Skip to main content

Stikkord: jurisdiksjon

Illustrasjon av globale datasentre som lagrer Microsoft 365-data

Hvor lagres dataene i Microsoft 365?

Hvor Microsoft 365-data lagres, avhenger av tenantens geografi, den enkelte tjenesten og hvilke datalagringsforpliktelser abonnementet omfatter. En global administrator kan kontrollere gjeldende og forpliktet geografi i Microsoft 365-administrasjonssenteret. Det er mer presist enn å anta at alle data ligger i Norge, Europa eller ett bestemt datasenter.

For en norsk virksomhet er fysisk lagringssted bare én del av vurderingen. Det er også nødvendig å forstå hvilke data forpliktelsen dekker, hvordan tjenestene behandler drifts- og supportdata, hvilke underleverandører som brukes, og om personopplysninger kan bli overført ut av EØS.

Slik finner du tenantens faktiske datageografi

Microsoft har et eget datalokasjonskort i administrasjonssenteret. En global administrator kan gå til Innstillinger → Organisasjonsinnstillinger → Organisasjonsprofil → Dataplassering. Kortet viser de omfattede tjenestene, nåværende geografi og geografi Microsoft har forpliktet seg til å bruke for de aktuelle dataene.

Microsoft beskriver fremgangsmåten i dokumentasjonen for Data Location Card. Denne kontrollen bør dokumenteres med dato, fordi tjenesteomfang, abonnement og Microsofts produktvilkår kan endres.

Et geografisk navn i administrasjonssenteret betyr normalt en region eller et land med en bestemt datalagringsforpliktelse. Det betyr ikke nødvendigvis at alle dataelementer, logger, supportdata og sikkerhetskopier befinner seg i ett bestemt bygg.

Microsoft 365 består av flere tjenester

Exchange Online, SharePoint, OneDrive, Teams, Entra ID, Purview, Defender og Copilot er forskjellige tjenester med ulike datatyper og datalagringsbeskrivelser. Teams-filer ligger for eksempel ofte i SharePoint eller OneDrive, mens meldinger og andre tjenestedata kan håndteres i andre komponenter.

Microsofts oversikt over hvor Microsoft 365-kundedata lagres lenker videre til tjenestespesifikke beskrivelser. Det er derfor tryggere å kontrollere hver kritiske arbeidslast enn å bruke én generell setning om «Microsoft 365-data».

Hva betyr data i ro?

Datalagringsforpliktelser gjelder ofte kundedata i ro, altså data som er lagret i tjenesten. Begrepet må leses sammen med Microsofts definisjoner og vilkår. Det kan være forskjell på innhold kunden legger inn, kontoinformasjon, systemgenererte logger, diagnostikk, supportdata og midlertidig behandling.

En virksomhet bør derfor spørre:

  • Hvilke datatyper er uttrykkelig omfattet av forpliktelsen?
  • Gjelder den både lagring og behandling?
  • Hvilke begrensede overføringer eller unntak beskriver leverandøren?
  • Gjelder den nåværende abonnementstype og tenant?
  • Hvordan håndteres support, feilsøking, sikkerhet og underleverandører?

Dette skillet er viktig når en risikovurdering skal dokumentere mer enn bare navnet på en region.

Norge, EU/EFTA og Advanced Data Residency

Norge er oppført blant Microsofts lokale regiongeografier. Microsoft tilbyr også Advanced Data Residency, som gir kvalifiserte kunder utvidede datalagringsforpliktelser for flere tjenester og datatyper. Tillegget krever at tenant og lisenser oppfyller vilkårene, og det dekker ikke automatisk enhver Microsoft-tjeneste.

Dokumentasjonen for Advanced Data Residency beskriver kvalifisering, tjenesteomfang og lisenskrav. Virksomheter med et konkret krav om norsk eller lokal lagring bør kontrollere at kravet faktisk er dekket av gjeldende produktvilkår, ikke bare at Norge finnes på en liste over datasenterregioner.

For andre kunder kan den forpliktede geografien være EU/EFTA eller en europeisk makroregion. Den eksakte statusen må leses fra tenantens datalokasjonskort og sammenholdes med dokumentasjonen for hver tjeneste.

