”EU-hosting” är ett av de lättaste påståendena att göra och ett av de svåraste att verifiera. En leverantör kan hosta i ett EU-datacenter, sätta en EU-flagga på prissidan och ändå leda din data genom företag som svarar under lagar utanför EU. Det goda är att du kan kontrollera detta själv på en eftermiddag, utan jurist, med hjälp av dokument som leverantören enligt lag måste ge dig. Det här är granskningen vi kör på vår egen leverantörskedja, nedskriven som steg du kan följa hos vilken leverantör som helst.
Först: skilj driftvägen från kringvägen
Innan du listar något, dra en linje. På ena sidan finns driftvägen: servrarna, databasen, fillagringen, säkerhetskopiorna och CDN:et som faktiskt håller och levererar webbplatsens data. På andra sidan finns kringvägen: verktygen leverantören använder för att driva verksamheten, som supportchatt, ärendehantering, e-postleverans och betalningar. De två bär mycket olika risk. Driftvägen håller dina besökares personuppgifter i stor mängd. Kringvägen håller oftast din faktureringskontakt och dina supportmeddelanden, inte dina besökares uppgifter.
Linjen spelar roll eftersom en rättvis granskning bedömer varje sida efter rätt måttstock. Att kräva att en leverantör använder noll icke-europeiska verktyg någonstans i sin verksamhet är varken realistiskt eller poängen. Måttstocken som faktiskt skyddar dina användare är snävare: driftvägen ska stå under EU-kontroll, och inga personuppgifter från dina besökare ska rinna genom kringverktygen in i en jurisdiktion du försökte undvika. Håll båda sidor till det, så granskar du det som betyder något.
Steg ett: hämta listan över underbiträden
Enligt GDPR måste ett personuppgiftsbiträde som anlitar andra biträden redovisa dem. I praktiken betyder det att varje seriös leverantör publicerar, eller skickar dig, en lista över underbiträden: de tredje parter den förlitar sig på för att leverera tjänsten. Leta efter den i personuppgiftsbiträdesavtalet, på en sida om underbiträden, eller be supporten direkt. Om en leverantör inte kan ta fram listan är det redan ditt svar. En leverantör som hanterar personuppgifter yrkesmässigt men saknar en dokumenterad lista över underbiträden går inte att verifiera.
När du fått listan letar du efter tre kolumner per post: företagets namn, vad det gör, och var det och dess moderbolag hör hemma. En bra lista ger dig alla tre. Om den bara ger dig loggor, be om de juridiska bolagsnamnen, för det är dem du använder i nästa steg.
Steg två: spåra ägande, inte bara plats
För varje post i driftvägen, ta reda på vilket företag som i slutänden kontrollerar den. Ett varumärke du känner igen kan vara ett dotterbolag till en ägare på en annan kontinent. Det är här ”EU-hosting” tyst brister: rackarna står i Stockholm, men bolaget som driver dem ägs av ett amerikanskt företag, vilket för det inom räckhåll för amerikanska förelägganden oavsett var hårdvaran står. Du kan kontrollera ägandet via företagets egna sidor, nationella bolagsregister eller en enkel sökning på ”vem äger [företag]”. Du besvarar en enda fråga: om en utländsk myndighet delgav bolaget ett lagligt föreläggande, skulle det kunna tvingas lämna ut data det håller?
- Vad är det juridiska bolagsnamnet, inte bara varumärket?
- Vilket företag äger och kontrollerar det i slutänden?
- I vilket land är det kontrollerande bolaget registrerat?
- Ligger posten i driftvägen eller i kringvägen?
- Om den ligger utanför EU: vilken överföringsmekanism åberopas, och når någon besökardata faktiskt dit?
Arbeta dig igenom driftvägen först. Om varje post där landar i ett EU-kontrollerat bolag som behandlar data inom EU är grunden sund. Titta sedan på kringvägen med det snävare testet: inte ”är verktyget utländskt” utan ”passerar någon av mina besökares personuppgifter genom det”.
Steg tre: läs överföringstexten ärligt
Där ett underbiträde ligger utanför EU ska avtalet namnge mekanismen som gör överföringen laglig, som standardavtalsklausuler eller leverantörens certifiering enligt Data Privacy Framework mellan EU och USA. Mekanismerna är verkliga och kan vara giltiga, men de är inte magiska ord. Efter Schrems II-domen är en överföring till USA inte automatiskt okej bara för att en klausul åberopas. Den praktiska frågan du kontrollerar är enklare: passerar faktiskt personuppgifter i mängd från din webbplats den gränsen, eller är det utländska verktyget begränsat till något som dina egna faktureringsuppgifter. En betalleverantör som rör ett kortnummer är en helt annan exponering än en chatt som bara håller en supporttråd mellan dig och din leverantör.
Frågan är inte ”använder leverantören något utländskt verktyg alls”. Den är ”kan någon utanför EU tvingas lämna ut mina besökares data”.
Varningstecken att hålla utkik efter
Några svar bör få dig att sakta ner. Om en leverantör bara talar om datacentrens fysiska plats och tystnar när du frågar vem som äger driftbolaget är den luckan oftast avsiktlig. Om listan över underbiträden saknas, är vag eller ”tillgänglig på begäran” men aldrig faktiskt dyker upp, behandla begäran som ett test leverantören inte klarade. Och om marknadssidan gör ett svepande påstående som ”inget amerikanskt alls” medan avtalet berättar en mer komplicerad historia, tro på avtalet, för det är det juridiskt bindande dokumentet och marknadstexten är det inte.
Inget av detta bevisar i sig ond tro. Gott om bra leverantörer använder något icke-europeiskt verktyg i sitt backoffice. Det som spelar roll är om de berättar om det rakt och om besökardata hålls utanför det. En leverantör som svarar öppet, även när svaret är ”ja, vi använder det här EU-region-verktyget för det”, är långt mer att lita på än en som ger dig en felfri slogan och inga dokument.
Att köra granskningen på Celestio
Vi håller oss till samma test, så här ser vårt resultat ut. I driftvägen körs webbplatserna på vår egen infrastruktur i Falkenberg, på GleSYS hårdvara driven av förnybar energi, med kunddata behandlad inom EU. Det finns inget amerikanskt moln i den vägen, av konstruktion. I kringvägen är vi medvetet transparenta: vårt personuppgiftsbiträdesavtal listar verktygen vi använder för att driva verksamheten, vilket inkluderar ett samarbetsverktyg i EU-region och en betalleverantör för fakturering. De rör vår drift och din faktura, inte dina besökares uppgifter. Så ärligt är det, och det är precis den formen vår granskning är byggd för att blottlägga. En leverantör som döljer kringvägen är ett orosmoln. En leverantör som dokumenterar den, och håller besökardata utanför den, går att verifiera.
Om du kör de här tre stegen på din nuvarande leverantör och svaren inte går ihop, är den luckan värd ett samtal. Vår sida om suveränitet visar var vår data finns och vem som kontrollerar den, och vill du ha ett par extra ögon på din egen leverantörskedja hjälper våra ingenjörer gärna till att gå igenom den.
Det här är praktisk vägledning, inte juridisk rådgivning. För en formell överföringsbedömning, rådgör med ditt dataskyddsombud eller juridiskt ombud.