Mener statsråden at det er forsvarlig at sentrale identitetsdata om ansatte og studenter i hele universitets- og høyskolesektoren lagres i en amerikansk skyløsning når amerikanske myndigheter i visse …

Mener statsråden at det er forsvarlig at sentrale identitetsdata om ansatte og studenter i hele universitets- og høyskolesektoren lagres i en amerikansk skyløsning når amerikanske myndigheter i visse tilfeller kan få tilgang til disse opplysningene om enkeltpersoner uten at de varsles, hvilke konsekvenser kan det få for studenter eller ansatte hvis amerikanske myndigheter får disse opplysningene om dem?

Jeg har tidligere stilt to spørsmål om samme emne. Det første ble sendt 29. juni og besvart 6. juli. (Dokument nr. 15:3291 (2025-2026)) og det andre 13. august og besvart 19. august. (Dokument nr. 15:3485 (2025-2026)) Opplysningene i begge svar var ikke korrekte, ikke minst fordi omfanget av identitetsdata som skal lages i den amerikanske skyløsningen var betydelig større enn det som ble opplyst i disse svarene. Statsråden sendte derfor korrigerte svar på begge spørsmål 1. september.

Jeg kan ikke se at det er svar på mine spørsmål om amerikanske myndigheters mulighet til å få tilgang til dataene i noen av de fire svarene. I tillegg er omfanget av identitetsdata betydelig større enn det som ble opplyst i svarene datert 6. juli og 19. august. Det er derfor nødvendig å stille spørsmålet på nytt.

Universiteter og høyskoler er pålagt å ta i bruk en felles løsning for såkalt identitets- og tilgangsstyring, kalt Felles IAM. Dette er en løsning som bygger på et innkjøpt amerikansk system, der eier etter amerikansk lov kan pålegges å utlevere data til amerikanske myndigheter. Det er krav om å legge inn sentrale identitetsdata knyttet til ansatte og studenter, se liste i korrigerte svar til tidligere spørsmål. At amerikanske myndigheter på visse vilkår kan få tilgang til slike data om enkeltpersoner ved norske universiteter og høyskoler, reiser viktige spørsmål om kontrollen med slike data og hvordan de brukes.

Når det gjelder spørsmålet om forsvarlighet, tolker jeg dette som en vurdering av om risikoen ved å lagre persondata i en amerikansk skyløsning er akseptabel sett opp mot andre risikoer og trusler som digitale tjenester er utsatt for.
Sikt - Kunnskapssektorens tjenesteleverandør gjennomfører slike vurderinger for tjenestene de tilbyr. Sikt har opplyst meg om at de gjør løpende risikovurderinger av alle tjenester. For Felles IAM er Sikts vurdering at restrisikoen er akseptabel, og at tjenesten drives i samsvar med gjeldende regelverk.
Jeg mottok en grundig redegjørelse fra Sikt om tjenesten Felles IAM den 11. september. Av redegjørelsen fremgår det bl.a. at Sikt jobber med en oppdatert personvernvurdering for tjenesten Felles IAM. Jeg arbeider nå med å gjennomgå saken. Inntil videre har jeg utsatt gjennomføringen av pålegget om innføring av Felles IAM.