EU Data Boundary dekker mer enn lagring, men har avgrensninger

Microsofts EU Data Boundary er en geografisk avgrensning der selskapet har forpliktet seg til å lagre og behandle bestemte kundedata og personopplysninger for omfattede nettjenester. Dokumentasjonen omfatter blant annet Microsoft 365, men beskriver også begrensede situasjoner der data fortsatt kan overføres utenfor grensen.

Det er derfor ikke presist å tolke EU Data Boundary som et løfte om at absolutt all behandling alltid skjer innenfor EU og EFTA. Virksomheten må kontrollere tjenesten, datatypen og unntakene i den gjeldende EU Data Boundary-dokumentasjonen.

Fysisk lagring og rettslig kontroll er ulike spørsmål

Et datasenter i Europa gir viktig informasjon om hvor data er lagret, men avgjør ikke alene alle spørsmål om tilgang og jurisdiksjon. Leverandørens selskapsstruktur, avtalene, underleverandørene og lovgivningen leverandøren er underlagt kan også være relevante.

CLOUD Act er en amerikansk lov som under bestemte vilkår kan brukes til å kreve data fra amerikanske tjenesteleverandører, også når data er lagret utenfor USA. Det betyr ikke at amerikanske myndigheter har fri eller automatisk tilgang til alle Microsoft 365-data. Krav må følge rettslige prosesser, og leverandøren kan ha mulighet eller plikt til å vurdere og bestride dem. Den mer detaljerte artikkelen om CLOUD Act forklarer forskjellen mellom lagringssted og leverandørens rettslige tilknytning.

Overføring ut av EØS må vurderes konkret

Datatilsynet understreker at overføring av personopplysninger ut av EØS krever et særskilt grunnlag. Behandling i EØS er i utgangspunktet ikke en tredjelandsoverføring, men vurderingen stopper ikke alltid ved serverens plassering. Fjernaksess, support, underleverandører og tredjelands lovgivning kan påvirke analysen.

Virksomheten bør kartlegge dataflyten og bruke Datatilsynets oppdaterte veiledning om overføring av personopplysninger ut av EØS. For behandlinger med høy risiko eller særlige kategorier opplysninger kan det være nødvendig med juridisk og personvernfaglig bistand.

Schrems II-artikkelen forklarer hvorfor overføringsgrunnlag og tilleggstiltak fortsatt må vurderes, selv om det senere er etablert nye ordninger mellom EU og USA.

Dataplassering løser ikke sikkerhet og backup

En datalagringsforpliktelse sier ikke i seg selv at tilgangene er riktige, at slettede data kan gjenopprettes, eller at virksomheten har en uavhengig backup. Microsoft beskytter infrastrukturen og tilbyr flere sikkerhets- og gjenopprettingsfunksjoner, mens kunden fortsatt må forvalte brukere, administratorroller, deling, oppbevaring og egen beredskap.

Virksomheten bør skille mellom tilgjengelighet i tjenesten, versjonshistorikk, oppbevaringsregler og en sikkerhetskopi som dekker egne krav. Guiden om sikker datalagring for bedrifter viser hvordan tilgang, kryptering, backup, sletting og leverandørbytte kan vurderes samlet.

En praktisk kontroll i sju trinn

  1. Åpne datalokasjonskortet. Noter nåværende og forpliktet geografi per tjeneste.
  2. Kartlegg arbeidslastene. Skill mellom Exchange, SharePoint, OneDrive, Teams og øvrige tjenester.
  3. Les tjenestedokumentasjonen. Kontroller hvilke kundedata og datatyper som er omfattet.
  4. Kontroller abonnementet. Avklar om tenant har ordinær, Multi-Geo eller Advanced Data Residency-forpliktelse.
  5. Kartlegg dataflyt. Ta med support, underleverandører, integrasjoner, diagnostikk og fjernaksess.
  6. Vurder personvern og avtaler. Dokumenter behandlingsgrunnlag, databehandleravtale og eventuelle tredjelandsoverføringer.
  7. Kontroller sikkerhet og gjenoppretting. Test tilganger, logging, oppbevaring, eksport og backup uavhengig av lagringsstedet.

