Syv år. Så lang tid tog det Frankrig at flytte millioner af borgeres sundhedsdata væk fra amerikansk cloud-infrastruktur og over på fransk jord. Danmark har endnu ikke startet den samtale.
Kontrakten der aldrig blev sendt i udbud
I 2019 valgte den franske stat en stor amerikansk cloud-leverandør som platform for landets nationale sundhedsdatabase. Kontrakten blev indgået uden offentligt udbud. Det franske datatilsyn reagerede med en kritisk udtalelse og nægtede at godkende permanent overførsel af det fulde datasæt. Begrundelsen: risikoen ved amerikansk lovgivnings ekstraterritoriale rækkevidde.
Baggrunden er beskrevet i gennemgangen af de tre spørgsmål, der afgør hvem der kan kræve jeres data.
Indrømmelsen under ed
I juni 2025 indrømmede den amerikanske leverandørs juridiske direktør under ed for det franske Senats undersøgelseskommission, at virksomheden ikke kan modsætte sig en amerikansk retskendelse rettet mod franske borgeres data. Heller ikke selvom data er hostet i Frankrig.
Året før havde Frankrig vedtaget en lov, der kræver at følsomme data hostes på infrastruktur med suverænitetsgaranti. Det udelukkede reelt alle udbydere under amerikansk lovgivning.
Ny udbyder valgt i april 2026
Den 23. april 2026 annoncerede Frankrig sin nye hosting-partner: en fransk cloud-udbyder ejet af en fransk koncern. Udvælgelsen tog to en halv måned og omfattede over 350 tekniske krav. Migrationen forventes afsluttet mellem slutningen af 2026 og begyndelsen af 2027.
Den nye udbyder har den obligatoriske franske certificering til sundhedsdata og arbejder mod en kvalifikation fra det franske cybersikkerhedsagentur, der eksplicit udelukker adgang via ikke-europæisk lovgivning. Samme måned vandt udbyderen en plads i EU-Kommissionens udbud på 180 millioner euro for suveræn cloud-infrastruktur.
Hvad med Danmark
I Danmark kører den fælles sundhedsplatform i to regioner på software fra en stor amerikansk leverandør. De to regioner bruger samlet 350 millioner kroner om året på systemet.
En juridisk rapport fra 2018 identificerede 22 risikopunkter. Blandt dem: Supportmedarbejdere hos leverandøren i USA og England har haft adgang til data om op mod 2,5 millioner danske patienter.
I februar 2026 rejste en gruppe sundhedsprofessionelle et borgerforslag med titlen “Et samlet journalsystem i Danmark, hvor data og milliarder af kroner ikke går til USA.”
Vinduet er nu
Fra 2027 samles flere danske sundhedsdataorganisationer i én ny enhed. Det er præcis det vindue, hvor suverænitetsspørgsmålet skal ind, før arkitekturen er låst.
Frankrig brugte syv år på at nå fra bekymring til handling. Datatilsynet advarede. Senatet undersøgte. En lov blev vedtaget. En udbyder blev valgt.
Spørgsmålet er ikke, om sundhedsdata er for følsomme til at ligge hos en amerikansk leverandør. Det svarede Frankrig på den 23. april. Spørgsmålet er, hvornår Danmark tager stilling.
En uafhængig IT-rådgivning kan hjælpe med at vurdere jeres organisations eksponering over for ikke-europæisk jurisdiktion og kortlægge alternativer, før arkitekturen er låst.
Hvornår tager jeres organisation stilling til, under hvilken jurisdiktion jeres mest følsomme data behandles?
Har du brug for rådgivning om datasuverænitet og leverandørafhængighed?
Kontakt Nielco IT på telefon 70 13 63 23 eller via kontaktformularen.
