Datasuverenitet i praksis: hva «norsk sky» faktisk betyr

Tre nivåer, og hvorfor de blandes sammen

De fleste «europeisk sky»-tilbudene leverer det første nivået, noen leverer det andre, og det tredje krever et selskap som ikke er eid utenfor jurisdiksjonen. Å vite hvilket nivå du har kjøpt, er mesteparten av jobben.

Hva CLOUD Act faktisk sier

Den amerikanske CLOUD Act fra 2018 endret Stored Communications Act slik at det står uttrykkelig at en amerikansk leverandør må utlevere data den har i «possession, custody, or control» ved gyldig rettslig pålegg – uavhengig av hvilket land dataene er lagret i. Loven kom for å avgjøre Microsoft Ireland-saken, der nøyaktig det spørsmålet lå til behandling i høyesterett.

To konsekvenser følger. For det første fjerner lagring i en europeisk region ikke plikten, fordi plikten henger på selskapet og ikke på disken. For det andre kan leverandøren være forhindret fra å fortelle deg at et pålegg kom – så et tomt punkt i en åpenhetsrapport er ikke bevis for noe.

Hva Schrems II avgjorde

I juli 2020 kjente EU-domstolen Privacy Shield ugyldig (sak C-311/18). Begrunnelsen handlet ikke om papirarbeid, men om amerikansk overvåkingsrett – særlig rekkevidden av FISA § 702 og mangelen på effektivt rettsmiddel for europeiske borgere. Standard personvernbestemmelser overlevde, men med et vilkår: eksportøren må vurdere om retten i mottakerlandet undergraver bestemmelsene, og legge til supplerende tiltak hvis den gjør det. Den vurderingen er overføringsvurderingen som nå ligger i mange norske etterlevelsesmapper.

I juli 2023 vedtok Kommisjonen en beslutning om tilstrekkelig beskyttelsesnivå for EU–US Data Privacy Framework, som igjen gir en lovlig overføringsvei til sertifiserte amerikanske mottakere. Det er den tredje ordningen i sitt slag på et tiår, og den er utfordret rettslig. Forutsetter arkitekturen din at den fortsatt står om fem år, er den forutsetningen en avhengighet det er verdt å skrive ned ved siden av de andre.

Norge, EØS og hvorfor det er enklere enn folk tror

Norge er ikke i EU, men er i EØS, og personvernforordningen gjelder gjennom EØS-avtalen – gjennomført nasjonalt i personopplysningsloven. Data lagret i Norge er derfor ikke en tredjelandsoverføring for en europeisk behandlingsansvarlig, og kapittel V slår ikke inn. Det er ikke et sterkere juridisk argument enn en overføringsvurdering; det er fraværet av argumentet.

Dørene dataene faktisk går ut av landet gjennom

I en typisk moderne webapplikasjon forlater personopplysninger EØS gjennom flere dører enn hostingfakturaen antyder. Inventaret er nesten alltid lengre enn folk tror:

• Den administrerte databasen, som ofte er det første som plukkes fra en amerikansk markedsplass.
• Feilsporing, som sender stacktracer med brukeridentifikatorer og av og til hele forespørselskropper.
• Produktanalyse og sesjonsopptak, som er laget for å fange atferd i detalj.
• Transaksjonell e-post, som per definisjon behandler adresser og innhold.
• CDN for fonter, skript og ikoner, som ser den besøkendes IP-adresse ved hver sidevisning.
• CI-en, som kloner repoet og gjerne holder produksjonshemmelighetene.
• AI-API-et du la inn i forrige kvartal, som nå mottar alt prompten din inneholder.

Snoat fjerner de dørene som ligger i hostingen: appen kjører i en container på norsk infrastruktur, databasen er en selvhostet Supabase på samme infrastruktur, byggene kjører på vår egen byggemotor framfor en tredjeparts CI, og trafikkstatistikken regnes ut fra vår egen proxy-logg med IP-adressen kastet før lagring. De øvrige dørene er dine å lukke – og å kjenne lista er måten man lukker dem.

Spørsmål verdt å ta med i et sikkerhetsskjema

1. 1.I hvilket land er avtalepartneren registrert, og hvem er ytterste eier?
2. 2.Hvilket av de tre suverenitetsnivåene over leverer tilbudet, med leverandørens egne ord?
3. 3.Kan noen enhet utenfor EØS i konsernet teknisk nå produksjonssystemer eller backup?
4. 4.Bygger dere på Data Privacy Framework, standard personvernbestemmelser, eller ingen av dem?
5. 5.Hva er prosessen hvis dere mottar et utenlandsk rettslig pålegg om mine data, og hva får jeg vite?

Ofte stilte spørsmål

Betyr CLOUD Act at amerikansk sky er ulovlig i Norge?

Nei. Å bruke en amerikansk leverandør er lovlig, og store deler av norsk næringsliv gjør det daglig. Det CLOUD Act skaper er en restrisiko som den behandlingsansvarlige må vurdere og dokumentere framfor å forutsette bort. Regulerte sektorer og offentlige virksomheter konkluderer ofte med at risikoen ikke er akseptabel for bestemte datakategorier; en markedsside konkluderer vanligvis motsatt.

Holder det med et norsk datterselskap av en amerikansk leverandør?

Ikke i seg selv. Spørsmålet er om morselskapet har besittelse, forvaring eller kontroll over dataene – noe som typisk avhenger av hvem som administrerer systemene og holder nøklene. Suverene sky-ordninger forsøker å kutte nøyaktig den koblingen, og detaljene betyr svært mye.

Er kryptering nok?

Kryptering er nødvendig og ikke tilstrekkelig. Den hjelper reelt når leverandøren faktisk ikke kan nå nøklene. Forvalter samme leverandør både nøkkelen og teksten, kan et pålegg nå begge.

Hvor ligger Snoats infrastruktur?

På maskinvare i Norge, driftet av Frostbyte Group AS. Selskapet er norsk, maskinvaren er norsk, og databasen ligger på samme infrastruktur som appene.