Hvad er datasuverænitet, og hvorfor betyder det noget for dine fotos?

Datasuverænitet optræder i næsten enhver privatlivspolitik og marketingside, du læser. Cloud-udbydere refererer til det. Regeringer bruger det i lovgivning. Startups bygger hele brands omkring det. Men hvis du spørger tre mennesker, hvad det betyder, får du normalt fire forskellige svar.

Det er et problem, for termen har faktisk en specifik betydning, og forskellen mellem den tekniske definition og marketingversionen er forskellen mellem reel beskyttelse og et juridisk smuthul.

Hvad datasuverænitet faktisk betyder

Datasuverænitet er princippet om, at data er underlagt lovene i det land, hvor det er fysisk placeret. Hvis dine fotos er på servere i Tyskland, gælder tysk lov. Hvis de er i Irland, gælder irsk lov. Og fordi Irland og Tyskland begge er EU-medlemslande, styrer EU-forordninger som GDPR, hvordan data må indsamles, behandles og deles.

Konceptet lyder enkelt. I praksis kompliceres det af tre ting, som de fleste privatlivssider ikke uddyber.

De tre lag af suverænitet

For at forstå, om en tjeneste faktisk tilbyder datasuverænitet, skal du stille tre separate spørgsmål.

Hvor befinder dataen sig fysisk? Dette er laget, de fleste fokuserer på. Når en tjeneste siger “data opbevaret i EU”, betyder det normalt, at deres servere står i et EU-datacenter. Nødvendigt, men ikke tilstrækkeligt.

Hvem driver infrastrukturen? Den fysiske server kan stå i Frankfurt, men hvis den drives af en amerikansk cloud-udbyder, er operatøren underlagt amerikansk lov. Når den amerikanske regering udsteder en anmodning, svarer operatøren, uanset hvor maskinen står.

Hvor er virksomheden registreret? Dette er laget, der afgør, hvilke love virksomheden selv skal følge. En virksomhed registreret i Californien er underlagt amerikansk lov, herunder CLOUD Act, uanset hvor dens servere eller kunder befinder sig.

For at datasuverænitet skal holde, skal alle tre lag stemme overens. Serveren skal være i den relevante jurisdiktion, operatøren skal være underlagt den jurisdiktions lov, og virksomheden må ikke være juridisk forpligtet til at efterkomme en udenlandsk regerings anmodninger.

Hvorfor “opbevaret i EU” ikke er nok

Kløften mellem marketingpåstanden og den juridiske virkelighed blev tydelig med en dom fra Den Europæiske Unions Domstol i 2020, kendt som Schrems II. Domstolen fandt, at overførsel af personoplysninger fra EU til USA ikke i tilstrækkelig grad beskyttede europæere mod amerikanske overvågningslove, selv når dataen aldrig krydsede Atlanten.

Domstolens ræsonnement var direkte. Hvis en amerikansk virksomhed besidder dataen, når amerikansk lov den, uanset hvor serverne står. Opbevaringsstedet alene afgør ikke, hvilke love der gælder.

Derfor er “hostet i EU” en almindelig frase og en svag påstand. Den dækker kun det første af de tre lag. Uden de to andre holder den antydede beskyttelse ikke.

Hvad CLOUD Act ændrer

Den amerikanske CLOUD Act blev vedtaget i 2018. Den giver amerikanske myndigheder beføjelse til at tvinge amerikanske virksomheder til at udlevere data, de besidder eller kontrollerer, uanset hvor den data er fysisk opbevaret.

Det betyder, at en amerikansk cloud-udbyder, der driver servere i Holland, juridisk kan blive tvunget til at udlevere data opbevaret på de servere til amerikanske myndigheder. Den hollandske regering skal ikke informeres. Den berørte bruger skal ikke underrettes. GDPR’s databeskyttelsesgarantier tilsidesætter ikke anmodningen.

GDPR begrænser, hvad virksomheder gør med dine data på eget initiativ. CLOUD Act tillader en specifik ekstern aktør at tilsidesætte den begrænsning. Begge love er i kraft samtidig, og de peger i modsatte retninger.

Vores kollega har skrevet en mere uddybende forklaring af hvordan CLOUD Act fungerer, og hvad det betyder for fotolagring.

Hvad ægte europæisk datasuverænitet kræver

For at en tjeneste kan tilbyde ægte europæisk datasuverænitet, skal tre betingelser være opfyldt.

Dataen skal opbevares på servere placeret inden for EU. Infrastrukturoperatøren skal være underlagt EU-ret. Virksomheden, der ejer tjenesten, skal være registreret i EU og fri for amerikansk moderselskabs-kontrol.

Når alle tre er opfyldt, styres tjenesten af EU-ret, og kun EU-ret. En anmodning fra den amerikanske regering har ingen juridisk vej til dataen.

Når nogen af de tre mangler, er suverænitetspåstanden ufuldstændig. Den kan stadig tilbyde forbedringer i forhold til andre muligheder, men den tilbyder ikke den beskyttelse, termen antyder.

Hvorfor dette har betydning for dine fotos

Fotos er en af de mest personlige datakategorier, du uploader nogen steder. De indeholder dit ansigt, ansigterne på menneskene tæt på dig, stederne du besøger og tidsstemplerne for dit daglige liv. Artiklen om metadata viser, hvor meget information en enkelt fotofil bærer.

Når du vælger, hvor du opbevarer det arkiv, er suverænitetsspørgsmålet ikke abstrakt. Det afgør, hvem der kan tvinge adgang til de fotos, under hvilken juridisk ramme, og med hvilken retsmiddel.

Hvad PixelUnion gør

PixelUnion er registreret i EU. Vores servere er placeret i EU. Vores infrastruktur drives under EU-ret. Der er ikke noget amerikansk moderselskab, og der er ingen juridisk vej, ad hvilken CLOUD Act når vores kunders data.

Dette er ikke en marketingbeslutning. Det er en strukturel beslutning om, hvad “opbevaret i EU” skal betyde, for at frasen er ærlig.

GDPR-artiklen dækker de rettigheder, forordningen giver dig, og hvordan de fungerer i praksis. Datasuverænitet er den underliggende betingelse, der gør disse rettigheder mulige at håndhæve i første omgang.

Vil du se, hvordan europæisk suverænitet oversættes til et fungerende alternativ til amerikanske tjenester? Vores kollega har samlet en praktisk guide til at skifte helt væk fra Big Tech, med konkrete alternativer til hver tjeneste.