Var får molntjänster lagra personuppgifter enligt GDPR?

Var får molntjänster lagra personuppgifter enligt GDPR?

Personuppgifter får lagras i Sverige och övriga EU/EES utan att reglerna om tredjelandsöverföring blir aktuella. Överföring utanför EES kan också vara tillåten, men kräver en grund enligt GDPR:s regler om överföring av personuppgifter utanför EES. Vilken grund som passar beror bland annat på om mottagarlandet har ett adekvansbeslut eller om en annan skyddsmekanism används.

GDPR innehåller regler om överföring av personuppgifter utanför EES. Vägarna omfattar adekvansbeslut, lämpliga skyddsåtgärder enligt artikel 46, däribland standardavtalsklausuler (SCC), och undantag i vissa situationer enligt artikel 49. Schrems II innebar inte att SCC blev obrukbara; överföringar kan kräva kompletterande skyddsåtgärder och en konkret bedömning.

EU/EES är en praktisk utgångspunkt. Lagring i eller åtkomst från tredjeland träffas av GDPR:s regler för överföring av personuppgifter utanför EU/EES. Överföringen är tillåten om reglerna följs. Leverantörens hemland och ägande spelar roll, eftersom utländsk lagstiftning kan påverka åtkomsten till data.

Tillåtna lagringsplatser är Sverige, Irland och övriga EU/EES. Där sker ingen tredjelandsöverföring. USA är tredjeland; lagring där kräver att GDPR:s överföringsvillkor uppfylls. Även andra tredjeländer berörs av samma överföringsregler; USA är det namngivna exemplet.

USA är ett tredjeland, men GDPR förbjuder inte i sig lagring där. Först måste organisationen fastställa vilken överföringsgrund som gäller för den amerikanska mottagaren och kontrollera att villkoren för den grunden är uppfyllda. EU-kommissionens adekvansbeslut för EU-US Data Privacy Framework gäller företag i USA som deltar i ramverket.

Inom EU/EES krävs ingen överföringsmekanism. Där gäller GDPR som vanligt: grundläggande principer, en av de sex rättsliga grunderna och information till de registrerade (IMY). Även med data i ett EU-datacenter kan leverantörens hemlandslag gälla. Ett avtal med ett EU-dotterbolag ändrar inte moderbolagets hemlandslag.

Överföring av personuppgifter till länder utanför EES regleras av GDPR. Reglerna omfattar adekvansbeslut, lämpliga skyddsåtgärder enligt artikel 46 och undantag i vissa situationer enligt artikel 49. Reglerna gäller även när överföringen sker genom en leverantör eller underleverantör.

EU-kommissionen kan anta beslut om adekvat skyddsnivå för ett land utanför EES eller en internationell organisation. För USA gäller beslutet företag som deltar i EU-US Data Privacy Framework.

EU-kommissionen fattar beslut om adekvat skyddsnivå, och Europeiska dataskyddsstyrelsen beskriver överföringsreglerna och deras tillämpning. För USA har kommissionen antagit ett adekvansbeslut inom EU-US Data Privacy Framework. Personuppgifter kan enligt beslutet överföras till företag i USA som deltar i ramverket.

Lagring inom EU/EES: krav och praktiska kontroller

IMY pekar på tre krav som gäller oavsett driftmiljö: de grundläggande principerna ska följas, behandlingen ska ha stöd i någon av de sex rättsliga grunderna och de registrerade ska informeras om hanteringen. IMY framhåller också att förordningen skärper kraven på den som behandlar personuppgifter och stärker de registrerades rättigheter.

För en molntjänst innebär det i praktiken ett personuppgiftsbiträdesavtal, dokumenterad behandling och förmåga att svara på begäranden om registrerades rättigheter.

Stannar data inom EU/EES uppstår ingen tredjelandsöverföring att hantera. Flera svenska leverantörer använder detta som huvudargument.

