Stikkord: cloudact

Kontrollert kryptert dataflyt mellom europeisk og amerikansk sky med sjekkliste for personvern

Kan man lagre personopplysninger i amerikanske skyløsninger?

Skrevet av Svein Tore den mai 22, 2026. Publisert i IT-sikkerhet. 1 kommentar til Kan man lagre personopplysninger i amerikanske skyløsninger?

Ja, norske virksomheter kan lagre og behandle personopplysninger i amerikanske skyløsninger. Det er ikke automatisk ulovlig å bruke en amerikansk leverandør. Men virksomheten må vite om personopplysninger faktisk overføres til USA, hvilket overføringsgrunnlag som brukes, og om resten av behandlingen oppfyller GDPR.

Det korte svaret er derfor ikke et ubetinget ja eller nei. Microsoft 365, Google Workspace og andre amerikanske skytjenester må vurderes ut fra den konkrete tjenesten, avtaleparten, underleverandørene, tilgangene og opplysningene som behandles.

Denne artikkelen gir en praktisk fremgangsmåte. Den er generell informasjon og ikke juridisk rådgivning i en konkret sak.

Først: Det finnes ikke en egen kategori som heter «GDPR-data»

GDPR gjelder personopplysninger: opplysninger som kan knyttes til en identifisert eller identifiserbar person. Det kan være navn, e-postadresse, kundenummer, IP-adresse, posisjonsdata, bilder eller opplysninger om arbeidsforhold.

Noen opplysninger krever ekstra beskyttelse. Det gjelder blant annet helseopplysninger, biometriske opplysninger brukt til entydig identifikasjon, politisk oppfatning og fagforeningsmedlemskap. Risikoen øker også når opplysningene brukes i stort omfang, til overvåking eller til beslutninger som får betydelige konsekvenser for mennesker.

Før virksomheten vurderer leverandørland, må den derfor kartlegge hvilke personopplysninger tjenesten skal behandle, hvorfor de behandles, og hvor alvorlig konsekvensen kan bli dersom noe går galt.

Når er bruk av en skytjeneste en overføring til et tredjeland?

GDPR kapittel V gjelder når en behandlingsansvarlig eller databehandler som omfattes av GDPR, gjør personopplysninger tilgjengelige for en annen behandlingsansvarlig eller databehandler i et land utenfor EØS.

Det europeiske personvernrådet beskriver kriteriene i sine retningslinjer om internasjonale overføringer. En overføring kan skje ved lagring, men også ved fjernaksess, support, administrasjon eller annen tilgjengeliggjøring fra et tredjeland.

Leverandørens nasjonalitet er ikke alene avgjørende. En amerikansk eier betyr ikke automatisk at enhver behandling i et europeisk datterselskap er en overføring til USA. Samtidig er «data lagres i Europa» ikke nok dersom amerikanske enheter eller andre underleverandører kan få tilgang fra et tredjeland.

Virksomheten må kartlegge den faktiske dataflyten, ikke bare lese adressen til datasenteret.

Overføring til en DPF-sertifisert virksomhet

EU-kommisjonen vedtok 10. juli 2023 en beslutning om tilstrekkelig beskyttelsesnivå for EU-US Data Privacy Framework, forkortet DPF. Beslutningen gjelder amerikanske kommersielle virksomheter som deltar i rammeverket.

Når den konkrete amerikanske mottakeren står på den offisielle DPF-listen, kan overføringen bygge på beslutningen etter GDPR artikkel 45. Det kreves da ikke et eget overføringsverktøy etter artikkel 46 for den aktuelle overføringen.

Kontrollen må være konkret:

Stemmer navnet på den sertifiserte virksomheten med den juridiske mottakeren i avtalen?
Er sertifiseringen aktiv?
Dekker oppføringen de aktuelle personopplysningene og tjenestene?
Er eventuelle amerikanske underleverandører også dekket, eller brukes et annet grunnlag for dem?

EDPBs oppdaterte spørsmål og svar fra 2026 forklarer hva europeiske virksomheter bør kontrollere før de bruker DPF som overføringsgrunnlag.

