Datacenter är inget juridiskt argument

Datacenter är inget juridiskt argument

Adressen på broschyren

Det finns en mening som dyker upp i molnupphandlingar med samma självsäkerhet som ett avslutat argument: data kommer att lagras i ett europeiskt datacenter. Meningen kan vara sann. Den kan också göra betydligt mer arbete än den klarar av.

Ett datacenter har en plats. Den platsen spelar roll för fysisk säkerhet, motståndskraft, energi, anslutning, nationella regler och den praktiska räckvidden för en lokal myndighet. Den säger något användbart till en köpare om var viss utrustning står. Den säger däremot inte i sig själv vem som äger tjänsten, vem som driver utrustningen, var kopior skapas, vem som innehar nycklarna, vilka personer som kan administrera den, vilka företag som får lägga ut delar av arbetet på underleverantörer, eller vilket rättssystem som kan tvinga en part att ge åtkomst.

Skillnaden är lätt att formulera och förvånansvärt lätt att tappa bort. Ett postnummer är synligt. Kontrollen är distribuerad. Postnumret passar snyggt in i ett upphandlingskalkylblad; kontrollen kommer som en kedja av avtal, identiteter, supportkonton, hanteringsplaner, krypteringsnycklar, företagsrelationer, operativa rutiner och juridiska skyldigheter. Det första är ett faktum om plats. Det andra är en fråga om makt.

Europeisk dataskyddslagstiftning har framfört denna poäng med allt mer precist språk. I domen i målet Schrems II av den 16 juli 2020 undersökte Europeiska unionens domstol hur personuppgifter kunde lämna Europeiska ekonomiska samarbetsområdet samtidigt som de behöll en skyddsnivå som i huvudsak motsvarar den som garanteras inom området. Domstolen fastställde att standardavtalsklausuler kan användas som ett överföringsverktyg, men gjorde klart att de inte verkar i ett vakuum. Den personuppgiftsansvarige måste undersöka lagstiftningen och praxisen i mottagarlandet under de rådande omständigheterna för överföringen och agera när skyddsåtgärderna inte kan fungera i praktiken.

Domen sa inte att en gräns är irrelevant. Den sa att en gräns är en del av frågan. Europeiska dataskyddsstyrelsens efterföljande rekommendationer förvandlar den principen till en metod: kartlägg överföringarna, identifiera det juridiska verktyget, bedöm den lagstiftning och praxis som kan påverka den, vidta åtgärder där de kan fungera, slutför den nödvändiga proceduren och håll bedömningen under översyn. En serveradress finns med på den kartan. Den är inte kartan.

Detta är viktigt även bortom personuppgifter. Dataförordningen behandlar molntjänster och andra databehandlingstjänster som infrastruktur som kunder ska kunna byta ifrån. Den tar också upp villkoren för när en offentlig myndighet i ett tredjeland söker åtkomst till icke-personuppgifter som förvaras inom unionen. Även här byggs det juridiska svaret upp av aktörer, syften, skyddsåtgärder, bevis och rättsmedel. En byggnad är inblandad. En byggnad räcker inte.

Den praktiska lärdomen för en europeisk institution är därför rak. Fråga var data finns. Fortsätt sedan att ställa frågor tills svaret inkluderar vem som kan läsa den, vem som kan ändra den, vem som kan stoppa den, vem som kan exportera den, vem som kan tvingas att lämna ut den och vilka bevis som kommer att finnas kvar när parterna är oense. Om svaret slutar vid datacentrets dörr har den användbara delen av undersökningen bara börjat.

Residens handlar om plats

Dataresidens är ett uttalande om var data lagras eller behandlas enligt en definierad överenskommelse. Definitionen behöver en avgränsning. Är det primärkopian, säkerhetskopian, indexet, cachen, telemetrin, webbplatsen för katastrofåterställning, eller alla dessa? Innebär behandling att en administratör visar en post från ett annat land? Räknas en supportsession? Vad händer när ett incidentteam behöver kopiera en diagnostisk spårning? Ett residenslöfte som inte anger vad det omfattar är en attraktiv etikett fäst vid en oavslutad mening.

Molnsystem är utformade för att flytta arbete. Replikering kan förbättra tillgängligheten. En andra plats kan hålla en tjänst vid liv när den första platsen inte är tillgänglig. En edge-plats kan minska svarstiden. Ett säkerhetsteam kan dirigera en logg till ett centralt analyssystem. Detta är vanliga tekniska val, inte bevis på felaktigheter. Däremot innebär de att frasen ”lagrad i Europa” behöver ett tekniskt objekt kopplat till sig. Vilka data, i vilket tillstånd, under vilken period, under vilken drift?

