Den amerikanske CLOUD Act og digital suverænitet: cloudvalg for europæiske universiteter (2026)

Mange europæiske universiteter har e-mail, dokumenter og forskningsdata liggende på amerikanske cloudplatforme, og medarbejderne spørger i stigende grad, om amerikanske myndigheder kan få adgang til dataene. Denne guide adskiller de juridiske fakta fra den politiske debat: hvad CLOUD Act og FISA Section 702 siger, hvordan EU-retten svarer på dem, hvad EU-datagrænser og suveræne clouds ændrer og ikke ændrer, hvad universiteter og forskningsnetværk i flere lande gør, og hvordan I vælger hosting efter datatype med en realistisk exitplan.

Udgivet 9. oktober 2026 · Kilder kontrolleret 9. oktober 2026

Findes også på: English · Svenska · Nederlands · Norsk · Suomi · Français · Español · Português

Emnet er politisk såvel som juridisk. I denne guide har retlige udsagn og dokumenterede fakta en kilde. Vores egen læsning af, hvad de betyder for universiteter, er markeret Validemics analyse. Standpunkter fra universiteter, medarbejdergrupper og myndigheder gengives som deres standpunkter, ikke som afklaret ret.

1. Hvad siger CLOUD Act faktisk?

CLOUD Act er en amerikansk lov fra 2018, der kræver, at kommunikations- og cloududbydere under amerikansk regulering udleverer data, som de kontrollerer, når de modtager et gyldigt amerikansk retligt påbud, også selv om dataene er lagret i udlandet. Den er et redskab til strafferetlig håndhævelse og skabte desuden en mulighed for bilaterale aftaler med andre landes regeringer.

Kernereglen står i 18 U.S.C. § 2713, der blev tilføjet den 23. marts 2018. En udbyder af elektroniske kommunikationstjenester eller fjernbehandlingstjenester skal opfylde forpligtelserne i Stored Communications Act til at bevare, sikkerhedskopiere eller udlevere kommunikation og kundeoplysninger, som den har i sin »possession, custody, or control« (besiddelse, varetægt eller kontrol), »regardless of whether such communication, record, or other information is located within or outside of the United States« (uanset om kommunikationen, oplysningerne eller andre informationer befinder sig i eller uden for USA) [1].

Tre pointer går ofte tabt i debatten:

• Det er ikke en ny overvågningsbeføjelse. Loven udvider eksisterende retshåndhævelsesredskaber efter Stored Communications Act til data, der er lagret i udlandet. Afgørelsen om Data Privacy Framework bemærker, at lagret indhold som regel kræver en retskendelse baseret på begrundet mistanke (probable cause) (betragtning 96) [9].
• Der er en begrænset mulighed for indsigelse. Efter 18 U.S.C. § 2703(h) kan en udbyder anmode om at få et påbud ophævet eller ændret, hvis kunden ikke er amerikansk statsborger og ikke bor i USA, og udleveringen ville medføre en væsentlig risiko for at overtræde lovgivningen i en »qualifying foreign government« (kvalificeret udenlandsk regering). Det begreb omfatter kun lande med en eksekutiv aftale efter loven, som giver udbyderne tilsvarende rettigheder [2].
• Der findes aftaler med enkelte lande, ikke med EU. Det amerikanske justitsministerium oplister aftaler med Storbritannien (underskrevet 3. oktober 2019) og Australien (15. december 2021). For EU oplister det en fælles erklæring fra 2019 om forhandlinger og en meddelelse fra 2023 om, at forhandlingerne genoptages [3]. Vi fandt ingen indgået aftale mellem EU og USA pr. 9. oktober 2026.

Validemics analyse Det afgørende kriterium for et universitet er kontrol, ikke placering. Hvis en udbyder under amerikansk jurisdiktion kan få adgang til dataene i en brugbar form, er et amerikansk påbud rettet mod udbyderen retligt muligt, uanset hvor serveren står. Hvor ofte det sker i praksis med universitetsdata, er et andet spørgsmål, som offentlige kilder ikke fuldt ud kan besvare.

2. FISA 702, EO 12333 og Schrems II

Den væsentligste bekymring bag Schrems II-dommen var amerikansk efterretningsovervågning, ikke CLOUD Act. Section 702 i Foreign Intelligence Surveillance Act (50 U.S.C. § 1881a) tillader målrettet overvågning af ikke-amerikanske personer i udlandet med tvungen bistand fra amerikanske udbydere. Executive Order 12333 regulerer andre efterretningsaktiviteter, herunder indsamling uden for USA [5].

I Schrems II (C-311/18, 16. juli 2020) fastslog EU-Domstolen, at »neither Section 702 of the FISA, nor E.O. 12333« (hverken FISA Section 702 eller E.O. 12333) gav de minimumsgarantier, som proportionalitetsprincippet kræver (præmis 184). Domstolen fandt også, at ombudsmandsordningen under Privacy Shield ikke gav den enkelte et retsmiddel svarende til chartrets artikel 47 (præmis 197), og erklærede Privacy Shield-afgørelsen ugyldig [5].

Det amerikanske svar var Executive Order 14086 af 7. oktober 2022, der styrkede garantierne for signalefterretning og sammen med en bekendtgørelse fra justitsministeren etablerede en klageordning med Data Protection Review Court (DPRC). Kommissionen byggede på den, da den vedtog tilstrækkelighedsafgørelsen om Data Privacy Framework den 10. juli 2023 [8] [9].

