Nettsky-entusiast: Regelverket er utydelig. Men Google Apps var så bra at vi ikke kunne unngå å ta løsningen i bruk, sier IT-sjef Per Jacobsen i Narvik kommune. (Bilde: Marius Jørgenrud)

Kjemper mot Datatilsynets «klebrige klør»

IT-sjefen i Narvik om spranget ut i nettskyen.

TØNSBERG (digi.no): Han mener dagens lovverk er ullent og jussen uklar på området. IT-sjef Per Jacobsen i Narvik var likevel aldri i tvil: Kommunen måtte flytte e-postsystemet ut i skyen.

Før sommeren tok de spranget, og ble landets første kommune til å ta i bruk Google Apps. Dermed havnet de også i Datatilsynets søkelys. De er bekymret for hvordan personopplysninger ivaretas i løsningen.

Google lagrer dataene på hemmelig sted i utlandet, og tilbyr bare rene standardkontrakter. Som digi.no har belyst i en serie artikler (se nederst), kan kommunens løsningsvalg dermed være i strid med norsk lov.

Klebrige klør

Da Jacobsen onsdag holdt foredrag på IT-tinget, ble innlegget introdusert slik: Nå må de «kjempe seg ut av de klebrige klørne til datatilsynet» for å komme seg ut i den frie skyen!

– Hvor går terskelen der du beveger deg inn i et område der lovverket trer inn? Risikovurderingen må være om man stoler på leverandøren. De (Google) vil regulere seg selv, noe annet ville vært ødeleggende for dem som leverandør, mente han.

Bilde: Marius Jørgenrud

Juridiske hindre

Foruten å stole på Googles forsikringer om tjenestekvalitet og tilbud om revisjonsrapporter fra tredjepart, mener Jacobsen at det er opplæring av ansatte og egne retningslinjer som skal sikre at sensitive personopplysninger ikke kommer på avveie.

– Ja, det er flere juridiske hindre. En er at Datatilsynet vil at vi oppretter en egen databehandleravtale med Google. Google er ikke enig i det. De gjør det ikke. Det strider mot forretningsmetodikken i løsningen. Man opererer med standardavtaler, sier han.

En annen ting er lovverket. All håndtering innenfor jussen er underlagt en tolkning, ifølge Jacobsen. – Det bør det være her også. Klart, hvis man leser personvernloven ordrett så kommer vi vanskelig ut i mange tilfeller, men også her går det på tolkninger. Vi må se forskjell på hvilke applikasjoner som brukes, og hva slags innhold som skal legges ut i skyen.

Omdiskutert

Per Jacobsen innrømmer at de visste allerede før de satte i gang prosjektet at valget ville bli omdiskutert.

– Vi oppfattet regelverket som utydelig. Men så tenkte vi at løsningen i seg selv er så bra og verdifull for oss som kommune til at vi kunne la det ligge.

Fra salen spurte advokat Malin Tønseth i Simonsen advokatselskap om Narvik kommune ville gjort noe annerledes i dag, nå som Datatilsynet har bedt om en redegjøring og har uttrykt bekymring for bruken av løsningen.

– Det kan godt tenkes vi hadde brukt mer tid, men jeg tror ikke utfallet ville endret seg, svarer IT-sjefen.

– Men burde dere ikke innledet dialog med Datatilsynet først, for å unngå at dette ble en stor sak i etterkant. Man bør ikke være redd for å kontakte myndighetene i forkant. Så slipper du overraskelsen senere, fortsatte Tønseth.

– Jeg ser den. Men vi har inntrykket at de ikke alltid er en rådgiver, men mer tilsynsmyndighet.

Status i saken med Datatilsynet er at myndighetene har forlangt en redegjørelse fra kommunen. Tidligere i måneden forelå svaret. Sakskomplekset er omfattende og tilsynet har ennå ikke konkludert.

– Vi fortjente det

Narvik kommunes IT-sjef tok onsdag selvkritikk på at de ikke hadde undersøkt nærmere om juridiske hindre før innføringen av nytt system.

– Vi er ingeniører, og starter gjerne løsningsorientert. Vi anså at løsningens sikkerhet var god. Vi visste at det var et tåkete og uavklart område. Løsningen ble innført fordi vi mente at vi fortjente det, sier IT-sjef Per Jacobsen til digi.no.

Nå ser han frem til at Datatilsynet får avklart eventuelle juridiske hindre for dem.

– Dere frykter ikke at tilsynet kommer frem til et svar dere ikke liker?

– Frykt er et sterkt ord. Jeg håper de kommer oss i møte. Jeg tror også de ønsker at denne typen løsninger skal få komme til anvendelse i Norge.

– Har dere ingen betenkeligheter med å la kommunens e-postsystem administreres av et amerikansk selskap som nekter å si hvor kundenes data lagres?

– Jeg har lite reservasjon mot akkurat det. Jeg tenker det at e-postdata fortsatt ikke er del av vårt fagsystem. Det er der de viktige dataene ligger.

Bilde: Marius Jørgenrud

Foruten bekymringen til Datatilsynet, har flere norske jusseksperter advart norske kommuner mot å ta i bruk nettskyløsninger. I Danmark nektes offentlig sektor å ta i bruk Google Apps. – Kan det hende at det ligger et poeng her?, spør vi.

– Det er vanskelig å si, svarer Jacobsen. – Jeg vet ikke hvordan de tolker sin advarsel. Historisk sett har innføring av ny teknologi ofte medført advarsler.

– Hva gjør dere hvis Datatilsynet kommer frem til at kommunen bryter loven?

– Det må vi ta opp til drøfting der og da. Jeg vil ikke spekulere i det. Mitt håp er at flere kommuner og offentlige virksomheter tar i bruk lignende tjenester. Hvis det er et sug i markedet etter dette må vi finne en måte å regulere det på.

    Les også:

Til toppen