Fem spørsmål som avgjør hvor europeisk en tjeneste er

Modul 2: Hva er en europeisk sky egentlig? · Lesetid: 11 minutter

Læringsmål: Etter denne leksjonen kan du bruke fem spørsmål til å fastslå hvilket lands rett en skytjeneste faller under, og forklare hvorfor et datasenter i Europa ikke er nok for å svare på det.

Nøkkelbegreper: etablering (forretningsadresse/registrert hovedkontor), reell eier, datasenterlokasjon, underdatabehandler, fjerntilgang, nøkkelforvaltning, EU, EØS, adekvansbeslutning, «sovereign cloud»

«Dataene våre ligger i Europa.» Og så?

Nesten alle store skytjenester sier det i dag: dataene dine ligger i et datasenter i Frankfurt, Amsterdam eller Dublin. Det høres betryggende ut, men det svarer bare på ett av spørsmålene som faktisk betyr noe. I modul 1 så du at den amerikanske CLOUD Act ikke ser på hvor serveren står, men på hvilket selskap som har dataene i sin besittelse, forvaring eller under sin kontroll («possession, custody, or control»). En server i Frankfurt som tilhører et selskap som til syvende og sist er amerikansk, kan derfor likevel rammes av et amerikansk pålegg.

Derfor ser du ikke på ett kjennetegn, men på fem. Bakkerij De Korrel fra eksempelet vårt (12 ansatte, domenet example.com) bruker i dag en amerikansk kontorpakke og vil finne ut hvilke alternativer som virkelig er europeiske. Med disse fem spørsmålene skiller hun markedsføringen fra fakta.

Spørsmål 1: hvor er selskapet etablert?

Etableringen er landet der selskapet som undertegner kontrakten din, juridisk er registrert: den registrerte forretningsadressen. Dette landet avgjør i utgangspunktet hvilken rett som gjelder for selskapet, hvilken domstol som har jurisdiksjon, og hvilket tilsyn som fører kontroll.

Se ikke på nettsiden for dette, men på avtaleparten: navnet nederst i de generelle vilkårene, databehandleravtalen og fakturaen. Står det «Example Cloud Ireland Ltd.» der, er avtaleparten din irsk, selv om merkevaren er amerikansk. Det er en god start, men ikke noe svar i seg selv. Derfor trenger du spørsmål 2.

Spørsmål 2: hvem er den reelle eieren?

Den reelle eieren er selskapet eller personen øverst i aksjonærkjeden. Et europeisk datterselskap av et amerikansk morselskap er juridisk sett et europeisk selskap, men morselskapet har styringsrett. I henhold til CLOUD Act kan en amerikansk domstol pålegge morselskapet å utlevere data som ligger hos et datterselskap, hvis morselskapet faktisk har «control» over dette. Om det gjelder i et konkret tilfelle, avhenger av hvordan selskapet er organisert. Jurister er ikke enige om dette. Det er nettopp derfor det er en risiko og ikke en sikkerhet.

Det kan også gå motsatt vei: et selskap som i dag er europeisk, kan bli kjøpt opp i morgen. I Nederland skjedde dette i 2025 og 2026 rundt Solvinity, selskapet bak infrastrukturen til DigiD (det nederlandske digitale ID-systemet). Det amerikanske selskapet Kyndryl ønsket å kjøpe det opp; den nederlandske regjeringen forbød oppkjøpet i mai 2026 etter en anbefaling fra Bureau Toetsing Investeringen (det nederlandske organet for investeringsscreening). Spør derfor også en leverandør: hva skjer med avtalen min ved et oppkjøp? Kan jeg da si opp uten kostnad?

Hvor finner du eieren? I foretaksregisteret (i Nederland KVK, i Tyskland Handelsregister), i årsrapporten, eller på siden «Om oss» eller «Impressum». Hos børsnoterte selskaper står det i årsregnskapet.

Spørsmål 3: hvor ligger dataene, og sikkerhetskopiene?

Datasenterlokasjonen er fortsatt viktig. Ligger dataene dine i EU, er det ingen overføring utenfor EØS i GDPR-forstand, så lenge ingen utenfra har tilgang. Spør om alle stedene: det primære datasenteret, reservedatasenteret og sikkerhetskopiene. En leverandør med servere i Nederland og sikkerhetskopier i USA har faktisk en overføring.

Legg merke til tre begreper som ofte blandes sammen:

Sveits og Storbritannia er altså ikke EU, men en tjeneste der kan du likevel bruke under GDPR uten ekstra avtalebestemmelser. Beslutningen for Sveits er fra 2000 og ble bekreftet ved en revurdering i januar 2024. Beslutningen for Storbritannia ble forlenget 19. desember 2025 fram til 27. desember 2031. En adekvansbeslutning kan derimot endres eller oppheves av EU-domstolen: det skjedde to ganger med avtalene med USA (modul 1, leksjon 1.4). For USA gjelder nå Data Privacy Framework, men bare for amerikanske selskaper som har sluttet seg til ordningen, og med den usikkerheten du så i leksjon 1.4.

Spørsmål 4: hvem andre har tilgang? Underdatabehandlere og fjerntilgang

En underdatabehandler er et annet selskap som leverandøren engasjerer, og som dermed behandler eller kan se dataene dine: datasenteret, en sikkerhetskopitjeneste, et selskap for e-postlevering, en kundestøtteavdeling i et annet land, en KI-tjeneste som oppsummerer e-poster. GDPR krever at leverandøren forteller deg på forhånd hvilke underdatabehandlere som brukes, og lar deg protestere mot nye (artikkel 28 i GDPR, leksjon 9.2).