Section 702 i 2026

Section 702 blev senest forlænget i april 2024 med udløb i april 2026. Efter kortvarige forlængelser faldt en yderligere forlængelse i Repræsentanternes Hus, og bestemmelsen udløb den 12. juni 2026. Associated Press rapporterede, at en afgørelse fra Foreign Intelligence Surveillance Court fra marts 2026 »certified the program's renewal for another 12 months« (godkendte programmets fornyelse i yderligere 12 måneder), så indsamlingen ikke forventedes at stoppe med det samme [6]. Brennan Center, et amerikansk policy-institut, skriver, at overvågningen efter Section 702 fortsætter til marts 2027, selv om lovbestemmelsen udløber [7].

Under behandling: Pr. 9. oktober 2026 fandt vi ingen ny forlængelse af Section 702 i kraft. Om Kongressen forlænger den, og med hvilke ændringer, har betydning for Kommissionens løbende kontrol med Data Privacy Framework. Tjek igen, før I bygger på dette afsnit.

3. Hvordan svarer EU-retten på udenlandsk adgang?

EU-retten accepterer ikke en udenlandsk retsafgørelse eller myndighedsbeslutning i sig selv som lovligt grundlag for at udlevere personoplysninger. GDPR artikel 48 fastslår, at sådanne afgørelser kun kan anerkendes eller håndhæves, hvis de bygger på en international aftale som en traktat om gensidig retshjælp, uden at det berører de øvrige grundlag i kapitel V [10].

I deres fælles svar til Europa-Parlamentets LIBE-udvalg af 10. juli 2019 citerede EDPB og EDPS Kommissionens opfattelse, at »Article 48 makes clear that a foreign court order does not, as such, make a transfer lawful under GDPR« (artikel 48 gør det klart, at en udenlandsk retsafgørelse ikke i sig selv gør en overførsel lovlig efter GDPR). De konkluderede, at uden en international aftale eller et andet retsgrundlag »service providers subject to EU law cannot legally base the disclosure and transfer of personal data to the US on such requests« (kan tjenesteudbydere, der er underlagt EU-retten, ikke lovligt basere udlevering og overførsel af personoplysninger til USA på sådanne anmodninger) [11]. De fandt også de fleste grundlag i artikel 6 og artikel 49 uegnede til rutinemæssige anmodninger efter CLOUD Act.

Andre EU-regler peger i samme retning:

• GDPR art. 28, stk. 3, litra a. En databehandler må kun behandle efter dokumenteret instruks fra den dataansvarlige, også hvad angår overførsler, medmindre det kræves i henhold til EU-retten eller medlemsstaternes nationale ret. Et amerikansk påbud er hverken EU-ret eller national ret i en medlemsstat [4].
• Standardkontraktbestemmelserne, klausul 15. Hvor standardkontraktbestemmelserne gælder, skal dataimportøren straks underrette dataeksportøren om en retligt bindende anmodning fra en offentlig myndighed, gøre sit bedste for at opnå dispensation, hvis det er forbudt at give underretning, og registrere anmodningerne (klausul 15.1) [12].
• Dataforordningens art. 32. For andre data end personoplysninger, fx upublicerede forskningsresultater eller institutionelle data, skal cloududbydere træffe »alle passende tekniske, organisatoriske og retlige foranstaltninger, herunder aftaler« for at forhindre tredjelandes statslige adgang, der ville være i strid med EU-retten eller national ret. Udenlandske afgørelser anerkendes kun på grundlag af en international aftale eller, hvis der ikke er en sådan, kun på de betingelser, der er fastsat i art. 32, stk. 3 [13].

Validemics analyse Disse regler skaber en lovkonflikt, ikke et skjold. De gør udlevering ulovlig set fra EU's side og giver kunden ret til at blive underrettet, men de kan ikke forhindre en udbyder i at efterkomme lovgivningen i sit hjemland. Derfor fokuserer nogle myndigheder på teknisk kontrol, fx hvem der har krypteringsnøglerne, frem for alene på aftalevilkår.

4. Hvor Data Privacy Framework står pr. 9. oktober 2026

Tilstrækkelighedsafgørelsen om EU-US Data Privacy Framework (DPF), gennemførelsesafgørelse (EU) 2023/1795, er gældende og dækker overførsler til amerikanske organisationer på DPF-listen. Den adresserer efterretningstjenesters adgang gennem EO 14086 og DPRC og beskriver retshåndhævende myndigheders adgang efter Stored Communications Act, den lov, som CLOUD Act ændrede [9].

• Retten, 3. september 2025. I Latombe mod Kommissionen (T-553/23) afviste Retten søgsmålet. Den fandt DPRC tilstrækkeligt uafhængig og fastslog, at Schrems II som minimum kræver efterfølgende domstolskontrol med masseindsamling, hvilket amerikansk ret giver via DPRC. Retten bemærkede også, at Kommissionen løbende skal overvåge de amerikanske retsregler og kan suspendere, ændre eller ophæve afgørelsen [14].
• Appel, C-703/25 P. Philippe Latombe appellerede den 31. oktober 2025 [15]. Appellen verserer. Vores guide til Data Privacy Framework (på engelsk) følger sagen, herunder at Microsoft blev tilladt at intervenere i juni 2026.
• EDPB. Den 31. juli 2026 skrev EDPB til Kommissionen om den amerikanske højesteretsdom Trump v. Slaughter, der vedrører uafhængigheden af amerikanske myndigheder som FTC [16].

