Vad är datalokalisering?

Kort svar: Datalokalisering anger den fysiska eller geografiska plats där en organisations uppgifter lagras och behandlas. Landet där uppgifterna finns påverkar vilka lagar, tillsynsmyndigheter och befogenheter för myndigheters åtkomst som gäller. Därför är datalokalisering en central fråga vid GDPR-arbete, leverantörsval och granskningar av IT-säkerheten.

Datalokalisering avser var uppgifter faktiskt lagras, exempelvis i ett visst land, en region eller ett datacenter. När ett företag laddar upp dokument till en molntjänst finns uppgifterna på servrar någonstans i världen, och platsen har rättslig betydelse. Ett avtal på en server i Frankfurt omfattas av EU-rätt. Samma avtal på en server i Virginia berörs av amerikansk rätt, däribland CLOUD Act som under vissa förutsättningar ger amerikanska myndigheter möjlighet att kräva tillgång till uppgifter hos amerikanska leverantörer.

För företag i reglerade branscher är datalokalisering sällan en fråga man kan bortse från. Tillsynsmyndigheter, revisorer, kunder och offentliga beställare frågar allt oftare: exakt var finns våra uppgifter?

Datalokalisering, datasuveränitet och krav på lokal datalagring

De tre begreppen används ibland som synonymer, men beskriver olika saker.

Datalokalisering är den faktiska frågan: var lagras uppgifterna fysiskt? Ett företag ställer ett lokaliseringskrav när det av interna eller avtalsmässiga skäl bestämmer att informationen ska lagras inom ett visst geografiskt område, exempelvis EU.

Datasuveränitet är den rättsliga frågan: vilka länders lagar omfattar uppgifterna? Uppgifter kan omfattas både av lagarna där de finns och av lagarna i det land där leverantören har sitt huvudkontor. Därför kan ett europeiskt företag fortfarande behöva bedöma datasuveränitet när det använder ett EU-datacenter som drivs av en leverantör med huvudkontor i USA. Serverplatsen avgör inte ensam jurisdiktionen.

Krav på lokal datalagring är den striktaste formen: ett rättsligt krav på att vissa uppgifter ska stanna inom ett lands gränser. Ryssland, Kina och flera andra jurisdiktioner har sådana regler för vissa uppgiftskategorier. Vissa EU-länder tillämpar särskilda lokaliseringsregler för vårduppgifter eller offentlig information.

I praktiken börjar de flesta små och medelstora företag med datalokalisering: kan vi visa att uppgifterna stannar inom EU? Därefter bedömer de datasuveränitet: vilka myndigheter kan kräva åtkomst? Särskilda krav på lokal datalagring blir aktuella när verksamheten omfattas av dem.

Varför är datalokalisering viktig för företag med höga krav på regelefterlevnad?

Tre skäl dominerar: regelkrav, revisioner och kundernas förtroende.

Regelkrav. GDPR begränsar överföring av personuppgifter utanför Europeiska ekonomiska samarbetsområdet om inte särskilda villkor och skydd är uppfyllda. När Schrems II-domen ogiltigförklarade EU–US Privacy Shield 2020 ökade osäkerheten kring överföringar till amerikanska leverantörer. Många europeiska organisationer började därför kräva lagring inom EU för att minska överföringsrisker. GDPR-tillsynen får konkreta följder: de sammanlagda sanktionsavgifterna hade passerat €4.5 miljarder år 2024 enligt CMS GDPR Enforcement Tracker 2024. Liknande förväntningar på datalokalisering förekommer vid riskbedömningar enligt HIPAA, ISO 27001:s åtgärder för leverantörsrelationer och offentliga upphandlingar i Europa, Australien och Kanada. Att möta kraven är en del av GDPR-anpassad dokumenthantering.

Revisioner. Revisioner enligt ISO 27001 och ISO 9001 undersöker ofta var styrande dokument, handlingar och personuppgifter lagras och vem som får åtkomst. Om organisationen inte kan ange en viss region och stödja svaret med ett avtalsvillkor finns en brist som en revisor kan uppmärksamma. Dokumentation av lagringsplatsen, tillsammans med kryptering och åtkomstkontroller, ingår i underlaget som gör revisionen enklare att klara och förbereda.

Kund- och avtalskrav. B2B-kunder tar allt oftare med lokaliseringskrav i avtalen. En tillverkare som levererar till ett tyskt storföretag eller ett tjänsteföretag med en myndighetskund kan möta ett obligatoriskt krav på EU-lagring i säkerhetsfrågeformuläret. Om kravet inte kan uppfyllas kan affären falla redan före prisdiskussionen.

Så bedömer du datalokalisering i ett dokumenthanteringssystem

Vid utvärdering av ett DMS eller en annan molnleverantör är fyra frågor särskilt användbara:

Var finns de primära servrarna? Be om den exakta regionen, inte bara ”global infrastruktur”. En tydlig leverantör anger datacenterregionen i avtalet eller personuppgiftsbiträdesavtalet.
Var lagras säkerhetskopior och repliker? Ett löfte om viss datalokalisering håller inte om säkerhetskopior finns i en annan jurisdiktion. Kontrollera att även redundansen ryms inom den avtalade regionen.
Vilken juridisk person står bakom tjänsten? En leverantör med huvudkontor utanför er jurisdiktion kan omfattas av utländska åtkomstlagar oavsett serverplats. Det är ett skäl till att europeiska organisationer ibland föredrar leverantörer med europeiskt huvudkontor. Be även om en publicerad lista över underbiträden, eftersom en underleverantör i en annan region väcker samma frågor.
Vilka driftsalternativ finns om kraven skärps? Vissa organisationer, särskilt inom vård, finans och myndigheters leveranskedjor, kan med tiden behöva en separat molnmiljö eller lokal installation. En leverantör som erbjuder den vägen kan minska risken för ett framtida systembyte.

Folderit OÜ erbjuder molnbaserad dokumenthantering och lokal installation. Enligt Trust Center anger integritetsinformationen lagring hos Amazon i Irland, eller annan plats när ett sådant val erbjuds. Dedikerad molnmiljö är ett separat Enterprise-alternativ. Folderit beskriver geografiskt åtskilda säkerhetskopior, men primär lagringsplats, säkerhetskopiornas placering och eventuella återställningsåtaganden behöver bekräftas för er driftsättning och ert avtal. Vår säkerhetsöversikt beskriver skyddsåtgärderna och ger ett underlag för säkerhetsgranskningen. Bekräfta och dokumentera den lagringsplats, jurisdiktion, ansvarsfördelning och geografiska placering av säkerhetskopior som faktiskt gäller för er tjänst.

Låt datalokalisering vara ett urvalskriterium från början

Datalokalisering är svår att ändra efter inköpet. Team kan justera behörigheter och bygga om arbetsflöden, men att flytta terabyte av styrande dokument mellan jurisdiktioner är ett migreringsprojekt som också kräver rättslig bedömning.

Använd därför datalokalisering som ett tidigt filter innan funktioner och pris jämförs. Det kan spara de betydligt större kostnader som uppstår om en jurisdiktionsfråga upptäcks först vid en kundrevision eller myndighetsutredning. För europeiska små och medelstora företag kan EU-lagring från början minska vissa risker vid internationella personuppgiftsöverföringar. Läs gärna även om vad datarelaterad regelefterlevnad betyder för verksamheten när ni formulerar era interna krav.