En undersøgelseskommission i det franske senat spurgte i juni 2025 Microsoft, om franske data kunne holdes uden for amerikanske myndigheders rækkevidde. Svaret blev givet under ed og står i senatets offentlige referat. Det er en af de få steder, hvor en hyperscaler selv har beskrevet grænsen for sine løfter i en officiel ramme.
Sagen kort
Senatets undersøgelseskommission om omkostninger og vilkår i offentlige indkøb hørte 10. juni 2025 to direktører fra Microsoft France. Det var Anton Carniaux, direktør for offentlige og juridiske anliggender, og Pierre Lagarde, teknisk direktør for den offentlige sektor. Begge aflagde ed, og falsk forklaring kan straffes efter den franske straffelov.
Ordføreren spurgte, om Carniaux kunne garantere, at franske borgeres data aldrig ville blive udleveret efter et amerikansk påbud. Betingelsen var, at det ikke måtte ske uden udtrykkelig godkendelse fra de franske myndigheder. Carniaux svarede, at det kunne han ikke garantere. Han tilføjede, at det endnu aldrig var sket.
Hvad skete der, dato for dato
- 30. april 2025 · Microsofts præsident Brad Smith offentliggjorde en række europæiske løfter, herunder at bestride ordrer om at standse cloudtjenester i Europa.
- 10. juni 2025 · Høringen fandt sted i senatet med kommissionens formand Simon Uzenat og ordfører Dany Wattebled. Den blev sendt direkte, og referatet er offentliggjort.
- 8. juli 2025 · Kommissionen afleverede sin rapport nr. 830 om offentlige indkøb.
- 10. februar 2026 · En anden Microsoft-direktør forklarede sig om en beslægtet sag for det britiske Underhus, se nedenfor.
Hvad Microsoft sagde
Carniaux beskrev en fast procedure for myndighedskrav. Microsoft undersøger først, om kravet er gyldigt, og afviser det, hvis det er ugrundet. Selskabet beder om, at kravet sendes til kunden, og om at måtte underrette kunden, hvis data skal udleveres.
På spørgsmålet om et påbud, der er retligt velbegrundet, svarede han, at Microsoft udleverer data, når selskabet er forpligtet til det. Han henviste til Microsofts halvårlige gennemsigtighedsrapporter. Ifølge ham havde ingen krav de seneste tre år ramt en europæisk virksomhed eller offentlig myndighed.
Lagarde beskrev kryptering af data i hvile og under overførsel og arbejdet med at holde data inden for EU. Formanden bemærkede, at gennemsigtighedsrapporterne er Microsofts egne oplysninger, som ingen udefra kontrollerer.
Hvem besluttede
Høringen var en forklaring. Den viser, hvem der har det sidste ord. Er et amerikansk påbud gyldigt, afgør amerikansk ret, om data skal udleveres. Microsoft kan bestride, men ikke tilsidesætte et gyldigt påbud.
Kunderne har ingen plads i den proces, ud over det Microsoft selv lover om at underrette dem. De franske myndigheder har heller ingen. Carniaux kunne netop ikke love, at fransk godkendelse ville være en betingelse.
Hvilken mekanisme
Grundlaget er amerikansk lov, der giver myndighederne ret til at kræve data fra amerikanske udbydere, uanset hvor data ligger. Ordføreren nævnte CLOUD Act direkte. Mekanismen og dens grænser er gennemgået i → Cloud Act og i → FISA 702.
Høringen viser også forskellen mellem lagene i → tre lag i dataresidens, drift og jura. Data kan ligge i Frankrig og blive driftet i EU, mens det juridiske lag stadig er amerikansk. Microsofts kontraktløfter beskriver, hvordan selskabet vil handle inden for den amerikanske lov. Selve loven ændrer de ikke.
