Spesielle problemstillinger

Leverandører av skytjenester har i utgangspunktet noen fordeler i forhold til tradisjonelle leverandører av servertjenester. For eksempel kan skytjenestene gi mer fleksible og integrerte løsninger. Men slike fordeler fører også med seg noen spesielle problemstillinger som den behandlingsansvarlige må ta stilling til:

Sikkerhetskopiering/speiling: Hvordan fungerer dette? Overføres personopplysningene til et annet land for redundans, eksempelvis fra Irland til USA eller fra Tyskland til India? Er en slik redundans i henhold til de avtaler som er inngått? Hvordan behandles personopplysningene etter at de er overført?

Segmentering: Datatilsynet har uttalt at den behandlingsansvarliges personopplysninger ikke skal sammenblandes med personopplysninger fra en annen behandlingsansvarlig. Hvordan håndterer leverandøren dette?

Tilgangsstyring: Hvem hos leverandøren har tilgang til personopplysningene som behandles? Er tilgangsstyring i samsvar med lovpålagte krav og egen internkontroll? Se avsnittet over om risikovurdering og informasjonssikkerhet.

Autorisert og uautorisert bruk: Tar løsningen høyde for registrering av autorisert og uautorisert bruk, i tråd med personopplysningsforskriften § 2-14?

Dokumentasjon: Er løsningen tilstrekkelig dokumentert med hensyn til kontroll fra offentlige myndigheter?

Hvor lagres data? Overføring til tredjeland: Personopplysninger kan ikke uten videre overføres til land utenfor EØS-sonen, men engangsoverføringer kan forhåndsgodkjennes av Datatilsynet. Enkelte land er også godkjent av EU som trygge mottakerstater. Virksomheter som vil overføre personopplysninger til utlandet må følge bestemmelsene i personopplysningsloven kapittel 5 og personopplysningsforskriften kapittel 6. Se også vår artikkel om overføring til utlandet.

Sletting: Blir personopplysningene slettet i «rimelig tid»? Databehandler har ikke noen rett til å behandle personopplysninger etter at det er bedt om sletting fra behandlingsansvarlig.

Bruk til egne formål: Har databehandleren et punkt i avtalen om at data kan brukes til egne formål (for eksempel forbedre egne tjenester)? Virksomheten må sørge for at databehandleravtalen veier tyngst, og at leverandøren ikke har en personvernerklæring som kan overgå denne. Den behandlingsansvarlige skal sørge for at personopplysningene som behandles bare brukes til uttrykkelig angitte formål som er saklig begrunnet i den behandlingsansvarliges virksomhet, slik det står i personopplysningsloven § 11 b.

Underleverandører: Bruker databehandler underleverandører? Alle eventuelle underleverandører skal være kjent og godkjent av virksomheten. Dette relaterer til problemstillingen over om hvor data lagres og om det overføres data til tredjeland.