Fersk veileder skulle gjøre bruk av skytjenester enklere. − Har skapt usikkerhet, sier Datatilsynet

Torsdag morgen publiserte Digitaliseringsdirektoratet (Digdir) og Direktoratet for Forvaltning og økonomistyring (DFØ), offentlig sektors ferske veiledning for lovlig anskaffelse og bruk av skytjenester.

Å kjøpe skytjenester etter Schrems II er komplekst, og mer praktisk veiledning har vært etterspurt. Digdir og DFØ har på oppdrag fra topplederorganet Skate, tatt «stafettpinnen videre fra Datatilsynet for å gi ytterligere veiledning».

Dagen etter veilederen ble publisert, melder Datatilsynet og Digdir i en felles uttalelse at veilederen har skapt usikkerhet.

Samarbeid mellom DFØ og Digdir

− Veldig mange offentlige virksomheter sto med store utfordringer i å gjøre disse vanskelige vurderingene etter Schrems II. Det var behov for ytterligere hjelp. Og da gjerne litt konkret – hvordan kan du faktisk gjennomføre disse vurderingene, sier Jens Osberg, seniorrådgiver og fagansvarlig i Digdir, til Digi.no.

Digi.no treffer Osberg sammen med Sverre Stoltz, programleder i Divisjon for offentlige anskaffelser i DFØ i et stort møterom i Digdirs lokaler torsdag formiddag, altså dagen før Datatilsynets utspill.

Her har de nylig markert publiseringen av veilederen.

Osberg har ledet arbeidet sammen med Cathrine Løver Lund, som nylig sluttet i jobben som jurist i DFØ til fordel for Sopra Steria. En rekke offentlige virksomheter har vært involvert i arbeidet.

− Det er komplekse problemstillinger, og det finnes kanskje hundrevis av dem. Det har vært mye jobb å finne ut hvilke av dem vi skulle se på, sier Stoltz.

Selv om det var Schrems II og problematikken rundt overføring av persondata om europeiske borgere som var utgangspunktet for oppdraget, viste det seg raskt at det virksomhetene lurte på, vel så ofte handlet om lagring av persondata i andre EU-land.

− Uavhengig av om man overfører, er det behov for å gjøre en god og grundig risikovurdering ved bruk av denne typen tjenester. Når spørsmålene er såpass kompliserte, har det for mange vært ganske krevende, sier Osberg.

Oppdrag fra Skate

Bestillingen kom fra topplederorganet Skate, etter at 29 offentlige virksomheter hadde bidratt i et koordineringsarbeid om problemstillinger ved bruk av skytjenester etter Schrems II-dommen.

På et møte 13. oktober i fjor ble topplederne enige om å fortsette arbeidet, med «en rekke helt konkrete vurderinger av teknisk, sikkerhetsfaglig, strategisk, økonomisk og juridisk karakter». De mente mange satt med de samme utfordringene og at det derfor ville være nyttig med mer grundig og konkret felles veiledning.

Gruppa fikk i mandat å formidle beste praksis for vurderinger av tekniske, sikkerhetsmessige, kontraktuelle og strategiske spørsmål.

− Det var behov for å samle kompetansen, både jurister, teknologer og sikkerhetsfolk, sier Osberg.

Datatilsynet ikke med i arbeidsgruppa

Selv om fagvurderinger fra Datatilsynet har vært med inn i arbeidet, har ikke tilsynet vært med i arbeidsgruppa.

De var imidlertid til stede i Skate-møtet som bestilte veilederen.

Daværende direktør i Datatilsynet, Bjørn Erik Thon, understreket da at det var «uønsket at Digdir eller andre hadde en egen forståelse av handlingsrommet i Schrems II-dommen».

Datatilsynet har fått veilederen til gjennomlesing før sommeren.

− Har skapt usikkerhet

Likevel har den nye veilederen skapt usikkerhet, skriver Datatilsynet og Digdir i en felles uttalelse på Datatilsynets egne nettsider fredag − dagen etter at veilederen kom og Digi.no intervjuet Osberg og Stoltz.

− Datatilsynet og Digdir har opplevd å få mange henvendelser om veilederen og at veilederen har skapt noe usikkerhet. [...] Noen punkter i veilederen som nå er publisert, skiller seg fra Datatilsynet og Personvernrådets praksis, skriver Datatilsynet fredag.

Det kommer ikke frem hvilke punkter det dreier seg om.

Digdir-direktør Steffen Sutorius lover å «klargjøre»:

− Jeg er blitt informert om at Datatilsynet har fått mange spørsmål om denne veiledningen erstatter Datatilsynets veiledning. Det gjør den ikke. Vår (Digdirs) veiledning er ment å ta utgangspunkt i Datatilsynets veileder, men også gjøre veiledningen mer konkret etter innspill og behov fra virksomheter i offentlig sektor. Jeg er lei meg for at flere opplever at veiledningen skaper usikkerhet om Datatilsynets rolle, og det er vi innstilt på å klargjøre i tett samarbeid med Datatilsynet den nærmeste tiden. Dette gjelder også juridiske uenigheter, sier han i uttalelsen.

Datatilsynets direktør, Line Coll, har etter at hun startet i rollen som direktør for Datatilsynet i august, lagt vekt på at hun vil gjøre regelverket mer tilgjengelig og enklere å forholde seg til i praksis.

− Vi er også opptatt av forenkling og å hjelpe virksomheter til å etterleve regelverket på en best mulig måte. Men det må skje innenfor dagens regler, som virksomhetene faktisk må forholde seg til. Veiledningen vår viser hvordan vi og Personvernrådet forstår dagens regelverk, sier hun i den felles uttalelsen.

I en e-post til Digi.no søndag skriver Osberg:

– Vi mottok noen tilbakemeldinger fra Datatilsynet før sommeren. Der fikk vi både ros og forslag til endringer. Vi har med gode intensjoner forsøkt å ta med innspillene. I lys av en samtale med Datatilsynet på fredag ser vi at vi ikke i tilstrekkelig grad har lykkes med det. Vi vil ta et møte med Datatilsynet i nærmeste fremtid om dette.

Det kommer i tillegg til allerede planlagte videreutviklings-aktiviteter.

Vil involvere sky-leverandørene

Til nå har de laget 15 artikler som tar for seg hver sin problemstilling.

− Nå skal vi se hvilke spørsmål som kommer fremover, sier Stoltz til Digi.no torsdag.

Det er hans avdeling i DFØ som skal forvalte veilederen videre på markedsplassen anskaffelser.no. Han ser den ikke som ferdig utviklet.

− Vi kan ikke stoppe her. Om det er hundrevis av problemstillinger, har vi svart på 15. Det er bra, da har vi hjulpet virksomhetene et godt stykke på vei, men det kommer jo flere spørsmål, sier Stoltz.

Da er det også naturlig å involvere sky-leverandørene, som de ikke har kunnet involvere før første versjon var publisert.

− Det er noen spørsmål i dette materialet, som det kan vise seg at virksomhetene vil stille til leverandørene gang etter gang, sier Stoltz.

Det kan bli utgangspunkt for videreutvikling.

− Leverandørene skal slippe å svare på de samme spørsmålene 400 ganger, sier Stoltz.