Et løfte om EU-lagring gælder sjældent alle tjenester og alle funktioner hos en udbyder. Exit-planens kortlægning hviler derfor på de lister, hvor udbyderen selv angiver, hvad løftet ikke dækker.
Artiklen viser, hvor listerne findes hos de store udbydere, hvordan en tjekkisk myndighed har samlet dem ét sted, og hvordan I fører oplysningerne ind i jeres egen oversigt. Den hører til lag 1 i → de tre lag.
Hvorfor undtagelserne hører til i kortlægningen
Dataresidens er det lag, kontrakter og salgsmateriale oftest lover noget om. Løftet er typisk formuleret for en tjenestefamilie, mens undtagelserne står i særskilte dokumenter for den enkelte tjeneste eller funktion.
Når kortlægningen kun noterer løftet, bliver lag 1 vurderet for gunstigt. Det får betydning for prioriteringen, fordi et system med data uden for EU kan kræve en anden løsning end et system, hvor data faktisk bliver i området. Undtagelserne skal derfor stå ud for hvert system i → trin 1 i exit-planen.
Tjekkiet offentliggør leverandørernes egne markeringer
Den tjekkiske myndighed for cyber- og informationssikkerhed hedder NÚKIB. Den offentliggør lister over cloudtjenester, der er optaget i statens katalog, selv om de ikke opfylder kravet om lagring i EU og EFTA. Listerne henviser til bekendtgørelse 316/2021 om krav til optagelse i kataloget.
Kravet gælder sikkerhedsniveauet Høj. Kundedata og bestemte driftsdata i hvile skal ifølge kravet lagres vedvarende og udelukkende i EU- og EFTA-lande. En tjeneste, der ikke kan opfylde det, kan stadig optages, hvis udbyderen selv markerer den. Udbyderen skal samtidig oplyse, hvor data lagres, og om de er pseudonymiseret.
NÚKIB skriver i listen over Microsofts tjenester, at formålet er at give offentlige myndigheder besked om, at data kan blive lagret under andre vilkår end ved øvrige tjenester. Listerne gælder også, når tjenesterne videresælges.
Bekendtgørelse 316/2021 blev ophævet ved bekendtgørelse 505/2025, der trådte i kraft 1. januar 2026. Ansøgninger indgivet før denne dato behandles efter de gamle regler. Microsoft-listen fra maj 2026 henviser fortsat til den gamle bekendtgørelse.
Hvad Microsoft-listen fra maj 2026 indeholder
Listen for Microsoft Ireland Operations Limited er dateret 14. maj 2026 og har to dele. Den første dækker kundedata i hvile og omfatter godt 30 tjenester og tjenestegrupper.
Blandt dem står Microsoft Entra ID, Microsoft Teams, Microsoft Sentinel, Defender for Endpoint, Defender for Identity, Power BI, Azure DevOps og Microsoft Fabric. Hertil kommer en lang række Dynamics 365-tjenester.
Den anden del dækker driftsdata. Her optræder blandt andet også SharePoint Online, Intune, Defender for Cloud Apps og Microsoft Information Protection. Exchange Online og OneDrive optræder ikke på nogen af de to lister.
AWS og en tjekkisk leverandør på samme ordning
Listen for Amazon Web Services EMEA SARL er dateret 20. februar 2026. Den omfatter 15 tjenester for både kundedata og driftsdata, herunder Amazon S3, EC2, Lambda, DynamoDB, CloudTrail, AWS Backup og nøglestyringen AWS KMS.
Ordningen rammer også mindre udbydere. Den tjekkiske ALVAO s.r.o. har ifølge NÚKIB’s liste fra april 2025 markeret ALVAO Service Desk og ALVAO Asset Management.
Det viser, at en udbyders hjemland og en tjenestes lagring er to forskellige oplysninger. Begge skal noteres, og ejerskabet slås op efter → trin 2.
