Schrems II og hosting: hvad din virksomhed skal vide

I juli 2020 afsagde EU-Domstolen en afgørelse, der ændrede reglerne for, hvordan europæiske virksomheder må bruge amerikanske cloud-tjenester. Afgørelsen kaldes Schrems II efter den østrigske advokat Max Schrems, der stod bag klagen. Konsekvenserne gælder stadig i dag, og de rammer direkte den hosting, din virksomhed bruger til email og website.

Hvad er Schrems II?

Schrems II ophævede den såkaldte EU-US Privacy Shield, en aftale der gav europæiske virksomheder lov til at overføre persondata til certificerede amerikanske virksomheder. EU-Domstolen fastslog, at Privacy Shield ikke gav tilstrækkelig beskyttelse, fordi amerikanske efterretningstjenester under visse omstændigheder kan kræve adgang til data, uden at den europæiske datasubjekt har mulighed for effektiv retsbeskyttelse.

Det betød, at mange virksomheder fra den ene dag til den anden mistede det overførselsgrundlag, de hidtil havde brugt. Situationen er siden delvist normaliseret med det nye EU-US Data Privacy Framework fra 2023, men dette framework har allerede været anfægtet juridisk og kan på ny blive underkendt.

Hvad betyder det konkret?

Det centrale problem er ikke servernes fysiske placering, men moderselskabets nationalitet. Den amerikanske CLOUD Act (Clarifying Lawful Overseas Use of Data Act) fra 2018 giver amerikanske myndigheder ret til at kræve data udleveret fra amerikanskeejede selskaber, uanset om dataene fysisk befinder sig i USA eller i et EU-datacenter.

Det betyder i praksis, at hvis du bruger en hosting-løsning fra et amerikanskejt selskab, kan dine kunders persondata i princippet tilgås af amerikanske myndigheder uden forudgående europæisk retskendelse. Det er en potentiel overtrædelse af GDPR, og det er grunden til, at Datatilsynet og datatilsynsmyndigheder i flere EU-lande har underkendt brugen af visse amerikanske cloud-tjenester.

• Google Analytics: Underkendt i Østrig, Frankrig, Italien og Danmark
• Mailchimp: Underkendt i Belgien med GDPR-bøde til følge
• Microsoft 365: Under Datatilsynets lup i flere EU-lande

Er "EU-servere" nok?

Det korte svar: nej. At din hosting-udbyder markedsfører sig med "EU-servere" er ikke i sig selv tilstrækkeligt. Det afgørende er, om udbyderen er underlagt CLOUD Act. Et selskab hjemmehørende i USA er underlagt CLOUD Act uanset, hvor dets servere befinder sig.

Det gælder eksempelvis for:

• GoDaddy: Amerikansk selskab, CLOUD Act-underlagt
• Google Workspace: Amerikanskejt, selvom data kan placeres i EU via "data regions"
• Microsoft 365: Tilbyder "EU Data Boundary" i visse planer, men er underlagt CLOUD Act og har egne fortolkninger af, hvad EU Data Boundary dækker
• One.com: Ejet af europæiske investorer, men kontrollér altid den aktuelle ejerskabsstruktur og DPA-indhold

En EU-baseret udbyder uden amerikansk moderskab er den enkleste og juridisk sikreste løsning, fordi CLOUD Act simpelthen ikke finder anvendelse.

Hvad er løsningen?

For virksomheder der behandler persondata, er anbefalingen klar: vælg en udbyder med europæisk ejerskab, data i EU/EØS og en klar databehandleraftale der ikke indeholder klausuler om videregivelse til tredjelande. Det giver to ting:

• Juridisk klarhed: CLOUD Act gælder ikke, og din DPA er gyldig under GDPR
• Praktisk tryghed: du kan over for dine kunder og din revisor dokumentere, at persondata forbliver i Europa

Hos Mahoje Hosting er vi et dansk selskab med servere i EU. Vores databehandleraftale specificerer præcist, at ingen persondata videregives til tredjelande, og at vi ikke er underlagt CLOUD Act. Det er inkluderet i alle planer uden tillæg.

Vil du have email- og webhosting der er Schrems II-robust? Læs om GDPR og email, gennemgå vores DPA og ansøg om en betaplads.