Hosting af data i EU: hvad betyder det, og har I brug for det?

En salgschef får et sikkerhedsspørgeskema fra en stor kunde. Spørgsmål 14 lyder: »Hvor opbevares vores data, og overføres de til lande uden for EU?« Hun spørger IT-ansvarlig, som spørger webbureauet, som svarer, at serveren står i Frankfurt. Men skemaet spørger også til underleverandører, og det viser sig, at mails sendes via en amerikansk tjeneste, fejlrapporter går til en anden, og den nye AI-funktion kalder en model, ingen har tjekket. Ordren venter i tre uger, mens svarene bliver fundet. Det er derfor, hosting af data i EU er blevet et salgs- og indkøbsspørgsmål lige så meget som et juridisk.

Vi er en softwarevirksomhed, så denne guide er et praktisk overblik over valg og spørgsmål. Den juridiske vurdering af jeres overførsler, især hvis I behandler følsomme data, bør I få af en jurist med speciale i persondata. Datatilsynet har også vejledninger om overførsel til tredjelande.

Hvorfor betyder det noget, hvor data hostes?

GDPR tillader fri bevægelighed for persondata inden for EU og EØS. Overførsler til andre lande, såkaldte tredjelande, kræver et særligt grundlag: en afgørelse fra EU-Kommissionen om, at landet har et tilstrækkeligt beskyttelsesniveau, eller garantier som EU’s standardkontraktbestemmelser, ofte kombineret med en vurdering af risikoen i modtagerlandet. For USA findes EU-US Data Privacy Framework, som dækker certificerede virksomheder. To tidligere ordninger blev underkendt af EU-Domstolen, senest i den såkaldte Schrems II-dom i 2020, og derfor er mange forsigtige med at bygge hele deres løsning på, at den nuværende ordning holder.

• Juridisk enkelhed: data i EU hos en EU-leverandør kræver ingen overførselsgrundlag og færre dokumenter.
• Robusthed: I er mindre sårbare, hvis en overførselsordning bliver underkendt igen.
• Salg og indkøb: store kunder og offentlige myndigheder spørger i stigende grad efter EU-hosting.
• Tillid: kunder, der deler personlige oplysninger, vil gerne vide, at de bliver i Europa.
• Hastighed: kortere afstand til brugerne giver lidt lavere svartider, især for apps og portaler.

EU-region eller EU-leverandør?

Der er en vigtig nuance. Mange amerikanske udbydere tilbyder at lagre data i en EU-region. Det betyder, at data fysisk ligger i Europa, og det løser en stor del af problemet. Leverandøren er dog stadig underlagt amerikansk lovgivning, og support eller drift fra lande uden for EU kan i sig selv være en overførsel. Mange af de store udbydere har særlige EU-tilsagn og aftaler, der begrænser det. En europæisk leverandør uden amerikansk moderselskab fjerner spørgsmålet helt. Hvilken løsning der passer, afhænger af jeres data, jeres kunder og jeres risikovillighed.

Hvilke muligheder har man for hosting i EU?

For en moderne hjemmeside eller webapp bygget i Next.js er det typisk muligt at placere både database, filer og serverfunktioner i EU. Det kræver, at nogen aktivt vælger det. Standardindstillinger i mange tjenester peger mod USA, fordi det er der, de fleste af deres kunder er.

Hvilke dele af en løsning sender data ud af EU?

Problemet sidder oftest i alle de små tjenester omkring serveren. En typisk webløsning bruger otte til femten eksterne tjenester, og hver af dem kan sende persondata et andet sted hen. Gå listen herunder igennem med jeres leverandør.

• Mailudsendelse: ordrebekræftelser, nulstilling af adgangskode og nyhedsbreve.
• Analyse og heatmaps: besøgsdata, IP-adresser og optagelser af sessioner.
• Fejlovervågning: fejlrapporter indeholder ofte brugerens e-mail eller id.
• AI-tjenester: tekst fra kunder, der sendes til en sprogmodel for at blive besvaret eller opsummeret.
• CDN og billedoptimering: kan cache indhold globalt, også sider med personlige data.
• Support og chat: samtaler med navne, adresser og ordrehistorik.
• Backups og logs: kopier af hele databasen eller af al trafik.
• Betaling, SMS og signatur: som regel selvstændige dataansvarlige med egne vilkår, men tjek dem.

AI er den tjeneste, der oftest sniger sig ind uden at blive tjekket. Flere AI-udbydere tilbyder i dag behandling i EU for erhvervskunder. Læs mere i guiden om AI-chatbot til hjemmesiden, hvor vi gennemgår GDPR-delen.

Hvad koster hosting af data i EU?

Hosting er sjældent den store post i et digitalt budget. Prisen afhænger af trafik, datamængde, krav til oppetid og om nogen skal holde øje med det hele. Intervallerne herunder er typiske markedspriser for ren hosting uden udvikling, og de dækker både europæiske udbydere og EU-regioner hos de store.

Hos os er hosting en del af den faste månedlige pris, som også dækker vedligeholdelse, opdateringer, support, sikkerhed og backups. Til en hjemmeside starter den ved 600 kr. om måneden, og til en app ved 1.200 kr. Se detaljerne under priser. Uanset hvem I vælger, bør hostinglokationen stå skriftligt i tilbuddet og i databehandleraftalen.

Hvilke spørgsmål skal man stille sin hostingleverandør?

1. I hvilket land og hvilket datacenter ligger vores database og filer?
2. Hvor ligger backups, og hvor længe gemmes de?
3. Hvilke underdatabehandlere bruger I, og hvor behandler de data?
4. Har jeres support eller drift adgang til data fra lande uden for EU?
5. Hvilket overførselsgrundlag bruges, hvis data forlader EU?
6. Hvilket land hører jeres moderselskab hjemme i?
7. Kan vi få besked, før I tilføjer nye underdatabehandlere?
8. Hvordan får vi alle data udleveret, hvis vi vil skifte leverandør?
9. Hvor sendes logs og fejlrapporter hen?
10. Står alt dette i databehandleraftalen?

Punkt 8 hænger sammen med ejerskab. Ejer I selv kode, data og konti, er det let at skifte leverandør eller region, hvis kravene ændrer sig. Læs mere i guiden hvem ejer koden.

Skal alle virksomheder vælge ren EU-hosting?

Vores holdning er pragmatisk. Kernedata hører hjemme i EU, fordi det er let og billigt at sikre i dag. For de små tjenester omkring løsningen anbefaler vi at vælge EU-alternativer, hvor de er lige så gode, og at dokumentere resten. Behandler I helbredsdata, CPR-numre, data om børn eller data for offentlige kunder, går vi længere og anbefaler en jurist med i valget.

Hvordan flytter man en løsning til EU-hosting?

Et eksempel: en revisionsvirksomhed med 30 ansatte har en kundeportal, hvor kunder uploader bilag. Databasen ligger allerede i EU, men filerne ligger i en amerikansk region, mails sendes via en amerikansk tjeneste, og fejlrapporter indeholder kundernes e-mails. Flytningen af filer tager et par dage, mailtjenesten skiftes til en EU-udbyder, og fejlrapporterne renses for persondata. Samlet er det typisk en opgave på en til to uger og en lille ændring i den månedlige regning. Resultatet er, at næste sikkerhedsspørgeskema kan besvares på en eftermiddag.

Hosting er én brik. Se også vores guides til GDPR på hjemmesider og apps og IT-sikkerhed i software. Skal I have bygget en løsning, hvor datalokationen er klar fra dag ét, så få en fast pris inden for 24 timer.