ENISA:s riskbedömning av molntjänster, som först publicerades 2009, är fortfarande användbar just för att den vägrade att behandla geografi som en fullständig kontroll. Den identifierar risker med lagring i flera jurisdiktioner, otillräcklig information om jurisdiktioner, förlorad styrning, underleverantörer och förändringar i leverantörens kontroll. Dokumentet är tillräckligt gammalt för att ha en förkärlek för akronymer som moderna team kanske inte delar, men den organisatoriska problematiken har inte försvunnit. Om en kund inte kan se var data behandlas eller vem som ansvarar för nästa överlämning, kan kunden inte fatta ett tillförlitligt riskbeslut.

Lokalisering kan vara ett giltigt krav. Ett offentligt arkiv kan behöva att register stannar inom ett definierat rättsligt område. En hälso- och sjukvårdstjänst kan behöva en behandlingsordning som begränsar var känsliga data kan färdas. Ett forskningskonsortium kan ha skyldigheter kopplade till en finansiär eller ett datadelningsavtal. Dessa krav bör skrivas som operativa villkor, med en metod för att kontrollera dem, snarare än som ett enda landsnamn som alla är inbjudna att tolka generöst.

Det finns också en skillnad mellan en begränsning och en garanti. Att kräva att en leverantör håller en primär lagringsplats inom Europeiska unionen begränsar en typ av förflyttning. Det garanterar inte att ingen person utanför unionen kan komma åt en post, att ingen metadata lämnar, eller att ingen utländsk rättslig skyldighet kan nå en leverantör. En begränsning kan vara användbar utan att vara en garanti. Att blanda ihop de två skapar en regelefterlevnadsberättelse som klarar en rundtur i serverrummet men misslyckas vid en närmare granskning av hanteringsplanet.

Den användbara lokaliseringsfrågan är inte bara ”var är det?”. Den är ”vilka platser är möjliga för varje tillstånd av dessa data, och vem kan ändra det tillståndet?”. En leverantör bör kunna förklara svaret i termer som en ingenjör kan implementera och en köpare kan verifiera. Om förklaringen beror på ett odokumenterat undantag, en supportvana eller ett löfte om att leverantörens egna underleverantörer troligen kommer att sköta sig, är lokaliseringsanspråket ännu inte operativt.

Fem frågor gömda i ordet var

När människor frågar var deras data finns menar de ofta flera olika saker samtidigt. Att skilja frågorna åt gör en upphandlingsdiskussion mindre teatralisk och mer användbar.

1. Var finns bitarna? Detta är frågan om fysisk och logisk lagring. Den omfattar primärdata, replikor, säkerhetskopior, cacheminnen, index och relevanta loggar. Ett tillfredsställande svar anger omfattningen och de villkor under vilka svaret förändras.

2. Var sker bearbetningen? En post kan lagras i en jurisdiktion och transformeras, sökas, klassificeras, krypteras eller dekrypteras någon annanstans. Bearbetning kan vara ett schemalagt jobb, en supportåtgärd, en övervakningspipeline eller en tillfällig kopia som skapas under återställning.

3. Vem kan nå den? Detta är frågan om identitet och drift. Den omfattar personal, administratörer, entreprenörer, tjänstekonton, incidentpersonal och automatiserade system. En person behöver inte bo bredvid en server för att ha faktisk åtkomst till den.

4. Vem kan tvinga fram den åtkomsten? Detta är frågan om jurisdiktion och rättslig befogenhet. Den följer de relevanta organisationerna och personerna, de roller de innehar, de avtal de undertecknar och de rättsliga skyldigheter som kan binda dem. Den besvaras inte av en kartnål ensam.

5. Vad kan kunden göra när svaret förändras? Detta är frågan om kontroll och utträde. Kan kunden begränsa åtkomst, rotera nycklar, få en tillförlitlig registrering, återställa tjänsten, flytta datan och avsluta relationen utan att förlora det den försökte skydda?

Dessa frågor överlappar varandra, men de är inte utbytbara. En leverantör kan besvara den första övertygande och den tredje dåligt. Ett avtal kan besvara den femte på papper medan det tekniska teamet aldrig har genomfört utträdet. Ett lokalt dotterbolag kan besvara frågan om företagsidentitet medan tjänsten är beroende av ett moderbolags infrastruktur eller supportorganisation. Det korrekta svaret är inte att välja det mest tröstande svaret. Det är att hålla uppsättningen intakt.

