Artikel top billede

Det kommer dansk cloud-afgørelse til at betyde for dig

Deloitte har set nærmere på Datatilsynets udtalelse om Microsofts Office 365 og giver her et bud på, hvad den kommer til at betyde for cloud-brugere og -leverandører.

Læs også:

Det betyder Datatilsynets Office 365-dom for dig

Dansk it-chef: Vi er stadig ikke i mål med Office 365

Sådan undgår du at bryde dansk lov med data i skyen

"En betinget anerkendelse af Microsofts cloud-løsning."

Sådan vurderer revisionsfirmaet Deloitte den udtalelse om Microsofts Office 365, som Datatilsynet for nylig publicerede.

Det er Charlotte Pedersen og Julie Suhr fra rådgivningsfirmaet, der har nærlæst udtalelsen og i en længere artikel (PDF) analyserer dens betydning for de danske it-chefer og for Microsoft som databehandler.

Deloitte skriver, at de danske virksomheder og myndigheder, som ser store omkostningsfordele ved cloud løsningerne, længe har "stået mellem to kedelige valg:" 

"Enten at tage imod de betingelser de nu kunne få fra de amerikanske leverandører og dermed risikere sikkerhedshændelser og bøder og påtaler fra Datatilsynet, eller at vælge de gammeldags og dyrere løsninger, som overholder den danske lovgivning."

Mere fokus på leverandøren

Persondataloven og sikkerhedsbekendtgørelsen kan vise sig at være en barriere, når danske virksomheder og offentlige myndigheder ønsker at lægge data ud i skyen.

Det kom blandt andet til udtryk, da Odense Kommune ikke kunne få lov til at bruge Google Apps.

Det var også samme problemstilling, der var årsagen til
Datatilsynets udtalelse om, hvordan Microsofts Office 365 spiller sammen med den danske lovgivning for opbevaring af persondata.

Ifølge Deloitte er der dog nu måske sket en afgørende ændring i måden, Datatilsynet udtaler sig om cloud-tjenesterne på.

"I udtalelsen til Odense kommune nævner Datatilsynet slet ikke databehandlers ansvar, og det skyldes muligvis, at Datatilsynet netop havde fokus rettet mod den dataansvarliges forpligtelser, idet det netop var en dataansvarlig, der havde anmodet om selve udtalelsen."

"Den nyeste udtalelse henvender sig derimod mere til Microsoft som databehandler og bærer præg af, at være en overordnet udtalelse mere end en konkret vurdering af den specifikke løsning."

Kan gøre forhandlinger lettere

Det kan ifølge artiklen fra Charlotte Pedersen og Julie Suhr få betydning for både brugere og leverandører af cloud computing, fordi det er en indikation af, at Datatilsynet måske i højere grad end tidligere ser ansvaret som delt mellem den dataansvarlige og databehandleren.

"Hvis Datatilsynet begynder at tildele databehandlere et selvstændig ansvar i deres praksis og uddele sanktioner og udtalelser direkte til cloudleverandøren ved eventuelle overtrædelser, flyttes en del af de lovgivningsmæssige risici over på databehandlernes vægtskål."

"Det vil sandsynligvis gøre cloud-leverandørerne en del lettere at forhandle med, og de vil naturligvis have en større grund til, at optimere sikkerheden i deres løsninger."

Det er dog stadig den dataansvarliges opgave at vurdere, om de databehandleraftaler, der indgås, er i tråd med sikkerhedsbekendtgørelsen.

"En ting er, at leverandøren proklamerer at overholde standardkontrakten, men hvis databehandleraftalen eller sideordnede aftaledokumenter samtidig indeholder konkrete betingelser, der strider direkte imod selv samme standard, må man gå ud fra, at det stadig er den dataansvarlige, der har ansvaret for de konsekvenser, der måtte komme."

Så længe ansvaret for databehandlingen ligger på de dataansvarlige skuldre, vil det være nødvendigt at bruge en hel del ressourcer på leverandørstyring og kontroller, skriver Deloitte. 

Læs hele Deloittes analyse her (PDF).

Læs også:

Det betyder Datatilsynets Office 365-dom for dig

Dansk it-chef: Vi er stadig ikke i mål med Office 365

Sådan undgår du at bryde dansk lov med data i skyen




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Hewlett-Packard ApS
Udvikling og salg af software, hardware, konsulentydelser, outsourcing samt service og support.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Compliance og strategisk it-sikkerhed efter DORA

Finansielle koncerner har i snit 85 sikkerhedsløsninger i drift – men er i snit op til 100 dage om at opdage et igangværende cyberangreb. Ydermere viser øvelser, at det typisk tager 4-6 uger at rense og genetablere sikker drift af centrale systemer efter et stort angreb. Fokus for dagen vil derfor være på henholdsvis governance samt om, hvordan du som it-leder i den finansielle sektor skal kunne håndtere fremtidens cybertrusler og arbejde effektivt med sikkerhed på et strategisk niveau.

04. april 2024 | Læs mere


EA Excellence Day

Hvad er det, der gør it-arkitektens rolle så vigtig? Og hvad er det for udfordringer inden for områder som cloud, netværk og datacentre, som fylder hos nogle af landets bedste it-arkitekter lige nu? Det kan du her høre mere om og blive inspireret af på denne konference, hvor du også får lejlighed til at drøfte dette med ligesindede.

16. april 2024 | Læs mere


IAM - din genvej til højere sikkerhed uden uautoriseret adgang og datatab

På denne dag udforsker vi de nyeste strategier, værktøjer og bedste praksis inden for IAM, med det formål at styrke virksomheders sikkerhedsposition og effektiviteten af deres adgangsstyringssystemer og dermed minimere risikoen for uautoriseret adgang og datatab. Og hvordan man kommer fra at overbevise ledelsen til rent faktisk at implementere IAM?

18. april 2024 | Læs mere