…

 

Hvilken lov gælder for jeres data

Serverne står i Europa. Loven, der gælder for dem, gør ikke

Det spørgsmål, alle stiller leverandøren, er hvor data ligger. Det er også det, der er lettest at svare ja til, og det afgør mindst.

Amerikansk lovgivning følger ejerskabet. Er selskabet amerikansk, eller er moderselskabet, kan amerikanske myndigheder kræve data udleveret, uanset om serverne står i Finland, Frankrig eller Danmark.

Og listen er længere end de tre lande, de fleste tænker på. I september 2025 fik canadisk politi en retskendelse til at kræve data fra en fransk cloud-udbyder. Data lå i Frankrig, Storbritannien og Australien. Politiet gik uden om den traktat, der findes til netop den slags, og direkte til udbyderens canadiske datterselskab.

Seksten sager fra arkivet viser, hvordan spørgsmålet ser ud i praksis.

Hvorfor det gentager sig

Dataresidens er det, der bliver solgt: Et datacenter i Europa er konkret, målbart og let at markedsføre. Det juridiske lag er hverken synligt eller nemt at forklare i en salgssituation.

Underleverandørerne står ikke i kontrakten: En europæisk tjeneste kan køre hele sin drift på en amerikansk cloud. Det står i listen over underdatabehandlere, ikke i markedsføringen.

Investeringer bliver læst som suverænitet: Jo mere en udbyder investerer i Europa, jo lettere overses det lag, der ikke ændrer sig. En investering flytter servere. Den flytter ikke jurisdiktion.

Presset går den anden vej: I februar 2026 instruerede USA’s udenrigsminister samtlige amerikanske ambassader i at modarbejde europæisk databeskyttelse. Persondataforordningen nævnes ved navn.

Jeres daglige værktøjer er underlagt amerikansk lov

Fem sager om det, der allerede kører hos jer.

• Næsten al kommunikation er underlagt amerikansk lovgivning: Mail, chat og møder ligger som regel samme sted.
• Dokumentdelingen er underlagt Cloud Act: Filerne kan kræves udleveret uden at I får det at vide.
• Tjek jeres mailplatform: Platformen er valgt for år siden og aldrig vurderet på jurisdiktion.
• Kan en amerikansk præsident lukke jeres adgang: Spørgsmålet er ikke retorisk, og svaret afhænger af hvilken juridisk enhed I har kontrakt med.
• 20 procent af internettet kører på én amerikansk udbyder: Jeres hjemmeside kan afhænge af den, uden at I har en aftale med dem.

Geografien afgør ingenting

Fem sager, hvor data lå i Europa, og det ikke hjalp.

• Data i Finland er ikke finsk jurisdiktion: En finsk tjeneste med egen europæisk model og data i Finland. Hele driften kørte på en amerikansk cloud, hvilket stod i listen over underdatabehandlere.
• Canadisk ret krævede data fra franske servere: Politiet gik uden om traktaten og via udbyderens canadiske datterselskab. Fransk lov straffer netop det med op til seks måneders fængsel.
• Europæisk platformdrift er ikke suverænitet: Driften kan være europæisk. Ejeren afgør, hvilken lov der gælder.
• Sovereignty washing: Europæisk datacenter, amerikansk ejerskab. Nyt ord for et gammelt problem.
• Investeringer ændrer ikke loven: Milliarder i europæisk infrastruktur flytter det første lag. Det tredje står stille.

Reguleringen bevæger sig, i begge retninger

Seks sager om det juridiske landskab, spørgsmålet afgøres i.

• EU har defineret, hvad suveræn betyder: Otte spørgsmål og en score fra 0 til 100. Ikke et krav om europæisk oprindelse, men et målbart spørgsmål om kontrol.
• Suverænitetspakken gælder begge veje: Afhængighed er ikke kun et amerikansk spørgsmål.
• Ambassaderne er instrueret i at modarbejde databeskyttelsen: Instruksen fra februar 2026 nævner persondataforordningen ved navn som unødvendigt byrdefuld.
• NIS2 kræver en jurisdiktionsvurdering: Kravet er der allerede. De færreste har lavet den.
• Kryptering har en udløbsdato: Data, der opsamles i dag, kan dekrypteres senere. EU peger på 2030 for kritisk infrastruktur.
• Frankrig flytter sundhedsdata væk: Kontrakten fra 2019 blev aldrig sendt i udbud. Beslutningen om at flytte kom bagefter.

De tre spørgsmål, der faktisk afgør det

Rækkefølgen betyder noget. De fleste stopper efter det første.

Hvor ligger data: Det enkleste lag. Det er også det, der giver falsk tryghed, hvis de to næste ikke er på plads.

Hvilken juridisk enhed leverer tjenesten: Ikke markedsføringsnavnet. Den enhed, kontrakten er indgået med, og hvor den er registreret.

Hvilken lov er den enhed underlagt: En europæisk adresse med et amerikansk moderselskab ændrer svaret fundamentalt.

Et fjerde spørgsmål hører med, og det er det, ingen sælger svarer på uopfordret: hvem har adgang til data, og under hvilke betingelser. Support fra lande uden for EU, underleverandører med privilegeret adgang, automatiserede processer der kopierer data.

Hvad EU’s egen definition måler

Indtil for nylig havde ingen defineret, hvad suveræn betyder for en cloud-leverandør. Det har EU nu, og det er værd at kende, fordi det er den målestok, offentlige udbud kommer til at bruge.

Definitionen er ikke et krav om europæisk oprindelse. Den er et målbart spørgsmål om kontrol, opgjort som otte spørgsmål og en samlet score fra 0 til 100.

Kommissionen brugte værktøjet første gang i april 2026 ved valg af cloud-leverandører til en kontrakt på 180 millioner euro til egne institutioner. Den 1. juni udgav den metoden offentligt, fordi efterspørgslen var så stor.

Modellen fungerer i to trin. Først en minimumsgrænse, hvor en leverandør er ude, hvis den dumper bare ét af de otte områder. Derefter en vægtet score, hvor nogle områder tæller mere end andre.

Tilgangen er pragmatisk. Der findes ikke europæisk kapacitet til at løse alt med egne løsninger. I stedet måles det, der kan måles: hvor meget kontrol europæerne reelt har. Suverænitet bliver et spørgsmål om grader, og opgaven er at rykke opad.

Det er også en brugbar model for en virksomhed, der ikke er omfattet af noget udbud. Otte spørgsmål er til at gå til.

Hvad der går galt, når forsvaret bygges

Listen over underdatabehandlere bliver ikke læst: Den findes, den er offentlig, og den afslører som regel hele billedet på ti minutter.

Kryptering forveksles med jurisdiktion: Krypterer I med egne nøgler, kan udbyderen ikke udlevere indholdet. Det beskytter mod indsigt. Det beskytter ikke mod, at tjenesten ophører.

Vurderingen laves én gang: Ejerskab skifter. En europæisk leverandør kan opkøbes, og jurisdiktionen følger med ejeren.

Alt behandles ens: De færreste organisationer skal flytte alt. Spørgsmålet er, hvilke to eller tre systemer der indeholder noget, det ville koste jer dyrt at få udleveret.

Hvad I kan gøre

1. Find listen over underdatabehandlere hos jeres tre vigtigste leverandører: Den er offentlig og står som regel i databehandleraftalen eller på leverandørens hjemmeside.
2. Skriv ned, hvilken juridisk enhed hver kontrakt er indgået med: Navn, registreringsland og moderselskab.
3. Klassificér, hvilke data der reelt ville gøre skade: Personoplysninger, kontrakter, produktionsdata, patientdata. Ikke alt er lige udsat.
4. Bed om svar på det fjerde spørgsmål: Hvem har adgang, hvorfra, og kan I få en log over det.
5. Tag jurisdiktionsvurderingen med i næste NIS2-dokumentation: Kravet er der allerede, og arbejdet skal alligevel gøres.

Hvilken ydelse afdækker det

En jurisdiktions- og afhængighedsvurdering kortlægger, hvilken lovgivning hvert af jeres systemer er underlagt, og hvilke data der ligger hvor.

Skal et konkret leverandørtilbud eller en migrering vurderes, inden I skriver under, hører det under IT-rådgivning.

Jeg sælger ikke produkter og har ingen leverandørpartnerskaber. Nævner jeg et europæisk alternativ, er ejerskab, hosting, aktualitet og prismodel efterprøvet først.

Beslægtede mønstre

Hvad der sker, når nogen faktisk bruger den adgang, behandles under hvem kan lukke jeres adgang. De tre lag i cloud-suverænitet og de øvrige mønstre ligger samlet under digital suverænitet.

Find ud af, hvilken lov der gælder hos jer

Ved I, hvilken juridisk enhed jeres mailplatform er leveret af? Og hvilket land den enhed er registreret i?

Ring på 70 13 63 23 eller udfyld formularen.

Så tager vi en snak om jeres systemer og finder ud af, om jeg kan hjælpe.