Detta är också anledningen till att suveränitetsbedömningar kan bli förvirrade. Ordet förväntas täcka fysisk placering, rättsligt oberoende, operativ kompetens, ekonomiskt ägande, strategisk autonomi och förmågan att lämna. Det är relaterade ambitioner. De är inte en enda egenskap. En precis institution anger vilken egenskap den behöver och vilka bevis som skulle visa att den finns.

Jurisdiktion följer befogenhet

Jurisdiktion är inte ett mystiskt moln som omger ett land. Det är ett sätt att beskriva vilka rättsliga myndigheter som kan reglera, beordra, utreda, granska eller åtgärda relevanta aktörers beteende. I en distribuerad tjänst spelar aktörerna lika stor roll som platserna. Ett företag kan vara registrerat i en medlemsstat, driva anläggningar i en andra, använda ett supportteam i en tredje och vara beroende av ett moderbolag eller en underleverantör som är föremål för skyldigheter någon annanstans. En kund som försöker förstå rättslig räckvidd måste följa befogenhetskedjan, inte stanna vid närmaste byggnad.

Detta betyder inte att varje utländsk koppling omintetgör europeisk kontroll. Europeiska tjänster är sammankopplade av design. Gränsöverskridande handel, forskning, support, finansiering och infrastruktur är normalt. Frågan är om institutionen vet vilken koppling som bär vilken makt. En europeisk operatör kan kunna avvisa en vanlig begäran men sakna befogenhet att motstå en bindande instruktion från en annan organisation. En underleverantör kan inneha en legitimationsuppgift som huvudmannen inte har inkluderat i sin egen åtkomstinventering. En supportprocess kan tillåta fjärråtkomst även när lagringsavtalet lovar en lokal region.

Den juridiska analysen beror också på typen av data och typen av begäran. Personuppgifter aktualiserar GDPR:s överföringsregler och ramverket för grundläggande rättigheter. Icke-personuppgifter befinner sig inte i ett rättsligt vakuum. Dataakten innehåller skyddsåtgärder för vissa begäranden från tredjeländers offentliga myndigheter om icke-personuppgifter som innehas inom unionen. En begäran måste bedömas mot förordningens villkor, inklusive begärandets karaktär och de skydd som finns i tredjelandets rättssystem. De två ordningarna är olika, och det är just den skillnaden som gör att en köpare inte bör pressa samman dem i ordet residens.

EU-domstolens dom i mål C-311/18 ger ett användbart europeiskt rättsligt mönster. Domstolen frågade inte om ett avtal såg tillräckligt formellt ut. Den frågade om det skydd som garanteras av unionsrätten skulle förbli väsentligen likvärdigt under omständigheterna i överföringen, med beaktande av den rätt och praxis som kunde påverka uppgifterna. Standardavtalsklausuler kan binda de parter som undertecknar dem. De binder inte en offentlig myndighet som inte är part i avtalet. Om den rättsliga miljön undergräver de utlovade skyddsåtgärderna måste exportören agera.

Den logiken är bredare än den enskilda tvisten. Ett avtal är ett instrument för privat fördelning. Jurisdiktion är det fält där offentlig makt kan verka. Avtalet kan tala om för en leverantör vad den har lovat kunden. Det kan inte i sig självt undanröja en offentlig befogenhet som binder leverantören eller dess personal. God styrning tar båda påståendena på allvar. Den använder avtal för att fastställa skyldigheter och tekniska åtgärder för att göra dessa skyldigheter observerbara, samtidigt som den erkänner att den rättsliga räckvidden fortfarande kan förändra de tillgängliga alternativen.

Det är frestande att göra detta till en jakt på ett enda farligt land. Det är mindre användbart än att kartlägga de faktiska myndigheterna. Vilken enhet är personuppgiftsansvarig eller personuppgiftsbiträde? Vilken enhet anställer administratören? Vilken enhet innehar krypteringsnycklarna? Vilken enhet kan skapa en kopia? Vilken enhet tar emot en supportbegäran? Vilken myndighet skulle kunna utfärda ett föreläggande? Vilken rättslig åtgärd skulle kunden ha, och i vilken forum? Kartan kan vara lugnande. Den kanske inte är det. Båda resultaten är mer värdefulla än en klistermärke med ett landsnamn.

Ägande är en titel, inte en nyckel

Ägande har verklig juridisk och ekonomisk kraft. Det kan avgöra vem som får sälja en tillgång, utse styrelseledamöter, licensiera immateriella rättigheter, ta emot intäkter eller fatta vissa beslut. I en offentlig verksamhet kan det vara kopplat till lagstadgat ansvar för register eller infrastruktur. I en företagsgrupp kan det förklara vem som kan rösta, fusionera, finansiera eller byta ut en leverantör. Ägande hör hemma i en suveränitetsbedömning.

