Eg har skrive ein god del tidlegare om Schrems-problematikken og følgt tett med på ting som skjer. La merke til at Datatilsynet kom med ein oppdatert rettleiar i forrige veke, 3. september 2021, som stadfestar mine vurdering:

Det er i strid med lovverket å bruke amerikanske skytenester der personinformasjon må handsamast i klartekst. Kan du lese det på ein skjerm, i f.eks. nettlesaren, har du fått servert klartekst eller menneskeleg forståeleg tekst. Som verksemd ryk høvet til å bruke eller levere tenester på Microsoft Azure, Microsoft 365, Google Cloud, Google Workspace, Apple, Oracle Cloud osv.

Eg vel å hente ut det sentrale frå rettleiaren med mine uthevingar:

Personvernforordningen inneholder ingen definisjon av begrepet «overføring». Vi legger til grunn at begrepet omfatter tilfeller hvor personopplysninger sendes til noen utenfor EØS. Vi legger også til grunn at begrepet omfatter tilfeller hvor noen utenfor EØS får tilgang til personopplysninger lagret i EØS. Grunnen til det er at de som har tilgang til personopplysningene, potensielt kan benytte dem videre eller dele dem med andre, slik som ved en fysisk overføring.

…

Formålet med standard personvernbestemmelser er at dataimportøren skal garantere et tilstrekkelig beskyttelsesnivå etter at personopplysningene har blitt overført ut av EØS. Man må imidlertid vurdere hvorvidt dette beskyttelsesnivået vil opprettholdes i praksis før data overføres. Standard personvernbestemmelser er nemlig ikke bindende for tredjelandets myndigheter, og tredjelandets lover kan gå foran standard personvernbestemmelser. Et særlig praktisk typetilfelle er der tredjelandets lovgivning tillater at myndighetene kan skaffe seg adgang til data i større grad enn det som er proporsjonalt og nødvendig.

….

Domstolen vurderte amerikansk lovgivning spesifikt og kom frem til at særlig Foreign Intelligence Surveillance Act (FISA) Section 702 og Executive Order (E.O.) 12333 er problematiske opp mot kriteriene ovenfor.

FISA 702 innebærer at amerikanske virksomheter kan motta begjæringer fra amerikanske myndigheter om uthenting av informasjon om bestemte personer. Her trakk EU-domstolen særlig frem manglende kontrollmekanismer for å gjennomgå etterretningens målretting på individnivå. E.O. 12333 tillater masselagring av data som sendes til USA uten rettslig prøving. Domstolen uttalte at omfanget av myndighetenes tilgang til data under E.O. ikke er tilstrekkelig klart og presist avgrenset.

Når det gjelder FISA 702 og E.O. 12333 gjør vi oppmerksom på følgende:

• Amerikanske «electronic communication service providers» (tilbydere av elektroniske kommunikasjonstjenester) er underlagt FISA 702. Dette er definert vidt. For eksempel vil såkalte «remote computing services» være underlagt loven. Det er også viktig å være klar over at loven kan gjelde både innenfor og utenfor amerikansk territorium. Samtidig finnes det også eksempler på amerikansk tjenesteyting som ikke faller inn under denne loven. Dette kan for eksempel være tilfellet for teknisk støtte knyttet til enkelte on premise-løsninger.
• I motsetning til FISA 702 krever ikke E.O. 12333 at amerikanske virksomheter hjelper amerikanske myndigheter å få tilgang til dataene, for eksempel ved å oppgi krypteringsnøkkelen.

….

I utgangspunktet bør de ytterligere tiltakene inkludere tekniske tiltak. Grunnen til at man trenger ytterligere tiltak er jo nettopp fordi lokale lover i tredjelandet går foran overføringsgrunnlaget, som ofte er en juridisk bindende avtale. Da kan det som regel være vanskelig å se for seg ytterligere juridiske eller organisatoriske tiltak som alene kan sikre beskyttelsesnivået. Hva som er effektivt i praksis, må imidlertid vurderes konkret i hver enkelt sak.

Når det gjelder tekniske tiltak, står særlig sterk kryptering og nøkkelhåndtering sentralt. Kryptering kan typisk motvirke at tredjelands myndigheter får adgang til data under transport og lagring så lenge krypteringsnøkkelen ikke er eller vil bli tilgjengelig for myndighetene eller aktørene underlagt tredjelands lovgivning. Dersom derimot en dataimportør i tredjeland sitter på krypteringsnøkkelen fordi den trenger å jobbe med dataene i klartekst, vil ikke kryptering være effektivt mot utleveringsbegjæringer fra lokale myndigheter.

…

Lover og praksis kan utgjøre et inngrep i personvernet, uavhengig av om dataene er sensitive eller hvorvidt personene det gjelder faktisk har blitt negativt berørt av inngrepet – men ikke alle inngrep utgjør en krenkelse. Det er først når lovene og praksisene går lenger enn nødvendig og proporsjonalt at de utgjør en krenkelse. Man trenger bare iverksette ytterligere tiltak der det foreligger en krenkelse.

Ad setning i siste avsnitt merka raudt. Schrems II-domen tok stilling til lovene i USA. Dei vurderte lovene og praksis til å gå for langt, ergo vil det vere innafor krenking av personvernet. Sjølv om det kan vere ein minimal sjanse for at ei krenking skjer, ved at data blir henta ut, er det OK å utsetja brukarar for dette? Eg er rimeleg sikker på at Datatilsynet ville vere fort oppe med bøteheftet.

Eg har sett på alternative måtar å sikra filer i skya med individuell filkryptering. Tidlegare har eg brukt encfs4win, men sidan den baserer seg på komponentar som ikkje har vorte oppdatert på ei god stund, fann eg fram til EncFS MP. Denne programvara er òg enklare å setje opp og bruke.

