Microsoft Teams står på tsjekkisk unntaksliste for datalagring

Microsoft Teams og Entra ID står på en offentlig liste over skytjenester som ikke oppfyller et tsjekkisk krav om lagring utelukkende i EU og EFTA. Norske virksomheter bruker de samme produktene. Datatilsynets veiledning viser hvorfor et løfte om europeisk lagring må undersøkes nærmere.

Hva sier den tsjekkiske listen?

Den tsjekkiske cybersikkerhetsmyndigheten NÚKIB har publisert Microsofts oversikt, datert 14. mai 2026. Blant tjenestene med unntak for kundedata er Teams, Entra ID, Power BI og Defender for Endpoint. SharePoint Online og Intune står på listen over unntak for bestemte driftsdata. [1]

Ordningen gjelder opptak i det tsjekkiske offentlige skykatalogsystemet på sikkerhetsnivå «Høy». Utgangspunktet er at kundedata og bestemte driftsdata i hvile, altså lagrede data, skal oppbevares innenfor EU og EFTA. Leverandørene kan få tjenestene registrert med offentliggjorte unntak. Disse gjelder også ved videresalg gjennom forhandlere.

Hva listen ikke sier

Listen er ikke dokumentasjon på hvor en bestemt norsk kundes data befinner seg. Den er heller ikke et vedtak om at tjenestene er ulovlige eller usikre. NÚKIB opplyser at tjenestene fortsatt kan brukes, men at risikoen ved utenlandsk lagring må vies særskilt oppmerksomhet. [2]

For norske kunder er spørsmålet derfor hva deres egen avtale og oppsett faktisk omfatter.

Ved NTNU får ansatte og studenter tilgang til Microsoft 365, med blant annet Teams, skylagring og samhandlingsverktøy. Universitetet er et konkret eksempel på at produktene i den tsjekkiske oversikten også inngår i norsk studie- og arbeidshverdag. Dette sier i seg selv ingenting om hvor NTNUs data lagres. [3]

Lagringsløftet har grenser

Microsofts egne vilkår viser hvorfor datalagring krever mer presise spørsmål enn hvilket land leverandøren har datasentre i. Selskapet gir geografiske lagringsløfter for bestemte datatyper og oppsett, blant annet Teams-meldinger, SharePoint-innhold og OneDrive-filer. Et slikt løfte omfatter ikke automatisk alle opplysninger som oppstår når tjenesten brukes. [4]

Microsoft beskriver samtidig flere unntak fra sin «EU Data Boundary». Begrensede katalogopplysninger fra Entra, inkludert brukernavn og e-postadresse, kan replikeres utenfor området. Selskapet beskriver også fjernaksess fra ansatte utenfor grensen og overføringer knyttet til globalt sikkerhetsarbeid.

Ifølge Microsoft beskyttes slike overføringer gjennom sikkerhetstiltak beskrevet i tjenesteavtaler og produktdokumentasjon. Ved fjernaksess opplyser selskapet at tilgangen kontrolleres, uten varig lagring på det eksterne tilgangspunktet. [5]

Datatilsynet: lagringssted er ikke det samme som tilgang

Datatilsynet peker på nettopp skillet mellom lagringssted og tilgang. I veiledningen om skytjenester i EØS understreker tilsynet at virksomheter må undersøke om overføringer likevel kan skje. Support fra et tredjeland, fjernaksess og forbehold om utlevering til utenlandske myndigheter er blant forholdene som må vurderes.

Utgangspunktet er at behandling i EØS ikke er en tredjelandsoverføring. Men en serverplassering i Europa avslutter ikke nødvendigvis vurderingen. [6]

Et norsk eksempel på arbeidet slike vurderinger krever, er NTNUs prosjekt om Microsoft 365 Copilot i Datatilsynets regulatoriske sandkasse. Her understreket tilsynet at hver virksomhet må vurdere personvernkonsekvensene ut fra egne data og planlagt bruk. Prosjektet undersøkte andre spørsmål enn den tsjekkiske lagringslisten, men illustrerer behovet for vurderinger av den konkrete løsningen. [7]

NSM: avhengigheten er en sårbarhet

Også Nasjonal sikkerhetsmyndighet løfter frem avhengigheten av utenlandske skyleverandører. I «Risiko 2026» beskriver NSM hvordan konsentrasjon hos et fåtall selskaper kan gjøre norske virksomheter sårbare for driftsproblemer, endrede vilkår og geopolitiske konflikter. Myndigheten anbefaler blant annet å planlegge for leverandørbytte. [8]

Spørsmål å stille i skyavtalen

For en norsk kommune eller bedrift som skal gjennomgå skyavtalen, blir det nødvendig å konkretisere hva «europeisk lagring» betyr:

• Hvilke opplysninger omfattes?
• Hvor kan de lagres og gjøres tilgjengelige?
• Hvilke unntak gjelder for support, sikkerhetsarbeid og underleverandører?

Svarene må finnes i dokumentasjonen for tjenestene virksomheten faktisk bruker.

Kilder

• [1] NÚKIB: Microsofts oversikt over tjenester med unntak, datert 14. mai 2026.
• [2] NÚKIB: forklaring av ordningen for skytjenester på sikkerhetsnivå «Høy».
• [3] NTNU: informasjon om Microsoft 365 for ansatte og studenter.
• [4] Microsoft: produktvilkår (geografiske lagringsløfter).
• [5] Microsoft: dokumentasjon om løpende dataoverføringer og EU Data Boundary.
• [6] Datatilsynet: veiledning om skytjenester i EØS, oppdatert 29. januar 2026.
• [7] Datatilsynet: rapport om NTNUs Copilot-prosjekt i den regulatoriske sandkassen.
• [8] Nasjonal sikkerhetsmyndighet (NSM): Risiko 2026.