Dataskydd i molntjänster: frågor och krav enligt GDPR

Dataskydd i molnet – varför GDPR blir avgörande

Molntjänster omfattar sociala medier, e-post, bilder och filer online. Uppladdning sker enkelt från smartphone, surfplatta eller dator (IMY). Leverantören kontrollerar IT-utrustningen som hanterar och lagrar informationen.

Leverantörens personal och underleverantörer kan därför ta del av uppgifterna. Informationen kan dessutom hamna i stater utanför EU, där annan lagstiftning ger svagare integritetsskydd (IMY). Så snart personuppgifter läggs i tjänsten sker behandling hos någon annan. Valet av leverantör är därför ett dataskyddsbeslut, inte bara ett IT-beslut.

IMY slår fast att alla verksamheter som hanterar personuppgifter måste följa dataskyddsförordningen. Det innebär bland annat att följa de grundläggande principerna, säkerställa rättslig grund och informera de registrerade om behandlingen. Kraven gäller från första dagen uppgifterna finns i tjänsten – alltså frågor att besvara före anskaffningen.

Dataskyddsförordningen är direkt tillämplig som lag i EU:s medlemsländer sedan den 25 maj 2018. Den gäller i hela EES: EU samt Island, Liechtenstein och Norge. Molntjänster är gränsöverskridande; en verksamhet i ett land kan använda en tjänst som levereras från ett annat.

Förordningens fulla namn är Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016. Definitionerna, bland annat av personuppgifter, finns i artikel 4.

I dagligt tal förknippas molntjänster ofta med Dropbox, SharePoint och iCloud. Molntjänster kan dock vara betydligt mer tekniskt komplexa och utgör i många fall en komponent i behandlingen av personuppgifter.

Molntjänster: Dropbox, SharePoint och iCloud – jämförelse av dataskyddsförhållanden

Vem gör vad? Personuppgiftsansvarig och personuppgiftsbiträde

Personuppgiftsansvarig bestämmer varför och hur personuppgifterna behandlas. Personuppgiftsbiträdet behandlar dem för den ansvariges räkning och enligt dennes instruktioner. I en molntjänst är kunden normalt personuppgiftsansvarig och leverantören personuppgiftsbiträde; leverantörens underleverantörer kan vara underbiträden. Rollfördelningen styr avtalskrav, information till registrerade och ansvar vid incident.

Enligt IMY förutsätter GDPR-förenlig behandling, när en organisation anlitar externa leverantörer för olika tjänster, att det är tydligt vem som är personuppgiftsansvarig och vem som är personuppgiftsbiträde. Myndighetens undersökning indikerar att myndigheterna har utmaningar med att fastställa rollfördelningen. Otydlighet slår igenom i alla följdfrågor: instruktioner, säkerhetskrav, radering och bistånd till registrerade.

Rollfrågan är inte bara formell. Behandlar leverantören uppgifterna för egna ändamål blir leverantören själv personuppgiftsansvarig för den behandlingen. Då räcker inte ett biträdesavtal som reglering.

Enligt IMY beskriver leverantörens personuppgiftspolicy vad leverantören gör med informationen, till exempel använder viss information för att utveckla tjänsten. Sådan användning måste sorteras under rätt roll och ha eget stöd i regelverket. Vid molntjänster finns alltid minst två parter, en kund och en leverantör; relationen dem emellan står i centrum för personuppgiftsbehandlingen.

Grundprinciper och rättslig grund i molnmiljö

De grundläggande principerna är kärnan i dataskyddsförordningen och gäller all personuppgiftsbehandling, även hos en molnleverantör. Enligt IMY måste verksamheten bland annat ha stöd i förordningen för att behandla personuppgifter. Uppgifter får bara samlas in för specifika, särskilt angivna och berättigade ändamål.

Verksamheten får inte behandla fler uppgifter än vad som behövs för ändamålen, måste se till att uppgifterna är riktiga och radera dem när de inte längre behövs. Den måste skydda uppgifterna mot obehörig åtkomst, förlust och förstöring. Den måste också kunna visa att regelverket följs och hur det går till.

IMY preciserar principerna om laglighet, korrekthet och öppenhet: behandlingen måste först ha en rättslig grund. Förordningen innehåller sex rättsliga grunder, och en av dem ska vara uppfylld för varje behandling.

