Har dere lov til å lagre kundedata i amerikanske skytjenester?
Å lagre personopplysninger i skytjenester utenfor EØS er tillatt, men regulert. Overføring til USA har siden 2023 et lovlig grunnlag i en adekvansbeslutning, men rettstilstanden kan endre seg. Tiltak som kryptering og valg av EU-regioner reduserer risikoen, og for særlig sensitive data kan et europeisk alternativ være berettiget til tross for merkostnaden. Vurder dataenes sensitivitet før dere velger.
Spørsmålet om hvor data kan ligge, har plaget beslutningstakere i flere år. De store, smidige og billige skytjenestene er ofte amerikanske, samtidig som personopplysninger etter personvernforordningen (GDPR) ikke kan føres ut av EØS uten videre. Resultatet er at mange havner i klemme mellom det praktiske og det juridiske. Her er et nyansert bilde av hva som faktisk gjelder i 2026, og hvordan du tar en velfundert beslutning i stedet for enten å lukke øynene eller forby alt.
Status for overføring til USA
Hovedregelen er at personopplysninger fritt kan behandles innenfor EØS, men at en overføring til et land utenfor, et såkalt tredjeland, krever et særskilt overføringsgrunnlag. USA har vært det vanskelige tilfellet fordi tidligere grunnlag er blitt opphevet av EU-domstolen med henvisning til amerikansk overvåkingslovgivning.
Siden 2023 finnes det en adekvansbeslutning som igjen gir et lovlig grunnlag for overføring til amerikanske leverandører som har sluttet seg til det underliggende rammeverket. Beslutningen gjelder også i Norge gjennom EØS-avtalen. I praksis betyr det at amerikanske skytjenester kan brukes lovlig igjen, forutsatt at leverandøren er omfattet.
Men historien maner til forsiktighet. Tidligere tilsvarende ordninger er blitt underkjent i retten, og det kan ikke utelukkes at også den nåværende beslutningen blir prøvd og faller. Klok planlegging innebærer derfor ikke bare å lene seg på dagens grunnlag, men å ha tenkt gjennom hva dere ville ha gjort hvis det forsvant.
Tekniske beskyttelsestiltak
Uavhengig av overføringsgrunnlag reduserer riktig teknologi risikoen merkbart. Poenget med beskyttelsestiltak er å gjøre en eventuell tilgang så lite brukbar som mulig.
| Tiltak | Hva det gir |
|---|---|
| Sterk kryptering | Data er uleselige uten nøkkel, særlig hvis dere selv har kontroll på nøklene |
| EU-region | Data lagres fysisk i EU, noe som reduserer, men ikke fjerner risikoen |
| Dataminimering | Færre personopplysninger i skyen gir mindre å beskytte |
| Pseudonymisering | Opplysninger kan ikke kobles til en person uten en separat nøkkel |
Kryptering er det viktigste tiltaket, og det blir sterkest når dere selv har kontroll på nøklene. Da kan ikke leverandøren lese dataene i klartekst selv om den blir tvunget til å utlevere dem. Å legge data i en europeisk region hjelper også, men med et forbehold: Er leverandøren amerikansk, kan opplysningene likevel være omfattet av amerikansk lov som gir myndigheter tilgang. En EU-region fjerner altså en del av risikoen, men ikke spørsmålet om hvem som i siste instans kan tvinges til å utlevere dataene.
Når europeiske alternativer er berettiget
Ingenting tilsier at alt må ligge i samme sky. En fornuftig tilnærming er å dele inn dataene etter sensitivitet og la beskyttelsesnivået følge av det.
- Ikke-sensitive data, for eksempel anonym statistikk eller innhold uten personkobling, kan som regel ligge i en stor amerikansk skytjeneste med vanlige beskyttelsestiltak uten at det vekker betenkeligheter.
- Personopplysninger av hverdagslig art kan ligge der med skjerpede tiltak: kryptering med egne nøkler, EU-region og dataminimering.
- Særlig sensitive data (helseopplysninger, opplysninger om barn og data i offentlig virksomhet) veier tungt for et europeisk alternativ, der spørsmålet om utenlandsk tilgang ikke oppstår på samme måte.
En europeisk skytjeneste koster ofte mer og har noen ganger et mindre økosystem, og den merkostnaden er reell. Men for det som trenger mest beskyttelse, kan den være vel verdt det, både juridisk og av hensyn til tilliten.
Et scenario: beslutningen som holdt
En helserelatert tjeneste sto overfor valget mellom en billig amerikansk skytjeneste og en dyrere europeisk. I stedet for å velge én for alt delte de opp: Helseopplysningene ble lagt hos en europeisk leverandør, mens drift og anonym statistikk fikk ligge i den store amerikanske skyen med kryptering. Merkostnaden ble begrenset til den lille, sensitive delen.
Beslutningen bygde ikke på en følelse av at «alt utenlandsk er farlig», men på en vurdering av hva hver datamengde faktisk tålte. Det er den avveiingen, dataenes sensitivitet mot kostnad og krav, som bør styre valget, snarere enn en generell regel for hele virksomheten.
Vil dere avklare hvor dataene deres bør ligge uten å havne i verken overdreven forsiktighet eller unødvendig risiko, hjelper vi i Weapp gjerne til med den avveiingen. Ta kontakt med en beskrivelse av hvilke data det gjelder.
Ofte stilte spørsmål
Er det lovlig å bruke amerikanske skytjenester i 2026?
Ja, med riktig grunnlag. Siden 2023 finnes det en adekvansbeslutning for overføring til USA som gir et lovlig grunnlag for leverandører som har sluttet seg til rammeverket. Det gjør amerikanske skytjenester brukbare igjen etter årene med usikkerhet. Men beslutninger av den typen er blitt opphevet før, så legg en plan for hva dere vil gjøre hvis rettstilstanden endrer seg igjen.
Er det nok å velge en datasenterregion i Europa?
Det hjelper, men løser ikke alt. At data lagres fysisk i EU, reduserer risikoen, men hvis leverandøren er amerikansk, kan opplysningene likevel være omfattet av amerikansk lovgivning som gir myndigheter tilgang. En EU-region er et godt beskyttelsestiltak, men den fjerner ikke spørsmålet om hvem som i siste instans kan tvinges til å utlevere dataene.
Hvilke tekniske tiltak reduserer risikoen?
Sterk kryptering er det viktigste, særlig hvis dere selv har kontroll på nøklene slik at leverandøren ikke kan lese dataene i klartekst. Det hjelper også å begrense hvilke personopplysninger som i det hele tatt havner i skyen, og det samme gjør pseudonymisering der det er mulig. Tiltakene gjør at en eventuell tilgang gir langt mindre brukbar informasjon.
Når bør vi velge et europeisk alternativ til tross for høyere kostnad?
Når dataene er særlig sensitive eller virksomheten særlig utsatt. Helseopplysninger, opplysninger om barn og data i offentlig sektor veier tungt for et europeisk valg. Vei merkostnaden mot risikoen og kravene i bransjen dere er i. For ikke-sensitive data holder det ofte med en amerikansk skytjeneste med beskyttelsestiltak, mens det som trenger mest beskyttelse, kan forsvare et europeisk alternativ.