Datacentret er ikke et juridisk argument

Datacentret er ikke et juridisk argument

Adressen på brochuren

Der er en sætning, der optræder i cloud-udbud med selvsikkerheden fra et afsluttet argument: dataene vil blive opbevaret i et europæisk datacenter. Sætningen kan være sand. Den kan også gøre langt mere arbejde, end den kan bære.

Et datacenter har en placering. Den placering betyder noget for fysisk sikkerhed, modstandsdygtighed, energi, forbindelse, nationale regler og den praktiske rækkevidde for en lokal myndighed. Den fortæller en køber noget nyttigt om, hvor noget udstyr står. Den fortæller ikke i sig selv køberen, hvem der ejer tjenesten, hvem der driver udstyret, hvor kopier laves, hvem der har nøglerne, hvilke personer der kan administrere det, hvilke virksomheder der må underleverandere dele af arbejdet, eller hvilket retssystem der kan tvinge en part til at give adgang.

Forskellen er let at formulere og overraskende let at miste. Et postnummer er synligt. Kontrol er distribueret. Postnummeret passer pænt ind i et indkøbsregneark; kontrol kommer som en kæde af kontrakter, identiteter, supportkonti, administrationsplaner, krypteringsnøgler, virksomhedsrelationer, operationelle procedurer og juridiske forpligtelser. Det første er et faktum om sted. Det andet er et spørgsmål om magt.

Europæisk databeskyttelseslovgivning har gjort dette punkt med stadig mere præcist sprog. I Schrems II-dommen af 16. juli 2020 undersøgte Den Europæiske Unions Domstol, hvordan personoplysninger kunne forlade Det Europæiske Økonomiske Samarbejdsområde, mens de bevarede et beskyttelsesniveau, der i det væsentlige svarer til det, der er garanteret inden for området. Domstolen opretholdt standardkontraktklausuler som et muligt overførselsværktøj, men gjorde klart, at de ikke fungerer i et vakuum. Eksportøren skal undersøge lovgivningen og praksissen i destinationslandet under overførslens omstændigheder og handle, når garantierne ikke kan fungere i praksis.

Dommen sagde ikke, at en grænse er irrelevant. Den sagde, at en grænse er en del af spørgsmålet. Det Europæiske Databeskyttelsesråds efterfølgende anbefalinger forvandler dette princip til en metode: kend overførslerne, identificer det juridiske værktøj, vurder lovgivningen og praksissen, der kan påvirke den, tilføj foranstaltninger, hvor de kan fungere, gennemfør den nødvendige procedure, og hold vurderingen under løbende revision. En serveradresse optræder på det kort. Den er ikke kortet.

Dette betyder noget ud over personoplysninger. Dataforordningen behandler cloud- og andre databehandlingstjenester som infrastruktur, som kunder bør kunne skifte fra. Den adresserer også betingelserne for, hvornår en offentlig myndighed fra et tredjeland søger adgang til ikke-personoplysninger, der opbevares i Unionen. Igen er det juridiske svar bygget op af aktører, formål, garantier, beviser og retsmidler. En bygning er involveret. En bygning er ikke nok.

Den praktiske lektion for en europæisk institution er derfor ligetil. Spørg, hvor dataene er. Bliv derefter ved med at stille spørgsmål, indtil svaret inkluderer, hvem der kan læse dem, hvem der kan ændre dem, hvem der kan stoppe dem, hvem der kan eksportere dem, hvem der kan tvinges til at videregive dem, og hvilke beviser der vil være tilbage, når parterne er uenige. Hvis svaret slutter ved datacenterets dør, er den nyttige del af undersøgelsen kun lige begyndt.

Residency handler om sted

Dataresidency er en erklæring om, hvor data opbevares eller behandles under en defineret ordning. Definitionen har brug for en afgrænsning. Er det den primære kopi, sikkerhedskopien, indekset, cachen, telemetrien, katastrofegenvindingsstedet eller alle sammen? Inkluderer behandling, at en administrator ser en registrering fra et andet land? Tæller en supportsession? Hvad sker der, når et hændelseshold skal kopiere en diagnostisk sporingslog? Et residency-løfte, der ikke siger, hvad det dækker, er en attraktiv etiket på en ufærdig sætning.

Cloudsystemer er designet til at flytte arbejde. Replikering kan forbedre tilgængeligheden. Et andet site kan holde en tjeneste kørende, når det første site er utilgængeligt. En edge-lokation kan reducere latens. Et sikkerhedsteam kan dirigere en log til et centralt analysesystem. Det er almindelige tekniske valg, ikke tegn på urent trav. De betyder dog, at udtrykket "opbevaret i Europa" skal have et teknisk objekt knyttet til sig. Hvilke data, i hvilken tilstand, i hvilken periode, under hvilken operation?