På PCen i mappa OneDrive laga EncFS MP ein djup mappestruktur takka vere kryptering av filnamn og katalogar (samt innhaldet). At det vert slik klagar ikkje pcen på. Problemet oppstår når mappestrukturen skal synkroniserast mot OneDrive. Bilete over er henta frå OneDrive-klienten til Windows 7 og viser OneDrive klagar over at stien/banen til fila er for lang. Uansett kva du gjer så avsluttar OneDrive-klienten for Windows 7, men ikkje klikk på OK! Avbryt og rett opp filnamn og sti/bane på pcen før du startar OneDrive igjen.

I Windows 8.1 la eg berre merke eit utropsteikn på OneDrive-symbolet og las i synkroniseringmeldingane at same fil ikkje kunne synkroniserast pga for lang sti/banke. Eg trur ikkje OneDrive avslutta, men eg sleit litt med å få i gang att synkroniseringa etter at eg hadde fjerna mappestrukturen som skapte problem. Eg er usikker på om feilen ligg i klienten eller OneDrive i skya. Sidan klienten i Windows 7 takka for seg, kan det tyde på at det er lokalt i klienten. Eg har testa den same strukturen i GoogleDrive og her fungerer synkroniseringa utan eit einaste problem.

For ca 2 mnd sidan kjøpte eg ein Nokia Lumia 620 til kr 499 med kontantkort. Eg har kjennskap til Apple- og Android-universet. Eg har tidlegare omtala mine erfaringar med Samsung S2. Ein ting er sikkert: Dei 3 mobilplattformane er heilt forskjellige. Kva sit eg att med etter ca 2 månadar med Windows Phone?

Positivt

Om du brukar telefonen sporadisk var Nokia Lumia 620 ein sann glede. Sjølv om telefonen har eit mindre batteri enn S2, kan han ligge 5 dagar uten lading. Med same bruk som S2 held han i 2 dagar, medan S2 greier berre 1 dag.

Lydkvaliteten synes eg er betre enn mange andre telefonar. Eg brukar ikkje nokon form for lydsminke på mine avspelingseiningar. Alt av innstillingar står på 0 og om det er mogleg så koplar eg lyd utenom tone og balansekontrollar. Musikken min kodar eg på høg kvalitet. Standard 128 kb er ikkje nok. Nokia Lumia 620 har eit godt og vidt stereobilde der detaljar i musikken kjem tydelegare fram enn på andre mobilar, iPod nano og Sansa e260.

Sjølve OSet er veldig responsivt. Eg har heller ikkje mangla applikasjonar og funne det eg har hatt trong for. Til og med ein gratis app for å få tilgang til mine bokmerker i Chrome eksisterer, sjølv om han ikkje er utvikla av Google. Som tidlegare eigar av Nokia N8 set eg pris på tilgong til Nokia si kartløysing og navigasjon.

At det er mogleg med miniSD-kort i telefonen er positivt. Med 32 GB får eg med det meste av det interessante i samlinga mi med meg i høg kvalitet.

Om vi ser bort frå operativsystemet, synes eg storleiken er akkurat passeleg. Materialet virkar solid. Eg har mista telefonen frå hoftehøgd ned i eit steingolv, då eg bomma på lomma. Den spratt i tre deler; hovuddel med skjerm, bakdel som omsluttar hovudelen og batteri. Ingen skade på telefonen og han starta utan å klage etter at eg sette han saman att. Lurer på korleis det hadde gått med t.d. iPhone 4S.

Negativt

Eg skulle bruke telefonen til å flytte nokre filer mellom to pcar. Det rota til spelelister så eg er usikker på om han egnar seg til dette. I det minste må du vere merkasm på meldingar som måtte kome opp når du koplar han til andre pcar. 

Windows Phone og Google Calendar går ikkje heilt overeins. Om du legg inn ein avtale på klokka 17.00 vert han korrigert til 16.00, etter at han er synkronisert med Google Calendar. Løysinga er å legge inn avtalen ein time fram i tid, kl 18.00 i eksempelet mitt. Etter synkronisering med Google Calendar blir han flytta til kl 17.00. Inntil problemet er løyst av Microsoft er det eit irritasjonsmoment. Så lenge eg veit korleis eg kan handtere det, kan eg leve med det.

Den store «show-stopper» er tryggleiken til Windows Phone. Den første er førehandsvisning av første delen av meldingar på toppen av skjermen når telefonen er låst. For deg betyr det at du kan lese SMS-koden frå banken og andre utan å låse opp telefonen. I eit scenario der telefonen og passorda dine er stolne, treng ikkje den som har telefonen låse han opp for å få tak i koden som kjem på SMS. Sett på ein anna måte har Microsoft har nulla ut verdien av 2-faktor autentisering ved hjelp av meldingar til telefonen. Eg lurer på kva dei vil kalle dette: Lus eller funksjonalitet. Eg vil kalle det tanketomt og hovudlaust.

Uten at telefonen er kopla til Exchange med policy for kryptering slått på, kan du berre gløyme å sikre dine data med kryptering. Det er ikkje mogleg å kryptere telefon eller sd-kort om du er vanleg privat brukar. Dette er for dårleg Microsoft, jamvel uakseptabelt. Til og med min gamle Nokia N8 med Symbian tilbaud fullstendig kryptering av både telefonminne, fastminne i telefonen og sd-kort.

Konklusjon

Utifrå eit tryggleiksperspektiv har Microsoft gjort eit par solide blunderar som fører til at eg ikkje kan tilrå Windows Phone.