Vanlige spørsmål

Ligger alle norske Microsoft 365-data i Norge?

Ikke nødvendigvis. Norge er en lokal regiongeografi, men faktisk og forpliktet geografi avhenger av tenant, tjeneste og datalagringsordning. Kontroller datalokasjonskortet og den tjenestespesifikke dokumentasjonen.

Ligger alle data i EU hvis administrasjonssenteret viser Europa?

Ikke bruk geografietiketten alene som dokumentasjon for all lagring og behandling. Kontroller hvilke data som omfattes, om regionen er Europa eller EU/EFTA, og hvilke unntak og overføringer som er beskrevet.

Betyr europeisk lagring at CLOUD Act er irrelevant?

Nei. Fysisk plassering og leverandørens rettslige tilknytning er forskjellige spørsmål. Samtidig er det misvisende å beskrive CLOUD Act som automatisk myndighetstilgang. Risikoen må vurderes konkret sammen med avtaler, kryptering, datatyper og øvrige tiltak.

Er Microsoft 365 lovlig å bruke for personopplysninger?

Det kan være lovlig, men svaret avhenger av behandlingen, konfigurasjonen, avtalene, risikoen og dataflyten. Virksomheten er ansvarlig for å dokumentere at personvernkravene er oppfylt for sin bruk.

Konklusjon

Det riktige svaret på hvor Microsoft 365-data lagres finnes i tenantens datalokasjonskort og i dokumentasjonen for den enkelte tjenesten. For norske virksomheter kan data være omfattet av norsk, EU/EFTA- eller annen europeisk datalagring, avhengig av tenant og avtale.

En forsvarlig vurdering kombinerer fysisk lagringssted med dataflyt, leverandørkontroll, personvern, sikkerhet og gjenoppretting. Da blir datalokasjon et dokumentert beslutningsgrunnlag, ikke bare en antakelse.

Illustrasjon av globale datastrømmer mellom servere i USA og Europa som symboliserer jurisdiksjon og CLOUD Act.

CLOUD Act forklart: Hva kan amerikanske myndigheter kreve?

CLOUD Act gir ikke amerikanske myndigheter fri tilgang til alle data hos amerikanske selskaper. Loven avklarer blant annet at bestemte tjenesteleverandører under amerikansk jurisdiksjon kan pålegges å utlevere elektroniske data de har i sin besittelse, forvaring eller kontroll, selv om dataene lagres utenfor USA.

Det kreves fortsatt et gyldig myndighetskrav etter amerikansk rett. Samtidig kan et slikt krav komme i konflikt med europeiske regler om utlevering og overføring av personopplysninger. Derfor er CLOUD Act relevant når norske virksomheter vurderer skytjenester, men loven må forklares mer presist enn «USA kan hente alt».

Denne artikkelen gir en overordnet forklaring og praktiske kontrollpunkter. Den er ikke juridisk rådgivning i en konkret sak.

Hva er CLOUD Act?

CLOUD Act er forkortelse for Clarifying Lawful Overseas Use of Data Act. Loven ble vedtatt i USA i mars 2018 etter en konflikt om amerikanske myndigheters tilgang til e-postdata som Microsoft lagret i Irland.

Loven har to hoveddeler som ofte blandes sammen:

  1. Den presiserer rekkevidden av amerikanske pålegg til tilbydere av elektroniske kommunikasjons- og fjernlagringstjenester.
  2. Den oppretter et rammeverk for bilaterale avtaler som kan gjøre det mulig for godkjente land å rette kvalifiserte myndighetskrav direkte til tjenesteleverandører i det andre landet.

Begge delene handler om tilgang til elektroniske bevis i etterforskning av kriminalitet. De er ikke en generell ordning for kommersiell bruk, overvåking uten prosess eller fri innsynstilgang.

Hva betyr «possession, custody or control»?

