Skip to main content

Stikkord: jurisdiksjon

Illustrasjon av globale datasentre som lagrer Microsoft 365-data

Hvor lagres dataene i Microsoft 365?

Skrevet av Svein Tore den . Publisert i IT-sikkerhet. Ingen kommentarer til Hvor lagres dataene i Microsoft 365?

Mange virksomheter bruker Microsoft 365 hver dag til e-post, dokumenter, møter og samarbeid. Men et spørsmål dukker ofte opp når man begynner å se nærmere på datasikkerhet: Hvor lagres egentlig dataene?

Svaret er mer sammensatt enn mange tror. Selv om data ofte lagres i europeiske datasentre, betyr ikke det nødvendigvis at dataene kun er under europeisk kontroll.

Microsofts datasentre

Microsoft driver et stort globalt nettverk av datasentre. Når en virksomhet i Norge bruker Microsoft 365, vil data normalt lagres i Microsofts europeiske regioner. Disse kan blant annet være lokasjoner i Norge, Nederland, Irland, Tyskland eller andre europeiske datasentre.

Dette gjelder for tjenester som:

  • Exchange Online (e-post)
  • SharePoint og OneDrive (filer og dokumenter)
  • Microsoft Teams

Microsoft forsøker i stor grad å lagre data i samme geografiske region som kunden tilhører. For norske virksomheter betyr dette som regel Europa.

Men dette er bare én del av bildet.

Regionlagring betyr ikke nødvendigvis europeisk kontroll

Selv om data fysisk ligger i et datasenter i Europa, er det ikke nødvendigvis europeisk jurisdiksjon som gjelder.

Microsoft er et amerikansk selskap. Dermed omfattes selskapet av amerikansk lovgivning, uansett hvor serverne fysisk befinner seg.

Dette er en av grunnene til at temaet datasuverenitet har fått mer oppmerksomhet de siste årene.

I artikkelen hvem kontrollerer egentlig dataene dine forklares dette nærmere, men kort fortalt handler det om hvem som faktisk kan kreve tilgang til data.

CLOUD Act og tilgang til data

Et sentralt begrep i denne diskusjonen er den amerikanske loven CLOUD Act.

Denne loven åpner for at amerikanske myndigheter kan kreve tilgang til data fra amerikanske selskaper – også når dataene er lagret utenfor USA.

Det betyr at et selskap som Microsoft i enkelte situasjoner kan være juridisk forpliktet til å utlevere data, selv om de ligger på en server i Europa.

Dette er bakgrunnen for støtteartikkelen CLOUD Act forklart – hvorfor amerikanske skyløsninger skaper debatt.

Schrems II og overføring av data

Et annet viktig punkt i denne diskusjonen er EU-dommen kjent som Schrems II.

Denne dommen satte i praksis en stopper for Privacy Shield-avtalen mellom EU og USA. Begrunnelsen var nettopp bekymringer rundt amerikansk overvåkingslovgivning.

Konsekvensen er at overføring av persondata til amerikanske leverandører har blitt et mer komplisert juridisk spørsmål.

Du kan lese mer om dette i artikkelen Hva betyr Schrems II for skylagring.

Speiling, backup og global infrastruktur

En annen ting som ofte overses, er hvordan moderne skyløsninger faktisk lagrer data.

Data lagres sjelden kun ett sted. For å sikre stabil drift speiles informasjon ofte mellom flere datasentre. I tillegg tas det jevnlig backup.

Dette gjør systemene svært robuste mot feil og nedetid.

Samtidig betyr det også at data kan være distribuert på flere lokasjoner innenfor samme region.

Microsoft publiserer ikke alltid detaljert informasjon om nøyaktig hvilke datasentre som brukes for hver kunde til enhver tid, nettopp fordi infrastrukturen er dynamisk.

Hva betyr dette i praksis for norske virksomheter?

For mange virksomheter fungerer Microsoft 365 svært godt i praksis. Plattformen gir høy stabilitet, god integrasjon mellom tjenester og minimal teknisk drift.

Det er derfor ikke overraskende at svært mange organisasjoner bruker den.

Men virksomheter som arbeider med sensitiv informasjon bør likevel stille noen grunnleggende spørsmål:

  • Hvem kontrollerer infrastrukturen dataene ligger på?
  • Hvilket lands lovgivning gjelder for leverandøren?
  • Hvem kan i ytterste konsekvens kreve tilgang til data?

Dette er ikke nødvendigvis et teknisk spørsmål – det er i stor grad et juridisk og strategisk spørsmål.

Alternativer: mer kontroll over data

For virksomheter som ønsker større kontroll over hvor data lagres, finnes det også andre modeller.

En løsning kan være såkalt self-hosted skylagring, der virksomheten selv kontrollerer infrastrukturen eller bruker en lokal leverandør.