Ägande ger inte automatiskt operativ kontroll. En kund kan äga uppgifterna medan en leverantör driver databasen, hanterar backupsystemet och kontrollerar tjänstekontot. En offentlig institution kan äga en byggnad medan en entreprenör innehar underhållsuppgifterna och den enda testade vägen för att återställa utrustningen. Ett företag kan äga källkoden medan en tredje part kontrollerar signeringsnyckeln, byggservern, paketregistret och distributionsidentiteten. Titeln är verklig. Det är också beroendet.

Skillnaden blir synlig i verben. Ägande är ett substantiv i ett avtal. Kontroll är förmågan att inspektera, driva, ändra, stoppa, återställa, exportera, radera och bevisa. En upphandlingsprocess som bara dokumenterar substantiv kan lämna de viktiga verben utan ansvarig. Den kan ha en namngiven ägare för plattformen och ändå sakna en namngiven person som kan rotera en nyckel, ta bort ett privilegierat konto eller återställa från en backup utan att behöva fråga en organisation som inte är i rummet.

Det finns ingen dygd i att kräva maximal besittning. Ett sjukhus, ett universitet eller en kommun kan sakna personal och säkerhetsförmåga för att driva varje lager säkert. Att delegera en uppgift kan vara ansvarsfullt när gränserna är tydliga och kunden behåller förmågan att övervaka, testa och återställa. Poängen är inte att placera varje server i en offentlig källare. Poängen är att avgöra vilka befogenheter som är nödvändiga för uppdraget och att hålla dessa befogenheter tillräckligt nära för att kunna styra dem.

Det beslutet kräver bevis. ”Kunden äger datan” bör leda till frågor om exportformat, nyckelförvaring, kvarhållande, radering, åtkomstloggar och supportbehörigheter. ”Leverantören är europeisk” bör leda till frågor om bolagsstyrning, underleverantörer, infrastruktur, juridisk exponering och kontinuitet. ”Datan finns i unionen” bör leda till frågor om fjärradministration, replikor, behandlingsplatser och juridiska förfrågningar. Ett bra svar kan vara komplicerat. Komplikation är inte en defekt när systemet är komplicerat.

Driftskontroll är rätten att agera

Driftskontroll är lättast att förstå genom en handling snarare än ett adjektiv. Tänk dig en kund som behöver återkalla en administratör. Vem kan utföra återkallelsen? Vilket identitetssystem auktoriserar den? Är leverantören skyldig att genomföra ändringen, eller kan kunden göra det direkt? Omfattar åtgärden supportkonton, nödkonton och inaktiva autentiseringsuppgifter? Finns det en post som bevisar när behörigheten försvann? Om en åtgärd är beroende av en helpdesk, är helpdesken en del av kontrollplanet.

Samma test gäller nycklar. Kryptering kan minska exponeringen, men dess styrning beror på vem som skapar, lagrar, roterar, återställer och kan använda nycklarna. En lokalt lagrad post kan förbli oläslig för en part som inte kan få tag på nyckeln. Den kan också bli otillgänglig för kunden när den enda återställningsvägen ligger hos en leverantör. Nyckelförvaring är därför varken en slogan för suveränitet eller ett magiskt suddgummi för jurisdiktion. Det är en konkret kontroll som måste tilldelas och övas.

Loggar förtjänar samma behandling. En instrumentpanel kan visa aktivitet. Bevis kräver en post som kunden kan behålla, tolka och ifrågasätta. Vem skriver loggen? Kan en administratör ändra den? Är tidskällan tillförlitlig? Omfattar den supportåtkomst och automatiserad behandling? Kan kunden få en användbar export utan leverantörens tillstånd? Vad händer när kontot stängs? En logg som försvinner med tjänsten är användbar för drift och svag för ansvarsutkrävande.

Återställning är det svåraste testet för driftskontroll eftersom det gör varje beroende synligt. En leverantör kan lova säkerhetskopiering, men återställningen kan kräva en viss region, en otillgänglig licens, en ingenjör som inte längre arbetar där eller en hemlighet som lagras i ett separat system. Kunden kan äga säkerhetskopian och ändå sakna förmågan att göra den till en fungerande tjänst. Återställning bör testas som en hel handling, med resultatet dokumenterat och luckorna tilldelade personer som kan täppa till dem.

Att stoppa en tjänst är också kontroll. En institution kan behöva pausa en integration, isolera en datamängd, pausa automatiserad behandling eller förhindra att en ny replika skapas. Om bara en leverantör kan utföra stoppet, blir leverantörens identitet, juridiska skyldigheter, svarstid och supportprocess en del av institutionens risk. Det kan vara ett acceptabelt arrangemang. Det är inte ett osynligt sådant.