CLOUD Act la til en bestemmelse i den amerikanske Stored Communications Act. Bestemmelsen sier at en omfattet tilbyder skal etterkomme pliktene i loven til å bevare, sikkerhetskopiere eller utlevere data i tilbyderens besittelse, forvaring eller kontroll, uavhengig av om kommunikasjonen, registeret eller opplysningen befinner seg i eller utenfor USA.

Det sentrale er derfor ikke bare hvor serveren står. Spørsmålet er om den aktuelle tilbyderen omfattes av amerikansk jurisdiksjon, om et gyldig pålegg retter seg mot tilbyderen, og om tilbyderen har den nødvendige kontrollen over dataene.

Formuleringen betyr heller ikke at enhver amerikansk eier automatisk kan levere ut alle data i et globalt konsern. Selskapsstruktur, avtaleforhold, teknisk tilgang og faktisk kontroll kan ha betydning. Dette må vurderes konkret.

Hvilke leverandører omfattes?

Den delen av loven som avklarer utleveringsplikten, bygger på Stored Communications Act og retter seg mot tilbydere av elektroniske kommunikasjonstjenester og fjernbaserte databehandlingstjenester som er underlagt amerikansk jurisdiksjon.

Det er mer presist enn å si at CLOUD Act gjelder «alle amerikanske selskaper». En industribedrift, butikk eller konsulentvirksomhet blir ikke en skyleverandør bare fordi den er amerikansk. For norske kunder er loven særlig relevant ved bruk av globale tjenester for e-post, samhandling, lagring, backup og annen behandling av elektroniske data.

Om en konkret tjeneste, juridisk enhet og datastrøm omfattes, må undersøkes i leverandørens avtaler og dokumentasjon.

Har myndighetene direkte tilgang?

Nei. CLOUD Act oppretter ikke en åpen teknisk bakdør som gir myndighetene kontinuerlig tilgang til kundenes skykontoer. Amerikanske myndigheter må bruke rettslige virkemidler med krav som varierer etter hvilken type data de ber om.

Et pålegg kan for eksempel gjelde abonnementsopplysninger, trafikkdata eller innhold. Kravene til myndighetenes prosess er ikke identiske for alle kategorier. Leverandøren mottar kravet og må vurdere om det er gyldig og hva som faktisk kan utleveres.

CLOUD Act inneholder også en mekanisme der en leverandør i visse tilfeller kan be en domstol endre eller oppheve et pålegg når kunden ikke er en amerikansk person, ikke er bosatt i USA, og etterlevelse vil skape konflikt med lovgivningen i et kvalifisert fremmed land. At en innsigelsesmulighet finnes, betyr ikke at alle konflikter automatisk løses i leverandørens eller kundens favør.

Den andre delen: Bilaterale CLOUD Act-avtaler

Loven åpner også for avtaler mellom USA og land som oppfyller bestemte krav til rettssikkerhet, personvern og sivile rettigheter. Slike avtaler kan fjerne juridiske hindringer slik at kvalifiserte myndighetskrav kan sendes direkte til omfattede tjenesteleverandører i avtalelandet.

Det amerikanske justisdepartementets oversikt viser operative avtaler og forhandlinger. USA har inngått avtaler med Storbritannia og Australia. Departementets side omtaler også forhandlinger med Canada og EU, men en forhandling er ikke det samme som en avtale i kraft.

Denne avtaledelen går begge veier. Formålet er også å gi kvalifiserte utenlandske myndigheter en raskere lovlig vei til elektroniske bevis som ligger hos tilbydere under amerikansk jurisdiksjon.

Hvordan møter CLOUD Act GDPR?

En amerikansk ordre gjør ikke i seg selv en utlevering av personopplysninger lovlig etter GDPR. Artikkel 48 i personvernforordningen sier at en avgjørelse fra en domstol eller forvaltningsmyndighet i et tredjeland bare kan anerkjennes eller håndheves dersom den bygger på en internasjonal avtale, som en avtale om gjensidig rettshjelp, uten at dette utelukker andre overføringsgrunnlag i GDPR kapittel V.

