Kaller e-post-blokkeringen et paradigmeskifte: – Total uberegnelighet

Etter stengingen av Microsoft-kontoen til sjefanklager Karim Khan i Den internasjonale straffedomstolen (ICC), mener advokat Kristian Foss at ingen nå egentlig kan stole fullt ut på sine USA-leverte tjenester.

Han er partner i advokatfirmaet Bull, og har 25 års erfaring med personvern, IT- og teknologijus.

Foss mener enhver organisasjon eller person som kan tenkes å oppfattes negativt av amerikanske myndigheter, bør forberede seg på å kunne miste tilgang til tjenestene.

15. mai ble det kjent at sjefanklageren i ICC fikk sin e-post-konto fra Microsoft stengt etter sanksjoner fra president Trump.

– Et paradigmeskifte

– Det som så langt har vært situasjonen før de siste sprellene til president Donald Trump er hvordan usikkerheten han skaper vil påvirke adekvandsvurderingen. Dette er ikke så ulikt den samme usikkerheten som vi hadde etter Schrems 2 før den nye avtalen DPF kom på plass (EU–US Data Privacy Framework, red anm.). Det humpet og gikk litt mens man ventet på et nytt overføringsgrunnlag.

– Det som er vesentlig annerledes nå, er at man går fra denne etterlevelsesrisikoen, til en operasjonell risiko.

– Etterlevelsesrisikoen for virksomhetene var særlig sanksjoner fra Datatilsynet, som i praksis var en liten risiko. Og man hadde en underliggende tillit til leverandørene.

– Med angrepet på ICC er det et paradigmeskifte: Vi ser en total uberegnelighet, og ingen vet hvor den haren hopper. Personvernregelverket blir dermed ikke det mest interessante, men heller den operative evnen til virksomhetene, som kan risikere å miste tilgang til systemer nødvendig for daglig drift om de bruker amerikanske skytjenester, mener han.

– Ideelle organisasjoner som for eksempel er kritiske til Gaza, eller veldig for mangfold, bør virkelig komme i gang, sier Foss.

– Komme i gang med å lage en plan for å håndtere et mulig bortfall i fremtiden, eller komme i gang med å faktisk bytte tjenester?

– Alle ideelle organisasjoner som kan tiltrekke seg negativ oppmerksomhet burde bare begynne å bytte. De kan begynne med en backup av egne data til tjenester som ikke er kontrollert av USA-baserte leverandører.

Han mener også pressen kan være en utsatt bransje, spesielt dersom de blir et talerør for synspunkter som strider mot Trump-administrasjonen.

Også statlige organer, inkludert i Norge, er utsatt, mener han.

– Det er ikke sikkert det er en stor risiko i dag, men plutselig er det det i morgen, understreker han.

Det er ikke åpenbart hvem det vil kunne ramme, påpeker Foss.

– Når Trump går på universiteter, advokatfirmaer og vil ta over Grønland, kan ingen vite hva det neste blir.

Han viser også til at Hafslund Celsio er bedt om å rette seg etter Donald Trumps presidentordre mot mangfold, fordi de leverer fjernvarme til USAs ambassade i Oslo.

– Tiltak som følger av norsk diskrimineringslov og er innvevd i norsk gjøremåte, kan oppfattes som mangfoldspolitikk i USA, sier Foss.

– Kan skje med hvem som helst

Bull har flest kunder i privat sektor. Partneradvokaten forteller at de har fått ganske få henvendelser om temaet, og at det ofte er advokatfirmaet selv som tar opp problemstillinger rundt exit-strategi og risikovurderinger.

– Dette med at vi har gått fra en etterlevelsesrisiko til operasjonell risiko, er så nytt at jeg ikke tror virksomhetene har rukket å ta den nye situasjonen helt innover seg ennå. Men den usikkerheten kommer til å bli et tema fremover, tror Foss.

Advokaten kjenner ikke til at sanksjoner fra USA har skjedd på denne måten før, med blokkering av digitale tjenester. I alle fall ikke mot vestlige aktører.

Han synes at situasjonen fremstår ekstra ille ved at det er Microsoft som har blitt presset.

– Microsoft har historisk holdt fanen høyt mot myndighetskrav for å beskytte grunnleggende verdier og kundene sine, sier Foss.

Han viser som eksempel til Hotmail-saken, hvor Microsoft nektet å utlevere opplysninger om en narkomistenkt person med Hotmail-konto til amerikansk politi. Saken bidro til regulering av de amerikanske etterretningstjenestenes fullmakter overfor brukere av amerikanske tjenester i utlandet (Cloud Act).

– Når Microsoft blir presset på dette nå, kan det virkelig skje med hvem som helst, sier Foss.

– Selvskading for amerikanske kommersielle interesser

Det er ikke tilgang på data som er det mest effektive verktøyet for Trump. Tilgang til tjenester er et større maktmiddel, påpeker han.

– Men om han bruker det middelet mer vil det skade kommersielle aktører i USA. Det han har gjort nå er selvskading for amerikanske kommersielle interesser, for å få straffet ett organ litt mer enn bare med innreiseforbud.

– Skadevirkningen kan være helt enorm sammenlignet med straffegevinsten han ønsker å få til, da det er relativt lett for ICC å gjenopprette e-posttjenesten, sier advokaten.

Microsofts tilsvar

Microsoft Norge har fått forelagt Foss' utspill om selskapet.

Kommunikasjonssjef Cornelia Bjørke-Hill i Microsoft Norge svarer at de ikke kan gi mer informasjon enn uttalelsen de har gitt om ICC-saken tidligere, som er følgende:

«Microsoft har siden februar vært i løpende dialog med Den internasjonale straffedomstolen (ICC) gjennom hele prosessen som ledet til frakoblingen av den sanksjonerte tjenestepersonen fra våre tjenester. Vi understreker at Microsoft på intet tidspunkt har avsluttet eller midlertidig stanset sine tjenester til ICC.»

ICC har foreløpig ikke uttalt seg om utestengelsen av Khan.

Ande kan overta driften

Det var i februar at president Trump signerte en presidentordre med nye sanksjoner mot ICC, etter at domstolen utstedte en arrestordre på Israels statsminister Benjamin Netanyahu og tidligere forsvarsminister Yoav Gallant med anklager om krigsforbrytelser i Gaza (se faktaboks lenger oppe i saken).

Microsoft har ikke svart på Digis spørsmål om å utdype hvordan utestengingen av Karim Khan kom til, og viser til at de har forpliktelser som gjør at de ikke kan dele mer detaljer enn det som står i uttalelsen.

Kristine Dahl Steidel i Microsoft påpekte nylig at over halvparten av Microsofts omsetning kommer utenfra USA, og at selskapet er helt avhengig av tillit fra kundene og partnere i Europa.

Microsoft har lagt til rette for at infrastrukturen deres kan operere autonomt i Europa. Ved et verst tenkelig scenario, som et amerikansk pålegg om å stanse tjenester, kan europeiske partnere overta driften, forklarte hun til Digi forrige uke.

– Juridisk har vi også forpliktet oss, og det tar vi med i alle kontrakter, til å bruke ethvert rettslig middel for å utfordre eventuelle begjæringer om innsyn i data. Vi kommer til å bruke alle rettslige midler, og vi kommer til å offentliggjøre ethvert krav. Vi kommer til å offentliggjøre prosessen og vi kommer til å offentliggjøre resultatet, uttalte Steidel.