Behandlingen ska vara rättvis, skälig, rimlig och proportionerlig i förhållande till de registrerade. Verksamheten ska väga sina egna intressen mot de registrerades och ta hänsyn till vad de rimligen kan förvänta sig. Det ska vara klart och tydligt för de registrerade hur deras personuppgifter behandlas; dold eller manipulerande behandling är inte tillåten.

I molnmiljö får principerna konkreta konsekvenser. Ändamålsbegränsning och dataminimering innebär att varje användning av uppgifterna – drift, loggning, analys, vidareutveckling av tjänsten – måste knytas till ett bestämt ändamål och till uppgifter som verkligen behövs för det.

Vill leverantören använda uppgifterna för egna syften är det ett annat ändamål än kundens och kräver egen rättslig grund. Lagringsminimering innebär att gallring och radering måste fungera även i tjänsten, exempelvis i backuper och loggar. Personuppgiftsbegreppet tolkas brett enligt artikel 4: varje upplysning som direkt eller indirekt avser en identifierad eller identifierbar person som är i livet.

Ansvarskyldigheten följer den personuppgiftsansvarige och försvinner inte genom att behandlingen läggs ut. Verksamheten måste kunna visa både sin egen efterlevnad och hur leverantören och dennes underleverantörer uppfyller kraven. Det förutsätter i praktiken dokumentation från leverantören.

Avtalet som styr molntjänsten

GDPR kräver att ansvaret för personuppgifterna formaliseras för att reglera parternas ansvar och agerande. I praktiken sker det genom ett personuppgiftsbiträdesavtal vid sidan av det kommersiella molntjänstavtalet. Enligt IMY:s jurist Stina Almström är det ofta svårt att förhandla med molntjänstleverantörer, och därmed svårt att påverka utformningen av eller villkoren för molntjänsterna.

Biträdesavtalet måste reglera vilka instruktioner leverantören arbetar efter och att leverantören inte får behandla uppgifterna för egna ändamål. Det ska också ange vilka underleverantörer som får anlitas och hur kunden underrättas när de ändras. Vidare var uppgifterna får lagras och varifrån åtkomst får ske.

Avtalet ska fastställa vilka säkerhetsåtgärder som gäller och hur personuppgiftsincidenter hanteras och rapporteras. Det ska beskriva hur leverantören bistår när registrerade utövar sina rättigheter. Det ska också reglera hur uppgifterna raderas eller återlämnas när avtalet upphör, samt kundens möjlighet att granska och följa upp leverantörens efterlevnad.

Leverantörens personuppgiftspolicy är inte samma sak som biträdesavtalet. Enligt IMY är det vanligt att användaren först skapar ett konto och godkänner policyn, som beskriver vad leverantören gör med informationen, till exempel att viss information används för att utveckla tjänsten.

Policyn bör läsas med frågan om den beskriver behandling utanför kundens instruktioner. I så fall ska den hanteras som leverantörens egen behandling. Avtalet bör också ta höjd för vad som händer med uppgifterna om leverantören lägger ner sin verksamhet, blir uppköpt eller byter underleverantör.

Fördelar och nackdelar med extern molntjänstleverans

Överföring utanför EU/EES – risker och frågor

Enligt IMY för ofta molntjänster över personuppgifter på något sätt till länder utanför EU, vilket skapar juridiska utmaningar. IMY framhåller också att molndata kan hanteras i tredjeland, där annan reglering och svagare integritetsskydd gäller. En överföring till ett annat EES-land är därför inte en överföring till tredjeland.

Överföring till tredjeland är en juridisk fråga, inte bara teknisk. Om verksamheter i EU kunde undvika sitt ansvar genom att föra personuppgifter till molnservrar i tredjeland skulle den höga skyddsnivån för grundläggande rättigheter urholkas. Överföringar måste därför beskrivas, motiveras och regleras, inte antas följa med tjänsten.

Kartläggningen måste omfatta mer än huvudserverns placering. Fråga leverantören var uppgifterna och säkerhetskopiorna lagras, varifrån personal och underleverantörer kan komma åt uppgifterna, vilka underleverantörer som finns i kedjan och i vilka länder de verkar.

Leverantören kan med sin personal och sina underleverantörer ta del av informationen. Därför är åtkomst från tredjeland en överföringsfråga även när lagringen sker inom EES.

Skatteverket behandlar överföring till tredje land och personuppgiftsbehandling i molntjänster i sin rättsliga vägledning. Där framgår att användning av molntjänster kan innebära att sekretessreglerade uppgifter röjs till en utomstående part, vilket ska prövas särskilt.

