Prenumerera på Kollegas nyhetsbrev
Är du medlem i Unionen? Vill du få alla våra nyheter, tips och granskningar direkt i din inkorg?
Enkelt! Anmäl dig via länken
EU-dom kräver åtgärder av företagen
EU-domstolens ogiltigförklarande av dataöverföringsavtalet Safe Harbor i går innebär att mängder av svenska företag genast måste vidta åtgärder för att inte bryta mot PUL och EU:s dataskyddsregler. Men domen kan också ge skjuts i förhandlingarna mellan EU och USA om ett nytt avtal.
I går rapporterade Kollega.se om att EU-domstolen ogiltigförklarat det så kallade Safe Harbor-avtalet som gör det möjligt för europeiska företag att skicka personuppgifter till amerikanska företag, trots att dataskyddsreglerna är betydligt striktare i EU än i USA.
Domen innebär att överföring av europeiska personuppgifter, till exempel kunddata via en molnbaserad betaltjänst, till ett företag i USA kan ha blivit olaglig, från en dag till nästa.
Nu brådskar det för mängder av svenska företag att vidta åtgärder, för att inte riskera att bryta mot den svenska personuppgiftslagen, PUL, och de europeiska dataskyddsreglerna. Det menar Johan Sundberg, advokat och ansvarig för personuppgiftsfrågor på advokatfirman DLA Nordic.
- Först och främst behöver man göra en inventering av vilka avtal man har med leverantörer och samarbetspartners där man kan ha förlitat sig på Safe Harbor som legal grund för överföring av personuppgifter. Bara det kan vara ett ganska omfattande arbete för en större organisation.
För större koncerner med verksamhet på olika håll i världen rekommenderar Johan Sundberg att man ser om det kan vara lämpligt att gå över till EU-kommissionens standardavtalsklausuler och i andra hand, på längre sikt, kan så kallade ”binding corporate rules”, företagsinterna dataskyddsregler vara ett alternativ.
- Det är också en ganska komplex process och kräver godkännande från en dataskyddsmyndighet.
Mindre och medelstora företag med amerikanska tjänsteleverantörer bör så snart som möjligt omförhandla sina avtal, menar han.
- Det bör också ligga i tjänsteleverantörens intresse att hitta en lösning. De kanske kan se till att data stannar på servrar i EU, till exempel genom att styra över till datahallar här. Eller hitta samarbeten med europeiska leverantörer.
Vad händer om man inte vidtar några åtgärder, utan tänker att det här löser sig nog?
- Berörda personer kan kräva skadestånd förstås. För brott mot personuppgiftslagens förbud mot tredjelandsöverföring ligger straffskalan på böter eller fängelse. Jag tror inte att Datainspektionen kommer att börja jaga folk med blåslampa men vill man vara ”compliant” (lagenlig) bör man se till att se över detta så snart som möjligt, säger Johan Sundberg.
Datainspektionens chefsjurist Hans-Olof Lindblom håller med om att svenska företag bör se över sina avtal, men vill samtidigt poängtera att allt som omfattas av PUL inte innebär känsliga personuppgifter och att det också kan hända att vissa uppgifter måste kunna överföras för att ett svenskt företag ska kunna fullfölja avtal med sina kunder. Alla måste tänka efter ordentligt nu, säger han.
- Det kanske låter lite hopplöst. Det var ju det som var bra med det generella avtalet, där man bara behövde se till att leverantören var ansluten till Safe Harbor.