Når mottakeren ikke står på DPF-listen

Hvis mottakeren ikke omfattes av DPF, må virksomheten finne et annet gyldig overføringsgrunnlag. Vanlige alternativer er EUs standard personvernbestemmelser, Standard Contractual Clauses eller SCC, og bindende virksomhetsregler i konsern.

Et signert sett med standardklausuler er ikke nødvendigvis slutten på vurderingen. Etter Schrems II må virksomheten undersøke om avtalen gir reell beskyttelse i den konkrete overføringen. Det kan være nødvendig med en vurdering av lovgivning, praksis, datatyper, mottaker og tekniske tiltak. Denne vurderingen omtales ofte som en Transfer Impact Assessment.

Aktuelle supplerende tiltak kan være sterk kryptering, kundestyrte nøkler, pseudonymisering, begrenset fjernaksess og tydelige rutiner for myndighetsforespørsler. Tiltaket må faktisk beskytte mot den identifiserte risikoen. Kryptering er ikke et tilstrekkelig svar dersom mottakeren trenger både data og nøkkel i klartekst for å levere tjenesten.

Den juridiske utviklingen etter Schrems II og statusen for DPF er forklart mer detaljert i Hva betyr Schrems II for skylagring?

DPF løser bare overføringsdelen

En DPF-oppføring gjør ikke en skytjeneste automatisk i samsvar med GDPR. Beslutningen løser spørsmålet om overføringsgrunnlag for en kvalifisert mottaker. Alle de vanlige pliktene gjelder fortsatt.

Virksomheten må blant annet ha:

et gyldig behandlingsgrunnlag for formålet
tydelig informasjon til de registrerte
dataminimering og hensiktsmessige lagringstider
databehandleravtale når leverandøren er databehandler
kontroll med underleverandører
egnede tekniske og organisatoriske sikkerhetstiltak
rutiner for innsyn, retting, sletting og dataportabilitet
vurdering av personvernkonsekvenser når behandlingen sannsynligvis medfører høy risiko

Det er fullt mulig å ha et gyldig overføringsgrunnlag og samtidig bryte andre deler av GDPR. Det motsatte gjelder også: En sikker og nyttig tjeneste kan ikke brukes lovlig hvis selve overføringen mangler grunnlag.

Hva betyr europeisk datalagring?

Valg av europeisk dataregion kan redusere dataflyt, forsinkelse og enkelte juridiske risikoer. Det kan også være et viktig krav i kontrakten. Men ord som «EU data residency» eller «European region» må oversettes til konkrete svar.

Spør leverandøren:

Ligger hoveddata, sikkerhetskopier og logger i EØS?
Kan support eller driftspersonell utenfor EØS få tilgang?
Flyttes telemetri, søkeindekser eller sikkerhetsdata til andre regioner?
Kan kunden begrense underleverandører og fjernaksess?
Hvilken juridisk enhet mottar personopplysningene?

En kontrakt som sier «data lagres i Europa» kan være verdifull, men den erstatter ikke et kart over hele behandlingskjeden.

Er europeisk eller egen drift alltid tryggere?

Nei. En europeisk leverandør kan forenkle tredjelandsvurderingen, men må fortsatt ha god sikkerhet, ryddige avtaler og kontroll med underleverandører. En feilkonfigurert europeisk skytjeneste kan være mindre sikker enn en godt konfigurert global tjeneste.

Egen drift gir større teknisk kontroll, men flytter også ansvaret for oppdateringer, sikkerhetskopi, overvåking, tilgangsstyring og hendelseshåndtering til virksomheten. Kontroll uten kapasitet og kompetanse er ikke det samme som beskyttelse.

Leverandørvalg bør derfor bygge på en samlet vurdering av personvern, sikkerhet, funksjon, kompetanse, kostnad og mulighet for å bytte løsning senere.

En praktisk beslutningsrekkefølge

Kartlegg opplysningene. Hvilke personopplysninger skal behandles, og hvor risikofylte er de?
Kartlegg aktørene. Finn avtalepart, databehandlere, underleverandører og land.
Finn dataflyten. Ta med lagring, sikkerhetskopi, fjernsupport, administrasjon og logger.
Fastslå overføringsgrunnlaget. Kontroller DPF-oppføring eller dokumenter et annet grunnlag.
Vurder faktisk beskyttelse. Ved behov, gjennomfør TIA og velg supplerende tiltak.
Kontroller resten av GDPR. Formål, behandlingsgrunnlag, avtaler, sikkerhet, rettigheter og sletting gjelder uansett.
Dokumenter og følg opp. Gjennomgå vurderingen når tjenesten, underleverandørene eller rettstilstanden endres.

