«Datamaskinen» - et datasenter

Transkript

1 Skytjenester

2 Aktualitet - mål Hvilke særlige juridiske utfordringer får vi dersom en virksomhet skal ta i bruk skytjenester vs. tradisjonelle løsninger («on premiss») Juridiske krav til bruk av skytjenester Kontraktsregulering av skytjenester Min bakgrunn: Jurist i 1994 og «IT-advokat» fra 1997 Både kunde- og leverandørsiden, små og store prosjekter, i alle faser fra avtaleinngåelse, prosjektoppfølging, krisestadiet med reforhandling, samt krav om heving og erstatning «Sky-tjenester» fra Telecomputing ASP til Office 365 og Apper

3 Hva tjenestemodeller Skytjenster (cloud computing) er en IT-leveransemodell som tilbyr en (brukervennlig) internettbasert on demand-tilgang til felles ressurser som raskt og enkelt kan tilgjengeliggjøres med lite behov for ekstrainnsats eller leverandørinvolvering. Hvilke ressurser? Ulike tjeneste- og leveransemodeller IaaS: Infrastruktur som tjeneste (Infrastructure as a Service) PaaS: Plattform som tjeneste (Platform as a Service) SaaS: Programvare som tjeneste (Software as a Service) Public Cloud: For alle kunder Private Cloud: For en kunde eller en definert kundegruppe Hybrid Cloud: En «blanding» av modeller og ev. on premiss

4 «Datamaskinen» - et datasenter

5 Flere av skytjenestenes sentrale egenskaper gir juridiske utfordringer All in one» leveranse tilgjengelig via internett (særlig public SaaS) Standard applikasjon med hyppige (?) automatiske (?) oppdateringer Hardware med operativsystem, middelware og ev. integrasjonsverktøy Sikkerhet og drift Leie/abonnement (ikke evigvarende bruksrett) Eskalerbar Overføring med lagring og prosessering av data på flere steder, i Norge, EU eller tredje land, ofte delt med flere Standard avtale uten (særlig) forhandlingsmulighet Tilknyttede tjenester, som leveres av andre Oppsett og konfigurering Konvertering/datamigrering Integrasjoner/grensesnitt med andre systemer Tilpasninger/modifikasjoner Brukerstøtte og opplæring

6 Lovverk og avtaler som regulerer leveransene fra leverandøren(e) Ingen særlig lov eller forskrift Avtaleloven 36 mot kvalifisert urimelige avtaler Noen krav til leverandørens plikter i EUs personvernforordning Ulovfestet kontraktsrett, bransjepraksis og rettspraksis Indirekte lov-/forskriftskrav basert på kundens behov for bruk? Sentralt med avtaleregulering Avtale om kjøp av SaaS-tjenester fra IKT Norge Avtale om løpende tjenestekjøp (SSA-L) fra Difi Skytjenesteavtalen fra Dataforeningen («integrasjonsavtale») Databehandleravtalemaler fra Datatilsynet og EU Skyleverandørenes egne standardkontrakter - ofte «vektet» og sjelden fokus på implementeringen Husk uansett avtale: Forholdet mellom leverandør/underleverandør/ tredjepart - og de ulike betingelsene

7 Vurderinger av juridiske krav ved valg av skytjeneste Ansvaret ligger hos virksomheten (kunden) Kan ikke overføres til leverandøren Myndigheter godkjenner ikke en løsning / tjeneste som sådan Sertifisering av leverandøren / tjenesten er ikke i seg selv nok Hva avgjør hvilke krav virksomheten må forholde deg til? Type virksomhet Hvilke typer/kategorier opplysninger tjenesten skal benyttes til Konkret kartlegging og vurderinger! Bør gjøres og dokumenteres før valg av leverandør og tjeneste, og gjenspeiles i kontrakten Kan medføre behov for å gjøre noen justeringer i hvordan tjenestene var tenkt brukt, endre/eller innføre noe retningslinjer, opplæring og kontroller