EU-dom ger skjuts i dataskyddsförhandlingar
Redan 2013 lyfte EU-kommissionären Viviane Reeding (bilden) frågan om Safe Harbor-avtalets integritetsskydd, som hon menade inte höll tillräcklig nivå. Hon sa då att avtalet fungerar som ett kryphål för amerikanska företag, som bör täppas till. Sedan dess har det pågått förhandlingar om ett nytt avtal mellan EU och USA. Efter Edward Snowdens avslöjanden om hur den amerikanska underrättelsemyndigheten NSA fått tillgång till stora mängder data från företag, uppmanade EU-parlamentet i en resolution medlemsländerna att överväga vidare överföring av data till USA. Man menade att de lagar som tillät NSA tillgång till uppgifterna slog undan benen på dataskyddet i Safe Harbor. Ändå är det Safe Harbor som varit det generella avtal som funnits för handel av datatjänster över Atlanten i över ett decennium. Tusentals företag har förlitat sig på det. Att EU-domstolen i går ogiltigförklarade Safe Harbor kan innebära att amerikanska IT-jättar som Google, Microsoft, Apple, Facebook och Twitter nu sätter eld i baken på sina förhandlare. - Det sätter förstås press på amerikanerna. Det är i grunden bra för förhandlingarna att man satt ner foten från EU:s sida. Det kan leda till att man når en lösning snabbare, säger advokat Johan Sundberg.
- När generaladvokatens yttrande kom för ett par veckor sedan var det lite som en blixt från klar himmel. Att domstolen också var så snabb är ovanligt. Så det kom lite plötsligt för oss. På Datainspektionen har man ännu inte hunnit utfärda några praktiska råd till svenska företag och organisationer, men Hans-Olof Lindblom säger att det kommer mer information på myndighetens hemsida inom kort. |
EU-domstolens ogiltigförklarande av avtalet
Vad är Safe Harbor?
Safe Harbour är en samling regler om personlig integritet och dataskydd som tagits fram och beslutats av USA:s handelsdepartement för att uppnå vad som avses tillräcklig datasäkerhet i EU:s dataskyddsregler. Det är frivilligt för företag att ansluta sig till Safe Harbour. Med en sådan anslutning till Safe Harbour-reglerna blir det tillåtet att föra över personuppgifter från EU/EES till organisationer och företag i USA.
Även många svenska och europeiska företag och företagskoncerner använder sig av Safe Harbour-avtal för att kunna föra personuppgifter och annan data kors och tvärs över Atlanten, särskilt de som arbetar med olika molntjänster.
När EU-domstolen nu ogiltigförklarat Safe Harbor-principerna som tillräckliga för att överföringen av europeiska data ska anses adekvat skyddad – innebär det ett potentiellt stopp av tusentals verksamheter.
Läs hela domen (på svenska) här.
Är din amerikanska tjänsteleverantör ansluten? Se listan på företag som är anslutna till Safe Harbor här!
Bläddra i senaste numret av våra e-tidningar
Det största cyberhotet på jobbet är du själv
Det absolut största cyberhotet mot din arbetsplats är du. För trots att du troligtvis vet hur du ska skydda dig mot angrepp från cyberbrottslingar, låter du bli. Men ansvaret att hålla databuset ute faller inte enbart på dig.
De är listiga, kreativa och ligger hela tiden steget före IT-experterna. Cyberbrottslingarna är dessutom extremt intresserade av just dig, eftersom du som anställd är deras väg in på företaget där de presumtivt kan tjäna storkovan på att stjäla, spionera, blockera och hota med att förstöra.
– Alla stora företag har någon form av grundskydd, som brandväggar och krypteringar. Så brottslingarna letar efter olika sätt att ta sig in och kan hitta dig exempelvis via Linkedin, förklarar Måns Jonasson, internetexpert på Internetstiftelsen.
Så kallad spearphishing, riktade attacker via mejl, handlar om att bedragare vill förmå dig att öppna en länk eller att installera något på datorn. Och en hel del lyckas i sitt uppsåt.
–Många är lata och trötta och gör saker av slentrian, det är då det blir farligt, säger Måns Jonasson.
Snällhet kan straffa sig
Farligt kan det också bli när vi är för snälla. Nätskurkarna tvekar inte att utnyttja vår hjälpsamhet.
– Generellt är vi hjälpsamma och blir man kontaktad av någon som utger sig för att jobba på en annan avdelning och ber om hjälp, brukar vi ställa upp. Det är tråkig att behöva vara skeptisk hela tiden, men fråga gärna en extra gång i stället för att göra ett dyrt misstag, säger Måns Jonasson.
Men vi är inte bara lata, trötta och alltför snälla, vi är också dessvärre högst oemottagliga för information om hur vi ska hålla cyberbuset borta. Informationskampanjer som brottsförebyggande metod är ineffektiv, konstaterar Karin Svanberg, enhetschef på Brottsförebyggande rådet, BRÅ.
