Kommunal booking-SaaS: GDPR gjør datalokasjon ikke valgfritt

Når en kommune vurderer en ny SaaS-løsning for booking av rom, idrettshaller eller tjenester, havner spørsmålet om datalokasjon gjerne sent i prosessen, etter at demonstrasjoner er gjort og prisene er forhandlet. Det er en risikabel rekkefølge.

For IT-ledere i offentlig sektor er norsk datalokasjon ikke et teknisk detaljspørsmål. Det er et juridisk og politisk krav som påvirker om en løsning i det hele tatt kan tas i bruk.

Hvorfor datalokasjon i Norge er ikke-negotiable

Norske kommuner behandler personopplysninger om sine innbyggere daglig. Bookingdata er ikke nøytrale transaksjoner, de kan inneholde navn, kontaktinformasjon, betalingsdetaljer og indirekte opplysninger om helse eller livssituasjon (for eksempel bestilling av kommunale omsorgsboliger eller tilrettelagte aktivitetstilbud).

Personvernforordningen (GDPR) setter strenge krav til overføring av personopplysninger til tredjeland utenfor EØS. Men selv innenfor EØS finnes gråsoner: En skyplattform med servere i Frankfurt, men morselskap i USA, kan utløse overføring av data til et tredjeland gjennom amerikanske lover som CLOUD Act.

I 2023 kom Datatilsynet med tydelige signaler om at offentlige virksomheter bør vise særlig varsomhet med skybaserte tjenester der datastrømmene ikke er fullt ut kartlagte. Stortingets egne retningslinjer for anskaffelse av skytjenester i offentlig sektor understreker det samme: tjenestene skal fortrinnsvis ha datalagring i Norge eller EØS, og risikoen ved tredjelandsoverføring skal dokumenteres.

For en IT-leder i en norsk kommune er konklusjonen enkel: Kan du ikke dokumentere at dataene forblir i Norge, kan du heller ikke ta løsningen i bruk.

GDPR-krav som ofte glipper i cloud-løsninger

Mange leverandører markedsfører løsningene sine som «GDPR-compliant», men det begrepet sier lite i seg selv. GDPR-compliance er ikke en statisk sertifisering, det er et løpende krav til rutiner, dokumentasjon og teknisk arkitektur.

Her er de tre punktene som oftest svikter:

1. Uklar databehandleravtale

GDPR artikkel 28 krever at det foreligger en skriftlig databehandleravtale mellom kommunen (behandlingsansvarlig) og leverandøren (databehandler). Mange leverandører tilbyr standardiserte vilkår som ikke dekker kommunens spesifikke behandlingsformål, og som inneholder klausuler om videreoverføring til underleverandører i utlandet.

2. Usynlige underleverandørkjeder

En løsning kan ha servere i Norge, men bruke en amerikansk e-postleverandør for varsler, et irsk selskap for betalingsbehandling og en britisk aktør for backup. Hver av disse koblingene er en potensiell overføring av personopplysninger. GDPR krever at kommunen har oversikt over, og samtykke til, alle slike underleverandører.

3. Manglende revisjonslogg

Kommunen er som behandlingsansvarlig forpliktet til å kunne dokumentere hvem som har hatt tilgang til personopplysninger, og når. En løsning uten fullstendig og eksporterbar revisjonslogg gjør dette umulig i praksis.

Digilists infrastruktur: bygget for norsk offentlig sektor

Digilist er utviklet med norsk offentlig sektor som primær målgruppe, og infrastrukturen reflekterer det.

Norsk-basert server: All data lagres på servere fysisk plassert i Norge. Det skjer ingen synkronisering til datasentre i andre land, og det finnes ingen bakenforliggende skyplattform med utenlandsk jurisdiksjon.

Ingen grensekryssende dataflyt: Digilist benytter ikke tredjeparts e-postleverandører, betalingsplattformer eller analyseverktøy som overfører personopplysninger ut av EØS. Varsler sendes via norsk infrastruktur. Det finnes ingen sporings- eller analysekode fra utenlandske plattformer innebygd i løsningen.

