Dansk hosting eller amerikansk cloud? Schrems II forklaret

Ligger din hjemmesides, webshops eller apps kundedata hos en amerikansk cloud-udbyder, hviler du på en juridisk konstruktion, som er blevet underkendt to gange og er ved at blive udfordret en tredje. Hosting i Danmark eller et andet EU-land hos en europæisk udbyder går uden om hele problemet: ingen overførselsmekanisme at forsvare, ingen tilstrækkelighedsafgørelse at holde øje med, ingen CLOUD Act-eksponering via et amerikansk moderselskab.

Det er den korte version. Den lange handler om to domme, én amerikansk lov og én skrøbelig politisk aftale. Den er værd at kende, for “hvor ligger vores data?” er et spørgsmål, som dine kunder, dine større kunders indkøbsafdelinger og måske Datatilsynet stiller på et tidspunkt.

Jeg står for sikkerhed og GDPR hos NBS. Det her er den gennemgang, jeg giver kunder, der spørger, hvad balladen egentlig handler om. Vi er udviklere, ikke jurister; læs det som baggrund for en forretningsbeslutning, og få en persondataadvokat med, når noget skal være bindende.

Hvad loven faktisk siger

GDPR kræver ikke, at dine data bliver i EU. Den kræver, at personoplysninger, der overføres ud af EU/EØS, bevarer et “i det væsentlige tilsvarende” beskyttelsesniveau. Overførsler til USA er kun lovlige gennem en godkendt mekanisme, og historien om de mekanismer er hele historien.

Safe Harbor (2000–2015). Den første aftale om overførsler mellem EU og USA. EU-Domstolen underkendte den i 2015 i Schrems I, efter at Max Schrems havde klaget over Facebooks overførsler i lyset af Snowdens afsløringer af amerikansk overvågning.

Privacy Shield (2016–2020). Afløseren. I juli 2020 underkendte EU-Domstolen også den, i dommen der kendes som Schrems II. Domstolens begrundelse: Amerikansk overvågningslovgivning (især FISA Section 702 og Executive Order 12333) giver efterretningstjenester adgang til data hos amerikanske udbydere i et omfang, der ikke er begrænset til det strengt nødvendige, og EU-borgere har ingen reel klageadgang. Data i amerikanske hænder nød derfor ikke en tilsvarende beskyttelse.

Standardkontraktbestemmelser (SCC’er), efter 2020. Schrems II lod SCC’erne, standardkontrakter mellem dig og udbyderen, forblive gyldige, men med et forbehold: Du skal fra sag til sag vurdere, om modtagerlandets lovgivning undergraver dem, og tilføje supplerende foranstaltninger, hvis den gør. For amerikanske udbydere underlagt overvågningslovgivning er den vurdering reelt svær, for ingen kontraktklausul binder NSA.

EU-US Data Privacy Framework (2023 og frem). I juli 2023 vedtog EU-Kommissionen en tilstrækkelighedsafgørelse for DPF og genskabte dermed et generelt lovligt grundlag for overførsler til certificerede amerikanske virksomheder, efter at USA havde indført nye garantier (Executive Order 14086 og en klagemekanisme). Det er den nuværende retstilstand: Overførsler til DPF-certificerede amerikanske udbydere er lovlige i dag. Men DPF er omstridt. Der kører retssager, privatlivsorganisationer med Schrems’ noyb i spidsen mener ikke, at den løser det, EU-Domstolen påpegede, og de amerikanske garantier hviler på et præsidentielt dekret, som enhver amerikansk regering kan svække eller trække tilbage. Mange europæiske persondatafolk regner en tredje underkendelse for et realistisk scenarie, ikke et tænkt.

Mønstret betyder mere end nogen enkelt dom. Hver eneste ramme har indtil nu været et forsøg på at lappe over en reel konflikt mellem EU’s grundrettigheder og amerikansk overvågningslov, og den konflikt er ikke forsvundet.

To danske sager, der viser, at det ikke er teori

Datatilsynet er ikke kendt for at være hurtigt på aftrækkeren, men det har to gange taget overførselsspørgsmålet alvorligt på måder, der betyder noget for helt almindelige virksomheder.

