Hos oss lagres dataene i EU/EØS der det er mulig, og hvor de lagres avtales i kartleggingen og står i databehandleravtalen. Personopplysninger kan flyte fritt innen EØS. Utenfor EØS kreves et overføringsgrunnlag. Hvor serverne står er én ting, hvem som kan få tilgang er en annen.
1. Hva omfatter «lagring»?
Spørsmålet «hvor lagres dataene?» handler om flere ting enn serverne. Klikk på en del for å se hva du bør spørre om.
Fem ting som kan ligge ulike steder
2. Hva er reglene for overføring?
Fordi Norge er med i EØS, kan personopplysninger flyte fritt mellom Norge og EU/EØS-landene. For land utenfor EØS gjelder reglene i personvernforordningen (GDPR) kapittel V.
| Situasjon | Hva som kreves |
|---|---|
| Lagring og tilgang innen EU/EØS | Ingen særskilt overføringsregel |
| Land med tilstrekkelighetsvedtak | Overføring kan skje innenfor vedtakets rammer (artikkel 45) |
| Andre land | Egnede garantier (artikkel 46). Det vanligste er EU-kommisjonens standard personvernbestemmelser (SCC), og du må vurdere om mottakerlandet gir tilstrekkelig vern |
| Særlige unntak | Snevre unntak (artikkel 49). Datatilsynet fraråder dem til regelmessige overføringer |
For USA har EU-kommisjonen et tilstrekkelighetsvedtak for sertifiserte selskaper, kalt Data Privacy Framework. EU-retten stadfestet det i første instans 3. september 2025, men saken er anket til EU-domstolen. Mange har derfor standardbestemmelser som reserve. Spør Datatilsynet eller en jurist om hva som gjelder deg.
3. Hvor står du?
Svar på fem spørsmål om situasjonen din.
Fem spørsmål
4. Hva bør du spørre leverandøren om?
Åpne et spørsmål for å se hva det betyr, et eksempel og hva som skjer hvis du hopper over det.
Hva det betyr: Be om land og leverandør for lagringen. «I skyen» er ikke et svar.
Eksempel: «Dataene lagres hos en skyleverandør i et datasenter i EU.»
Hopper du over det: Du vet ikke hvilke regler som gjelder.
Slik gjør du: Få landet og leverandøren skriftlig, og at de står i databehandleravtalen.
Hva det betyr: Tilgang fra et land utenfor EØS, for eksempel for support, kan regnes som en overføring.
Eksempel: Leverandørens support sitter i et annet land og kan se kundedata ved feilsøking.
Hopper du over det: Du har en overføring du ikke vet om.
Slik gjør du: Spør hvem som kan se dataene, fra hvilke land, og hva som loggføres.
Hva det betyr: Skytjenester, e-post og overvåkingsverktøy kan også få tilgang til dataene.
Eksempel: En tjeneste for feilovervåking får kopier av feilmeldinger som inneholder kundenavn.
Hopper du over det: Dataene havner hos flere enn du tror.
Slik gjør du: Be om en liste, og avtal at du får beskjed før nye tas i bruk.
Hva det betyr: Kopier lagres ofte et annet sted enn driftsmiljøet.
Eksempel: Sikkerhetskopier ligger i et annet land enn produksjonsdataene.
Hopper du over det: Reglene du har avtalt gjelder bare deler av dataene.
Slik gjør du: Spør hvor kopier og testdata ligger, og bruk testdata uten ekte personer der det er mulig.
Hva det betyr: Leverandører kan flytte data eller bytte underleverandør.
Eksempel: Leverandøren flytter lagringen til et annet land uten å si fra.
Hopper du over det: Du oppdager det først etter at det har skjedd.
Slik gjør du: Avtal at du får beskjed på forhånd og kan protestere.
5. Hva bør du sjekke før du signerer?
Hak av når avtalen svarer på punktet.
Åtte ting om lagring
- Landet og leverandøren for lagringen står i avtalen.
- Du vet hvem som kan få tilgang, og fra hvilke land.
- Underleverandørene er listet.
- Sikkerhetskopier og testmiljø er dekket av samme regler.
- Du får beskjed før lagringssted eller underleverandør endres.
- Er noe utenfor EØS, er overføringsgrunnlaget skriftlig.
- Det finnes en logg over hvem som har hatt tilgang.
- Sletting av data når oppdraget er over er avtalt.
Alt dette hører inn under databehandleravtalen. Hvem som skal se hva i selve dashbordet, står i artikkelen om tilgang, og hvem som eier koden og dataene står i artikkelen om eierskap.
- Å la «skyen» være svaret på hvor dataene lagres.
- Å tro at EU-servere betyr at ingen utenfor EØS har tilgang.
- Å glemme sikkerhetskopier og testmiljø.
- Å la leverandøren bytte underleverandør uten å si fra.
6. Hva gjør vi ikke?
Vi gir ikke juridisk rådgivning, og denne artikkelen erstatter ikke det. Hos oss lagres dataene i EU/EØS der det er mulig, og hvor de lagres avtales i kartleggingen og står i databehandleravtalen. La en jurist vurdere overføringer til land utenfor EØS.
7. Kilder
Sist sjekket 1. oktober 2026.
- Datatilsynet, Overføring av personopplysninger ut av EØS: standard personvernbestemmelser som overføringsgrunnlag.
- IAPP, European General Court dismisses Latombe challenge, upholds EU-US Data Privacy Framework (dommen 3. september 2025, sak T-553/23).
- Personvernforordningen (GDPR), kapittel V, artikkel 44 til 49.
8. Ofte stilte spørsmål
I EU/EØS der det er mulig. Hvor dataene lagres avtales i kartleggingen og står i databehandleravtalen.
Nei. Personopplysninger kan flyte fritt mellom Norge og EU/EØS-landene. Overføring til land utenfor EØS krever et overføringsgrunnlag.
En rettslig basis for å overføre personopplysninger ut av EØS. Det kan være at EU-kommisjonen har vedtatt at landet har tilstrekkelig vern, eller at partene bruker standard personvernbestemmelser (SCC), ofte kombinert med en vurdering av mottakerlandet.
Det kan være det. Hvis en leverandør i et land utenfor EØS kan få tilgang til dataene, for eksempel for support, kan det regnes som en overføring. Spør derfor om hvor tilgangen kommer fra, ikke bare hvor serverne står.
Hvor dataene lagres, hvem som kan få tilgang og fra hvor, hvilke underleverandører som brukes, og at du får beskjed og kan protestere før lagringssted eller underleverandør endres.
Les videre om personvern
Dette er den tredje artikkelen i temaet om personvern. Neste handler om testdata.
Dashbord og personvern: hvem skal se hva?
Les artikkelen → I samme temaDatabehandleravtale med programvareutvikler: hva den må inneholde
Les artikkelen → Neste i temaetTest med ekte data eller testdata?
Les artikkelen →Se alle artikler i temaet Personvern →
Vil du vite hvor dataene dine havner?
Kartleggingen er uforpliktende. Der avtaler vi hvor dataene lagres, og det står i databehandleravtalen.
Book kartlegging