Validemics analyse DPF besvarer overførselsspørgsmålet for amerikanske organisationer på listen. Den besvarer ikke suverænitetsspørgsmålet, som handler om afhængighed, kontinuitet og kontrol. Et universitet kan have et lovligt overførselsgrundlag og alligevel beslutte, at visse data ikke bør være afhængige af en enkelt udbyder uden for EU. For overførselsdelen, se vores skabelon til vurdering af overførsler (TIA) og værktøjet til overførselsgrundlag (på engelsk).

5. Dataresidens er ikke datasuverænitet

Dataresidens betyder, at data lagres og behandles i en valgt region, fx EU. Datasuverænitet handler om, hvilke retssystemer og hvilke organisationer der kan kontrollere, få adgang til eller lukke for dataene og tjenesten. En tjeneste kan opfylde krav om residens, mens operatøren er underlagt lovgivning uden for EU. De to kræver særskilte spørgsmål i en leverandørvurdering.

EDPB's anbefalinger 01/2020 beskriver tydeligt grænsen for tekniske foranstaltninger. For cloudtjenester, der skal have adgang til data i klartekst (use case 6), skrev EDPB, at det var »incapable of envisioning an effective technical measure« (ude af stand til at forestille sig en effektiv teknisk foranstaltning), der kunne forhindre uforholdsmæssig adgang for offentlige myndigheder, givet det aktuelle teknologiske niveau [17]. Derfor er de fleste kontorpakker, der skal kunne læse indholdet for at indeksere, søge og køre AI-funktioner, svære at beskytte med kryptering alene.

6. Hvad de store udbydere tilbyder

Beskrivelserne nedenfor stammer fra den enkelte leverandørs egne sider. Vi vurderer ikke, om de opfylder en bestemt retlig standard; læs aftalevilkårene for jeres plan.

Microsoft: EU Data Boundary og suveræne tilbud

Microsoft beskriver EU Data Boundary som en grænse, inden for hvilken virksomheden forpligter sig til at lagre og behandle kundedata og personoplysninger for sine onlinetjenester til virksomheder, herunder Azure, Dynamics 365, Power Platform og Microsoft 365. Siden oplyser, at disse forpligtelser er »subject to limited circumstances« (underlagt begrænsede undtagelser), hvor data fortsat overføres uden for grænsen, og dokumenterer disse overførsler særskilt. Grænsen omfatter EU- og EFTA-lande. For Microsoft 365 er tenants med en tilmeldingslokation i EU eller EFTA omfattet, men tenants med Multi-Geo Capabilities er ikke [18].

I april 2025 offentliggjorde Microsoft fem »European digital commitments« (europæiske digitale forpligtelser), herunder et løfte om at anfægte ethvert regeringspåbud om at suspendere de europæiske cloudaktiviteter og tilsyn med de europæiske datacentre ved en bestyrelse af europæiske statsborgere [19]. I juni 2025 annoncerede Microsoft Sovereign Public Cloud og Sovereign Private Cloud (begge på det tidspunkt i preview), Microsoft 365 Local, »Data Guardian« (fjernadgang begrænset til medarbejdere bosat i Europa), ekstern nøglehåndtering og nationale partnerclouds som Bleu i Frankrig og Delos Cloud i Tyskland [20].

Et eksempel fra universitetsverdenen viser, hvorfor residensindstillinger skal overvåges. SURF's opdatering fra maj 2026 af konsekvensanalysen for Microsoft 365 Copilot registrerer, at Microsoft i marts 2026 indførte »flex routing«, som muliggør overførsler uden for EU Data Boundary for nye tenants. SURF kontrollerede, at eksisterende tenants i det nederlandske uddannelsessystem ikke var ændret, og tilføjede forholdet som en ny lav risiko [21]. Se også vores faktaark om Microsoft 365 og Microsoft Copilot (på engelsk).

AWS European Sovereign Cloud

AWS annoncerede den 15. januar 2026, at AWS European Sovereign Cloud var generelt tilgængelig, med den første region i Brandenburg i Tyskland. AWS oplyser, at den er fysisk og logisk adskilt fra andre AWS-regioner og drives af personer bosat i EU gennem et nyt moderselskab og tyske datterselskaber ledet af EU-borgere, med »zero operational control outside of EU borders« (ingen operationel kontrol uden for EU's grænser). AWS planlægger suveræne Local Zones i Belgien, Nederlandene og Portugal [22].

Google Clouds suveræne tilbud

Google oplister tre hovedmuligheder. Google Cloud Data Boundary tilbyder residens- og adgangskontroller i den offentlige cloud, herunder kundestyrede og eksternt opbevarede nøgler. Google Cloud Dedicated kører på isoleret infrastruktur, der drives af en lokal partner; i Frankrig drives den af S3NS, en selvstændig fransk enhed med Thales, som ifølge Google er udformet til at opfylde kravene i SecNumCloud. Google Distributed Cloud kører lokalt i forbundet eller fuldt isoleret (air-gapped) tilstand [23]. Se vores faktaark om Google Workspace (på engelsk).

