Molntjänster och personuppgifter: ansvar, lagringsplats och underbiträden

Varför ansvar, lagringsplats och underbiträden hänger ihop

En molntjänst innebär att någon annan än du kontrollerar den IT-utrustning som hanterar och lagrar informationen. Det medför tre risker: leverantören kan via personal och eventuella underleverantörer ta del av informationen.

Informationen kan behandlas i länder utanför EU, med andra lagar och svagare integritetsskydd. Leverantören kan också lägga ned verksamheten eller köpas upp av ett annat företag.

De tre riskerna pekar mot samma sak: en molntjänst kan inte bedömas utifrån en enda uppgift. Att servrarna står i Sverige säger inget om vem som har rätt att begära ut innehållet, vem som har tekniskt tillträde eller vad som händer om leverantören byter ägare eller försvinner.

Frågorna bildar en kedja. Först: vem ansvarar för behandlingen, och vem utför den åt någon annan? Sedan: vilka fler än huvudleverantören kommer åt uppgifterna?

Därefter: vilken rättsordning lyder leverantören under? Till sist: hur lämnar vi avtalet med uppgifterna i behåll? Varje led påverkar svaret i nästa.

Regelverket är GDPR, EU:s dataskyddsförordning (förordning (EU) 2016/679). I Sverige kompletteras den av lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning.

Vem svarar för vad: personuppgiftsansvarig, biträde och den praktiska ansvarsfördelningen

Grundmodellen är enkel. Den personuppgiftsansvarige bestämmer varför och hur uppgifterna behandlas och ansvarar gentemot den registrerade. Personuppgiftsbiträdet behandlar uppgifterna för den ansvariges räkning och får bara göra det enligt dokumenterade instruktioner.

En molnleverantör som lagrar och hanterar dina uppgifter är normalt ett biträde, eller ett underbiträde i förhållande till en annan leverantör.

Ansvarsfördelningen ska regleras skriftligt i ett personuppgiftsbiträdesavtal innan behandlingen börjar. Där skrivs instruktioner, ändamål, säkerhetsåtgärder, gallring eller radering, åtkomst och incidenthantering ned.

När leverantörer vill att systemägare undertecknar tilläggsavtal är det ofta personuppgiftsbiträdesavtal eller standardavtal med standardavtalsklausuler.

En vanlig missuppfattning är att ett tekniskt säkert system innebär att organisationen följer regelverket. Anna Gulle, högskolejurist och dataskyddsombud vid Södertörns högskola, är tydlig: Microsoft 365:s molntjänster har hög säkerhet, men den som använder tjänsten ansvarar själv för att informationen som lagras där inte bryter mot gällande regelverk och lagstiftning. Säkerheten i plattformen flyttar inte ansvaret från verksamheten.

I lag (2018:218) undantas artiklarna 33 och 34 i EU:s dataskyddsförordning för personuppgiftsincidenter som ska rapporteras enligt säkerhetsskyddslagen (2018:585) eller anmälas enligt lagen (2019:109) om säkerhetsskydd i riksdagen och dess myndigheter.

Underbiträden – här tappar många kontrollen över sina egna uppgifter

Leverantören kontrollerar utrustningen. Det innebär en risk för att leverantören via personal och eventuella underleverantörer kan ta del av informationen. Underbiträden är därför inte en detalj i avtalet – de ingår i kedjan som har tillträde till dina uppgifter.

I praktiken bör avtalet ge dig insyn: en aktuell förteckning över anlitade underbiträden och var behandlingen sker.

Avtalet bör också ge kontroll över förändringar. Nya underbiträden godkänns i förväg, eller du underrättas i tid och har rätt att invända innan de tas in.

Kraven ska följa med nedåt. Samma dataskydds- och säkerhetsåtaganden ska gälla hos underbiträdet som hos huvudleverantören, och huvudleverantören ska svara gentemot dig även när någon annan utför arbetet.

Lägg till uppföljningen. Bestäm hur du får information om vilka underbiträden som används, hur du kan granska att de följer avtalet och vad som händer om ett underbiträde byts ut eller upphör. Utan den möjligheten blir kedjan bara något du får höra talas om i efterhand.

Lagringsplats är inte samma sak som jurisdiktion

Cloud Act är en amerikansk lag som trädde i kraft den 23 mars 2018. Amerikanska myndigheter kan kräva tillgång till data även om den lagras i andra länder, så länge leverantören är ett amerikanskt företag.

Lagen beskrivs kunna tillämpas på alla kunder hos en amerikansk molnleverantör, inte bara amerikanska företag och medborgare.

Amazons svenska datacenter visar konsekvensen. AWS startup-chef Eric Morales säger: "Om det kommer en förfrågan om att få ut data så kommer vi så klart att följa amerikansk lag. Det måste vi."

Med den hållningen spelar det mindre roll att Amazons availability zones fysiskt ligger på svensk mark. Leverantören omfattas ändå av amerikansk lag.

Överföringar till USA har fått ett ändrat rättsläge. Överföring av personuppgifter till USA kunde tidigare ske med stöd av Privacy Shield-avtalet mellan EU och USA.

Avtalet ogiltigförklarades i samband med domen i Schrems II-målet år 2020. Sådana överföringar kan därför inte längre stödjas på det avtalet; i stället måste vilket rättsligt stöd överföringen vilar på granskas.