Vanlige spørsmål

Er Microsoft 365 eller Google Workspace automatisk ulovlig?

Nei. Lovligheten avhenger av oppsettet, dataflyten, den juridiske mottakeren, overføringsgrunnlaget og hvordan virksomheten oppfyller øvrige GDPR-krav.

Holder det at leverandøren er DPF-sertifisert?

DPF kan gi overføringsgrunnlag til den sertifiserte mottakeren. Virksomheten må fortsatt kontrollere om oppføringen dekker mottakeren og behandlingen, og den må oppfylle resten av GDPR.

Holder det at serveren står i Europa?

Ikke nødvendigvis. Fjernaksess, support, underleverandører og andre dataflyter kan fortsatt innebære overføring til et tredjeland.

Er en europeisk leverandør alltid best?

Ikke alltid. Europeisk jurisdiksjon kan redusere kompleksiteten, men tjenestens sikkerhet, funksjonalitet, avtaler og virksomhetens egen kapasitet må også vurderes.

Konklusjon

Amerikanske skyløsninger kan brukes lovlig til behandling av personopplysninger, men virksomheten må kunne vise hvorfor den konkrete behandlingen er lovlig og forsvarlig. DPF har gjort overføring til sertifiserte amerikanske virksomheter enklere enn i årene rett etter Schrems II. Det har ikke fjernet ansvaret for datakartlegging, leverandørkontroll, sikkerhet og dokumentasjon.

Det tryggeste svaret kommer derfor ikke fra leverandørens flagg eller markedsføring. Det kommer fra en dokumentert oversikt over data, aktører, tilgang, overføringsgrunnlag og tiltak.

Kilder og videre lesning

Artikkelen ble vesentlig oppdatert 16. september 2026 for å ta inn EU-US Data Privacy Framework og gjeldende veiledning om tredjelandsoverføringer.

Illustrasjon av globale datasentre som lagrer Microsoft 365-data

Hvor lagres dataene i Microsoft 365?

Skrevet av Svein Tore den mai 15, 2026. Publisert i IT-sikkerhet. Ingen kommentarer til Hvor lagres dataene i Microsoft 365?

Hvor Microsoft 365-data lagres, avhenger av tenantens geografi, den enkelte tjenesten og hvilke datalagringsforpliktelser abonnementet omfatter. En global administrator kan kontrollere gjeldende og forpliktet geografi i Microsoft 365-administrasjonssenteret. Det er mer presist enn å anta at alle data ligger i Norge, Europa eller ett bestemt datasenter.

For en norsk virksomhet er fysisk lagringssted bare én del av vurderingen. Det er også nødvendig å forstå hvilke data forpliktelsen dekker, hvordan tjenestene behandler drifts- og supportdata, hvilke underleverandører som brukes, og om personopplysninger kan bli overført ut av EØS.

Slik finner du tenantens faktiske datageografi

Microsoft har et eget datalokasjonskort i administrasjonssenteret. En global administrator kan gå til Innstillinger → Organisasjonsinnstillinger → Organisasjonsprofil → Dataplassering. Kortet viser de omfattede tjenestene, nåværende geografi og geografi Microsoft har forpliktet seg til å bruke for de aktuelle dataene.

Microsoft beskriver fremgangsmåten i dokumentasjonen for Data Location Card. Denne kontrollen bør dokumenteres med dato, fordi tjenesteomfang, abonnement og Microsofts produktvilkår kan endres.

Et geografisk navn i administrasjonssenteret betyr normalt en region eller et land med en bestemt datalagringsforpliktelse. Det betyr ikke nødvendigvis at alle dataelementer, logger, supportdata og sikkerhetskopier befinner seg i ett bestemt bygg.