Validemics analyse Datagrænser ændrer primært placering og supportadgang. Separat drevne clouds forsøger at ændre, hvem der kontrollerer operatøren. Kundestyrede nøgler og lokale installationer ændrer, hvem der kan læse dataene. Når en leverandør siger »suveræn«, så spørg, hvilken af disse betydninger der menes, for hvilke tjenester og på hvilken plan.

Er I i gang med at vurdere en leverandør? Validemic gennemgår leverandørens dokumenter i forhold til GDPR og AI-forordningen og angiver kilden til hver vurdering. Prøv demomiljøet

7. Certificering: EUCS og SecNumCloud

Pr. 9. oktober 2026 findes der ingen vedtaget EU-dækkende certificering af »suveræne« cloudtjenester. EU's ordning for cybersikkerhedscertificering af cloudtjenester (EUCS) er stadig en kandidatordning. Den franske SecNumCloud-kvalificering er den mest etablerede nationale mærkning, der udtrykkeligt omfatter beskyttelse mod lovgivning uden for EU.

• EUCS. Kommissionens side om rammen for cybersikkerhedscertificering, senest opdateret 9. september 2026, oplister »European cybersecurity certification scheme for cloud services« blandt de kandidatordninger, ENISA er blevet bedt om at udarbejde, og nævner Common Criteria-ordningen (EUCC) som den første vedtagne ordning [24]. Tidligere udkast, der ville have tilføjet suverænitetskrav, var genstand for en lang debat mellem medlemsstaterne; en endelig ordning kan se anderledes ud.
• SecNumCloud (Frankrig). ANSSI skriver, at SecNumCloud-kvalificerede tilbud skal beskytte følsomme data »face à la menace cybercriminelle et à l'application de lois extraterritoriales« (mod cyberkriminelle trusler og anvendelsen af ekstraterritoriale love), og offentliggør listen over kvalificerede tjenester [25]. CNIL's vejledning til videregående uddannelser af 24. august 2026 nævner SecNumCloud-kvalificering som et eksempel på en måde at sikre, at en udbyder udelukkende er underlagt europæisk ret [26].

8. Hvad regeringer og den offentlige sektor gør

Offentlige organer i flere lande reducerer deres afhængighed af et lille antal udbydere uden for EU. De fleste indsatser sker gradvist, og de angivne begrundelser omfatter kontinuitet og forhandlingsstyrke såvel som databeskyttelse.

• Frankrig. I et svar til parlamentet offentliggjort den 15. november 2022 oplyste undervisningsministeriet, at statens digitaliseringsstyrelse i 2021 havde konstateret, at Office 365 ikke var i overensstemmelse med doktrinen »cloud au centre«, at CNIL havde rådet videregående uddannelsesinstitutioner til at bruge udbydere, der udelukkende er underlagt europæisk ret, og at rektorerne var blevet bedt om at stoppe yderligere udrulning af Microsoft og Google i skolerne [27]. Svaret er fra før Data Privacy Framework fra 2023.
• Tyskland. Et casekatalog fra 2026 fra Digitaliseringsstyrelsen beskriver Schleswig-Holsteins overgang, påbegyndt i 2012, til LibreOffice, Linux, Nextcloud og Open-Xchange med det mål at være fri af alle undtagen nogle få kritiske Microsoft-produkter i 2029; 24.000 af delstatens 30.000 ansatte bruger nu den nye arbejdsplads [28]. ZenDiS, et forbundsfinansieret selskab, udvikler openDesk, en open source-kontorpakke til den offentlige forvaltning [29].
• Danmark. Digitaliseringsstyrelsen oplyser, at finansloven for 2026 afsætter 80 mio. kr. i 2026-2029 til en handlingsplan for digital suverænitet [30]. Styrelsens casekatalog beskriver, hvordan Aarhus Kommune har erstattet Microsoft Azure med den tyske udbyder Hetzner for omkring 60 løsninger i én forvaltning, og en analyse fra Københavns Kommune af omkring 150 kritiske systemer, der blev forelagt Borgerrepræsentationen i december 2025 [28].
• Nederlandene. I september 2026 offentliggjorde den nederlandske regerings rådgivende IT-udvalg (AcICT) en vejledning om offentlige organers brug af cloud. Den første anbefaling er at afveje strategiske afhængigheder omhyggeligt, herunder fastlåsning og exitmuligheder [31].
• Schweiz. De kantonale databeskyttelsesmyndigheder (privatim) vedtog en resolution i november 2025. Den anser udlicitering af særligt følsomme eller lovbestemt hemmelige personoplysninger til store internationale SaaS-tjenester for »in most cases (such as M365)« (i de fleste tilfælde (fx M365)) uacceptabel, medmindre det offentlige organ selv krypterer dataene, og udbyderen ikke har adgang til nøglen [32].
• Sverige. eSam, samarbejdsorganet for svenske offentlige myndigheder, skrev i september 2025, at tilstrækkelighedsafgørelsen for EU og USA gælder, indtil den trækkes tilbage eller annulleres, men ikke nødvendigvis løser spørgsmål om udenlandsk adgang efter ekstraterritoriale love [33].