Det europeiske personvernrådet vedtok i juni 2025 den endelige versjonen av retningslinjene om artikkel 48. Hovedpoenget er at en virksomhet som mottar et krav fra en myndighet i et tredjeland, må kontrollere både et behandlingsgrunnlag etter GDPR artikkel 6 og et gyldig grunnlag for overføringen etter kapittel V.

Det kan dermed oppstå en reell lovkonflikt: Amerikansk rett kan kreve utlevering, mens europeisk rett stiller selvstendige krav til om og hvordan personopplysninger kan overføres. Slike situasjoner må håndteres juridisk og konkret. De kan ikke løses av en generell setning i en databehandleravtale.

Fjerner Data Privacy Framework problemet?

EU-US Data Privacy Framework, DPF, og CLOUD Act regulerer forskjellige spørsmål. DPF kan gi et gyldig grunnlag for ordinær overføring av personopplysninger fra EØS til en sertifisert amerikansk virksomhet. CLOUD Act handler om myndigheters tilgang til elektroniske data gjennom bestemte rettslige prosesser.

En DPF-sertifisering betyr derfor ikke at leverandøren aldri kan motta et myndighetskrav. Samtidig vurderte EU-kommisjonen amerikanske garantier og klagemekanismer da den traff beslutningen om tilstrekkelig beskyttelsesnivå i 2023.

Virksomheter som vil vurdere lovlig bruk av amerikanske skytjenester, bør lese guiden om personopplysninger i amerikanske skyløsninger. Den forklarer overføringsgrunnlag, DPF, standardklausuler og øvrige GDPR-krav.

Er europeisk datalagring fortsatt viktig?

Ja. Europeisk lagring kan redusere antall dataflyter, forenkle avtaler og begrense hvem som har operativ tilgang. Det kan også være et viktig krav for virksomhetens risikostyring.

Men serverplassering avgjør ikke alene om CLOUD Act kan bli relevant. Hvis en omfattet tilbyder har kontroll over dataene, kan lagring utenfor USA falle innenfor lovens geografiske presisering. Motsatt kan tekniske og organisatoriske tiltak begrense hva leverandøren faktisk kan lese eller levere ut.

Det er derfor nødvendig å skille mellom:

  • hvor data og sikkerhetskopier lagres
  • hvilken juridisk enhet som leverer tjenesten
  • hvem som kan administrere eller dekryptere dataene
  • hvilke underleverandører som brukes
  • hvilke myndighetskrav leverandøren kan bli underlagt

Kan kryptering redusere risikoen?

Kryptering kan være et sterkt tiltak, men effekten avhenger av hvem som kontrollerer nøkkelen. Dersom kunden alene kontrollerer nøklene og leverandøren aldri trenger data i klartekst, kan leverandøren ha begrenset mulighet til å utlevere lesbart innhold.

Mange skytjenester må likevel behandle data i klartekst for søk, samhandling, dokumentredigering, spamfiltrering eller andre funksjoner. «Kryptert i ro og under transport» betyr da ikke nødvendigvis at leverandøren mangler teknisk tilgang.

Pseudonymisering, dataminimering, kundestyrte nøkler, oppdeling av data og streng tilgangsstyring kan redusere risiko. Tiltakene må vurderes mot den konkrete tjenesten og trusselen.

Hva bør en norsk virksomhet spørre leverandøren om?

  1. Hvem er avtaleparten? Finn den juridiske enheten, ikke bare merkevaren.
  2. Hvem har kontroll over dataene? Kartlegg administrasjon, support, underleverandører og nøkkelstyring.
  3. Hvor behandles dataene? Ta med hoveddata, backup, logger og telemetri.
  4. Hvordan håndteres myndighetskrav? Be om dokumentasjon på kontroll, varsling, innsigelser og åpenhetsrapportering.
  5. Kan leverandøren lese innholdet? Undersøk krypteringsmodell og hvem som kontrollerer nøklene.
  6. Hvilket overføringsgrunnlag brukes? Kontroller DPF, standardklausuler eller annet grunnlag for hver relevant mottaker.
  7. Kan risikoen reduseres i oppsettet? Vurder dataregion, funksjonsvalg, tilgang, lagringstid og hvilke data som i det hele tatt må ligge i tjenesten.