ENISA's risikovurdering af cloud, første gang udgivet i 2009, er stadig nyttig netop fordi den nægtede at behandle geografi som en komplet kontrol. Den identificerer risici ved opbevaring i flere jurisdiktioner, utilstrækkelig information om jurisdiktioner, tab af governance, underentreprise og ændringer i udbyderens kontrol. Dokumentet er gammelt nok til at have en forkærlighed for akronymer, som moderne teams måske ikke deler, men det organisatoriske problem er ikke forsvundet. Hvis en kunde ikke kan se, hvor data behandles, eller hvem der er ansvarlig for den næste overdragelse, kan kunden ikke træffe en pålidelig risikobeslutning.

Residency kan være et gyldigt krav. Et offentligt arkiv kan have behov for, at optegnelser forbliver inden for et defineret juridisk område. En sundhedstjeneste kan have behov for en behandlingsordning, der begrænser, hvor følsomme data kan rejse hen. Et forskningskonsortium kan have forpligtelser knyttet til en bevillingsgiver eller en datadelingsaftale. Disse krav bør formuleres som operationelle betingelser med en metode til at kontrollere dem, snarere end som et enkelt lands navn, som alle er inviteret til at fortolke generøst.

Der er også forskel på en begrænsning og en garanti. At kræve, at en udbyder holder et primært lager i Den Europæiske Union, begrænser én klasse af bevægelse. Det garanterer ikke, at ingen person uden for Unionen kan få adgang til en optegnelse, at ingen metadata forlader systemet, eller at ingen udenlandsk juridisk forpligtelse kan nå en udbyder. En begrænsning kan være nyttig uden at være en garanti. At forveksle de to skaber en compliance-fortælling, der består en rundvisning i serverrummet, men fejler ved et nærmere kig på management-planet.

Det nyttige residency-spørgsmål er ikke blot "hvor er det?" Det er "hvilke lokationer er mulige for hver tilstand af disse data, og hvem kan ændre den tilstand?" En udbyder bør kunne forklare svaret i termer, som en ingeniør kan implementere, og en køber kan verificere. Hvis forklaringen afhænger af en udokumenteret undtagelse, en support-vane eller et løfte om, at udbyderens egne underleverandører formentlig vil opføre sig ordentligt, er residency-kravet endnu ikke operationelt.

Fem spørgsmål gemt i ordet hvor

Når folk spørger, hvor deres data er, mener de ofte flere forskellige ting på én gang. Hvis man adskiller spørgsmålene, bliver en indkøbssamtale mindre teatralsk og mere brugbar.

1. Hvor er bitsene? Dette er spørgsmålet om fysisk og logisk lagring. Det omfatter primære data, replikaer, sikkerhedskopier, caches, indekser og relevante logfiler. Et tilfredsstillende svar angiver omfanget og de betingelser, hvorunder svaret ændrer sig.

2. Hvor foregår behandlingen? En registrering kan være lagret i en jurisdiktion og transformeret, søgt, klassificeret, krypteret eller dekrypteret et andet sted. Behandling kan være et planlagt job, en supporthandling, en overvågningspipeline eller en midlertidig kopi oprettet under genoprettelse.

3. Hvem kan få adgang til det? Dette er spørgsmålet om identitet og drift. Det omfatter medarbejdere, administratorer, kontraktører, servicekonti, incidentrespondenter og automatiserede systemer. En person behøver ikke at bo ved siden af en server for at have effektiv adgang til den.

4. Hvem kan påtvinge den adgang? Dette er spørgsmålet om jurisdiktion og juridisk myndighed. Det følger de relevante organisationer og personer, de roller de har, de kontrakter de underskriver, og de juridiske forpligtelser der kan binde dem. Det besvares ikke af en markør på et kort alene.

5. Hvad kan kunden gøre, når svaret ændrer sig? Dette er spørgsmålet om kontrol og exit. Kan kunden begrænse adgang, rotere nøgler, få en pålidelig registrering, genoprette tjenesten, flytte dataene og afslutte forholdet uden at miste det, som den forsøgte at beskytte?

Disse spørgsmål overlapper, men de er ikke udskiftelige. En udbyder kan besvare det første overbevisende og det tredje dårligt. En kontrakt kan besvare det femte på papiret, mens det tekniske team aldrig har gennemført exit. Et lokalt datterselskab kan besvare spørgsmålet om virksomhedsidentitet, mens tjenesten afhænger af et moderselskabs infrastruktur eller supportorganisation. Det korrekte svar er ikke at vælge det mest betryggende svar. Det er at holde sættet intakt.

Det er også derfor, at suverænitetsvurderinger kan blive forvirrede. Ordet bedes dække fysisk placering, juridisk uafhængighed, operationel kompetence, økonomisk ejerskab, strategisk autonomi og evnen til at forlade. Det er beslægtede ambitioner. De er ikke én egenskab. En præcis institution angiver, hvilken egenskab den har brug for, og hvilke beviser der ville vise, at den findes.

