Centrale risici ved cloud-brug under GDPR
Det Europæiske Databeskyttelsesråd har offentliggjort en koordineret undersøgelse af offentlige myndigheders brug af cloudtjenester. Konklusionen er klar: Cloud medfører betydelige databeskyttelsesretlige udfordringer, som også er relevante for private organisationer. Ansvar, roller og overførsler skal dokumenteres og kunne efterprøves.
Rapporten samler de væsentligste opmærksomhedspunkter og viser, at mange aktører læner sig for meget op ad leverandørernes standardvilkår og risikovurderinger. Det er utilstrækkeligt efter GDPR, hvor risici vurderes i forhold til den konkrete behandling og de registreredes rettigheder.
EDPB peger særligt på følgende problemfelter, som bør adresseres systematisk og tidligt i anskaffelsesprocessen:
- Behovet for at udarbejde en DPIA ved høj risiko.
- Klar afgrænsning af parternes roller og formål.
- Reelle muligheder for at tilpasse kontrakten til behandlingen.
- Styring af underdatabehandlere og indsigelsesret.
- Retligt grundlag for tredjelandsoverførsler.
- Risiko for myndighedsadgang i tredjelande, også ved EU-hosting.
- Behandling af diagnostiske og telemetriske data.
- Praktisk mulighed for meningsfulde audits.
DPIA, roller og forhandling af vilkår
Offentlige myndigheder vil ofte være forpligtet til at udarbejde en DPIA, fordi de typisk behandler store datamængder, herunder følsomme oplysninger. Private virksomheder bør overveje det samme, når behandlingen omfatter fortrolige eller særlige kategorier af oplysninger. En dokumenteret beslutning – også om at undlade DPIA – er anbefalet.
Rollefordelingen skal være tydelig: Hvem er dataansvarlig, hvem er databehandler, og hvilke data behandles til hvilke formål? Flere cloududbydere behandler diagnostiske eller brugsdata til egne formål. Er udbyderen i så fald selvstændigt dataansvarlig, skal videregivelsen have hjemmel. Kontraktstyring bør omfatte identifikationen af alle underdatabehandlere, deres opgaver og en reel indsigelsesmekanisme.
Tredjelandsoverførsler og supplerende foranstaltninger
Cloudtjenester indebærer ofte faktiske eller potentielle tredjelandsoverførsler – også ved hosting i EU/EØS – fordi visse landes lovgivning, eksempelvis amerikansk, kan give myndigheder adgang til data uanset lagringssted. Derfor skal der udføres en TIA, som vurderer lovgivning og praksis i modtagerlandet.
EDPB understreger, at supplerende foranstaltninger skal sikre et beskyttelsesniveau, der i praksis svarer til EU’s. I mange SaaS-implementeringer kan det være vanskeligt at opnå, medmindre der anvendes robust end-to-end-kryptering, og nøglerne er udelukkende under den dataansvarliges kontrol. Hvor det ikke er muligt, peger rapporten på behovet for at (gen)forhandle vilkår eller vælge EU/EØS-løsninger, der er i overensstemmelse med GDPR.
Governance, audits og DPO’s rolle
Selv om kontraktforhandling med store leverandører kan være vanskelig, fritager det ikke den dataansvarlige for ansvaret. Kontrakten skal matche den konkrete behandling, give auditmuligheder og sikre transparens om underdatabehandlere, lokationer og formål. Manglende tilpasning kan føre til sanktioner, som praksis allerede viser.
DPO’en skal inddrages tæt i DPIA, TIA og valg af tekniske og organisatoriske foranstaltninger. EDPB konstaterer, at DPO’er ofte involveres for sent. En styrket governance-struktur med ledelsesforankrede beslutninger er central: enten bringes løsningen i overensstemmelse via supplerende foranstaltninger og kontraktuelle ændringer, eller også vælges en alternativ løsning. Læs mere i EDPB’s rapport på edpb.europa.eu.
