Databeskyttelsesforordningen i korte træk, for dig der bruger clouden

Modul 1: Hvorfor en europæisk cloud? · Læsetid: 11 minutter

Læringsmål: Efter denne lektion kan du beskrive de roller og pligter fra databeskyttelsesforordningen, der er relevante, når du bruger en cloudtjeneste, og forklare hvorfor du selv forbliver ansvarlig, også når data ligger hos en anden.

Centrale begreber: databeskyttelsesforordningen (GDPR), personoplysninger, behandling, dataansvarlig, databehandler, underdatabehandler, principper (art. 5), ansvarlighed, databehandleraftale (art. 28), sikkerhed (art. 32), overførsel (kapitel V), Datatilsynet, bøder (art. 83)

Hvorfor databeskyttelsesforordningen pludselig er relevant her

Databeskyttelsesforordningen (GDPR, på hollandsk AVG) er en europæisk forordning: Forordning (EU) 2016/679. Den gælder direkte i alle EU-lande siden den 25. maj 2018. I Nederlandene fører Autoriteit Persoonsgegevens (AP), den nederlandske tilsynsmyndighed, tilsyn; i hvert andet EU-land er der en tilsvarende tilsynsmyndighed, i Danmark er det Datatilsynet.

Du tænker måske: databeskyttelsesforordningen handler om store virksomheder med kundedatabaser. Men Bakkerij De Korrel er også omfattet. I mailboksen ligger bestillinger med navne, adresser og telefonnumre. I de online mapper ligger vagtplaner, lønsedler og en kopi af et id-kort fra en ny medarbejder. I kalenderen står kundenavne ved leveringsaftaler. Det er alt sammen personoplysninger: enhver information om en identificeret eller identificerbar person (art. 4, nr. 1). Og opbevaring, mailing, deling og sletning er alt sammen behandling (art. 4, nr. 2).

En undtagelse: det, du gør rent privat, som dine egne familiebilleder, falder uden for databeskyttelsesforordningen (den såkaldte "husholdningsundtagelse", art. 2, stk. 2, litra c). Så snart det drejer sig om dit arbejde, din virksomhed eller din forening, gælder forordningen.

Dette er en forklaring, ikke juridisk rådgivning.

Tre roller: hvem er hvem?

Den vigtigste indsigt: ansvaret flytter ikke med sammen med oplysningerne. Bageriet forbliver dataansvarlig, også når oplysningerne ligger hos en cloudtjeneste. Lover cloudtjenesten noget, og går det galt, skal bageriet stadig kunne vise, at det har truffet et fornuftigt valg og indgået gode aftaler. Det kaldes ansvarlighedsprincippet (art. 5, stk. 2, og art. 24).

Bemærk: en cloudtjeneste er ikke altid kun databehandler. Bruger udbyderen også dine oplysninger til egne formål, som produktudvikling, reklame eller træning af egne systemer, er udbyderen for den del selv dataansvarlig. Det er noget af det, du tjekker i vilkårene og databehandleraftalen (lektion 9.2).

Principperne der er relevante for clouden

Artikel 5 opregner de principper, enhver behandling skal overholde. Ved valget af en cloudtjeneste er disse vigtigst:

• Formålsbegrænsning: du bruger kun oplysninger til det formål, du har indsamlet dem til. En tjeneste, der bruger dine kundeoplysninger til egne formål, strider mod dette.
• Dataminimering: ikke opbevare mere end nødvendigt. Et skifte er et godt tidspunkt til at rydde op (lektion 3.2).
• Opbevaringsbegrænsning: ikke opbevare længere end nødvendigt. Tænk på gamle jobansøgninger i en mailboks.
• Integritet og fortrolighed: passende sikkerhed mod tab, tyveri og uautoriseret adgang. Dette udfoldes i artikel 32: du træffer foranstaltninger, der passer til risikoen, som kryptering, adgangsstyring, gendannelse efter en hændelse og regelmæssig testning.

Fire pligter du møder ved et skifte

1. Vælge en databehandler, der giver tilstrækkelige garantier (art. 28, stk. 1). Du skal altså undersøge, hvordan udbyderen sikrer sig, og hvor udbyderen behandler oplysningerne. Det gør du i modul 2.
2. Indgå en databehandleraftale (art. 28, stk. 3). Den skal indeholde obligatoriske emner: hvad der behandles, instrukser, tavshedspligt, sikkerhed, underdatabehandlere, hjælp ved brud på persondatasikkerheden, og hvad der sker med oplysningerne, når du stopper. Det behandler vi i lektion 9.2.
3. Føre en fortegnelse over behandlingsaktiviteter (art. 30). En liste over dine behandlinger: hvilke oplysninger, hvorfor, delt med hvem, hvor længe opbevaret. Efter et skifte tilpasser du modtagere og opbevaringssted (lektion 9.3).
4. Følge reglerne for overførsel uden for EØS (kapitel V, art. 44 til og med 49). Går oplysninger til et land uden for Det Europæiske Økonomiske Samarbejdsområde, må det kun ske, hvis landet har et tilstrækkeligt beskyttelsesniveau (en afgørelse om tilstrækkeligheden, art. 45) eller med ekstra garantier som standardkontraktbestemmelser (SCC) (art. 46). Det handler lektion 1.4 om.

