Kan man lagre personopplysninger i utlandet?

Kan europeiske borgeres personopplysninger lagres og/eller behandles utenfor EU?

Tidens elv flyter, mørk og dyp, bærer med seg hemmeligheter om data, om europeiske hjerter, om digitale spor. Et land langt borte, kanskje over havet, kanskje under stjernene, drømmer om å holde våre data trygt.

Hovedpoeng: Adekvatbeslutning. EU-kommisjonen avgjør.

En beslutning, et stempel, et tungt ord; adekvat. Som en vakker melodi, men med strenge toner. 2023 - året da denne beslutningen eksisterer. Et lovverk, et nett av regler, som skal beskytte.

Hvis dette landet, med sine fjell og daler, sine hemmeligheter og sine sanger, får dette stempelet, kan dataene flyte fritt. Som en sommerbris over et hav av informasjon.

• Et land får godkjenning.
• EU bestemmer.
• Data kan overføres trygt.

Et stille håp om beskyttelse, om integritet i digital mørke. Et streif av lys i et stort, uendelig rom. Data, våre data, vår identitet, flyter over landegrenser. Å, denne flyten!

Det er en beslutning, tung som bly, men skinnende som gull. Et håp om trygghet. Europa, du er beskyttet. Eller er du det?

Hovedpoeng: Personopplysninger kan overføres uten ytterligere garantier hvis EU kommisjonen bestemmer at landet har tilstrekkelig beskyttelse.

2023. Året for beslutninger.

Mine egne data, mine egne hemmeligheter, flyter i denne elven av informasjon. En urolig følelse av usikkerhet. Men håpet om et godt utfall, en god beslutning.

Hvilke plikter har en virksomhet som lagrer personopplysninger?

Virksomheters plikter? Okay.

• Ansvarlighet. Full oversikt.
• Tekniske tiltak. Organisatoriske tiltak. Lov må følges.
• Dokumentasjon. At loven følges, må vises.

Tilleggsinfo:

Jeg mistet en gang dokumentasjonen min. Rotet bort alt. Ironisk, ikke sant?

Hva må bedriften gjøre for å kunne outsource lagring og behandling av personopplysninger?

Gjett, outsourcing av databehandling… Hodet mitt spinner litt nå. 2024, og GDPR, den loven der… Må huske det.

• Due diligence!! Altså, sjekke leverandøren skikkelig. Kjenner du til deres sikkerhetsrutiner? Har de ISO 27001-sertifisering? Det er viktig for meg, ja, for oss! Må jeg huske det.

• Avtale, avtale, avtale! Databehandleravtale er nøkkelordet! Presist definert hva de kan og ikke kan gjøre med dataene mine. Rapportering ved dataangrep, det er kritisk. Må være tydelig hvem som har ansvar for hva. For eksempel: Jeg er sjefen for dataene. Jeg husker at min kollega Kari sa at de alltid må ha kontroll.

• Sikkerhet, sikkerhet, sikkerhet! Fysisk sikkerhet hos leverandøren? Tilgangskontroll? Kryptering? Dette er jo standard, eller? Jeg må ha tilgang til deres sikkerhetsdokumentasjon. Sertifiseringer, og sånt. Dette er viktig for vårt rykte, ikke sant?

• Ansvar? Jeg beholder jo det overordnede ansvaret. Det er litt skummelt å tenke på, men det er loven. Jeg må sørge for å ha gode rutiner for oppfølging. 2024, dette er seriøst.

Tenk om noe går galt da, hva skjer? Må planlegge for det. Hele greia er litt stressende, men nødvendig. Må snakke med Lars på IT avdelingen. Han har peiling. Må skrive mail til han etterpå. Husk å spørre om ISO 27001! Det må være et must!

Hva er det viktigste virksomheten må ha før den ønsker å behandle personopplysninger?

Akkurat ja, personopplysninger! Hva må man ha først?

• Samtykke, selvfølgelig.

Tenk, jeg husker da tante Astrid begynte med den strikkebloggen. Masse bilder av folk. Hun spurte aldri skikkelig, bare tok bilder og la ut. Er det greit? Neppe.

Samtykke, ja. Men det er jo ikke bare å si samtykke. Det må liksom... være frivillig. Informert. Spesifikt? Utvetydig! Huff, det er jo et helt prosjekt i seg selv!

• Frivillig
• Informert
• Spesifikt
• Utvetydig

Tenk om alle bare kunne lese tankene mine og vite hva jeg mener? Men det funker jo ikke sånn. Spesielt med personopplysninger. Uff, GDPR...