GDPR i korte trekk, for deg som bruker skyen

Modul 1: Hvorfor en europeisk sky? · Lesetid: 11 minutter

Læringsmål: Etter denne leksjonen kan du nevne rollene og pliktene fra GDPR som gjelder når du bruker en skytjeneste, og forklare hvorfor du selv forblir ansvarlig, selv om dataene ligger hos en annen part.

Nøkkelbegreper: personvernforordningen (GDPR), personopplysninger, behandling, behandlingsansvarlig, databehandler, underleverandør, prinsipper (art. 5), ansvarlighetsprinsippet, databehandleravtale (art. 28), sikkerhet (art. 32), overføring (kapittel V), Datatilsynet, bøter (art. 83)

Hvorfor GDPR plutselig er relevant her

GDPR (personvernforordningen, på engelsk General Data Protection Regulation) er en europeisk forordning: forordning (EU) 2016/679. Den har virket direkte i alle EU-land siden 25. mai 2018, og i Norge gjennom EØS-avtalen og personopplysningsloven. I Norge fører Datatilsynet tilsyn; i hvert EU-land er det et eget tilsynsorgan.

Du tenker kanskje: GDPR handler om store selskaper med kundedatabaser. Men Bakkerij De Korrel omfattes også. I innboksen ligger bestillinger med navn, adresser og telefonnumre. I de nettbaserte mappene ligger arbeidsplaner, lønnsslipper og en kopi av et identitetsbevis til en ny medarbeider. I kalenderen står navnene til kunder ved leveringsavtaler. Alt dette er personopplysninger: all informasjon om en identifisert eller identifiserbar person (art. 4 nr. 1). Og å lagre, sende på e-post, dele og slette er alt sammen behandling (art. 4 nr. 2).

Et unntak: det du gjør rent privat, som dine egne familiebilder, faller utenfor GDPR (det "huslige unntaket", art. 2 nr. 2 bokstav c). Så snart det gjelder jobben din, bedriften din eller organisasjonen din, gjelder GDPR fullt ut.

Dette er en forklaring, ikke juridisk rådgivning.

Tre roller: hvem er hvem?

Det viktigste poenget: ansvaret flytter ikke med dataene. Bakeriet forblir behandlingsansvarlig, selv om dataene ligger hos en skytjeneste. Hvis skytjenesten lover noe og det går galt, må bakeriet fortsatt kunne vise at det er tatt et fornuftig valg og at det er inngått gode avtaler. Dette kalles ansvarlighetsprinsippet (art. 5 nr. 2 og art. 24).

Vær oppmerksom på: en skytjeneste er ikke alltid bare databehandler. Bruker leverandøren dataene dine også til egne formål, som produktutvikling, reklame eller trening av egne systemer, er leverandøren selv behandlingsansvarlig for den delen. Dette er noe du bør sjekke i vilkårene og databehandleravtalen (leksjon 9.2).

Prinsippene som gjelder for skyen

Artikkel 5 nevner prinsippene som enhver behandling må oppfylle. For valg av skytjeneste er disse viktigst:

• Formålsbegrensning: du bruker data bare til formålet du har samlet dem inn for. En tjeneste som bruker kundedataene dine til egne formål, bryter med dette.
• Dataminimering: ikke lagre mer enn nødvendig. En overgang er et godt tidspunkt for opprydding (leksjon 3.2).
• Lagringsbegrensning: ikke lagre lenger enn nødvendig. Tenk på gamle jobbsøknader i en innboks.
• Integritet og konfidensialitet: egnet sikkerhet mot tap, tyveri og uautorisert tilgang. Dette utdypes i artikkel 32: du iverksetter tiltak som passer til risikoen, som kryptering, tilgangsstyring, gjenoppretting etter en hendelse og regelmessig testing.

Fire plikter du møter ved en overgang

1. Velge en databehandler som gir tilstrekkelige garantier (art. 28 nr. 1). Du må altså undersøke hvordan leverandøren sikrer dataene og hvor de behandles. Det gjør du i modul 2.
2. Inngå en databehandleravtale (art. 28 nr. 3). Den skal inneholde obligatoriske tema: hva som behandles, instrukser, taushetsplikt, sikkerhet, underleverandører, bistand ved datainnbrudd, og hva som skjer med dataene når du avslutter. Dette behandler vi i leksjon 9.2.
3. Føre en protokoll over behandlingsaktiviteter (art. 30). En liste over behandlingene dine: hvilke data, hvorfor, delt med hvem, hvor lenge lagret. Etter en overgang oppdaterer du mottakerne og lagringsstedet (leksjon 9.3).
4. Følge reglene for overføring utenfor EØS (kapittel V, art. 44 til 49). Går data til et land utenfor Det europeiske økonomiske samarbeidsområdet, er det bare tillatt hvis det landet har et tilstrekkelig beskyttelsesnivå (en adekvansbeslutning, art. 45) eller med ekstra sikringstiltak som standard personvernbestemmelser (art. 46). Det handler leksjon 1.4 om.

