Hvilke krav stiller dansk lov til dataplacering i cloudtjenester?

Kort svar: Hvad kræver dansk lov om dataplacering i cloud?

Databeskyttelsesloven indeholder ét lokationskrav. Efter § 3, stk. 9, kan justitsministeren fastsætte regler om, at personoplysninger i nærmere bestemte it-systemer, der føres for den offentlige forvaltning, helt eller delvis alene må opbevares i Danmark. Formålet er at sikre, at systemerne er underlagt dansk jurisdiktion.

Bemyndigelsen er udnyttet i Lokationskravsbekendtgørelsen (nr. 1104 af 30. juni 2020). De omfattede it-systemer står i bekendtgørelsens bilag 1; eksempler er Digitaliseringsstyrelsens NemLog-in3, MitID og Digital Post. Kravet gælder altså offentlige it-systemer på listen, ikke private virksomheders egne cloudtjenester.

Bogføringsloven har også placeringsregler. Bruger virksomheden et digitalt bogføringssystem, der ikke er registreret, skal sikkerhedskopien af transaktioner og bilag opbevares hos en ikke nærtstående part på en server i et EU- eller EØS-land. Kravet om, at papirbaseret bogføringsmateriale skulle opbevares i Danmark eller Norden, gælder ikke længere.

For andre behandlinger, herunder private virksomheders cloudtjenester, afgøres placeringen af reglerne i databeskyttelsesforordningen (GDPR) og databeskyttelsesloven, i dag lovbekendtgørelse nr. 289 af 8. marts 2024. Data kan ligge i et andet EU/EØS-land, mens overførsel uden for EU/EØS kræver et overførselsgrundlag.

Overførselsgrundlaget kan være en tilstrækkelighedsafgørelse fra EU-Kommissionen: Så kan personoplysninger flyde til landet uden yderligere garantier. For USA har Kommissionen vedtaget en tilstrækkelighedsafgørelse for EU-US Data Privacy Framework, der dækker amerikanske virksomheder, som deltager i rammen.

Uden tilstrækkelighedsafgørelse kan EU-Kommissionens standardkontraktbestemmelser (SCC) efter art. 46(2)(c) bruges. De nye SCC'er blev vedtaget 4. juni 2021 og består af fire moduler. EU-Kommissionen har udgivet en FAQ om dem, som Datatilsynet omtalte 27. maj 2022, og Datatilsynet har en 'Vejledning om cloud'.

Placering har betydning: den kan afgøre, om der sker overførsel til et tredjeland, hvilket overførselsgrundlag der er nødvendigt, hvem der kan få adgang, og hvilken jurisdiktion leverandøren er underlagt. Kontrakten bør derfor stille krav til behandlingssted, adgang, kryptering og exit – ikke kun til datacenterets land.

En cloudleverandør i et andet EU-land kan være relevant, hvis behandleraftale, sikkerhed, underleverandørkæde, dokumentation og eventuelt overførselsgrundlag er på plads. En leverandør med datacenter i Danmark rejser de samme spørgsmål, hvis moderselskabet eller underleverandører sidder uden for EU.

Placering og overførsel bør derfor vurderes konkret i hvert enkelt cloudforhold.

Vigtige regler for dataplacering i Danmark

GDPR-krav til cloudleverandøren: aftale, formål og underleverandører

Når en dansk virksomhed lægger persondata i en cloudtjeneste, skal rollerne afklares: hvem er dataansvarlig, og hvem behandler på vegne af hvem? Aftalen bør blandt andet dække formål, typer af persondata, kategorier af registrerede, instrukser, fortrolighed, sikkerhed, underleverandører, bistand, ophør samt revision og kontrol.

EU-Kommissionens standardkontraktbestemmelser (SCC) er færdige kontraktskabeloner, der kan bygges ind i databehandleraftaler. De må ikke ændres i substansen, men bilagene udfyldes for hver aftale med kategorier af data, sikkerhedsforanstaltninger og underdatabehandlere.

Uden en aftale om disse punkter er det vanskeligt at dokumentere, at leverandøren behandler oplysningerne på dine vegne.

Behandleraftalen er derfor det centrale dokument i cloudforholdet. Underleverandører udgør en særskilt risiko i cloud.

