Personuppgifter i molntjänster - ansvarsreglering enligt GDPR

Abstract

In an ever more digital world, an increasing number of organizations chose, for various reasons, to move their data from local servers and into the cloud - including personal data.
Services most commonly thought of as Cloud services are Dropbox, Share-point and ICloud, but there are a vast number of different Cloud services and variants to choose from - some of which will be covered in the essay, along with giving a definition of Cloud services and the judicial responsibilities that follow such services.
In short, Cloud services store data on remote servers, accessible anywhere with an internet connection. As opposed to working locally on your company servers or laptop, you buy this external IT-resource as a service, letting you store and access information with the Internet as your platform.
This essay covers and explains the legal responsibilities under the new General Data Protection Regulation (GDPR), between suppliers of Cloud services and their customers when storing and processing personal data in the Cloud. The GDPR is directly applicable in every EU country, from 25th of May 2018 and onwards, and forms the legal grounds for processing personal data concerning EU citizens and EU visitors.
The essay also covers various variants and functions of a Cloud service, with the corresponding benefits and disadvantages. A big benefit from using Cloud services is outsourcing data storage and processing to companies more focused on IT and security than the customers organization (and removing some of the associated cost). The added benefits and cost cuts do, however, come with legal risks and demands.
Cloud services always, at a minimum, involve two parties. The parties need to make clear their respective responsibilities to the data subjects (and supervisory authorities), under GDPR by formal contract. The details of such a contract and their meaning will be further discussed in the essay.

Abstract (Swedish)

I en värld där allt mer och mer blir digitaliserat finns det en stor användargrupp som väljer, av olika anledningar, att förflytta sin behandling av data, både persondata och annan form av data, från det lokala datacentret till en molntjänst.

Molntjänster i dagligt tal förknippas ofta med tjänster såsom Dropbox, Share-point och Icloud - molntjänster kan dock vara mycket mer än så och tekniskt komplexa varianter finns, vilket kommer att redogöras för i uppsatsen. Vad en molntjänst är samt hur det juridiska ansvaret regleras kommer också redogöras för.

Kortfattat innebär en molntjänst att du arbetar mot servrar över internet och inte lokalt på din dator, en extern IT-resurs som företag köper in som en tjänst - en teknik för att lagra information genom internet som plattform.

Uppsatsen redogör för de ansvarsregleringar som krävs gällande personuppgiftsbehandling i molntjänster mellan avtalsparterna, utifrån dataskyddsförordningen (GDPR). Dataskyddsförordningen är direkt tillämplig som lag i samtliga EU:s medlemsländer, från och med 25 maj 2018, och utgör efter detta datum grunden för personuppgiftsbehandling inom hela EU. Utifrån denna lagstiftning fokuseras det i denna uppsats på molntjänster, en digital produkt som i många fall är en komponent i behandling av personuppgifter.

I uppsatsen beskrivs även molntjänsters funktioner och egenskaper. Det finns flera för- och nackdelar med molntjänster. En fördel är att företag som specialiserar sig på lagring, backup och säker hantering av data kan ta över serverfunktionen hos många företag som inte har egen IT-kompetens. Det är således praktiskt att använda molntjänster, men det finns säkerhetsrisker och juridiska regleringar som behöver tas hänsyn till.

Vid användning av molntjänster finns det alltid flera parter inblandade. Det finns åtminstone alltid en kund och en leverantör. Dessa parter intar huvudrollerna i molntjänstavtalet och därför är relationen mellan dem i centrum när det gäller personuppgiftsbehandling i molntjänster. För att reglera ansvaret för personuppgifterna mellan parterna och sätta ramar för parternas agerande uppställs krav i GDPR på att ansvaret ska formaliseras. Hur ansvarsfördelningen ska se ut och hur detta ska regleras i enlighet med GDPR, presenteras i uppsatsen.

• author: Ahlesten, Julianne
• supervisor: Emma Ahlm
• organization: Department of Law; Faculty of Law
• course: LAGF03 20181
• year: 2018
• type: M2 - Bachelor Degree
• subject: Law and Political Science
• keywords: Dataskyddsförordningen, GDPR, molntjänster, personuppgiftsbehandling, personuppgiftsbiträdesavtal, dataskydd, EU-rätt
• language: Swedish
• id: 8941640
• date added to LUP: 2018-07-15 13:31:45
• date last changed: 2018-07-15 13:31:45