30 sep 2011 12:25

Datainspektionen varnar för molntjänster

Kundernas förtroende för molntjänster och deras hantering av personuppgifter är för stor. Det konstaterar Datainspektionen efter att ha gjort en granskning av moltjänster. Syftet med myndighetens granskning har varit att klargöra vilka krav personuppgiftslagen ställer på organisationer som använder molntjänster.

”Vår granskning pekar på att organisationer som anlitar molntjänster tycks ha för stor tillit till hur molnleverantören hanterar personuppgifter och för dålig kunskap om hur uppgifterna i själva verket hanteras. Det går att lägga ut hanteringen av sina personuppgifter på ett annat företag, men det går inte att avsäga sig ansvaret för personuppgifterna och hur dessa hanteras. Här ser vi brister”, säger Datainspektionens generaldirektör Göran Gräslund i en presskommentar.

Bland bristerna som Datainspektionen upptäckt finns avtal som inte tydliggör att svensk lag gäller, avtal som inte reglerar att personuppgifterna bara får användas för de ändamål som köparen bestämt, oklarhet om vilka underleverantörer som är inblandade, oklarhet om vad som händer med personuppgifterna när avtalet upphör och oklarhet om kundens möjlighet att följa upp att leverantören lever upp till avtalsvillkoren.

”Som kund vet man inte var servrarna står och data lagras, bara att de finns någonstans i leverantörens ’moln’. Då är det viktigt att man har tillräckliga garantier för att molnleverantörerna vidtar de säkerhetsåtgärder som behövs för att skydda uppgifterna. Otydliga avtal och skrivningar som gör det möjligt för molnleverantören att ensidigt ändra villkoren medför stora risker eftersom kunden, den ansvarige, då inte kan veta om kraven i personuppgiftslagen är uppfyllda”, säger Göran Gräslund.

Datainspektionen har nu tagit fram en vägledning om molntjänster som kan laddas hem här: http://www.datainspektionen.se/Documents/faktablad-molntjanster.pdf