{"id":13280,"date":"2023-07-12T09:24:34","date_gmt":"2023-07-12T07:24:34","guid":{"rendered":"https:\/\/cleura.com\/?p=13280"},"modified":"2024-01-11T08:46:27","modified_gmt":"2024-01-11T07:46:27","slug":"nytt-adekvansbeslut-ger-inte-gront-ljus-for-amerikanska-molntjanster-i-eu","status":"publish","type":"post","link":"https:\/\/cleura.com\/sv\/artikel\/nytt-adekvansbeslut-ger-inte-gront-ljus-for-amerikanska-molntjanster-i-eu\/","title":{"rendered":"Nytt adekvansbeslut ger inte gr\u00f6nt ljus f\u00f6r amerikanska molntj\u00e4nster i EU – ladda ner v\u00e5r rapport"},"content":{"rendered":"\n

S\u00e5 kom det till sist, EU-kommissionens nya beslut om adekvat skyddsniv\u00e5, baserat p\u00e5 ramverket Data Privacy Framework. M\u00e5nga organisationer fr\u00e5gar sig givetvis om det nu \u00e4r gr\u00f6nt ljus att anv\u00e4nda amerikanska molntj\u00e4nstleverant\u00f6rer.<\/p>\n\n\n\n

Vi bed\u00f6mer att svaret fortsatt \u00e4r nej.<\/p>\n\n\n\n

Ladda ner v\u00e5r djupg\u00e5ende rapport d\u00e4r vi tittar p\u00e5 adekvansbeslutets p\u00e5verkan och varf\u00f6r det fortsatt \u00e4r problem med att anlita amerikanska molntj\u00e4nstleverant\u00f6rer. Tipsa g\u00e4rna de i din organisation som du tror kan finna det intressant, exempelvis dataskyddsjurister, dataskyddsombud samt de som arbetar med anskaffning av molntj\u00e4nster och SaaS-l\u00f6sningar.<\/p>\n\n\n\n

<\/div>\n\n\n\n

Vad din organisation beh\u00f6ver veta om adekvansbeslutet<\/h2>\n\n\n\n
<\/div>\n\n\n\n
\n
L\u00e4s rapporten<\/a><\/div>\n<\/div>\n\n\n\n
<\/div>\n\n\n\n

Till att b\u00f6rja med f\u00f6rv\u00e4ntar vi oss att EU-domstolen ogiltigf\u00f6rklarar det nya adekvansbeslutet inom ett par \u00e5r. Grunden det st\u00e5r p\u00e5 \u00e4r vittrande och kommer f\u00f6rr eller senare att r\u00e4mna. Det vore d\u00e4rf\u00f6r ett strategiskt felsteg att f\u00f6rlita sig p\u00e5 adekvansbeslutet f\u00f6r digitala satsningar av n\u00e5gon betydelse.<\/p>\n\n\n\n

Den h\u00e4r rapporten handlar dock om n\u00e5got viktigare. N\u00e4mligen vad adekvansbeslutet egentligen kan \u2013 och inte kan \u2013 anv\u00e4ndas till. Vi hoppas d\u00e4rmed reda ut en del fr\u00e5getecken och f\u00f6rebygga missf\u00f6rst\u00e5nd. <\/p>\n\n\n\n

Adekvansbeslutet l\u00f6ser n\u00e4mligen inte <\/em>problemet med att amerikanska underr\u00e4ttelsemyndigheter kan tvinga amerikanska molntj\u00e4nstleverant\u00f6rer i EU att l\u00e4mna ut personuppgifter.<\/strong><\/p>\n\n\n\n

Adekvansbeslutet kan inte<\/em> heller anv\u00e4ndas f\u00f6r s\u00e5dana \u00f6verf\u00f6ringar fr\u00e5n EU till amerikanska underr\u00e4ttelsemyndigheter. <\/strong>Att denna extraterritoriella \u00e5tkomst finns kvar inneb\u00e4r fortsatta problem i relation till EU-lagstiftningen.<\/p>\n\n\n\n

Vi bed\u00f6mer d\u00e4rf\u00f6r att organisationer som omfattas av GDPR \u00e4ven fortsatt \u00e4r i princip f\u00f6rhindrade att hantera personuppgifter hos amerikanska molntj\u00e4nstleverant\u00f6rer i EU. H\u00e4r \u00e4r nyckelpunkterna f\u00f6r vad du beh\u00f6ver veta<\/p>\n\n\n\n

<\/div>\n\n\n\n
    \n
  1. \n

    Adekvansbeslutet m\u00f6jligg\u00f6r endast \u00f6verf\u00f6ringar av personuppgifter fr\u00e5n EU till sj\u00e4lvcertifierade mottagare i USA<\/em>. Det m\u00f6jligg\u00f6r inte \u00f6verf\u00f6ringar till USA generellt.<\/p>\n<\/li>\n\n\n\n

  2. \n

    \u00d6verf\u00f6ringar fr\u00e5n EU till amerikanska underr\u00e4ttelsemyndigheter kan inte<\/em> ske med st\u00f6d av adekvansbeslutet. Amerikanska underr\u00e4ttelsemyndigheter \u00e4r inte sj\u00e4lvcertifierade mottagare. S\u00e5dana utl\u00e4mnanden till amerikanska myndigheter \u00e4r dessutom i princip f\u00f6rbjudna enligt andra regler i GDPR. Adekvansbeslutet g\u00f6r allts\u00e5 ingen skillnad i dessa situationer.<\/p>\n<\/li>\n\n\n\n

