Den amerikanske CLOUD Act og digital suverenitet: skyvalg for europeiske universiteter og høyskoler (2026)

Mange europeiske universiteter og høyskoler har e-post, dokumenter og forskningslagring på amerikanske skyplattformer, og ansatte spør stadig oftere om amerikanske myndigheter kan få tilgang til dataene. Denne guiden skiller de rettslige fakta fra den politiske debatten: hva CLOUD Act og FISA Section 702 sier, hvordan EU-retten svarer, hva EU-datagrenser og suverene skyer endrer og ikke endrer, hva universiteter og forskningsnett i flere land gjør, og hvordan dere velger driftsløsning etter datatype med en realistisk exitplan.

Publisert 9. oktober 2026 · Kilder kontrollert 9. oktober 2026

Finnes også på: English · Svenska · Nederlands · Suomi · Dansk · Français · Español · Português

Dette er et politisk tema i tillegg til et rettslig. I denne guiden har rettslige utsagn og dokumenterte fakta en kilde. Vår egen lesning av hva de betyr for universiteter og høyskoler, er merket Validemics analyse. Standpunkter fra universiteter, ansattgrupper og myndigheter gjengis som deres standpunkter, ikke som avklart rett.

1. Hva sier CLOUD Act egentlig?

CLOUD Act er en amerikansk lov fra 2018 som pålegger kommunikasjons- og skytilbydere regulert i USA å utlevere data de kontrollerer når de mottar et gyldig amerikansk rettslig pålegg, også når dataene er lagret i utlandet. Den er et verktøy for strafferettslig etterforskning, og den åpnet også for bilaterale avtaler med andre lands myndigheter.

Kjerneregelen står i 18 U.S.C. § 2713, tilføyd 23. mars 2018. En tilbyder av elektroniske kommunikasjonstjenester eller fjerndatatjenester må oppfylle pliktene i Stored Communications Act til å bevare, sikkerhetskopiere eller utlevere kommunikasjon og kundeopplysninger som er i dens «possession, custody, or control», «regardless of whether such communication, record, or other information is located within or outside of the United States» (uansett om kommunikasjonen, opplysningen eller annen informasjon befinner seg i eller utenfor USA) [1].

Tre poenger forsvinner ofte i debatten:

• Det er ingen ny overvåkingshjemmel. Loven utvider eksisterende etterforskningsverktøy etter Stored Communications Act til data lagret i utlandet. Beslutningen om Data Privacy Framework påpeker at lagret innhold som hovedregel krever en rettslig beslutning basert på sannsynlig grunn (probable cause) (fortalepunkt 96) [9].
• Det finnes en begrenset mulighet til å protestere. Etter 18 U.S.C. § 2703(h) kan en tilbyder begjære et pålegg opphevet eller endret når kunden ikke er amerikansk statsborger og ikke bor i USA, og utlevering vil medføre en vesentlig risiko for å bryte lovene til en «qualifying foreign government» (kvalifisert utenlandsk stat). Det begrepet omfatter bare land med en avtale etter loven som gir tilbyderne tilsvarende rettigheter [2].
• Avtaler finnes med enkelte land, ikke med EU. Det amerikanske justisdepartementet oppgir avtaler med Storbritannia (signert 3. oktober 2019) og Australia (15. desember 2021). For EU oppgir departementet en felles uttalelse om forhandlinger fra 2019 og en kunngjøring i 2023 om at forhandlingene skulle gjenopptas [3]. Vi fant ingen inngått avtale mellom EU og USA per 9. oktober 2026.

Validemics analyse Det avgjørende kriteriet for en institusjon er kontroll, ikke lokasjon. Kan en tilbyder underlagt amerikansk jurisdiksjon få tilgang til dataene i brukbar form, er et amerikansk pålegg rettet mot tilbyderen rettslig mulig, uansett hvor serveren står. Hvor ofte dette skjer i praksis med data fra universiteter, er et annet spørsmål som offentlige kilder ikke kan besvare fullt ut.

2. FISA 702, EO 12333 og Schrems II

Den viktigste bekymringen bak Schrems II-dommen var amerikansk etterretningsovervåking, ikke CLOUD Act. Section 702 i Foreign Intelligence Surveillance Act (50 U.S.C. § 1881a) tillater innhenting rettet mot personer som ikke er amerikanske, i utlandet, med pålagt bistand fra amerikanske tilbydere. Executive Order 12333 regulerer annen etterretningsvirksomhet, blant annet innhenting utenfor USA [5].

I Schrems II (C-311/18, 16. juli 2020) kom EU-domstolen til at «neither Section 702 of the FISA, nor E.O. 12333» (verken Section 702 i FISA eller E.O. 12333) ga de minimumsgarantiene som forholdsmessighetsprinsippet krever (avsnitt 184). Domstolen fant også at ombudsordningen i Privacy Shield ikke ga enkeltpersoner et rettsmiddel som svarer til artikkel 47 i pakten (avsnitt 197), og erklærte beslutningen om Privacy Shield ugyldig [5].

Det amerikanske svaret var Executive Order 14086 av 7. oktober 2022, som styrket garantiene for signaletterretning og, sammen med en forskrift fra justisministeren, etablerte en klageordning med blant annet Data Protection Review Court (DPRC). Kommisjonen bygget på dette da den vedtok beslutningen om tilstrekkelig beskyttelsesnivå for Data Privacy Framework 10. juli 2023 [8] [9].

