Datasuverenitet i norsk bygg — hva CLOUD Act betyr for prosjektdataene dine

CLOUD Act er en amerikansk lov fra 2018 som gir amerikanske myndigheter rett til å kreve utlevering av data lagret av amerikanske selskaper — uansett hvor i verden dataene fysisk befinner seg. For norske byggefirmaer med prosjektdata hos Microsoft Azure, AWS eller Google Cloud betyr det at dataene kan utleveres til FBI, DoJ eller andre amerikanske aktører uten at du nødvendigvis blir varslet. Dette er i praktisk konflikt med GDPR og norske lovkrav.

Hva er CLOUD Act?

Clarifying Lawful Overseas Use of Data Act ble vedtatt av USA i mars 2018. Loven slår fast at amerikansk-baserte selskaper — inkludert deres europeiske datterselskaper — har plikt til å utlevere data på forespørsel fra amerikanske myndigheter, selv når dataene er lagret på servere utenfor USA.

Dette gjelder alle store amerikanske skyleverandører:

• •Microsoft (Azure, Microsoft 365, SharePoint, OneDrive, Teams)
• •Amazon (AWS)
• •Google (Google Cloud, Workspace)
• •Meta, Apple, Oracle, Salesforce

Selv om dataene fysisk ligger på Microsoft-serveren i Irland eller AWS-servere i Tyskland, kan amerikanske myndigheter kreve utlevering.

Hvordan forholder det seg til GDPR?

Den europeiske personvernforordningen (GDPR artikkel 48) forbyr eksplisitt overføring av persondata til tredjeland basert på utenlandske rettsavgjørelser uten et gyldig juridisk grunnlag. CLOUD Act-krav oppfyller ikke dette kravet.

Dette skaper en konflikt: amerikansk lov krever utlevering, europeisk lov forbyr det. Amerikanske leverandører er i praksis tvunget til å bryte en av dem.

Det er bakgrunnen for at Schrems II-dommen fra EU-domstolen i juli 2020 kjente Privacy Shield-avtalen ugyldig. Personvernrådet (EDPB) har siden anbefalt at data underlagt GDPR helst skal prosesseres hos europeisk-eide leverandører.

Hvorfor er dette relevant for byggebransjen?

Prosjektdata i et moderne byggefirma inneholder langt mer enn bare tegninger:

• •Kontraktsopplysninger og kommersielle vilkår
• •Personopplysninger om ansatte, underentreprenører og innleide (ID-nummer, timelister, HMS-kort)
• •HMS-data inkludert personlige RUH og avvik som kan involvere helseopplysninger
• •Avviksdokumentasjon med potensielle økonomiske eller juridiske implikasjoner
• •Tekniske detaljer fra kritisk infrastruktur (skoler, sykehus, rettsbygninger)

Noen av disse dataene faller inn under særlige kategorier av personopplysninger etter GDPR artikkel 9 — data som har ekstra beskyttelse.

I tillegg har Datatilsynet i Norge eksplisitt advart mot bruk av amerikanske skytjenester for sensitiv offentlig data. Kommunerevisjonen i Oslo konkluderte i 2023 at bruk av Microsoft 365 for skoledata utgjør en risiko for personvernet.

Hva sier norsk regelverk?

Personopplysningsloven implementerer GDPR i Norge og gjelder for alle behandlinger av personopplysninger. For bygg- og anleggsbransjen er følgende særlig relevant:

• •Databehandleravtale (DPA) er påkrevd når en leverandør behandler personopplysninger på vegne av deg
• •Overføring til tredjeland krever særlig juridisk grunnlag (SCCs, BCRs, eller unntak)
• •Risikovurdering må utføres før valg av skyleverandør
• •Varsling av brudd innen 72 timer til Datatilsynet

Dersom en amerikansk leverandør utleverer data på grunnlag av CLOUD Act, er du som databehandlingsansvarlig ansvarlig for bruddet overfor Datatilsynet — selv om du ikke selv var klar over utleveringen.

Hvilke muligheter har du?

1. Valider at leverandøren faktisk er europeisk-eid. Mange "europeiske" tjenester er faktisk datterselskaper av amerikanske konsern. Sjekk eierstrukturen.

2. Les databehandleravtalen nøye. Mange amerikanske leverandører har klausuler om at data kan overføres til USA eller utleveres på lovlig forespørsel.

3. Krev dokumentasjon om datalagring. Hvor ligger serverne fysisk? Hvilken jurisdiksjon er selskapet underlagt?

4. Vurder datakategoriene. Jo mer sensitiv informasjonen er, jo viktigere er europeisk datasuverenitet.

5. Ved bruk av amerikansk leverandør: gjør en konkret risikovurdering (TIA — Transfer Impact Assessment) og implementer tekniske tiltak (ende-til-ende-kryptering med nøkler du selv kontrollerer).

Buildex' tilnærming

Buildex er designet fra bunnen av for europeisk datasuverenitet:

• •Infrastruktur i Tyskland — Hetzner AG i Falkenstein, ett av Europas største ikke-amerikanske datasentre
• •Egenadministrert PostgreSQL via Supabase self-hosted på samme infrastruktur — ikke Supabase sin felles cloud
• •Filer i Nextcloud (open source, europeisk) hostet på files.buildex.no
• •Ingen amerikanske avhengigheter for kundedata — verken Azure, AWS, Google eller Cloudflare for datalagring
• •Databehandleravtale inngås som del av kundeavtalen

Dette betyr at prosjektdataene dine ikke er underlagt CLOUD Act eller andre amerikanske rettskrav.

Oppsummert

For byggefirmaer som håndterer personopplysninger, HMS-data og kommersielle kontraktsopplysninger er valg av skyleverandør ikke lenger bare et teknisk spørsmål — det er et lov- og etikkspørsmål. GDPR-brudd kan koste opptil 4% av global omsetning, og omdømmetap ved datalekkasje kan være større enn bøten.

Ønsker du en gjennomgang av databehandlingen i ditt prosjekt? Ta kontakt for en uforpliktende prat.