Dataambassader: kan en stat beholde suverenitet og jurisdiksjon over data lagret i utlandet?

I 2007 stengte enkelte estiske banker midlertidig tilgangen fra utlandet for å holde tjenestene i gang innenlands under cyberangrepene. For å fortsette å betjene kunder hjemme måtte de stenge tilgangen utenfra. [1]

Dataambassader er det mest seriøse juridiske svaret på et spørsmål enhver stat, og enhver bedrift, bør stille seg: Hvorfra fortsetter jeg driften hvis territoriet mitt faller? Styrken ligger i avtalt immunitet, med konkret beskyttelse mot vertsstatens myndighetsutøvelse. Å tilordne all jurisdiksjon til «eieren av dataene» skjuler denne nyvinningen.

Estland undertegnet avtalen med Luxembourg 20. juni 2017. Den trådte i kraft 16. mai 2018. Målet var å bevare data og operativ kapasitet utenfor grensene, med juridiske garantier fremforhandlet på forhånd. Det er en kontinuitetspolitikk som fortjener å bli tatt på alvor. [2][3]

Sikre funksjoner, ikke samle kopier

En dataambassade lagrer statlige registre i et annet land med særskilte garantier fra vertsstaten. Den estiske dataambassaden inngår i statens nettsky og støtter sikkerhetskopiering og kjøring av systemer. Det har betydning hvor dataene befinner seg, og hva myndighetene kan gjøre med dem. [2][4]

Eiendom, befolkning, rettsvesen og pensjoner er blant registrene som er identifisert i det europeiske faktaarket om Estland fra 2022. Å sikre dem betyr å bevare offentlige funksjoner. Riigi IT Keskus (RIT), statens IT-senter, krever at hver databaseansvarlig sikkerhetskopierer databasen og tester gjenoppretting årlig. Kontinuitet må påvises gjennom gjenoppretting. [4][5]

Luxembourg stiller plass til rådighet i LuxConnects infrastruktur. RIT har ansvar for plattformens pålitelighet, sikkerhet og brukerstøtte. Ansvarsfordelingen er mer verdt enn ethvert generelt løfte om sikkerhet. [4][6]

Suverenitet beskyttes gjennom konkrete forpliktelser

Artikkel 22 og 24 i Wienkonvensjonen om diplomatisk samkvem beskytter diplomatiske lokaler og arkiver. Den estiske traktaten erkjenner at konvensjonen ikke er tilstrekkelig for denne lagringsordningen, og fastsetter egne garantier. Fremskrittet ligger i å gjøre et ønske om kontroll til forpliktelser for vertsstaten. [2][7]

Ukrenkeligheten hindrer adgang, ransaking og beslag på de avtalte vilkårene. Luxembourgs myndigheter trenger estisk tillatelse for å få adgang til de beskyttede lokalene. Samtykke forutsettes ved brann eller en annen farlig nødsituasjon som krever rask handling. Immuniteten beskytter estisk utstyr og lisenser installert der mot rettslige prosesser. Data og systemer beskyttes som estiske arkiver. Kommunikasjonen har særskilte garantier. [2]

Luxembourg godtar dermed begrensninger i sin myndighet. Artikkel 8 opprettholder folkeretten og EU-retten, supplert med luxembourgsk rett der det er relevant. Privilegiene beskytter gjenstander og arkiver, uten generell personlig immunitet for arbeidstakerne. Estland beholder kontroll gjennom en avtale, uten å erverve territorium eller erstatte alle vertsstatens lover. [2][8]

Tre veier til kontinuitet

Monaco undertegnet en annen avtale med Luxembourg i 2021. Nasjonale godkjenninger er dokumentert senere. Avtalen beskytter lokaler, data og systemer. Den understreker modellens verdi: å fremforhandle beskyttelse mellom stater. [10]

