DPF: eSam ger inte grönt ljus för amerikanska molntjänster (nu heller)

eSam släppte i juni ett PM om det väntade adekvansbeslutet (alltså Data Privacy Framework, DPF) mellan EU och USA, samt de nya bestämmelserna runt när man får bryta sekretess.

Nu har också inspelningen av en presentation om detta PM släppts. I augusti hölls nämligen konferensen Hållbar Digitalisering och där presenterades eSams slutsatser. Titeln på eSams presentation är talande, ”Är det grönt för amerikanska molntjänster?”. eSams PM och presentation vänder sig till beslutsfattare och tar upp adekvansbeslutet från i juli och nya sekretessbrytande bestämmelser.
→ Textad video: Är det grönt för amerikanska molntjänster? (Erik Enocksson, ansvarig för säkerhetsfrågor vid eSams kansli)
→ PM: Adekvansbeslut och ny sekretessbrytande bestämmelse - Är det grönt ljus (Pdf, 150 kB)

Gav adekvansbeslutet grönt ljus för amerikanska molntjänster nu?

Det korta svaret om eSams slutsats är i ovan länkad presentation följande:

1. Inget förbehållslöst grönt ljus för amerikanska molntjänster
2. Måste ända bedöma om krav avseende laglighet, säkerhet och lämplighet är uppfyllda
3. Förslaget till sekretessbrytande bestämmelse innebär samma slutsats
4. Viktigt med systematiskt arbete för att göra dessa bedömningar, stor potential för samverkan
5. Fem exempel på aspekter som även fortsättningsvis behöver bedömas:
   1. Digital suveränitet
   2. Dagliga behov i verksamheten
   3. Begränsa riskspridning
   4. Samlad aggregerad information
   5. Dolda säkerhetshot

Att många frågor inom molnområdet hänger ihop gör det extra utmanande. EU:s jobb med ett nytt adekvansbeslut i relation till USA är en del och i Sverige ändras förutsättningarna för röjande av sekretess när både OSL (Offentlighets- och sekretesslagen) och lagen om tystnadsplikt påverkas i den nya sekretessbrytande bestämmelsen som trädde ikraft 1 juli 2023. Syftet har varit att förenkla IT-utkontraktering.

eSams molngrupp har tagit fram stöd i tolkningarna av hur förändringarna förväntas påverka både medlemsorganisationerna egna beslutsprocesser och bedömningar vid myndigheters utkontraktering av IT-tjänster. eSam har fler expertgrupper som bidragit.

Lämplighetsbedömning

Molnfrågan anno sommaren 2023 är komplex har flera perspektiv. Bland annat affärsbehov, juridik, IT-arkitektur och säkerhet. Det är många delar i de lämplighetsbedömningar som myndigheter förväntas göra. eSams molngrupp kommer framöver också att att ta fram en guide för de lämplighetsbedömningar som myndigheterna behöver göra. Något som påbörjas hösten 2023.

En annan talare under Hållbar Digitalisering pratade om lämplighetsbedömningar. Mathias Lindroth, jurist på ACF Legal, se Vilka omständigheter? En genomsökning av förarbetena i jakt på vägledning för lämplighetsbedömning enligt OSL 10:2a (textad video).

eSam har en bra sida där de sammanställer information om ”molnfrågan”, kolla in den:
→ Molnfrågan (eSam)