GDPR og profesjonell messaging: hvorfor de fleste bryter reglene uten å vite det

Dokumentet som reiser lenger enn du tror

En hverdagssituasjon: en skatterådgiver mottar et dokument med klientdata via messaging. En selger videresender et tilbud til en kollega via chat. En lege deler en klinisk rapport med en kollega på samme måte. Ingen tenker to ganger over det. Det er normalt. Det er praktisk. Det er det som gjøres hver dag på ethvert kontor i enhver by i Europa.

Men det dokumentet har i mange tilfeller nettopp reist til en server i USA. Det har blitt lagret – om enn midlertidig, om enn "kryptert i hvile" – i en sky som hverken den profesjonelle eller klienten hans kontrollerer. Det har passert systemer som teknisk kan indeksere metadata knyttet til innholdet. Og den europeiske personvernforordningen har noe ganske klart å si om det.

Hva regelverket krever

GDPR – og i forlengelsen rettspraksis fra EU-domstolen (særlig Schrems II-dommen, C-311/18, fra 2020) – fastslår at personopplysninger om europeiske borgere må være tilstrekkelig beskyttet. Hvis disse dataene forlater Det europeiske økonomiske samarbeidsområde, må den behandlingsansvarlige garantere at mottakeren tilbyr et beskyttelsesnivå som er "i det vesentlige tilsvarende" det europeiske. I praksis betyr det at sending av klientdata via tjenester hvis servere er under amerikansk jurisdiksjon, uten å ha foretatt en konsekvensutredning og implementert supplerende sikkerhetstiltak – standardkontraktsvilkår, ytterligere tekniske tiltak som verifiserbar kryptering osv. – kan utgjøre et brudd på forordningen. Selv om ingen har sagt noe ennå.

Og det dreier seg ikke bare om innholdet i meldingene. Metadata – hvem som sender hva til hvem, når, hvor ofte, hvorfra – er også personopplysninger i henhold til reglene, ifølge gjentatte tolkninger fra Det europeiske personvernrådet (EDPB). En tjeneste som samler inn metadata fra en brukers profesjonelle kommunikasjon, behandler personopplysninger om denne brukerens klienter, uten at disse har kjennskap til det eller har gitt samtykke til slik behandling.

Den gjengse tankegangen – "jeg bruker bare appen til å skrive; appen er ikke en dataleverandør for min klient" – er juridisk feilaktig. Hvis klientens data passerer gjennom en tredjeparts infrastruktur, behandler denne tredjeparten disse dataene. Og hvis vedkommende behandler dem, må det foreligge et rettslig grunnlag, en databehandleravtale og egnede garantier.

Hvem er ansvarlig

Spørsmålet om hvem som bærer det juridiske ansvaret er ikke akademisk. GDPR skiller mellom den behandlingsansvarlige (den som bestemmer hvilke data som behandles og til hva) og databehandleren (den som gjør det materielt på vegne av den ansvarlige). Yrkesutøveren som sender klientdokumenter er den ansvarlige. Leverandøren av meldingsappen er i mange tilfeller i praksis databehandler. Uten en databehandleravtale – og uten de fleste av bestemmelsene som en slik avtale bør inneholde – har den ansvarlige ikke oppfylt sin forpliktelse.

Den milde tolkningen er: "de fleste yrkesutøvere vet ikke dette". Den strenge tolkningen er: "uvitenhet om loven fritar ikke for ansvar". Og tolkningen hos enhver spesialisert personvernadvokat som rådføres herom er generelt den strenge.

For hvem dette er viktig i praksis

For enhver yrkesutøver eller bedrift som håndterer, selv leilighetsvis, personopplysninger om tredjeparter:

• Advokater som mottar dokumentasjon fra klienter (kontrakter, søksmål, erklæringer, formuesrapporter).
• Leger og annet helsepersonell som deler helseopplysninger – som betraktes som særlige kategorier i henhold til art. 9 GDPR, med et forsterket vern –.
• Skatterådgivere og administrative konsulenter som håndterer identifikasjons-, skatte- og bankdata.
• HR-avdelinger som administrerer arbeids- og personaldokumentasjon for ansatte.
• Selgere som mottar kontaktinformasjon og ofte sensitiv forretningsinformasjon fra potensielle kunder og eksisterende kunder.

I alle tilfeller er informasjonen beskyttet av GDPR. I alle tilfeller, i vanlig praksis, passerer denne informasjonen gjennom kanaler hvis jurisdiksjon ikke tillater at de erklæres "i det vesentlige tilsvarende" det europeiske rammeverket uten ytterligere sikkerhetstiltak. Ikke av ond vilje. Av vane. Og på grunn av en teknologisk infrastruktur som har prioritert bekvemmelighet over overholdelse i femten år.

Argumentet "alle andre gjør det"

Man bør foregripe den vanligste innvendingen: "hvis alle gjør det, kan det ikke være et reelt problem". Det er et fullt forståelig argument, og det har juridisk sett ingen kraft. Det faktum at en praksis er utbredt, gjør den ikke i samsvar med forordningen. Datatilsynet har de siste årene sanksjonert flere selskaper nettopp for messaging-bruk som virket harmløs inntil inspeksjonstidspunktet.