Hva skjer hvis noe går galt?

Ved et datainnbrudd (for eksempel en hacket konto med kundedata) må den ansvarlige melde det til tilsynsmyndigheten innen 72 timer, med mindre det sannsynligvis ikke innebærer noen risiko (art. 33). Databehandleren må informere den ansvarlige "uten unødig opphold" (art. 33 nr. 2). Derfor bør en god databehandleravtale beskrive hvor raskt leverandøren varsler deg.

Tilsynsmyndigheten kan ilegge bøter. Maksimumsbeløpet for de groveste overtredelsene er 20 millioner euro eller 4 % av den globale årsomsetningen, dersom det beløpet er høyere (art. 83 nr. 5). For små organisasjoner er boten sjelden den største risikoen. Den reelle risikoen er skade for kunder og ansatte, og tilliten du mister.

Hvorfor dette påvirker valget av sky

GDPR forbyr ikke bruk av amerikanske skytjenester. Du må likevel kunne forklare hvorfor valget ditt er forsvarlig: hvilke data, hvilke risikoer, hvilke avtaler. Jo mer sensitive dataene er (helse, barn, økonomi, personalmapper), desto tyngre veier denne vurderingen. For et bakeri er det oversiktlig; for en fysioterapipraksis eller en skole veier det langt tyngre. En tjeneste som er etablert i EØS, behandler data i EØS og ikke har underleverandører utenfor EØS, gjør denne vurderingen mye enklere, fordi overføringsreglene da ikke kommer til anvendelse.

I praksis: slik ser det ut hos en leverandør

En leverandør som brukes i næringsvirksomhet, bør ha en databehandleravtale og en liste over underleverandører. Hos WebOké står det i de ofte stilte spørsmålene i Nextcloud-veiledningen at du inngår en databehandleravtale hvis du bruker Nextcloud i næringsvirksomhet og lagrer andres personopplysninger der. Hos andre leverandører finner du som regel noe tilsvarende under "Databehandleravtale", "Data Processing Agreement (DPA)" eller i de juridiske dokumentene nederst på nettsiden.

Oppsummering

• Også en liten organisasjon behandler personopplysninger i e-post, kalender og filer, og omfattes dermed av GDPR.
• Du er behandlingsansvarlig; skytjenesten er databehandler; dens leverandører er underleverandører.
• Ansvaret flytter ikke med: du må velge en databehandler med tilstrekkelige garantier og kunne forklare det.
• Viktige artikler: 5 (prinsipper), 28 (databehandler og databehandleravtale), 30 (protokoll), 32 (sikkerhet), 33 (datainnbrudd innen 72 timer), 44 til 49 (overføring).
• Data som forblir innenfor EØS, gjør vurderingen enklere, fordi overføringsreglene da ikke gjelder.

Quiz

Oppgave

Oppgave E1.2: Dine roller og data. Lag en kort liste over personopplysningene organisasjonen din har liggende i skyen (e-post, kalender, filer, chat). Angi for hver type hvem som er ansvarlig, hvem som er databehandler, og om det er sensitive data blant dem.

Les mer

Trinnene i disse artiklene gjelder for tjenestene til WebOké; hos andre leverandører fungerer det på tilsvarende måte.

• Nextcloud-veiledning 15.13: Ofte stilte spørsmål om sikkerhet og personvern
• Nextcloud-veiledning 3.1: Hvordan sikrer WebOké din Nextcloud?
• Forordning (EU) 2016/679 (GDPR), artiklene 4, 5, 24, 28, 30, 32, 33, 44 til 49 og 83, på EUR-Lex
• Den nederlandske tilsynsmyndigheten Autoriteit Persoonsgegevens, temaene "Databehandleravtale" og "Melde datainnbrudd": https://www.autoriteitpersoonsgegevens.nl