Jurisdiktion følger autoritet

Jurisdiktion er ikke en mystisk sky omkring et land. Det er en måde at beskrive, hvilke juridiske myndigheder der kan regulere, beordre, undersøge, revidere eller afhjælpe adfærden hos relevante aktører. I en distribueret tjeneste betyder aktørerne lige så meget som stederne. En virksomhed kan være stiftet i en medlemsstat, drive faciliteter i en anden, bruge et supportteam i en tredje og afhænge af et moderselskab eller en underleverandør med forpligtelser andre steder. En kunde, der forsøger at forstå juridisk rækkevidde, skal følge autoritetskæden, ikke stoppe ved den nærmeste bygning.

Det betyder ikke, at enhver udenlandsk forbindelse underminerer europæisk kontrol. Europæiske tjenester er forbundet af design. Grænseoverskridende handel, forskning, support, finansiering og infrastruktur er normalt. Spørgsmålet er, om institutionen ved, hvilken forbindelse der bærer hvilken magt. En europæisk operatør kan muligvis afvise en almindelig anmodning, men mangle autoritet til at modstå en bindende instruks fra en anden organisation. En underleverandør kan have en legitimationsoplysning, som hovedvirksomheden ikke har inkluderet i sin egen adgangsoversigt. En supportproces kan tillade fjernadgang, selv når lagringskontrakten lover en lokal region.

Den juridiske analyse afhænger også af datatypen og typen af anmodning. Personoplysninger bringer GDPR'ens overførselsregler og den grundlæggende rettighedsramme i spil. Ikke-personoplysninger er ikke et juridisk tomrum. Dataforordningen indeholder beskyttelsesforanstaltninger for visse anmodninger fra tredjelandes offentlige myndigheder om ikke-personoplysninger, der opbevares i Unionen. En anmodning skal vurderes ud fra forordningens betingelser, herunder anmodningens karakter og de beskyttelser, der er tilgængelige i tredjelandets retssystem. De to ordninger er forskellige, og netop denne forskel er grunden til, at en køber ikke bør presse dem sammen i ordet bopæl.

EU-Domstolens dom i sag C-311/18 giver et nyttigt europæisk juridisk mønster. Domstolen spurgte ikke, om en kontrakt så formel nok ud. Den spurgte, om den beskyttelse, der er garanteret af EU-retten, ville forblive væsentligt ækvivalent under omstændighederne for overførslen, under hensyntagen til den lovgivning og praksis, der kunne påvirke dataene. Standardkontraktklausuler kan binde de parter, der underskriver dem. De binder ikke en offentlig myndighed, der ikke er part i kontrakten. Hvis det juridiske miljø underminerer de lovede beskyttelsesforanstaltninger, skal eksportøren reagere.

Den logik er bredere end den konkrete tvist. En kontrakt er et instrument til privat fordeling. Jurisdiktion er det felt, hvor offentlig myndighed kan handle. Kontrakten kan fortælle en leverandør, hvad den har lovet kunden. Den kan ikke i sig selv fjerne en offentlig beføjelse, der binder leverandøren eller dennes medarbejdere. God forvaltning tager begge udsagn alvorligt. Den bruger kontrakter til at fastsætte forpligtelser og tekniske foranstaltninger til at gøre disse forpligtelser observerbare, samtidig med at den anerkender, at juridisk rækkevidde stadig kan ændre de tilgængelige muligheder.

Det er fristende at gøre dette til en jagt på et enkelt farligt land. Det er mindre nyttigt end at kortlægge de faktiske myndigheder. Hvilken enhed er dataansvarlig eller databehandler? Hvilken enhed ansætter administratoren? Hvilken enhed har krypteringsnøglerne? Hvilken enhed kan lave en kopi? Hvilken enhed modtager en supportanmodning? Hvilken myndighed kunne udstede en ordre? Hvilken klageadgang ville kunden have, og i hvilket forum? Kortet kan være betryggende. Det kan også være det modsatte. Begge resultater er mere værdifulde end et landemærkat.

Ejerskab er en titel, ikke en nøgle

Ejerskab har ægte juridisk og økonomisk kraft. Det kan afgøre, hvem der må sælge et aktiv, udpege direktører, licensere intellektuel ejendom, modtage indtægter eller træffe bestemte beslutninger. I et offentligt organ kan det være knyttet til lovbestemt ansvar for registre eller infrastruktur. I en koncern kan det forklare, hvem der kan stemme, fusionere, finansiere eller udskifte en leverandør. Ejerskab hører hjemme i en suverænitetsvurdering.

Ejerskab giver ikke automatisk operationel kontrol. En kunde kan eje dataene, mens en leverandør driver databasen, administrerer backupsystemet og styrer servicekontoen. En offentlig institution kan eje en bygning, mens en entreprenør har vedligeholdelseslegitimationsoplysningerne og den eneste testede vej til at genoprette udstyret. En virksomhed kan eje kildekoden, mens en tredjepart kontrollerer signeringsnøglen, build-runneren, pakkeregistret og implementeringsidentiteten. Titlen er ægte. Det samme er afhængigheden.

