Datatilsynet om cloud: Digitalisering kræver tillid. Og her har vi alt at miste

Ifølge Digitaliseringspartnerskabet er det et afgørende element af fundamentet for et stærkt digitalt samfund, at Danmark er "først med tidssvarende digital infrastruktur", herunder cloudservices.

Vi i Datatilsynet skydes ofte i skoene, at vi er imod cloud. Det er ikke rigtigt.

De famøse GDPR-regler, vi fører tilsyn med, er grundlæggende teknologineutrale. Når det kommer til håndtering af persondata, er cloudservices derfor lige så fine som enhver anden.

Men det er vores opgave at holde øje med, at sådanne teknologier bliver brugt lovligt. Og det gør vi.

Vi sikrer retten til privatliv og retten til databeskyttelse

I sin rapport kommer Digitaliseringspartnerskabet selv ind på kerneudfordringen ved cloudservices, nemlig deres leverancemodel.

Cloud som teknologi udmærker sig ved at være skalerbar og tilgængelig 24/7. For at kunne fungere på denne måde, leveres teknologien af servere og datacentre verden over fra Nordamerika til Sydasien.

Men er det ikke en fordel? Jo – ud fra et teknologisk og forretningsmæssigt synspunkt.

I EU er medlemslandene dog blevet enige om, at den beskyttelse af vores persondata, som GDPR-reglerne sikrer os som borgere, ikke skal kunne udhules ved, at data flyttes uden for EU.

I EU er medlemslandene dog blevet enige om, at den beskyttelse af vores persondata, som GDPR-reglerne sikrer os som borgere, ikke skal kunne udhules ved, at data flyttes uden for EU

Cristina Angela Gulisano
Direktør, Datatilsynet

Derfor gælder nogle særlige krav, når myndigheder og virksomheder – eksempelvis ved brug af cloud – flytter data uden for Europas grænser.

Og de krav opleves for mange, ja, også os i Datatilsynet, som juridisk kompleks, og for nogle også unødigt bureaukratiske, særligt i lyset af en dom afsagt af EU-Domstolen for nogle år siden.

Ikke desto mindre er det krav og regler, som alle har rod i de europæiske grundrettigheder, nemlig retten til privatliv og retten til databeskyttelse. Så hvad gør vi?

Ønske om besparelser må ikke ødelægge tillid

Der er ingen tvivl om, at cloudservices kan bidrage til et øget sikkerhedsniveau for data, ligesom innovative og fleksible løsninger i stigende omfang udelukkende leveres som cloudservices.

Derfor er det heller ikke vores holdning, at myndigheder og virksomheder skal sætte deres teknologiske omstilling og udvikling i stå.

Tværtimod mener vi, at myndigheder og virksomheder skal interessere sig endnu mere for alle dele af cloudservices på et tilbundsgående niveau.

Vi oplever ofte en stor interesse for de effektiviseringer og besparelser, som brugen af cloud kan medføre, og i mindre omfang et blik for de risici, der introduceres for borgernes rettigheder, og for de medfølgende lovkrav.

Borgernes tillid er altafgørende, når det drejer sig om digitalisering. Der er alt at miste på ikke at afdække, om borgernes oplysninger ender hos en leverandør i en nation, der ikke respekterer retten til privatliv

Cristina Angela Gulisano
Direktør, Datatilsynet

Borgernes tillid er altafgørende, når det drejer sig om digitalisering. Der er alt at miste på ikke at afdække, om borgernes oplysninger ender hos en leverandør i en nation, der ikke respekterer retten til privatliv og retten til databeskyttelse på samme høje niveau, som vi gør i Europa, og derfor mere eller mindre frit får adgang til data om danske borgere.

Derudover mener vi generelt, at det i sig selv er problematisk at indgå aftaler med leverandører, hvor der ikke længere er fuld kontrol over, hvor og hvordan de håndterer persondata.

Vi støder ofte på uklare kontrakter og skjulte underdatabehandlere, når vi kigger på brugen af cloudservices. Det er databeskyttelsesretligt ukrudt, der må og skal luges ud i.

Topledelsen på banen

Derfor er det ikke kun it-afdelingen og juridisk afdeling, der skal interesse sig for, hvordan organisationen kan bruge en given cloudservice.

Både topledelse og det politiske niveau skal grundlæggende spørge sig selv: Kan vi bruge denne teknologi uden at gøre et disproportionalt indgreb i grundlæggende menneskerettigheder? Hvis ikke, hvilke krav skal vi da stille til vores leverandør for, at teknologien kan bruges lovligt?

Vi anerkender, at det er kompliceret. Også for os i Datatilsynet.

Vi har dog lagt os i selen for at hjælpe med at besvare disse spørgsmål, og vi svarer på alle konkrete henvendelser fra individuelle myndigheder og virksomheder. Opfordringen til at række ud hermed givet videre.