København kommune skulle ha spart 15 millioner kroner de neste par årene ved å legge hele den digitale infrastrukturen i Microsofts skyløsning.
Men Schrems II-dommen har fått kommunen til å sette det store prosjektet på pause.
Akkurat nå kan man ikke gå over til den amerikanske teknologi-gigantens sky, og derfor venter kommunen på at EU-kommisjonen finner en løsning på problemet som plager tusenvis av organisasjoner i hele EU.
Schrems-sakene
I oktober 2015 avviste EU-domstolen «Safe Harbor»-avtalen mellom EU og USA med Schrems I-dommen. Like etter inngikk de to partene enda en avtale, Privacy Shield, noe europeiske bedrifter brukte som overføringsgrunnlag til USA de neste fem årene.
Sommeren 2020 avgjorde EU-domstolen Schrems II-saken, som endte med at overføringsgrunnlaget Privacy Shield ble avvist. Før avgjørelsen hadde europeiske bedrifter brukt Privacy Shield til blant annet å bruke amerikanske skytjenester.
Nå må bedriftene i stedet bruke standardkontrakter med supplerende tiltak, og det er en veldig vanskelig oppgave å finne tiltak som er gode nok til å gjøre persondataoverføringer til USA lovlige.
Det har skapt en frustrasjon hos mange: Skal man avslutte bruken av amerikanske skytjenester? Eller skal man vente på at EU-kommisjonen får i stand en ny avtale?
EU ser imidlertid ut til å ha funnet en løsning. Kommisjonsleder Ursula von der Leyen og president Joe Biden ble i mars enige om en ny dataavtale som «vil føre til forutsigbare og troverdige dataoverføringer som balanserer sikkerhet, retten til privatliv og databeskyttelse», skriver von der Leyen i en Twitter-melding.
Men det er ikke nok for den danske hovedstaden, opplyser økonomiforvaltningen i en e-post:
– København kommune avventer at det politiske utspillet fra EU og USA konkretiseres og at det vedtas nye regler på området jf. Datatilsynets utspill i mars.
Tiltro til data-avtalen vakler
Like etter at EU og USA hadde inngått den nye avtalen, fortalte Datatilsynet at organisasjonene som vil gå over til en amerikansk skyløsning, må vente på en skriftlig avtale:
– Datatilsynet hilser naturligvis EU-kommisjonens arbeid […] velkommen. Ordningen kan etter hvert få stor betydning, men det er foreløpig bare enighet om de overordnede linjene. Den er dermed fortsatt ikke så konkret at den gjør at organisasjoner kan overføre personopplysninger til USA. Det skyldes at det fortsatt ikke er noe nytt overføringsgrunnlag eller noen ny tilstrekkelighetsvurdering, skriver tilsynet i en pressemelding.
Selv om den nye avtalen i sin nåværende form ikke kan brukes til å realisere København kommunes sky-ambisjoner, lover den at USA gjennomfører tiltak for å begrense den massive overvåkingen landets etterretningstjenester har lov til å utføre av EU-borgere.
Akkurat nå gir amerikansk lovgivning myndighetene adgang til europeiske innbyggeres persondata. Det er et brudd med EUs menneskerettighetsprinsipper.
Problematisk amerikansk lovgivning
FISA 702 er en amerikansk lov som gir landets etterretningstjenester lov til å se såkalte «electronic communication providers» over skulderen for å se hvilke persondata de har liggende. Sky-leverandører i USA hører til i den kategorien.
Executive order 12333 «gjør det mulig for NSA å få adgang til opplysninger som er i ’transitt’ til USA fra de undersjøiske kablene som ligger på havbunnen i Atlanterhavet og å samle inn og oppbevare disse opplysningene før de kommer fram til USA og der blir underlagt FISAs bestemmelser, står det i betraktning 63 i Schrems II-dommen.
Cloud Act gir amerikanske myndigheter rett til å anmode amerikanske bedrifter om å utlevere data uansett hvor i verden de er oppbevart.
Konflikten dannet grunnlag for EU-domstolens Schrems II-avgjørelse fra sommeren 2020, men nå forsøker USA seg med nye tiltak som skal gjøre landet til et trygt tredjeland.
En presidentordre skal sørge for at etterretningstjenestene bare kan samle inn opplysninger som er «nødvendige og proporsjonale». Man vil også etablere en domstol for klagesaker fra EU.
Men løsningsforslagene har møtt kritikk fra blant annet personvern-forkjemperen Max Schrems, som står bak de tidligere EU-sakene.
Kommuner tror på EU-løsning
Selv om Max Schrems og eksperter som den danske professoren Henrik Udsen er skeptiske til den nye avtalen, er København kommune optimistisk. Man regner fortsatt med å kunne gjenoppta sky-prosjektet i løpet av i år:
«Med utgangspunkt i det politiske utspillet fra EU og USA forventer kommunen en løsning før utgangen av 2022, men vi kjenner ikke den konkrete tidsplanen for etablering av et nytt regelverk. Forventningen kan derfor endres etter hvert som det kommer nye opplysninger», opplyser økonomiforvaltningen i en e-post.
Hos Kommunenes Landsforening (KL) har man også stor tiltro til den nye avtalen, fortalte Pernille Jørgensen, sjefkonsulent for digitalisering og teknologi hos KL, i begynnelsen av april:
– Vi har ropt høyt hurra her inne. Det er ikke noen hemmelighet, for det er en enorm lettelse. Når den er skrevet, har man jo et overføringsgrunnlag som gjør at USA er et trygt tredjeland å overføre data til. Og da er problemene løst.
Version2 har forsøkt å få et intervju med Stig Lundbech, direktør i Koncern IT, eller med en annen relevant medarbeider fra København kommune. Kommunen har avvist begge deler.
Denne artikkelen ble først publisert på Version 2