En leverantörs uppgift om att data lagras i Sverige säger inte ensam om personuppgifter också kan överföras utanför EES. Granska var tjänstens olika delar utförs och om leverantören eller en underleverantör behandlar uppgifter från ett tredjeland. Bedöm också vilka organisationer som kan få åtkomst och vilken överföringsgrund som i så fall används.

Svensk lagring är inte ett GDPR-krav. Den kan göra det enklare att undvika en överföring genom lagring eller behandling i ett tredjeland, men den visar inte i sig varifrån en leverantör eller underleverantör kan få åtkomst. Kontrollera därför var data, säkerhetskopior och support hanteras samt vilka parter som ingår i leveranskedjan.

Sverige, Irland och övriga EU/EES-länder är tillåtna lagringsplatser när behandlingen i övrigt är laglig. För svenska datacenter gäller svensk lag och GDPR.

Lagring inom EU/EES kräver ingen överföringsmekanism. Det är först vid lagring eller åtkomst utanför EU/EES som tredjelandsreglerna aktiveras.

Storegate har all data lagrad i Sverige.

Ett svenskt datacenter tar bort frågan om tredjelandsöverföring, men inte kraven på rättslig grund, information och biträdesavtal.

Binero uppger att känsliga uppgifter enligt GDPR bara får lagras hos leverantörer som kan garantera att de inte hamnar i fel händer. Leverantören lyfter fram att tjänsten ska klara kraven inom vårdsektorn och offentlig sektor.

Svenska leverantörer med fokus på svensk lagring

Tredjelandsöverföring: lagring och åtkomst utanför EU/EES

En överföring utanför EES kan ske genom att personuppgifter lagras i ett tredjeland, skickas dit eller behandlas av en leverantör vars tjänster helt eller delvis finns där. En EU-baserad molntjänst kan också innebära en överföring om en leverantör eller underleverantör utanför EES behandlar uppgifterna. Kartlägg därför hela leveranskedjan.

I Schrems II ogiltigförklarade EU-domstolen Privacy Shield. Domen gjorde däremot inte standardavtalsklausuler (SCC) obrukbara. EU-domstolen betonade behovet av att bedöma om omständigheterna kräver kompletterande åtgärder utöver skyddsåtgärderna i avtalet.

Konsekvensen är att en överföring till en leverantör som omfattas av sådan lagstiftning måste bedömas särskilt. Det räcker inte att hänvisa till standardklausuler i avtalet.

Om ett adekvansbeslut eller lämpliga skyddsåtgärder saknas kan överföring i vissa situationer ändå vara möjlig enligt undantagen i artikel 49. GDPR beskriver detta som en särskild väg, inte som en generell ersättning för de andra mekanismerna. Organisationen måste även följa övriga bestämmelser i förordningen.

Schrems II var EU-domstolens dom i mål C-311/18. Domen behandlade EU:s regler för överföring av personuppgifter till tredjeland och betonade att skyddsåtgärder måste bedömas i förhållande till den faktiska överföringen. Den ska inte tillskrivas Europadomstolen.

För överföringar till USA finns EU-US Data Privacy Framework. EU-kommissionens adekvansbeslut innebär att personuppgifter kan överföras till företag i USA som deltar i ramverket. Det är alltså inte ett generellt beslut för alla amerikanska mottagare.

Om mottagaren i USA inte omfattas av EU-US Data Privacy Framework ger adekvansbeslutet inte stöd för överföringen. En annan grund kan i stället behövas, exempelvis lämpliga skyddsåtgärder enligt artikel 46. Kontrollera vilken organisation som faktiskt tar emot uppgifterna och om den omfattas av den grund ni åberopar.

Överföringar kan gå genom flera led, exempelvis via underleverantörer. Det räcker därför inte att granska huvudleverantörens avtal om en underleverantör längre ner i kedjan överför personuppgifter till ett tredjeland. Kartlägg mottagarna och kontrollera att varje överföring har en tillämplig grund och tillräckligt skydd.

