Betrott moln, akt II: från Microsoft 365 till SecNumCloud — rättspraxisen som ritar om kartan

Digital suveränitet avgörs sällan i de stora talen; den avgörs i tvisterna. Två ärenden påminde om det i våras. I Österrike bedömde dataskyddsmyndigheten att användningen av Microsoft 365 Education stred mot GDPR, bland annat på grund av att de personuppgiftsansvariga omöjligen kunde behärska dataflödena och underleverantörskedjan på riktigt. I Frankrike kom ärendet om Polytechniques val av Microsoft tillbaka i rampljuset i början av juni, där fackpressen såg ett prejudikat som kunde rita om kartan för hela den offentliga sektorn. Samtidigt — och det är hela paradoxen — förlängdes det ramavtal som binder utbildningsdepartementet till den amerikanska leverantören.

Vad dessa beslut egentligen säger

Det gemensamma i dessa ärenden är inte den antiamerikanism man ibland tillskriver dem. Det är en fråga om faktisk kontroll: vem kan få tillgång till uppgifterna, under vilken rätt, med vilka garantier som kan göras gällande? Sedan Privacy Framework ogiltigförklarades i Schrems-anda vilar varje överföringskonstruktion på konsekvensbedömningar som myndigheterna numera granskar rad för rad. Amerikansk rätt — FISA 702, CLOUD Act — förblir tillämplig på amerikanska leverantörer oavsett var uppgifterna driftas. Ingen avtalsklausul neutraliserar en utländsk ordningslag: det är denna, rent juridiska, slutsats som tillsynsmyndigheterna börjar dra fullt ut.

SecNumCloud, från doktrin till upphandlingskriterium

På den franska sidan tar sig ANSSI:s SecNumCloud-kvalificering gradvis rollen som skiljelinje: utöver de tekniska kraven ålägger den ett kriterium om immunitet mot extraterritoriell lagstiftning via villkor kring ägande och styrning. Doktrinen ”moln i centrum” förbehåller i princip statens känsliga uppgifter åt kvalificerade erbjudanden. Det som förändras 2026 är spridningen bortom staten: reglerade aktörer, hälso- och sjukvård, utbildning, kommuner — och, som en följd, deras leverantörer. För en mjukvaruleverantör blir det ett förstklassigt affärsargument, inte en efterlevnadsruta, att kunna driftsättas hos en kvalificerad driftpartner eller on-premise.

Vad IT-cheferna kan göra utan att vänta

För det första: kartlägga efter kritikalitet snarare än efter bekvämlighet — vilka uppgifter, vilka behandlingar kräver verkligen extraterritoriell immunitet? Det ärliga svaret är sällan ”allt”, men aldrig ”ingenting”. För det andra: kräva reversibilitet redan i avtalet — öppna format, dokumenterad export, tak för utträdeskostnader. För det tredje: kryptera med egna, egenkontrollerade nycklar när arbetslasten stannar hos en hyperscaler — med i åtanke att krypteringen inte skyddar uppgifter under behandling. För det fjärde: bygga ”suveräna fickor” — hellre än en illusorisk total migration, isolera de kritiska användningsfallen på kvalificerade erbjudanden eller on-premise, och stå för det hybrida för resten.

Andra akten av det betrodda molnet blir inte någon stor kväll. Det blir en ansamling av beslut, upphandlingar och avtalsförnyelser där frågan om faktisk kontroll, ärende efter ärende, väger allt tyngre. De organisationer som förberett sina suveräna fickor avgör lugnt. De andra får underkasta sig tillsynsmyndigheternas tidtabell.