Den osäkra bron över Atlanten – Del 1: Safe Harbour rasade 2015

Föreställ er att ni bygger hela er digitala vardag på en bro över Atlanten.

Varje dag skickar ni kunduppgifter, medborgardata, e-post, dokument och analysresultat över bron till amerikanska molntjänster. Det känns normalt. Alla gör det. Det finns till och med ett officiellt avtal som säger att det är okej.

Sedan en dag 2015 rasar förtroendet för bron.

Vad var Safe Harbour?

Safe Harbour (eller “säker hamn”) var en överenskommelse mellan EU och USA som trädde i kraft år 2000.

Tanken var enkel: Amerikanska företag kunde självdeklarera att de följde ett antal integritetsprinciper. Då fick europeiska organisationer skicka personuppgifter till dem utan extra krångel.

Det var bekvämt. Det gjorde det möjligt att använda amerikanska e-posttjänster, CRM-system, analysverktyg och molnlagring i stor skala.

Men det fanns ett stort problem som få pratade om öppet.

Snowden, Schrems och uppvaknandet

2013 avslöjade Edward Snowden hur amerikanska underrättelsetjänster samlade in enorma mängder data från internettrafik – också från européer.

En ung österrikisk juriststudent vid namn Max Schrems läste avtalen och ställde en enkel fråga:

Om amerikansk lag tillåter myndigheter att ta del av mina uppgifter i princip hur som helst – hur kan då ett självdeklarationsavtal skydda mig?

Han anmälde Facebooks dataöverföring från Irland till USA. Fallet gick ända upp till EU-domstolen.

I oktober 2015 kom domen. EU-domstolen ogiltigförklarade Safe Harbour.

Varför föll domen?

EU-domstolen sa i princip:

• Amerikansk lagstiftning ger myndigheter för bred tillgång till personuppgifter.
• Det saknas tillräckliga begränsningar och kontroller.
• Européer har inte effektiva möjligheter att få rättelse eller klaga när deras data hamnar hos amerikanska myndigheter.

Kort sagt: Skyddet var inte “väsentligen likvärdigt” med det som EU kräver av sig själva.

Vad betydde det i praktiken?

Plötsligt stod tusentals organisationer utan en giltig grund för att skicka data till vanliga amerikanska tjänster.

Många fortsatte ändå – för vad skulle man annars göra? Men den juridiska osäkerheten var ett faktum.

Offentliga upphandlingar började ställa frågor om var data lagras. Jurister skrev långa PM. IT-chefer fick förklara för ledningen varför “alla andra” plötsligt kunde vara ett problem.

Det var första gången många förstod att digital suveränitet inte bara är en teknisk fråga. Det är en fråga om vem som bestämmer över era data när reglerna ändras.

En enkel liknelse

Tänk er att ni hyr en lokal för er verksamhet.

Hyresvärden lovar att “vi har koll på säkerheten”. Men hyresvärdens land kan när som helst ändra lagen och säga: “Vi har rätt att gå in och titta på allt som finns i lokalen, utan att berätta varför.”

Skulle ni känna er trygga då?

Det är ungefär vad Safe Harbour innebar.

Vad händer nu?

De lovade en bättre, starkare bro. Den kallades Privacy Shield.

Men historien upprepade sig.

I nästa del tittar vi på varför även den andra bron rasade – och vad det säger om att förlita sig på avtal som inte ändrar grundförutsättningarna.

Vill ni veta hur era dataflöden ser ut idag och vilka verktyg som faktiskt kan ersättas med suveräna alternativ?

Boka ett förutsättningslöst möte med oss på Openers. Vi hjälper offentlig sektor, företag och organisationer att kartlägga risker och ta steg mot verklig digital suveränitet.

Läs mer om våra erbjudanden inom compliance och säkerhet eller boka möte direkt.