...
Det spørgsmål, alle stiller leverandøren, er hvor data ligger. Det er også det, der er lettest at svare ja til, og det afgør mindst.
Amerikansk lovgivning følger ejerskabet. Er selskabet amerikansk, eller er moderselskabet, kan amerikanske myndigheder kræve data udleveret, uanset om serverne står i Finland, Frankrig eller Danmark.
Og listen er længere end de tre lande, de fleste tænker på. I september 2025 fik canadisk politi en retskendelse til at kræve data fra en fransk cloud-udbyder. Data lå i Frankrig, Storbritannien og Australien. Politiet gik uden om den traktat, der findes til netop den slags, og direkte til udbyderens canadiske datterselskab.
Seksten sager fra arkivet viser, hvordan spørgsmålet ser ud i praksis.
Dataresidens er det, der bliver solgt: Et datacenter i Europa er konkret, målbart og let at markedsføre. Det juridiske lag er hverken synligt eller nemt at forklare i en salgssituation.
Underleverandørerne står ikke i kontrakten: En europæisk tjeneste kan køre hele sin drift på en amerikansk cloud. Det står i listen over underdatabehandlere, ikke i markedsføringen.
Investeringer bliver læst som suverænitet: Jo mere en udbyder investerer i Europa, jo lettere overses det lag, der ikke ændrer sig. En investering flytter servere. Den flytter ikke jurisdiktion.
Presset går den anden vej: I februar 2026 instruerede USA's udenrigsminister samtlige amerikanske ambassader i at modarbejde europæisk databeskyttelse. Persondataforordningen nævnes ved navn.
Fem sager om det, der allerede kører hos jer.
Fem sager, hvor data lå i Europa, og det ikke hjalp.
Seks sager om det juridiske landskab, spørgsmålet afgøres i.
Rækkefølgen betyder noget. De fleste stopper efter det første.
Hvor ligger data: Det enkleste lag. Det er også det, der giver falsk tryghed, hvis de to næste ikke er på plads.
Hvilken juridisk enhed leverer tjenesten: Ikke markedsføringsnavnet. Den enhed, kontrakten er indgået med, og hvor den er registreret.
Hvilken lov er den enhed underlagt: En europæisk adresse med et amerikansk moderselskab ændrer svaret fundamentalt.
Et fjerde spørgsmål hører med, og det er det, ingen sælger svarer på uopfordret: hvem har adgang til data, og under hvilke betingelser. Support fra lande uden for EU, underleverandører med privilegeret adgang, automatiserede processer der kopierer data.
Indtil for nylig havde ingen defineret, hvad suveræn betyder for en cloud-leverandør. Det har EU nu, og det er værd at kende, fordi det er den målestok, offentlige udbud kommer til at bruge.
Definitionen er ikke et krav om europæisk oprindelse. Den er et målbart spørgsmål om kontrol, opgjort som otte spørgsmål og en samlet score fra 0 til 100.
Kommissionen brugte værktøjet første gang i april 2026 ved valg af cloud-leverandører til en kontrakt på 180 millioner euro til egne institutioner. Den 1. juni udgav den metoden offentligt, fordi efterspørgslen var så stor.
Modellen fungerer i to trin. Først en minimumsgrænse, hvor en leverandør er ude, hvis den dumper bare ét af de otte områder. Derefter en vægtet score, hvor nogle områder tæller mere end andre.
Tilgangen er pragmatisk. Der findes ikke europæisk kapacitet til at løse alt med egne løsninger. I stedet måles det, der kan måles: hvor meget kontrol europæerne reelt har. Suverænitet bliver et spørgsmål om grader, og opgaven er at rykke opad.
Det er også en brugbar model for en virksomhed, der ikke er omfattet af noget udbud. Otte spørgsmål er til at gå til.
Listen over underdatabehandlere bliver ikke læst: Den findes, den er offentlig, og den afslører som regel hele billedet på ti minutter.
Kryptering forveksles med jurisdiktion: Krypterer I med egne nøgler, kan udbyderen ikke udlevere indholdet. Det beskytter mod indsigt. Det beskytter ikke mod, at tjenesten ophører.
Vurderingen laves én gang: Ejerskab skifter. En europæisk leverandør kan opkøbes, og jurisdiktionen følger med ejeren.
Alt behandles ens: De færreste organisationer skal flytte alt. Spørgsmålet er, hvilke to eller tre systemer der indeholder noget, det ville koste jer dyrt at få udleveret.
En jurisdiktions- og afhængighedsvurdering kortlægger, hvilken lovgivning hvert af jeres systemer er underlagt, og hvilke data der ligger hvor.
Skal et konkret leverandørtilbud eller en migrering vurderes, inden I skriver under, hører det under IT-rådgivning.
Jeg sælger ikke produkter og har ingen leverandørpartnerskaber. Nævner jeg et europæisk alternativ, er ejerskab, hosting, aktualitet og prismodel efterprøvet først.
Hvad der sker, når nogen faktisk bruger den adgang, behandles under hvem kan lukke jeres adgang. De tre lag i cloud-suverænitet og de øvrige mønstre ligger samlet under digital suverænitet.
Ved I, hvilken juridisk enhed jeres mailplatform er leveret af? Og hvilket land den enhed er registreret i?
Ring på 70 13 63 23 eller udfyld formularen.
Så tager vi en snak om jeres systemer og finder ud af, om jeg kan hjælpe.
