Når en offentlig organisation spørger, om offentlige data kan hostes i EU, handler det sjældent kun om geografi. Det handler om kontrol, lovmedholdelighed og om, hvorvidt man faktisk kan dokumentere, hvem der har adgang til data, under hvilken lovgivning, og med hvilke tekniske og kontraktuelle sikkerhedsforanstaltninger. EU-hosting er derfor ikke et marketingstempel. Det er et arkitekturvalg med juridiske konsekvenser.
Det korte svar er ja. Offentlige data kan godt hostes i EU. Men det er ikke nok, at serveren fysisk står i et EU-land. Hvis leverandørkæden, supportadgangen, ejerskabet eller underdatabehandlerne trækker data ind under tredjelandes lovgivning, kan billedet ændre sig markant. Det er præcis her, mange løsninger ser mere europæiske ud på forsiden end i praksis.
Hvad betyder det egentlig, at offentlige data hostes i EU?
Når man taler om hosting i EU, bliver begrebet ofte brugt for bredt. I praksis bør man skelne mellem mindst tre lag: hvor data lagres, hvem der driver infrastrukturen, og hvilke juridiske enheder der kan få adgang til data. Først når alle tre lag peger i samme retning, begynder man at nærme sig en reel EU-forankret løsning.
For offentlige organisationer er det særligt vigtigt, fordi data sjældent er neutrale. Selv når der ikke er tale om følsomme personoplysninger, kan der være krav til fortrolighed, journalisering, adgangsstyring, logning og dokumentation. Dertil kommer politiske og strategiske hensyn om digital suverænitet og afhængighed af udenlandske platforme.
Hvis en løsning hostes i Frankfurt eller Dublin, men ejes af en amerikansk koncern, administreres via globale supportfunktioner og suppleres af amerikanske underdatabehandlere til drift, analyse eller mail, er det ikke nok at sige, at data hostes i EU. Der er stadig et compliance-spørgsmål, som skal vurderes konkret.
Kan offentlige data hostes i EU uden problemer?
Ja, men ikke automatisk. Den afgørende misforståelse er, at EU-datacenter er det samme som GDPR-sikkerhed. Det er det ikke. GDPR vurderer ikke kun postnummeret på serverrummet, men hele behandlingssituationen.
For en offentlig myndighed eller en offentlig leverandør vil vurderingen typisk bero på datatyper, behandlingsformål og risikoniveau. Et offentligt website med almindelige kontaktformularer har et andet risikobillede end et intranet med medarbejderdata eller en selvbetjeningsløsning med borgeroplysninger. Derfor findes der ikke ét standardsvar, som passer til alle offentlige data.
Det betyder også, at man bør være varsom med kategoriske udsagn som “alt er sikkert, fordi det ligger i EU”. Det relevante spørgsmål er snarere, om løsningen er designet, drevet og kontraktligt understøttet på en måde, der reducerer eksponering mod tredjelande og giver myndigheden reel kontrol.
Hvorfor er databehandlerkæden vigtigere end datacenterets adresse?
Databehandlerkæden er ofte det sted, hvor ellers fornuftige løsninger begynder at vakle. Mange organisationer køber en platform med europæisk drift, men opdager senere, at backup, overvågning, supportværktøjer, statistik, fejlrapportering eller e-mailafsendelse leveres af underdatabehandlere uden for EU eller af virksomheder underlagt amerikansk lovgivning.
Det er ikke nødvendigvis ulovligt i enhver situation. Men det gør vurderingen mere kompleks, og det kan skabe usikkerhed i både indkøb, revision og den løbende compliance. For offentlige organisationer er kompleksitet i sig selv en risiko, fordi den gør det sværere at dokumentere ansvar, føre tilsyn og reagere hurtigt ved ændringer i leverandørkæden.
En stærk EU-model er derfor kendetegnet ved mere end hosting. Den omfatter også EU-baseret drift, europæiske underdatabehandlere, klare databehandleraftaler, begrænset supportadgang, dokumenteret sikkerhed og en arkitektur, hvor man undgår unødige tredjelandsoverførsler.
Hvilke data kan offentlige organisationer med fordel holde i EU?
Det enkle svar er: så meget som muligt, når det er relevant og proportionelt. For mange offentlige organisationer giver det god mening at prioritere EU-hosting for websites, intranet, selvbetjening, formularsystemer, dokumentflows, statistik, nyhedsbreve og integrationer, hvis løsningen håndterer personoplysninger eller anden fortrolig information.
Jo mere forretningskritisk eller personfølsom en løsning er, jo stærkere er argumentet for at vælge en fuld EU-forankret databehandlerkæde. Det gælder især, hvis organisationen ønsker færre juridiske gråzoner og mindre afhængighed af store, lukkede cloudmiljøer.