GDPR:s överföringsmekanismer för tredjeländer

Börja med att fastställa om tjänsten innebär en överföring utanför EES. Det kan handla om lagring i ett tredjeland, behandling av en leverantör där eller åtkomst genom en del av tjänsten som utförs där. Ta med support och underleverantörer i kartläggningen, inte bara den region där huvuddata lagras.

När ingen adekvat skyddsnivå gäller för mottagaren kan standardavtalsklausuler (SCC) användas som en lämplig skyddsåtgärd enligt artikel 46. Efter Schrems II kan det behövas kompletterande åtgärder utöver klausulerna. Bedömningen behöver utgå från den faktiska överföringen och mottagarens förutsättningar.

Avgörande för svenska kunder är att lagen följer bolaget, inte servern. Lagstiftningen i moderbolagets registreringsland gäller för innehållet, och ett avtal om molnlagring med ett dotterbolag på Irland eller i Sverige spelar inte roll om moderbolaget är amerikanskt.

SCC är en avtalsmekanism för en överföring, inte ett besked om att varje överföring automatiskt är godtagbar. Den som använder dem behöver pröva om skyddet fungerar i den aktuella situationen och om kompletterande åtgärder behövs.

En sådan bedömning kan omfatta tekniska och organisatoriska skyddsåtgärder, exempelvis kryptering och kontroll över nycklar. SCC ersätter inte bedömningen av om åtgärderna ger ett tillräckligt skydd i den faktiska situationen. Dokumentera slutsatsen och vilka kompletteringar som behövs.

För en amerikansk mottagare måste organisationen först avgöra om mottagaren omfattas av EU-US Data Privacy Framework. Om den gör det kan kommissionens adekvansbeslut ge stöd för överföringen. Om den inte gör det behöver organisationen pröva en annan överföringsmekanism enligt GDPR.

EU-kommissionen antar beslut om adekvat skyddsnivå och standardavtalsklausuler. Europeiska dataskyddsstyrelsen beskriver reglerna för internationella överföringar och kompletterande åtgärder. EU-domstolen betonade i Schrems II att organisationer kan behöva vidta sådana kompletterande åtgärder.

Ett adekvansbeslut kan gälla ett land utanför EES eller en internationell organisation. För USA gäller EU-kommissionens beslut företag som deltar i EU-US Data Privacy Framework. Kontrollera att beslutet faktiskt omfattar den mottagare och överföring som molntjänsten innebär.

Om ingen adekvansgrund passar kan artikel 46 ge stöd genom lämpliga skyddsåtgärder, däribland SCC. Schrems II innebär att klausulerna behöver bedömas tillsammans med omständigheterna kring överföringen och eventuella kompletterande åtgärder. För vissa situationer finns också undantag enligt artikel 49.

Välj överföringsgrund för varje mottagare i kedjan: adekvansbeslut, lämpliga skyddsåtgärder enligt artikel 46 eller, i vissa situationer, undantag enligt artikel 49. Dokumentera vilka uppgifter som lämnar EES, vem som tar emot dem och varför den valda grunden gäller.

Viktiga GDPR-krav vid molnöverföringar

Så granskar du molnleverantörens lagringsplats och överföringar

Utgå från var beskattningshemvisten och kontrollen sitter. Kontrollera moderbolagets registrering och leverantörens huvudsakliga verksamhetsställe – detta är ytterst viktigt för att personuppgifter ska hanteras rätt – och om leverantören omfattas av en hemlandslag som kan tvinga fram utlämning. Avtal med ett EU-dotterbolag ändrar inte moderbolagets hemlandslag.

Dokumentera den fysiska och organisatoriska kedjan: var servern står, var backup och disaster recovery hamnar, vilka underleverantörer som ingår och var de är etablerade, samt vilka länder som kan få åtkomst för support och drift. Kontrollera att uppgifterna framgår av leverantörens dokumentation och avtal.

