Med ”Chromebook-sagen” er der lagt pres på virksomhederne og de ansvarlige ledelser. Virksomhederne må se i øjnene, at et mangelfuldt dokumentationsgrundlag kan resultere i et forbud.  Det så vi bl.a. i 2021, da Datatilsynet foretog en undersøgelse af Helsingør Kommunes håndtering af persondata i forbindelse med brugen af Google Workspace. Konsekvensen for Helsingør Kommune blev, at Datatilsynet i sommeren 2022 traf afgørelse om forbud mod fortsat brug af Google Workspace i folkeskolen.

Cloud anvendes af masserne og er nemt anvendeligt for virksomhederne. Det er nu mere end nogensinde før højaktuelt, om virksomheder kan beholde cloud-produkter i deres nuværende form efter ovennævnte sag.

Cloud-løsninger og komplekse vilkår

Virksomheder har længe forsøgt at omkostningsminimere ved at omlægge til cloud, som åbner op for behandling af personoplysninger hos tredjeparter. Cloud-løsninger har fundet sit indpas og kan levere nye og opdaterede applikationer hurtigere og mere effektivt end tidligere.

Stor kompleksitet, omfang og ugennemsigtighed i vilkårene hos de store cloud-leverandører fratager ikke dataansvarlige fra at sikre, at de nødvendige foranstaltninger er på plads.

Kravene til IT-folks og juristers samarbejde om at kortlægge deres teknologiske redskaber bliver stadig mere omfattende, og ved anvendelsen af f.eks. Google Workspace eller andre udbredte løsninger kan det være vanskeligt at følge datastrømmene, som har resulteret i omfattende analyser fra datatilsyn rundt om i Europa. Hvor stiller dette private virksomheders mulighed for at gennemskue konsekvenserne? Private virksomheder har ikke nødvendigvis samme adgang til ressourcer som offentlige organisationer og næppe heller ikke den forhandlingskraft, der skal til for at ændre de store cloud-leverandørers vilkår eller leverancemodeller.

Ledelsens involvering

Man bør som ansvarlig ledelse i både offentlige og private virksomheder overveje involveringen i IT-driften og risikoen for et potentielt forbud mod fortsat drift.

Når man som ledelse modtager et forbud mod at benytte de services, man har bygget sin virksomhed op om, vil et forbud selvsagt være utrolig byrdefuldt. Konsekvenserne kan være uoverskuelige, og hvordan løser man problemet, når man først står i det? Skal man trodse Datatilsynet og fortsætte sin behandling af personoplysninger? Eller kan risikoen mitigeres i det daglige arbejde?

I en digital verden, hvor alle processer i virksomheden bliver behandlet i et IT-miljø, er det essentielt, at ledelsen er med i beslutningsprocessen om, hvilken retning virksomheden skal gå. Med afgørelsen fra Datatilsynet er det vanskeligt for ledelser at sige sig fri for at have et medansvar eller i hvert fald en holdning til, hvilke typer værktøjer der anvendes. Det samme gør sig gældende i forhold til holdningen til krypteringsteknologier, datasikkerhed og andre foranstaltninger, der kan mitigere risici forbundet med behandlingen af persondata, da det kan udledes af Datatilsynets afgørelse, at supplerende tekniske foranstaltninger vægtes højt, især i forbindelse med overførsler af data til tredjeland, som f.eks. USA.

Afgørelsen fra Datatilsynet giver anledning til at få oprettet eller genåbnet sine exitplaner eller strategier for virksomhedens IT-løsninger. For i forbindelse med et forbud er det essentielt, at ledelsen og dermed virksomheden har en plan for, hvorledes produktionen og virksomheden kan fortsætte eller genetableres.

Hvor stiller det ledelsen?

Udsigten, til at Datatilsynet kommer med et forbud til en virksomhed, er ikke længere utænkelig, men er nu en reel risiko. Helsingør Kommune fik et forbud grundet mangelfuld risikovurdering og konsekvensanalyse, men hvem er den næste?

Mange vil nok have en tendens til at lade vurderinger omkring behandlingen af persondata og hvilke IT-platforme, virksomheden skal anvende, være op til jurister og IT-folk, men med Datatilsynets brug af forbud vil denne tilgang næppe være hensigtsmæssig. Et forbud fra Datatilsynet vil få store konsekvenser for enhver virksomhed og ikke blot en kommune som Helsingør. Konsekvensen af et forbud vil være, at virksomheder vil blive berørt på deres produktion, salgsled, mandskab m.m. Et er, at databehandlingen ved brug af komplekse løsninger såsom Google Workspace kan være bekostelige og svære at gennemskue, men cloud-løsninger som Salesforce, SAP og MS Dynamic 365 vil ligeledes kunne rammes, hvis organisationen ikke har styr på sine risikovurderinger, dokumentation og evt. konsekvensanalyser.

I den henseende må det ligge ledelsen nært at stille sige selv nogle af følgende spørgsmål:

• Hvordan håndterer virksomheden et forbud?
• Har virksomheden foretaget den nødvendige og fyldestgørende risikovurdering, og er dokumentationen klar?
• Bør virksomheden anvende cloud?
• Bør der anlægges et beredskab/exitplan, der kan håndtere et forbud?
• Findes der alternativer og ”rene” europæiske løsninger?

Slutteligt bør det iagttages af ledelsen, om privacy og databehandling skal med på virksomhedens strategiplan. Det kan i hvert fald overvejes, om virksomheden som helhed bør tage stilling til, om privacy skal indarbejdes ved ”by design” eller ”by default”. I den forbindelse kan det overvejes, om kryptering, multiparty homomorphic encryption, pseudonymisering eller opsplittet behandling bør være en del af virksomhedens redskaber.

DAHL BoardExcellence® – nyttig viden om bestyrelsesarbejde

Denne artikel er en del af vores DILEMMA-serie, som belyser nogle af de problemstillinger, der kan opstå i et ellers velfungerende samarbejde mellem bestyrelse og direktion. Ordet ”dilemma” stammer fra græsk og udtrykker den situation, at en person skal træffe et valg, typisk mellem to eller flere lige gode eller lige ringe muligheder. Dilemmaer løses som oftest gennem ledelse. Det juridiske regelsæt er ofte ude af stand til at anvise en vej i løsningen af de konflikter, der udspringer heraf.

Har du konkrete spørgsmål til dilemmaet, som vi har behandlet i denne artikel, er du velkommen til at kontakte certificeret IT-advokat Michael Rehling eller Nicolaj Buchhave Pedersen. Har du generelle spørgsmål omhandlende bestyrelsesarbejde, er du altid velkommen til at kontakte en af vores eksperter.