Poängen med dessa tester är inte att misstro varje leverantör. Det är att ersätta förtroende med en relation som kan granskas. En leverantör med ett tydligt svar kan förklara vilka åtgärder den utför, vilka kunden utför och vilka som kräver samarbete. En leverantör som förlitar sig på en enda lugnande mening har ännu inte besvarat den operativa frågan.

Underleverantörer gör ett svar till en kedja

En tjänst är sällan en enda organisation som gör en enda sak på en enda plats. Molnleverantörer använder specialiserad infrastruktur, supportpartners, övervakningstjänster, säkerhetsverksamhet, hårdvaruunderhåll, nätoperatörer och andra leverantörer. En del syns i avtalet. Andra dyker upp i en lista över underleverantörer, en tjänstebeskrivning, en incidentrapport eller ett supportflöde. Kedjan är vanlig. Skyldigheten att förstå kedjan är också vanlig.

ENISA:s riskbedömning pekar på ett välkänt problem: en molnleverantör kan lägga ut tjänster på en tredje part som inte erbjuder samma garantier, medan ett ägarbyte kan ändra leverantörens villkor. Rapporten är inte en specifikation för modern arkitektur, och den behöver inte vara det. Dess bestående varning är organisatorisk. En kund kan inte påstå att den förstår en tjänst när den bara har bedömt det första företaget som nämns på fakturan.

EDPB:s rekommendationer är mer specifika för personuppgifter. Det första steget är att känna till överföringarna, inklusive vidareöverföringar till personuppgiftsbiträden och underleverantörer. Fjärråtkomst från ett tredjeland kan i sig räknas som en överföring, även när uppgifterna finns kvar i ett EES-datacenter. Ett supportavtal är därför en del av kartan över dataöverföringar, inte en fotnot som kan hanteras efter driftsättningen.

Att se underleverantörer är inte samma sak som att kontrollera dem. En lista talar om för kunden vilka som är inblandade. Kontroll handlar om vad varje part kan göra, vilka uppgifter den kan se, vilket juridiskt verktyg som täcker aktiviteten, hur en förändring meddelas och vilken åtgärd som finns när parten slutar uppfylla villkoren. Kedjan bör ha gränser och bevis vid varje överlämning.

Det finns en praktisk anledning att undvika vaga kedjor. När en incident inträffar färdas ansvaret ofta i motsatt riktning mot uppgifterna. Kunden frågar leverantören. Leverantören frågar ett plattformsteam. Plattformsteamet frågar en specialistleverantör. Specialistleverantören frågar en administratör i en annan organisation. Varje överlämning kan skapa fördröjning, osäkerhet och en möjlighet för den ursprungliga uppgiften att förlora sammanhang. En kontrollkarta bör visa vägen före incidenten, medan de inblandade fortfarande har tid att vara precisa.

Personuppgifter: skyddet följer med uppgiften

GDPR gör inte personuppgifter säkra genom att placera dem bakom en europeisk dörr. Överföringsreglerna är utformade för att bevara en hög skyddsnivå när uppgifter flyttas till ett tredjeland. EDPB beskriver principen rakt på sak: en i huvudsak likvärdig skyddsnivå ska följa med uppgifterna vart de än tar vägen, både under och efter överföringen.

Det betyder inte att varje överföring är förbjuden. GDPR innehåller olika överföringsverktyg och villkor, inklusive beslut om adekvat skyddsnivå och skyddsåtgärder enligt artikel 46. Den rättsliga frågan är om det valda verktyget fungerar under omständigheterna. EDPB:s rekommendationer säger till exportörer att bedöma den lagstiftning och praxis som är relevant för den aktuella överföringen, överväga om importören eller uppgifterna kan omfattas av problematiska regler och dokumentera resonemanget. Om ingen kompletterande åtgärd kan återställa den erforderliga skyddsnivån bör överföringen undvikas, avbrytas eller avslutas.

Tre detaljer är särskilt lätta att missa i ett samtal om var data finns. För det första spelar vidareöverföring roll. En leverantör kan ha huvudposten i EES och skicka en kopia till en support- eller analystjänst någon annanstans. För det andra spelar åtkomst roll. En administratör i ett tredjeland kan ha möjlighet att läsa en post utan att posten någonsin fysiskt flyttas till den personens skrivbord. För det tredje spelar ansvarsskyldighet roll. Exportören måste kunna visa bedömningen och ompröva den när tjänsten, lagstiftningen, personerna eller omständigheterna ändras.

