GDPR vs cloud: Her er de fem største udfordringer

En ting jeg som ikke-teknisk uddannet person spørger mig selv ift. den definition af cloud, er om hvor unilateralt man overhovedet kan agere hos GCP, AWS og MS Azure. Hvis cloudprovideren har problemer med hvor meget de kan hoste for deres dyreste kunder, vil de så ikke kunne finde på at udelukke de mindre kunder kortvarigt, så de kan redde deres rygte overfor de store? Kan man stole på, at man ikke nedgraderes og bare kan upscale til nær-uendelige mængder regnekraft? Er der heller ikke noget loft ift. usage? Jeg mener... er det virkelig så unilateral, som vi går og tror, nu da det ikke er vores eget jern?

Det er synd at mudrede definitioner af hvad cloud er, skal komplicere sagerne.

F.eks. burde det ift. GDPR være ganske ligegyldigt om en leverandør tilbyder on-demand adminstration af antallet af eller størrelsen på servere eller virtuelle servere.

Det burde være ligegyldigt om det er virtuelle eller fysiske servere, og ligegyldigt om der lagres een enkelt email i en flad fil på en fysisk harddisk eller vores samlede genom eller skattekonti i en distribueret database.

I ALLE andre tilfælde end når en leverandør selv hoster de fysiske maskiner, og ingen eksterne har adgang til disse og deres services/data, så har denne leverandør et forhold til en underleverandør, som leverandøren sender/leverer data til.

Den underleverandør passer rekursivt i samme definition. Skildpadder hele vejen ned. Indtil en underleverandør ejer og sikrer de fysiske maskiner.

Når en dataansvarlig vælger en leverandør (databehandler) eller en leverandør vælger en underleverandør (underdatabehandler) så er man ansvarlig for at den næste i kæden, som man selv VÆLGER at levere data til, overholder GDPR. Ellers overholder man jo ikke selv GDPR.

Alle EU virksomheder, som bruger ufattelige ressourcer for at imødekomme lovgivningen, og være relevante leverandører for ansvarlige EU kunder, er stillet langt dårligere end konkurrerende amerikanske (cloud) leverandører.

Indtil der falder domme med store bøder, så siger man næsten til EU kunder, at det bedst kan betale sig at købe services af ikke-EU leverandører, fordi de kan levere billigere da de ikke behøver at overholde GDPR.

Smart trick af Google og Microsoft at "Betragte sig selv som dataansvarlige". Det kunne være at alle EU leverandører også bare skulle gøre det, så man ikke behøver at spilde tid med at afklare den slags opstrøms.

Cloud er bare datacenter. Og det faktum at at NSA har adgang til data ændres ikke ved at datacenteret hedder Azure fremfor IBM Datacenter, eller DXC. Det er nøjagtigt det samme. Men man går stille med det, da alt for meget offentligt er drevet af onde NSA agenter. Sundhedsplatformen som er valgt i Region Hovedstaden er vel amerikansk. Den kan dermed per definition ikke sikres. Hvis NSA beder leverandøren om at lave en bagdør, eller uploade alle data, så skal det ske.

"Cloud" er også blevet det nye i private datacentre, det hedder bare private cloud. Samme teknologier. Drevet af samme uregulerede amerikanske selskaber. Og med cloud definitionen ovenfor, så er der cloud i private datacentre. Det eneste der mangler er i visse tilfælde den brede internet forbindelse ind, men den kan kunden få etableret efter ønske.

Så det hele bunder i, kan man stole på sin leverandør ? Specielt på amerikanske leverandører som er underlagt udemokratiske regler.