Section 702 i 2026

Section 702 ble sist fornyet i april 2024 med utløp i april 2026. Etter kortsiktige forlengelser falt en ny forlengelse i Representantenes hus, og lovhjemmelen løp ut 12. juni 2026. Associated Press rapporterte at en avgjørelse fra Foreign Intelligence Surveillance Court i mars 2026 «certified the program's renewal for another 12 months» (sertifiserte en fornyelse av programmet for ytterligere 12 måneder), så innhentingen var ikke ventet å stanse umiddelbart [6]. Brennan Center, et amerikansk policyinstitutt, skriver at overvåkingen etter Section 702 vil fortsette til mars 2027 selv om lovhjemmelen faller bort [7].

Under behandling: per 9. oktober 2026 fant vi ingen ny fornyelse av Section 702 i kraft. Om Kongressen fornyer bestemmelsen, og med hvilke endringer, er relevant for Kommisjonens oppfølging av Data Privacy Framework. Kontroller på nytt før dere bygger på dette avsnittet.

3. Hvordan svarer EU-retten på utenlandsk tilgang?

EU-retten godtar ikke et utenlandsk rettslig pålegg eller en utenlandsk myndighetsbeslutning, alene, som lovlig grunnlag for å utlevere personopplysninger. Artikkel 48 i GDPR sier at slike pålegg bare kan anerkjennes eller fullbyrdes hvis de bygger på en internasjonal avtale, for eksempel en avtale om gjensidig rettshjelp, uten at dette berører de andre grunnlagene i kapittel V [10]. GDPR gjelder også i Norge gjennom EØS-avtalen og personopplysningsloven.

I sitt felles svar til Europaparlamentets LIBE-komité av 10. juli 2019 siterte EDPB og EDPS Kommisjonens syn om at «Article 48 makes clear that a foreign court order does not, as such, make a transfer lawful under GDPR» (artikkel 48 gjør det klart at et utenlandsk rettslig pålegg ikke i seg selv gjør en overføring lovlig etter GDPR). De konkluderte med at «service providers subject to EU law cannot legally base the disclosure and transfer of personal data to the US on such requests» (tjenesteytere underlagt EU-retten ikke lovlig kan bygge utlevering og overføring av personopplysninger til USA på slike anmodninger) uten en internasjonal avtale eller et annet rettslig grunnlag [11]. De fant også at de fleste grunnlagene i artikkel 6 og 49 er uegnet for rutinemessige anmodninger etter CLOUD Act.

Andre EU-regler peker i samme retning:

• GDPR art. 28 nr. 3 bokstav a. En databehandler kan bare behandle opplysninger etter dokumenterte instrukser fra den behandlingsansvarlige, også når det gjelder overføringer, med mindre unionsretten eller nasjonal rett krever det. Et amerikansk pålegg er verken unionsrett eller nasjonal rett [4].
• Standard personvernbestemmelser (SCC), klausul 15. Der SCC gjelder, skal importøren straks varsle eksportøren om en rettslig bindende anmodning fra en offentlig myndighet, gjøre sitt beste for å få fritak hvis den er forbudt å varsle, og føre oversikt over anmodninger (klausul 15.1) [12].
• Dataforordningen (Data Act) art. 32. For data som ikke er personopplysninger, som upubliserte forskningsresultater eller institusjonsdata, skal skytilbydere treffe «all adequate technical, organisational and legal measures, including contracts» (alle egnede tekniske, organisatoriske og rettslige tiltak, herunder avtaler) for å hindre tilgang for myndigheter i tredjeland som vil være i strid med EU-retten eller nasjonal rett. Utenlandske pålegg anerkjennes bare på grunnlag av en internasjonal avtale, eller i mangel av en slik bare på vilkårene i art. 32 nr. 3 [13].

Validemics analyse Disse reglene skaper en lovkonflikt, ikke et skjold. De gjør utlevering ulovlig sett fra EU-siden og gir kunden rett til å bli informert, men de kan ikke hindre en tilbyder i å følge lovene i sitt hjemland. Derfor legger enkelte myndigheter vekt på teknisk kontroll, som hvem som har krypteringsnøklene, og ikke bare på avtalevilkår.

4. Status for Data Privacy Framework 9. oktober 2026

Beslutningen om tilstrekkelig beskyttelsesnivå for EU-US Data Privacy Framework (DPF), gjennomføringsbeslutning (EU) 2023/1795, er i kraft og dekker overføringer til amerikanske virksomheter på DPF-listen. Den behandler etterretningstilgang gjennom EO 14086 og DPRC, og den beskriver straffeforfølgende myndigheters tilgang etter Stored Communications Act, loven som CLOUD Act endret [9].

