttelsesforanstaltninger ud fra en konkret vurdering af, at de pågældende oplysninger er uden efterretningsmæssig interesse. Det kaldes også "no reason to believe"- undtagelsen.

Et andet eksempel er Datatilsynet udtalelse om Aula. Tilsynet udtaler, at et forbehold i AWS’ databehandleraftale - som også findes i Microsofts databehandleraftale - om, at der kan ske udlevering af personoplysninger fra AWS i EU til myndigheder i USA, hvis dette er nødvendigt for at overholde gældende lovgivning eller en bindende myndighedsafgørelse, vil indebære, at der er tale om en tilsigtet – og altså dermed som udgangspunkt - en ulovlig overførsel, hvis en sådan overførsel rent faktisk finder sted.

Lys i mørket

Men er der ikke noget lys i mørket? Jo, lyspunkter er der da. 

For det første ser vi en tendens til, at de store cloud-udbydere begynder at etablere "EU-only" løsninger. Det vil sige, at udover at data alene befinder sig inden for EU sker al adgang til disse data inden for EU.

Også fra politisk hold er man ved at vågne op. I sidste måned blev det således offentliggjort, at USA og EU efter lang tids forhandlinger er nået til enighed om en afløser for Privacy Shield.

Den endelige juridiske tekst forventes dog først at foreligge senere på året, og det er vigtigt at understrege, at den foreliggende politiske aftale ikke kan benyttes som grundlag for overførsler til USA.

Tiden må vise, om også den aftale – når den foreligger – vil blive skudt ned af EU-Domstolen i en Schrems-III sag. Der er dog umiddelbart grund til at tro, at den nye aftale vil finde nåde for EU-Domstolens blik.

Optimismen skyldes, at den nye aftale – modsat de tidligere aftaler – ser ud til at blive bygget op om og tage højde for EU Charterets essentielle garantier.

Cloud er kommet for at blive. De juridiske sten på vejen, der hindrer eller besværliggør brugen af cloud, er ved at blive fjernet.

Jesper Langemark
Advokat og partner, Bird & Bird

Jeg vil derfor slutte på samme optimistiske note, som jeg startede på. Cloud er kommet for at blive. De juridiske sten på vejen, der hindrer eller besværliggør brugen af cloud, er ved at blive fjernet.

Om nødvendigt må vi få nogle "ansvarlige voksne" i - form af domstolene - til at skabe noget fornuft og proportionalitet i fortolkningen af reglerne, som kan sikre, at vi kan fortsætte og udbrede brugen cloud-teknologien, som alt andet lige er bedre, sikrere og mere bæredygtige end traditionel it.