Tung om risiko ved dataoverføring til USA: – Alle må selv vurdere hvilket alternativ som passer for dem

Etter at Donald Trump igjen kom til makten i USA har han gjort endringer som har gjort europeiske land bekymret for om det fortsatt vil være lovlig å lagre europeiske persondata hos amerikanske selskaper (se faktaboks).

I slutten av februar anbefalte Datatilsynet alle å ha en plan B, en exit-strategi fra amerikanske skytjenester. Det er lettere sagt enn gjort, mener blant annet Trondheim kommunes IT-sjef, Bjørn Villa.

Mange selskaper, inkludert store offentlige virksomheter i Norge som Politiet, Forsvaret, Statens Vegvesen og Nav, bruker amerikanske skytjenester fra for eksempel Microsoft og Google til blant annet kontorstøtte.

Anbefalte strategi

I et svar på et skriftlig spørsmål til Stortinget 6. mars viste Digitaliserings- og forvaltningsminister Karianne Tung til Datatilsynet, og skrev at alle virksomheter bør ha en strategi for hva de skal gjøre, dersom personopplysninger ikke lenger kan overføres til USA etter den samme avtalen som i dag.

– Jeg forventer at virksomheter i offentlig sektor har særlig oppmerksomhet rettet mot dette, skrev hun.

25. mars skrev statsråden et innlegg til Digi hvor hun påpekte at hun selv aldri har sagt at norske virksomheter må ha en exit-strategi, altså en plan for å kunne trekke seg helt ut av amerikanske skytjenester.

– Finnes alternativer

En beslutning fra EU-kommisjonen om personvernnivået i tredjeland er ikke det eneste lovlige grunnlaget for overføring av personopplysninger til land utenfor EØS. Det finnes også andre bestemmelser i GDPR som åpner for slike overføringer, presiserte hun i innlegget.

Digi har spurt Tung om å utdype videre hva hun mener virksomheter nå bør gjøre.

– Jeg har ikke uttalt meg spesielt om bruk av amerikanske skytjenester. Jeg presiserer igjen at jeg ikke har noen indikasjoner på at dataflytavtalen med USA ikke skal fortsette å gjelde, skriver hun i en e-post.

På spørsmål om hvilke alternativer til den gjeldende dataoverføringsavtalen mellom EU og USA som i dag er grunnlaget for EUs gjeldende adekvansbeslutning, viser hun til GDPR.

– Personvernforordningen inneholder alternative regler om overføring av personopplysninger til land utenfor EØS. Alle virksomheter må selv vurdere hvilket alternativ som passer for dem. Og så oppfordrer jeg igjen de som trenger råd og veiledning om å ta kontakt med Datatilsynet, svarer hun.

– Må vurdere risikoen selv

– Hva er risikoen for at europeiske/norske persondata fra skytjenester kan havne hos amerikansk etterretning? Er det en endring i denne risikoen?

– Det er opp til virksomheter selv å definere hva som kan utgjøre en risiko knyttet til teknologien de bruker i virksomheten sin, svarer hun.

Ellers skriver hun at USA er en alliert og leverer mye fremtidsrettet teknologi som vi drar nytte av både personlig i hverdagen og for å løse store samfunnsutfordringer.

– Samtidig endrer verden seg fort, og alle virksomheter må kontinuerlig vurdere risikoen ved de tjenestene de velger å bruke, og sørge for at de følger gjeldende regelverk, skriver hun, og fortsetter:

– Som en åpen økonomi, og en del av et globalt marked, tror jeg vi alle må lære oss å balansere teknologiavhengighet mot behovet for de beste og mest kostnadseffektive løsninger. Regjeringen har per nå ingen planer om å fraråde folk og virksomheter fra å bruke amerikanskprodusert teknologi.

Dansk anbefaling om exit-strategi

I Danmark har beredskapsministeren Torsten Schack Pedersen oppfordret bedrifter og myndigheter til å forberede seg på at amerikanske techgiganter kan bli tvunget til å stenge skytjenester for danske brukere, skriver avisen Politiken.

Oppfordringen kommer etter at lederen for den danske regjeringens cybersikkerhetsråd advarte om at risikoen for et slikt scenario er betydelig.

Den svenske Integritetsskyddsmyndigheten (IMY), som tilsvarer Datatilsynet i Sverige, har bedt bedrifter tenke på at man kan trenge en annet støtte (kapittel 5 i GDPR) for å kunne overføre personopplysninger til USA dersom adekvansbeslutningen faller.