Fem frågor som avgör hur europeisk en tjänst är

Modul 2: Vad är egentligen ett europeiskt moln? · Lästid: 11 minuter

Lärandemål: Efter denna lektion kan du med fem frågor avgöra under vilken lagstiftning en molntjänst faller, och förklara varför ett datacenter i Europa inte räcker för det.

Nyckelbegrepp: etablering (säte), slutgiltig ägare, datacenterplats, underleverantör (underbiträde), fjärråtkomst, nyckelhantering, EU, EES, adekvansbeslut, "sovereign cloud"

"Vår data finns i Europa." Och sen då?

Nästan alla stora molntjänster säger det numera: din data finns i ett datacenter i Frankfurt, Amsterdam eller Dublin. Det låter lugnande, men det besvarar bara en av de frågor som spelar roll. I modul 1 såg du att den amerikanska CLOUD Act inte tittar på var servern står, utan på vilket företag som har datan i sin besittning, förvaring eller under sin kontroll ("possession, custody, or control"). En server i Frankfurt som tillhör ett bolag som i grunden är amerikanskt kan alltså ändå falla under ett amerikanskt föreläggande.

Därför tittar du inte på en enda egenskap, utan på fem. Bakkerij De Korrel i vårt exempel (12 medarbetare, domänen example.com) använder i dag ett amerikanskt kontorspaket och vill veta vilka alternativ som verkligen är europeiska. Med dessa fem frågor skiljer företaget marknadsföringen från fakta.

Fråga 1: var är företaget etablerat?

Etableringen är det land där företaget som skriver under ditt avtal juridiskt är registrerat: sätet. Det landet avgör i första hand vilken lagstiftning som gäller för företaget, vilken domstol som är behörig och vilken tillsynsmyndighet som har insyn.

Titta inte på webbplatsen för detta, utan på avtalsparten: namnet längst ner i de allmänna villkoren, personuppgiftsbiträdesavtalet och fakturan. Står det "Example Cloud Ireland Ltd." är din avtalspart irländsk, även om varumärket är amerikanskt. Det är en bra start, men ännu inget svar. Då behöver du fråga 2.

Fråga 2: vem är den slutgiltiga ägaren?

Den slutgiltiga ägaren är det företag eller den person som står högst upp i kedjan av aktieägare. Ett europeiskt dotterbolag till ett amerikanskt moderbolag är juridiskt sett ett europeiskt företag, men moderbolaget har ändå bestämmanderätt. Enligt CLOUD Act kan en amerikansk domstol förplikta moderbolaget att lämna ut data som finns hos ett dotterbolag, om moderbolaget faktiskt har "control" över det. Om det stämmer i ett konkret fall beror på hur företaget är organiserat. Jurister är oense om detta. Det är precis därför det är en risk och inte en säkerhet.

Det kan också vara tvärtom: ett företag som i dag är europeiskt kan köpas upp i morgon. I Nederländerna hände detta 2025 och 2026 kring Solvinity, bolaget bakom infrastrukturen för DigiD. Det amerikanska Kyndryl ville köpa upp det; regeringen förbjöd affären i maj 2026 efter rådgivning från Bureau Toetsing Investeringen (den nederländska granskningsmyndigheten för investeringar). Fråga därför även en leverantör: vad händer med mitt avtal vid en uppköp? Får jag säga upp det kostnadsfritt då?

Var hittar du ägaren? I bolagsregistret (i Nederländerna KVK, i Tyskland Handelsregister), i årsredovisningen, eller på sidan "Om oss" eller "Impressum". Hos börsnoterade företag står det i årsredovisningen.

Fråga 3: var finns datan, och säkerhetskopiorna?

Datacenterplatsen är fortfarande viktig. Finns din data i EU är det ingen överföring utanför EES enligt GDPR, så länge ingen utifrån kan komma åt den. Fråga efter alla platser: det primära datacentret, reservdatacentret och säkerhetskopiorna. En leverantör med servrar i Nederländerna och säkerhetskopior i USA har visst en överföring.

Lägg märke till tre begrepp som ofta blandas ihop:

Schweiz och Storbritannien är alltså inte EU, men en tjänst där får du enligt GDPR använda utan extra avtalsklausuler. Beslutet för Schweiz är från 2000 och bekräftades vid en omprövning i januari 2024. Beslutet för Storbritannien förlängdes den 19 december 2025 till den 27 december 2031. Ett adekvansbeslut kan dock omprövas eller upphävas av EU-domstolen: det hände två gånger med avtalen med USA (modul 1, lektion 1.4). För USA gäller nu Data Privacy Framework, men bara för amerikanska företag som har anslutit sig till det, och med den osäkerhet du såg i lektion 1.4.

Fråga 4: vem mer kan komma åt data? Underleverantörer och fjärråtkomst

En underleverantör (underbiträde) är ett annat företag som leverantören anlitar och som därmed behandlar eller kan se din data: datacentret, en backuptjänst, ett företag för e-postleverans, en supportavdelning i ett annat land, en AI-tjänst som sammanfattar mejl. GDPR kräver att leverantören i förväg informerar dig om vilka underleverantörer den använder och låter dig invända mot nya (artikel 28 GDPR, lektion 9.2).

Lägg särskilt märke till fjärråtkomst. Data som finns i Amsterdam men som en supportmedarbetare i ett land utanför EES kan se för att lösa ett driftstopp räknas enligt de europeiska tillsynsmyndigheterna också som en överföring. Ett datacenter i Europa med en helpdesk som har insyn dygnet runt globalt är alltså mindre europeiskt än det verkar.

