Risk, säkerhet och rättslig analys för migrering till molnet. PART 4: Skydd, rättigheter och juridiska skyldigheter

Transkript

1 Risk, säkerhet och rättslig analys för migrering till molnet PART 4: Skydd, rättigheter och juridiska skyldigheter

2 PART 4 ÖVERSIKT 1. Specifikation av det internationella sammanhanget 2. Mot skyddsavtal

3 1. SPECIFIKATION AV DET INTERNATIONELLA SAMMANHANGET

4 Specifikationavdetinternationella sammanhanget Rättsliga utmaningar i samband med cloud computing är...

5 Specifikationavdetinternationella sammanhanget Rättsliga utmaningar i samband med cloud computing är: Tillämplig Lagjurisdiktion och tvistlösning Dataskydd Ansvar Avtalsram Dataportabilitet Interoperabilitet konsumentrelaterade problem

6 Specifikationavdetinternationella sammanhanget TILLÄMPLIG LAG: I avsaknadavettavtalmellankunderochleverantörer imolnet, finnsen mängd olika lagar, som antingen är motstridiga eller inte kan tillämpas. En vanlig metod är att ett avtal fastställs enligt tillämplig lag: Förhandlingarna behövs för att nå en överenskommelse, vilket resulterar ibland i tillämpningen av lagen i ett tredje land för att säkerställa"neutralitet"

7 Specifikationavdetinternationella sammanhanget JURISDIKTION OCH TVIST: Närkonflikter uppstårmellanparternaochingengemensamlösninghittas, gäller tvistlösning. Man får välja: Domstolarna som är den normala instansen för att lösa rättsfrågor. Skiljedom, somvisserligenärdyrare, men somerbjuder en snabbarebeslutsprocess med (delvis valda) experter och ett förfarande bakom stängda dörrar.

8 Specifikationavdetinternationella sammanhanget DATASKYDD: I en molnmiljö, kan personliga och icke-personuppgifter behandlas. Kryptering ger en molnkund säkerhet att personuppgifter endast nås av auktoriserade parter som har rätt nyckel. Om krypteringanvändssomen tekniskåtgärdförattsäkradata, ärdet viktigt att garantera säkerheten för nyckeln. En robust nyckelhantering är avgörande för att upprätthålla skyddsnivån som kryptering kan erbjuda.

9 Specifikationavdetinternationella sammanhanget ANSVAR: Cloud konsumenterellercloud slutanvändare, börha lämpligamedeltill sitt förfogande för att söka och få upprättelse mot sin leverantör i händelse av incidenter.

10 Specifikationavdetinternationella sammanhanget AVTALSRAM: En avtalsmässig ram rekommenderasochoftaävenlagtsframsomen förutsättning för att gå vidare med cloud computing av flera datasekretessmyndigheter. Molnleverantörer lägga fram sina villkor(ofta inte tillgodose molnkonsumentens behov) I anbudsförfarandet, är det viktigt att tydligt ange de viktigaste avtalspunkterna och särskilda krav som molnkonsument.

11 Specifikationavdetinternationella DATAPORTABILITET: sammanhanget Hur kan en molnkonsument vara säker på att om han vill flytta till en annan molnleverantör att inga data eller information lämnas kvar hos den ursprungliga molnleverantören?

12 Specifikationavdetinternationella sammanhanget DATAPORTABILITET : Hur kan en molnkonsument vara säker på att om han vill flytta till en annan molnleverantör att inga data eller information lämnas kvar hos den ursprungliga molnleverantören? Lösningen ligger i att tydligt föreskriva i avtalet de olika omständigheter (konkurs, uppsägning, etc.) och överföringsvillkor som ska gälla för molntjänsten.

13 Specifikationavdetinternationella sammanhanget INTEROPERABILITET: Hurskaman enkeltflyttaarbetsbelastningar ochdata frånen molnleverantör till en annan eller mellan privata och offentliga moln? Samarbetet mellan tjänsteleverantörer och IT-system ska också tas upp i den avtalsmässiga ramen.

14 Specifikationavdetinternationella sammanhanget IMMATERIELLA RÄTTIGHETER OCH SEKRETESS Immateriella värdenochsekretessproblem måste åtgärdasgenomen lämplig avtalsram i förhållandet mellan molnkonsument och molnleverantör. En lämplig språk för att molnslutanvändare ska förstå integritet och sekretessproblem (dvs. installationen av sekretesspolicy och sekretess riktlinjer).

15 2. MOT SKYDDSAVTAL

16 Motskyddsavtal Det finns en mängd olika former av avtal för molntjänster. Från enkla standardiserade avtal till flerskiktade uppsättningar av villkor. Vissa avtal föreslås av leverantören och andra av de myndigheter som kan föreslå sina egna juridiska termer. Detfinnsen kärnaavjuridiskafrågorsombörövervägasiallaavtalför molntjänster.

