– Både vi och andra sätter nu ner foten. Ska myndigheter använda den här typen av molntjänster i Europa och Norge, kan man inte använda sådana avtal som man har med Google nu, säger Björn Erik Thon, chef för det norska Datatilsynet till Digi.no.

Som första kommun i Norge inledde Narvik i maj förra året en storskalig satsning på Google Apps. 1 500 anställda och 2 000 skolelever fick sin epost och kalender överflyttad till Googlemolnet. Övergången är första steget i en större satsning på molntjänster som Narvik vill genomföra.

Men nu konstaterar Datatilsynet i ett beslut att Narviks avtal med Google på flera viktiga punkter bryter mot den norska personvärnslagen.

Den allvarligaste delen i Datatilsynets kritik är att kommunen genom det nuvarande standardavtalet med Google i praktiken frånhänt sig möjligheten att kontrollera att deras personuppgifter hanteras i enlighet med lagens krav.

Google behöver enligt avtalet inte uppge i vilket datacenter eller ens i vilket land kommunens uppgifter hanteras. Därför kan kommunen inte heller genomföra de kontroller lagen kräver av att hanteringen av deras personuppgifter följer norsk lagstiftning, konstaterar Datatilsynet.

Narvik har nu några månader på sig att rätta till bristerna i Google-avtalet. Gör man inte kommer Datatilsynet stoppa kommunens användning av Google Apps.

Datatilsynets nedslag mot Google Apps i Narvik har stora likheter med svenska Datainspektionens kritik i höstas mot Salems Google Apps-satsning, den första svenska kommun som satsat på Googles molntjänst.

Även här konstaterades att kommunens avtal med Google på flera punkter bröt mot personuppgiftslagen, Pul. Och även här konstaterades att kommunen inte hade tillräckligt bra koll på var deras personuppgifter fysiskt hanterades. Datainspektionen menade också att avtalet som Salem skrivit på gav Google rätt att ensidigt ändra avtalsvillkoren i efterhand.

Datainspektionen kommer nu under året att följa upp vad Salem gjort för att komma tillrätta med lagbristerna. Åtgärdas inte bristerna i Google-avtalet kan det i senare skede bli aktuellt att stoppa Google Apps-satsningen även här.

Några månader tidigare konstaterade även danska Datatilsynet att en satsning på Google Apps i Odense kommun inte följde reglerna i den danska persondatalagen.

I alla tre länder bygger personuppgiftslagstiftningen på EU-direktiv.
En speciell arbetsgrupp inom EU kallad 29 Gruppen har nu börjat titta på hur man framöver ska få en samsyn i tolkningen av personuppgiftslagstiftningarna när det gäller molntjänster som Google Apps.