Suverænitet
En europæisk cloud og en amerikansk cloud adskiller sig først og fremmest ved det selskab, der kontrollerer tjenesten, dernæst ved den ret, der gælder for dette selskab, og først derefter ved det land, hvor serverne står. To identiske serverrum i Frankfurt kan høre under to forskellige retssystemer.
Man sammenligner ofte kort over datacentre: Paris, Dublin, Frankfurt. Det er nemt, og det besvarer et sekundært spørgsmål. For at vide, hvem der kan tvinges til at udlevere dine data, skal man se på det selskab, der besidder dem, og den ret, det er underlagt. Den nyttige sammenligning stiller to juridiske positioner over for hinanden, ikke to lande, og den udpeger ingen vinder: det rigtige valg afhænger af virksomhedens anvendelser. Begrebet suverænitet forklares i hvad er en suveræn cloud, og indkøbsskemaet i definition, kriterier og begrænsninger. Denne side sammenligner.
Microsoft og Google er selskaber under amerikansk ret. Deres europæiske kontrakter, deres datterselskaber og deres datacentre i Unionen ændrer ikke ved dette faktum. Når en amerikansk myndighed henvender sig til dem i henhold til amerikansk ret, bliver spørgsmålet: besidder eller kontrollerer selskabet dataene, også når diskene står i Europa?
CLOUD Act, en amerikansk lov fra 2018, giver svaret for leverandører, der er underlagt amerikansk jurisdiktion: et gyldigt pålæg kan omfatte data, som leverandøren besidder, uanset hvor de er lagret. Det er ikke en permanent adgang. Det er en procedure. Det praktiske punkt for indkøberen ligger et andet sted: at disken står i Europa, fritager ikke den amerikanske leverandør fra denne procedure.
Disse selskaber tilbyder reelle ordninger for datalokalisering. Microsoft beskriver en europæisk datagrænse (EU Data Boundary) for omfattede tjenester: kundedata og pseudonymiserede personoplysninger lagret og behandlet i EU eller EFTA, data fra professionelle tjenester lagret i hvile, med dokumenterede undtagelser (fjernadgang for support, visse eskaleringer, valgfrie funktioner, Multi-Geo-kunder uden for omfanget). Google tilbyder dataregioner for omfattet indhold afhængigt af udgaven og en kontrol med supportens adgang (Access Management), der er forbeholdt bestemte udgaver og tilvalg. Disse ordninger reducerer datastrømmene. De ændrer ikke softwareleverandørens nationalitet.
En amerikansk softwareleverandør, der betjener europæiske kunder, befinder sig mellem to retssystemer. Amerikansk ret kan pålægge den at udlevere data, som den kontrollerer. GDPR (databeskyttelsesforordningen) fastsætter i artikel 48, at en afgørelse fra en domstol eller en myndighed i et tredjeland, der kræver overførsel eller videregivelse af personoplysninger, kun kan anerkendes eller fuldbyrdes, hvis den bygger på en international aftale, for eksempel en traktat om gensidig retshjælp, der er i kraft mellem det pågældende land og Unionen eller medlemsstaten. Teksten siger ikke, hvordan en softwareleverandør i et konkret tilfælde forener disse to krav: det er op til leverandøren at forklare sin praksis og op til kunden at spørge om den.
Amerikansk ret giver mulighed for at klage. I henhold til 18 U.S.C. § 2703(h) kan leverandøren inden for 14 dage efter forkyndelsen anmode om, at et pålæg ophæves eller ændres, hvis den mener, at kunden ikke er en “United States person”, ikke er bosat i USA, og at udleveringen ville udsætte den for en alvorlig risiko for at overtræde retten i en “kvalificeret udenlandsk regering”. Der er tale om en stat, der er knyttet til USA ved en eksekutiv aftale, som er trådt i kraft. Det amerikanske justitsministerium offentliggør aftaler med Det Forenede Kongerige (underskrevet den 3. oktober 2019) og Australien (underskrevet den 15. december 2021). Der er ingen aftale i kraft med Den Europæiske Union; forhandlingerne mellem EU og USA om elektroniske beviser blev genoptaget i 2023; ministeriets side nævner ingen aftale med Frankrig. Denne særlige anfægtelsesmekanisme forudsætter netop en sådan aftale.
Spørgsmålet er blevet stillet offentligt i Frankrig. Den 10. juni 2025 blev direktøren for offentlige og juridiske anliggender hos Microsoft France for det franske senats undersøgelsesudvalg om offentlige indkøb spurgt, om han under ed kunne garantere, at franske borgeres data, der var betroet Microsoft via Ugap, aldrig ville blive videregivet efter et pålæg fra den amerikanske regering uden udtrykkeligt samtykke fra de franske myndigheder. Han svarede: “Nej, det kan jeg ikke garantere, men endnu en gang, det er aldrig sket.” Svaret indeholder begge elementer i debatten: en garanti, som selskabet ikke kan give, og et tilfælde, som ifølge selskabet ikke er indtruffet.