Hvad sker der, hvis det går galt?

Ved et brud på persondatasikkerheden (for eksempel en hacket konto med kundeoplysninger) skal den dataansvarlige anmelde det til tilsynsmyndigheden inden for 72 timer, medmindre det sandsynligvis ikke indebærer en risiko (art. 33). Databehandleren skal underrette den dataansvarlige "uden unødig forsinkelse" (art. 33, stk. 2). Derfor bør en god databehandleraftale beskrive, hvor hurtigt udbyderen advarer dig.

Tilsynsmyndigheden kan pålægge bøder. Maksimum er for de groveste overtrædelser 20 millioner euro eller 4 % af den globale årsomsætning, hvis det beløb er højere (art. 83, stk. 5). For små organisationer er bøden sjældent den største risiko. Den reelle risiko er skade for kunder og medarbejdere, og den tillid du mister.

Hvorfor dette påvirker valget af din cloud

Databeskyttelsesforordningen forbyder ikke brugen af amerikanske cloudtjenester. Men du skal kunne forklare, hvorfor dit valg er forsvarligt: hvilke oplysninger, hvilke risici, hvilke aftaler. Jo mere følsomme oplysningerne er (sundhed, børn, økonomi, personalesager), jo tungere vejer denne afvejning. For et bageri er det overskueligt; for en fysioterapiklinik eller en skole vejer det meget tungere. En tjeneste, der er etableret i EØS, behandler data i EØS og ikke har underdatabehandlere uden for EØS, gør den afvejning betydeligt enklere, fordi overførselsreglerne så ikke er i spil.

I praksis: sådan ser det ud hos en udbyder

En udbyder, der bruges erhvervsmæssigt, bør have en databehandleraftale og en liste over underdatabehandlere. Hos WebOké står der i de ofte stillede spørgsmål i Nextcloud-vejledningen, at du indgår en databehandleraftale, hvis du bruger Nextcloud erhvervsmæssigt og opbevarer andres personoplysninger i den. Hos andre udbydere finder du som regel noget lignende under "Databehandleraftale", "Data Processing Agreement (DPA)" eller i de juridiske dokumenter nederst på hjemmesiden.

Opsummering

• Selv en lille organisation behandler personoplysninger i mail, kalender og filer, og er dermed omfattet af databeskyttelsesforordningen.
• Du er dataansvarlig; cloudtjenesten er databehandler; dens leverandører er underdatabehandlere.
• Ansvaret flytter ikke med: du skal vælge en databehandler med tilstrækkelige garantier og kunne forklare det.
• Vigtige artikler: 5 (principper), 28 (databehandler og databehandleraftale), 30 (fortegnelse), 32 (sikkerhed), 33 (brud på persondatasikkerheden inden for 72 timer), 44 til 49 (overførsel).
• Oplysninger, der forbliver inden for EØS, gør afvejningen enklere, fordi overførselsreglerne så ikke gælder.

Quiz

Opgave

Opgave E1.2: Dine roller og data. Lav en kort liste over de personoplysninger, din organisation har liggende i clouden (mail, kalender, filer, chat). Angiv for hver type, hvem der er dataansvarlig, hvem der er databehandler, og om der indgår følsomme oplysninger.

Videre læsning

Trinene i disse artikler gælder for WebOkés tjenester; hos andre udbydere fungerer det tilsvarende.

• Nextcloud-vejledning 15.13: Ofte stillede spørgsmål om sikkerhed og privatliv
• Nextcloud-vejledning 3.1: Hvordan beskytter WebOké din Nextcloud?
• Forordning (EU) 2016/679 (databeskyttelsesforordningen), artikel 4, 5, 24, 28, 30, 32, 33, 44 til og med 49 og 83, på EUR-Lex
• Autoriteit Persoonsgegevens (den nederlandske tilsynsmyndighed), emnerne "Databehandleraftale" og "Anmeld brud på persondatasikkerheden": https://www.autoriteitpersoonsgegevens.nl. I Danmark er det Datatilsynet, der fører tilsyn.