Dette betyr ikke nødvendigvis at slike løsninger alltid er bedre. Men de gir ofte mer kontroll over både lagringssted, tilgang og jurisdiksjon.

Dette diskuteres nærmere i artikkelen [Self-hosted skylagring – hva betyr det egentlig].

Det viktigste spørsmålet

Når man diskuterer hvor data lagres i Microsoft 365, er det lett å fokusere kun på fysisk plassering.

Men det mest avgjørende spørsmålet er ofte ikke hvor serveren står.

Det viktigste spørsmålet er hvem som kontrollerer infrastrukturen – og hvilket lovverk leverandøren er underlagt.

For mange virksomheter blir dette først et tema når man begynner å stille et enkelt spørsmål:

Hvem kontrollerer egentlig dataene dine?

Illustrasjon av globale datastrømmer mellom servere i USA og Europa som symboliserer jurisdiksjon og CLOUD Act.

CLOUD Act forklart – hvorfor amerikanske skyløsninger skaper debatt

Skrevet av Svein Tore den . Publisert i IT-sikkerhet. Ingen kommentarer til CLOUD Act forklart – hvorfor amerikanske skyløsninger skaper debatt

Amerikanske skytjenester brukes av millioner av virksomheter over hele verden. Samtidig har en amerikansk lov skapt betydelig debatt om hvem som egentlig kan få tilgang til data som lagres i slike systemer. Denne loven heter CLOUD Act.

For mange organisasjoner handler diskusjonen ikke bare om teknologi, men om kontroll, jurisdiksjon og tilgang til data.

Hva er CLOUD Act?

CLOUD Act står for Clarifying Lawful Overseas Use of Data Act. Loven ble vedtatt i USA i 2018 og gir amerikanske myndigheter mulighet til å kreve tilgang til data som lagres av amerikanske selskaper.

Det som gjør loven kontroversiell er at den ikke bare gjelder data som ligger fysisk i USA. Den kan også gjelde data som lagres i andre land, så lenge selskapet som kontrollerer tjenesten er amerikansk.

Med andre ord: Hvis en virksomhet bruker en skyløsning fra et amerikansk selskap, kan amerikanske myndigheter i visse situasjoner kreve tilgang til dataene – selv om serveren står i Europa.

Hvorfor ble loven innført?

Bakgrunnen for CLOUD Act var et juridisk problem amerikanske myndigheter møtte i en sak mot Microsoft. I denne saken ønsket amerikanske etterforskere tilgang til e-postdata som var lagret på en server i Irland.

Microsoft argumenterte for at amerikansk lov ikke burde gjelde for data lagret utenfor USA. Myndighetene mente derimot at selskapet burde kunne pålegges å levere ut dataene siden selskapet var amerikansk.

CLOUD Act ble innført for å avklare denne typen situasjoner.

Resultatet ble en lov som tydelig sier at amerikanske selskaper kan bli pålagt å utlevere data de har kontroll over – uavhengig av hvor dataene er lagret.

Hvorfor skaper dette debatt i Europa?

Problemet oppstår fordi europeisk personvernlovgivning og amerikansk lov ikke alltid er kompatible.

EU har strenge regler for behandling av personopplysninger gjennom GDPR. Disse reglene begrenser hvem som kan få tilgang til data og hvordan de kan behandles.

Hvis amerikanske myndigheter krever tilgang til data gjennom CLOUD Act, kan det i noen tilfeller komme i konflikt med europeisk personvernlovgivning.

Dette er en av grunnene til at spørsmålet om jurisdiksjon har blitt så viktig i diskusjoner om skylagring.

Jurisdiksjon – hvem sine lover gjelder egentlig?

Når en virksomhet lagrer data i en skyløsning, er det lett å tenke at landet serveren står i avgjør hvilke lover som gjelder.

Virkeligheten er ofte mer komplisert.

Flere faktorer kan spille inn:

  • Hvilket land selskapet bak tjenesten tilhører
  • Hvor selskapet har juridisk hovedkontor
  • Hvor infrastrukturen fysisk befinner seg
  • Hvilke internasjonale avtaler som gjelder

Dette betyr at data kan være underlagt flere juridiske systemer samtidig.

For mange virksomheter er dette grunnen til at spørsmålet om hvem kontrollerer egentlig dataene dine har blitt stadig mer aktuelt.

Gjelder CLOUD Act alle skytjenester?

Nei. Loven gjelder først og fremst selskaper som er underlagt amerikansk jurisdiksjon.

Dette inkluderer blant annet:

  • amerikanske teknologiselskaper
  • selskaper med hovedkontor i USA
  • selskaper som opererer under amerikansk lov

Mange av verdens største skytjenester faller inn i denne kategorien.

Eksempler inkluderer plattformer for e-post, dokumentlagring, samarbeid og backup.