Forskellen bliver synlig i verberne. Ejerskab er et navneord i en kontrakt. Kontrol er evnen til at inspicere, drive, ændre, stoppe, gendanne, eksportere, slette og bevise. En indkøbsproces, der kun registrerer navneord, kan efterlade de vigtige verber uden ansvar. Den kan have en navngiven ejer for platformen og stadig ikke have en navngiven person, der kan rotere en nøgle, fjerne en privilegeret konto eller gendanne fra en backup uden at spørge en organisation, der ikke er i rummet.

Der er ingen dyd i at kræve maksimal besiddelse. Et hospital, en kommune eller et universitet kan mangle personale og sikkerhedskapacitet til at drive alle lag sikkert. At delegere en opgave kan være ansvarligt, når grænserne er eksplicitte, og kunden bevarer evnen til at føre tilsyn, teste og gendanne. Pointen er ikke at placere hver server i en offentlig kælder. Pointen er at beslutte, hvilke beføjelser der er essentielle for missionen, og at holde disse beføjelser tæt nok på til at kunne styre dem.

Den beslutning kræver dokumentation. "Kunden ejer dataene" bør føre til spørgsmål om eksportformat, nøgleforvaltning, opbevaring, sletning, adgangslogge og supportrettigheder. "Udbydere er europæiske" bør føre til spørgsmål om virksomhedskontrol, underleverandører, infrastruktur, juridisk eksponering og kontinuitet. "Dataene er i Unionen" bør føre til spørgsmål om fjernadministration, replikaer, behandlingssteder og juridiske anmodninger. Et godt svar kan være kompliceret. Komplikation er ikke en defekt, når systemet er kompliceret.

Driftsmæssig kontrol er retten til at handle

Driftsmæssig kontrol er lettest at forstå gennem en handling frem for et adjektiv. Overvej en kunde, der skal tilbagekalde en administrator. Hvem kan udføre tilbagekaldelsen? Hvilket identitiesystem godkender den? Skal udbyderen udføre ændringen, eller kan kunden gøre det direkte? Dækker handlingen supportkonti, nødkonti og inaktive legitimationsoplysninger? Findes der en registrering, der beviser, hvornår tilladelsen forsvandt? Hvis en handling afhænger af en helpdesk, er helpdesken en del af kontrolplanet.

Den samme test gælder for nøgler. Kryptering kan reducere eksponering, men dens styring afhænger af, hvem der opretter, gemmer, roterer, gendanner og kan bruge nøglerne. En lokalt gemt registrering kan forblive ulæselig for en part, der ikke kan få adgang til nøglen. Den kan også blive utilgængelig for kunden, når den eneste gendannelsesvej ligger hos en leverandør. Nøgleforvaltning er derfor hverken et slogan for suverænitet eller en magisk viskelæder for jurisdiktion. Det er en konkret kontrol, der skal tildeles og øves.

Logge fortjener samme behandling. Et dashboard kan vise aktivitet. Dokumentation kræver en registrering, som kunden kan opbevare, fortolke og udfordre. Hvem skriver loggen? Kan en administrator ændre den? Er tidskilden pålidelig? Dækker den supportadgang og automatiseret behandling? Kan kunden få en brugbar eksport uden udbyderens tilladelse? Hvad sker der, når kontoen lukkes? En log, der forsvinder med tjenesten, er nyttig til drift og svag til ansvarlighed.

Gendannelse er den sværeste test for driftsmæssig kontrol, fordi den gør enhver afhængighed synlig. En udbyder kan love backup, men gendannelsen kan kræve en bestemt region, en utilgængelig licens, en ingeniør, der ikke længere arbejder der, eller en hemmelighed gemt i et separat system. Kunden kan eje backup-filen og stadig mangle evnen til at gøre den til en fungerende tjeneste. Gendannelse bør testes som en samlet handling, med resultatet registreret og hullerne tildelt til personer, der kan lukke dem.

At stoppe en tjeneste er også kontrol. En institution kan have brug for at pause en integration, isolere et datasæt, suspendere automatiseret behandling eller forhindre oprettelsen af en ny replika. Hvis kun en leverandør kan udføre stopningen, bliver leverandørens identitet, juridiske forpligtelser, svartid og supportproces en del af institutionens risiko. Det kan være en acceptabel ordning. Det er ikke en usynlig en.

Pointen med disse tests er ikke at mistro enhver leverandør. Det er at erstatte tillid med et forhold, der kan inspiceres. En leverandør med et klart svar kan forklare, hvilke handlinger den udfører, hvilke kunden udfører, og hvilke der kræver samarbejde. En leverandør, der stoler på en enkelt beroligende sætning, har endnu ikke besvaret det operationelle spørgsmål.

Underleverandører gør ét svar til en kæde

En tjeneste er sjældent én organisation, der gør én ting ét sted. Cloududbydere bruger specialiseret infrastruktur, supportpartnere, overvågningstjenester, sikkerhedsoperationer, hardwarevedligeholdelse, netværksoperatører og andre leverandører. Nogle er synlige i kontrakten. Andre dukker op i en underdatabehandlerliste, en tjenestebeskrivelse, en hændelsesmeddelelse eller en supportworkflow. Kæden er almindelig. Pligten til at forstå kæden er også almindelig.

