Skærpede krav fra Datatilsynet
Datatilsynet har afsluttet den foreløbige Chromebook-sag med påbud til kommunerne om at bringe brugen af Google Workspace i overensstemmelse med GDPR. Kernepunktet er, at elevers data ikke må behandles til leverandørens egne formål, men udelukkende efter kommunens instruks.
KL oplyser, at kommunerne har ændret kontrakterne, så Google alene agerer databehandler. Samtidig skal kommunerne afstå fra tjenester, hvor personoplysninger behandles i tredjelande uden et beskyttelsesniveau, der svarer til GDPR, også når det sker via service- og vedligeholdelsesfunktioner.
Transparens og dokumentation
Datatilsynet indskærper, at den dataansvarlige skal kunne forklare, hvordan behandlingen foregår, af hvem og i hvilke roller. Er kontrakter og vilkår uklare, uigennemsigtige eller skiftende, kan den dataansvarlige ikke opfylde oplysnings- og dokumentationskravene og risikerer dermed at handle i strid med GDPR.
Det medfører øget fokus på klare databehandleraftaler, fortegnelser over behandlingsaktiviteter og reelle muligheder for kontrol af underdatabehandlere. Kontraktuel kompleksitet fritager ikke for ansvar; den dataansvarlige skal kunne påvise overholdelse, herunder via passende tekniske og organisatoriske foranstaltninger.
Praktiske skridt og EU-afklaring
For at efterleve påbuddet skal kommunerne både sikre nye kontrakter og implementere kontroller, der kan dokumentere overholdelse. Datatilsynet har desuden anmodet EDPB om en udtalelse om dokumentationspligten ved brug af underdatabehandlere, hvilket kan skærpe kravene yderligere.
Følgende minimumstiltag er centrale for offentlige dataansvarlige, men relevante for alle, der bruger store cloudtjenester:
- Indgå opdaterede databehandleraftaler med tydelig instruks, rollefordeling og kontroladgang, jf. GDPR art. 28.
- Etabler løbende audits, logning og leverandørstyring, så overholdelse kan påvises i praksis.
- Luk ned for funktioner og supportspor, der indebærer overførsel til tredjelande uden passende garantier, jf. GDPR kapitel V.
Konsekvensen er, at dataansvarlige proaktivt må gennemgå standardvilkår fra store techleverandører og sikre, at behandlingen kan forklares og dokumenteres. Manglende gennemsigtighed eller adgang til kontrol kan nødvendiggøre fravalg af bestemte funktioner eller hele tjenester.