Microsofts egne dokumenter om EU Data Boundary
Microsoft beskriver selv undtagelserne fra EU Data Boundary i en række sider på Microsoft Learn. Oversigtssiden oplyser, at forpligtelsen gælder med begrænsede tilfælde, hvor data fortsat overføres ud af området. Den nævner også, at kunder med Multi-Geo i Microsoft 365 falder uden for ordningen.
Dokumentationen er delt i flere kategorier. Siden om udelukkede tjenester omfatter blandt andet Azure Front Door, Azure CDN og flere Defender-tjenester. Om Defender for Office 365 står der, at de fleste data overføres til og lagres i USA.
Siden om løbende delvise overførsler, opdateret 9. oktober 2026, beskriver blandt andet telefoni i Teams og identitetsoplysninger i Azure Databricks, der lagres i USA. Siden om valgfrie funktioner beskriver funktioner, som administratorer kan slå til eller fra.
AWS og Google beskriver også grænserne
AWS skriver i sin vejledning om GDPR, at kunden vælger, hvilke regioner indholdet lagres i. Samme side angiver CloudFront, IAM, Route 53 og AWS Support som globale tjenester, der ikke bør spærres med en regionsbegrænsning.
Google oplyser på siden om EU Data Boundary i Assured Workloads, opdateret 26. oktober 2026, at produkter uden for listen ikke er understøttet. Siden nævner også, at supportsager i denne pakke sendes til supportpersonale globalt.
De tre udbydere dokumenterer altså hver for sig, hvor deres løfter slutter. Formen er forskellig, og derfor skal I læse hver udbyders egne sider frem for at sammenligne overskrifter.
Microsoft skriver desuden på siden om udelukkede tjenester, at listen ikke er udtømmende, og at produktvilkårene i aftalen afgør, om en tjeneste er omfattet. Google henviser på samme måde til sin tabel over understøttede produkter. Det betyder, at aftalegrundlaget og den aktuelle tabel skal ligge i kortlægningen sammen med siderne. Den samlede vurdering af udbydernes suveræne tilbud står i → de store udbyderes suveræne clouds.
Funktioner, der flytter data, efter valg eller standard
Mange undtagelser følger af en funktion snarere end af tjenesten som helhed. Microsofts side om valgfrie funktioner oplyser fx, at datadeling i Security Copilot er slået til som standard, og at prompts så kan lagres uden for EU Data Boundary.
Samme side beskriver, at telefonopkald og push-beskeder til tofaktorgodkendelse i Entra ID kan behandles uden for området. Administratorer kan i stedet bruge OATH-nøgler for at holde data i EU.
Funktioner med AI hører til samme kategori. Den gennemgang står i → AI-behandling uden for EU.
Sådan fører I undtagelserne ind i kortlægningen
Arbejdet kan gøres på få dage for de vigtigste systemer, når listerne er fundet. Notér altid dato og link, fordi listerne ændres.
- Find tjenesterne · tag listen over cloudtjenester fra kortlægningen, og skriv den præcise produktbetegnelse ud for hvert system.
- Slå op hos udbyderen · find udbyderens egne sider om undtagelser, udelukkede tjenester og valgfrie funktioner, og notér siden og dens opdateringsdato.
- Slå op hos NÚKIB · se, om tjenesten står på en af de tjekkiske lister, og notér listens dato.
- Gennemgå jeres indstillinger · notér, hvilke valgfrie funktioner der er slået til, og hvem der har besluttet det.
- Bed om skriftlig bekræftelse · lad leverandøren eller forhandleren bekræfte, hvilke datatyper og tjenester lagringsløftet omfatter, jf. → seks spørgsmål til leverandøren.
- Vurder lag 1 igen · justér vurderingen for systemet, og skriv kilden ud for svaret.
- Sæt en dato for næste opslag · gentag opslaget ved hver gennemgang af planen, jf. → trin 10.
Typiske fejl i arbejdet
En fejl er at notere tjenestefamilien i stedet for den enkelte tjeneste. Microsoft 365 som én linje skjuler, at Teams og SharePoint Online står på NÚKIB’s liste, mens Exchange Online ikke gør.