9. Hvad universiteter og forskningsnetværk gør

Europæiske universiteter følger tre hovedspor: grundige vurderinger af de store amerikanske pakker, opbygning eller indkøb af fælles europæiske alternativer gennem de nationale forsknings- og uddannelsesnetværk (NREN) og, i Nederlandene, en sektordækkende plan for digital autonomi.

Nederlandene: fra åbne breve til en sektorplan

• Breve fra medarbejdere. I marts 2025 skrev to professorer ved Universiteit Utrecht til universitetets bestyrelse, at »The fact that the data is stored on European servers offers no (legal) protection« (det, at dataene lagres på europæiske servere, giver ingen (retlig) beskyttelse), med henvisning til CLOUD Act [34]. Lignende breve fulgte ved Radboud Universiteit (marts 2025) [35] og Rijksuniversiteit Groningen (april 2025) [36]. I et debatoplæg fra december 2025 skrev forfatterne fra Utrecht, at de store udbydere »are subject to American jurisdiction (in particular the Cloud Act)« (er underlagt amerikansk jurisdiktion (navnlig CLOUD Act)) [37].
• Sektorplan. I maj 2026 meddelte Universiteiten van Nederland (UNL), at universiteterne, staten og SURF vil samarbejde om at styrke den digitale autonomi med henvisning til risici for vidensikkerhed, privatliv, kontinuitet og akademiske værdier. Et udvalg skal foreslå fælles indkøbsvilkår, alternativer og internationalt samarbejde med udgangspunkt i en grundlæggende risikovurdering [38]. TU Eindhovens nyhedsside rapporterede, at universiteterne og statssekretæren underskrev en hensigtserklæring i juni 2026 [39].
• SURF. SURF's strategi for cloudindkøb (2024) har datasuverænitet som et af ni temaer og fastslår, at kontrollen med data aldrig overdrages til leverandøren [40]. I november 2025 meddelte SURF, at Nextcloud ville blive tilbudt alle medlemsinstitutioner fra januar 2026, og bemærkede, at »our independence and public values are coming under increasing pressure« (vores uafhængighed og offentlige værdier kommer under stigende pres) [41]. SURF's konsekvensanalyser af Microsoft 365 Copilot er et eksempel på, hvordan en sektororganisation kan vurdere én leverandør på vegne af mange [21].
• Realistiske tidsplaner. Omkring 75 forskere fra fem nederlandske universiteter havde testet Nextcloud siden begyndelsen af 2025, rapporterede Universiteit Utrechts universitetsavis [42]. IT-direktøren ved Universiteit Twente sagde til universitetets avis, at universitetet ikke kan gøre det alene, og beskrev et projekt om en suveræn arbejdsplads med Linux og LibreOffice [43].

Norden

• Sverige. Sunet Drive er en lagrings- og fildelingstjeneste bygget på Nextcloud og Sunets private S3-lagring, placeret på svenske servere. Sunet skriver, at organisationen »har full kontroll över allt lagrat data« (har fuld kontrol over alle lagrede data) [44]. Stockholms universitet tilbyder tjenesten til forskere [45].
• Finland. CSC, det finske IT-center for videnskab, driver tjenester til følsomme data, herunder ePouta, der beskrives som »a secure cloud computing environment designed to process sensitive data« (et sikkert cloudmiljø udformet til at behandle følsomme data) [46].
• Norge. NREC, der drives af universiteterne i Bergen og Oslo med nationale partnere, leverer infrastruktur som en tjeneste fra datacentre i Bergen og Oslo til den videregående uddannelsessektor [47].

Tyskland, Schweiz og Frankrig

• sciebo (Nordrhein-Westfalen). Ved lanceringen i 2015 oplyste Universität Münster, at de deltagende universiteter selv driver sciebo, og at data behandles i Münster, Bonn og Duisburg-Essen [48]. Den nuværende side kalder tjenesten »a non-commercial cloud storage by universities for universities« (en ikke-kommerciel cloudlagring fra universiteter til universiteter) [49].
• bwSync&Share (Baden-Württemberg). Drevet af Karlsruher Institut für Technologie siden 1. januar 2014 på Nextcloud og åben for universiteter i delstaten og, via DFN-Cloud, for andre DFN-medlemmer [50].
• Schweiz. Switch Drive hostes i Switchs datacentre i Schweiz; Switch skriver, at »All IT resources and usage data are located in Switch data centres« (alle IT-ressourcer og brugsdata befinder sig i Switchs datacentre) [51].
• Frankrig. RENATER præsenterer sine samarbejdstjenester som et alternativ til gratis onlinetjenester med en forpligtelse til at »garantir le stockage de vos données en France« (garantere, at jeres data lagres i Frankrig) [52].

Fælleseuropæisk indkøb: GÉANT OCRE

GÉANT's rammeaftale Open Clouds for Research Environments (OCRE) giver de nationale netværk mulighed for at tilbyde kommercielle cloudtjenester til deres medlemmer på forhandlede vilkår. Luxembourgs NREN, Restena, oplyste, at rammeaftalen OCRE 2024 trådte i kraft den 3. februar 2025 og dækker IaaS, PaaS og SaaS, og at der i Luxembourg er syv platforme tilgængelige, en blanding af amerikanske og europæiske udbydere [53]. Spørg jeres NREN, hvilke udbydere der er tilgængelige i jeres land.

