Placering er ikke det samme som kontrol
Mange tror at det er nok at vælge et EU-datacenter, og så er dataen under EU-kontrol. Men, det er ren marketing. Kontrollen er styret af virksomheden, og virksomheden er styret af den stat som den er registreret under.
Hvem kan tvinge jeres data frem?
Microsoft nægtede i 2013 at udlevere en brugers e-mails til USA på grund af at dataen var på servere i Irland. Oprindeligt vandt de sagen, men den endede i Højesteret. Før Højesteret kunne dømme sagen, fik den amerikanske kongres lavet CLOUD Act til lov som afgjorde sagen.
“CLOUD Act” gør at den amerikanske regering kan tvinge virksomheder til at udlevere data, uanset hvor serverne står hen. Den lovgivning er i konflikt med GDPR’s Artikel 48, der siger, at en udenlandsk myndigheds kendelse ikke i sig selv gør en dataudlevering lovlig.
EU-Domstolen underkendte i 2020 (Schrems II) aftalen om dataoverførsel til USA, netop fordi amerikansk overvågningslovgivning giver myndighederne adgang til EU-borgeres data uden reel retsbeskyttelse. Derfor er et EU-datacenter hos en amerikansk udbyder ikke i sig selv en løsning.
Hvornår betyder det noget - og hvornår ikke?
Det afhænger af hvor hemmelig dataen er. For hjemmesider hvor der ikke er noget hemmeligt kan du fint bruge hosting i USA.
Email, dokumentopbevaring og interne systemer er mere sårbare. Har du kunde- eller virksomhedshemmeligheder kan det også være risikabelt.
Hvad vi anbefaler
For de fleste virksomheder kan man godt bruge de store amerikanske hosting-partnere uden større bekymringer.
Men, flere og flere virksomheder er begyndt at kigge efter alternativer indenfor EU.
Mere information
- Microsoft-sagen om e-mails i Dublin fra EFF
- United States v. Microsoft (afvist som moot) fra Cornell LII