Microsofts EU Data Boundary og digital suverænitet

Microsofts EU Data Boundary er designet til at imødekomme europæiske krav om digital suverænitet og datalokalisering. Her er, hvad initiativet dækker:

• Datalokalisering i EU:
  1. Personoplysninger (som defineret af GDPR) for kunder i EU/EØS opbevares og behandles udelukkende inden for EU’s grænser.
  2. Dækker tjenester som Azure, Microsoft 365 (Exchange, SharePoint, Teams), Dynamics 365 og Power Platform.
  3. Undtagelse: Nogle metadata (f.eks. logfiler til support) kan stadig sendes ud af EU, men Microsoft hævder, at disse er pseudonymiserede.

• Adgangskontrol:
  1. Data i EU kan kun tilgås af Microsoft-medarbejdere, der er fysisk placeret i EU, medmindre kunden giver eksplicit samtykke (f.eks. til global support).

• Overholdelse af GDPR og Schrems II:
  1. Initiativet er designet til at leve op til Schrems II-domstens krav om tilstrækkelige garantier mod overvågning fra tredjelande (f.eks. USA).

Selvom initiativet forbedrer databeskyttelsen, er der væsentlige begrænsninger:

• Teknisk afhængighed af USA:
  1. Kildekode og udvikling: Softwaren udvikles og vedligeholdes af globale teams (inkl. USA). Microsoft kunne teoretisk blive tvunget til at indbyge bagdøre eller overvågningsmekanismer i opdateringer (f.eks. via FISA 702).
  2. Eksempel: Hvis amerikanske myndigheder kræver adgang til en sikkerhedsopdatering, der påvirker EU-data, ville Microsoft sandsynligvis måtte efterkomme dette.

• Juridiske begrænsninger (CLOUD Act vs. GDPR):
  1. CLOUD Act (USA) har ekstraterritorial rækkevidde: Selvom data opbevares i EU, kan amerikanske myndigheder kræve adgang til data ejes af amerikanske virksomheder (som Microsoft).
  2. Konsekvens: Microsoft kan ikke nægte en gyldig retslig anmodning fra USA—selv om det strider mod GDPR. Desuden kan Microsoft ikke altid underrette kunden på grund af “gag orders”.

• Tredjepartsintegrationer:
  1. Integrationer med tredjepartsapps (f.eks. Salesforce, Slack) er ikke dækket af EU Data Boundary og kan sende data ud af EU.

• Metadata og support:
  1. Selvom personoplysninger opbevares i EU, kan metadata (f.eks. IP-adresser, logfiler) sendes til USA til fejlfinding eller sikkerhedsanalyse.

• Ingen 100% garanti mod amerikansk indblanding:

EU Data Boundary reducerer risikoen, men eliminerer ikke den juridiske eller tekniske afhængighed af USA.

• Kompleksitet i hybrid-miljøer:

Hvis en virksomhed bruger blandede sky-løsninger (f.eks. Azure + AWS + lokale systemer), bliver datastrømme svære at kontrollere. EU Data Boundary dækker kun Microsofts egne tjenester.

• Øget omkostning og administration:

Flytning af data til EU-datacentre kan medføre højere priser og kompleksitet (f.eks. latens, compliance-krav).

Hvis fuld kontrol over data er kritisk, kan følgende overvejes:

• Europæiske cloud-udbydere:
  1. Skift til Sovereign Cloud-løsninger fra europæiske leverandører (f.eks. Deutsche Telekom, OVHcloud, Atea).
  2. Eksempel: Gaia-X er et EU-drevet initiativ for en uafhængig europæisk cloud-infrastruktur.

• On-premise eller private cloud:
  1. Host kritiske systemer lokalt eller i en dedikeret EU-cloud (f.eks. via Proact eller TietoEVRY).

• Open-source alternativer:
  1. Brug Nextcloud, Collabora eller Matrix/Element til samarbejdsværktøjer, der kan hostes i EU.

• Kontrakter med strenge DPA’er:
  1. Kræv skriftlige garantier om, at data aldrig overføres til tredjelande, og at leverandøren underretter ved retslige anmodninger.

EU Data Boundary er et skridt i den rigtige retning, men ikke en fuldstændig løsning:

• Fordele: Bedre end ingenting—reducerer risikoen for tilfældig datalækage til USA og imødekommer nogle GDPR-krav.
• Begrænsninger:
  Kan ikke beskytte mod amerikansk lovgivning (CLOUD Act) eller teknisk afhængighed af Microsofts globale infrastruktur.
• Anbefaling: Hvis ægte digital suverænitet er kritisk, bør man overveje europæiske alternativer eller on-premise løsninger.

https://blog.smarken.dk/2026/06/en-bank-med-over-1-mia-euro-i-aktiver-gik-konkurs-i-2022-microsoft-lukkede-for-bankens-mail-sharepoint-og-cloud-miljo