Bahrain valgte en annen fremgangsmåte. Landets lovdekret 56/2018 anerkjenner jurisdiksjonen og lovgivningen i landet der den utenlandske kunden er hjemmehørende, stiftet eller etablert, for visse typer innhold. Det omfatter offentlige og private kunder, krever utpeking av landet og datasenteret og åpner for lokal medvirkning til å fullbyrde bestemte utenlandske pålegg. Dette er en betinget tilordning av jurisdiksjon, uten generell diplomatisk immunitet for bygninger eller arbeidstakere. [11]

Ukraina viser evakueringsveien. I desember 2022 opplyste landets regjering at den hadde migrert rundt hundre kritiske registre og databaser med støtte fra Amazon Web Services (AWS). En utenlandsk nettsky bidrar til å skille risikoer. Immunitet krever ytterligere beskyttelse fra vertsstaten. [12]

Valget krever presisjon. En kopi i utlandet skiller lagringssteder. Lokaliseringskrav fastsetter hvor bestemte data må forbli. En «suveren nettsky» lover kontroll over infrastruktur, tilganger, nøkler og avhengigheter. Denne kontrollen må undersøkes konkret. En privat kontrakt fordeler forpliktelser og velger lov og verneting. Immunitet overfor myndigheter krever et annet rettsgrunnlag. [2][9][11]

Golfen minner oss om at jussen ikke holder en server i gang

Reuters meldte i september 2026 at AWS ikke kunne gjenopprette ressurser og data som ikke var migrert før driftsavbruddet i Bahrain. Lærdommen er alvorlig: Å anerkjenne utenlandsk jurisdiksjon over innhold og å holde infrastrukturen i drift løser ulike problemer. [11][14]

Luxembourg skal beskytte de estiske lokalene mot inntrenging og skade. Traktaten regulerer nødsituasjoner og opphør. Juridisk beskyttelse garanterer ikke fysisk overlevelse. Det trengs strøm, nettforbindelse og sikkerhetskopier som kan gjenopprettes. Gjenoppretting, svikt og avslutning av tjenesten fortjener like stor oppmerksomhet i kontrakten som immunitetene. [2]

Usikkerheten er konkret: Kildene dokumenterer ingen sak som viser at disse immunitetene virker under krig eller overfor et utenlandsk pålegg. [2][14][15]

CLOUD Act: leverandøren har også betydning

Ekstraterritorialitet er en lovs krav om å omfatte forhold utenfor egen stat. Den amerikanske CLOUD Act krever at de som omfattes av reglene, bevarer eller utleverer informasjon de har i sin besittelse, forvaring eller kontroll, selv om den er lagret utenfor USA. Dette skjer gjennom den aktuelle rettslige prosedyren. [15]

Å velge land uten å undersøke leverandøren gir et ufullstendig beslutningsgrunnlag. Avtaleparten, morselskapet, fjerntilganger og faktisk kontroll har betydning. Kinas etterretningslov pålegger også organisasjoner og borgere å samarbeide. Å håndheve disse pliktene i Luxembourg krever et annet grunnlag enn den nasjonale forpliktelsen. Analysen må følge aktørene som kontrollerer dataene. [16]

Borgerne beholder rettighetene sine

Statens beskyttelse av arkiver må ivareta enkeltpersoners rettigheter. Personvernforordningen (GDPR) gjelder fortsatt for behandling som omfattes av dens virkeområde. Lagringen mellom Estland og Luxembourg skjer innenfor EU. Ved lagring i tredjeland kommer reglene om internasjonale overføringer i tillegg. Behandlingsgrunnlag, ansvar og sikkerhet er fortsatt påkrevd. [9]

For andre opplysninger enn personopplysninger begrenser forordning 2018/1807 nasjonale lokaliseringskrav innenfor EU, med unntak av hensyn til offentlig sikkerhet. Dataforordningen innfører tiltak mot visse former for myndighetstilgang fra tredjeland som strider mot gjeldende rett. Fri flyt og beskyttelse har sine regler. Diplomatisk status trenger egne regler. [17][18]

