Vad händer med din data egentligen?

Många utgår från att data är skyddad så fort servern står i Europa. Men så enkelt är det tyvärr inte. Vem som äger servern spelar ofta större roll än var den faktiskt står.

Två begrepp som ofta blandas ihop

Datalagring handlar om var servern står rent fysiskt. Datasuveränitet handlar om vilken lagstiftning som faktiskt gäller för informationen som ligger där.

En server som står i Frankfurt men ägs av ett amerikanskt företag omfattas fortfarande av amerikansk lag. Det innebär att amerikanska myndigheter kan kräva ut datan från företaget, trots att den ligger på en server i Europa.

Lagarna som krockar

Den amerikanska CLOUD Act från 2018 ger amerikanska myndigheter rätt att begära ut data från amerikanska bolag, oavsett var i världen den datan råkar finnas lagrad. Det krockar med GDPR, som kräver internationella avtal innan utländska myndigheter får komma åt uppgifter om EU-medborgare.

Flera tillsynsmyndigheter i Europa, bland annat i Österrike, Frankrike och Italien, har redan kommit fram till att vissa amerikanska molntjänster bryter mot GDPR.

Cookie-rutan som dyker upp på de flesta sidor är bara en liten del av helheten. Det mesta händer i tysthet, i bakgrunden. Och ofta utan sidägarens vetskap.

Så här kan det se ut på en helt vanlig hemsida

• Google Fonts laddas oftast direkt från Googles servrar, vilket gör att besökarens IP-adress skickas till USA varje gång sidan öppnas.
• Spårningspixlar från Facebook, Google och andra kopplar dina besökare till profiler för riktad reklam.
• Externa CDN-tjänster för bilder och skript kan logga vad dina besökare gör, utan att du själv märker något.
• Inbäddade YouTube-videor börjar ladda Google-skript redan innan någon ens klickat på play.

Varför anonymisering av IP inte räcker

Många påstår att de anonymiserar IP-adresser i sina analysverktyg. Men det vanliga är att maskeringen sker efter att uppgifterna har skickats iväg. Då har besökarens information redan lämnat sidan.

Detta har faktiskt prövats i domstol

En tysk domstol dömde 2022 en sidägare att betala skadestånd, just för att Google Fonts laddades från Googles servrar utan att besökaren samtyckt. Och det är inte ett enskilt fall, det är så många sidor fungerar idag.

GDPR är inte till för att krångla till saker. Lagen finns för att vanliga människor ska ha kontroll över sin egen information. För dig som driver ett mindre företag innebär det några ganska konkreta saker.

Det du behöver ha koll på

• Vilka uppgifter du faktiskt samlar in, och varför du behöver dem.
• Hur länge du sparar dem, och varför just så länge.
• Vilka underleverantörer som har tillgång till uppgifterna, alltså de som du själv har valt att samarbeta med.
• Hur någon kan begära ut, ändra eller radera sin egen information hos dig.
• En enkel plan för vad du gör om något skulle hända.

Du behöver inte vara jurist

Det vanligaste missförståndet är att GDPR kräver dyra konsulter och tjocka pärmar. Det stämmer kanske för storbolag som hanterar enorma mängder känsliga uppgifter. För ett mindre företag handlar det mest om att veta vad som händer med datan och kunna redovisa det.

Och om du själv inte vet, så är första steget att fråga din leverantör. Om de inte heller kan svara, då är det kanske dags att byta leverantör.

Att säga "vi tar GDPR på allvar" är lätt. Att faktiskt leva som man lär är svårare. Här är de tekniska val SENZAI gjort, och tanken bakom dem.

Infrastrukturen

• All vår infrastruktur ligger hos Hetzner i Helsingfors. Tysk leverantör, finskt datacenter, allt under europeisk lag.
• Vi översätter själva webbadresser till serveradresser, så att inte ens den informationen läcker till Google eller Cloudflare.
• Vi kör vår egen mellanserver för videosamtal. Det betyder att själva samtalstrafiken aldrig passerar tredje part.
• Vi blockerar oönskade besök på servern, begränsar var mail får skickas ifrån, och har flera olika lager av skydd mot skräppost och intrångsförsök.

Ingen data läcker till tredje part

Inga externa typsnitt, ingen tredjepartsanalys, inga spårningspixlar, inga externa skript du inte själv valt. Funktioner som andra löser med amerikanska tjänster, som e-post, filer, videomöten och statistik, har SENZAI byggt egna versioner av inom EU. Hela den tekniska genomgången finns på tekniksidan.

En rimlig fråga att ställa till en liten leverantör. Här är det ärliga svaret.

Din data är aldrig inlåst

Webbplatserna byggs med öppna standardtekniker som varje seriöst webbhotell kan drifta vidare. Mail lagras i standardformat och flyttas med etablerade protokoll, samma väg in som ut. Du kan när som helst begära ut allt som är ditt, och det gäller från dag ett, inte bara vid en avveckling.

Ordnat, inte över en natt

Skulle verksamheten någon gång avvecklas sker det med god framförhållning och hjälp att flytta till en ny leverantör. Backuper finns dessutom på flera oberoende platser, varav en frånkopplad, så din data är skyddad även i oväntade scenarier.

Jämför gärna med de stora

Stora plattformar känns trygga, men prova att exportera en komplett webbutik eller tio års mail från en låst SaaS-tjänst. Ofta upptäcker man först då hur fast man sitter. Flyttbarhet är inget man ska behöva testa i skarpt läge.