Det Europæiske Databeskyttelsesråd har vedtaget en rapport med 13 anbefalinger til, hvordan offentlige myndigheder lovligt kan anvende cloudtjenester. Kernen er, at myndigheder i både anskaffelse og drift skal kunne dokumentere efterlevelse af GDPR, særligt ved risikovurdering, tydelig rollefordeling og håndtering af tredjelandsoverførsler. Anbefalingerne bygger på en koordineret EU-undersøgelse af myndigheders cloudbrug og afspejler den markante udbredelse af cloud i den offentlige sektor.
Centrale anbefalinger
EDPB fremhæver, at efterlevelse ikke alene er et kontraktspørgsmål. Myndigheder skal foranledige og føre kontrol med, at leverandører behandler oplysninger efter instruks, og at passende sikkerhedsniveau opretholdes. Det indebærer aktiv styring af underdatabehandlere, gennemskuelighed om dataflow og retlige overførselsgrundlag.
Blandt EDPB’s centrale anbefalinger er følgende prioriterede tiltag, som bør indarbejdes før og under anvendelsen af cloudløsninger:
- Gennemfør en risikovurdering og, hvor relevant, en DPIA for at opfylde kravene i GDPR artikel 24 og 32.
- Klargør og dokumentér rollefordelingen mellem dataansvarlig og databehandler, og identificér situationer hvor leverandøren selv er dataansvarlig.
- Sikr reel instruksbeføjelse, herunder en meningsfuld indsigelsesret mod nye underdatabehandlere med frister og proces.
- Samarbejd på tværs af myndigheder ved kontraktforhandlinger for at afbøde skæv forhandlingsposition over for store leverandører.
- Kortlæg alle dataoverførsler, også ved rutineydelser og eventuel behandling til leverandørens egne formål, og implementér supplerende foranstaltninger ved behov for at overholde tredjelandsregler.
Retlig ramme og praksis
Rapporten bekræfter, at cloud er en varig teknologisk infrastruktur i den offentlige sektor, men leverer ikke nye løsninger på de mest komplekse problemfelter, især tredjelandsoverførsler. Myndigheder bør derfor fortsat basere sig på eksisterende EU-vejledning og nationale retningslinjer.
Som praktisk pejlemærke henviser EDPB til sine generelle anbefalinger om supplerende foranstaltninger, som kan læses her: edpb.europa.eu. Datatilsynet har desuden udgivet en cloud-vejledning med konkrete krav og overvejelser for danske myndigheder: datatilsynet.dk. Chromebook-sagen illustrerer konsekvensen af utilstrækkelig risikovurdering, herunder behandlingsforbud og pause af anvendelsen af cloudløsninger: datatilsynet.dk.