• Underretten, 3. september 2025. I Latombe mot Kommisjonen (T-553/23) forkastet Underretten søksmålet. Den fant DPRC tilstrekkelig uavhengig og kom til at Schrems II som minimum krever etterfølgende domstolskontroll med masseinnhenting, noe amerikansk rett gir gjennom DPRC. Den påpekte også at Kommisjonen løpende må følge med på det amerikanske rettslige rammeverket og kan suspendere, endre eller oppheve beslutningen [14].
• Anke, C-703/25 P. Latombe anket 31. oktober 2025 [15]. Anken er til behandling. Vår guide til Data Privacy Framework (på engelsk) følger saken, blant annet at Microsoft ble tillatt som partshjelper i juni 2026.
• EDPB. 31. juli 2026 skrev Personvernrådet til Kommisjonen om den amerikanske høyesterettsdommen Trump v. Slaughter, som gjelder uavhengigheten til amerikanske etater som FTC [16].

Validemics analyse DPF besvarer overføringsspørsmålet for amerikanske virksomheter på listen. Den besvarer ikke suverenitetsspørsmålet, som handler om avhengighet, kontinuitet og kontroll. En institusjon kan ha et lovlig overføringsgrunnlag og likevel bestemme at enkelte data ikke bør være avhengige av én enkelt leverandør utenfor EU/EØS. For overføringssiden, se vår TIA-mal og verktøyet for overføringsgrunnlag.

5. Datalokasjon er ikke datasuverenitet

Datalokasjon betyr at data lagres og behandles i en valgt region, som EU. Datasuverenitet spør hvilke rettssystemer og hvilke organisasjoner som kan kontrollere, få tilgang til eller slå av dataene og tjenesten. En tjeneste kan oppfylle krav til lokasjon mens driftsoperatøren fortsatt er underlagt lover utenfor EU. De to krever egne spørsmål i en leverandørvurdering.

Personvernrådets anbefalinger 01/2020 beskriver tydelig grensen for tekniske tiltak. For skytjenester som trenger tilgang til data i klartekst (brukstilfelle 6), skrev Personvernrådet at det var «incapable of envisioning an effective technical measure» (ute av stand til å se for seg et effektivt teknisk tiltak) for å hindre uforholdsmessig tilgang for offentlige myndigheter, gitt dagens teknologi [17]. Derfor er de fleste kontorpakker, som må lese innhold for å indeksere, søke og kjøre KI-funksjoner, vanskelige å beskytte med kryptering alene.

6. Hva de store leverandørene tilbyr

Beskrivelsene nedenfor er hentet fra leverandørenes egne sider. Vi vurderer ikke om de oppfyller en bestemt rettslig standard; les avtalevilkårene for deres abonnement.

Microsoft: EU Data Boundary og suverene tilbud

Microsoft beskriver EU Data Boundary som en grense der selskapet forplikter seg til å lagre og behandle kundedata og personopplysninger for sine bedriftstjenester på nett, blant annet Azure, Dynamics 365, Power Platform og Microsoft 365. Siden sier at forpliktelsene er «subject to limited circumstances» (underlagt begrensede unntak) der data fortsatt overføres ut av grensen, og dokumenterer disse overføringene separat. Grensen omfatter EU- og EFTA-land. For Microsoft 365 er tenanter med registreringssted i EU eller EFTA omfattet, men tenanter med Multi-Geo Capabilities er det ikke [18].

I april 2025 publiserte Microsoft fem «European digital commitments» (europeiske digitale forpliktelser), blant annet et løfte om å bestride ethvert myndighetspålegg om å stanse den europeiske skydriften og tilsyn med europeiske datasentre ved et styre av europeiske statsborgere [19]. I juni 2025 kunngjorde selskapet Sovereign Public Cloud og Sovereign Private Cloud (begge i forhåndsversjon på det tidspunktet), Microsoft 365 Local, «Data Guardian» (fjerntilgang begrenset til ansatte bosatt i Europa), ekstern nøkkelhåndtering og nasjonale partnerskyer som Bleu i Frankrike og Delos Cloud i Tyskland [20].

Et eksempel fra universitetssektoren viser hvorfor innstillinger for datalokasjon må følges opp. SURFs oppdatering i mai 2026 av DPIA-en for Microsoft 365 Copilot registrerer at Microsoft i mars 2026 innførte «flex routing», som åpner for overføringer ut av EU Data Boundary for nye tenanter. SURF kontrollerte at eksisterende nederlandske tenanter i utdanningssektoren ikke var endret, og la til forholdet som en ny lav risiko [21]. Se også våre faktaark om Microsoft 365 og Microsoft Copilot.

AWS European Sovereign Cloud

AWS kunngjorde at AWS European Sovereign Cloud ble allment tilgjengelig 15. januar 2026, med første region i Brandenburg i Tyskland. AWS sier at den er fysisk og logisk atskilt fra andre AWS-regioner og driftes av personer bosatt i EU gjennom et nytt morselskap og tyske datterselskaper ledet av EU-borgere, med «zero operational control outside of EU borders» (ingen operativ kontroll utenfor EUs grenser). Selskapet planlegger suverene Local Zones i Belgia, Nederland og Portugal [22].

Google Clouds suverene tilbud

Google oppgir tre hovedalternativer. Google Cloud Data Boundary gir lokasjons- og tilgangskontroll i den offentlige skyen, blant annet kundestyrte og eksternt lagrede nøkler. Google Cloud Dedicated kjører på isolert infrastruktur driftet av en lokal partner; i Frankrike driftes den av S3NS, et selvstendig fransk selskap med Thales, som Google sier er utformet for å oppfylle kravene i SecNumCloud. Google Distributed Cloud kjører lokalt hos kunden, tilkoblet eller fullstendig frakoblet [23]. Se vårt faktaark om Google Workspace.