17 Motskyddsavtal Inte alla de juridiska frågorna är relevanta i avtalet, det beror på kunden och leverantörer. De standardvillkor som erbjuds av molntjänster kanske inte uppfyller alla rättsliga krav på en byrå. Antaletoch typenavkrav kanpåverkapriset ochleveransmodell.

18 Motskyddsavtal De viktigaste rättsliga frågor som skall ingå i ett avtal är...

19 Motskyddsavtal De viktigaste rättsliga frågor som skall ingå i ett avtal är... skydd av information, ansvar, verksamhetsstyrning, Hantera avslut, tvist, andra juridiska frågor.

20 Motskyddsavtal Skydd av information PRIVATLIVET: Det är lämpligt att ha med avtalsåtgärder säkerställa att avtalade tjänsteleverantörer inte gör en handling som skulle bryta mot skyddet för privatlivet. Juridiken bör se till att tjänsteleverantören är avtalsförbjudna att använda data för några egna syften- såsom reklam eller andra kommersiella tjänster.

21 SÄKERHET: Motskyddsavtal Skydd av information Myndigheterna bör utveckla en omfattande riskbedömning för att fatta ett välgrundat beslut om lämpligheten att anta en molnbaserad lösning och utvärdera vilken lämplig säkerhet den behöver. Åtgärder som kan vara lämpligt att i ett avtal...

22 Motskyddsavtal Skydd av information SÄKERHET: Åtgärder som kan vara lämpligt att i ett avtal... säkerhetsnivå och kryptering åtkomstnivå och säkerhetsprotokoll kravpåraderingavdata i skadademedia lagring av separata paket av data

23 Motskyddsavtal Skydd av information SÄKERHET: ettkravpåleverantören attomedelbartmeddelakundenvid säkerhetsincidenter eller intrång ettkravpåleverantören ärattlagradata förattförhindraattandra kunder hos leverantören kan komma uppgifterspecifika säkerhetskrav beroende på vilken typ av känsligheten av data.

24 Motskyddsavtal Skydd av information SEKRETESS: En myndighet kan ha avtal eller lagstadgade skyldigheter som gör viss information konfidentiell. Därför är det viktigt att dessa skyldigheter även överförs till leverantören Myndigheterna bör tänka på i ett avtal...

25 Motskyddsavtal Skydd av information SEKRETESS: Myndigheterna bör tänka på ett avtal... replikering av alla skyldigheter som åläggs myndigheten genom avtal eller lag krav för att säkerställa att leverantören är medveten om nivån på sekretess som krävs och förbinder sig att skydda dessa uppgifter på lämpligt sätt

26 VERKSAMHETSKRAV: Motskyddsavtal Skydd av information Myndigheter bör inkludera lämpliga kontroller och skydd(till exempel genom avtal med molntjänstleverantören) som matchar värdet av informationen och ta itu med riskerna med data i molnet Myndigheterna bör tänka på i ett avtal...

27 VERKSAMHETSKRAV: Motskyddsavtal Skydd av information Myndigheterna bör tänka på I ett avtal... begränsa platser / länder där molnleverantörer lagrar rätt att granska leverantörens efterlevnad av avtalet om det är tekniskt tillgängliga, rätt för myndigheten att fjärrövervaka tillgångtill sinadata ochdärdettainteärmöjligt, ettkravpåatt leverantören upprätthålla en revisionslogg och föreskriva att logga till kunden på begäran.

28 ERSÄTTNING FÖR DATAFÖRLUST ELLER FELANVÄNDNING : Detärmöjligtattuppgifternakanvarapermanent förlorademed en molntjänster Motskyddsavtal Skydd av information Detfinnsalltidrisk förmissbrukavuppgifterfrånoseriösaanställdahos leverantören eller kompromiss av externa parter. En jurist bör avgöra huruvida avtalet med molnet tjänsteleverantören skall kräva att leverantören är ansvarig för indirekta och följdskador inkluderaen ersättningfrånleverantörenifrågaom dataförlustellermissbruktill följd av oaktsamhet, olagligt eller avsiktligt felhandling eller underlåtenhet av leverantören eller dess personal

29 UNDERLEVERANTÖRER : Motskyddsavtal Skydd av information En kritisk del ärattse till atten myndighetharettfullgottskyddiavtalet med leverantören, att eventuella underleverantörer av leverantören också är skyldiga att uppfylla samma krav som leverantören.

30 Motskyddsavtal Ansvar SKADESTÅND: Ett skadestånd är ett juridiskt bindande löfte från vilka den ena partenåtarsig attaccepterariskenförförlustellerskada. Dessakanomfatta ersättningför: Intrång i en tredje parts rättigheter(inklusive sekretess och immateriella rättigheter) av leverantören till följd av tjänsteleverantörens behandling av tredje parts uppgifter från byrån någon förlust eller skada till följd av användning av tjänsten avtalsbrott.

31 Motskyddsavtal Förvaltning Servicenivåer: Servicenivåer är ett viktigt sätt att se till att en leverantör uppfyller förväntad servicenivå. Detta är särskilt viktigt när molntjänsten är avgörande antingen i daglig drift.