Aftal en liste over godkendte underleverandører, procedure for godkendelse af nye, varsling inden ændringer i kæden, og hvordan de samme databeskyttelsesforpligtelser videreføres til hver underleverandør. Krav, der kun gælder første led i kæden, giver ikke dokumentation for, hvordan data reelt behandles, og behandlingsstederne kan ændre sig med leverandørens infrastruktur.

Den nuværende version fra 2021 er modulopbygget med fire moduler. Forkert modul giver forkerte forpligtelser, og det er en klassisk fejl ved gennemgange.

Dokumentationen bør hænge sammen med den aftalte rollefordeling. Den bør omfatte fortegnelse over behandlingsaktiviteter og en vurdering af risici for de registreredes rettigheder.

Den bør også beskrive tekniske og organisatoriske sikkerhedsforanstaltninger og oplysningen til de registrerede, herunder hvor oplysningerne behandles og eventuelt overføres til. Ved valg af GDPR-kompatible cloudtjenester fremhæves kontrol, sikkerhed og overholdelse i cloud-strategien.

Clause 5 giver SCC'er forrang for andre aftaler ved uoverensstemmelse. Clause 2 tillader at tilføje bestemmelser eller foranstaltninger, hvis de ikke er i konflikt med SCC'ens tekst.

Overførselsgrundlag for personoplysninger uden for EU/EØS

Når cloudleverandøren er i EU, men moderselskabet er i USA

Datatilsynets cloudvejledning bruger et konkret scenarie: en dansk virksomhed benytter en EU-baseret cloudleverandør til hosting af sit CRM-system. Cloudleverandøren er et datterselskab af en amerikansk virksomhed.

Efter databeskyttelsesforordningen art. 46(2)(c) kan SCC'er bruges som overførselsgrundlag, når der overføres personoplysninger til lande uden for EU/EØS. De nye SCC'er fra 4. juni 2021 erstattede de tre sæt SCC'er, der var vedtaget under direktiv 95/46.

Når modtagerlandet ikke har en tilstrækkelighedsafgørelse, kan parterne skrive Kommissionens bestemmelser ind i aftalen. Bestemmelserne binder modtageren til forpligtelser, der afspejler GDPR.

Schrems II-afgørelsen fra juli 2020 fastslog, at SCC'er ikke i alle situationer i sig selv er tilstrækkelige. Derfor skal SCC'er ses sammen med EDPB's anbefalinger om supplerende foranstaltninger.

Efter Schrems II kræver overførslen også en dokumenteret risikovurdering (TIA) og tekniske beskyttelsesforanstaltninger.

De nye SCC'er har fire moduler: dataansvarlig til dataansvarlig, dataansvarlig til databehandler, databehandler til databehandler og databehandler til dataansvarlig.

Clause 15 forpligter dataimportøren til at orientere dataeksportøren, hvis offentlige myndigheder tilgår de overførte personoplysninger. Clause 8 giver registrerede ret til at modtage en kopi af de SCC'er, der benyttes.

Et centralt spørgsmål er, om der faktisk sker overførsel af persondata til et tredjeland, eller om et tredjelands myndigheder eller moderselskabet kan få adgang til oplysningerne. Hvis personlig og teknisk adgang – fjernadgang til drift, support, fejlretning og sikkerhedsovervågning – rækker uden for EU/EØS, bør du afklare, om der er et gyldigt overførselsgrundlag.

Er grundlaget ikke tilstrækkeligt, kan supplerende foranstaltninger være nødvendige. Det er typisk kryptering, hvor nøglerne ikke er tilgængelige for leverandøren, eller adgangskontrol, der teknisk udelukker adgang uden for EU/EØS.

I kontrakten bør du overveje at kræve specificeret, hvorfra data kan tilgås, hvordan adgang logges, hvordan anmodninger fra tredjelandsmyndigheder håndteres, og hvordan leverandøren informerer dig. Afklar også, hvordan behandlingssted og eventuelle overførsler indgår i informationen til de registrerede, i dokumentationen og i risikovurderingen.

Sikker overførsel af persondata til tredjeland

Datasuverænitet: Kontrol, adgang og exit – ikke kun serverplacering

Datasuverænitet handler om, hvem der reelt kontrollerer oplysningerne: hvor de behandles, hvem der kan få adgang og på hvilket retsgrundlag, hvordan de er krypteret, og hvordan du kommer ud igen. Kunder og samarbejdspartnere kan kræve dokumentation for, hvor deres data behandles.