– Vi förändrar dessvärre sällan vårt beteende bara för att någon talar om att vi gör fel eller riskerar något. Jämför med hur vi till exempel förhåller oss till rökning, fet mat och droger, säger hon.
Det finns alltså en förklaring till att världens vanligaste lösenord är 123456, trots att alla vid det här laget vet att knepiga, unika lösenord är A och O när det gäller att hålla hackarna på behörigt avstånd.
AI förändrar spelplanen för cyberbrottslingar
Men bedragarna blir alltmer förslagna och tar dessutom hjälp av ny teknik. Tidigare kunde man identifiera bedrägeriförsöken på lockbetenas usla stavning och grammatiska klumpighet, men tack vare AI har lurendrejeriförsöken blivit mer sofistikerade.
Klonade röstsamtal har redan förekommit i cyberbrottsammanhang och säkerhetsexperter förutspår att inom en mycket snar framtid kommer bedragare med hjälp av generativ AI även kunna förfalska videosamtal.
– Det gäller absolut att vara på sin vakt. Teoretiskt finns redan möjligheten att skapa en avatar och den tekniken kommer att bli bättre, även om det i dagsläget är ganska dyrt och komplicerat, säger Måns Jonasson.
Framöver behöver du alltså vara än mer observant och varken tro dina öron eller ögon om chefen eller kollegan ringer upp dig via teams och ber dig utföra någon tjänst som i förlängningen kan leda till att företagets konton töms.
– Det gäller att inta ett skeptiskt förhållningssätt och ha känselspröten ute, säger Måns Jonasson.
– Men det är taskigt att lägga hela ansvaret på de anställda, internetsäkerhet är en utmaning som kräver jobb på flera fronter. IT-systemen måste också bli smartare och enklare att använda så att det blir svårare att göra fel.
Ordlista
Social engineering/social ingenjörskonst: Social manipulation som omfattar flera olika tekniker för att lura åt sig uppgifter.
Spoofing: Bedragaren använder falsk avsändare i mejl, sms eller via telefon.
Phishing - nätfiske: Falska länkar infekterade med virus
Spearphishing: Nätfiske riktade mot specifika personer
Astroturfing/konstgräsrötter :- Fejkade kampanjer eller budskap som ser ut som det kommer från vanligt folk
Ransomewere: utpressningsvirus
DDOS: Hör till de cyberattacker som ökar mest. Attacker mot webbplatser för att överbelasta system med följden att dessa går dåligt eller kraschar helt.
Deepfake/djupfejk: Förfalskade videor, bilder, ljud som genom avancerad AI låter avatarer tala och agera.
Så skyddar du dig – en liten påminnelse
- Öppna ej bifogade dokument/länkar från okända – de kan infektera med skadlig kod i syfte att norpa värdefull information/utpressa. Öppna heller inte bifogade dokument eller länkar från kända avsändare som verkar atypiska eller konstiga. Avsändaradressen kan vara förfalskad eller fått kontot kapat. För att kolla att avsändaren av ett mejl är ok: För musen över adressen utan att klicka och jämför adressen som dyker upp i rutan.
- Ett långt lösenord är bättre än ett kort komplicerat. Använd inte samma lösenord överallt. Det går nämligen att köpa avlagda lösenord på Darknet.
- Logga inte in på olika ställen via Facebook – du lämnar spår som kan användas mot dig.
- Uppdatera mobilen och datorn omgående när det kommer propåer – säkerhetsuppdateringar beror ofta på att man hittat luckor som behöver täppas till.
- Undvik att koppla in dig på gratis nätverk. Genom att använda en vpn-anslutning skyddas din dator.
- Sätt inte in ett upphittat usb-minne eller laddsladd i datorn för att stilla din nyfikenhet. De kan innehålla skadligt virus eller spionsystemvara.
- Lämna aldrig jobbdatorn obevakad och låt ingen annan använda den. Det förekommer att barn duperats att göra förälderns dator mottaglig för hackerattacker.