Ramverket kräver därför att en kund förstår både den tekniska vägen och den rättsliga kontexten. Ett diagram över regioner och pilar är användbart. Det kan inte ersätta överföringsbedömningen. Inte heller kan ett avtalslöfte om att leverantören ska följa reglerna ersätta den, om kunden inte har kontrollerat vad de relevanta skyddsåtgärderna kan åstadkomma mot de lagar och den praxis som kan tillämpas på leverantören.

Europeisk dataskyddslagstiftning har en sund motvilja mot trollformler. ”EU-värd” kan beskriva ett användbart faktum. ”Kompatibel” kan beskriva en slutsats som kräver motivering. ”Suverän” kan beskriva ett politiskt mål. Inget av dessa bör få ersätta bevisen för att uppgifterna är skyddade, att åtkomsten är reglerad och att beslutet kan försvaras.

Icke-personuppgifter: en annan ordning, samma disciplin

Dataakten rör en bredare uppsättning datarelationer och innehåller regler för databehandlingstjänster som moln- och edge-tjänster. Den ersätter inte GDPR och gör inte varje molnbeslut till en dataskyddsbedömning av överföring. Den ger däremot en andra europeisk påminnelse om att plats, åtkomst, byte och befogenhet måste övervägas tillsammans.

För icke-personuppgifter som förvaras i unionen beskriver kommissionens förklaring av dataakten skyddsåtgärder för vissa förfrågningar eller beslut från en offentlig myndighet i ett tredjeland. När inget tillämpligt internationellt avtal styr åtkomsten ställer förordningen villkor som syftar till att skydda europeiska intressen, inklusive uppmärksamhet på tredjelandets rättssystem och proportionaliteten i förfrågan. Leverantörer förväntas vidta rimliga åtgärder, såsom kryptering, revisioner eller certifieringsarrangemang, för att förhindra obehörig åtkomst och informera kunder där det är möjligt.

Ordvalet spelar roll. Dataakten gör inte anspråk på att unionen kan få utländska rättssystem att försvinna. Den skapar ett ramverk för att bedöma och begränsa vissa åtkomstvägar. En leverantör måste fortfarande känna till vilka system den driver, vilka uppgifter som förvaras, vem som kan svara på en förfrågan och vilka bevis som kan ges till kunden. En kund måste fortfarande förstå vilka delar av uppgifterna som är personuppgifter, vilka som inte är det och vilka andra rättsliga ordningar som gäller.

The Act also approaches control through switching. Customers should be able to move between data-processing services, use services in parallel and port exportable data and digital assets. Providers must give information about export formats, interfaces, known limitations and the time needed for the process. The rules on functional equivalence recognise a practical truth: a file that can be downloaded is not necessarily a service that can be recovered.

Switching is often described as a competition measure, and it is one. It is also a sovereignty measure in the operational sense. An institution that can leave has more room to refuse a change it cannot accept. An institution that cannot leave may own a contract and still be governed by the provider's defaults. A legal right to switch is an important start. A rehearsed migration that preserves the data, the configuration and the evidence is the part that makes the right usable.

Contracts, keys and the limits of reassurance

Contracts remain essential. They allocate duties, set notification rules, identify subprocessors, define permitted processing, describe deletion and retention, create audit rights and establish assistance during a transition. The Data Act's cloud-switching provisions reinforce the need for clear contractual terms, exportable data and information about the mechanics of an exit. ENISA's older guidance likewise recommends paying attention to data transfers, change of control, law-enforcement access, breach notifications and liability when evaluating cloud contracts.

A contract is not a runtime control. A clause saying that the customer may export is weaker than an export run against a representative dataset and restored in a second environment. A clause saying that the provider will delete is weaker than an auditable deletion process that covers replicas, caches, backups and derived records. A clause giving an audit right is weaker than logs and evidence the customer can actually obtain. Paper matters. Paper that never meets a working system is politely framed optimism.

Keys provide a similar lesson. Customer-controlled encryption can reduce what a provider or an unauthorised party can read. It does not answer who can compel a person who holds a recovery key, who controls the hardware security module, who can change the key policy, or what happens when the customer loses its own credential. The right design may use split authority, independent custody, carefully scoped access and tested recovery. The wrong design can put the decisive key in a different jurisdiction and call the arrangement local because the database is local.

Legal and technical measures should be designed together. If a contract requires the customer to approve support access, the service should have an approval flow that leaves a record. If the customer needs to prevent onward transfers, the provider should expose the route and enforce the boundary. If a public authority request must be evaluated, the incident process should preserve the request, the legal analysis, the decision, the notification and the response. A legal promise becomes credible when a system can show how it is carried out.

