Hvorfor GDPR krever EU-hosting — og hvorfor CLOUD Act gjør US-hosting risikabelt

Dataene dine i Europa — eller i USAs hender?

Om du driver en bedrift innen EU, er GDPR ikke valgfritt — det er lov. Men visste du at om du hoster tjenestene dine hos en amerikansk leverandør som AWS, Google Cloud eller Microsoft Azure, kan dataene dine likevel havne i amerikanske myndigheters hender?

Svaret ligger i CLOUD Act — en amerikansk lov som gir USAs myndigheter rett til å kreve ut data fra amerikanske selskaper, uansett hvor i verden dataene lagres.

Hva er CLOUD Act?

CLOUD Act (Clarifying Lawful Overseas Use of Data Act) ble vedtatt i 2018 og gir amerikanske rettshåndhevende myndigheter myndighet til å kreve ut data fra amerikanske teknologiselskaper — selv om dataene fysisk lagres i Europa. Det spiller altså ingen rolle om AWS-instansen din kjører i Frankfurt eller Stockholm. Så lenge leverandøren er et amerikansk selskap, gjelder CLOUD Act.

GDPR (General Data Protection Regulation) krever at personopplysninger innen EU beskyttes og ikke overføres til tredjeland uten tilstrekkelig beskyttelsesnivå. USA anses ikke å ha tilstrekkelig beskyttelsesnivå av EU-domstolen (Schrems II-dommen, 2020).

Det skaper en direkte juridisk konflikt:

CLOUD Act sier: “Lever ut dataene til oss.”
GDPR sier: “Du får ikke levere ut dataene.”

Bedrifter som bruker amerikanske skytjenester sitter fast i midten — og det er du som kunde som bærer ansvaret om personopplysninger lekker.

Reelle konsekvenser

GDPR-bøter kan komme opp i 20 millioner euro eller 4 % av global årsomsetning. Flere europeiske datatilsynsmyndigheter har allerede slått ned på bedrifter som bruker amerikanske skytjenester uten tilstrekkelige beskyttelsestiltak:

Østerrikes datatilsynsmyndighet fastslo i 2022 at bruk av Google Analytics brøt med GDPR.
Franske CNIL fulgte med samme vurdering.
Den europeiske datatilsynsmannen (EDPS) forbød EU-parlamentet å bruke Microsoft 365 uten ytterligere beskyttelsestiltak.

Løsningen: Host i Sverige, hos et svensk selskap

Ved å velge en svensk hostingleverandør som ikke er underlagt amerikansk lovgivning, eliminerer du CLOUD Act-risikoen fullstendig. Dataene dine blir i Sverige, beskyttet av svensk og europeisk lov.

Hos No-Ack Hosting tilbyr vi:

Datasenter i Stockholm — dataene dine forlater aldri Sverige
Intet amerikansk morselskap — CLOUD Act gjelder ikke oss
Full GDPR-etterlevelse — vi er et svensk selskap under svensk jurisdiksjon
Daglige sikkerhetskopier på tre lokasjoner
Eget nettverk (AS30893) med 100G-tilkoblinger

Hvilke tjenester tilbyr vi?

Uansett om du trenger en enkel VPS eller dedikerte servere, har vi løsningen:

KVM VPS fra 70 SEK/mnd — perfekt for webapplikasjoner og utviklingsmiljøer
Dedikerte servere — full kontroll og ytelse for krevende prosjekter
Co-location i Stockholm — plasser din egen maskinvare i vårt datasenter fra 850 SEK/mnd
Webhotell fra 600 SEK/år — enkel hosting for bedriftsnettsider

Oppsummering

Om du tar GDPR på alvor — og det bør du — er det ikke nok å lagre data “i EU”. Du må også sikre at leverandøren din ikke er underlagt lover som CLOUD Act. Den eneste sikre veien er å velge en europeisk leverandør uten tilknytning til USA.

Klar for å flytte hostingen din til trygg svensk grunn? Kontakt oss eller bestill VPS direkte.