Derfor har diskusjonen rundt CLOUD Act blitt særlig relevant for tjenester som brukes bredt i næringslivet.

Betyr dette at data automatisk deles med myndigheter?

Nei.

CLOUD Act betyr ikke at myndigheter har fri tilgang til data. Det kreves fortsatt juridiske prosesser og rettslige beslutninger.

Men loven åpner for at slike krav kan rettes direkte mot selskaper som kontrollerer tjenestene.

Det er denne muligheten som skaper bekymring for enkelte virksomheter – særlig i sektorer som håndterer sensitive data.

Hvordan påvirker dette virksomheter i praksis?

For mange organisasjoner betyr ikke CLOUD Act nødvendigvis at de må slutte å bruke amerikanske skytjenester.

Men loven gjør at flere virksomheter vurderer følgende spørsmål:

  • Hvem har juridisk kontroll over infrastrukturen?
  • Hvilke lover kan potensielt gi tilgang til dataene?
  • Hvor viktig er datasuverenitet for virksomheten?

I enkelte bransjer – som helse, offentlig sektor og forskning – kan slike spørsmål være avgjørende når nye systemer skal velges.

Et økende fokus på datasuverenitet

Debatten rundt CLOUD Act har bidratt til økt oppmerksomhet rundt datasuverenitet.

Datasuverenitet handler om hvem som faktisk har kontroll over data, hvilke lover som gjelder, og hvem som kan kreve innsyn.

For noen virksomheter betyr dette at de ønsker løsninger der infrastrukturen ligger i Europa eller i nasjonale datasentre.

Andre velger løsninger der de selv kontrollerer plattformen.

Dette kan for eksempel være ulike former for self-hosted skylagring – hva betyr det egentlig.

Er europeiske alternativer løsningen?

Noen mener at europeiske skyløsninger er en måte å redusere juridisk usikkerhet på.

Hvis leverandøren ikke er underlagt amerikansk jurisdiksjon, vil heller ikke CLOUD Act gjelde på samme måte.

Det betyr likevel ikke at europeiske løsninger automatisk er bedre eller mer sikre. Teknologi, drift og sikkerhetsnivå varierer betydelig mellom leverandører.

Poenget er først og fremst at virksomheter bør forstå hvilke juridiske rammer de opererer innenfor.

Et spørsmål om bevisste valg

CLOUD Act handler i praksis om én ting: hvem som kan kreve tilgang til data.

For mange organisasjoner har dette blitt en strategisk vurdering, ikke bare et teknologisk spørsmål.

Noen prioriterer enkelhet og funksjonalitet i globale skyløsninger. Andre legger større vekt på kontroll over infrastruktur og juridisk jurisdiksjon.

Begge tilnærminger kan være riktige – så lenge beslutningen tas med åpne øyne.

Hvis du vil forstå hvorfor dette spørsmålet har blitt så sentralt i diskusjoner om moderne skylagring, bør du også lese artikkelen om [hvem kontrollerer egentlig dataene dine].

FAQ

Hva er CLOUD Act?

CLOUD Act er en amerikansk lov som gir myndighetene mulighet til å kreve tilgang til data lagret av amerikanske selskaper – også hvis dataene ligger på servere utenfor USA.

Gjelder CLOUD Act europeiske selskaper?

Som hovedregel gjelder loven selskaper som er underlagt amerikansk jurisdiksjon. Hvis et europeisk selskap bruker en tjeneste fra et amerikansk selskap, kan dataene likevel bli omfattet.

Er det ulovlig å bruke amerikanske skytjenester i Europa?

Nei. Mange europeiske virksomheter bruker slike tjenester. Men juridiske forhold som GDPR, Schrems II og CLOUD Act gjør at noen organisasjoner vurderer alternative løsninger.

Hvorfor diskuteres dette så mye nå?

Fordi stadig mer av virksomheters data ligger i skyløsninger. Når data flyttes ut av egne serverrom, blir spørsmålet om jurisdiksjon og kontroll mer relevant.

Illustrasjon av datasentre og digitale nettverk som viser kontroll over data og datasuverenitet

Hva er datasuverenitet?

Skrevet av Svein Tore den . Publisert i IT-sikkerhet. Ingen kommentarer til Hva er datasuverenitet?

Datasuverenitet handler om hvem som faktisk har juridisk og praktisk kontroll over dataene dine. For mange virksomheter virker skylagring enkelt: filer lagres i en tjeneste, ansatte får tilgang, og alt fungerer. Men bak denne enkelheten ligger et mer komplisert spørsmål – hvilket lands lover gjelder for dataene dine?

Når virksomheter lagrer informasjon i globale skytjenester kan data være underlagt lover i andre land, selv om selskapet som bruker tjenesten befinner seg i Norge. Det er her begrepet datasuverenitet blir viktig.

