GDPR-dilemmaet: Når himmelen ikke er helt skyfri
De fleste virksomheter i Norge – både offentlige og private – bruker i dag programvare fra Microsoft eller Google. Vi skriver, deler, møtes og samarbeider i skyen, og det fungerer utmerket.
Men bak den sømløse brukervennligheten skjuler det seg et komplekst og juridisk utfordrende landskap. For selv om tjenestene teknisk sett er sikre, betyr ikke det nødvendigvis at de er personvernmessig trygge – i hvert fall ikke etter europeisk lovgivning.
Amerikansk lov vs. europeisk personvern
Kjernen i problemet handler om jurisdiksjon.
Microsoft og Google er amerikanske selskaper, og omfattes derfor av CLOUD Act, en amerikansk lov som gir amerikanske myndigheter rett til å kreve innsyn i data – også når de ligger lagret i europeiske datasentre.
Dette står i direkte konflikt med GDPR, som krever at personopplysninger om EU/EØS-borgere ikke kan overføres eller gjøres tilgjengelige for tredjeland uten tilstrekkelig rettsgrunnlag.
Med andre ord: Du kan lagre dataene dine i Irland, men amerikansk lov “følger etter” fordi det er Microsoft eller Google som eier infrastrukturen.
Et juridisk og etisk minefelt
For norske virksomheter innebærer dette et krevende dilemma:
- Offentlige aktører må følge både GDPR, personopplysningsloven og nasjonal sikkerhetslov.
- Private selskaper må sikre at kundedata og ansattdata behandles i tråd med databehandleravtaler og europeiske krav til dokumentert sikkerhet.
Samtidig er alternativene ofte begrenset. Microsoft 365 og Google Workspace har blitt så integrert i arbeidsflyten at det kan være vanskelig å bytte – og de fleste er ikke klar over hvor dataene faktisk befinner seg, eller hvem som har tilgang.
Når metadata også blir sensitive
Selv om hoveddataene (for eksempel dokumenter eller e-poster) er kryptert, samles det enorme mengder metadata: hvem du sender e-post til, når du møtes, hvor du befinner deg, hvilke filer du åpner og hvilke søk du gjør.
Slike data kan avsløre både forretningshemmeligheter, politiske prioriteringer og personlige mønstre – og er i økende grad et mål for både kommersielle aktører og etterretningstjenester.
Hyperscalerne forsøker å berolige markedet
Microsoft og Google er godt klar over kritikken. Begge lanserer nå tiltak for å imøtekomme europeiske krav:
- Microsoft EU Data Boundary: lover at europeiske kundedata skal lagres og behandles utelukkende innenfor EU/EØS.
- Google Sovereign Controls for Workspace: lar kunder administrere egne krypteringsnøkler og logge alle tilgangshendelser.
Dette er viktige skritt, men løser ikke hele problemet.
CLOUD Act gjelder fortsatt, og kan ikke omgås teknisk – kun politisk eller juridisk.
Europeisk motreaksjon: suverenitet og Gaia-X
Som en reaksjon på dette vokser det fram en ny europeisk bølge av suverene skytjenester – utviklet og driftet under europeisk jurisdiksjon.
Prosjekter som Gaia-X, OVHcloud, T-Systems Sovereign Cloud og HCL Domino Sovereign Edition tilbyr nå reelle alternativer der data forblir i Europa, underlagt europeisk lov og kontroll.
Hva bør virksomheter gjøre?
Det finnes ingen enkel løsning, men følgende prinsipper er nyttige:
- Kartlegg dataene – hva er faktisk sensitivt, og hvor lagres det?
- Still krav til databehandleravtaler og transparens.
- Krypter selv – med egne nøkler du kontrollerer.
- Bruk hybride løsninger – kombiner lokal drift for sensitivt innhold med skyløsninger for øvrig bruk.
- Følg med – både juridisk og teknologisk, for dette feltet endrer seg raskt.
Brainworkers perspektiv
Som norsk HCL Business Partner arbeider Brainworker aktivt med løsninger som ivaretar digital suverenitet, sikkerhet og kontroll.
Vi mener virksomheter bør ha friheten til å velge hvor dataene deres ligger, hvem som har tilgang, og hvilke lover som gjelder.
Vår daglige leder, Arne Sigurd Rognan Nielsen, er kåret til HCL Ambassadør fem år på rad, og har gjennom mange år bidratt til implementering av løsninger som HCL Domino, Notes og Connections – systemer som kan driftes i fullt suverene europeiske miljøer.
Konklusjon
Skyen er kommet for å bli.
Men vi bør ikke være naive.
For å beskytte norsk og europeisk data, må vi ta bevisste valg om hvor og hvordan informasjon lagres og behandles – og ikke minst hvem som eier infrastrukturen.
Digital frihet begynner med datasuverenitet.