Microsoft 365 består av flere tjenester

Exchange Online, SharePoint, OneDrive, Teams, Entra ID, Purview, Defender og Copilot er forskjellige tjenester med ulike datatyper og datalagringsbeskrivelser. Teams-filer ligger for eksempel ofte i SharePoint eller OneDrive, mens meldinger og andre tjenestedata kan håndteres i andre komponenter.

Microsofts oversikt over hvor Microsoft 365-kundedata lagres lenker videre til tjenestespesifikke beskrivelser. Det er derfor tryggere å kontrollere hver kritiske arbeidslast enn å bruke én generell setning om «Microsoft 365-data».

Hva betyr data i ro?

Datalagringsforpliktelser gjelder ofte kundedata i ro, altså data som er lagret i tjenesten. Begrepet må leses sammen med Microsofts definisjoner og vilkår. Det kan være forskjell på innhold kunden legger inn, kontoinformasjon, systemgenererte logger, diagnostikk, supportdata og midlertidig behandling.

En virksomhet bør derfor spørre:

Hvilke datatyper er uttrykkelig omfattet av forpliktelsen?
Gjelder den både lagring og behandling?
Hvilke begrensede overføringer eller unntak beskriver leverandøren?
Gjelder den nåværende abonnementstype og tenant?
Hvordan håndteres support, feilsøking, sikkerhet og underleverandører?

Dette skillet er viktig når en risikovurdering skal dokumentere mer enn bare navnet på en region.

Norge, EU/EFTA og Advanced Data Residency

Norge er oppført blant Microsofts lokale regiongeografier. Microsoft tilbyr også Advanced Data Residency, som gir kvalifiserte kunder utvidede datalagringsforpliktelser for flere tjenester og datatyper. Tillegget krever at tenant og lisenser oppfyller vilkårene, og det dekker ikke automatisk enhver Microsoft-tjeneste.

Dokumentasjonen for Advanced Data Residency beskriver kvalifisering, tjenesteomfang og lisenskrav. Virksomheter med et konkret krav om norsk eller lokal lagring bør kontrollere at kravet faktisk er dekket av gjeldende produktvilkår, ikke bare at Norge finnes på en liste over datasenterregioner.

For andre kunder kan den forpliktede geografien være EU/EFTA eller en europeisk makroregion. Den eksakte statusen må leses fra tenantens datalokasjonskort og sammenholdes med dokumentasjonen for hver tjeneste.

EU Data Boundary dekker mer enn lagring, men har avgrensninger

Microsofts EU Data Boundary er en geografisk avgrensning der selskapet har forpliktet seg til å lagre og behandle bestemte kundedata og personopplysninger for omfattede nettjenester. Dokumentasjonen omfatter blant annet Microsoft 365, men beskriver også begrensede situasjoner der data fortsatt kan overføres utenfor grensen.

Det er derfor ikke presist å tolke EU Data Boundary som et løfte om at absolutt all behandling alltid skjer innenfor EU og EFTA. Virksomheten må kontrollere tjenesten, datatypen og unntakene i den gjeldende EU Data Boundary-dokumentasjonen.

Fysisk lagring og rettslig kontroll er ulike spørsmål

Et datasenter i Europa gir viktig informasjon om hvor data er lagret, men avgjør ikke alene alle spørsmål om tilgang og jurisdiksjon. Leverandørens selskapsstruktur, avtalene, underleverandørene og lovgivningen leverandøren er underlagt kan også være relevante.

CLOUD Act er en amerikansk lov som under bestemte vilkår kan brukes til å kreve data fra amerikanske tjenesteleverandører, også når data er lagret utenfor USA. Det betyr ikke at amerikanske myndigheter har fri eller automatisk tilgang til alle Microsoft 365-data. Krav må følge rettslige prosesser, og leverandøren kan ha mulighet eller plikt til å vurdere og bestride dem. Den mer detaljerte artikkelen om CLOUD Act forklarer forskjellen mellom lagringssted og leverandørens rettslige tilknytning.

Overføring ut av EØS må vurderes konkret

Datatilsynet understreker at overføring av personopplysninger ut av EØS krever et særskilt grunnlag. Behandling i EØS er i utgangspunktet ikke en tredjelandsoverføring, men vurderingen stopper ikke alltid ved serverens plassering. Fjernaksess, support, underleverandører og tredjelands lovgivning kan påvirke analysen.

