Chef for Digitalisering og Forretningsudvikling Jens Kjellerup Ballerup Kommune mener, at EU-domstolens afgørelse om Schrems II har sat en ny retning for informationssikkerheden, som påvirker kommunernes muligheder for at opfylde de grundlæggende målsætninger om borgernes rettigheder ved at bruge kommunale dataservices.
“Informationssikkerheden er den vigtigste dagsorden inden for digitalisering, fordi myndighederens omgang med data sætter barren for borgernes tillid til det offentlige. Tillid er svært at bygge op, men kan hurtigt brydes ned igen,” siger chef for Digitalisering og Forretningsudvikling Jens Kjellerup, Ballerup Kommune.
Børne- og undervisningsministeriet gennemfører årligt trivselsmålinger på skolerne, som ministeriet sagde ikke ville blive brugt til at fortælle om den enkelte elevs trivsel. Men målingerne landede i kommunerne, som derefter kontaktede forældrene til de børn med de dårligste tal. Så kom støjen.
“Når vi laver sådan noget er det helt klart, at befolkningen mister tillid til myndighederne. For borgerne vil gerne have de digitale services, men vil også gerne beskytte deres privatliv, så kommunerne ikke bruger data til at mase sig ind på dem eller ved at misbruge deres personlige data”.
“Som kommune skal vi være opmærksomme på, at vi har magt over borgerne og lovgivningen bag os. Det er helt nødvendigt, at vi træder forsigtigt. Det har vi længe haft inde på radaren i Ballerup Kommune. Ikke forstået sådan, at vi ikke digitaliserer. Vi digitaliserer rigtig meget og har mange gevinster med mange borgerrettede services, som borgerne bruger rigtig meget. Men i omgangen med data om borgernes private oplysninger, er vi meget omhyggelige med at holde os på den rigtige side af loven,” siger Jens Kjellerup.
Jens Kjellerup mener, at informationssikkerheden og tillidsdagsordenen er de helt grundlæggende vilkår i digitaliseringen i kommunerne for at kunne sikre borgernes rettigheder fremover.
“Hvis borgerne ikke har tilliden til de offentlige myndigheder, vil de lade være med at give data eller afgive forkerte data. I begge tilfælde har vi ikke noget at digitalisere med. Så kan vi lige så godt slukke digitaliseringsmaskinen. Sikkerhed og borgernes tillid til os er i dag de vigtigste dagsordener,” siger Jens Kjellerup.
Skillevej
Effekterne af EU-domstolens Schrems II afgørelse fra 16. juli 2020 er nu ved at sætte sig i det offentlige digitale landskab, både blandt kunder og leverandører. Jens Kjellerup mener, at kommunerne står ved en skillevej.
“Borgerne, som bruger de digitale services i kommunerne, kan ikke skelne mellem de mange løsninger, hvor data håndteres. Vi kommer som kommuner til at træffe nogle valg i de kommende år. Kommunerne skal leve op til lovgivningen. Min holdning er, at de leverandører, som leverer til kommunerne, skal være forpligtet til at lægge data i europæiske datacentre. Løsninger, der ukritisk er placeret på amerikansk ejede cloudtjenester, er i strid med Schrems-II dommen. Hvis kommunerne er på kanten af loven på den måde, risikerer vi at tabe borgernes tillid til digitaliseringen,” siger Jens Kjellerup.
“Eksempelvis bruger vi ikke Microsoft Office 365, fordi hvis vi gjorde måtte vi ikke sende mails med personoplysninger som indhold - heller ikke internt i organisationen. Office365 kører i Microsofts cloud og datacentre, som er ejet af amerikanske leverandører, om som er forpligtet af amerikansk lovgivning om at udlevere data til amerikanske myndigheder og domstole uanset hvor datacentrene er placeret i verden. Nogle af lovene pålægger cloudleverandørerne at de ikke må ikke at oplyse til kunden, at de har udleveret data til myndighederne. Så grundlæggende ved vi godt, at schrems II dommen siger ”nej” til ukritisk at benytte amerikanske cloud leverandører, men i et vist omfang lader vi som om, det ikke er et problem. Det store problem opstår den dag Datatilsynet opdager hvad der sker og kommer med en udtalelse eller en bøde. Problemet er ikke bøden, men at lige der taber vi borgernes tillid,” siger Jens Kjellerup.
Østrig forbyder Google Analytics
Max Schrems anlagde 101 retssager i kølvandet på EU-domstolens afgørelse i 2020. Den første sag er nu afgjort ved det østrigske datatilsyn, som har forbudt at bruge Google Analytics.