ICC-spørgsmålet og Bleu
Ordføreren spurgte også til lukningen af chefanklagerens mail ved Den Internationale Straffedomstol. Carniaux sagde under ed, at Microsoft aldrig havde suspenderet eller afbrudt domstolens tjenester. Han sagde, at Microsoft kun havde været i dialog med domstolen og ikke teknisk havde afbrudt adgangen.
I februar 2026 forklarede en anden direktør det britiske Underhus’ erhvervsudvalg, at chefanklageren blev afbrudt efter sanktionen. Forløbet er gennemgået i → ICC-sagen.
Senatorerne spurgte også til Bleu, Orange og Capgeminis tilbud af Microsoft-produkter i et fransk selskab. Carniaux sagde, at Microsoft ikke ejer andele i Bleu. Formanden oplyste, at Bleu endnu ikke havde fået den franske SecNumCloud-kvalifikation. Hvordan den slags konstruktioner bør vurderes, står i → hyperscalernes suveræne clouds.
Hvad organisationerne kunne have vidst på forhånd
Svaret var forventeligt. En amerikansk virksomhed kan ikke love at bryde amerikansk lov. Det nye var, at det blev sagt under ed af en ansvarlig direktør i et parlament, så det kan citeres som Microsofts eget udsagn.
Leverandørens egne vilkår og gennemsigtighedsrapporter peger samme vej. Det er derfor muligt at dokumentere risikoen uden at gætte. Den dokumentation hører til → trin 2 om juridisk enhed og moderselskab.
Hvad sagen ikke viser
Sagen viser ikke, at franske eller europæiske data er blevet udleveret. Carniaux sagde, at det ikke var sket, og vi har ingen kilde til det modsatte. Den viser heller ikke, at Microsoft adskiller sig fra andre amerikanske udbydere, som er underlagt de samme love.
Endelig viser sagen ikke, hvor stor risikoen er i praksis. Den viser, at leverandøren selv ikke kan udelukke den. Hvordan sandsynlighed og konsekvens vægtes, er en vurdering, I selv skal foretage.
Læren for en exit-plan
Leverandørens egne ord er det stærkeste bevis i jeres risikovurdering. Når leverandøren under ed ikke kan give en garanti, kan I heller ikke skrive den ind i jeres egen dokumentation. Brug sagen til fire handlinger.
- Citér leverandøren selv · Brug leverandørens egne udsagn og vilkår i risikovurderingen, jf. → seks spørgsmål til leverandøren.
- Skel mellem løfte og lov · Notér for hvert system, hvad leverandøren lover, og hvad loven alligevel kan kræve, som i → trin 4.
- Krypter med egne nøgler, hvor det er muligt · Data, leverandøren ikke kan læse, er sværere at udlevere, se → egne nøgler og nøglekontrol.
- Skriv kravet ind i udbuddet · Beskriv jurisdiktion som et krav i stedet for at stole på løfter, jf. → jurisdiktion i offentlige udbud.
En gennemgang af hvilke systemer der er underlagt hvilken lovgivning, indgår i Nielco IT’s jurisdiktions- og afhængighedsvurdering.
Kilder
- Sénat, Commission d’enquête sur les coûts et les modalités effectifs de la commande publique: Compte rendu, audition de MM. Anton Carniaux et Pierre Lagarde, Microsoft France, 10. juni 2025. https://www.senat.fr/compte-rendu-commissions/20250609/ce_commande_publique.html
- Sénat: Rapport n° 830 (2024-2025), Coûts et modalités effectifs de la commande publique et mesure de leur effet d’entraînement sur l’économie française, deponeret 8. juli 2025. https://www.senat.fr/notice-rapport/2024/r24-830-notice.html
- Microsoft (Brad Smith): Microsoft announces new European digital commitments, 30. april 2025. https://blogs.microsoft.com/on-the-issues/2025/04/30/european-digital-commitments/
- House of Commons, Business and Trade Committee: Oral evidence, UK trade with the US, India and EU, HC 996, 10. februar 2026, spørgsmål 332 og 333. https://committees.parliament.uk/oralevidence/17211/html/
