Vi sætter privatlivet først og gemmer alle personoplysninger i Norge
Er du træt af at prøve at finde ud af, hvor personoplysninger lagres, om de er lagret sikkert, hvad der betragtes som personoplysninger, hvor de behandles, hvem der har indsigt i dataene, samt hvor backup, logfiler og filer lagres?
Mange af de store udbydere af skybaserede tjenester er placeret i USA. Du tænker måske, at hundredtusindvis af kunder er en garanti for, at dine data lagres sikkert og er beskyttede? Det kan dog være en fejlopfattelse.
Problemet er, at de amerikanske myndigheder kan gøre brug af USA PATRIOT Act. Denne lovgivning sikrer de amerikanske myndigheder ret til indsigt i data fra virksomheder med base i USA. Men det stopper ikke der. Det er selve tilknytningen til USA, der er problematisk. Datterselskaber i en amerikansk koncern er også omfattet, selvom datterselskabet er et EU-selskab.
Make har udviklet en løsning til at imødegå alle disse problemstillinger: Vi lagrer alle personoplysninger i Norge – lokalt, overskueligt og bæredygtigt
Make AS er en norsk virksomhed med norske ejere, som følger norske love og regler for databeskyttelse. Vi lagrer alle personoplysninger, backup og logfiler i Norge. Som følge heraf er alle vores kunder beskyttet mod stadig mere indgribende amerikansk lovgivning.
Vi mener, at dette gør Make til et godt alternativ til Mailchimp eller tilsvarende amerikanske tjenester, når danske virksomheder skal vælge leverandør til e-mailmarketing.
»Da vi i Frende skulle vælge ny leverandør til e-mailmarketing, var det afgørende, at personoplysningerne blev behandlet i Norge. Den mulighed er unik hos Make. Når de desuden har en ryddelig og overskuelig infrastruktur, god brugervenlighed, fantastisk support og alle de funktioner, vi ellers har brug for, var valget enkelt.« Alice Beate Holm – Frende Forsikring
Amerikanske leverandører kan være ulovlige
Den meget omtalte Schrems II-dom fra sommeren 2020 har skabt stor usikkerhed om lagring af personoplysninger, særligt hos de store amerikanske selskaber. Det står nu klart, at europæiske virksomheder skal implementere »yderligere beskyttelsesforanstaltninger« ved overførsel af personoplysninger til blandt andet USA – men få kan give klare svar på, hvad disse foranstaltninger egentlig indebærer.
Det slås fast i Schrems II-dommen, at amerikanske lovregler giver de amerikanske myndigheder for vidtgående adgang til personoplysninger, og at der ikke findes et objektivt organ med tilstrækkelig myndighed til, at enkeltpersoner kan få prøvet deres sag. Dette er den reelle årsag til, at Privacy Shield blev tilsidesat, og EU-Domstolen præciserer, at denne problemstilling også gælder for de øvrige overførselsgrundlag, som f.eks. EU's standardkontraktbestemmelser (SCC).
Både det norske Datatilsyn og EDPB (Det Europæiske Databeskyttelsesråd) lægger til grund, at der ikke kan overføres personoplysninger ud af EU, uden at der ud over et gyldigt overførselsgrundlag etableres sikkerhedsforanstaltninger, som sikrer, at EU-borgeres privatliv beskyttes på et niveau svarende til EU.
Når det gælder muligheden for at etablere sådanne sikkerhedsforanstaltninger ved overførsel til USA, udtaler det norske Datatilsyn følgende: »...dette kan være yderst udfordrende eller umuligt at få til at fungere i praksis«.
Baggrunden for Datatilsynets holdning er, at amerikanske virksomheder og deres kunder ikke kan aftale sig ud af de lovregler, der gælder for de amerikanske virksomheders aktiviteter i USA.
En tilsvarende problemstilling gælder for andre lande, der ikke har et tilstrækkeligt sikkerhedsniveau, men det er særligt problematisk, når USA står på nej-listen, da det meste inden for datadrevet teknologi har en forbindelse dertil.
Som det ser ud nu, virker det til, at den eneste mulige løsning er at ændre selve produktet (den tekniske opsætning), så personoplysninger om EU-borgere ikke overføres ud af EU.
Schrems II-dommen
Schrems II handlede om, hvorvidt Facebook kunne overføre oplysninger om brugere i Europa til USA. Svaret på det var nej. Dommen indeholder også en skærpelse af dataoverførsler til tredjelande og en tilsidesættelse af overførselsgrundlaget Privacy Shield (2016).
Hørt om Schrems 2?
Ved overførsel af personoplysninger forstås personoplysninger, der sendes eller overføres til et tredjeland. I udvidet forstand betragtes det også som en dataoverførsel, hvis en person i et tredjeland får adgang til de lagrede oplysninger, selvom disse oplysninger opbevares inden for EØS. På denne måde sidestilles fjernadgang med en faktisk dataoverførsel.
Som udgangspunkt er det ikke tilladt at overføre personoplysninger til lande uden for EØS (tredjelande). I visse tilfælde kan man dog fravige reglerne, hvis modtageren af personoplysningerne påtager sig bestemte forpligtelser. Det er disse forpligtelser, man kalder et overførselsgrundlag. Det er dataeksportørens ansvar at finde et passende overførselsgrundlag samt opfylde de tillægskrav, som EU-Domstolen har fastsat.
Tanken bag overførselsgrundlagene er, at personoplysningerne skal være lige så godt beskyttet efter overførslen til tredjelandet, som de ville være inden for EØS. For at opnå dette har dataimportøren i første omgang pligt til at undersøge, om de lokale myndigheders ret til indsigt går forud for de forpligtelser, som overførselsgrundlaget fastsætter, og kortlægge, hvad der er muligt at opnå i praksis.
Udgangspunktet gælder internt i EØS, dvs. EU-landene, Island, Liechtenstein og Norge. Derudover er der visse lande og områder, som er godkendt af EU-Kommissionen. Pr. 2020 er disse Schweiz, Andorra, Færøerne, Guernsey, Jersey, Isle of Man, Argentina, Canada, Israel, New Zealand, Japan og Uruguay.
Typiske data, der betragtes som personoplysninger, er navn, adresse, telefonnummer, e-mailadresse og CPR-nummer.
Biometri såsom fingeraftryk, irismønster og hovedform (til ansigtsgenkendelse) er også personoplysninger. Desuden er en dynamisk IP-adresse i visse tilfælde også defineret som en personoplysning.