Riskbedömning och konsekvensbedömning före anskaffning

IMY:s undersökning av statliga myndigheter visar att de svarande har processer och rutiner för att anskaffa molntjänster. Merparten genomför konsekvensbedömningar innan en molntjänst anskaffas.

Molntjänsterna används huvudsakligen som verksamhetsstöd och för behandling av anställdas uppgifter. Det förekommer dock att även känsliga personuppgifter om medborgare behandlas, vilket höjer kraven på bedömningen.

Riskinventeringen bör minst täcka de risker IMY lyfter fram. Leverantörens personal och underleverantörer kan ta del av uppgifterna. Uppgifterna kan hanteras i tredjeland, där annan lagstiftning och svagare skydd gäller.

Leverantören kan lägga ner sin verksamhet eller bli uppköpt; vad händer då med informationen? Informationen kan förstöras eller bli oåtkomlig under kort eller lång tid. Till detta kommer beroendet av en enda leverantör, vilket gör utträde och datauttag till en del av riskbilden.

En sådan bedömning måste omfatta hela behandlingskedjan: leverantörens och underleverantörernas behandling, överföringar och åtkomst – inte bara den egna verksamhetens.

Om risken inte kan hanteras med skyddsåtgärder i avtal och konfiguration bör verksamheten välja en annan tjänst, en annan konfiguration eller avstå.

Säkerhet, transparens och registrerades rättigheter

Kryptering: enligt IMY är förbindelser till många webbplatser och molntjänster i dag krypterade. Det syns i adressfältet genom att adressen inleds med https och genom det stängda hänglåset.

Det visar att överföringen till tjänsten är skyddad, men inte hur uppgifterna skyddas hos leverantören. Där avgör åtkomstkontroll, loggning och leverantörens interna rutiner vem som kan läsa dem.

Delning: att dela information i molnet är en av de mest praktiska funktionerna, men IMY uppmanar till försiktighet så att informationen bara delas med dem den är avsedd för. Delningslänkar, externa gästkonton och delade mappar behöver därför ha en ägare, en rutin för avstängning och en översyn över tid.

Säkerhetskopiering: att lagra information i en molntjänst är inte samma sak som att den är säkerhetskopierad (IMY). Eftersom informationen kan förstöras eller bli oåtkomlig under kort eller lång tid behövs en separat, testad återställning.

En fråga är om leverantören kan lämna ut uppgifterna i ett användbart format vid avtalets slut. IMY rekommenderar också att ta del av leverantörens information om support, kontaktuppgifter och supportfunktioner, eftersom incidenter och återställning hanteras genom den kanalen.

Personuppgiftsincidenter regleras i artiklarna 33 och 34 i EU:s dataskyddsförordning. Den svenska lagen (2018:218) innehåller undantag för incidenter enligt säkerhetsskyddslagstiftningen.

Registrerades rättigheter: förordningen ökar kraven på den som behandlar personuppgifter och stärker de registrerades rättigheter. IMY betonar att den som behandlar måste säkerställa att rättigheterna tas om hand.

Det kräver rutiner för att ta emot och besvara begäranden om information och tillgång, rättelse, radering, begränsning, invändning och dataportabilitet. Eftersom uppgifterna finns hos leverantören måste avtalet ge verksamheten teknisk möjlighet att söka fram, exportera, rätta och radera uppgifter inom gällande tidsramar. Leverantören måste vara skyldig att bistå.

Svenska förutsättningar och IMY:s tillsyn

I Sverige kompletteras EU:s dataskyddsförordning av lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning.

Lagen har kapitel om inledande bestämmelser, rättslig grund för behandling av personuppgifter, behandling av vissa kategorier av personuppgifter, användningsbegränsningar, begränsningar av vissa rättigheter och skyldigheter, tillsynsmyndighetens handläggning och beslut samt skadestånd och överklagande.

Enligt 1 § kompletterar lagen förordningen, och termer och uttryck har samma betydelse som i förordningen.

Enligt 2 § har lagen en utvidgad tillämpning utöver vad som följer av unionsrätten. Enligt 5 § har den ett eget territoriellt tillämpningsområde.

