Efter att ha granskat Ale kommuns planerade användning av molntjänsten Office 365 i sin skolverksamhet konstaterar nu Datainspektionen, DI, att kommunen uppfyller kraven i personuppgiftslagen – med bara ett undantag.
Datainspektionen har undersökt hur Ale kommun avser att använda Microsofts molntjänst Office 365 i sin skol-, förskole- och fritidsverksamhet.
I molntjänsten, som ska användas av såväl lärare som elever, finns bland annat verktyg för snabbmeddelanden och videosamtal samt lagring av dokument och andra filer. I tjänsten finns också e-post, kalender och ordbehandling.
I sin kontroll har Datainspektionen lagt särskilt fokus på avtalet med molntjänstleverantören.
– Vid tidigare granskningar av andra molntjänster har vi främst sett brister i avtalet mellan kunden och leverantören av molntjänsten. Ale kommun har dock tecknat ett avtal som uppfyller de allra flesta av personuppgiftslagens krav, säger juristen Ingela Alverfors som har lett inspektionen av kommunen.
Avtalet reglerar bland annat att personuppgiftsbiträdet, alltså molntjänstleverantören, inte får hantera kommunens uppgifter för egna ändamål. Avtalet ger också tillräckliga garantier för att Microsoft verkligen raderar personuppgifter som kommunens användare har raderat, såväl under avtalstiden som när avtalet löpt ut.
Datainspektionen anser även att kommunens instruktioner om vilka säkerhetsåtgärder som Microsoft ska vidta är tillräckliga.
Däremot anser Datainspektionen att avtalet inte ger kommunen rätt till nödvändig information om i vilka länder som Microsofts underleverantörer har sin verksamhet.
– Den som är personuppgiftsansvarig, i det här fallet Ale kommun, måste känna till vilka bolag som hanterar personuppgifterna och var dessa bolag har sin verksamhet. Det här är en punkt i avtalet som kommunen måste rätta till, säger Ingela Alverfors.
En uppföljning kommer att ske inom en snar framtid.
Vad innebär detta i praktiken?
Foto: TT
Ebba Wigerström/Vanja Eriksson
