GDPR i korthet, för dig som använder molnet

Modul 1: Varför ett europeiskt moln? · Lästid: 11 minuter

Lärandemål: Efter den här lektionen kan du beskriva de roller och skyldigheter i dataskyddsförordningen (GDPR) som gäller när du använder en molntjänst, och förklara varför du fortfarande är ansvarig, även när uppgifterna finns hos någon annan.

Centrala begrepp: dataskyddsförordningen (GDPR), personuppgifter, behandling, personuppgiftsansvarig, personuppgiftsbiträde, underbiträde, principer (art. 5), ansvarsskyldighet, personuppgiftsbiträdesavtal (art. 28), säkerhet (art. 32), överföring (kapitel V), Integritetsskyddsmyndigheten, sanktionsavgifter (art. 83)

Varför det här plötsligt handlar om GDPR

Dataskyddsförordningen (på engelska GDPR) är en europeisk förordning: förordning (EU) 2016/679. Den gäller direkt i alla EU-länder sedan den 25 maj 2018. I Nederländerna utövar Autoriteit Persoonsgegevens (AP) tillsyn; i varje annat EU-land finns en egen tillsynsmyndighet (i Sverige Integritetsskyddsmyndigheten, IMY).

Du kanske tänker: GDPR handlar om stora företag med kunddatabaser. Men Bakkerij De Korrel omfattas också. I brevlådan finns beställningar med namn, adresser och telefonnummer. I de digitala mapparna finns scheman, lönebesked och en kopia av ett id-kort för en ny medarbetare. I kalendern finns namn på kunder vid leveranstider. Allt detta är personuppgifter: all information om en identifierad eller identifierbar person (art. 4 punkt 1). Och att lagra, mejla, dela och radera är allt behandling (art. 4 punkt 2).

Ett undantag: sådant du gör helt privat, som dina egna familjefoton, faller utanför GDPR (det så kallade "hushållsundantaget", art. 2.2 c). Så snart det handlar om ditt arbete, ditt företag eller din förening gäller GDPR fullt ut.

Det här är en förklaring, inte juridisk rådgivning.

Tre roller: vem är vem?

Den viktigaste insikten: ansvaret flyttar inte med uppgifterna. Bageriet förblir personuppgiftsansvarig, även när uppgifterna finns hos en molntjänst. Om molntjänsten lovar något och det går fel, måste bageriet ändå kunna visa att de gjort ett genomtänkt val och satt goda avtal på plats. Det kallas ansvarsskyldigheten (art. 5.2 och art. 24).

Observera: en molntjänst är inte alltid enbart personuppgiftsbiträde. Använder leverantören dina uppgifter även för egna ändamål, som produktutveckling, reklam eller att träna egna system, är den för den delen själv personuppgiftsansvarig. Det är en av de saker du kontrollerar i villkoren och personuppgiftsbiträdesavtalet (lektion 9.2).

Principerna som berör molnet

Artikel 5 anger de principer som varje behandling måste följa. Vid valet av molntjänst är dessa viktigast:

• Ändamålsbegränsning: du använder uppgifter bara för det ändamål du samlade in dem för. En tjänst som använder dina kunduppgifter för egna syften kolliderar med det.
• Uppgiftsminimering: spara inte mer än nödvändigt. Ett byte är ett bra tillfälle att städa upp (lektion 3.2).
• Lagringsminimering: spara inte längre än nödvändigt. Tänk på gamla jobbansökningar i en mejlkorg.
• Integritet och konfidentialitet: lämplig säkerhet mot förlust, stöld och obehörig åtkomst. Det preciseras i artikel 32: du vidtar åtgärder som står i proportion till risken, som kryptering, åtkomsthantering, återställning efter ett avbrott och regelbunden testning.

Fyra skyldigheter du möter vid ett byte

1. Välja ett biträde som ger tillräckliga garantier (art. 28.1). Du måste alltså ta reda på hur leverantören skyddar uppgifterna och var de behandlas. Det gör du i modul 2.
2. Teckna ett personuppgiftsbiträdesavtal (art. 28.3). Det ska innehålla obligatoriska punkter: vad som behandlas, instruktioner, sekretess, säkerhet, underbiträden, hjälp vid personuppgiftsincidenter och vad som händer med uppgifterna när du avslutar avtalet. Det går vi igenom i lektion 9.2.
3. Föra ett register över behandling (art. 30). En lista över dina behandlingar: vilka uppgifter, varför, med vem de delas, hur länge de sparas. Efter ett byte uppdaterar du mottagare och lagringsplats (lektion 9.3).
4. Följa reglerna för överföring utanför EES (kapitel V, art. 44 till och med 49). Går uppgifter till ett land utanför Europeiska ekonomiska samarbetsområdet är det bara tillåtet om landet har en adekvat skyddsnivå (ett beslut om adekvat skyddsnivå, art. 45) eller med extra skyddsåtgärder som standardavtalsklausuler (art. 46). Det handlar lektion 1.4 om.