ENISA's risikovurdering peger på en velkendt fejl: en cloududbyder kan outsource tjenester til en tredjepart, der ikke tilbyder de samme garantier, mens en ændring i kontrol kan ændre udbyderens vilkår. Rapporten er ikke en moderne arkitekturspecifikation, og den behøver ikke at være det. Dens varige advarsel er organisatorisk. En kunde kan ikke hævde at forstå en tjeneste, når den kun har vurderet det første selskab på fakturaen.

EDPB's anbefalinger er mere specifikke for personoplysninger. Det første skridt er at kende overførslerne, herunder videreoverførsler til databehandlere og underdatabehandlere. Fjernadgang fra et tredjeland kan i sig selv tælle som en overførsel, selv når registreringen forbliver i et EØS-datacenter. En supportordning er derfor en del af dataoverførselskortet, ikke en fodnote, der kan håndteres efter implementeringen.

Synlighed af underleverandører er ikke det samme som kontrol over underleverandører. En liste fortæller kunden, hvem der er involveret. Kontrol spørger, hvad hver part kan gøre, hvilke data den kan se, hvilket juridisk værktøj der dækker aktiviteten, hvordan en ændring meddeles, og hvilken løsning der findes, når parten holder op med at opfylde betingelserne. Kæden bør have grænser og dokumentation ved hver overdragelse.

Der er en praktisk grund til at modstå vage kæder. Når en hændelse sker, bevæger ansvaret sig ofte i den modsatte retning af dataene. Kunden spørger udbyderen. Udbyderen spørger et platformsteam. Platformsteamet spørger en specialiseret leverandør. Den specialiserede leverandør spørger en administrator i en anden organisation. Hver overdragelse kan tilføje forsinkelse, usikkerhed og en mulighed for, at den oprindelige registrering mister kontekst. Et kontrolkort bør vise ruten før hændelsen, mens de involverede personer stadig har tid til at være præcise.

Personoplysninger: beskyttelse følger med registreringen

GDPR gør ikke personoplysninger sikre ved at placere dem bag en europæisk dør. Overførselsreglerne er designet til at bevare et højt beskyttelsesniveau, når data flytter til et tredjeland. EDPB beskriver princippet klart: et i det væsentlige tilsvarende beskyttelsesniveau bør følge med dataene, uanset hvor de går hen, både under og efter overførslen.

Det betyder ikke, at enhver overførsel er forbudt. GDPR indeholder forskellige overførselsværktøjer og betingelser, herunder adequatbeslutninger og garantier i henhold til artikel 46. Det juridiske spørgsmål er, om det valgte værktøj fungerer under de givne omstændigheder. EDPB's anbefalinger pålægger eksportører at vurdere den lovgivning og praksis, der er relevant for den konkrete overførsel, overveje om importøren eller dataene kan falde ind under problematiske regler, og dokumentere begrundelsen. Hvis ingen supplerende foranstaltning kan genoprette det krævede beskyttelsesniveau, bør overførslen undgås, suspenderes eller afsluttes.

Tre detaljer er særligt lette at overse i en samtale om dataresidens. For det første betyder en videreoverførsel noget. En udbyder kan opbevare den primære registrering i EØS og sende en kopi til en support- eller analysetjeneste andetsteds. For det andet betyder adgang noget. En administrator i et tredjeland kan være i stand til at læse en registrering, uden at registreringen nogensinde fysisk flyttes til vedkommendes skrivebord. For det tredje betyder ansvarlighed noget. Eksportøren skal kunne påvise vurderingen og revurdere den, når tjenesten, lovgivningen, personerne eller omstændighederne ændrer sig.

Rammen kræver derfor, at en kunde forstår både den tekniske vej og den juridiske kontekst. Et diagram over regioner og pile er nyttigt. Det kan ikke erstatte overførselsvurderingen. Det kan heller ikke et kontraktligt løfte om, at en udbyder vil overholde reglerne, hvis kunden ikke har undersøgt, hvad de relevante garantier kan opnå mod de love og praksisser, der kan gælde for udbyderen.

Europæisk databeskyttelsesret har en sund modvilje mod magiske ord. "EU-hosting" kan beskrive en nyttig kendsgerning. "Kompatibel" kan beskrive en konklusion, der kræver begrundelser. "Suveræn" kan beskrive et politisk mål. Intet af det bør få lov til at stå i stedet for beviset for, at dataene er beskyttet, at adgangen er reguleret, og at beslutningen kan forsvares.

