Siden 2020 har Datatilsynet advaret om, at kommunernes brug af amerikanske cloudløsninger kan blive ulovlig fra den ene dag til den anden. På trods af dette viser en kortlægning, som Akademikerbladet har foretaget via aktindsigter, at 74 ud af 98 kommuner ikke har udarbejdet en exitplan.

Kun seks kommuner har ifølge undersøgelsen enten en plan klar eller arbejder konkret på sagen, mens 17 kommuner enten har afvist aktindsigt eller undladt at svare. Flere mindre kommuner peger desuden på manglende ressourcer som årsag til, at arbejdet ikke er igangsat.

Eksperter fremhæver, at situationen kan udgøre en betydelig risiko, da en afgørelse fra EU-Domstolen hurtigt kan ændre de juridiske rammer for dataoverførsel til USA. Uden en alternativ løsning risikerer kommunerne dermed at stå uden lovlige systemer til behandling og opbevaring af borgernes data.

I følge Akademikerbladet så undrer det Datatilsynet, at flere kommuner begrunder manglen på exitstrategier med, at det skulle være leverandørernes ansvar at sikre lovligheden. Eksempelvis i Ringkøbing-Skjern Kommune, her fremgår det, at ansvaret for exitstrategier ligger hos leverandøren og ikke kommunen. Datatilsynet pointerer dog, at kommunen som dataansvarlig stadig står på mål for, at dataforvaltningen er lovlig.

Eksperter bemærker, at underleverandører typisk har ret til at ændre vilkårene med kort varsel, ofte mellem 30 og 180 dage. Det betyder, at kommunen kan stå over for en situation, hvor databehandling pludselig bliver ulovlig, og den eneste mulighed er at skifte leverandør – en proces, der i praksis kan tage op til to år.

CBP