Vad händer om det går fel?

Vid en personuppgiftsincident (till exempel ett hackat konto med kunduppgifter) måste den ansvarige anmäla det till tillsynsmyndigheten inom 72 timmar, om det inte sannolikt inte medför någon risk (art. 33). Biträdet måste informera den ansvarige "utan onödigt dröjsmål" (art. 33.2). Därför ska ett bra personuppgiftsbiträdesavtal ange hur snabbt leverantören varnar dig.

Tillsynsmyndigheten kan utfärda sanktionsavgifter. Taket för de allvarligaste överträdelserna är 20 miljoner euro eller 4 % av den globala årsomsättningen, beroende på vilket som är högst (art. 83.5). För små organisationer är sanktionsavgiften sällan den största risken. Den verkliga risken är skada för kunder och medarbetare, och det förtroende du förlorar.

Varför det här påverkar ditt molnval

GDPR förbjuder inte användning av amerikanska molntjänster. Men du måste kunna förklara varför ditt val är ansvarsfullt: vilka uppgifter, vilka risker, vilka avtal. Ju känsligare uppgifterna är (hälsa, barn, ekonomi, personalakter), desto tyngre väger den avvägningen. För ett bageri är det överskådligt; för en fysioterapimottagning eller en skola väger det betydligt tyngre. En tjänst som är etablerad inom EES, behandlar uppgifter inom EES och inte har underbiträden utanför EES gör den avvägningen betydligt enklare, eftersom reglerna för överföring då inte blir aktuella.

I praktiken: så ser det ut hos en leverantör

En leverantör som används i näringsverksamhet bör ha ett personuppgiftsbiträdesavtal och en lista över underbiträden. Hos WebOké står det i de vanliga frågorna i Nextcloud-manualen att du tecknar ett personuppgiftsbiträdesavtal om du använder Nextcloud i din verksamhet och lagrar andras personuppgifter där. Hos andra leverantörer hittar du oftast motsvarande under "Personuppgiftsbiträdesavtal", "Data Processing Agreement (DPA)" eller bland de juridiska dokumenten längst ned på webbplatsen.

Sammanfattning

• Även en liten organisation behandlar personuppgifter i mejl, kalender och filer, och omfattas därmed av GDPR.
• Du är personuppgiftsansvarig; molntjänsten är personuppgiftsbiträde; dess leverantörer är underbiträden.
• Ansvaret flyttar inte med: du måste välja ett biträde med tillräckliga garantier och kunna förklara det.
• Viktiga artiklar: 5 (principer), 28 (biträde och personuppgiftsbiträdesavtal), 30 (register), 32 (säkerhet), 33 (personuppgiftsincident inom 72 timmar), 44 till 49 (överföring).
• Uppgifter som stannar inom EES gör avvägningen enklare, eftersom reglerna för överföring då inte gäller.

Quiz

Uppgift

Uppgift E1.2: Dina roller och uppgifter. Gör en kort lista över de personuppgifter som din organisation har i molnet (mejl, kalender, filer, chatt). Ange för varje typ vem som är personuppgiftsansvarig, vem som är biträde, och om det finns känsliga uppgifter bland dem.

Läs mer

Stegen i de här artiklarna gäller för WebOkés tjänster; hos andra leverantörer fungerar det på liknande sätt.

• Nextcloud-guide 15.13: Vanliga frågor om säkerhet och integritet
• Nextcloud-guide 3.1: Hur skyddar WebOké din Nextcloud?
• Förordning (EU) 2016/679 (GDPR), artiklarna 4, 5, 24, 28, 30, 32, 33, 44 till och med 49 och 83, på EUR-Lex
• Autoriteit Persoonsgegevens (den nederländska tillsynsmyndigheten), ämnena "Verwerkersovereenkomst" (personuppgiftsbiträdesavtal) och "Datalek melden" (anmäla personuppgiftsincident): https://www.autoriteitpersoonsgegevens.nl. I Sverige vänder du dig i stället till Integritetsskyddsmyndigheten (IMY).