Der kan dog være tilfælde, hvor en offentlig organisation bruger specialsystemer, som ikke realistisk kan flyttes på kort sigt. Her er det sjældent et spørgsmål om enten eller. I stedet bør man arbejde med prioritering, segmentering og en plan for, hvilke systemer der først bør bringes over i en mere kontrollerbar og dokumenterbar EU-ramme.
Hvad bør man kræve af en leverandør?
Hvis spørgsmålet er, om offentlige data kan hostes i EU, bør næste spørgsmål være, hvordan leverandøren beviser det. Ikke i salgsmateriale, men i kontrakter, arkitektur og drift.
En seriøs leverandør skal kunne redegøre for, hvor data ligger, hvilke underdatabehandlere der indgår, hvem der har administrativ adgang, hvordan backup håndteres, og hvordan logs, overvågning og support er organiseret. Det bør også være tydeligt, om løsningen bygger på open source og flytbare komponenter, eller om kunden reelt bindes til én platform og én leverandørmodel.
For offentlige indkøb er det et overset punkt. Vendor lock-in er ikke kun et økonomisk problem. Det er også et governance-problem. Hvis platformen er svær at flytte, bliver det langt mere besværligt at reagere på ændrede regulatoriske krav, sikkerhedshændelser eller politiske beslutninger om datasuverænitet.
Derfor er det ofte en styrke at vælge løsninger, hvor data, applikation og drift kan adskilles, og hvor organisationen ikke låses til en bestemt global cloudstack. Her giver open source og EU-baseret drift en mere langsigtet handlefrihed.
Kan offentlige data hostes i EU på WordPress, intranet og specialløsninger?
Ja, i mange tilfælde uden problemer, hvis løsningen er sat rigtigt op. Det gælder både websites, intranet, selvbetjeningsportaler og integrationsbaserede platforme. Men platformen i sig selv afgør ikke compliance. Det gør den samlede implementering.
Et WordPress-site kan være langt mere kontrolleret og compliance-venligt end en lukket SaaS-løsning, hvis hosting, mail, analytics, formularer, backup og drift er placeret i en ren EU-kæde. Omvendt kan selv en tilsyneladende sikker enterprise-platform skabe udfordringer, hvis den trækker på tredjelandsleverandører i flere lag.
Det er netop derfor, teknologivalg og leverandørvalg hænger tæt sammen. Offentlige organisationer har brug for en partner, der forstår både applikationslaget og driftslaget – og som kan oversætte juridiske krav til konkrete tekniske beslutninger.
De typiske faldgruber
Den mest almindelige fejl er at tro, at compliance kan købes som et enkelt produkt. Det kan den ikke. Den opstår i samspillet mellem kontrakt, drift, platform, integrationer og interne processer.
En anden klassisk faldgrube er at acceptere standardopsætninger uden at gennemgå de små komponenter. Et website kan godt være hostet i EU, men samtidig sende statistikdata til tredjelande, bruge eksterne skrifttyper, have formularflows via amerikanske tjenester eller køre transaktionsmails gennem en ikke-europæisk leverandør. Hver enkelt detalje kan virke lille. Samlet kan de ændre risikobilledet væsentligt.
Endelig undervurderer mange, hvor vigtigt det er med løbende governance. En løsning, der er compliant ved lancering, forbliver ikke nødvendigvis compliant. Nye integrationer, plugins, supportværktøjer og driftsændringer kan flytte grænserne, hvis ingen holder øje.
Hvad er den praktiske vej frem?
For de fleste offentlige organisationer giver det mening at starte med et konkret overblik. Hvilke data behandles? Hvilke systemer er mest kritiske? Hvilke leverandører indgår allerede? Og hvor i kæden opstår der afhængighed af tredjelande?
Derefter bør man prioritere de løsninger, hvor gevinsten er størst: systemer med personoplysninger, offentligt tilgængelige platforme med mange integrationer, og driftsmiljøer hvor dokumentation eller kontrol i dag er svag. Her kan en EU-forankret model give både bedre compliance, større gennemsigtighed og mere stabil drift.
Hos mange organisationer er det ikke et spørgsmål om at skifte alt på én gang. Det er et spørgsmål om at træffe færre dårlige standardvalg fremover. Når nye websites, webshops, apps eller intranet skal etableres, er det ofte dér, man kan sætte en bedre retning uden at skabe unødig kompleksitet.
Kan offentlige data hostes i EU? Ja – og for mange offentlige organisationer bør svaret ikke bare være ja, men hvorfor skulle de ikke, hvis alternativet giver mindre kontrol, flere gråzoner og større afhængighed. Det kloge valg er sjældent den løsning, der lyder mest global. Det er den, der kan forklares, dokumenteres og drives sikkert, også når nogen stiller de kritiske spørgsmål et år senere.