Full revisjonslogg: Alle handlinger i systemet, innlogginger, bookinger, endringer, kanselleringer og administrator-operasjoner, loggføres med tidsstempel og bruker-ID. Loggen er søkbar og kan eksporteres i standard format for bruk i interne revisjonsprosesser eller ved forespørsel fra Datatilsynet.

Databehandleravtale klar for signering: Digilist leverer en fullstendig GDPR-tilpasset databehandleravtale som dekker kommunens behandlingsformål, spesifiserer underleverandører og angir klare prosedyrer ved sikkerhetsbrudd.

Asker kommune tok i bruk Digilist for booking av kommunale møterom og fellesarealer. En av de avgjørende faktorene i anskaffelsesprosessen var nettopp muligheten til å dokumentere norsk datalokasjon overfor kommunens personvernombud, uten å måtte innhente tilleggsutredninger eller risikovurderinger for tredjelandsoverføring.

Slik dokumenterer du compliance overfor revisor og ledelse

Som IT-leder er du ansvarlig for at løsningen kan forsvares, ikke bare teknisk, men overfor revisor, innkjøpssjef og politisk ledelse. Her er hva du trenger å ha på plass:

Overfor revisor:

• Signert databehandleravtale med leverandøren
• Liste over underleverandører og deres lokasjon
• Dokumentasjon på at data ikke overføres til tredjeland
• Revisjonslogg som viser hvem som har hatt tilgang til personopplysninger

Overfor innkjøpssjef:

• Bekreftet samsvar med kommunens IKT-strategi og eventuell skyplattform-policy
• Dokumentasjon på at anskaffelsen er gjennomført i tråd med lov om offentlige anskaffelser
• Skriftlig bekreftelse fra leverandøren på datalokasjon

Overfor ledelse og personvernombud:

• Utfylt behandlingsprotokoll (GDPR artikkel 30) for den nye behandlingsaktiviteten
• Risikovurdering (DPIA om nødvendig) som viser at løsningen ikke innebærer uforholdsmessig risiko for de registrerte
• Rutiner for avviksmelding ved eventuell sikkerhetsbrudd

Digilist kan bistå med maler for behandlingsprotokoll og risikovurdering tilpasset kommunal bookingvirksomhet.

Praktisk: hva du må sjekke før go-live

Uavhengig av hvilken løsning du vurderer, bør du gå gjennom denne sjekklisten før kontrakten signeres og systemet tas i bruk:

1. Datalokasjon bekreftet skriftlig, ikke bare i markedsføringen, men i kontrakten og databehandleravtalen
2. Underleverandørliste gjennomgått, alle aktører som håndterer personopplysninger er identifisert og lokalisert
3. Ingen tredjelandsoverføring, bekreftet at det ikke skjer dataoverføring til land utenfor EØS, verken direkte eller via underleverandører
4. Revisjonslogg tilgjengelig, test at du faktisk kan hente ut logg for en gitt periode og bruker
5. Avvikshåndtering dokumentert, leverandøren har skriftlige rutiner for varsling ved sikkerhetsbrudd, med tidsfrister i henhold til GDPR (72 timer)
6. Sletteprosedyrer avklart, hva skjer med data hvis kontrakten avsluttes? Fristen for sletting skal fremgå av databehandleravtalen
7. Personvernombudet involvert, ikke gå live uten at kommunens personvernombud har fått mulighet til å se gjennom dokumentasjonen

Det er fristende å fremskynde implementeringen når løsningen fungerer godt i demo og brukerne er klare til å ta den i bruk. Men en go-live uten dokumentert compliance kan gi alvorlige konsekvenser, både i form av sanksjoner fra Datatilsynet og tap av tillit fra innbyggere og politisk ledelse.

Ta kontakt og se compliance-dokumentasjonen

Digilist er bygget for å gjøre nettopp denne prosessen enklere. Vi kan vise deg infrastruktur-arkitekturen, gå gjennom databehandleravtalen punkt for punkt og gi deg dokumentasjonen du trenger for intern godkjenning.

Ta kontakt med oss, så setter vi opp en gjennomgang av compliance-dokumentasjonen og datalokasjon-arkitekturen tilpasset din kommunes behov. Det tar én time og gir deg grunnlaget for en trygg anskaffelsesbeslutning.