32 Motskyddsavtal Förvalötning SVARSTIDER: Om ettavbrottavhelaeller delaravtjänstensker, kommerdetattvara viktigt att avtalsknyta leverantören, så leverantören ska lösa avbrottet så snart som möjligt. En myndighet kanske vill kategorisera svarstider baseras på svårighetsgraden av felet.

33 Motskyddsavtal Förvaltning FLEXIBEL SERVICE: En avde viktigastefördelarnamed en molntjänstärattden skage flexibilitet servicenivå med möjligheten att enkelt skala upp eller ner erforderlig servicenivå beroende på behov. Nyckelfrågor att tänka på är... att se till att prissättningsmodellen är lämpligt- om kundens efterfrågan på datorerstigerellerfaller, kommerkundenattbehövabetalahögrepriser(per enhet) för förändring i omfattningen av tjänsten? kommer avtalet att tillåta förändringar i kundens krav på att enkelt sätt eller kommer det att krävas en potentiellt tidskrävande förhandlingsprocess?

34 Motskyddsavtal Förvaltning KONTINUITET OCH ÅTERSTÄLLNING: Kontinuitet i verksamheten och återställning är ofta en kritisk fråga i avtal om molntjänster med tankepåtillit somen myndighetkanha påattfå oavbruten tillgång till tjänsten. Kundenbördärförövervägaattinkluderaskyddisinaavtalmed leverantören: Leverantören ska garantera en geografiskt separat katastrofplats se till attleverantören kanfungeraihändelseavattelnätetärnere

35 Motskyddsavtal Förvaltning KONTINUITET OCH ÅTERSTÄLLNING: Kundenbördärförövervägaattinkluderaskyddisinaavtalmed leverantören: se till verksamhetens kontinuitet är ett absolut krav kräva en kontinuitet i verksamheten och katastrofplan ska lämnas in för kommentarer och godkännande av myndigheten begränsa rätten för leverantören att avbryta sin tjänst se till att planerade underhållsstopp av leverantör inte inträffar under timmar som kunden kräver tillgång till tjänsten

36 Motskyddsavtal Avslut UPPSÄGNING OCH FÖRTIDA UPPHÄVANDE AV AVGIFTER : Överväga införandet av en klausul om förtida uppsägning i avtalet som gör atten kundkanavslutaeller minskaavtaletnärsomhelstavnågon anledning UPPSÄGNING ENLIGT AVTAL En kundbörse till attden harrättattsägauppavtaletnärleverantören inte uppfyller kundens rimliga krav som anges i avtalet.

37 Motskyddsavtal Avslut LEVERANTÖRENS RÄTT ATT SÄGA UPP AVTALET Leverantörer kommer att vilja ha en rätt att säga upp avtalet Med avseende på en sådan rättighet, bör kunden överväga att inkludera en tillräckligt lång uppsägningstid innan uppsägningen träder i kraft för att göra det möjligt för kunden att hitta en lämplig alternativ leverantör.

38 Motskyddsavtal Tvist Detärviktigtattvaratydligmed hurtvister isambandmed avtalom molntjänster kommer att lösas. Kunden bör kontrollera: Avtalsstater, vilket lands (och jurisdiktions) lagar gäller för avtalet vilka domstolar kan pröva tvister om avtalet(kallas lagvalsregler) om alternativa tvistlösningsmekanismer såsom skiljedom föreslås.

39 Summering Rättsliga utmaningar i samband med cloud computing GÄLLANDE LAG (fastställa i avtal tillämplig lag) JURISDIKTION OCH TVIST (domstol eller skiljenämnd) DATASKYDD (kryptering och en robust nyckelhantering) ANSVAR (lämpligt sätt leverantören att söka och få upprättelse i händelse av incidenter.) AVTALSRAM (tydligt ange de viktigaste delarna I avtalet och ange särskilda krav molntjänster) PORTABILITET (preciserar överföringsvillkor) DRIFTSKOMPATIBILITET (samarbete mellan tjänsteleverantörer och IT-system) RÄTTIGHETER OCH SEKRETESS

40 Summering Cloud computing avtal(frånenklastandardiseradeavtaltill flerskiktade) Detfinnsen kärna av juridiska frågorsombörövervägasialla cloud computing avtal. Skydd av information: INTIGRITET, SÄKERHET, SEKRETESS, DOKUMENTHANTERING, ERSÄTTNING FÖR DATAFÖRLUST ELLER FELANVÄNDNING, UNDERLEVERANTÖRER Ansvar: ERSÄTTNING FÖRVALTNING: SERVICENIVÅER, SVARSTIDER, FLEXIBEL SERVICE, KONTINUITET OCH ÅTERSTÄLLNING

41 Summering Detfinns en kärna av juridiska frågorsombörövervägasialla cloud computing avtal. AVSLUTA: UPPSÄGNING, FÖRTIDA UPPSÄGNING, AVGIFTER, AVSLUT ENLIGT AVTAL, LEVERANTÖRENS RÄTT ATT AVSLUTA Tvist Andra rättsliga frågor...