The same principle applies to ownership changes. A supplier acquisition, a new parent company, a change in subcontractor or a change in the service's operating region can alter the control map without changing the customer-facing brand. Contracts should require notice and remedies. Technical inventories should be updated. A change ledger should show which powers moved. Governance that exists only at initial signature has a short half-life.

A buyer's control map

A public or private buyer does not need a magical questionnaire. It needs a map that connects claims to evidence. The following questions are a useful starting point because they ask for actions, actors and records rather than a preferred adjective.

Tabellen är medvetet prosaisk. Den är avsedd att överleva kontakt med en upphandlingsgrupp. Den ger också en köpare ett sätt att jämföra leverantörer utan att låtsas att ett certifikat, en nationsflagga eller en rundtur i ett datacenter avgör allt. Bevisen kan vara konfidentiella. Kravet på att ha bevis bör inte vara det.

Begär en demonstration av den kritiska åtgärden, inte bara en beskrivning. Visa hur ett privilegierat konto tas bort. Visa hur en supportsession godkänns. Visa vad en kund får när den begär en export. Visa hur en replika lokaliseras. Visa vad en juridisk förfrågan gör med incidentarbetsflödet. Visa hur organisationen fortsätter när leverantörskontot är spärrat. Poängen är inte att iscensätta ett dramatiskt misslyckande. Det är att se om kontrollen finns utanför presentationsmaterialet.

Fråga sedan vem som äger resultatet. Ett test utan ägare är en föreställning. En brist utan datum är en permanent funktion. En kontroll utan register är en tro. Kartan bör därför namnge den person eller det organ som accepterar risken, den leverantör som måste utföra åtgärden och vägen för att ifrågasätta resultatet. Styrning är inte en hög med frågor. Det är en uppsättning beslut med någonstans att ta vägen.

Ett tankeexperiment om ett europeiskt arkiv

Följande är ett märkt tankeexperiment, inte en rapport om en verklig kund eller incident. Föreställ dig ett kommunalt arkiv som väljer en värdtjänst för digitaliserade planhandlingar. Upphandlingen kräver primär lagring inom Europeiska unionen och efterfrågar kryptering, säkerhetskopior och en supportavdelning. Tre leverantörer uppfyller orden. En är lokalt registrerad men förlitar sig på en supportunderleverantör utanför unionen. En håller lagring och support inom unionen men använder ett moderbolags identitetsplattform. En har en mindre lokal verksamhet, tydligt nyckelförvar och en testad export, men behöver en noggrant avgränsad servicenivå eftersom den inte kan erbjuda alla valfria funktioner.

Den första leverantören kan fortfarande vara acceptabel. Den andra kan fortfarande vara acceptabel. Den tredje kan fortfarande vara olämplig för ett särskilt tillgänglighetskrav. Poängen med tankeexperimentet är att platsen ensam inte kan avgöra mellan dem. Arkivet måste fråga vilken supportåtkomst som är möjlig, vem som kan göra en kopia, vilka juridiska enheter som kan ta emot ett föreläggande, hur nycklarna styrs, vad loggarna visar och om handlingarna kan återställas någon annanstans.

Anta att arkivet beslutar att lokal lagring är dess viktigaste villkor. Det kan skriva in det kravet i avtalet. Det bör också definiera vilka objekt som omfattas av villkoret, kräva meddelande vid ändring och fråga hur ett avtalsbrott skulle upptäckas. Anta att det beslutar att fjärrsupport endast är tillåten för en dokumenterad incident. Tjänsten behöver en godkännandeprocess, tidsbegränsade inloggningsuppgifter och en journal som kan granskas. Anta att det beslutar att arkivet måste kunna lämna. Utgången bör testas innan tjänsten blir den enda plats där någon vet hur man läser handlingarna.

Ingenting i detta hypotetiska exempel kräver att arkivet driver ett datacenter. Det kräver att arkivet förstår de befogenheter det delegerar. Det är skillnaden mellan ansvarsfull outsourcing och ett köp som flyttar risken till ett rum som köparen inte kan komma in i.

Vad Europa ärligt kan mena med suveränitet

Europeisk suveränitet i digital infrastruktur bör beskrivas i termer som tål en obekväm fråga. Det kan innebära att en europeisk institution behåller befogenheten över kritiska beslut. Det kan innebära att viktiga beroenden är synliga, begränsade och återställningsbara. Det kan innebära att juridiska rättigheter matchas av teknisk förmåga. Det kan innebära att en offentlig köpare kan byta, ifrågasätta, inspektera och fortsätta driften när en leverantör eller en lag ändrar den tillgängliga vägen.