Var hittar du listan? Oftast som bilaga till personuppgiftsbiträdesavtalet eller på en separat sida "underleverantörer" eller "sub-processors". Saknas listan, eller är den vag ("vi samarbetar med noggrant utvalda partner"), är det en varningssignal.

Fråga 5: vem har nyckeln?

Kryptering hjälper bara mot andra om de inte har nyckeln. Hos de flesta molntjänster är din data krypterad under överföring (https) och i vila (på disken), men leverantören har nyckeln. Måste leverantören lämna ut data kan den dekryptera den. Med totalsträckskryptering (end to end) eller kryptering med en nyckel som bara du hanterar kan leverantören inte göra det. Det skyddar bättre, men har ett pris: sökning, gemensam redigering i webbläsaren och återställning av ett glömt lösenord fungerar då ofta inte eller bara begränsat. Fråga därför: vilka delar är totalsträckskrypterade, och vad kan jag då inte längre göra?

"Sovereign cloud" från amerikanska företag

De stora amerikanska leverantörerna möter efterfrågan på suveränitet. Några exempel så att du känner igen termerna:

• Microsoft EU Data Boundary: Microsoft meddelade i februari 2025 att kunddata för Microsoft 365, Dynamics 365, Power Platform och de flesta Azure-tjänster lagras och behandlas inom EU och EES-länderna, inklusive supportdata. Microsoft skriver själv att det i begränsade fall fortfarande behandlas data utanför EU, till exempel för säkerhet. Microsoft förblir ett amerikanskt företag. I juni 2025 förklarade juridikchefen för Microsoft Frankrike under ed i den franska senaten att han inte kan garantera att data aldrig lämnas ut till amerikanska myndigheter utan tillstånd.
• AWS European Sovereign Cloud: allmänt tillgänglig sedan den 15 januari 2026, med en första region i Brandenburg (Tyskland). Den drivs av ett tyskt bolag med personal inom EU och är tekniskt skild från resten av AWS. Det slutgiltiga moderbolaget är Amazon. Analytiker påpekar att CLOUD Act-risken därmed kan vara mindre, men inte påvisbart borta.
• Samarbetsmodeller: i Frankrike och Tyskland finns europeiska företag som driver amerikansk molnteknik på licens, så att det europeiska företaget har kontrollen. Om det fungerar beror på överenskommelserna om uppdateringar, drift och åtkomst.

Sådana tjänster kan för vissa organisationer vara ett rimligt mellansteg. Men ställ samma fem frågor till dem. Svaret på fråga 2 (ägare) förblir hos dessa tjänster annorlunda än hos ett företag som är helt europeiskt.

I praktiken: så ser det ut hos en leverantör

Ta en WebOké Nextcloud som exempel. Etablering och ägare: ett nederländskt aktiebolag (bv). Datacenter: enligt manualen två nederländska datacenter från NorthC. Mjukvara: Nextcloud, skapad av det tyska bolaget Nextcloud GmbH, öppen källkod. Nyckeln till lagringskrypteringen ligger hos leverantören; totalsträckskryptering kan du själv aktivera per mapp. Hos andra europeiska leverantörer, som andra Nextcloud-leverantörer, mailbox.org, Infomaniak eller IONOS, söker du upp samma fem svar på samma ställen: avtalet, bolagsregistret, personuppgiftsbiträdesavtalet och listan över underleverantörer.

Sammanfattning

• Ett datacenter i Europa besvarar bara en av de fem frågorna.
• De fem frågorna: etablering, slutgiltig ägare, var data och säkerhetskopior finns, underleverantörer och fjärråtkomst, samt vem som har nyckeln.
• Ett europeiskt dotterbolag till ett amerikanskt företag kan ändå falla under CLOUD Act.
• Schweiz och Storbritannien är inte EU, men har ett adekvansbeslut; EES är EU plus Norge, Island och Liechtenstein.
• "Sovereign cloud"-tjänster från amerikanska företag minskar risker, men ändrar inte svaret på ägarfrågan.

Quiz

Uppgift

Uppgift A2.1: Vem tar emot och skickar e-post för din domän? Fyll i din egen domän. Programmet söker upp MX-posterna och fäller ut din SPF-post helt. Du fyller i vilka organisationer som får ta emot din e-post och vilka som får skicka e-post i ditt namn. Så ser du på några minuter vilka parter som redan är inblandade i din e-post.

Uppgift E2.1: De fem frågorna för dina egna tjänster. Välj två tjänster som du använder i dag (till exempel din e-post och din fillagring) och en möjlig europeisk ersättare. Ta reda på svaren på de fem frågorna för alla tre, med källan angiven.

Läs mer

Stegen i dessa artiklar gäller för WebOkés tjänster; hos andra leverantörer fungerar det på liknande sätt.

• Nextcloud-guide 1.1: Vad är Nextcloud och vad är en WebOké Nextcloud?
• Nextcloud-guide 3.1: Hur skyddar WebOké din Nextcloud?
• Nextcloud-guide 15.13: Vanliga frågor om säkerhet och integritet
• Europeiska kommissionen, översikt över adekvansbeslut: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_en
• CLOUD Act, 18 U.S.C. § 2713 (data "regardless of whether" den finns i eller utanför USA)