Svarene bør inngå i leverandørvurderingen og virksomhetens dokumenterte personvern- og sikkerhetsarbeid. Et generelt utsagn om «GDPR compliant» er ikke nok.

Vanlige misforståelser

«CLOUD Act gir amerikanske myndigheter direkte tilgang til alle servere»

Nei. Loven bygger på juridiske pålegg til omfattede tjenesteleverandører. Den gir ikke en generell, kontinuerlig innlogging til kundenes systemer.

«Alle amerikanske selskaper omfattes på samme måte»

Nei. Den sentrale utleveringsbestemmelsen gjelder bestemte tilbydere under amerikansk jurisdiksjon og data de har i sin besittelse, forvaring eller kontroll.

«Europeisk datasenter gjør CLOUD Act irrelevant»

Ikke nødvendigvis. Loven presiserer at lagringssted utenfor USA ikke alene fritar en omfattet tilbyder fra et gyldig pålegg.

«CLOUD Act betyr at amerikanske skytjenester er ulovlige»

Nei. Loven er ett av flere forhold i en risikovurdering. Lovlig bruk avgjøres av den konkrete dataflyten, overføringsgrunnlaget, avtalene, sikkerhetstiltakene og øvrige GDPR-krav.

Konklusjon

CLOUD Act gjør fysisk serverplassering til bare én del av vurderingen. En omfattet amerikansk tjenesteleverandør kan i bestemte situasjoner pålegges å utlevere data den kontrollerer, også når dataene ligger utenfor USA. Men det kreves juridisk prosess, og loven gir ikke fri eller automatisk tilgang.

For norske virksomheter er det viktigste å vite hvem som kontrollerer dataene, hva leverandøren teknisk kan lese, og hvordan myndighetskrav håndteres. Det gir et bedre beslutningsgrunnlag enn både skremselsbildet om at «USA ser alt» og markedsføringspåstanden om at europeisk serverplassering løser alt.

Kilder og videre lesning

Artikkelen ble vesentlig oppdatert 17. september 2026 med presisering av lovens virkeområde, avtaledelen og EDPBs endelige veiledning om GDPR artikkel 48.

Illustrasjon av datasentre og digitale nettverk som viser kontroll over data og datasuverenitet

Hva er datasuverenitet?

Datasuverenitet handler om hvilke rettslige, organisatoriske og tekniske rammer som styrer data. Begrepet brukes ofte om hvor data lagres, men lagringssted alene gir ikke et fullstendig svar. Virksomheten må også vite hvem som driver infrastrukturen, hvem som kan administrere tjenesten, hvilke underleverandører som brukes, hvilket lovverk leverandøren er underlagt, og om data faktisk kan flyttes eller slettes.

Datasuverenitet er derfor ikke en sertifisering eller én bestemt teknisk løsning. Det er en måte å undersøke kontroll på gjennom hele datalivsløpet, fra innsamling og bruk til eksport, arkivering og sletting.

Datasuverenitet, datalagring og datalokalisering er ikke det samme

Tre begreper brukes ofte om hverandre:

  • Datalagring eller data residency: den geografiske regionen eller landet der bestemte data lagres.
  • Datalokalisering: et krav om at bestemte data skal lagres eller behandles innenfor et geografisk område.
  • Datasuverenitet: hvilke lover, aktører, avtaler og tekniske kontrollmuligheter som påvirker dataene.

En tjeneste kan lagre kundedata i Norge, men fortsatt bruke utenlandske underleverandører, fjernadministrasjon eller et morselskap underlagt et annet lands lovgivning. Motsatt kan behandling i et annet EØS-land være lovlig og godt sikret. Derfor må den faktiske dataflyten undersøkes.

Fem kontrollspørsmål

1. Hvor lagres og behandles dataene?

Kartlegg regioner og land for aktive data, replikaer, sikkerhetskopier, logger, diagnostikk og supportdata. Be leverandøren skille mellom data i ro og data som behandles midlertidig. Et regionnavn i et administrasjonspanel må leses sammen med produktvilkårene.

