PROSA: Snowden har lært os, at cloud skal bruges med omtanke

Cloud er en fantastisk teknologi. Tænk, at man kan nøjes med at leje tusindvis af computere i den korte periode, der er brug for dem. Det giver nogle nye muligheder, som vi tidligere kun turde drømme om.

Samtidig kan det være en mere klimavenlig løsning end selv at have udstyret stående, da ressourcerne udnyttes bedre via cloud.

Det bør derfor altid overvejes, om det er muligt at flytte sin databehandling til skyen. Vel og mærke når det gælder systemer, der ikke involverer behandling af persondata.

For da vi i 2013 vågnede op til Snowdens afsløringer, fik vi et grelt indblik i, hvor stort misbruget af vores personlige data er.

Så hvis nogen fortsat ikke er overbevist om alvorligheden af det misbrug, Snowden afslørede, skylder de at forklare, hvilken type afsløringer der så skal til, før man er overbevist om problemets omfang.

At tage Snowdens afsløringer alvorligt, må siges at være rettidig omhu, og der bør tages højde for dem, når der udvikles løsninger, som indeholder persondata eller andre kritiske data.

EU-Domstolen tog dem i hvert fald alvorligt i 2020, da den afsagde Schrems II-dommen. Datatilsynet er kommet med en vejledning baseret på den afgørelse.

Der er nogle mindre undtagelser, men hovedbudskabet er klart: Det er dit ansvar at overholde loven, og du skal dokumentere, at loven er overholdt, hvis du laver en dataoverførsel.

Grus i maskineriet

EU og USA prøver i øjeblikket at få strikket en standardaftale sammen, der kan bruges til at overføre persondata til skyen. Det har de gjort to gange tidligere, nemlig med Safe Harbour-aftalen (underkendt i 2015) og Privacy Shield-aftalen (underkendt i 2020).

Så længe USA har en lovgivning, der giver deres efterretningstjenester ret til at kigge i alle data i USA, vil en ny standardaftale ganske givet også blive underkendt af EU-Domstolen.

Drejer det sig om opbevaring af persondata, skal løsningerne i skyen bruges med omtanke.

Niels Bertelsen
Formand, PROSA

Så sidder nogen i dag og håber på at blive reddet af en ny standardaftale, så kommer den næppe heller til at holde.

I stedet bør det nok bare erkendes, at det er slut med at bruge amerikansk ejede cloud-tjenester og datacentre.

Udvikler man sine egne løsninger, bør det overvejes at lave en løsning, som nemt kan flyttes fra en cloud-udbyder til en anden.

Det kan eksempelvis gøres ved at basere løsningen på åbne teknologier som Kubernetes, der tilbydes af alle større udbydere. På denne måde kan der skiftes leverandør når behovet opstår, og man er ikke bundet til en bestemt.

Det åbenlyse valg for offentlige instanser er at benytte den danske GovCloud. Her holdes data i Danmark, og så er man ude over problemet med usikre tredjelande.