Validemics analyse På tværs af landene forlader universiteterne ikke de amerikanske pakker fra den ene dag til den anden. De klassificerer data, holder de mest følsomme forskningsdata i NREN-tjenester eller nationale tjenester, bygger fælles alternativer til fildeling og bruger sektororganisationerne til at forhandle og vurdere. Se vores guide til cloudlagring af forskningsdata og faktaarket om Nextcloud (på engelsk).

10. Sådan vurderer I risikoen

En vurdering af CLOUD Act og suverænitet passer ind i den normale GDPR-proces. Kombinér vurderingen af overførsler for data, der forlader EØS, med en bredere afhængighedsvurdering, der omfatter udenlandsk retlig adgang, kontinuitet og exit. Gør det pr. tjeneste og pr. datatype, ikke én gang for »cloud« som helhed.

1. Kortlæg tjenesten. Aftalepart, driftsenheder, lagrings- og behandlingssteder, underdatabehandlere og supportlokationer. Brug listen over underdatabehandlere, ikke markedsføringssider.
2. Klassificér dataene. Brug institutionens klassifikation, og markér særlige kategorier af oplysninger, lovbestemt hemmelige data, eksportkontrolleret forskning og data omfattet af partneres fortrolighedsvilkår.
3. Identificér overførsler og overførselsgrundlag. Fjernadgang uden for EØS er en overførsel [17]. For amerikanske modtagere: Tjek posten på DPF-listen; ellers brug standardkontraktbestemmelser med en vurdering af overførslen. Vores værktøj til overførselsgrundlag og TIA-skabelon dækker dette trin.
4. Vurdér udenlandsk retlig adgang særskilt. Spørg, om operatøren er underlagt amerikansk (eller anden ikke-europæisk) jurisdiktion, om den kan få adgang til indholdet i klartekst, og hvad den forpligter sig til, når den modtager en anmodning: at underrette jer, anfægte anmodningen, kun udlevere det nødvendige minimum og offentliggøre gennemsigtighedsdata (sammenlign klausul 15 i standardkontraktbestemmelserne) [12].
5. Vurdér de tekniske kontroller. Hvem har nøglerne? Findes der kryptering på klientsiden eller end-to-end-kryptering til de data, der har brug for det? Hvilke funktioner holder op med at virke, når den bruges?
6. Vurdér afhængighed og kontinuitet. Hvad ville der ske, hvis tjenesten blev utilgængelig, meget dyrere eller retligt ubrugelig til visse data? Hvor lang tid ville en migrering tage?
7. Beslut og dokumentér. Registrér restrisikoen, betingelserne for brug (fx »ingen særlige kategorier af oplysninger«), og hvem der har accepteret den. Opdatér konsekvensanalysen, hvor det er nødvendigt; se vores skabelon til konsekvensanalyse.
8. Overvåg. Hold øje med ændringer i hosting, underdatabehandlere, standardindstillinger og amerikansk ret (Section 702, appellen i C-703/25 P, Kommissionens evaluering af DPF). Eksemplet med SURF og flex routing viser, at standardindstillinger kan ændre sig.

Hvor en sektororganisation allerede har vurderet tjenesten (fx SURF's konsekvensanalyser), så tag udgangspunkt i den, og tjek, at jeres konfiguration svarer til dens forudsætninger. For den bredere proces, se leverandørvurdering for universiteter og vores NIS2-guide (på engelsk) samt siden om NIS2-direktivet.

11. Beslutningstabel: hosting efter datatype

Tabellen nedenfor er Validemics analyse, ikke et lovkrav. Den viser et almindeligt mønster, der stemmer overens med standpunkterne i kilderne ovenfor. Jeres nationale ret, forskningskontrakter og institutionens klassifikation har forrang.

AI-funktioner kræver ekstra opmærksomhed, fordi de ofte tilføjer behandlingssteder og underdatabehandlere. Vores guide til nordiske universiteters AI-tjenester (på engelsk) viser, hvordan nogle institutioner selv hoster AI af netop den grund.

12. Exitstrategier

En exitstrategi er en dokumenteret og afprøvet plan for at flytte en tjeneste og dens data til en anden udbyder eller hjem til institutionen inden for en fastsat tid og et fastsat budget. Den er det mest praktiske suverænitetstiltag, fordi den begrænser skaden ved enhver fremtidig ændring i lovgivning, pris eller politik. EU's dataforordning giver nu cloudkunder håndhævelige rettigheder til skift.

Hvad dataforordningen kræver

Kapitel VI i forordning (EU) 2023/2854 har fundet anvendelse siden 12. september 2025 [13]. Udbydere af databehandlingstjenester skal fjerne hindringer for skift (art. 23), og aftalen skal bl.a. indeholde (art. 25, stk. 2):

• et maksimalt opsigelsesvarsel for at påbegynde skiftet på højst to måneder;
• en obligatorisk maksimal overgangsperiode på 30 kalenderdage, hvor udbyderen skal bistå, opretholde kontinuiteten og holde dataene sikre;
• en forpligtelse til at understøtte kundens exitstrategi;
• en udtømmende specifikation af de data og digitale aktiver, der kan overføres;
• en periode til at hente data på mindst 30 kalenderdage efter overgangsperioden;
• fuld sletning af eksporterbare data efter perioden til at hente data.