Validemics analyse Datagrenser endrer hovedsakelig lokasjon og supporttilgang. Separat driftede skyer forsøker å endre hvem som kontrollerer driftsoperatøren. Nøkler hos kunden og lokal drift endrer hvem som kan lese dataene. Når en leverandør sier «suveren», spør hva av dette den mener, for hvilke tjenester og for hvilket abonnement.

Vurderer du en leverandør akkurat nå? Validemic går gjennom leverandørens dokumenter opp mot GDPR og KI-forordningen og oppgir kilde for hver vurdering. Prøv demomiljøet

7. Sertifisering: EUCS og SecNumCloud

Per 9. oktober 2026 finnes det ingen vedtatt EU-felles sertifisering av «suverene» skytjenester. EUs cybersikkerhetsordning for skytjenester (EUCS) er fortsatt en kandidatordning. Den franske SecNumCloud-kvalifiseringen er den mest etablerte nasjonale merkeordningen som uttrykkelig omfatter beskyttelse mot lover utenfor EU.

• EUCS. Kommisjonens side om rammeverket for cybersikkerhetssertifisering, sist oppdatert 9. september 2026, oppgir «European cybersecurity certification scheme for cloud services» blant kandidatordningene ENISA ble bedt om å utarbeide, og nevner Common Criteria-ordningen (EUCC) som den første vedtatte ordningen [24]. Tidligere utkast som ville ha lagt til suverenitetskrav, var gjenstand for lang debatt mellom medlemsstatene; en endelig ordning kan bli annerledes.
• SecNumCloud (Frankrike). ANSSI sier at SecNumCloud-kvalifiserte tilbud skal beskytte sensitive data «face à la menace cybercriminelle et à l'application de lois extraterritoriales» (mot trusselen fra nettkriminalitet og anvendelse av ekstraterritoriale lover), og publiserer listen over kvalifiserte tjenester [25]. CNILs veiledning for høyere utdanning, datert 24. august 2026, nevner SecNumCloud-kvalifisering som et eksempel på hvordan man kan sikre at en leverandør utelukkende er underlagt europeisk rett [26].

8. Hva myndigheter og offentlig sektor gjør

Offentlige organer i flere land reduserer avhengigheten av et lite antall leverandører utenfor EU. De fleste tiltakene er gradvise, og begrunnelsene omfatter kontinuitet og forhandlingsmakt i tillegg til personvern.

• Frankrike. I et skriftlig svar til nasjonalforsamlingen publisert 15. november 2022 skrev utdanningsdepartementet at statens digitaliseringsetat i 2021 hadde funnet at Office 365 ikke var i samsvar med doktrinen «cloud au centre», at CNIL hadde rådet høyere utdanningsinstitusjoner til å bruke leverandører som utelukkende er underlagt europeisk rett, og at rektorene var bedt om å stanse videre utrulling av Microsoft og Google i skolen [27]. Svaret er fra før Data Privacy Framework i 2023.
• Tyskland. En casekatalog fra 2026 fra det danske Digitaliseringsstyrelsen beskriver hvordan Schleswig-Holstein siden 2012 har gått over til LibreOffice, Linux, Nextcloud og Open-Xchange, med mål om å være fri for alle unntatt noen få kritiske Microsoft-produkter innen 2029; 24 000 av 30 000 ansatte i delstaten bruker nå den nye arbeidsflaten [28]. ZenDiS, et føderalt finansiert selskap, utvikler openDesk, en kontorpakke med åpen kildekode for offentlig forvaltning [29].
• Danmark. Digitaliseringsstyrelsen oppgir at finansloven for 2026 setter av DKK 80 millioner for 2026 til 2029 til en handlingsplan for digital suverenitet [30]. Casekatalogen beskriver hvordan Aarhus kommune erstattet Microsoft Azure med den tyske leverandøren Hetzner for rundt 60 løsninger i én forvaltning, og en analyse fra Københavns kommune av rundt 150 kritiske systemer som ble lagt frem for bystyret i desember 2025 [28].
• Nederland. I september 2026 publiserte den nederlandske regjeringens rådgivende organ for IKT-vurdering (AcICT) veiledning om bruk av sky i offentlige organer. Den første anbefalingen er å veie strategiske avhengigheter nøye, blant annet innlåsing og exitmuligheter [31].
• Sveits. De kantonale personvernmyndighetene (privatim) vedtok en resolusjon i november 2025. Den anser utkontraktering av særlig sensitive eller lovbestemt hemmelige personopplysninger til store internasjonale SaaS-tjenester som utillatt «in most cases (such as M365)» (i de fleste tilfeller, som M365), med mindre det offentlige organet selv krypterer dataene og leverandøren ikke har tilgang til nøkkelen [32].
• Sverige. eSam, samarbeidsorganet for svenske statlige etater, skrev i september 2025 at beslutningen om tilstrekkelig beskyttelsesnivå for USA gjelder til den trekkes tilbake eller annulleres, men at den ikke nødvendigvis løser spørsmål om utenlandsk tilgang etter ekstraterritoriell lovgivning [33].