Den nåværende operative virkeligheten er at risikoen i form av sannsynlighet er lav – det er svært sjelden at et tilsyn auditerer de spesifikke messaging-verktøyene i et mellomstort kontor – men høy i form av konsekvens dersom den materialiserer seg. Det er en risiko som de fleste påtar seg uten å vite at de påtar seg den. Det vil si uten å ha vurdert om verktøyet som brukes er på linje med den behandlingsansvarliges juridiske ansvar.

Det digitale sporet er retroaktivt

Det er et andre argument, nesten symmetrisk til det forrige, som vi bør foregripe: "hvis dette var et alvorlig problem, hadde myndighetene allerede begynt å inspisere det". Den nåværende observerte virkeligheten gir det overfladisk rett. Inspeksjoner for feilaktig bruk av messaging i små bedrifter og spesielt hos selvstendig næringsdrivende er i dag nesten ikke-eksisterende – ikke fordi adferden er tillatt, men fordi myndighetene, i Norge og i store deler av EU, mangler de nødvendige menneskelige ressursene til å auditere millioner av pliktige.

Det er det den i dag observerte praksisen antyder. Det er ikke det det neste tiåret antyder. To faktorer konvergerer for å endre balansen innen relativt korte tidsrammer.

For det første: det digitale sporet er retroaktivt. Hver melding sendt via en applikasjon med en sentral server forblir registrert – i det minste i metadata – i en infrastruktur som består. Det som ble sendt for seks måneder siden er teknisk sett fortsatt auditerbart i dag. Det som sendes i dag vil fortsatt være auditerbart om fem år. Fraværet av en nåværende inspeksjon er ingen garanti for fraværet av en fremtidig inspeksjon. Det er en utsettelse av vurderingen, ikke et fritak.

For det andre: den administrative inspeksjonskapasiteten vil vokse akselerert. Introduksjonen av verktøy med kunstig intelligens i inspeksjonsprosesser eliminerer den menneskelige flaskehalsen som hittil har beskyttet – i praksis, ikke juridisk – små bedrifter og selvstendig næringsdrivende. Et system som er i stand til å kryssjekke massive metadata, skattemeldinger, enhetsregistre og varslingsplikter om brudd, krever ikke inspektører: det krever tilgang. Og tilgangen, via pålegg til leverandører med juridisk tilstedeværelse i EU, er fullt ut gjennomførbar under dagens lovverk.

I tillegg kommer en mindre teknisk, men like avgjørende faktor: de europeiske statene er i en prosess med vedvarende stigende gjeldsbyrde og trenger, nesten uten unntak, å utvide sitt skattegrunnlag. Den administrative sanksjonen som følger av manglende overholdelse av GDPR er i rent fiskale termer en voksende og politisk bekvem inntektskilde. Det er ikke gjetning: det er en observerbar trend i de europeiske datatilsynenes årsrapporter, der det totale volumet av sanksjoner har økt i flere påfølgende regnskapsår.

Den operative konklusjonen for den behandlingsansvarlige er ikke alarmistisk, men nøktern: beslutningen om hvordan kommunikasjon med klienter håndteres i dag vurderes opp mot inspeksjonskapasiteten i det året inspeksjonen finner sted, ikke mot den nåværende. Og den kapasiteten vil innen en rimelig tidshorisont være vesentlig annerledes enn i dag. Den som begynner å gjøre ting riktig i dag vil ikke bare være i orden fra og med i dag: sporet som genereres fra dette øyeblikket vil være i samsvar med reglene, og det beskytter retroaktivt den perioden som kommer. Den som fortsetter som hittil vil akkumulere et auditerbart spor hvis overholdelse vil bli vurdert mot standardene – og ressursene – i årene som kommer.

Hva som endres med en annen arkitektur

Det finnes tekniske alternativer der data ikke lagres i tredjeparts infrastruktur, men i stedet reiser direkte fra senderens enhet til mottakerens. I den arkitekturen avhenger overholdelse av GDPR med hensyn til internasjonale overføringer ikke av standardkontraktsvilkår, leverandørens gode vilje eller fremtidige revisjoner. Den avhenger av at det ikke skjer noen overføring. Og det som ikke eksisterer, kan ikke brytes.

Dette er ikke en eksklusiv løsning eller den eneste mulige. Men den er strukturelt annerledes, og regeloverholdelse opphører å være et prosedyremessig vedlegg og blir en direkte konsekvens av designet. For en yrkesutøver som tar sitt ansvar som behandlingsansvarlig på alvor, spiller den forskjellen en rolle.

---

Neste utgave av Cuadernos vil i detalj analysere Schrems II-dommen og dens praktiske konsekvenser for små og mellomstore bedrifter som er avhengige av amerikanske skytjenester, fem år etter publiseringen.