Hvad angår gebyrer, kunne udbydere fra 11. januar 2024 kun opkræve nedsatte gebyrer for skift, der ikke oversteg de direkte omkostninger. Fra 12. januar 2027 må de ikke opkræve gebyrer for skift (art. 29). Art. 31 undtager visse skræddersyede tjenester og testversioner fra dele af reglerne. Se vores side om dataforordningen.

Sådan bygger I planen

1. Overblik. Tjenester, datamængder, integrationer (single sign-on, læringsplatform, forskningssystemer) og afhængige brugere.
2. Formater. Foretræk åbne formater, og tjek, at eksporter indeholder metadata, rettigheder og versionshistorik.
3. Identitet. Hold identitetsstyringen under institutionel eller fødereret kontrol, så et skift af udbyder ikke betyder et skift af alle brugerkonti.
4. Alternativer. Find mindst ét realistisk alternativ til hver kritisk tjeneste, ofte via jeres NREN eller en national fælles tjeneste.
5. Afprøv. Gennemfør hvert år en delvis eksport og import for et udvalgt institut. En exitplan, der ikke er afprøvet, er et håb, ikke en plan.
6. Budget og tid. Registrér de forventede omkostninger og den forventede varighed af migreringen. Det danske casekatalog viser, at selv en begrænset flytning (omkring 60 løsninger i én forvaltning i Aarhus) tog omkring seks måneder [28].

13. Aftalevilkår, I bør kræve ved indkøb

Aftalevilkår kan ikke ændre, hvilken lovgivning en udbyder er underlagt, men de kan give universitetet information, tid og muligheder. Brug vilkårene nedenfor i udbud og ved fornyelser, tilpasset de nationale udbudsregler. Vores spørgeskemagenerator til leverandører kan omsætte dem til spørgsmål.

Hvor jeres sektororganisation forhandler centralt (SURF, Sikt, Sunet, CSC, Jisc, DFN eller GÉANT via OCRE), så tjek, hvilke af disse vilkår der allerede står i rammeaftalen, før I forhandler på egen hånd. For selve vilkårene efter artikel 28 holder vores tjekker til databehandleraftaler et udkast op mod hvert punkt, og varsler om underdatabehandlere kan hjælpe jer med at opdage ændringer efter underskrift.