9. Hva universiteter og forskningsnett gjør

Europeiske universiteter følger tre hovedspor: grundige vurderinger av de store amerikanske pakkene, bygging eller kjøp av felles europeiske alternativer gjennom de nasjonale forsknings- og utdanningsnettene (NREN), og, i Nederland, en plan for digital autonomi for hele sektoren.

Nederland: fra åpne brev til en sektorplan

• Brev fra ansatte. I mars 2025 skrev to professorer ved Universiteit Utrecht til universitetsstyret at «The fact that the data is stored on European servers offers no (legal) protection» (at dataene lagres på europeiske servere, gir ingen (rettslig) beskyttelse), med henvisning til CLOUD Act [34]. Lignende brev fulgte ved Radboud Universiteit (mars 2025) [35] og Rijksuniversiteit Groningen (april 2025) [36]. I et diskusjonsnotat fra desember 2025 skrev forfatterne fra Utrecht at de store leverandørene «are subject to American jurisdiction (in particular the Cloud Act)» (er underlagt amerikansk jurisdiksjon, særlig CLOUD Act) [37].
• Sektorplan. I mai 2026 kunngjorde Universiteiten van Nederland (UNL) at universitetene, staten og SURF skal samarbeide om å styrke den digitale autonomien, med henvisning til risiko for kunnskapssikkerhet, personvern, kontinuitet og akademiske verdier. Et utvalg skal foreslå felles innkjøpsvilkår, alternativer og internasjonalt samarbeid, med en innledende risikovurdering som utgangspunkt [38]. Nyhetssiden til TU Eindhoven meldte at universitetene og statssekretæren signerte en intensjonserklæring i juni 2026 [39].
• SURF. SURFs strategi for skyanskaffelser (2024) har datasuverenitet som ett av ni temaer og sier at kontrollen over dataene aldri overføres til leverandøren [40]. I november 2025 kunngjorde SURF at organisasjonen ville tilby Nextcloud til alle medlemsinstitusjonene fra januar 2026, og påpekte at «our independence and public values are coming under increasing pressure» (vår uavhengighet og våre offentlige verdier kommer under økende press) [41]. SURFs DPIA-er om Microsoft 365 Copilot er et forbilde for hvordan et sektororgan kan vurdere én leverandør på vegne av mange [21].
• Realistiske tidslinjer. Rundt 75 forskere fra fem nederlandske universiteter hadde testet Nextcloud siden tidlig i 2025, ifølge universitetsavisen i Utrecht [42]. IT-direktøren ved Universiteit Twente sa til universitetsavisen at universitetet ikke kan gjøre dette alene, og beskrev et prosjekt for en suveren arbeidsflate med Linux og LibreOffice [43].

Norden

• Norge. NREC, som driftes av Universitetet i Bergen og Universitetet i Oslo med nasjonale partnere, leverer infrastruktur som tjeneste (IaaS) fra datasentre i Bergen og Oslo for universitets- og høyskolesektoren [47].
• Sverige. Sunet Drive er en tjeneste for lagring og fildeling bygget på Nextcloud og Sunets private S3-lagring, plassert på svenske servere. Sunet skriver at organisasjonen «har full kontroll över allt lagrat data» (har full kontroll over alle lagrede data) [44]. Stockholms universitet tilbyr tjenesten til forskere [45].
• Finland. CSC, det finske IT-senteret for vitenskap, driver tjenester for sensitive data, blant annet ePouta, beskrevet som «a secure cloud computing environment designed to process sensitive data» (et sikkert skymiljø utformet for å behandle sensitive data) [46].

Tyskland, Sveits og Frankrike

• sciebo (Nordrhein-Westfalen). Da tjenesten ble lansert i 2015, sa Universität Münster at de deltakende universitetene drifter sciebo selv, med databehandling i Münster, Bonn og Duisburg-Essen [48]. Dagens nettsted kaller den «a non-commercial cloud storage by universities for universities» (en ikke-kommersiell skylagring laget av universiteter for universiteter) [49].
• bwSync&Share (Baden-Württemberg). Driftet av Karlsruher Institut für Technologie siden 1. januar 2014 på Nextcloud, og åpen for universiteter i delstaten og, via DFN-Cloud, for andre DFN-medlemmer [50].
• Sveits. Switch Drive driftes i Switchs datasentre i Sveits; Switch skriver at «All IT resources and usage data are located in Switch data centres» (alle IT-ressurser og bruksdata befinner seg i Switchs datasentre) [51].
• Frankrike. RENATER presenterer sine samarbeidstjenester som et alternativ til gratis nettjenester, med en forpliktelse om å «garantir le stockage de vos données en France» (garantere at dataene deres lagres i Frankrike) [52].

Felleseuropeiske anskaffelser: GÉANT OCRE

GÉANTs rammeavtale Open Clouds for Research Environments (OCRE) lar NREN-ene tilby kommersielle skytjenester til sine medlemmer på forhåndsforhandlede vilkår. Luxembourgs NREN Restena meldte at rammeavtalen OCRE 2024 trådte i kraft 3. februar 2025 og omfatter IaaS, PaaS og SaaS, og at sju plattformer fortsatt er tilgjengelige i Luxembourg, en blanding av amerikanske og europeiske leverandører [53]. Spør deres NREN, i Norge Sikt, hvilke leverandører som er tilgjengelige.

Validemics analyse På tvers av land forlater ikke universitetene de amerikanske pakkene over natten. De klassifiserer data, holder de mest sensitive forskningsdataene i NREN-tjenester eller nasjonale tjenester, bygger felles alternativer for fildeling og bruker sektororganene til å forhandle og vurdere. Se vår guide til skylagring av forskningsdata og faktaarket om Nextcloud.

10. Slik vurderer dere risikoen

En vurdering av CLOUD Act og suverenitet passer inn i den vanlige GDPR-prosessen. Kombiner vurderingen av overføringer for data som forlater EØS med en bredere vurdering av avhengighet som dekker utenlandsk rettslig tilgang, kontinuitet og exit. Gjør det per tjeneste og per datatype, ikke én gang for «skyen».

1. Kartlegg tjenesten. Avtalepart, driftsselskaper, lagrings- og behandlingssteder, underdatabehandlere og supportlokasjoner. Bruk listen over underdatabehandlere, ikke markedsføringssider.
2. Klassifiser dataene. Bruk institusjonens klassifisering og marker særlige kategorier, opplysninger underlagt taushetsplikt, eksportkontrollert forskning og data underlagt partneres konfidensialitetsvilkår.
3. Identifiser overføringer og overføringsgrunnlag. Fjerntilgang fra land utenfor EØS regnes som overføring [17]. For amerikanske mottakere, sjekk oppføringen på DPF-listen; ellers brukes SCC med en vurdering av overføringen (TIA). Vårt verktøy for overføringsgrunnlag og TIA-malen dekker dette trinnet.
4. Vurder utenlandsk rettslig tilgang særskilt. Spør om driftsoperatøren er underlagt amerikansk (eller annen ikke-europeisk) jurisdiksjon, om den har tilgang til innhold i klartekst, og hva den forplikter seg til ved en anmodning: å varsle dere, bestride den, utlevere bare det minimale og publisere åpenhetsdata (sammenlign SCC klausul 15) [12].
5. Vurder tekniske tiltak. Hvem har nøklene? Finnes kryptering på klientsiden eller ende-til-ende-kryptering for dataene som trenger det? Hvilke funksjoner slutter å virke når den brukes?
6. Vurder avhengighet og kontinuitet. Hva skjer hvis tjenesten blir utilgjengelig, mye dyrere eller rettslig ubrukelig for enkelte data? Hvor lang tid vil en migrering ta?
7. Beslutt og dokumenter. Dokumenter restrisikoen, vilkårene for bruk (for eksempel «ingen særlige kategorier») og hvem som aksepterte den. Oppdater DPIA-en der det trengs; se vår DPIA-mal eller den norske DPIA-malen.
8. Følg opp. Følg med på endringer i drift, underdatabehandlere, standardinnstillinger og amerikansk rett (Section 702, anken i C-703/25 P, Kommisjonens gjennomgang av DPF). Eksemplet med flex routing fra SURF viser at standardinnstillinger kan endres.

Der et sektororgan allerede har vurdert tjenesten (for eksempel SURFs DPIA-er), start derfra og kontroller at deres konfigurasjon samsvarer med forutsetningene. For den bredere prosessen, se leverandørvurdering for universiteter og vår NIS2-guide (på engelsk).

11. Beslutningstabell: driftsløsning etter datatype

Tabellen nedenfor er Validemics analyse, ikke et rettslig krav. Den viser et vanlig mønster som samsvarer med standpunktene i kildene ovenfor. Nasjonal rett, forskningsavtaler og institusjonens klassifisering går foran.

KI-funksjoner krever ekstra oppmerksomhet, fordi de ofte legger til behandlingssteder og underdatabehandlere. Vår guide om KI-tjenester ved nordiske universiteter (på engelsk) viser hvordan enkelte institusjoner drifter KI selv av denne grunnen.

12. Exitstrategier

En exitstrategi er en dokumentert og testet plan for å flytte en tjeneste og dataene til en annen leverandør eller til egen drift innen en fastsatt tid og et fastsatt budsjett. Det er det mest praktiske suverenitetstiltaket, fordi det begrenser skadevirkningene av enhver fremtidig endring i lov, pris eller politikk. EUs dataforordning gir nå skykunder håndhevbare rettigheter til å bytte leverandør.

Hva dataforordningen krever

Kapittel VI i forordning (EU) 2023/2854 har gjeldt i EU siden 12. september 2025 [13]. Se siden om dataforordningen for status i Norge og EØS. Tilbydere av databehandlingstjenester må fjerne hindringer for bytte (art. 23), og avtalen skal blant annet inneholde (art. 25 nr. 2):

• en oppsigelsesfrist for å starte byttet på høyst to måneder;
• en obligatorisk overgangsperiode på høyst 30 kalenderdager, der tilbyderen skal bistå, opprettholde kontinuiteten og holde dataene sikre;
• en plikt til å støtte kundens exitstrategi;
• en uttømmende angivelse av data og digitale ressurser som kan flyttes;
• en periode for uthenting av data på minst 30 kalenderdager etter overgangsperioden;
• full sletting av data som kan eksporteres, etter uthentingsperioden.

Når det gjelder gebyrer, kunne tilbyderne fra 11. januar 2024 bare kreve reduserte byttegebyrer som ikke oversteg de direkte kostnadene. Fra 12. januar 2027 kan de ikke kreve noen byttegebyrer (art. 29). Art. 31 unntar enkelte skreddersydde tjenester og testversjoner fra deler av reglene.

Slik bygger dere planen

1. Oversikt. Tjenester, datamengder, integrasjoner (felles innlogging, læringsplattform, forskningssystemer) og avhengige brukere.
2. Formater. Foretrekk åpne formater, og kontroller at eksporten omfatter metadata, tilganger og versjonshistorikk.
3. Identitet. Hold identitetsforvaltningen under institusjonens eller føderasjonens kontroll, slik at et leverandørbytte ikke betyr at alle brukerkontoer må endres.
4. Alternativer. Identifiser minst ett realistisk alternativ per kritisk tjeneste, ofte gjennom NREN-en eller en nasjonal fellestjeneste.
5. Test. Gjennomfør en delvis eksport og import hvert år for en utvalgt avdeling. En exitplan som ikke er testet, er et håp, ikke en plan.
6. Budsjett og tid. Dokumenter forventet kostnad og varighet for migreringen. Den danske casekatalogen viser at selv en begrenset flytting (rundt 60 løsninger i én forvaltning i Aarhus) tok omtrent seks måneder [28].

13. Avtalevilkår dere bør be om

Avtalevilkår kan ikke endre hvilke lover som gjelder for en leverandør, men de kan gi institusjonen informasjon, tid og valgmuligheter. Bruk vilkårene nedenfor i konkurranser og ved fornyelser, tilpasset nasjonale anskaffelsesregler. Vårt verktøy for spørreskjema til leverandører kan gjøre dem om til spørsmål.

Der sektororganet forhandler sentralt (Sikt, SURF, Sunet, CSC, Jisc, DFN eller GÉANT gjennom OCRE), sjekk hvilke av disse vilkårene som allerede står i rammeavtalen før dere forhandler alene. For selve vilkårene etter artikkel 28 sammenholder vår sjekker for databehandleravtaler et utkast punkt for punkt, og varsler om underdatabehandlere kan hjelpe dere å oppdage endringer etter signering.

14. Sjekkliste

Kilder

1. 18 U.S.C. § 2713, Required preservation and disclosure of communications and records, Legal Information Institute (hentet 9. oktober 2026).
2. 18 U.S.C. § 2703, subsection (h), comity analysis, Legal Information Institute (hentet 9. oktober 2026).
3. US Department of Justice: CLOUD Act Resources (hentet 9. oktober 2026).
4. Forordning (EU) 2016/679 (GDPR), artikkel 28, 32, 44 og 48 (hentet 9. oktober 2026).
5. EU-domstolen, dom av 16. juli 2020, Facebook Ireland og Schrems, C-311/18, avsnitt 184, 197 og 201, lest via EUs publikasjonskontor (hentet 9. oktober 2026).
6. Associated Press: A key U.S. government surveillance program is set to expire. A look at what that means, 12. juni 2026 (hentet 9. oktober 2026).
7. Brennan Center for Justice: Section 702 of FISA, 2026 resource page, oppdatert 17. september 2026 (hentet 9. oktober 2026).
8. EU-domstolen, pressemelding nr. 106/25 i sak T-553/23, som beskriver EO 14086 av 7. oktober 2022 og DPRC (hentet 9. oktober 2026).
9. Kommisjonens gjennomføringsbeslutning (EU) 2023/1795 (EU-US Data Privacy Framework), fortalepunkt 96 til 97, lest via EUs publikasjonskontor (hentet 9. oktober 2026).
10. GDPR artikkel 48, overføringer eller utleveringer som ikke er tillatt etter unionsretten (hentet 9. oktober 2026).
11. EDPB-EDPS Joint Response to the LIBE Committee on the impact of the US Cloud Act, vedlegg datert 10. juli 2019 (hentet 9. oktober 2026).
12. Kommisjonens gjennomføringsbeslutning (EU) 2021/914 (standard personvernbestemmelser), klausul 15 (hentet 9. oktober 2026).
13. Forordning (EU) 2023/2854 (dataforordningen, Data Act), artikkel 23, 25, 29, 31, 32 og 50, lest via EUs publikasjonskontor (hentet 9. oktober 2026).
14. Underretten, Latombe mot Kommisjonen, T-553/23, pressemelding av 3. september 2025 (hentet 9. oktober 2026).
15. Anke inngitt 31. oktober 2025 av Philippe Latombe, sak C-703/25 P, EUT C/2025/6610 (hentet 9. oktober 2026).
16. EDPB Letter to the European Commission on US Supreme Court judgment Trump v. Slaughter, 31. juli 2026 (hentet 9. oktober 2026).
17. EDPB Recommendations 01/2020 on supplementary measures, versjon 2.0, avsnitt 13 og brukstilfelle 6 (hentet 9. oktober 2026).
18. Microsoft Learn: What is the EU Data Boundary? (hentet 9. oktober 2026).
19. Microsoft: Microsoft announces new European digital commitments, Brad Smith, 30. april 2025 (hentet 9. oktober 2026).
20. Microsoft: Announcing comprehensive sovereign solutions empowering European organizations, 16. juni 2025 (hentet 9. oktober 2026).
21. SURF: Privacy risks Microsoft 365 Copilot remain 'orange' despite improvements, 27. mai 2026 (hentet 9. oktober 2026).
22. AWS: AWS Launches AWS European Sovereign Cloud and Announces Expansion Across Europe, 15. januar 2026 (hentet 9. oktober 2026).
23. Google Cloud: Sovereign Cloud (hentet 9. oktober 2026).
24. Europakommisjonen: EU Cybersecurity Certification Framework, sist oppdatert 9. september 2026 (hentet 9. oktober 2026).
25. ANSSI: SecNumCloud pour les fournisseurs de services cloud (hentet 9. oktober 2026).
26. CNIL: Enseignement supérieur, les règles et bonnes pratiques pour utiliser des outils collaboratifs en ligne, 24. august 2026 (hentet 9. oktober 2026).
27. Assemblée nationale, skriftlig spørsmål nr. 971 og departementets svar, svaret publisert 15. november 2022 (hentet 9. oktober 2026).
28. Digitaliseringsstyrelsen: Digital suverænitet, casekatalog (utarbeidet av PA Consulting), januar 2026, case 3, 11 og 13 (hentet 9. oktober 2026).
29. openDesk (ZenDiS) (hentet 9. oktober 2026).
30. Digitaliseringsstyrelsen: Digital suverænitet (hentet 9. oktober 2026).
31. Digitale Overheid: Cloud, med AcICTs veiledning om skybruk, 8. september 2026 (hentet 9. oktober 2026).
32. privatim: resolusjon om internasjonale skyløsninger og pressemelding, 24. november 2025 (hentet 9. oktober 2026).
33. eSam: Uppdatering kring adekvansbeslutet i en turbulent tid, 26. september 2025 (hentet 9. oktober 2026).
34. Universiteit Utrecht: Open letter to the Executive Board calling for a transformation to digital autonomy, 25. mars 2025 (hentet 9. oktober 2026).
35. Ansatte ved Radboud Universiteit: Open letter on dependence on Big Tech, 10. mars 2025 (hentet 9. oktober 2026).
36. Rijksuniversiteit Groningen: Open letter to the Executive Board to end dependence on Big Tech, 10. april 2025 (hentet 9. oktober 2026).
37. Universiteit Utrecht, IOS Think Paper 7: Towards a collective digital autonomy for Dutch universities, desember 2025 (hentet 9. oktober 2026).
38. Universiteiten van Nederland: Universiteiten lanceren plan om digitaal autonomer te worden, 6. mai 2026 (hentet 9. oktober 2026).
39. Cursor (TU Eindhoven): Universities and government join forces on digital autonomy, 26. juni 2026 (hentet 9. oktober 2026).
40. SURF: Cloud sourcing strategie, 2024 (hentet 9. oktober 2026).
41. SURF: Education and research move forward with Nextcloud, 24. november 2025 (hentet 9. oktober 2026).
42. DUB (Universiteit Utrecht): Can Dutch universities do without Microsoft?, 24. november 2025 (hentet 9. oktober 2026).
43. U-Today (Universiteit Twente): Breaking free from big tech? UT can't do it alone, 9. desember 2025 (hentet 9. oktober 2026).
44. Sunet: Sunet Drive (hentet 9. oktober 2026).
45. Stockholms universitet: Sunet Drive (Nextcloud), oppdatert 24. november 2025 (hentet 9. oktober 2026).
46. CSC: Sensitive data services (hentet 9. oktober 2026).
47. NREC: Norwegian Research and Education Cloud (hentet 9. oktober 2026).
48. Universität Münster: pressemelding om lanseringen av sciebo, 28. januar 2015 (hentet 9. oktober 2026).
49. hochschulcloud.nrw: sciebo (hentet 9. oktober 2026).
50. Karlsruher Institut für Technologie: bwSync&Share (hentet 9. oktober 2026).
51. Switch: Switch Drive (hentet 9. oktober 2026).
52. RENATER: Services (hentet 9. oktober 2026).
53. Restena: Cloud suppliers and opportunities for 2025-2029 (GÉANT OCRE 2024), 14. februar 2025 (hentet 9. oktober 2026).

Om denne siden

Kildene er kontrollert 9. oktober 2026. Vi har lest rettstekstene (United States Code via Legal Information Institute; EU-rettsakter i versjonene i Den europeiske unions tidende publisert av EUs publikasjonskontor), domstolsdokumenter, sider fra Personvernrådet, Kommisjonen og nasjonale myndigheter, leverandørsider og sidene til universitetene og forskningsnettene som er oppført ovenfor. Sitater på andre språk er gjengitt i original med vår norske oversettelse i parentes; oversettelsene er ikke ordrette sitater. Beskrivelsene av leverandørene er leverandørenes egne; vi har ikke testet tjenestene. Der vi gir vår egen tolkning, er den merket som Validemics analyse. Siden er generell informasjon, ikke juridisk rådgivning. Amerikansk overvåkingslovgivning, anken om Data Privacy Framework og EUs sertifiseringsordning for skytjenester kan alle endres, og vi oppdaterer siden når det skjer. Ser du en feil eller noe som er utdatert, ta kontakt med oss, så retter vi det.