8 Hva bør «vanlig» privat virksomhet vurdere? Lovkrav til oppbevaringssted for regnskapsmateriale (bokføringsloven, bokføringsforskriften og oppbevaringsforskriften) En del lovkrav til personopplysninger (personopplysningsloven med forskrift og ekomloven, fra mai 2018 EUs personvernforordning) Avtaleforpliktelser ifht. konfidensialitet m Interne krav / policy Eksponering av kundeopplysninger og andre bedriftshjemligheter Krav om balanserte avtaler, leverandørbindinger mv Særlig virksomheter: Organ underlagt arkivloven, forvaltningsorgan, leverandører av sikkerhetsgradert anskaffelser til forvaltningsorgan (sikkerhetsloven), bank og finanssektoren (IKT-forskriften, finanstilsynsloven), inkassoforetak, forsyningssektoren, helseopplysninger (helseregisterloven og helsepersonelloven).

9 Regnskapsmateriale i skyen Regnskapsmateriale må oppbevares i Norden, og være tilgjengelig i lesbar form og skal kunne skrives ut på papir fra terminal el i Norge i hele oppbevaringsperioden. Oppbevaring utenfor Norge krever skriftlig melding til Skattedirektoratet. Få unntak. Kan få tillatelse fra Skatteetaten konsern Mulig løsning: Leverandørene etablerer skyer i Norden Kopi i Norge/Norden med tilsv. oppbevaringsplikt min. «en gang i året» etter at årsregnskapet er avlagt, inkl. applikasjonen Reglene blir endret? SAF-T vil dempe behovet, og dermed kravet?

10 Personvern i skyen Hvilke typer personopplysninger ønsker du å behandle og hvordan? Kartlegging m/dokumentasjon av de ulike typene av opplysninger og formålet med behandlingen, feks pr. tjeneste del av internkontrollen Personopplysninger: Alle opplysninger og vurderinger som direkte eller indirekte kan knyttes til en enkeltperson. Eks. navn, adresse, telefonnummer, e-postadresse, bilnummer, bilder, fingeravtrykk, fødselsnummer, loggdata, beacons, IP-adresser, webbrowsere, mv. Også krypterte og pseudonymiserte. Ikke cookies (?) Behandling: Enhver bruk av personopplysninger, slik som innsamling, lagring, sammenstilling, overføring, utlevering mv. Sensitiv personopplysninger iht. pol: Opplysninger om rase, straffe-, helse-, seksuelle forhold, fagforeningsmedlemskap Særlige typer personopplysninger: Fødselsnummer, kameraovervåkning, annet som anses konfidensielt

11 Personopplysninger - risikovurdering Krav om virksomhetens dokumenterte risikovurdering av tjenesten del av virksomhetens internkontrollsystem Bra om leverandøren er sertifisert, men ikke tilstrekkelig Risiko varierer ifht datatype, og derfor må de aktuelle data identifiseres Kan være av avgjørende betydning om personopplysningene er sensitive Risiko vurderes i forhold til sannsynlighet for at en hendelse inntrer og konsekvenser dersom det skjer Hva er akseptabel risiko ifht behov for konfidensialitet (sikre at kun autoriserte brukere har tilgang), integritet (hindre uautoriserte endringer og sporbarhet) og tilgjengelighet (sikre at dataene er tilgjengelig ved behov) Dokumentere vurderingene skriftlig Gjør ev. endringer i rutiner, maler, arbeidsprosesser, og ev. DB-avtalen Revisjoner jevnlig, og ved endringer i tjenesten eller endringer i bruken

12 Personopplysninger - behandlingssted Vurder gjeldende begrensninger for hvor virksomheten kan behandle personopplysningene Husk at behandling ikke bare er lagring, og at du må vurdere både leverandør og underleverandør. Hvor befinner de ansatte seg? EU likestilles med Norge ifht. behandling av personopplysninger Noen EU godkjente land: USA: Privacy Shield erstatter Safe Harbor. Liste over sertifiserte: Ellers kreves overføringsgrunnlag, som f.eks. Standard EU databehandleravtale for overføring til 3.land m/varslingsplikt til DT

