I en ny studie från Högskolan i Skövde har forskare undersökt hur enskilda myndigheter undersöker avtalsvillkor för den globala molnlösningen Microsoft 365 innan den tas i bruk.
Resultaten visar betydande brister avseende efterlevnad av gällande rätt.
Avtalsvillkoren för lösningen är till stora delar okända för respektive myndighet.
Avtal för IT-lösningar, långa texter fulla med villkor och juridiska termer som är otillgängliga för många och endast kan förstås av ett fåtal specialister. Enskilda beslutsfattare accepterar ofta avtalsvillkor för IT-lösningar utan att ens ha tagit del av alla villkor. Hur ser det ut bland våra myndigheter?
Forskare vid Högskolan i Skövde har granskat hur svenska myndigheter undersöker avtalsvillkoren för globalt tillhandahållna molnlösningar som erbjuder programvara som tjänst över internet. Ett känt exempel på en sådan molnlösning och föremål för studien är Microsoft 365 som används för att behandla myndighetens information. Genom lösningen tillhandahålls bland annat programmen Word, Excel och Outlook som tjänster.
Betydande brister i efterlevnaden av gällande rätt
Resultat från studien visar att många myndigheter har stort förtroende för enskilda leverantörer, vilket i flera fall lett till ett starkt leverantörsberoende som hindrar en god förvaltning av myndighetens information. Studien visar att enskilda myndigheters leverantörsberoende i många fall orsakat ett olämpligt agerande och att enskilda myndigheter försummar sina plikter. Till exempel hade ingen av myndigheterna undersökt under vilka villkor olika format tillhandahålls innan användningen av Microsoft 365. De flesta förlitar sig på rekommendationer från leverantören. De saknar dokumentation från oberoende utredningar som analyserat om den egna myndigheten har möjlighet att fortsatt behandla och förvalta myndighetens handlingar, även efter avslutad användning av Microsoft 365.
Björn Lundell, professor i datavetenskap vid Högskolan i Skövde
Forskarna identifierade inga tecken på att någon representant för någon myndighet hade läst alla avtalsvillkor för Microsoft 365-lösningen innan de undertecknade kontraktet.
– Det betyder att de använder lösningen under villkor som är okända för dem. Avtal som dessutom är tidsbegränsade och som ensidigt kan ändras med tiden, av leverantören, säger Björn Lundell, professor i datavetenskap vid Högskolan i Skövde och en av forskarna bakom studien.
Oroande situation för svenska myndigheter
En mycket oroande situation för organisationer inom den offentliga sektorn menar Björn Lundell.
– Det tyder på betydande brister när det gäller myndigheternas förmåga att upprätthålla en god förvaltning och myndigheters efterlevnad av gällande rätt.
Studien bekräftar tidigare forskning som visat att arbetspraxis bland många myndigheter är att de låter bli att analysera alla avtalsvillkor och underlåter att anskaffa alla nödvändiga licenser för flera använda format, vilket får en rad oönskade konsekvenser som orsakar hinder för laglig och lämplig behandling av myndighetens information.
– Det orsakar formatlåsning och andra typer av problematiska inlåsningseffekter, vilket leder till att myndigheten saknar möjlighet att upprätthålla en god förvaltning av myndighetens handlingar. Formatinlåsning orsakar också hinder för vidareutnyttjande och utbyte av myndighetens information med andra organisationer. Inlåsning orsakar även betydande hinder för konkurrensen och hämmar innovation, säger Björn Lundell.
Äventyrar myndighetens autonomi och datasuveränitet
Genom olämpligt agerande har många myndigheter försummat gällande rätt när de gjort sig beroende av molnlösningar som äventyrar respektive myndighets upprätthållande av en god förvaltning. Ett agerande som äventyrar myndighetens autonomi och datasuveränitet.
Forskarna undersökte också varför det ser ut som det gör. Det finns en rad olika anledningar till varför en myndighet låter bli att ta hänsyn till gällande rätt och inte analyserar alla villkor för en tilltänkt molnlösning innan den används inom myndigheten.
I vissa fall litar myndighetens personal blint på råden från sin partner eller leverantör och väljer aktivt att inte genomföra någon egen analys. I andra fall har myndigheten försökt men inte lyckats få tag på alla relevanta avtalsvillkor för tilltänkt lösning eller inte haft tillgång till den kompetens som krävs för att analysera de villkor som myndigheten tagit del av.
– När det gäller Microsoft 365-lösningen visar studien att det är extremt svårt, om alls möjligt, för en myndighet att identifiera och få tag i alla tillämpliga avtalsvillkor och även för specialister är det svårt att analysera alla identifierade avtalsvillkor, säger Björn Lundell.
Lag eller föreskrift kan vara en lösning
Svårigheterna att få tag på och tolka avtalsvillkoren ursäktar inte en myndighets underlåtenhet att agera enligt gällande rätt men det kan förklara hur och varför detta sker i stor skala menar Björn Lundell som ser en möjlig väg framåt. En tänkbar och potentiellt mycket effektiv policykonsekvens från studien som klargör ansvarsfördelningen för alla inblandade parter.
– Det skulle vara att införa en lag eller föreskrift som innebär en skyldighet för varje leverantör som erbjuder tjänster till offentlig sektor. En skyldighet att inför anskaffning och förnyelse av kontrakt alltid tillhandahålla alla avtalsvillkor på en och samma gång i ett sammanhållet format, säger Björn Lundell.
Han ser också framför sig en motsvarande skyldighet för varje myndighet som planerar anskaffa eller förnya kontrakt för användning av en IT-lösning. De skulle i så fall ha en skyldighet att dessförinnan anskaffa, analysera och förvalta alla relevanta handlingar som innehåller alla relevanta villkor som påverkar användningen av den tilltänkta lösningen.
