fråga en molnarkitekt om råd!
Vi kan regulatorisk efterlevnad i molnet; hör av dig till oss på Binero så får du svar av en av våra specialister direkt.
FAQ om personuppgifter, dataintegritet och regelefterlevnad i molnet
Vi på Binero får många frågor om regulatorisk efterlevnad i molnet, Privacy Shield, Schrems II och CLOUD Act. Här kan du läsa svaren på de vanligaste funderingarna. Har du egna frågor att ställa så fyll i formuläret nedan för att konsultera en av våra molnarkitekter.
Vad är Privacy Shield?
Privacy Shield var en överenskommelse mellan EU-kommissionen och USA:s regering om en lösning för transatlantiska överföringar av personuppgifter. Mottagare av i USA kunde välja att certifiera sig mot en uppsättning regler; enkelt uttryckt kunde företag och andra organisationer frivilligt lova att hålla en standard som liknar den som råder i EU. Den 16 juli ogiltigförklarades Privacy Shield av EU-domstolen, som slog fast att avtalet inte gav tillräckligt skydd för personuppgifter i enlighet med GDPR.
Vad är CLOUD Act?
CLOUD Act (Clarifying Lawful Overseas Use of Data Act) innebär att amerikanska myndigheter, vid misstanke om brott, har rätt att begära ut personuppgifter och annan data från amerikanska molntjänstleverantörer, även om denna data lagras utanför USA, t.ex. inom EU. Det spelar alltså ingen roll i vilket land som servrarna där datan lagras befinner sig i. Så länge bolaget som äger servrarna är registrerat som ett amerikanskt bolag så lyder de under CLOUD Act. CLOUD Act öppnar även upp för andra länder, som ingått ett datadelningsavtal med USA, att begära ut data från amerikanska bolag utan att kongress eller domstolar får vetskap om det.
Hur ska jag tänka kring GDPR och molnet?
GDPR fokuserar på individens rätt. GDPR:s främsta uppgift är att säkerställa alla EU-medborgares rättsliga dataskydd samt individens rätt till sitt privatliv och kontrollen över sin egen data. Det syftar också till att reglera hur personuppgifter får överföras inom och utanför EU. Dessa regler påverkar alla organisationer som på något sätt lagrar och hanterar personuppgifter i sina system, framförallt om lagring sker i molntjänster som ägs av utomeuropeiska företag. Du behöver ha en nära dialog med din leverantör och säkerställa att de kan garantera dig hundraprocentig efterlevnad av de lokala lagar och regler som dina verksamheter lyder under.
Varför strider CLOUD Act mot GDPR?
Innehållet i Cloud Act går stick i stäv mot själva syftet med bestämmelserna i GDPR. Även om EU visserligen har ett intresse av ett internationellt rättskipande samarbete så måste all utlämning av data som lagras inom EU ske i enlighet med GDPR för att vara laglig. I praktiken innebär detta att överföring endast får ske om det grundar sig på ett specifikt avtal om ömsesidig rättslig hjälp, s.k. MLAT-avtal (Mutual Legal Assistance Treaty). Det är något som CLOUD Act helt enkelt inte tar hänsyn till.
Vad är Schrems II?
Den 16 juli 2020 kom domen Schrems II. Där slog EU-domstolen fast att Privacy Shield-avtalet mellan EU och USA inte ger ett tillräckligt skydd för personuppgifter när dessa förs över till USA. Avtalet ogiltigförklarades och kan inte längre användas som grund för överföring av personuppgifter.
Vad innebär det för svenska bolag att Privacy Shield ogiltigförklarats?
Ogiltigförklarandet av Privacy Shield-avtalet innebär att det inte längre är tillåtet för personuppgiftsansvariga i EU att med Privacy Shield som grund överföra personuppgifter till mottagare i USA, genom att exempelvis lagra dem hos en amerikansk molnleverantör. Även om aktörerna ofta har sina datacenter inom EU, så är tjänsterna många gånger beroende av överföringar av personuppgifter till USA, till exempel för utförande av supportärenden.
Vad menas med standardavtalsklausuler (SCC)?
Efter EU-domen som ogiltigförklarande Privacy Shield har flera amerikanska molnaktörer nu gått över till att hänvisa till standardavtalsklausuler; ett kontraktsbaserat alternativ till Privacy Shield som tecknas mellan överförare och mottagare av personuppgifter. Mot bakgrund av EU-domstolens uttalanden i domen avseende skyddsnivån för personuppgifter i USA, givet den amerikanska lagen CLOUD Act, talar dock mycket för att en överföring till USA med stöd av modellklausulerna också kan anses vara otillåten. Det finns alltså ännu ingen vägledning om standardavtalsklausulerna verkligen är tillräckliga för att skydda personuppgifter som överförs till USA, utifrån GDPR.
Vad gäller vid överföring av data inom och utanför EU?
Det är fritt fram att överföra personuppgifter och data mellan alla länder inom EU (gäller även EES-länderna). Om du däremot vill föra över och lagra uppgifter utanför EU, exempelvis i USA, krävs vissa förutsättningar för att detta ska vara tillåtet. Det kan vara följande:
- EU-kommissionen bedömer att landet uppfyller s.k. adekvat skyddsnivå. Lista på godkända länder finns hos Datainspektionen här.
- Man har upprättat särskilda bindande företagsbestämmelser (BCR, Binding Corporate Rules) eller standardavtalsklausuler (SCC) som säkerställer godkänd skyddsnivå. Dessutom ska organisationen säkerställa att det inte finns en annan lag som trumfar ovan bestämmelser eller klausuler, exempelvis den amerikanska lagen CLOUD Act.
- Andra situationer kan också vara tillåtna, men dessa bedöms i enskilda fall.
Kan jag uppnå tillräcklig skyddsnivå med en utomeuropeisk leverantör?
Regelverken kring hantering av personuppgifter har funnits några år och hittills har de stora amerikanska molntjänstleverantörerna lutat sig mot det så kallade Privacy Shield-avtalet. Sedan EU-domstolen ogiltigförklarade Privacy Shield är det inte längre tillåtet att överföra personuppgifter till USA med detta avtal som grund. Det är nu upp till dig som ansvarig för din enskilda verksamhet att göra en bedömning om tillräckligt skydd finns för att garantera att kraven i GDPR efterlevs.
Kryptering av data kan vara ett sådant skydd för organisationen, men viktigt att tänka på är att bevisbördan ligger på den enskilda verksamheten här.
Det är alltså den enskilda verksamheten som måste kunna garantera att ingen extern organisation (så som exempelvis amerikanska NSA) har knäckt aktuella krypteringsnivåer. En garanti som är väldigt svår, om inte helt omöjlig, att ge för enskilda organisationer.