Spania: vise at sikkerhetskopien kan gjenopprettes

Spanias prioritet bør være å påvise gjenoppretting innenfor tillatte lagringssteder. Det spanske Esquema Nacional de Seguridad (ENS) krever sikkerhetskopier og kontinuitet ved tap av vanlige driftsressurser. Ved høye krav til tilgjengelighet krever det aktuelle forsterkede tiltaket tilstrekkelig avstand til at én hendelse ikke rammer både originalen og sikkerhetskopien. Kopien kan være innenlands. [19]

Artikkel 46 bis i lov 40/2015 krever plassering og tjenesteyting innenfor EU for de offentlige systemene og behandlingene som bestemmelsen lister opp. Den fastsetter regler og unntak for overføringer til tredjeland. Virkeområdet er avgrenset. Den krever ikke at alle offentlige data skal lagres i Spania. [20]

NubeSARA-avtalen som ble publisert i 2025, beskriver hybrid lagring og databehandling med redundans og feiltoleranse. Det er offentlig infrastruktur som skal opprettholde tjenester. Verdien bør måles i evnen til gjenoppretting. [21]

Norge: konkretisere kontrollen og respektere arkivene

Norge må omsette nasjonal kontroll til beslutninger som kan etterprøves. Sikkerhetsloven beskytter informasjon der tap, endring, offentliggjøring eller utilgjengelighet kan skade nasjonale interesser. Loven krever ikke at alle data skal lagres i Norge. Digitaliseringsrundskrivet fra 2025 krever vurdering av teknologisk risiko og av skytjenester sammen med andre alternativer. [22][23]

Regjeringen kunngjorde planer om en nasjonal nettsky for å kontrollere kritisk infrastruktur og funksjoner. Digdir, Digitaliseringsdirektoratet, minner om at leverandørens standardvilkår ikke fritar kunden fra ansvaret for å kjenne sikkerheten og ansvarsfordelingen. Å godta vilkårene uten å kjenne ansvaret overlater kontrollen til leverandøren. [24][25]

Overgangen til den nye arkivlova i 2026 videreførte den tidligere utførselsregelen. Nasjonalarkivet tolker regelen slik at digitale kopier kan lagres i utlandet dersom det komplette arkivet hele tiden er lagret i Norge. Dette skillet bør styre utformingen av sikkerhetskopieringen. [26]

Per 7. november 2026 var dataforordningen under vurdering for innlemmelse i EØS-avtalen. For å avgjøre om den gjelder i Norge, må innlemmelsen kontrolleres. [27]

Fire svar som allerede bør finnes

Lærdommen for bedrifter og advokatkontorer er å bestemme hva som må overleve, og vise hvordan det kan gjenopprettes. Land, leverandør, tilganger, nøkler, gjenoppretting og uttreden inngår i beslutningen. På et advokatkontor må taushetsplikten styre enhver flytting av saksmapper eller åpning av tilganger. [9][19][25]

Disse fire spørsmålene bør ha svar i dag:

• Hvorfra fortsetter vi driften hvis lokalene våre blir ubrukelige?
• Hvilke data må vi gjenopprette, hvor raskt og med hvilket akseptabelt tap?
• Hvem kan få tilgang til saksmappene, på hvilket grunnlag og med hvilke garantier for konfidensialitet?
• Når testet vi sist gjenoppretting, og hvordan forlater vi leverandøren med en brukbar kopi?

Kilder

[1] EST12 · Analysis of the 2007 Cyber Attacks Against Estonia from the Information Warfare Perspective · Rain Ottis / Cooperative Cyber Defence Centre of Excellence · 2008.

[2] EST01 · Agreement between the Republic of Estonia and the Grand Duchy of Luxembourg on the hosting of data and information systems · República de Estonia y Gran Ducado de Luxemburgo · 2017-06-20 / EST05 · Estonia to establish the world’s first data embassy in Luxembourg · Gobierno de Estonia · 2017-06-20.

[3] EST02 · UN Treaty 55178: Agreement on the hosting of data and information systems · Secretaría de Naciones Unidas; registro presentado por Luxemburgo · 2018-05-16.

[4] EST06 · Andmesaatkond: turvaline hoiustamine [kriitiliselt] olulistele andmekogudele · Riigi IT Keskus (RIT) · s.f. / EST07 · Data Embassy · e-Estonia / Estonian Business and Innovation Agency · s.f.