Datasuverænitet beskrives også som kontrol, beskyttelse og styring af egne data i et komplekst digitalt økosystem med fokus på privatliv og lovgivning. Suverænitet skal derfor omsættes til kontraktvilkår, der kan efterprøves.

Vilkårene bør omfatte navngivne behandlingssteder, adgangsstyring og logning af al adgang samt kryptering med aftalt nøglehåndtering. Nøglehåndteringen skal svare på, hvem der holder nøglerne, hvor de ligger, og hvem der kan udlevere dem.

Aftalen bør også omfatte underretning ved ændringer af underleverandører og datacenterplaceringer samt revisionsret. Spørg også, om leverandøren kan blive tvunget til at overføre persondata til myndigheder uden for EU/EØS.

Suverænitet forudsætter, at du kan flytte data og funktioner til en anden leverandør uden at miste dem. Det kræver udtræk i et brugbart og dokumenteret format og en fastlagt overgangsperiode.

Det kræver også sletning af data hos leverandøren med skriftlig bekræftelse. Afklar, hvem der efterfølgende har ansvaret for eventuelle kopier og sikkerhedskopier.

Offentlige cloud- og AI-udbud: Nye EU-regler på vej

Europa-Kommissionen oplyser om cloud computing, at EU planlægger et EU-regelsæt for cloud computing og en vejledning om offentlige indkøb af cloudtjenester. Vejledningen kan give retning for, hvilke krav danske offentlige myndigheder bør stille i udbud.

På Europa-Kommissionens side om cloud computing er datoen 18. juni 2026. Europa-Kommissionens European Tech Sovereignty-pakke markerer et væsentligt skifte i EU's digitale regulering og kan ændre spillereglerne for offentlige cloud- og AI-udbud.

For en dansk indkøbsfunktion kan kravene i udbudsbetingelserne formuleres som krav til kontrol og dokumentation: hvem kan tilgå data, hvorfra, under hvilken jurisdiktion, hvordan håndteres myndighedsanmodninger, og hvordan gennemføres exit. Det bør ikke stå som et isoleret krav om datacenterets beliggenhed.

Regelsættet og indkøbsvejledningen er endnu ikke udarbejdet, og indholdet kendes ikke i detaljen.

Praktisk tjekliste til din cloudkontrakt

For offentlige udbud henviser Europa-Kommissionen til en kommende vejledning om offentlige indkøb af cloudtjenester.

Sørg for, at aftale, fortegnelse, risikovurdering og oplysningen til de registrerede hænger sammen og kan fremvises. Aftale: Afklar dataansvarlig og behandler, formål, typer af persondata, kategorier af registrerede, instrukser, fortrolighed, sikkerhed, underleverandører, bistand, ophør, revision og kontrol.

Underleverandører: Aftal liste over godkendte underleverandører, procedure for godkendelse af nye, varsling inden ændringer og videreførsel af databeskyttelsesforpligtelser. Dokumentation: Medtag fortegnelse over behandlingsaktiviteter, risikovurdering, sikkerhedsforanstaltninger og oplysning til registrerede om behandlingssted og overførsler.

Overførsel: Brug databeskyttelsesforordningen art. 46(2)(c) og EU-Kommissionens SCC'er fra 4. juni 2021. Vælg det rigtige af de fire moduler, og udfyld bilagene.

Ved tredjelandsoverførsel: Lav en dokumenteret risikovurdering (TIA), og dokumentér supplerende foranstaltninger efter EDPB's anbefalinger.

Afklar om personlig og teknisk adgang rækker uden for EU/EØS, om der er gyldigt overførselsgrundlag, og om supplerende foranstaltninger som kryptering eller adgangskontrol er nødvendige. Exit: Aftal udtræk i et dokumenteret og brugbart format, overgangsperiode, sletning med skriftlig bekræftelse, håndtering af sikkerhedskopier og en navngiven kontakt. Test gerne udtrækket, inden aftalen underskrives.

Lokationskravet i databeskyttelseslovens § 3, stk. 9, er relevant, hvis du leverer it-systemer til den offentlige forvaltning. EU-Kommissionen har en FAQ om SCC'erne, som Datatilsynet omtalte 27. maj 2022, og Datatilsynets 'Vejledning om cloud' beskriver cloudscenariet med en EU-leverandør under amerikansk moderselskab.

Praktisk tjekliste til din cloudkontrakt