2. Hvem kontrollerer leverandøren og infrastrukturen?

Eierstruktur og selskapskontroll kan ha betydning fordi leverandøren kan være underlagt flere lands lover. Samtidig er det for enkelt å anta at utenlandsk eierskap automatisk gjør en tjeneste ulovlig eller usikker. Vurderingen må bygge på konkrete data, avtaler, lovgrunnlag og risiko.

3. Hvem har teknisk tilgang?

Undersøk administratorroller, supporttilgang, underleverandører og hvordan tilgang logges og godkjennes. Kryptering reduserer risiko, men effekten avhenger blant annet av hvem som kontrollerer nøklene og om leverandøren kan få tilgang under behandling eller support.

4. Kan virksomheten dokumentere og revidere kontrollen?

Avtalen bør beskrive datalokasjoner, underleverandører, sikkerhetstiltak, avvik, revisjonsmuligheter, varsling ved endringer og sletting ved opphør. Standardvilkår må vurderes opp mot virksomhetens egne krav.

5. Kan data og tjenester flyttes?

Kontroll omfatter også muligheten til å avslutte. Virksomheten bør kjenne eksportformat, metadata, integrasjoner, tidsbruk, kostnader og hvilke funksjoner som går tapt ved leverandørbytte. En exit-plan som aldri er testet, er bare en antakelse.

Personopplysninger og overføring ut av EØS

For personopplysninger er det viktig å skille mellom lagringssted og tredjelandsoverføring. Datatilsynet forklarer at behandling i EØS i utgangspunktet ikke er en overføring ut av EØS. Likevel kan fjernaksess, underleverandører eller tredjelands lovgivning gjøre det nødvendig med en grundigere analyse.

All overføring av personopplysninger ut av EØS krever et gyldig grunnlag. Virksomheten må kontrollere om grunnlaget virker i praksis og om tilleggstiltak er nødvendige. Datatilsynets veiledning om overføring ut av EØS beskriver kravene og eksemplene nærmere.

Datasuverenitet er bredere enn personvern. En virksomhet kan også ha krav knyttet til sikkerhetsloven, kontrakter, bransjeregler, taushetsplikt, beredskap eller forretningskritisk tilgjengelighet. Hvilke krav som gjelder, avhenger av virksomheten og dataene.

CLOUD Act og andre lands lovgivning

CLOUD Act brukes ofte som eksempel på at fysisk plassering ikke alltid avgjør hvem som kan fremme et rettslig krav mot en leverandør. Loven kan under bestemte vilkår brukes til å kreve data fra amerikanske tjenesteleverandører også når data lagres utenfor USA.

Det betyr ikke at amerikanske myndigheter har fri eller automatisk tilgang til alle data hos amerikanske selskaper. Rettslige krav må følge prosesser og vilkår, og leverandøren kan ha mulighet eller plikt til å vurdere og bestride kravet. Les den mer detaljerte forklaringen av CLOUD Act og amerikanske skytjenester.

Nasjonal kontroll er et strengere behov

For enkelte samfunnskritiske eller sikkerhetssensitive tjenester er spørsmålet større enn ordinær etterlevelse av personvernreglene. NSM bruker begrepet nasjonal kontroll om evnen norske myndigheter og virksomheter har til å styre, beskytte og opprettholde viktige IKT-tjenester.

NSM understreker at personell som driver underliggende infrastruktur kan ha teknisk kontroll selv om serveren står i Norge. Behovet for nasjonal kontroll må derfor vurderes på tvers av eierskap, kompetanse, drift, leverandørkjede, tilgjengelighet og muligheten til å opprettholde tjenesten i en krise. Dette er beskrevet i NSMs rapport om nasjonal kontroll av IKT-tjenester.

Ikke alle virksomheter trenger samme kontrollnivå. Kravet må følge verdien av dataene, konsekvensen av bortfall og relevante lover og avtaler.