Gå igenom kryptering och nyckelhantering: vem som håller nycklarna, om leverantören kan dekryptera och därmed lämna ut innehåll, och om kunden kan hålla nycklarna själv.

När en överföring går till ett tredjeland utan adekvansbeslut kan SCC vara en lämplig skyddsåtgärd enligt artikel 46. Kontrollera att klausulerna passar parternas roller och den aktuella överföringen. De ersätter inte en bedömning av om ytterligare skydd behövs.

Dokumentera överföringsbedömningen för den faktiska tjänsten och leveranskedjan. Gå igenom mottagarland, underleverantörer och vilka tekniska och organisatoriska skydd som finns. Om SCC används ska bedömningen också fånga om kompletterande åtgärder krävs för att skyddet ska fungera.

Koppla valet till er egen dokumentation: rättslig grund och ändamål enligt IMY:s krav, personuppgiftsbiträdesavtal, förteckning över behandlingar och en konsekvensbedömning vid hög risk. Lägg till leverantörens svar om tredjelandsåtkomst som underlag. Verifiera i stället för att förlita er på marknadsföringspåståenden.

Kontrollera vilka länder som kan få åtkomst och vem som tar emot uppgifterna. Om leverantören åberopar SCC ska ni bedöma överföringen och om kompletterande skyddsåtgärder behövs efter Schrems II. Privacy Shield ogiltigförklarades, men SCC är inte obrukbara.

Kontrollera om mottagaren omfattas av ett adekvansbeslut. Beslut kan gälla ett land utanför EES eller en internationell organisation. För överföringar till USA omfattar EU-kommissionens beslut företag som deltar i EU-US Data Privacy Framework.

Om varken adekvansbeslut eller lämpliga skyddsåtgärder enligt artikel 46 finns, kan överföring i vissa situationer omfattas av undantag enligt artikel 49. Undantagen är en särskild väg för sådana situationer, och organisationen måste fortfarande följa övriga GDPR-krav.

Kryptering och nyckelhantering hänger ihop med den särskilda bedömningen av tredjelandsåtkomst. Om leverantören har nycklarna kan den lämna ut innehåll.

Kontrollera namngivna platser: Sverige, Irland och övriga EU/EES. Kontrollera USA som tredjeland. Kontrollera serverland, backup, disaster recovery och support.

Steg för att granska molntjänstens överföring av personuppgifter

Offentlig sektor och känsliga uppgifter: bedöm molntjänstens överföringar

Svenska regioner, kommuner och myndigheter kan använda molntjänster. De måste då förstå vilka molntjänster de kan använda – och till vad. GDPR och domen i Schrems II har gjort ansvarsfrågan för vad som får lagras i vilka molntjänster högaktuell. Organisationer behöver en tydlig strategi för datahantering i molntjänster innan de införs brett.

För känsliga personuppgifter blir klassificeringen styrande. IMY:s introduktionsmaterial skiljer mellan personuppgifter och känsliga personuppgifter, och skillnaden avgör vilka uppgifter som kan hanteras i en given tjänst. Karolinska Institutets varning till forskare, anställda och partners om vilken information som inte får sparas i den amerikanska molntjänsten Box är ett konkret exempel på gränsdragning.

I praktiken innebär det tre steg: klassificera uppgifterna, avgör var de får hanteras utifrån leverantörens hemland och åtkomstmöjligheter, och dokumentera bedömningen. Om leverantörer positionerar sig mot vårdsektorn och offentlig sektor med argument om nationell lagring bör påståendena verifieras mot ägarstruktur, underleverantörer och supportåtkomst innan de används i upphandlingen.

För offentlig sektor är EU/EES-lagring eller svensk lagring ofta enklare att dokumentera. Om tredjeland används måste överföringskraven och leverantörens hemlandslag prövas.