  3. \n

    En organisation som behandlar personuppgifter i EU m\u00e5ste s\u00e4kerst\u00e4lla den skyddsniv\u00e5 med r\u00e4ttigheter som EU:s r\u00e4ttighetsstadga och GDPR kr\u00e4ver. EU-stadgans skyddsniv\u00e5 omfattar bland annat r\u00e4tten till tillg\u00e5ng till personuppgifter, r\u00e4ttelse av felaktiga personuppgifter samt en effektiv domstolspr\u00f6vning. Vi menar att dessa r\u00e4ttigheter fortfarande inte kan ut\u00f6vas p\u00e5 ett effektivt s\u00e4tt av den som vill f\u00e5 sin sak pr\u00f6vad i USA.<\/p>\n<\/li>\n\n\n\n

  4. \n

    GDPR har flera regler som skyddar personuppgifter mot tredjelands lagstiftning. Vi menar att amerikanska molntj\u00e4nstleverant\u00f6rer inte kan garantera att de uppfyller dessa regler. Tv\u00e4rt om inneb\u00e4r deras besked att de l\u00e5ter amerikansk lagstiftning g\u00e5 f\u00f6re GDPR. Vi menar d\u00e4rf\u00f6r att de amerikanska molntj\u00e4nstleverant\u00f6rerna inte ger de garantier som kr\u00e4vs f\u00f6r att kunna anlitas som personuppgiftsbitr\u00e4den.<\/p>\n<\/li>\n\n\n\n

  5. \n

    EU-domstolen har klargjort att skyddsniv\u00e5n med r\u00e4ttigheter i EU omfattar alla personuppgifter oavsett om de \u00e4r k\u00e4nsliga, oavsett hur uppgifterna anv\u00e4nds och oavsett om ber\u00f6rda personer f\u00e5tt utst\u00e5 n\u00e5gon ol\u00e4genhet.<\/p>\n<\/li>\n\n\n\n

  6. \n

    EU-domstolen bed\u00f6mde i Schrems II att ett effektivt skydd f\u00f6r personuppgifter inte kunde s\u00e4kerst\u00e4llas n\u00e4r lagstiftningen<\/em> i tredjeland till\u00e4t<\/em> tredjelandets myndigheter att g\u00f6ra ingrepp i personers r\u00e4ttigheter. R\u00e4ttighetsskyddet kunde inte s\u00e4kerst\u00e4llas redan i detta skede, det beh\u00f6vde allts\u00e5 inte ha skett n\u00e5got faktiskt utl\u00e4mnande till amerikanska myndigheter eller ens vara sannolikt att s\u00e5 skulle ske. Vi menar att detta tydligg\u00f6r den skyddsniv\u00e5 som m\u00e5ste s\u00e4kerst\u00e4llas inom EU, inneb\u00e4rande att n\u00e4r s\u00e5dan lagstiftning i tredjeland till\u00e5ter<\/em> att personuppgifter i EU kan l\u00e4mnas ut till tredjelandet s\u00e5 kan skyddsniv\u00e5n inom EU i princip inte l\u00e4ngre s\u00e4kerst\u00e4llas.<\/p>\n<\/li>\n\n\n\n

  7. \n

    Slutsatsen blir d\u00e4rmed att om en organisation exponerar personuppgifter i EU f\u00f6r amerikansk lagstiftning, som till\u00e5ter ingrepp i individers r\u00e4ttigheter, s\u00e5 kan organisationen inte s\u00e4kerst\u00e4lla en tillr\u00e4cklig skyddsniv\u00e5 f\u00f6r personuppgifterna i EU.<\/p>\n<\/li>\n\n\n\n

  8. \n

    GDPR samt EU-domstolens syn p\u00e5 tredjelands lagstiftning borde i de flesta fall utesluta anv\u00e4ndning av amerikanska molntj\u00e4nstleverant\u00f6rer med behandling i EU. Amerikansk lagstiftning till\u00e5ter n\u00e4mligen amerikanska myndigheter att kr\u00e4va ut personuppgifter hos amerikanska molntj\u00e4nstleverant\u00f6rer i EU, p\u00e5 ett s\u00e4tt som vi bed\u00f6mer strider mot GDPR och undergr\u00e4ver EU:s skyddsniv\u00e5. Adekvansbeslutet f\u00f6r\u00e4ndrar inte detta.<\/p>\n<\/li>\n\n\n\n

  9. \n

    Kryptering i molnet f\u00f6resl\u00e5s ibland som l\u00f6sning. Vi har emellertid inte sett n\u00e5got fall d\u00e4r en amerikansk molntj\u00e4nstleverant\u00f6r visat hur de krypterar uppgifter p\u00e5 ett s\u00e4tt d\u00e4r kunden \u00e4r i full kontroll, och d\u00e4r molntj\u00e4nstleverant\u00f6ren inte har n\u00e5gon teknisk m\u00f6jlighet att dekryptera uppgifterna, utan att kunden ocks\u00e5 drabbas av en eller flera av f\u00f6ljande:<\/p>\n\n\n\n