Varsler massivt tilsyn med bruk av skytjenester i offentlig sektor

Tirsdag denne uka markerte starten på europeiske datatilsyns første store koordinerte tilsyn.

Gjennom de neste månedene skal datatilsyn fra 22 land føre tilsyn med over 75 ulike offentlige institusjoner.

Det skriver den sentrale europeiske personvernrådet, EDPB, i en pressemelding.

Økende bruk av skytjenester

Eurostat melder om en dobling av antall bedrifter som har data i skyen de siste seks årene.

64 prosent av norske virksomhetene oppgir at de brukte skytjenester, mot et europeisk snitt på 41 prosent. Mest vanlig er bruk til e-postsystemer og lagring av ulike filtyper. Men over 70 prosent av de som bruker skytjenester oppgir at de også bruker mer sofistikerte skytjenester, til databaser, og drift og utvikling av programvare.

Også offentlige virksomheter går stadig oftere til skyen.

− Ved å gjøre det kan de imidlertid støte på vanskeligheter med å skaffe tjenester som er i samsvar med EUs personvernregler, skriver EDPB.

Nå skal det føres tilsyn med bruk av skytjenester i over 75 offentlige organer. Lista inkluderer EU-institusjoner og nasjonale virksomheter innen helse, skatt, utdanning og finans.

Tilsynene gjennomføres på nasjonalt nivå, etter felles malverk.

− Datatilsynene vil utforske offentlige organers utfordringer med å overholde GDPR når de bruker skybaserte tjenester. De vil se på prosessene og hvilke sikkerhetstiltak som ble implementert ved anskaffelse av skytjenester, og utfordringer knyttet til internasjonale overføringer, skriver EDPB.

Det kan gi etterlengtet klarhet.

Kan gi etterlengtet Schrems II-klarhet

Dersom persondata skal overføres til land utenfor EU, må mottakerlandet følge de samme reglene for beskyttelse av personopplysninger som EU. Slik skal europeiske borgere være trygge på at deres rettigheter ikke undergraves dersom dataene brukes eller lagres et annet sted i verden. Europeiske regler for GDPR står imidlertid i motsetning til en rekke andre lands lover for overvåking.

Schrems II-dommen fra juli 2020 dykket ned i motsetningen mellom EUs regelverk for personvern, og amerikanske myndigheters rettigheter til overvåking. Konklusjonen ble at gjeldende ordninger for overføring av europeiske data til USA, ikke var tilstrekkelig til å sikre europeernes rettigheter til personvern.

Dommen sådde tvil om hvorvidt amerikanske skytjenester i det hele tatt kan brukes i Europa og Norge, og hva som faktisk må være på plass for at overføring av data til amerikanske teknologiselskaper skal være lovlig.

Sverige har allerede begynt å se på alternativer til amerikanske skytjenester, og mange ser etter alternativer til Google Analytics etter at flere tilsyn har funnet bruken i strid med personvernforordningen.

Den koordinerte innsatsen datatilsynene varsler denne uken, skal «fremme beste praksis og derved sikre tilstrekkelig beskyttelse av personopplysninger».

Det kan gi etterlengtet klarhet.

− Resultatene vil bli analysert på en koordinert måte og datatilsynene vil ta stilling til mulige ytterligere nasjonale tilsyns- og håndhevingstiltak. I tillegg vil resultater samles, noe som gir dypere innsikt i temaet og muliggjør målrettet oppfølging på EU-nivå, skriver EDPB i pressemeldingen.

Innen året er omme skal EDPB publisere en rapport om resultatene av tilsynene og analysen av resultatene.

Norge ikke med

EDPBs oppdrag er nettopp å bidra til konsistens i hvordan personvernforordningen håndheves i Europa, og samarbeid mellom de ulike landenes tilsynsmyndigheter.

Som en viktig del av strategien, besluttet EDPB i oktober 2020 å sette opp et rammeverk for koordinerte tilsyn. Målet er å gjøre samarbeidet mellom ulike datatilsyn lettere, og «strømlinjeforme håndhevelsen».

Dette er første gang EDPB sparker i gang et slik koordinert tilsyn, og det er frivillig for datatilsynene å være med på.

Det norske Datatilsynet forteller på e-post til Digi.no at de på grunn av sin egen ressurssituasjon ikke har valgt å kaste seg på denne gangen.

− Det betyr selvsagt ikke at vi ikke kommer til å gå på tilsyn, understreker Tobias Judin, seksjonssjef i Internasjonal seksjon i Datatilsynet, og viser til planene for tilsyn i år.