En europæisk cloud, i ordets nyttige betydning, drives af et selskab under europæisk ret, som ikke afhænger af en koncern, der er underlagt en amerikansk pligt til at udlevere data. OVHcloud er et fransk selskab. Nextcloud GmbH er et tysk selskab: det udvikler en software, som kunden eller en hostingudbyder driver. BlueMind er et fransk e-mailselskab. Infomaniak er et schweizisk selskab: Schweiz ligger i Europa, uden for Den Europæiske Union, og er omfattet af en afgørelse om tilstrækkeligt beskyttelsesniveau fra Kommissionen. At klassificere det som “amerikansk” ville være forkert. At klassificere det som “Den Europæiske Union” ville også være forkert.
Europæisk ret er ikke ét samlet skjold. En fransk operatør er underlagt fransk ret, en tysk operatør tysk ret. Anmodninger fra myndigheder forekommer. De går gennem dommeren og reglerne i operatørens land.
Den europæiske karakter kan også gå tabt gennem underleverandører: en europæisk driftsleverandør, der overlader backups, filtrering eller support til en amerikansk leverandør, genindfører det, indkøberen ønskede at undgå. Siden beskyt en virksomhed mod CLOUD Act uddyber dette punkt.
| Spørgsmål | Cloud fra amerikansk softwareleverandør, data i Europa | Cloud drevet af et europæisk selskab |
|---|---|---|
| Hvor står diskene? | Ofte efter eget valg, i en EU-region, med skriftlige undtagelser | Ifølge kontrakten: Frankrig, Tyskland, et andet EU-land eller hos kunden |
| Hvem kan i USA pålægges at udlevere de data, den kontrollerer? | Den amerikanske softwareleverandør, hvis den besidder eller kontrollerer dem | I princippet ikke den europæiske driftsleverandør, medmindre den afhænger af en koncern eller en underleverandør, der kan |
| Hvilken dommer ved en lokal anmodning? | Kontraktens lovvalg, ofte suppleret af softwareleverandørens amerikanske ret | Retten i driftsleverandørens land |
| Avancerede kontorfunktioner | Meget omfattende (Office, Excel, Teams eller Docs og Google-søgning) | Varierer efter produkt. Sjældent på niveau med avanceret Excel, Power BI eller Teams-økosystemet |
| Exit med data | Reelle eksportværktøjer, chat- og automatiseringshistorik ofte kun delvist | Skal læses tilbud for tilbud. Eksport af mail (IMAP) er som regel det enkleste |
Ingen kolonne vinder på alle punkter: den amerikanske softwareleverandør vinder på funktionsbredden, den europæiske driftsleverandør på den juridiske position. At beslutte er at vide, hvilken række der vejer tungest for din virksomhed.
Selv med data lagret i Europa indebærer en tjeneste fra en amerikansk softwareleverandør overførsler (supportadgang, eskaleringer, valgfrie funktioner), som skal hvile på et grundlag i GDPR.
Den tidligere ramme, Privacy Shield (afgørelse 2016/1250), blev underkendt af EU-Domstolen den 16. juli 2020 (sag C-311/18, kendt som Schrems II), bl.a. på grund af omfanget af de amerikanske overvågningsprogrammer og manglen på effektive retsmidler. Standardkontraktbestemmelserne er fortsat gyldige, men kræver en vurdering i hvert enkelt tilfælde.
Pr. 5. oktober 2026 kan overførsler til certificerede amerikanske organisationer bygge på afgørelse (EU) 2023/1795 om tilstrækkeligt beskyttelsesniveau, kendt som Data Privacy Framework. Den er i kraft. Den er anfægtet, som advokatfirmaerne DAC Beachcroft og WilmerHale påpeger. Ifølge sidstnævnte afviste EU-Retten den 3. september 2025 et annullationssøgsmål, og en appel blev indbragt for Domstolen den 31. oktober 2025. En forsigtig virksomhed dokumenterer dette grundlag i sin fortegnelse og planlægger, hvad den skal gøre, hvis det falder bort.
Den forbliver relevant, når forretningen bygger på avanceret Excel, Power BI, Office-tilføjelsesprogrammer, Teams som branchestandard eller snesevis af integrationer, der allerede er i produktion. At skifte værktøj af juridiske grunde og derefter miste den anvendelse, der får virksomheden til at køre, er en dårlig beregning. Siden Microsoft 365 over for en suveræn løsning beskriver denne tærskel i detaljer.