Enligt 3 § gäller 2 § inte för verksamhet enligt lagen (2021:1171) om behandling av personuppgifter vid Försvarsmakten, lagen (2021:1172) om behandling av personuppgifter vid Försvarets radioanstalt eller lagen (2019:1182) om Säkerhetspolisens behandling av personuppgifter. Från 2027 tillkommer lagen (2026:1575) om behandling av personuppgifter vid Sveriges utrikes underrättelsetjänst.

Enligt 4 § tillämpas artiklarna 33 och 34 inte i fråga om personuppgiftsincidenter som ska rapporteras enligt säkerhetsskyddslagen (2018:585) eller anmälas enligt lagen (2019:109) om säkerhetsskydd i riksdagen och dess myndigheter. Undantaget gäller även föreskrifter som meddelats i anslutning till de lagarna.

Den som fullgör uppgift som dataskyddsombud enligt artikel 37 i EU:s dataskyddsförordning får enligt 8 § inte obehörigen röja vad han eller hon får veta i den rollen.

Lag (2018:218) är utfärdad den 19 april 2018 och sorterar under Justitiedepartementet L6. Den är ändrad t.o.m. SFS 2026:1589.

För verksamheter som använder molntjänster kan den svenska lagen ställa krav vid sidan av förordningen, exempelvis när uppgifterna är sekretessbelagda eller behandlas i verksamhet med särskilda regler.

IMY är den svenska tillsynsmyndigheten och har tagit fram guider och vägledning för verksamheter. Myndigheten har också genomfört undersökningen av statliga myndigheters molntjänstanvändning inom ramen för ett samarbete i Europeiska dataskyddsstyrelsen (EDPB).

I undersökningen deltog 22 nationella dataskyddsmyndigheter i Europa, och ett frågeformulär skickades till över 80 offentliga organ i EU. IMY skickade det i sin tur till 11 statliga myndigheter, varav sju svarade.

Undersökningen betonar tydlig rollfördelning, hanterade överföringar och underlag för konsekvensbedömning.

Viktiga datum i svensk dataskyddslagstiftning

Checklista: frågor att ställa innan du väljer molntjänst

Roller och ansvar: Är det dokumenterat vem som är personuppgiftsansvarig och vem som är personuppgiftsbiträde för varje behandling? Använder leverantören uppgifterna för egna ändamål enligt personuppgiftspolicyn, och i så fall för vilka? Finns ett personuppgiftsbiträdesavtal som täcker instruktioner, säkerhet, incidenter, bistånd till registrerade, radering och granskning?

Lagringsplats och överföring: Var lagras uppgifterna och säkerhetskopiorna? Varifrån kan leverantörens personal och underleverantörer komma åt dem?

Vilka underleverantörer finns i kedjan, i vilka länder verkar de, och hur underrättas ni när de ändras eller byts? Kan överföringen utanför EU/EES beskrivas konkret, och vilka skyddsåtgärder gäller i så fall? Vad händer med informationen om leverantören lägger ner sin verksamhet eller blir uppköpt?

Säkerhet, lagringstid och radering: Vilka åtkomstkontroller och loggar finns, och vem hos leverantören kan läsa uppgifterna? Hur begränsas delning av information i tjänsten, och vem ansvarar för att stänga av den?

Är uppgifterna krypterade både vid överföring och hos leverantören? Hur gallras uppgifter enligt verksamhetens lagringstider, även i backuper och loggar? Hur säkerhetskopieras uppgifterna utanför tjänsten, och hur har återställning testats?

Registrerades rättigheter och bevisning: Hur tar ni emot och besvarar begäranden om information, tillgång, rättelse, radering, begränsning, invändning och dataportabilitet? Kan uppgifterna sökas fram och exporteras i ett användbart format?

Vilka underlag kan leverantören lämna för att visa att kraven följs, och hur ofta följs de upp? Har en konsekvensbedömning gjorts innan anskaffningen, och täcker den underleverantörerna och överföringarna?

Be om underlag som knyter kraven till namn: rättslig grund enligt förordning (EU) 2016/679, definitionerna i artikel 4 och incidenthantering enligt artiklarna 33 och 34. Klargör också vem som fullgör uppgiften som dataskyddsombud enligt artikel 37.

Anskaffas en tjänst som Dropbox, SharePoint eller iCloud, eller en tekniskt komplex molntjänst? Frågorna om rollfördelning, lagringsplats och radering ställs på samma sätt oavsett vilket.

Checklista: Frågor att ställa innan du väljer molntjänst