Hvor ligger jeres data i skyen, og hvad betyder det for GDPR?
EU, EØS, databehandleraftaler og underleverandører. Her er de spørgsmål, I bør stille jeres leverandør om, hvor data opbevares og hvem der har adgang.
Når I bruger cloudtjenester, ligger jeres data i leverandørens datacentre, og I skal vide hvor. GDPR forbyder ikke data uden for EU og EØS, men det stiller ekstra krav. Derfor skal I kende placeringen og have en databehandleraftale med leverandøren.
Denne artikel er generel vejledning og ikke juridisk rådgivning.
Hvorfor placeringen betyder noget
Inden for EU og EØS gælder de samme regler for databeskyttelse. EØS er EU plus Norge, Island og Liechtenstein. Overføres personoplysninger til et land uden for området, skal der være et lovligt grundlag, for eksempel en afgørelse fra EU-Kommissionen om, at landet har et passende beskyttelsesniveau, eller EU's standardkontrakter.
Det er ikke kun stedet for opbevaring, der tæller. Hvis en supportmedarbejder i et andet land kan tilgå data, kan det også være en overførsel. Derfor skal I spørge både til, hvor data ligger, og hvorfra der er adgang.
Databehandleraftalen
Når en leverandør behandler personoplysninger på jeres vegne, er I dataansvarlige, og leverandøren er databehandler. Det kræver en skriftlig databehandleraftale. Den beskriver, hvad leverandøren må gøre med data, hvordan de beskyttes, og hvad der sker, når samarbejdet ophører. De store cloudleverandører har typisk standardvilkår, som indgår i abonnementet, men I skal stadig vide, hvor de findes, og hvad der står i dem.
Spørgsmål til jeres leverandør
Spørg hvilket land og hvilken region jeres data opbevares i, og om I selv kan vælge det. Spørg om backup og kopier ligger samme sted. Spørg hvilke underleverandører der bruges, og hvor de holder til. Spørg hvordan I får besked, hvis der sker et sikkerhedsbrud, og hvordan I får jeres data udleveret og slettet, hvis I stopper.
Gem svarene sammen med aftalen. Det gør det lettere at dokumentere, at I har styr på det, hvis nogen spørger, og det gør det nemmere at sammenligne leverandører næste gang.
Vi tilbyder hosting i Azure og i ISO-certificerede datacentre i Danmark, og vi hjælper gerne med at finde ud af, hvor jeres data ligger i dag. Spørgsmål om jura bør gå til en rådgiver med speciale i databeskyttelse.