En anden fejl er at tage forhandlerens ord for hele løftet. NÚKIB’s lister gælder udtrykkeligt også ved videresalg, så forhandlerens beskrivelse bør holdes op mod udbyderens egne dokumenter.
En tredje fejl er at glemme driftsdata. Listen over driftsdata hos Microsoft er længere end listen over kundedata og rummer tjenester, som organisationer typisk bruger til administration af alle enheder.
Hvad listerne kan og ikke kan vise
Listerne viser, hvor udbyderen selv har forbeholdt sig retten til at lagre eller behandle data uden for EU og EFTA. De giver et dokumenteret udgangspunkt, som leverandøren ikke kan afvise som tredjeparts gætværk.
Listerne viser ikke, at en bestemt kundes data faktisk ligger uden for området. Betydningen afhænger af tjenesten, funktionerne og opsætningen. En tjeneste, der mangler på listen, er heller ikke dermed garanteret EU-lagring. Lagring er desuden kun lag 1, og ejerens retsforhold vurderes separat, jf. → Cloud Act.
Betydningen for exit-planen
Undtagelserne ændrer sjældent beslutningen om at blive eller gå alene. De ændrer derimod vurderingen af, hvor meget en flytning til en EU-region reelt har givet, og hvilke tjenester der skal have en anden løsning.
Begynd med de systemer, hvor data er mest følsomme, og slå deres tjenester op hos udbyderen og hos NÚKIB. Når undtagelserne rammer forretningskritiske systemer, kan en uvildig gennemgang give et bedre beslutningsgrundlag. Nielco IT udfører en jurisdiktions- og afhængighedsvurdering på jeres eget materiale.
Kilder
- NÚKIB: Výjimky z požadavků řádků 1.3 a 1.4, Microsoft Ireland Operations Limited, 14. maj 2026. https://nukib.gov.cz/download/uredni_deska/cloud_computing/2026-05-14_seznamy-vyjimek_MIOL.pdf
- NÚKIB: Výjimky z požadavků řádků 1.3 a 1.4, Amazon Web Services EMEA SARL, 20. februar 2026. https://nukib.gov.cz/download/uredni_deska/cloud_computing/2026-02-20_seznamy-vyjimek_Amazon-Web-Services-EMEA-SARL.pdf
- NÚKIB: Výjimky z požadavků řádků 1.3 a 1.4, ALVAO s.r.o., 8. april 2025. https://nukib.gov.cz/download/uredni_deska/cloud_computing/2025-04-08_seznamy-vyjimek_ALVAO.pdf
- Sbírka zákonů: Vyhláška č. 505/2025 Sb., o některých požadavcích pro zápis do katalogu cloud computingu, 28. november 2025, i kraft 1. januar 2026. https://www.epravo.cz/_dataPublic/sbirky/2025/Sb_2025_505_PZZ.pdf
- Microsoft Learn: What is the EU Data Boundary?, opdateret 21. juli 2026. https://learn.microsoft.com/en-us/privacy/eudb/eu-data-boundary-learn
- Microsoft Learn: Services excluded from the EU Data Boundary, opdateret 13. april 2026. https://learn.microsoft.com/en-us/privacy/eudb/eu-data-boundary-excluded-services
- Microsoft Learn: Services that transfer a subset of Customer Data out of the EU Data Boundary on an ongoing basis, opdateret 9. oktober 2026. https://learn.microsoft.com/en-us/privacy/eudb/eu-data-boundary-ongoing-partial-transfers
- Microsoft Learn: Optional service capabilities that transfer data out of the EU Data Boundary, opdateret 27. marts 2026. https://learn.microsoft.com/en-us/privacy/eudb/eu-data-boundary-transfers-for-optional-capabilities
- AWS: Navigating GDPR Compliance on AWS, Defining Boundaries for Regional Services Access, hentet 30. oktober 2026. https://docs.aws.amazon.com/whitepapers/latest/navigating-gdpr-compliance/defining-boundaries-for-regional-services-access.html
- Google Cloud: Assured Workloads, EU Data Boundary, opdateret 26. oktober 2026. https://docs.cloud.google.com/assured-workloads/docs/control-packages/eu-regions