[5] EST09 · Digital Public Administration factsheet 2022: Estonia · Comisión Europea / NIFO · 2022.

[6] EST08 · E-embassies in Luxembourg · Gobierno del Gran Ducado de Luxemburgo · s.f.

[7] EST15 · Vienna Convention on Diplomatic Relations, 1961 · Naciones Unidas · 1961-04-18.

[8] EST03 · Dossier parlementaire 7185 y Mémorial A n.º 1029, loi du 1er décembre 2017 · Chambre des Députés y Journal officiel du Grand-Duché de Luxembourg · 2017-12-06.

[9] MAR01 · RGPD — Reglamento (UE) 2016/679 · Parlamento Europeo y Consejo · 2016-05-04.

[10] CAS01 · Acuerdo Luxemburgo–Mónaco sobre alojamiento de datos y sistemas de información, 15-7-2021; Ley 28-11-2022 y publicación Mémorial A-614 · Gobiernos de Luxemburgo y Mónaco; Chambre des Députés · 2022-12-08 / CAS02 · Ley 1.545 de20-4-2023 que aprueba ratificación del Acuerdo de alojamiento Luxemburgo–Mónaco · Principado de Mónaco; Journal de Monaco8640 · 2023-04-28.

[11] CAS05 · Legislative Decree No.56 of2018 In Respect of Providing Cloud Computing Services to Foreign Parties · Reino de Baréin; reproducción inglesa Bahrain Economic Development Board · 2018.

[12] CAS14 · AWS supports Ukraine with USD75million for cloud technologies · Ministerio Transformación Digital de Ucrania; Cabinet of Ministers · 2022-12-01.

[14] CAS16 · Amazon’s AWS unable to restore access to Bahrain, one UAE cloud data zone after war damage · Reuters; Feras Delatey; sindicación WHBL · 2026-09-15.

[15] MAR04 · 18 USC 2713 — Required preservation and disclosure · Cámara de Representantes de EEUU · 2018-03-23 / MAR05 · CLOUD Act — texto legislativo · Congreso de EEUU / DOJ · 2018-03-23.

[16] MAR06 · 中华人民共和国国家情报法 · Asamblea Popular Nacional / MIIT Qinghai · 2022-04-17.

[17] MAR02 · Reglamento (UE) 2018/1807 · Parlamento Europeo y Consejo · 2018-11-28.

[18] MAR03 · Reglamento de Datos (UE) 2023/2854 · Parlamento Europeo y Consejo · 2023-12-22.

[19] MAR07 · RD 311/2022 Esquema Nacional de Seguridad · Gobierno de España / BOE · 2022-05-04.

[20] MAR08 · Ley40/2015 art46bis · Jefatura del Estado / BOE · 2015-10-02 / MAR09 · RDL14/2019 art4 · Gobierno de España / BOE · 2019-11-05.

[21] MAR10 · Convenio AEAD–AESIA NubeSARA · Secretaría de Estado Función Pública / BOE · 2025-09-08.

[22] MAR11 · Sikkerhetsloven · Stortinget / Lovdata · 2018-06-01.

[23] MAR15 · Digitaliseringsrundskrivet · Gobierno de Noruega · 2025-05-27.

[24] MAR12 · Totalberedskapsmeldingen Meld.St.9 2024–2025 · Gobierno de Noruega · 2025-01-10.

[25] MAR16 · Vurdering av risiko · Digitaliseringsdirektoratet · 2025-08-21 / MAR23 · Økning i løsepengevirus · NSM · 2022-01-06.

[26] MAR17 · Endringar i lovar og forskrifter frå1januar2026 · Gobierno de Noruega · 2025-12-22 / MAR18 · Skylagring og skanning i utlandet · Nasjonalarkivet · s.f.

[27] MAR19 · Factsheet32023R2854 · EFTA · s.f. / MAR20 · Oversikt over EU-regelverk om deling og bruk av data · Digdir · s.f.