Oppdatert rettleiar frå Datatilsynet stadfestar mitt syn

Eg har skrive ein god del tidlegare om Schrems-problematikken og følgt tett med på ting som skjer. La merke til at Datatilsynet kom med ein oppdatert rettleiar i forrige veke, 3. september 2021, som stadfestar mine vurdering:

Det er i strid med lovverket å bruke amerikanske skytenester der personinformasjon må handsamast i klartekst. Kan du lese det på ein skjerm, i f.eks. nettlesaren, har du fått servert klartekst eller menneskeleg forståeleg tekst. Som verksemd ryk høvet til å bruke eller levere tenester på Microsoft Azure, Microsoft 365, Google Cloud, Google Workspace, Apple, Oracle Cloud osv.

Eg vel å hente ut det sentrale frå rettleiaren med mine uthevingar:

Personvernforordningen inneholder ingen definisjon av begrepet «overføring». Vi legger til grunn at begrepet omfatter tilfeller hvor personopplysninger sendes til noen utenfor EØS. Vi legger også til grunn at begrepet omfatter tilfeller hvor noen utenfor EØS får tilgang til personopplysninger lagret i EØS. Grunnen til det er at de som har tilgang til personopplysningene, potensielt kan benytte dem videre eller dele dem med andre, slik som ved en fysisk overføring.

Formålet med standard personvernbestemmelser er at dataimportøren skal garantere et tilstrekkelig beskyttelsesnivå etter at personopplysningene har blitt overført ut av EØS. Man må imidlertid vurdere hvorvidt dette beskyttelsesnivået vil opprettholdes i praksis før data overføres. Standard personvernbestemmelser er nemlig ikke bindende for tredjelandets myndigheter, og tredjelandets lover kan gå foran standard personvernbestemmelser. Et særlig praktisk typetilfelle er der tredjelandets lovgivning tillater at myndighetene kan skaffe seg adgang til data i større grad enn det som er proporsjonalt og nødvendig.

….

Domstolen vurderte amerikansk lovgivning spesifikt og kom frem til at særlig Foreign Intelligence Surveillance Act (FISA) Section 702 og Executive Order (E.O.) 12333 er problematiske opp mot kriteriene ovenfor.

FISA 702 innebærer at amerikanske virksomheter kan motta begjæringer fra amerikanske myndigheter om uthenting av informasjon om bestemte personer. Her trakk EU-domstolen særlig frem manglende kontrollmekanismer for å gjennomgå etterretningens målretting på individnivå. E.O. 12333 tillater masselagring av data som sendes til USA uten rettslig prøving. Domstolen uttalte at omfanget av myndighetenes tilgang til data under E.O. ikke er tilstrekkelig klart og presist avgrenset.

Når det gjelder FISA 702 og E.O. 12333 gjør vi oppmerksom på følgende:

  • Amerikanske «electronic communication service providers» (tilbydere av elektroniske kommunikasjonstjenester) er underlagt FISA 702. Dette er definert vidt. For eksempel vil såkalte «remote computing services» være underlagt loven. Det er også viktig å være klar over at loven kan gjelde både innenfor og utenfor amerikansk territorium. Samtidig finnes det også eksempler på amerikansk tjenesteyting som ikke faller inn under denne loven. Dette kan for eksempel være tilfellet for teknisk støtte knyttet til enkelte on premise-løsninger.
  • I motsetning til FISA 702 krever ikke E.O. 12333 at amerikanske virksomheter hjelper amerikanske myndigheter å få tilgang til dataene, for eksempel ved å oppgi krypteringsnøkkelen.

….

I utgangspunktet bør de ytterligere tiltakene inkludere tekniske tiltak. Grunnen til at man trenger ytterligere tiltak er jo nettopp fordi lokale lover i tredjelandet går foran overføringsgrunnlaget, som ofte er en juridisk bindende avtale. Da kan det som regel være vanskelig å se for seg ytterligere juridiske eller organisatoriske tiltak som alene kan sikre beskyttelsesnivået. Hva som er effektivt i praksis, må imidlertid vurderes konkret i hver enkelt sak.

Når det gjelder tekniske tiltak, står særlig sterk kryptering og nøkkelhåndtering sentralt. Kryptering kan typisk motvirke at tredjelands myndigheter får adgang til data under transport og lagring så lenge krypteringsnøkkelen ikke er eller vil bli tilgjengelig for myndighetene eller aktørene underlagt tredjelands lovgivning. Dersom derimot en dataimportør i tredjeland sitter på krypteringsnøkkelen fordi den trenger å jobbe med dataene i klartekst, vil ikke kryptering være effektivt mot utleveringsbegjæringer fra lokale myndigheter.

Lover og praksis kan utgjøre et inngrep i personvernet, uavhengig av om dataene er sensitive eller hvorvidt personene det gjelder faktisk har blitt negativt berørt av inngrepet – men ikke alle inngrep utgjør en krenkelse. Det er først når lovene og praksisene går lenger enn nødvendig og proporsjonalt at de utgjør en krenkelse. Man trenger bare iverksette ytterligere tiltak der det foreligger en krenkelse.

Ad setning i siste avsnitt merka raudt. Schrems II-domen tok stilling til lovene i USA. Dei vurderte lovene og praksis til å gå for langt, ergo vil det vere innafor krenking av personvernet. Sjølv om det er ein liten sjanse for at ein krenkelse skjer ved at data blir henta ut, er det OK å utsetja brukarar for dette? Eg er rimeleg sikker på at Datatilsynet ville vere fort oppe med bøteheftet.

Legg att eit svar

Fill in your details below or click an icon to log in:

WordPress.com logo

Du kommenterer no med WordPress.com-kontoen din. Logg ut /  Endre )

Google photo

Du kommenterer no med Google-kontoen din. Logg ut /  Endre )

Twitter-bilde

Du kommenterer no med Twitter-kontoen din. Logg ut /  Endre )

Facebook-foto

Du kommenterer no med Facebook-kontoen din. Logg ut /  Endre )

Koplar til %s

This site uses Akismet to reduce spam. Learn how your comment data is processed.