Det bör inte innebära att en tjänst automatiskt är säker för att dess marknadsföringsadress är europeisk. Det bör inte heller innebära att alla utländska kopplingar är förbjudna. Europa är beroende av gränsöverskridande system, och en regel som låtsas något annat kommer att ignoreras eller tyst kringgås. Den mogna hållningen är mer krävande: tillåt de beroenden som tjänar uppdraget, dokumentera dem, minska dem som bär oacceptabel makt och behåll en utgång för dem som inte kan göras pålitliga.

Den hållningen ger också europeiska leverantörer en rättvisare prövning. En lokal leverantör ska inte behöva genomföra en flaggceremoni för att tas på allvar. Den ska kunna visa vad den driver, vad den delegerar, vem som kan komma åt det, vilken lag som kan tillämpas, hur data skyddas och hur en kund kan lämna. En global leverantör ska möta samma frågor. Standardmåttet är kontrollbevis, inte ursprungsteater.

Ordet suveränitet blir användbart när det förändrar köpbeteende. Ett ministerium kan använda upphandling för att belöna en testad utgångsväg. Ett sjukhus kan kräva centrala arrangemang som matchar dess kliniska uppdrag. Ett universitet kan göra forskningsdatans ursprung synligt. En tillsynsmyndighet kan fråga efter systemets tillstånd vid tidpunkten för ett beslut. En leverantör kan utforma sin tjänst så att kundens befogenhet inte är en dekorativ paragraf. Detta är institutionella handlingar, inte en slogan-tävling.

En liten not från oss

På Dweve använder vår offentliga analys The Sovereignty Illusion: where control really sits, publicerad den 29 juni 2026, en liknande disciplin. Den skiljer på ägande, teknik, kapital, infrastruktur och juridisk exponering i stället för att låta en europeisk etikett stå för alla fem. Denna artikel är snävare. Den följer datacenterpåståendet ner i de operativa och juridiska lager som en köpare måste styra.

Det är också så vi föredrar att beskriva vårt eget arbete. Ett system bör göra sina gränser läsbara: vad som är lokalt, vad som är delegerat, vad som registreras, vad som kan ifrågasättas och vad som kan ändras. Det användbara påståendet är det som en läsare kan granska. Resten är dekoration, och Europa har redan gott om dekorativ infrastruktur.

Det juridiska argumentet börjar efter adressen

Ett datacenters placering är värd att känna till. Den kan påverka fysisk åtkomst, motståndskraft, anslutning, tillämpliga lokala regler och utformningen av en tjänst. Det kan vara den rätta första frågan. Det är ett dåligt slutgiltigt svar.

Svaret måste slutligen koppla plats till auktoritet. Det måste namnge operatören, identiteterna, nycklarna, underleverantörerna, de juridiska verktygen, de möjliga förfrågningarna, bevisen och utträdet. För personuppgifter måste den europeiska skyddsnivån förbli i huvudsak likvärdig när uppgifterna överförs, och exportörer måste bedöma omständigheterna snarare än att upprepa ett påstående om plats. För icke-personuppgifter lägger dataakten till regler om utländsk åtkomst och molnbyte, vilket återigen gör kontroll och portabilitet konkreta.

Det finns inget enskilt europeiskt nummer som kan förvandla en komplicerad tjänst till en suverän sådan. Det finns en sekvens av frågor, tester och register. Sekvensen är långsammare än att trycka ”EU-hosted” på en broschyr. Det är också den del som förblir användbar efter att broschyren har blivit inaktuell.

När en köpare frågar var uppgifterna finns, svara exakt på platsen. Fråga sedan vem som kan läsa dem, vem som kan agera på dem, vem som kan tvingas, vem som kan bevisa vad som hände och vem som kan lämna. Ett europeiskt datacenter kan vara en del av en tillförlitlig uppläggning. Det kan inte vara det juridiska argumentet i sig.

Källor

• Recommendations 01/2020 on measures that supplement transfer tools to ensure compliance with the EU level of protection of personal data, Europeiska dataskyddsstyrelsen, slutlig version 18 juni 2021. Den länkade sidan innehåller den officiella PDF-filen.
• Case C-311/18, Data Protection Commissioner v Facebook Ireland and Schrems II, Europeiska unionens domstol, dom 16 juli 2020, EUR-Lex.
• Regulation (EU) 2023/2854, the Data Act, Europaparlamentet och rådet, 13 december 2023, EUR-Lex.
• Data Act explained, Europeiska kommissionen, publicerad 2025 och läst 5 augusti 2026.
• Cloud Computing Risk Assessment och den officiella rapportens PDF, Europeiska unionens cybersäkerhetsbyrå (ENISA), 2009.
• The Sovereignty Illusion: where control really sits, Dweve, 29 juni 2026.