Sveits advarer mot amerikanske skytjenester

Det pågår for tiden et arbeid for å gjøre Europa mindre avhengig av amerikansk teknologi, noe som ikke minst gjelder skytjenestene. Nå har et europeisk land gått til det skritt å advare mot amerikanske skytjenester og lagt ned forslag om strenge restriksjoner.

Det sveitsiske organet Privatim, som er en samarbeidsorganisasjon for personvernombudene i landet, forfattet nylig en resolusjon hvor det tas til orde for å unngå å bruke amerikanske skytjenester i sin nåværende form.

Blant andre The Register har skrevet om saken.

Fraråder lagring

Nærmere bestemt fraråder organet offentlige instanser fra å lagre sensitive data i skytjenestene til store teknologiaktører som Google, Microsoft og Amazon, og fra å benytte SaaS-løsninger, som for eksempel Microsoft 365.

Som begrunnelse for resolusjonen peker Privatim på at de fleste SaaS-løsningene fremdeles ikke tilbyr ende-til-ende-kryptering som forhindrer tilbyderen i å få tilgang til dataene i klartekst.

Det andre viktige ankepunktet handler om transparens. Organet mener at de store, globale teknologiselskapene tilbyr for lite innsyn til at myndighetene kan verifisere hvorvidt kontraktsmessige forpliktelser rundt databeskyttelse og sikkerhet blir overholdt.

Dermed er det også betydelig vanskeligere å forhindre brudd på rettigheter. Alt myndighetene har makt til å gjøre, ifølge Privatim, er å reagere etter at et brudd har funnet sted, ved å for eksempel tilbakeholde sensitive data.

I tillegg pekes det på at skytjenesteleverandørene kan justere kontraktsvilkårene med jevne mellomrom, noe som potensielt kan svekke sikkerhets- og personvernbestemmelsene.

Kritiserer lov

Privatim nevner ikke minst Cloud Act som en stor kilde til bekymring. Cloud Act (Clarifying Lawful Overseas Use of Data Act) er en amerikansk føderal lov innført i 2018 som gir amerikanske myndigheter mulighet til å tvinge teknologiselskaper under amerikansk jurisdiksjon til å utlevere data, uavhengig av hvor dataene er lagret geografisk.

Cloud Act fikk støtte fra en del teknologiselskaper da den ble innført, men den har også mange kritikere, deriblant borgerrettighets- og personvernorganisasjonen Electronic Frontier Foundation (EFF).

– Cloud Act ville gitt ubegrenset jurisdiksjon til amerikansk rettshåndhevelse over enhver data som kontrolleres av en tjenesteleverandør, uavhengig av hvor dataen er lagret og hvem som opprettet den [...] Omfanget av en slik ensidig utenomrettslig tilgang skaper en farlig presedens for andre land som ønsker å få tilgang til informasjon lagret utenfor sine egne grenser, inkludert data lagret i USA, skriver EEF på nettsidene sine.

Privatim tar riktignok ikke til orde for et forbud, men oppfordrer til stor forsiktighet rundt bruk av de amerikanske skytjenestene.

– Derfor må myndighetene, før de outsourcer behandlingen av personopplysninger til skytjenester, analysere de spesifikke risikoene i hvert enkelt tilfelle, uavhengig av dataens sensitivitet, og redusere disse risikoene til et akseptabelt nivå ved hjelp av egnede tiltak, skriver organet.