Var datan får ligga

Ett besked om att lagringen sker i Sverige är ofta sant. Det säger ingenting om vem som kan logga in och läsa.

Var datan får ligga är tre frågor. Var uppgifterna lagras. Vem som kan komma åt dem, oavsett var de ligger. Och under vilken rättsordning den part står som äger och driver tjänsten. Svaren är oberoende av varandra.

En lösning är sällan en sak. Gränssnittet, dokumentlagringen, sökindexet, loggarna och själva modellanropet kan ligga på fem ställen hos tre parter.

En utfästelse om europeisk hantering gäller de delar den som ger den råder över. Ett system kan driftas inom Europa medan modellanropen går vidare till en tjänst utanför. Utfästelsen är då punkterad utan att någon har sagt något osant: den handlade om plattformen och inte om modellen.

Kryptering rättar inte det. Den skyddar mot den som saknar nycklarna. Håller leverantören nycklarna skyddar den inte mot leverantören.

Så här går det fel

Ett skallkrav lyder att uppgifterna ska hanteras inom Europa. Anbudet svarar ja och hänvisar till en driftsmiljö inom EU. Kravet bockas av.

Lösningen ligger där den ska. Men varje fråga en handläggare ställer skickas vidare till en modelltjänst utanför, eftersom den delen aldrig omfattades av utfästelsen. Kravet angav inte vilken del av lösningen det gällde, så det fanns ingenting att åberopa, och ingen hos er kan svara på vad som lämnat landet under driftmånaderna.

Vad det innebär juridiskt

Ansvaret följer uppgiften och inte lagringsplatsen. Ni ska kunna redovisa varje biträde och underbiträde som lagrar era uppgifter, och ett underbiträde som tillkommit utan ert godkännande gör er registerförteckning felaktig utan att någon hos er märker det. Ni ska dessutom kunna nå uppgifterna själva. En begäran om registerutdrag och ett utlämnande av allmän handling har frister som gäller er, och kan ni bara nå era egna uppgifter genom att beställa ett utdrag av leverantören är fristen inte er att hålla.

Det här måste någon bestämma

Var gränsen går för varje uppgiftsslag ni hanterar. Beslutet ska vara fattat innan någon jämför produkter.

Vad ni kräver bevis för och vad ni godtar som utfästelse. En utfästelse som inte anger vilken del av lösningen den gäller täcker ingenting och går inte att åberopa när den brister.

Och om ni godtar att era uppgifter ligger hos en part vars yttersta ägare står under en lagstiftning som kan tvinga fram ett utlämnande. Det är ett beslut om vilken risk ni tar, inte en teknisk fråga, och det ska fattas av någon som får fatta det.