Ikke-personoplysninger: en anden ordning, samme disciplin

Dataforordningen omhandler et bredere sæt af datarelationer og indeholder regler for databehandlingstjenester såsom cloud- og edge-tjenester. Den er ikke en erstatning for GDPR, og den gør ikke enhver cloud-beslutning til en overførselsvurdering for databeskyttelse. Den giver dog en anden europæisk påmindelse om, at placering, adgang, skift og autoritet skal overvejes sammen.

For ikke-personoplysninger, der opbevares i Unionen, beskriver Kommissionens forklaring af dataforordningen garantier for visse anmodninger eller beslutninger fra en offentlig myndighed i et tredjeland. Hvor ingen gældende international aftale regulerer adgangen, fastsætter forordningen betingelser, der har til formål at beskytte europæiske interesser, herunder opmærksomhed på tredjelandets retssystem og proportionaliteten af anmodningen. Udbyderne forventes at træffe rimelige foranstaltninger, såsom kryptering, revisioner eller certificeringsordninger, for at forhindre uautoriseret adgang og for at informere kunderne, hvor det er muligt.

Ordlyden betyder noget. Dataforordningen hævder ikke, at Unionen kan få udenlandske retssystemer til at forsvinde. Den skaber en ramme for at vurdere og begrænse visse adgangsveje. En udbyder skal stadig vide, hvilke systemer den driver, hvilke data der opbevares, hvem der kan svare på en anmodning, og hvilke beviser der kan gives til kunden. En kunde skal stadig forstå, hvilke dele af dataene der er personoplysninger, hvilke der ikke er, og hvilke andre retlige ordninger der finder anvendelse.

Loven griber også kontrollen an gennem skift. Kunder bør kunne flytte mellem databehandlingstjenester, bruge tjenester parallelt og flytte eksporterbare data og digitale aktiver. Udbyderne skal oplyse om eksportformater, grænseflader, kendte begrænsninger og den tid, processen tager. Reglerne om funktionel ækvivalens anerkender en praktisk sandhed: en fil, der kan downloades, er ikke nødvendigvis en tjeneste, der kan genskabes.

Skift beskrives ofte som et konkurrencetiltag, og det er det også. Det er også et suverænitetstiltag i operationel forstand. En institution, der kan forlade, har større råderum til at afvise en ændring, den ikke kan acceptere. En institution, der ikke kan forlade, kan eje en kontrakt og alligevel være styret af udbyderens standardindstillinger. En juridisk ret til at skifte er en vigtig begyndelse. En gennemøvet migration, der bevarer data, konfiguration og dokumentation, er den del, der gør retten anvendelig.

Kontrakter, nøgler og grænserne for beroligelse

Kontrakter forbliver essentielle. De fordeler ansvar, fastsætter regler for underretning, identificerer underdatabehandlere, definerer tilladt behandling, beskriver sletning og opbevaring, skaber revisionsrettigheder og etablerer bistand under en overgang. Dataaktens bestemmelser om cloudskift understøtter behovet for klare kontraktvilkår, eksporterbare data og oplysninger om mekanikken i en udtræden. ENISA's ældre vejledning anbefaler ligeledes at være opmærksom på dataoverførsler, ændringer i kontrol, myndigheders adgang, brudunderretninger og ansvar ved evaluering af cloudkontrakter.

En kontrakt er ikke en runtime-kontrol. En klausul, der siger, at kunden kan eksportere, er svagere end en eksportkørsel mod et repræsentativt datasæt, der genskabes i et andet miljø. En klausul, der siger, at udbyderen sletter, er svagere end en reviderbar sletningsproces, der dækker replikaer, caches, sikkerhedskopier og afledte poster. En klausul, der giver revisionsret, er svagere end logfiler og dokumentation, kunden faktisk kan få adgang til. Papir betyder noget. Papir, der aldrig møder et fungerende system, er høfligt formuleret optimisme.

Nøgler giver en lignende lære. Kryptering styret af kunden kan reducere, hvad en udbyder eller en uautoriseret part kan læse. Det besvarer ikke, hvem der kan tvinge en person, der har en gendannelsesnøgle, hvem der kontrollerer hardware-sikkerhedsmodulet, hvem der kan ændre nøglepolitikken, eller hvad der sker, når kunden mister sin egen legitimationsoplysning. Det rigtige design kan bruge delt autoritet, uafhængig forvaring, nøje afgrænset adgang og testet gendannelse. Det forkerte design kan placere den afgørende nøgle i en anden jurisdiktion og kalde arrangementet lokalt, fordi databasen er lokal.

Juridiske og tekniske foranstaltninger bør designes sammen. Hvis en kontrakt kræver, at kunden godkender supportadgang, bør tjenesten have en godkendelsesproces, der efterlader et spor. Hvis kunden skal forhindre videreoverførsler, bør udbyderen synliggøre ruten og håndhæve grænsen. Hvis en anmodning fra en offentlig myndighed skal vurderes, bør hændelsesprocessen bevare anmodningen, den juridiske analyse, beslutningen, underretningen og svaret. Et juridisk løfte bliver troværdigt, når et system kan vise, hvordan det udføres.

