Kan vi fortsatt overføre person­opplysninger til utlandet og amerikanske selskaper? Dette må din bedrift vite [Ekstra]

[Gjest Marius B. Jørgenrud]

Kan vi fortsatt overføre person­opplysninger til utlandet og amerikanske selskaper? Dette må din bedrift vite [Ekstra]

[fatfinger]

Å si at dette gjelder "flertallet av norske virksomheter" er i beste fall en overdrivelse, og mest sannsynlig feil. Bruker du en EU/EØS basert skytjeneste er du innenfor GDPR og utenfor Schrems II, selv om tjenesten er "amerikansk".

[mac72]

Det var det Privacy Shield sikret, ja.

Uten Privacy Shield kan, etter det jeg forstår, USA nå innhente opplysninger fra f.eks. Google Cloud selv om dataene fysisk befinner seg i f.eks. Finland. Da rammer det samtlige kunder av amerikanske skytjenester, uansett lagringssted. Høyst sannsynlig er flertallet av norske virksomheter brukere av slike skytjenester på et eller annet nivå.

[TechLawyer]

Flertallet av norske virksomheter bruker minst én av følgende tjenester: AWS, MS Outlook, MS Azure, Google Cloud, Google Docs, Apple iCloud, Slack eller Salesforce (dvs. skytjenester med infrastruktur i USA - i en eller annen form). Mange av disse leverandørene selger såkalte "EU/EØS-baserte" skytjenester for å imøtekomme kundenes ønske om lagring i Europa. Da skulle man tro at Schrems II ikke var relevant.

Faktum er imidlertid at – til tross for at skyleverandørene garanterer lagring på europeisk territorium – service og support gjerne vil skje fra USA. I tillegg vil tjenesten som leveres til norske kunder, uansett lagring i Europa, være del av den globale skytjeneste-infrastrukturen til den amerikanske leverandøren.

Siden selskaper basert i USA på denne måten kan/vil ha tilgang til personopplysninger lagret i EU/EØS, og fordi "garantien" for lagring i Europa ikke gjelder hvis det kommer en amerikansk begjæring om utlevering av data, er Schrems II relevant for flertallet av norske virksomheter.

[<generisk_navn>]

fatfinger skrev (21 timer siden):

Å si at dette gjelder "flertallet av norske virksomheter" er i beste fall en overdrivelse, og mest sannsynlig feil. Bruker du en EU/EØS basert skytjeneste er du innenfor GDPR og utenfor Schrems II, selv om tjenesten er "amerikansk".

Dette må du forklare for meg. I denne Digi-saken fra 17. august er nettopp det med lokasjonen av tjenesten omtalt. Mulig jeg feiltolker teksten og kildereferansene, men jeg oppfatter at det er eierskapet som er avgjørende og ikke lokalisering av leveransen. Hovedpoenget er at "Privacy shield" som man har hatt som avtale mellom EU/EØS og USA for å beskytte persondata hos europeiske kunder av amerikanske selskaper er kjent ugyldig gjennom Schrems II-dommen.

[Jarle-bj]

schrems 2 beviser bare det som "alle" burde visst hele veien, nemlig at datautlevering til USA, der USA har jurisdiksjon til å forlange det, har foregått hele veien og vil fortsette med det uavhengig av det juridiske ferniss som Safe Harbor (som falt med schrems-1-rettsaken) og nå Privacy Shield (som nettopp falt med Schrems 2) måtte gi av beskyttelse. Lokasjon av data har ingen betydning, hvem som har tilgang har betydning og hvilke lover de som har tilgang er underlagt.

https://techcrunch.com/2020/08/11/eu-us-privacy-shield-is-dead-long-live-privacy-shield/

https://en.wikipedia.org/wiki/Max_Schrems

 

[evilGuy]

Ja dette bør ikke komme som noen overaskelse på noen.