Spørgsmål og svar om cloud

Nej. Du skal som den dataansvarlige have overblik over hele leverandørkæden og de behandlinger, der foregår.

Nej. Du skal som den dataansvarlige have et retligt grundlag for at videregive oplysningerne, ligesom du skal påse, at den, du videregiver til, lovligt kan behandle oplysningerne.

Hvis du har lavet en risikovurdering for dine behandlingsaktiviteter, og disse aktiviteter ikke ændres væsentligt som følge af din brug af cloudservices, kan den oprindelige vurdering være nok. Generelt vil behandlingsaktiviteterne og måden, som behandlingerne udføres på, dog typisk ændre sig, hvilket vil nødvendiggøre en fornyet risikovurdering.

Det er ikke i sig selv diskvalificerende at benytte en standardydelse på baggrund af en standardiseret aftale. Det væsentlige er, om ydelsen og aftalen lever op til de krav, du som den dataansvarlige bør stille. Hvis dine krav kan opfyldes med standardydelsen og -aftalen, er dette ikke i sig selv en hindring. Det betyder dog også, at der kan være services, som du er nødt til at fravælge, hvis ydelsen og aftalen ikke lever op til de krav, du mener er passende.

Nej. Som dataansvarlig er du forpligtet til at påse, at beskyttelsesniveauet i tredjelandet i det væsentlige svarer til niveauet i EU/EØS, før du overfører oplysninger. Det kan betyde, at du – i tillæg til standardkontrakten – skal træffe supplerende foranstaltninger.

Jo. Enhver behandling i tredjeland udgør en overførsel. En se-adgang er også en behandling – og dermed overførsel – i databeskyttelsesforordningens forstand.

Måske. Hvis cloudleverandøren – enten ved tillægsydelser eller som service eller support af sin egen infrastruktur – kan tilgå oplysningerne fra et tredjeland, skal du fortsat iagttage reglerne om tredjelandsoverførsler.

Hvis din dataimportør og/eller de oplysninger, du ønsker at overføre, er omfattet af bl.a. FISA 702, er det meget vanskeligt at overføre oplysninger i klartekst til USA, dvs. uden at træffe supplerende foranstaltninger. Hvis du objektivt kan godtgøre, at den problematiske lovgivning, herunder fx FISA 702, ikke i praksis vil blive anvendt på oplysningerne, der skal overføres, kan det være muligt. Derudover kan du i visse tilfælde og i særlige situationer gøre undtagelse fra reglerne om tredjelandsoverførsler.

Ja, det kan man godt. Selv om en leverandør er omfattet af amerikansk lovgivning, der kan medføre udlevering af oplysninger (fx US CLOUD Act), kan man – hvis det er aftalt, og man er betrygget i, at udbyderen vil overholde gældende EU-ret – godt benytte den pågældende leverandør.

Nej. Du skal foretage en vurdering af risikoen for den registreredes rettigheder, og du skal være betrygget i, at leverandøren vil overholde gældende EU-ret, før du kan benytte en leverandør, der er omfattet af sådanne lovregler.