Det samme princip gælder for ejerskifte. En opkøbt leverandør, et nyt moderselskab, en ændring i underleverandør eller en ændring i tjenestens driftsregion kan ændre kontrolkortet uden at ændre det kundevendte brand. Kontrakter bør kræve underretning og retsmidler. Tekniske registre bør opdateres. En ændringslog bør vise, hvilke beføjelser der er flyttet. Styring, der kun eksisterer ved den oprindelige underskrift, har en kort halveringstid.

Køberens kontrolkort

En offentlig eller privat køber har ikke brug for et magisk spørgeskema. Den har brug for et kort, der forbinder påstande med dokumentation. Følgende spørgsmål er et nyttigt udgangspunkt, fordi de spørger efter handlinger, aktører og registreringer frem for et foretrukket adjektiv.

Tabellen er bevidst prosaisk. Den er beregnet til at overleve kontakt med et indkøbsteam. Den giver også en køber en måde at sammenligne udbydere på uden at lade som om, at et certifikat, et nationalt flag eller en rundvisning i et datacenter afgør alt. Dokumentationen kan være fortrolig. Kravet om at have dokumentation bør ikke være det.

Bed om en demonstration af den kritiske handling, ikke kun en beskrivelse. Vis, hvordan en privilegeret konto fjernes. Vis, hvordan en supportsession godkendes. Vis, hvad en kunde modtager, når den anmoder om en eksport. Vis, hvordan en replika lokaliseres. Vis, hvad en juridisk anmodning gør ved hændelsesworkflowet. Vis, hvordan organisationen fortsætter, når udbyderkontoen er suspenderet. Pointen er ikke at iscenesætte en dramatisk fejl. Det er at se, om kontrollen findes uden for præsentationen.

Spørg derefter, hvem der ejer resultatet. En test uden ejer er en opvisning. Et hul uden en dato er en permanent funktion. En kontrol uden en registrering er en tro. Kortet bør derfor navngive den person eller det organ, der accepterer risikoen, den leverandør, der skal udføre handlingen, og kanalen for at udfordre resultatet. Governance er ikke en bunke spørgsmål. Det er et sæt beslutninger med et sted at gå hen.

Et tankeeksperiment om et europæisk arkiv

Det følgende er et markeret hypotetisk scenarie, ikke en rapport om en faktisk kunde eller hændelse. Forestil dig et kommunalt arkiv, der vælger en hosted tjeneste til digitaliserede planlægningsregistre. Udbuddet kræver primær lagring i Den Europæiske Union og beder om kryptering, sikkerhedskopier og en supportdesk. Tre udbydere opfylder ordene. Én er lokalt registreret, men er afhængig af en supportsuppler uden for Unionen. Én holder lagring og support i Unionen, men bruger et moderselskabs identitetsplatform. Én har en mindre lokal drift, klar nøgleforvaring og en testet eksport, men har brug for et nøje afgrænset serviceniveau, fordi den ikke kan tilbyde alle valgfrie funktioner.

Den første udbyder kan stadig være acceptabel. Den anden kan stadig være acceptabel. Den tredje kan stadig være uegnet til et bestemt tilgængelighedskrav. Pointen med tankeeksperimentet er, at bopæl alene ikke kan vælge mellem dem. Arkivet er nødt til at spørge, hvilken supportadgang der er mulig, hvem der kan lave en kopi, hvilke juridiske enheder der kan modtage en ordre, hvordan nøglerne styres, hvad loggene viser, og om registrene kan gendannes andre steder.

Antag, at arkivet beslutter, at lokal lagring er dets vigtigste betingelse. Det kan skrive det krav ind i kontrakten. Det bør også definere de objekter, der er omfattet af betingelsen, kræve varsel ved ændringer og spørge, hvordan en overtrædelse ville blive opdaget. Antag, at det beslutter, at fjernsupport kun er tilladt i forbindelse med en dokumenteret hændelse. Tjenesten har brug for en godkendelsesprocedure, tidsbegrænsede legitimationsoplysninger og en registrering, der kan gennemgås. Antag, at det beslutter, at arkivet skal kunne forlade tjenesten. Udfasningen bør testes, før tjenesten bliver det eneste sted, hvor nogen ved, hvordan man læser registreringerne.

Intet i denne hypotese kræver, at arkivet driver et datacenter. Det kræver, at arkivet forstår de beføjelser, det delegerer. Det er forskellen mellem ansvarlig outsourcing og et køb, der flytter risikoen ind i et rum, som køberen ikke kan komme ind i.

Hvad Europa ærligt kan mene med suverænitet

Europæisk suverænitet i digital infrastruktur bør beskrives i vendinger, der kan overleve et ubehageligt spørgsmål. Det kan betyde, at en europæisk institution bevarer myndigheden over kritiske beslutninger. Det kan betyde, at centrale afhængigheder er synlige, begrænsede og genoprettelige. Det kan betyde, at juridiske rettigheder er understøttet af teknisk kapacitet. Det kan betyde, at en offentlig køber kan skifte, udfordre, inspicere og fortsætte driften, når en udbyder eller en lov ændrer den tilgængelige vej.