Chromebook-sagen (Helsingør Kommune, 2022). Datatilsynet nedlagde forbud mod, at Helsingør Kommune brugte Google Chromebooks og Google Workspace for Education i skolerne, fordi kommunen ikke kunne dokumentere, at elevernes personoplysninger var beskyttet mod overførsel til USA uden lovligt grundlag. Sagen trak ud i årevis, og forbuddet blev senere ophævet, efter at Google og kommunerne ændrede opsætningen. Men budskabet stod tilbage: “Vi bruger en stor, anerkendt amerikansk leverandør” er ikke i sig selv en risikovurdering.

Udmeldingen om Google Analytics (september 2022). I forlængelse af de østrigske, franske og italienske tilsyn konkluderede Datatilsynet, at Google Analytics, som værktøjet var indrettet dengang, ikke kunne bruges lovligt uden supplerende foranstaltninger, og at danske organisationer enten skulle stoppe med at bruge det eller indføre foranstaltninger som en reverse proxy, der fjerner identificerende data, før de når Google. Statistikdelen har vi skrevet om i webstatistik uden cookies.

Begge sager ligger før DPF, og begge handlede om overførslen, ikke om at værktøjet var dårligt. Det er netop pointen: Det er overførslens juridiske grundlag, der bliver ved med at flytte sig.

CLOUD Act: hvorfor serverens placering ikke redder dig alene

Her kommer den del, der overrasker flest virksomhedsejere. Den amerikanske CLOUD Act (2018) giver amerikanske myndigheder mulighed for, med behørig retskendelse, at pålægge amerikanske udbydere at udlevere data, de har i deres besiddelse eller kontrol, uanset hvor dataene fysisk ligger. Et amerikansk cloud-selskabs datacenter i Frankfurt eller København er stadig inden for rækkevidde af en amerikansk kendelse, der forkyndes for moderselskabet.

“Vi har valgt EU-regionen” på en amerikansk cloud-platform løser altså latenstid og til dels indtrykket af dataresidens, men fjerner ikke amerikansk jurisdiktion. Udbyderen er stadig et amerikansk selskab; CLOUD Act følger selskabet, ikke serveren. De store amerikanske clouds har lanceret “sovereign cloud”-produkter og EU-selskabskonstruktioner for at afbøde det. Hvor godt de konstruktioner holder, er præcis den slags spørgsmål, der er juridisk uafklaret og fortjener en advokats vurdering, hvis det er bærende for din forretning.

For at være fair om omfanget: CLOUD Act-anmodninger retter sig mod strafferetlige efterforskninger, ikke masseovervågning, og en gennemsnitlig dansk webshops ordredata interesserer næppe amerikanske myndigheder. Problemet er juridisk og kommercielt snarere end praktisk. Det komplicerer din overførselsvurdering, det er en akavet linje i et udbudsspørgeskema, og det lægger din compliance i hænderne på retssager, du ikke selv styrer.

En praktisk sammenligning

Den sidste række fortjener en understregning. Til hjemmesider, webshops og almindelige webapps er europæisk hosting prismæssigt på niveau med de amerikanske giganter og ofte billigere. Der er nok at vælge imellem: danske udbydere som Simply.com og DanDomain, europæiske som Hetzner, OVHcloud og Scaleway, eller din egen server hos en europæisk udbyder med en open source-platform som Coolify til at styre driften. Hvad der passer, afhænger af, hvad du kører; ingen af dem kræver, at du diskuterer amerikansk lov. Ulempen var engang et tyndere katalog af managed services. Det er reelt, hvis du har brug for en eksotisk managed database, og ligegyldigt for de opgaver, de fleste virksomheder faktisk kører.

Hvad det betyder for forskellige virksomheder

En lokal virksomheds hjemmeside indsamler beskedne mængder personoplysninger: kontaktformularer, måske besøgsstatistik. Din juridiske risiko er lav uanset hvad, men EU-hosting gør din privatlivspolitik et afsnit kortere og et forbehold svagere, og selvhostede skrifttyper plus cookiefri statistik fjerner de oftest kritiserede punkter helt.

