Kunskapskartan
Var modellen körs
En supporttekniker som kan läsa era loggar har fått uppgifterna i sin hand, utan att en enda fil har flyttats.
I avtalet står att lagringen sker inom EU. Det är ett riktigt svar på en fråga som inte var den viktiga.
Den viktiga frågan är var texten läses. Var modellen körs är var beräkningen sker, alltså var er text står i klartext i det ögonblick den behandlas. Det kan vara i leverantörens tjänst över internet, i en driftsmiljö i ett angivet land hos en molnleverantör, i en installation i er egen miljö, eller i en modell på den enskilda datorn. Ort för behandling är inte samma sak som ort för lagring: ett anrop kan beräknas i ett land, loggas i ett annat och felsökas av personal i ett tredje.
Ni ansvarar för behandlingen oavsett var den utförs, och ni ska kunna svara på var den sker, av vem, och under vilken lagstiftning. Åtkomst räcker. En supporttekniker i ett tredjeland som kan läsa era loggar innebär att uppgifterna lämnat EU, också när ingen fil har flyttats.
Kan ni inte svara på frågan har ni ingen kontroll att beskriva, bara ett antagande. Antagandet prövas alltid vid fel tillfälle: när en incident ska anmälas, eller när någon granskar.
Så här går det fel
Kravet i upphandlingen var lagring inom EU. Svaret var ja.
I drift körs anropen i Europa. Felsökningen sköts av ett supportteam på en annan kontinent med läsbehörighet till loggarna, och loggarna innehåller hela prompter. Kravet gällde lagring. Förevisningen visade lagring. Vem som läser loggarna stod i ett underleverantörsled som aldrig efterfrågades, och den förteckningen skrivs först vid en incident två år senare.
Vad det innebär juridiskt
Behandlas personuppgifter utanför EU och EES är det en tredjelandsöverföring som kräver giltig grund och en bedömning av mottagarlandets lagstiftning, och åtkomst på distans räknas som en överföring. Lyder leverantören eller dess moderbolag under lagstiftning som ger en utländsk myndighet rätt att begära ut uppgifter kan avtalet inte hindra det. För sekretessreglerade uppgifter gäller dessutom att utlämnandet till en leverantör kan vara ett röjande, om det inte finns lagstöd eller ett förbehåll.
Det här måste någon bestämma
Vilken sorts uppgift som får behandlas var hänger på informationsklassningen och inte på verktyget. Öppet material, personuppgifter, sekretessreglerade uppgifter och skyddade identiteter kan kräva olika svar, och svaren ska finnas innan någon väljer produkt.
Åtkomst från tredjeland för support och felsökning är ett eget beslut. Det går inte att härleda ur en utfästelse om lagringsort, eftersom support läser utan att en fil flyttas.
En flytt av behandlingen behöver dessutom en namngiven godkännare hos er. Annars sker den som en driftåtgärd hos leverantören, och ingen här blir tillfrågad.