Virksomheten bør kartlegge dataflyten og bruke Datatilsynets oppdaterte veiledning om overføring av personopplysninger ut av EØS. For behandlinger med høy risiko eller særlige kategorier opplysninger kan det være nødvendig med juridisk og personvernfaglig bistand.

Schrems II-artikkelen forklarer hvorfor overføringsgrunnlag og tilleggstiltak fortsatt må vurderes, selv om det senere er etablert nye ordninger mellom EU og USA.

Dataplassering løser ikke sikkerhet og backup

En datalagringsforpliktelse sier ikke i seg selv at tilgangene er riktige, at slettede data kan gjenopprettes, eller at virksomheten har en uavhengig backup. Microsoft beskytter infrastrukturen og tilbyr flere sikkerhets- og gjenopprettingsfunksjoner, mens kunden fortsatt må forvalte brukere, administratorroller, deling, oppbevaring og egen beredskap.

Virksomheten bør skille mellom tilgjengelighet i tjenesten, versjonshistorikk, oppbevaringsregler og en sikkerhetskopi som dekker egne krav. Guiden om sikker datalagring for bedrifter viser hvordan tilgang, kryptering, backup, sletting og leverandørbytte kan vurderes samlet.

En praktisk kontroll i sju trinn

Åpne datalokasjonskortet. Noter nåværende og forpliktet geografi per tjeneste.
Kartlegg arbeidslastene. Skill mellom Exchange, SharePoint, OneDrive, Teams og øvrige tjenester.
Les tjenestedokumentasjonen. Kontroller hvilke kundedata og datatyper som er omfattet.
Kontroller abonnementet. Avklar om tenant har ordinær, Multi-Geo eller Advanced Data Residency-forpliktelse.
Kartlegg dataflyt. Ta med support, underleverandører, integrasjoner, diagnostikk og fjernaksess.
Vurder personvern og avtaler. Dokumenter behandlingsgrunnlag, databehandleravtale og eventuelle tredjelandsoverføringer.
Kontroller sikkerhet og gjenoppretting. Test tilganger, logging, oppbevaring, eksport og backup uavhengig av lagringsstedet.

Vanlige spørsmål

Ligger alle norske Microsoft 365-data i Norge?

Ikke nødvendigvis. Norge er en lokal regiongeografi, men faktisk og forpliktet geografi avhenger av tenant, tjeneste og datalagringsordning. Kontroller datalokasjonskortet og den tjenestespesifikke dokumentasjonen.

Ligger alle data i EU hvis administrasjonssenteret viser Europa?

Ikke bruk geografietiketten alene som dokumentasjon for all lagring og behandling. Kontroller hvilke data som omfattes, om regionen er Europa eller EU/EFTA, og hvilke unntak og overføringer som er beskrevet.

Betyr europeisk lagring at CLOUD Act er irrelevant?

Nei. Fysisk plassering og leverandørens rettslige tilknytning er forskjellige spørsmål. Samtidig er det misvisende å beskrive CLOUD Act som automatisk myndighetstilgang. Risikoen må vurderes konkret sammen med avtaler, kryptering, datatyper og øvrige tiltak.

Er Microsoft 365 lovlig å bruke for personopplysninger?

Det kan være lovlig, men svaret avhenger av behandlingen, konfigurasjonen, avtalene, risikoen og dataflyten. Virksomheten er ansvarlig for å dokumentere at personvernkravene er oppfylt for sin bruk.

Konklusjon

Det riktige svaret på hvor Microsoft 365-data lagres finnes i tenantens datalokasjonskort og i dokumentasjonen for den enkelte tjenesten. For norske virksomheter kan data være omfattet av norsk, EU/EFTA- eller annen europeisk datalagring, avhengig av tenant og avtale.

En forsvarlig vurdering kombinerer fysisk lagringssted med dataflyt, leverandørkontroll, personvern, sikkerhet og gjenoppretting. Da blir datalokasjon et dokumentert beslutningsgrunnlag, ikke bare en antakelse.