Danske kommuners brug af amerikanske cloudtjenester er i dag lovlig, men det juridiske grundlag er skrøbeligt – og problemet forsvinder ikke (nødvendivis) blot ved at skifte til en europæisk udbyder. Det er hovedkonklusionen fra Henrik Udsen, professor på Center for informations- og innovationsret ved Københavns Universitet.
Det skrøbelige juridiske grundlag
- EU-US Data Privacy Framework gør det i dag lovligt at overføre personoplysninger til USA, og EU-Retten har foreløbig støttet ordningen i Latombe-dommen (T-553/23, 3. september 2025). Men Latombe har anket, og Udsen forventer, at EU-Domstolen igen kommer til at forholde sig til spørgsmålet.
- Aftalen hviler på et præsidentdekret (Executive Order 14086) – ikke på lovgivning vedtaget af Kongressen – og kan potentielt trækkes tilbage af en kommende præsident.
- Ordningen forudsætter et uafhængigt amerikansk tilsyn, men det er reelt ikke uafhængigt, når præsidenten kan udskifte dets medlemmer.
CLOUD Act rækker ind i Europa
Den amerikanske CLOUD Act fra 2018 er kernen i problemet: Amerikanske myndigheder kan kræve oplysninger udleveret fra cloududbydere under amerikansk jurisdiktion – også når oplysningerne ligger på servere uden for USA. Et amerikansk moderselskab kan pålægges at udlevere de data, dets europæiske datterselskab opbevarer i Europa.
Udsen beskriver leverandørens dilemma sådan: »De får at vide af europæerne, at det er ulovligt at udlevere dem. Og de får at vide af amerikanerne, at det er ulovligt ikke at udlevere dem.«
Privacywashing: Geografi er en falsk tryghed
Det at fokusere på, hvor data fysisk befinder sig, skaber en skinsikkerhed. Amerikanske udbydere kan sagtens bygge europæiske datacentre og holde dataene inden for Europa – men det ændrer intet ved, at amerikanske myndigheder kan stå i USA og kræve udlevering via moderselskabet. Dataenes geografiske placering er irrelevant, når udbyderen er under amerikansk jurisdiktion.
Europæiske løsninger er ikke automatisk sikre
Et skifte til europæiske udbydere løser ikke automatisk problemet. Hvis den europæiske leverandør benytter Microsoft, Google eller Amazon som underleverandør, opstår det samme problem: Data kan potentielt ligge hos den amerikanske virksomhed og være omfattet af CLOUD Act.
Kryptering kan muligvis hjælpe – men kun hvis kommunen eller den europæiske leverandør alene kontrollerer krypteringsnøglerne. Ofte har udbyberen brug for adgang til data i klartekst, for eksempel til vedligeholdelse.
Anbefalinger til kommunerne
- Kortlæg alle cloudløsninger og underleverandørkæder.
- Undersøg, hvem der faktisk har adgang til data, og om data behandles i klartekst.
- Afklar, hvem der kontrollerer krypteringsnøglerne.
- Udarbejd en realistisk plan B – og vær forberedt på, at Datatilsynet ikke venter lige så længe som efter Schrems II-dommen i 2020.
- Behandl risikoen som en ledelsesbeslutning, ikke kun et juridisk spørgsmål.
Udsen beskriver kommunernes situation som »hoppen på stedet«: De er juridisk ansvarlige og må tage risikoen alvorligt, men kan ikke selv løse det grundlæggende problem, medmindre de helt dropper amerikanske tjenester. Derfor efterlyser han fælles løsninger.
Kilde: itchefer.dk