Self-hosted er ikke automatisk mer suverent

En self-hosted løsning kan gi større kontroll over plassering, konfigurasjon og tilgang. Men virksomheten overtar også ansvar for oppdateringer, overvåking, sårbarheter, kapasitet, backup og gjenoppretting. Dersom driften fortsatt avhenger av én leverandør, proprietære komponenter eller kompetanse virksomheten ikke har, kan kontrollen være mindre enn den ser ut.

Artikkelen om hva self-hosted skylagring betyr forklarer ansvarsdelingen. Sammenlign også cloud og egen server på sikkerhet, ansvar, kostnad og exit-mulighet før dere velger modell.

EU Data Act styrker muligheten til å bytte skytjeneste

EUs Data Act gjelder i EU fra 12. september 2025. Reglene skal blant annet redusere tekniske, kontraktsmessige og kommersielle hindringer ved bytte mellom databehandlingstjenester eller tilbakeføring til egen infrastruktur.

Dette gir ikke automatisk full portabilitet mellom alle produkter. Komplekse applikasjoner, integrasjoner og leverandørspesifikke funksjoner kan fortsatt gjøre et bytte krevende. Men reglene styrker forventningen om tydelige avtalevilkår, eksport av relevante data og bistand i overgangsprosessen. EU-kommisjonens forklaring av Data Act beskriver reglene for skytjenestebytte.

En praktisk vurdering i åtte trinn

  1. Klassifiser dataene. Dokumenter følsomhet, kritikalitet, eiere og formål.
  2. Kartlegg dataflyten. Ta med lagring, behandling, support, logger, backup og underleverandører.
  3. Identifiser lovkrav. Vurder personvern, sikkerhet, bransjeregler, avtaler og taushetsplikt.
  4. Undersøk leverandørkjeden. Se på eierskap, driftssteder, administratorer og rettslig tilknytning.
  5. Kontroller nøklene. Avklar hvem som kan dekryptere data og hvordan nøklene forvaltes.
  6. Les avtalen. Kontroller endringsvarsling, revisjon, sletting, underleverandører og hendelseshåndtering.
  7. Test eksport og gjenoppretting. Bekreft at data, metadata og nødvendige konfigurasjoner kan brukes utenfor tjenesten.
  8. Revurder ved endringer. Gjenta vurderingen når leverandør, tjeneste, dataflyt eller regelverk endres.

NSM anbefaler oversikt og kontroll gjennom hele livsløpet, god bestillerkompetanse og risikovurdering før valg av løsning. Veiledningen om tjenesteutsetting og skytjenester er et nyttig utgangspunkt for krav og oppfølging.

Vanlige spørsmål

Er data suverene hvis de lagres i Norge?

Ikke nødvendigvis. Norsk lagringssted kan være et viktig krav, men eierskap, driftstilgang, underleverandører, krypteringsnøkler, lovgivning og exit-mulighet må også vurderes.

Er en norsk leverandør alltid det tryggeste valget?

Nei. En norsk leverandør kan gi kortere leverandørkjede og enklere jurisdiksjon, men sikkerheten avhenger fortsatt av kompetanse, arkitektur, avtaler og drift. Store internasjonale tjenester kan samtidig ha sterke sikkerhetsmiljøer. Valget må bygge på risiko og krav.

Er datasuverenitet det samme som GDPR?

Nei. GDPR regulerer behandling av personopplysninger. Datasuverenitet brukes bredere om rettslig, teknisk og organisatorisk kontroll over data, også når informasjonen ikke er personopplysninger.

Kan virksomheten kjøpe full datasuverenitet?

Ingen produktetikett gir full kontroll alene. Reell kontroll krever dokumentert dataflyt, tydelige avtaler, tekniske tiltak, kompetanse, revisjon og en fungerende exit-plan.

Konklusjon

Datasuverenitet handler om mer enn serverens adresse. Virksomheten må forstå hvor data flyter, hvem som kan kontrollere tjenesten, hvilke lover som kan gjelde og om den kan gjenopprette eller flytte data når behovet oppstår.

Den riktige løsningen er derfor ikke alltid den mest lokale eller den største. Det er løsningen som møter dokumenterte krav til konfidensialitet, integritet, tilgjengelighet, etterlevelse og handlefrihet gjennom hele livsløpet.