Titta därför inte på kartan. Fråga i stället vem som äger leverantören och vilken rättsordning den lyder under, vilka offentliga organ som kan tvinga fram utlämning av uppgifter, var support- och driftpersonal sitter samt vilka underbiträden som ingår i leveransen. Det är de svaren – inte datacentrets adress – som avgör vilket skydd dina uppgifter faktiskt har.

Den svenska kompletteringslagen, lag (2018:218), gäller för behandling av personuppgifter som utförs inom ramen för verksamhet vid personuppgiftsansvarigas eller personuppgiftsbiträdens verksamhetsställen i Sverige.

Vad får egentligen ligga i molnet?

Vilka uppgifter som får läggas i en molntjänst varierar med verksamhet och tjänst. Vissa kategorier kräver särskild försiktighet.

Vid Södertörns högskola får information som omfattas av sekretess enligt offentlighets- och sekretesslagen inte lagras i Microsoft 365, och inte heller information om lagöverträdelser eller känsliga personuppgifter.

Om sådana uppgifter behöver behandlas ska de i stället lagras i en mapp med begränsad åtkomst på högskolans egen fillagring.

Principen går att överföra till de flesta organisationer. Har du uppgifter som är särskilt skyddsvärda eller omfattas av särskilda regler, håll dem i system där åtkomsten är begränsad och där du själv kontrollerar villkoren.

Utgå från vad ändamålet kräver. Faktabladet om inbyggd integritet formulerar det som att man ska fastställa vilka personuppgifter som verkligen krävs för att tillgodose ändamålet, i stället för att se vad som kan finnas tillgängligt. Frågan är inte vad tjänsten klarar av att lagra, utan vad verksamheten faktiskt behöver behandla.

IMY:s vägledning Säker användning av molntjänster ger praktiska råd för användningen. De flesta molntjänster har sekretess- och säkerhetsinställningar som är värda att gå igenom.

Delning av information i molnet bör ske försiktigt, så att innehållet bara delas med dem det är avsett för. Förbindelser till molntjänster är ofta krypterade, vilket syns i webbläsaren genom att adressen börjar med "https" och genom hänglåset i adressfältet.

Läs personuppgiftspolicyn innan information skickas till en molntjänstleverantör. Den beskriver vad leverantören gör med informationen, till exempel att viss information används för att utveckla tjänsten.

Ta också del av leverantörens information om support och kontaktvägar när problem uppstår.

En sak blandas ofta ihop: att lagra information i en molntjänst är inte samma sak som att den är säkerhetskopierad. Informationen kan förstöras eller bli oåtkomlig för dig under kort eller lång tid. Säkerhetskopiering behöver hanteras som en egen fråga.

Inom Microsoft 365 är OneDrive, OneNote, Teams och onlineversionerna av Word, Excel, PowerPoint och Outlook exempel på molntjänster.

Krav att ställa innan avtalet skrivs – och en plan för att ta sig därifrån

Kraven följer av det som sagts tidigare och kan samlas i en lista inför upphandling och avtal. Ställ krav på var uppgifterna får behandlas och vem som får behandla dem, inklusive att behandling hos underbiträden sker inom godkända länder.

Reglera hanteringen av underbiträden: förteckning, information vid förändringar, invändningsrätt och samma dataskyddskrav hela vägen ned.

Kräv kryptering av informationen, både vid överföring och när den lagras, samt hur nycklar hanteras. Kräv rutiner för säkerhetskopiering och återställning, och att molnlagring inte likställs med säkerhetskopia.

Reglera supportens placering och åtkomst. Begär in personuppgiftspolicyn för granskning innan avtalet skrivs.

Lägg därtill utträdet. Regeringens molnpolicy innebär att svenska myndigheter måste kunna skyndsamt överföra data till en annan leverantör eller till egna servrar vid behov, och att de ska vara redo att snabbt lämna amerikanska servrar om världsläget ändras.

Även om policyn riktar sig till myndigheter är logiken allmängiltig: den som inte har planerat för att komma ut ur en tjänst har i praktiken bundit sig till den.

Att planera för utträde redan vid upphandlingen betyder att avtalet reglerar i vilket format uppgifterna ska kunna hämtas ut, inom vilken tid en överföring ska vara genomförd, hur länge leverantören får behålla kopior och hur radering ska verifieras. Det är lättare att komma överens om detta innan avtalet är påskrivet än när man väl behöver byta.

En checklista att utgå från i den egna organisationen: kartlägg vilka personuppgifter som ska hanteras och vilka kategorier som är särskilt känsliga eller omfattas av sekretess. Bestäm vilka uppgifter som alls får ligga i molnet och vilka som ska stanna i egna, åtkomstbegränsade system.

Klargör rollerna och skriv personuppgiftsbiträdesavtal med instruktioner, säkerhetskrav, gallring och åtkomst. Begär en förteckning över underbiträden och rätt att invända mot nya.

Granska vilken jurisdiktion leverantören lyder under och vilket rättsligt stöd som finns för överföringar till tredjeland. Verifiera kryptering, säkerhetskopiering, support och personuppgiftspolicy.

Avsluta med exitplanen: format, tidsram, radering och vem som ansvarar för att den genomförs.

Kontrollerna omfattar kryptering vid överföring och lagring, nyckelhantering, säkerhetskopiering och återställning. De omfattar också supportens placering och åtkomst, personuppgiftspolicyn och en förteckning över underbiträden.