En webshop behandler kunders identitet, adresser og ordrehistorik i stor skala. Overførselsspørgsmålet gælder hver eneste databehandler i stakken, ikke kun hostingen: betaling, fragt, e-mail, statistik. Hele stakken gennemgår vi i GDPR-tjeklisten til webshops.

En SaaS-virksomhed har det sværest. Dine kunders databehandleraftaler sender deres forpligtelser videre til dig, og “hvor hoster I?” dukker op i enhver seriøs udbudsproces. EU-hosting forvandler en tilbagevendende forhandling til et flueben, og dataresidensklausuler i kundekontrakter kræver i stigende grad EU-behandling uden videre.

Det ærlige argument for bare at bruge EU-infrastruktur

Du kan bygge en holdbar juridisk position på amerikansk cloud i dag: Læn dig op ad DPF, underskriv SCC’er som reserve, dokumentér en overførselsvurdering, følg retssagerne. Masser af kompetente virksomheder gør præcis det.

Vores holdning som tre udviklere, der skal stå inde for det, vi leverer: Det er en masse løbende juridisk maskineri for at forsvare et valg, som for de fleste danske virksomheder ikke giver noget. Europæiske udbydere leverer samme ydelse og pris til almindelige opgaver. Vælger du dem, falder hele spørgsmålet sammen. Ingen tilstrækkelighedsafgørelse at overvåge, ingen supplerende foranstaltninger at dokumentere, ingen eksponering, hvis en Schrems III lander. Compliance gennem arkitektur er billigere end compliance gennem papirarbejde, og den udløber ikke, når en domstol afsiger dom.

Derfor kører alt, vi bygger, på hosting i EU under EU-jura som standard. Det er ikke et tilvalg. En hjemmeside på fem sider koster 3.995 kr. engang (Start), og drift, hosting og sikkerhed koster fra 375 kr. om måneden (Basis), alle priser ekskl. moms; se priser. Samme standard gælder for hjemmesider, webshops og webapps.

Har du allerede en side hos en amerikansk platform, er en flytning som regel en dag eller to, ikke et projekt. Vi ser på, hvad du kører, vælger en europæisk udbyder, der passer, flytter side og domæne og giver dig nøglerne. Hvorfor det betyder noget, at du selv ejer opsætningen, kan du læse i ejer du din hjemmeside?.

Ofte stillede spørgsmål

Er det ulovligt at bruge AWS, Google Cloud eller Azure i Danmark? Nej. Under det nuværende Data Privacy Framework og med ordentlige kontrakter er det lovligt. Bekymringen handler om holdbarhed, med verserende sager mod DPF og CLOUD Acts rækkevidde, ikke om ulovlighed her og nu.

Gør en EU-region hos en amerikansk cloud mig GDPR-compliant? Den hjælper på dataresidens og latenstid, men fjerner ikke amerikansk jurisdiktion over udbyderen. Om det udgør en overførsel, der kræver garantier, er et af de aktivt debatterede spørgsmål, og tilsynene, Datatilsynet inklusive, har hældet til forsigtighed.

Hvad skete der i Schrems II, i én sætning? I juli 2020 underkendte EU-Domstolen EU-US Privacy Shield, fordi amerikansk overvågningslov forhindrede amerikanske udbydere i at garantere EU-svarende databeskyttelse, mens SCC’er kun forblev gyldige med en vurdering fra sag til sag.

Kan Data Privacy Framework blive underkendt? Den er indbragt for domstolene, og begge forgængere blev underkendt. Ingen kan love et udfald; fornuftig arkitektur afhænger ikke af ét.

Har jeg brug for en advokat? Til en mindre side på europæisk infrastruktur rækker de almindelige compliance-grundregler som regel. Overfører du personoplysninger til amerikanske udbydere i stor stil, underskriver du databehandleraftaler med store kunder eller behandler du følsomme oplysninger, så ja: Få en persondataadvokats vurdering. Denne artikel er teknisk baggrund, ikke juridisk rådgivning.