Det bør ikke betyde, at en tjeneste automatisk er sikker, fordi dens markedsføringsadresse er europæisk. Det bør heller ikke betyde, at alle udenlandske forbindelser er forbudt. Europa er afhængig af grænseoverskridende systemer, og en regel, der lader som om andet, vil blive ignoreret eller stille og roligt omgået. Den modne holdning er mere krævende: tillad de afhængigheder, der tjener missionen, dokumentér dem, reducer dem, der bærer uacceptabel magt, og behold en udgang for dem, der ikke kan gøres troværdige.

Den holdning giver også europæiske udbydere en mere fair test. En lokal udbyder bør ikke skulle opføre et flagceremoniel for at blive taget alvorligt. Den bør kunne vise, hvad den driver, hvad den delegerer, hvem der kan få adgang, hvilken lov der kan finde anvendelse, hvordan data beskyttes, og hvordan en kunde kan forlade tjenesten. En global udbyder bør møde de samme spørgsmål. Standardet er kontrolbevis, ikke oprindelsesteater.

Ordet suverænitet bliver nyttigt, når det ændrer indkøbsadfærd. Et ministerium kan bruge indkøb til at belønne en testet udfasningsvej. Et hospital kan kræve centrale ordninger, der matcher dets kliniske forpligtelser. Et universitet kan gøre oprindelsen af forskningsdata synlig. En tilsynsmyndighed kan spørge ind til tilstanden af et system på tidspunktet for en beslutning. En leverandør kan designe sin tjeneste, så kundens myndighed ikke er et dekorativt afsnit. Det er institutionelle handlinger, ikke en slogan-konkurrence.

En lille note fra os

Hos Dweve bruger vores offentlige analyse The Sovereignty Illusion: where control really sits, udgivet den 29. juni 2026, en lignende disciplin. Den adskiller ejerskab, teknologi, kapital, infrastruktur og juridisk eksponering i stedet for at lade en europæisk etiket stå for alle fem. Denne artikel er snævrere. Den følger datacenter-påstanden ned i de operationelle og juridiske lag, som en køber skal styre.

Det er også sådan, vi foretrækker at beskrive vores eget arbejde. Et system bør gøre sine grænser læselige: hvad der er lokalt, hvad der er delegeret, hvad der er registreret, hvad der kan udfordres, og hvad der kan ændres. Den nyttige påstand er den, en læser kan inspicere. Resten er dekoration, og Europa har allerede rigeligt af dekorativ infrastruktur.

Det juridiske argument starter efter adressen

Et datacenters placering er værd at kende. Den kan påvirke fysisk adgang, modstandsdygtighed, forbindelse, gældende lokale regler og designet af en tjeneste. Det kan være det rigtige første spørgsmål. Det er et dårligt endeligt svar.

Det endelige svar skal forbinde sted med autoritet. Det skal nævne operatøren, identiteterne, nøglerne, underleverandørerne, de juridiske værktøjer, de mulige anmodninger, beviserne og udgangen. For personoplysninger skal det europæiske beskyttelsesniveau forblive væsentligt ækvivalent, når dataene overføres, og eksportører skal vurdere omstændighederne frem for at gentage en påstand om placering. For ikke-personoplysninger tilføjer Data Act regler om udenlandsk adgang og cloudskift, hvilket igen gør kontrol og portabilitet konkret.

Der findes ikke ét enkelt europæisk tal, der kan gøre en kompliceret tjeneste til en suveræn en. Der er en række spørgsmål, tests og registreringer. Rækken er langsommere end at trykke "EU-hostet" på en brochure. Det er også den del, der forbliver nyttig, efter at brochuren er blevet forældet.

Når en køber spørger, hvor dataene er, så svar præcist på stedet. Spørg derefter, hvem der kan læse dem, hvem der kan handle på dem, hvem der kan tvinges, hvem der kan bevise, hvad der skete, og hvem der kan forlade. Et europæisk datacenter kan være en del af en troværdig ordning. Det kan ikke i sig selv være det juridiske argument.

Kilder

• Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data, Det Europæiske Databeskyttelsesråd, endelig version 18. juni 2021. Den linkede side indeholder den officielle PDF.
• Case C-311/18, Data Protection Commissioner v Facebook Ireland and Schrems II, Den Europæiske Unions Domstol, dom af 16. juli 2020, EUR-Lex.
• Regulation (EU) 2023/2854, the Data Act, Europa-Parlamentet og Rådet, 13. december 2023, EUR-Lex.
• Data Act explained, Europa-Kommissionen, offentliggjort 2025 og tilgået 5. august 2026.
• Cloud Computing Risk Assessment og den officielle rapport-PDF, Den Europæiske Unions Agentur for Cybersikkerhed (ENISA), 2009.
• The Sovereignty Illusion: where control really sits, Dweve, 29. juni 2026.