Vær spesielt oppmerksom på fjerntilgang. Data som ligger i Amsterdam, men som en kundestøttemedarbeider i et land utenfor EØS kan se for å løse en feil, regnes ifølge de europeiske tilsynsmyndighetene også som overført. Et datasenter i Europa med en brukerstøtte som følger med døgnet rundt over hele verden, er dermed mindre europeisk enn det ser ut til.

Hvor finner du listen? Vanligvis som et vedlegg til databehandleravtalen eller på en egen side «underdatabehandlere» eller «sub-processors». Mangler listen, eller er den vag («vi samarbeider med nøye utvalgte partnere»), er det et varselsignal.

Spørsmål 5: hvem har nøkkelen?

Kryptering hjelper bare mot andre hvis de ikke har nøkkelen. Hos de fleste skytjenester er dataene dine kryptert underveis (https) og i hvile (på disken), men leverandøren har nøkkelen. Må leverandøren utlevere data, kan de dekryptere dem. Ved ende-til-ende-kryptering eller kryptering med en nøkkel som bare du forvalter, kan leverandøren ikke gjøre det. Det beskytter bedre, men har en pris: søking, felles redigering i nettleseren og gjenoppretting av et glemt passord fungerer da ofte ikke eller bare begrenset. Spør derfor: hvilke deler er ende-til-ende-kryptert, og hva kan jeg da ikke lenger gjøre?

«Sovereign cloud» fra amerikanske selskaper

De store amerikanske leverandørene svarer på etterspørselen etter suverenitet. Noen eksempler, slik at du kjenner igjen begrepene:

• Microsoft EU Data Boundary: Microsoft meldte i februar 2025 at kundedata fra Microsoft 365, Dynamics 365, Power Platform og de fleste Azure-tjenester lagres og behandles innenfor EU og EFTA-landene, inkludert kundestøttedata. Microsoft skriver selv at det i begrensede tilfeller fortsatt behandles data utenfor EU, for eksempel av sikkerhetshensyn. Microsoft forblir et amerikansk selskap. I juni 2025 forklarte juridisk direktør i Microsoft Frankrike under ed i det franske senatet at han ikke kan garantere at data aldri utleveres til amerikanske myndigheter uten samtykke.
• AWS European Sovereign Cloud: generelt tilgjengelig siden 15. januar 2026, med en første region i Brandenburg (Tyskland). Den drives av et tysk selskap med ansatte i EU og er teknisk adskilt fra resten av AWS. Det endelige morselskapet er Amazon. Analytikere peker på at CLOUD Act-risikoen dermed kan være mindre, men ikke påviselig er borte.
• Samarbeidsmodeller: i Frankrike og Tyskland finnes det europeiske selskaper som kjører amerikansk skyteknologi under lisens, slik at det europeiske selskapet har kontrollen. Om dette fungerer, avhenger av avtalene om oppdateringer, drift og tilgang.

Slike tjenester kan for enkelte organisasjoner være et rimelig mellomsteg. Men still dem de samme fem spørsmålene. Svaret på spørsmål 2 (eier) forblir annerledes hos disse tjenestene enn hos et selskap som er helt og holdent europeisk.

I praksis: slik ser det ut hos en leverandør

Ta en WebOké Nextcloud som eksempel. Etablering og eier: et nederlandsk aksjeselskap (bv). Datasenter: ifølge håndboken to nederlandske datasentre fra NorthC. Programvare: Nextcloud, laget av det tyske selskapet Nextcloud GmbH, med åpen kildekode. Nøkkelen til lagringskrypteringen ligger hos leverandøren; ende-til-ende-kryptering kan du selv aktivere per mappe. Hos andre europeiske leverandører, som andre Nextcloud-leverandører, mailbox.org, Infomaniak eller IONOS, leter du etter de samme fem svarene på de samme stedene: kontrakt, foretaksregister, databehandleravtale og liste over underdatabehandlere.

Oppsummering

• Et datasenter i Europa svarer bare på ett av de fem spørsmålene.
• De fem spørsmålene: etablering, reell eier, plassering av data og sikkerhetskopier, underdatabehandlere og fjerntilgang, og hvem som har nøkkelen.
• Et europeisk datterselskap av et amerikansk selskap kan likevel falle inn under CLOUD Act.
• Sveits og Storbritannia er ikke EU, men har en adekvansbeslutning; EØS er EU pluss Norge, Island og Liechtenstein.
• «Sovereign cloud»-tjenester fra amerikanske selskaper reduserer risikoer, men endrer ikke svaret på eierspørsmålet.

Quiz

Oppgave

Oppgave A2.1: Hvem mottar og sender e-post for domenet ditt? Fyll inn ditt eget domene. Programmet søker opp MX-postene og utvider SPF-posten din helt. Du fyller inn hvilke organisasjoner som mottar e-post for deg, og hvem som har lov til å sende e-post på dine vegne. Slik ser du på få minutter hvilke parter som allerede er involvert i e-posten din.

Oppgave E2.1: De fem spørsmålene for dine egne tjenester. Velg to tjenester du bruker i dag (for eksempel e-posten din og fillagringen din) og én mulig europeisk erstatning. Finn svarene på de fem spørsmålene for alle tre, med kilde ved siden av.

Videre lesning

Trinnene i disse artiklene gjelder for tjenestene til WebOké; hos andre leverandører fungerer det på lignende måte.

• Nextcloud-veiledning 1.1: Hva er Nextcloud og hva er en WebOké Nextcloud?
• Nextcloud-veiledning 3.1: Hvordan sikrer WebOké din Nextcloud?
• Nextcloud-veiledning 15.13: Ofte stilte spørsmål om sikkerhet og personvern
• EU-kommisjonen, oversikt over adekvansbeslutninger: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en
• CLOUD Act, 18 U.S.C. § 2713 (data «regardless of whether» de ligger i eller utenfor USA)