14. Tjekliste

Kilder

1. 18 U.S.C. § 2713, Required preservation and disclosure of communications and records, Legal Information Institute (hentet 9. oktober 2026).
2. 18 U.S.C. § 2703, subsection (h), comity analysis, Legal Information Institute (hentet 9. oktober 2026).
3. US Department of Justice: CLOUD Act Resources (hentet 9. oktober 2026).
4. Forordning (EU) 2016/679 (databeskyttelsesforordningen), artikel 28, 32, 44 og 48 (hentet 9. oktober 2026).
5. EU-Domstolens dom af 16. juli 2020, Facebook Ireland og Schrems, C-311/18, præmis 184, 197 og 201, læst via Den Europæiske Unions Publikationskontor (hentet 9. oktober 2026).
6. Associated Press: A key U.S. government surveillance program is set to expire. A look at what that means, 12. juni 2026 (hentet 9. oktober 2026).
7. Brennan Center for Justice: Section 702 of FISA, 2026 resource page, opdateret 17. september 2026 (hentet 9. oktober 2026).
8. EU-Domstolen, pressemeddelelse nr. 106/25 om sag T-553/23, der beskriver EO 14086 af 7. oktober 2022 og DPRC (hentet 9. oktober 2026).
9. Kommissionens gennemførelsesafgørelse (EU) 2023/1795 (EU-US Data Privacy Framework), betragtning 96-97, læst via Den Europæiske Unions Publikationskontor (hentet 9. oktober 2026).
10. GDPR artikel 48, Overførsel eller videregivelse, som ikke er tilladt i henhold til EU-retten (hentet 9. oktober 2026).
11. EDPB-EDPS Joint Response to the LIBE Committee on the impact of the US Cloud Act, bilag dateret 10. juli 2019 (hentet 9. oktober 2026).
12. Kommissionens gennemførelsesafgørelse (EU) 2021/914 (standardkontraktbestemmelser), klausul 15 (hentet 9. oktober 2026).
13. Forordning (EU) 2023/2854 (dataforordningen), artikel 23, 25, 29, 31, 32 og 50, læst via Den Europæiske Unions Publikationskontor (hentet 9. oktober 2026).
14. Retten, Latombe mod Kommissionen, T-553/23, pressemeddelelse af 3. september 2025 (hentet 9. oktober 2026).
15. Appel iværksat den 31. oktober 2025 af Philippe Latombe, sag C-703/25 P, EUT C/2025/6610 (hentet 9. oktober 2026).
16. EDPB Letter to the European Commission on US Supreme Court judgment Trump v. Slaughter, 31. juli 2026 (hentet 9. oktober 2026).
17. EDPB Recommendations 01/2020 on supplementary measures, version 2.0, punkt 13 og use case 6 (hentet 9. oktober 2026).
18. Microsoft Learn: What is the EU Data Boundary? (hentet 9. oktober 2026).
19. Microsoft: Microsoft announces new European digital commitments, Brad Smith, 30. april 2025 (hentet 9. oktober 2026).
20. Microsoft: Announcing comprehensive sovereign solutions empowering European organizations, 16. juni 2025 (hentet 9. oktober 2026).
21. SURF: Privacy risks Microsoft 365 Copilot remain 'orange' despite improvements, 27. maj 2026 (hentet 9. oktober 2026).
22. AWS: AWS Launches AWS European Sovereign Cloud and Announces Expansion Across Europe, 15. januar 2026 (hentet 9. oktober 2026).
23. Google Cloud: Sovereign Cloud (hentet 9. oktober 2026).
24. Europa-Kommissionen: EU Cybersecurity Certification Framework, senest opdateret 9. september 2026 (hentet 9. oktober 2026).
25. ANSSI: SecNumCloud pour les fournisseurs de services cloud (hentet 9. oktober 2026).
26. CNIL: Enseignement supérieur, les règles et bonnes pratiques pour utiliser des outils collaboratifs en ligne, 24. august 2026 (hentet 9. oktober 2026).
27. Assemblée nationale, skriftligt spørgsmål nr. 971 og ministerens svar, svaret offentliggjort 15. november 2022 (hentet 9. oktober 2026).
28. Digitaliseringsstyrelsen: Digital suverænitet, casekatalog (udarbejdet af PA Consulting), januar 2026, case 3, 11 og 13 (hentet 9. oktober 2026).
29. openDesk (ZenDiS) (hentet 9. oktober 2026).
30. Digitaliseringsstyrelsen: Digital suverænitet (hentet 9. oktober 2026).
31. Digitale Overheid: Cloud, herunder AcICT's vejledning om brug af cloud, 8. september 2026 (hentet 9. oktober 2026).
32. privatim: Resolution zu internationalen Cloud-Lösungen og pressemeddelelse, 24. november 2025 (hentet 9. oktober 2026).
33. eSam: Uppdatering kring adekvansbeslutet i en turbulent tid, 26. september 2025 (hentet 9. oktober 2026).
34. Universiteit Utrecht: Open letter to the Executive Board calling for a transformation to digital autonomy, 25. marts 2025 (hentet 9. oktober 2026).
35. Medarbejdere ved Radboud Universiteit: Open letter on dependence on Big Tech, 10. marts 2025 (hentet 9. oktober 2026).
36. Rijksuniversiteit Groningen: Open letter to the Executive Board to end dependence on Big Tech, 10. april 2025 (hentet 9. oktober 2026).
37. Universiteit Utrecht, IOS Think Paper 7: Towards a collective digital autonomy for Dutch universities, december 2025 (hentet 9. oktober 2026).
38. Universiteiten van Nederland: Universiteiten lanceren plan om digitaal autonomer te worden, 6. maj 2026 (hentet 9. oktober 2026).
39. Cursor (TU Eindhoven): Universities and government join forces on digital autonomy, 26. juni 2026 (hentet 9. oktober 2026).
40. SURF: Cloud sourcing strategie, 2024 (hentet 9. oktober 2026).
41. SURF: Education and research move forward with Nextcloud, 24. november 2025 (hentet 9. oktober 2026).
42. DUB (Universiteit Utrecht): Can Dutch universities do without Microsoft?, 24. november 2025 (hentet 9. oktober 2026).
43. U-Today (Universiteit Twente): Breaking free from big tech? UT can't do it alone, 9. december 2025 (hentet 9. oktober 2026).
44. Sunet: Sunet Drive (hentet 9. oktober 2026).
45. Stockholms universitet: Sunet Drive (Nextcloud), opdateret 24. november 2025 (hentet 9. oktober 2026).
46. CSC: Sensitive data services (hentet 9. oktober 2026).
47. NREC: Norwegian Research and Education Cloud (hentet 9. oktober 2026).
48. Universität Münster: pressemeddelelse om lanceringen af sciebo, 28. januar 2015 (hentet 9. oktober 2026).
49. hochschulcloud.nrw: sciebo (hentet 9. oktober 2026).
50. Karlsruher Institut für Technologie: bwSync&Share (hentet 9. oktober 2026).
51. Switch: Switch Drive (hentet 9. oktober 2026).
52. RENATER: Services (hentet 9. oktober 2026).
53. Restena: Cloud suppliers and opportunities for 2025-2029 (GÉANT OCRE 2024), 14. februar 2025 (hentet 9. oktober 2026).

Om denne side

Kilderne er kontrolleret 9. oktober 2026. Vi har læst retsteksterne (US Code via Legal Information Institute; EU-retsakter i de udgaver af EU-Tidende, som Den Europæiske Unions Publikationskontor udgiver), retsdokumenter, sider fra EDPB, Kommissionen og nationale myndigheder, leverandørsider og de universitets- og forskningsnetværkssider, der er nævnt ovenfor. Beskrivelserne af leverandørerne er leverandørernes egne; vi har ikke testet tjenesterne. Citater på andre sprog end dansk gengives på originalsproget med en dansk oversættelse i parentes; oversættelserne er vores egne og ikke ordrette citater. Hvor vi giver vores egen fortolkning, er den markeret som Validemics analyse. Siden er generel information og ikke juridisk rådgivning. Amerikansk overvågningslovgivning, appellen om Data Privacy Framework og EU's certificeringsordning for cloud kan alle ændre sig, og vi opdaterer siden, når det sker. Hvis du finder en fejl eller et forældet punkt, så kontakt os, så retter vi det.