Den forbliver også relevant, når den juridiske analyse af overførslen, databehandleraftalen og mulighederne for dataresidens dækker fortegnelsens reelle behov. Mange europæiske virksomheder bruger Microsoft 365 eller Google Workspace inden for denne ramme. At sige det hører med til en ærlig sammenligning. De kontroller, der skal foretages, er beskrevet i GDPR og Microsoft 365 og GDPR og Google Workspace.
Den bliver relevant, når ledelsen ønsker, at det selskab, der besidder mails og filer, er et europæisk selskab, at supporten kan kontaktes inden for denne ramme, og at anvendelserne kan rummes i e-mailtjenesten, filerne og redigeringen af dem online, videokonferencer, et CRM og telefoni. Den bliver også relevant ved en installation hos kunden, når virksomheden slet ikke ønsker cloud.
De to muligheder udelukker ikke hinanden. En virksomhed kan beholde en amerikansk pakke til de arbejdspladser, der afhænger af den, og overlade resten til en europæisk driftsleverandør. Denne opsætning kræver mere administration; den er berettiget, når anvendelserne er klart adskilt.
Guiden Europæiske alternativer til Microsoft 365 gennemgår Microsoft 365, Google Workspace, OVHcloud, Nextcloud, Infomaniak, andre aktører og Klytic med hver enkelts anvendelsestilfælde.
Hypotetisk tilfælde. En industriel SMV har to lokationer. Konstruktionsafdelingen arbejder i avanceret Excel og kommunikerer med sine ordregivere via Teams. Værkstedet, indkøb og administrationen bruger primært e-mailtjenesten og delte mapper, hvor der ligger tegninger.
En ordregiver kræver, at dennes tegninger besiddes af et europæisk selskab. For konstruktionsafdelingen ville det at forlade avanceret Excel og Teams forstyrre samarbejdet med kunderne: den amerikanske pakke forbliver berettiget, med en dokumenteret analyse af overførslen. For tegningerne og de øvrige afdelingers e-mailtjeneste opfylder en europæisk driftsleverandør kravet uden tab af funktionalitet. Beslutningen følger tabellens rækker, ikke et princip.
Nej. CLOUD Act omfatter data, som en leverandør underlagt amerikansk ret besidder eller kontrollerer, uanset hvor de er lagret. Den europæiske region reducerer overførslerne. Den ændrer ikke, hvilket selskab der besidder dataene.
Ja, hvis den afhænger af en koncern, der er underlagt denne ret, eller hvis den overlader data til en underleverandør, der er det. Derfor skal man se på moderselskabet og listen over underleverandører, ikke kun på driftsleverandørens navn.
Den giver et grundlag efter GDPR for overførsler til certificerede amerikanske organisationer. Den er i kraft og anfægtet. Den ændrer hverken softwareleverandørens nationalitet eller rækkevidden af det pålæg, som amerikansk ret giver mulighed for.
Klytic hører til i tabellens anden kolonne. Klytic drives af Dedicace Software, et fransk selskab. Hosting er mulig i ethvert geografisk område, der svarer til den gældende jurisdiktion, forudsat at de nødvendige tjenester er tilgængelige, for eksempel i Europa eller på Mauritius, eller på kundens egne servere.
E-mailtjenesten bygger på Zimbra, udviklet af Synacor i USA og drevet af Klytic. Dokumenterne bygger på en dedikeret Nextcloud-instans pr. kunde. Klytic er ikke SecNumCloud-kvalificeret og erstatter ikke avanceret Excel, Power BI eller Teams. Tjenesterne kan købes separat: en virksomhed kan beholde Microsoft 365 og kun tilføje filtreringen Klytic MTA foran sin e-mailtjeneste. Detaljerne om hosting findes på siden hosting og suverænitet.
Denne side beskriver en generel ramme. Den erstatter ikke en analyse af din kontrakt.
Retstilstand pr. 5. oktober 2026. Denne tekst erstatter ikke en gennemgang af en kontrakt. Tilstrækkelighedsafgørelsen EU–USA (EU) 2023/1795 er i kraft. Den anfægtes. For SecNumCloud er ANSSI’s katalog afgørende.
Besøgt i oktober 2026.
E-mail, dokumenter, videomøder, CRM og telefoni, hostet i den zone, der svarer til din jurisdiktion, for eksempel i Europa eller på Mauritius, eller hos dig.
Velkomsttilbud
Uforpligtende prøvetilbud. En rådgiver ringer dig op for at forstå dine behov og klargøre dit Klytic-miljø.