Hva betyr datasuverenitet i praksis?

Datasuverenitet betyr at data er underlagt lovverket i landet der dataene lagres eller kontrolleres. Det innebærer at myndigheter i dette landet kan ha rett til innsyn eller tilgang til informasjonen.

For virksomheter kan dette få flere konsekvenser:

  • Juridiske krav kan komme fra andre land
  • Data kan bli tilgjengelig for utenlandske myndigheter
  • Det kan oppstå konflikter mellom ulike lovverk

Et klassisk eksempel er amerikansk lovgivning som kan gi amerikanske myndigheter tilgang til data lagret hos amerikanske selskaper – selv når dataene fysisk befinner seg i Europa.

Dette er en av grunnene til at mange virksomheter begynner å stille spørsmål ved hvem som egentlig kontrollerer infrastrukturen de lagrer informasjon i.

For en grundigere gjennomgang av dette temaet kan du lese hovedartikkelen: hvem kontrollerer egentlig dataene dine.

Datasuverenitet vs datalagring

Det er lett å tro at datasuverenitet bare handler om hvor serverne står. Men realiteten er mer komplisert.

Tre faktorer spiller vanligvis inn:

1. Hvor data lagres fysisk

Hvis data lagres på servere i EU eller Norge, vil europeiske regler ofte gjelde for behandlingen av data.

2. Hvem som eier infrastrukturen

Hvis infrastrukturen kontrolleres av et selskap i et annet land, kan lovgivningen der fortsatt påvirke dataene.

3. Hvilke lover leverandøren er underlagt

Store globale leverandører er ofte underlagt lovverk i hjemlandet sitt. Dette kan overstyre lokale regler i enkelte situasjoner.

Det betyr at datasuverenitet ikke bare handler om teknologi – det handler også om geopolitikk, juss og kontroll over digital infrastruktur.

Hvorfor datasuverenitet blir viktigere

Flere trender gjør datasuverenitet til et stadig mer diskutert tema.

Regulering og personvern

Europeiske regler som GDPR stiller krav til hvordan persondata behandles. Virksomheter må vite hvor data lagres og hvem som har tilgang.

Økende geopolitisk spenning

Digitale tjenester er i dag en del av global infrastruktur. Når konflikter eller politiske spenninger oppstår, kan kontroll over data bli et strategisk spørsmål.

Avhengighet av globale skyleverandører

Mange virksomheter er i praksis helt avhengige av noen få store leverandører. Dette kan skape utfordringer knyttet til både kontroll og fleksibilitet.

Datasuverenitet for norske virksomheter

For norske selskaper handler datasuverenitet ofte om tre spørsmål:

  • Hvem eier infrastrukturen dataene lagres på?
  • Hvilket lands lovverk gjelder?
  • Hvor lett er det å flytte dataene senere?

Mange oppdager først disse problemstillingene etter at systemer allerede er tatt i bruk. Da kan det være vanskelig å endre retning uten store kostnader.

Derfor begynner flere virksomheter å vurdere alternativer som gir større kontroll over egen infrastruktur.

Datasuverenitet og self-hosted løsninger

Self-hosted løsninger er en av måtene virksomheter kan styrke datasuvereniteten på.

I stedet for å lagre data hos globale skyleverandører, kan systemene kjøres på infrastruktur virksomheten selv kontrollerer – eller hos en lokal leverandør.

Dette kan gi flere fordeler:

  • Bedre kontroll over hvor data lagres
  • Mindre risiko for utenlandsk jurisdiksjon
  • Større fleksibilitet

Samtidig krever slike løsninger mer planlegging og drift enn ferdige skyløsninger.

Hvis du vil forstå hva self-hosted egentlig betyr, kan du lese denne artikkelen: self hosted skylagring hva betyr det egentlig.

Datasuverenitet og valg av skyløsning

Når virksomheter vurderer skyløsninger, handler valget ofte om mer enn bare funksjoner og pris.

Tre spørsmål kan være nyttige:

  1. Hvem kontrollerer infrastrukturen?
  2. Hvilket lands lover gjelder for leverandøren?
  3. Hvor enkelt er det å flytte dataene til en annen plattform?

Dette betyr ikke nødvendigvis at globale skyløsninger alltid er feil valg. For mange virksomheter kan de være både praktiske og effektive.

Men uten bevissthet rundt datasuverenitet kan man ende opp med mindre kontroll enn man egentlig ønsker.

Oppsummert

Datasuverenitet handler i bunn og grunn om kontroll. Ikke bare over selve dataene, men også over infrastrukturen og lovverket som regulerer dem.

For virksomheter som håndterer sensitive data kan dette være et strategisk spørsmål – ikke bare et teknisk valg.

Derfor blir diskusjonen om datasuverenitet stadig mer relevant når man vurderer hvor data faktisk bør lagres.