13 Personopplysninger - databehandleravtale Leverandører av skytjenester er databehandlere (DB) Krav om avtale som regulerer DBs behandling av personopplysningene, også om skyen bare ligger i Norge: Formålet med behandlingen Hvilke type data som leverandøren har tilgang til / skal behandle Sikkerhetskrav: Eks: DB skal oppfylle krav til sikkerhet, dokumentasjon, revisjon og avviksmelding iht. pol og pof kap 2 Hvor dataene behandles. Regler v/lokasjonsbytte. Navn på underleverandør(er). Underleverandørbytte. Bestemmelser om varighet og opphør, inkl. håndtering ved opphør Datatilsynet har en malavtale iht. dagens krav for behandling i Norge/EU

14 Melde-/konsesjonsplikt Utgangspunkt som for «on premiss»: Meldeplikt 30 dager før behandlingen starter - enkelt skjema Mange unntak, for eksempel: «Ordinær» egen behandling av opplysninger om kunder, abonnent, leverandører og ansatte for å oppfylle en avtale Men meldeplikt dersom du skal sende reklame til egne kunder Konsesjonskrav for sensitive personopplysninger som ikke er avgitt uoppfordret Sky hvor leverandøren får tilgang fra 3.land (ikke EU godkjente land/ Privacy Shield): Varslingsplikt til Datatilsynet ved bruk av st. EU databehandleravtale Ellers etter søkning v/binding Corporate Rules og konkret søknad

15 Huskepunkter - leverandøravtalen Spesifikasjon mv Kunden må vurdere sine krav mht. funksjonalitet, tilgjengelighet, responstid mv Mulighet for konfigurering og ev. tilpasninger Finnes det garantier med konsekvenser vedr. responstid, oppetid og tilgjengelighet, ev. tidskrav for feilretting? Når på døgnet? Over hvilken måleperiode? Hva er målepunktet? Hva er unntakene? Når er vedlikeholdsvindu? Varsel før planlagt nedetid? Mulighet til å påvirke? Ofte «as is» men med mulighet for Prøveperiode og rapporter Endringer i tjenesten: Har alle kundene hele tiden samme «versjonen», eller kan kunden velge om / når man vil oppgradere?

16 Huskepunkter - leverandøravtalen Bruk av opplysninger og sikkerhet Leverandørens rett til å bruke dine opplysninger Fysisk sikring, tilgangskontroll og drift Sikkerhetsdokumentasjon og revisjonsrapport Prising Vanskelig å forstå mekanismene. Endringer i bruk, omfang mv - eskalerbarhet begge veier? Sanksjoner Hva gir leverandøren rett til å stenge kunden ute fra tjenesten - ofte mye Hva gir kunden exit rett - ofte lite Hvilke økonomiske tap kan kunden kreve erstattet ofte ingen aktuelle tap, utover ev. en liten nedetidskompensasjon

17 Huskepunkter - leverandøravtalen Avvikling Bindingsperiode Hvordan og på hvilket format kan kunden få tilgang til sine data. Sml. trad. lisens hvor kunden ofte kan bruke gammel lisens for oppslag i historiske data Leverandøren bør ha konkretisert plikt til bistand ved leverandørbytte. Sletting av data ved opphør: Både viktig at data slettes betryggende, og at data ikke slettes for tidlig Konkurs eller vesentlig mislighold Får du dataene dine tidsnok og kan du bruke de uten «resten av tjenesten»? Hvordan fortsette når «programdelen» plutselig blir borte? Noe sikkerhet: Avtalefest en rett til å få utlevert dataene på et definert elektronisk format, og benytt dette jevnlig

18 Veiledere om skytjenester mv. Datatilsynet: pdf Nordisk ministerråd: EU Art. 29-gruppen: Dataforeningen: Danske IT advokater og Dansk IT: Nasjonal strategi for bruk av skytjenester:

19 Takk for oppmerksomheten! Kontaktdetaljer: Grete F. Stillum - Brækhus Dege Advokatfirma DA Web: Epost: gfs@bd.no Mobil: