Kan en medarbejder hos jeres udbyder se jeres persondata fra et land uden for EU, regner Datatilsynet det som en overførsel til et tredjeland, også selv om data fysisk ligger i et dansk eller europæisk datacenter. For driften betyder det, at supportmodellen og administratoradgangen er lige så vigtige som placeringen af serverne.
Artiklen handler om opsætningen i driften. Reglerne om overførsel, grundlaget for den og vurderingen af modtagerlandet hører til databeskyttelsen og er gengivet kort. Datatilsynets ord er gengivet forenklet.
Det, Datatilsynet skriver
Ifølge Datatilsynets cloudside tæller al behandling i et tredjeland som overførsel, og det at kunne se data er behandling og tæller derfor med. Siden tager også stilling til data, der ligger i EU, og hvor adgangen er filtreret efter IP-adresse. Kan cloudleverandøren alligevel tilgå oplysningerne fra et tredjeland, fx ved tillægsydelser, service eller support af sin egen infrastruktur, skal reglerne om overførsel til tredjelande stadig følges.
Datatilsynets vejledning om overførsel bruger et eksempel med IT-support, der er lagt ud til Indien. Oplysningerne bliver i EU og gøres tilgængelige ved fjernadgang. Vejledningen behandler også selskaber i samme koncern som to forskellige enheder.
Hvor adgangen sidder i en infrastruktur
For en driftsansvarlig er spørgsmålet, hvem der i praksis kan komme til data, og hvorfra. I en infrastruktur er der fem steder at se efter:
- Udbyderens drift af platformen. Teknikere, der vedligeholder servere, lager og netværk, og som i nogle tilfælde kan se indholdet.
- Udbyderens support. Medarbejdere, der hjælper med jeres sager og kan få adgang til jeres miljø, når I beder om det eller giver lov.
- Jeres egen driftsleverandør. En partner med administratorkonti i jeres miljø, måske med kolleger i andre lande.
- Underleverandører. Tjenester til overvågning, backup eller logning, der modtager data eller har adgang.
- Jeres egne folk. Medarbejdere på rejse eller i et datterselskab uden for EU.
Hver af dem kan være en adgang fra tredjeland. Placeringen af serverne ændrer intet ved det.
Det, I kan få oplyst
Spørg udbyderen og driftsleverandøren om fire ting. Fra hvilke lande kan medarbejdere få adgang til kundernes miljøer? Kræver adgangen jeres godkendelse hver gang? Bliver adgangen logget, og kan I se loggen? Og hvilke underleverandører har adgang, og hvorfra?
Svarene varierer meget mellem udbydere. Nogle oplyser, at support altid gives fra Europa, andre at medarbejdere uden for EU kan få adgang under bestemte betingelser. Hvilke spørgsmål der afslører det, står i Hvem kan logge ind? Skriv svarene ned med dato, for de kan ændre sig.
Det, I selv kan styre
En del af opsætningen ligger hos jer. På infrastruktur, hvor I selv styrer styresystem og adgang, kan I give administratoradgang for en begrænset tid og kun ved en konkret sag. I kan kræve, at adgang sker gennem en bestemt forbindelse, som I logger. Og I kan kryptere data med nøgler, I selv har kontrol over, så en tekniker hos udbyderen ser krypteret indhold. Hvad nøglerne løser, står i Nøgler i cloud: BYOK, HYOK og HSM.
Det er vores vurdering, at sådanne foranstaltninger begrænser adgangen. Spørgsmålet om overførsel står stadig. Om de er tilstrækkelige i jeres tilfælde, afhænger af overførselsgrundlaget og af vurderingen af modtagerlandet. Det er et spørgsmål til jeres databeskyttelsesrådgiver.
USA og Data Privacy Framework
Overførsler til USA kan i dag ske til organisationer, der er certificeret under EU’s afgørelse om Data Privacy Framework fra juli 2023. Rammen blev opretholdt af Retten i september 2025, og afgørelsen er anket til EU-Domstolen i sag C-703/25 P. Appellen er verserende ifølge de seneste oplysninger, vi har, fra oktober 2026. Status skal slås op hos Domstolen den dag, I træffer en beslutning på den.
For driften betyder det, at en supportmodel med adgang fra USA i dag kan bygge på rammen, hvis udbyderen er certificeret. Falder rammen, skal grundlaget findes et andet sted. En opsætning, hvor adgang fra tredjeland er begrænset og logget, er lettere at tilpasse, end en hvor ingen ved, hvem der har adgang.
Hvad det kræver, og hvad det koster at lade være
Kortlægningen af de fem adgangsveje tager en driftsperson en til to dage pr. miljø, hvis udbyderne svarer hurtigt. Opsætning af tidsbegrænset administratoradgang og samlet logning er et lille projekt på nogle uger, afhængigt af hvor mange systemer det omfatter.
Lader I være, kan I have placeret data omhyggeligt i Europa og stadig have en overførsel, ingen har vurderet. Det kan først blive opdaget, når en kunde eller et tilsyn spørger, og så er svaret en kortlægning, der skal laves under tidspres.
Det skal I lade være med
- At sætte lighedstegn mellem placering og adgang · se-adgang fra tredjeland er en overførsel.
- At glemme jeres egen driftsleverandør · dens folk kan også sidde uden for EU.
- At regne kryptering som svaret i alle tilfælde · den begrænser adgang og skal vurderes med grundlaget.
Det skal valget kunne vise
- ☐ Lande, hvorfra udbyder, support og driftsleverandør kan få adgang.
- ☐ Om adgang kræver jeres godkendelse, og om den logges.
- ☐ Underleverandører med adgang, og hvorfra.
- ☐ Overførselsgrundlag for hver adgang fra tredjeland, med dato.
Kilder
- Datatilsynet, siden Cloud: læst 8. november 2026.
- Datatilsynet, Vejledning om overførsel til tredjelande, april 2024: eksemplet om fjernadgang.
- Kommissionens afgørelse (EU) 2023/1795: Data Privacy Framework.
- Appel i sag C-703/25 P, EUT C/2025/6610.
Senest gennemgået: november 2026.
Næste skridt
Spørg jeres udbyder og driftsleverandør, hvorfra deres folk kan få adgang til jeres miljø, og skriv svarene ned.
Læs også: Support: hvem tager telefonen? · Kryptering før upload
→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT
