smarken blog

Kinas regulering af dataindsamling i mobile apps

Opsummering af Vibeke S.' artikel på Linkedin

Prædefinerede datakrav: Kina fastsætter præcist, hvilke data apps måkræve fra brugere, opdelt i 39 kategorier (f.eks. navigation, madlevering). Hvis en kategori er tom (f.eks. nyhedsapps), må appen slet ikke kræve personlige data for at fungere.

Prædefinerede datakrav: Kina fastsætter præcist, hvilke data apps må kræve fra brugere, opdelt i 39 kategorier (f.eks. navigation, madlevering). Hvis en kategori er tom (f.eks. nyhedsapps), må appen slet ikke kræve personlige data for at fungere.

Betinget vs. frivilligt samtykke:

Apps må kræve data fra listen (f.eks. adresse for madlevering).

Apps må spørge om andre data, men kun med frivilligt samtykke. Hvis brugeren siger nej til data uden for listen, skal appen stadig fungere fuldt ud.

Principper: Bygger på dataminimering og formålsbegrænsning – ligesom GDPR – men fortolkes centralt af myndighederne (ingen individuel vurdering som i EU).

Lovgrundlag

Listen stammer ikke fra Kinas "GDPR" (Personal Information Protection Law, PIPL, 2021), men fra Necessary Personal Information Provisions (2021), udstedt af fire myndigheder (CAC, MIIT, etc.).

Baseret på Cybersikkerhedsloven (2017).

Paradoks: Privatliv i en overvågningsstat

Reglerne beskytter borgere mod private virksomheder (f.eks. apps), men ikke mod staten.

National sikkerhed og offentlige myndigheder følger andre regler uden uafhængig kontrol.

Håndhævelse: Hurtig og effektiv

Proces:

Myndigheder tester apps.

Ikke-overholdende apps navngives offentligt med frist (ofte 15 dage).

Ved manglende overholdelse: Fjernelse fra app-butikker (f.eks. Didi i 2021, 200 apps i 2024, 46 apps/SDK’er i juni 2026).

SDK’er reguleres også: Hvis en SDK fjernes, rammes alle apps, der bruger den.

Typiske overtrædelser (juni 2026):

Manglende offentliggørelse af dataindsamlingsregler (7 apps).

Ufuldstændig oplysning om SDK’ers dataindsamling (5 apps).

Ingen fungerende konto-sletningsfunktion (14 apps).

Markedsadgang

Apple’s App Store: Kina har sin Store. For at være tilgængelig for kinesiske brugere kræves en lokal MIIT-registrering (ofte via en kinesisk enhed/udgiver).

Fjernelse: Myndighederne beordrer Apple at fjerne apps fra den kinesiske butik – appen forbliver tilgængelig andre steder.

Sammenligning: Kina vs. EU

Nøgleforskelle

Kina: "Her er listen – følg den, eller bliv blokeret."

EU: "Retfærdiggør dine handlinger – vi bødler dig senere, hvis vi uenige."

Yderligere emner:

PIPL har ingen "berettiget interesse"-undtagelse (modsat GDPR).

Grænseoverskridende dataoverførsler reguleres strengt (emne for separat diskussion).

Af Alanna Alexander, Proton Udgivet den 18. april 2026 (I uddrag : se original)

Hvad Microsoft 365 Copilot flex routing betyder for EU-virksomheder

Microsofts løfte om ‘datasuverænitet’ for Europa kommer med en stjerne. Fra den 17. april 2026 vil virksomheden begynde at sende Copilot-data til udenlandske servere til behandling.

Med introduktionen af flex routing for Microsoft 365 Copilot kan inferens for en Large Language Model (LLM) — det trin, hvor Deres data faktisk behandles — finde sted i USA, Canada eller Australien, når kapaciteten i europæiske datacentre slipper op.

Disse ændringer anvendes som standard. For nye kundekonti oprettet efter den 25. marts 2026 er flex routing allerede aktiveret. For alle andre vil det blive aktiveret automatisk, medmindre De fravælger det. (Instruktioner om, hvordan De gør det, findes nedenfor).

Hvis Deres virksomhed er baseret i EU eller Den Europæiske Frihandelssammenslutning (EFTA), er dette ikke en lille teknisk opdatering. Flex routing ændrer, om Deres AI-arbejdsgange forbliver inden for EU eller forlader det uden Deres viden. Og det understreger, hvad Big Techs version af digital suverænitet i virkeligheden betyder for Europa: De har stadig kontrollen.

Hvad er flex routing?

Inferens er det øjeblik, hvor en AI-model behandler Deres prompt for at generere et svar, uanset om det er at opsummere et dokument, besvare et spørgsmål eller udarbejde et udkast til indhold. Når dette sker, er Deres data allerede blevet samlet. Selvom Deres data er lagret i Europa, kan de nu blive behandlet et andet sted — automatisk, under en ikke-EU-jurisdiktion.

Hostet i EU betyder ikke behandlet i EU

Microsoft gør det klart, at data vil forblive krypteret(nyt vindue) i transit og i hvile. Det kan muligvis berolige nogle kunder. Men hvis De opererer under rammer som General Data Protection Regulation(nyt vindue) (GDPR), Netværks- og informationssikkerhedsdirektivet (NIS2) eller Digital Operational Resilience Act (DORA), er det ikke nok at beskytte data på lagerplads og under transmission.

Behandling (eller inferens) er der, hvor eksponering kan forekomme. Og under flex routing kan dette punkt nu flytte sig.

For at en AI-model kan udføre inferens, skal data gøres tilgængelige for beregning. Deres prompts, e-mails, filer og metadata indsamles og sendes til modellen. Med flex routing kan den pakke blive behandlet uden for EU.

Hvor Deres data behandles har betydning — selvom de er krypteret på vej ind og ud.

Byrden for overholdelse er Deres

Microsofts beslutning om at gøre flex routing til en standard funktion er et rødt flag. Forskning viser, at de fleste ikke gør sig den ulejlighed at tjekke deres standarder eller opdatere dem. Hvis datasuverænitet var noget, virksomheden gik op i for sine europæiske kunder, ville den ikke have implementeret flex routing automatisk.

Det advarer også Deres compliance-afdeling om, at leverandører pludselig kan beslutte at ændre en vigtig politik. De er nu ansvarlig for overvågning af leverandøropdateringer, tolkning af deres konsekvenser og justering af indstillinger for at forblive i overensstemmelse. Dette kan virke uretfærdigt, hvis De valgte en amerikansk baseret leverandør i den tro, at Deres datasuverænitet var vigtig for dem.

Flex routing afslører noget dybere om data governance

Hvis Deres leverandører er baseret i USA, stoler De på systemer, der er bygget til en anden lovgivningsmæssig virkelighed — en De ikke kontrollerer, men som De stadig skal stå til regnskab for.

Softwareopdateringer, support, juridiske politikker og prisbeslutninger træffes i Silicon Valley eller Seattle. Reglerne, Deres leverandør følger, er fastsat i Washington. Men Deres virksomhed holdes til europæiske standarder.

Derfor begynder flere virksomheder at se på europæiske alternativer til Big Tech. Når Deres infrastruktur, politikker og juridiske rammer er tilpasset den region, De opererer i, bliver datasuverænitet håndhævelig, ikke betinget.