Microsoft må bygge om Azure for å oppfylle løftet om å isolere kundedata til servere i Europa

Microsoft kom torsdag med et løfte om å lagre all skybasert informasjon fra sine europeiske kunder på datasentraler i Europa, og ikke i USA.

Forpliktelsen gjelder hele porteføljen, inkludert Azure-plattformen, Dynamics og Office 365, senest innen utgangen av 2022.

– Det som er nytt fra tidligere er at vi nå tar på oss en større forpliktelse, som sier at alle persondata skal forbli innenfor EU-området, noe som inkluderer Norge, sier Lena Lundgreen, som er direktør for offentlig sektor i Microsoft Norge.

Hun bekrefter overfor digi.no at noen av selskapets skytjenester per i dag er lagd slik at hvis du ønsker å bruke tjenesten, så innebærer det en dataoverføring til USA.

Azure må bygges om

Med den flunkende nye planen de har kalt «EU Data Boundary for the Microsoft Cloud» vil Microsoft garantere at dine persondata ikke blir overført til USA eller andre tredjeland.

En større teknisk omlegging er påkrevd for å kunne isolere alle skybaserte kundedata til servere på europeisk jord, forteller direktøren til digi.no.

Antakelig er det derfor at løftet som Microsoft-president Brad Smith kom med denne uken først vil trå i kraft innen utgangen av 2022.

Lundgreen i Microsoft Norge hevder at Microsoft kommer med den nye og større forpliktelsen som et direkte svar på ønsker fra kundene deres i Europa.

– Personvern har vært et tema på tvers av hele Europa lenge før vi fikk GDPR (EUs personvernforordning). Disse diskusjonene har vi hatt både i Norge og andre land. Microsoft erkjenner nå at Europa har ett syn på personvern, som vi ønsker å lene oss mot, sier Lundgreen.

Dataoverføring til utlandet

Går vi tilbake til 2018 holdt Microsoft Norge-direktøren for offentlig sektor et innlegg der hun røpet nye opplysninger om selskapets datasentre i Norge, som den gang var under oppføring. Her er noe av det som ble sagt:

«Det hadde ikke vært vits for oss å bygge datasenter i Europa hvis folk ikke var opptatt av hvor dataene ligger lagret. Kun ved supportsituasjon vil data gå ut av landet, men da må kunden selv trykke bekreftende på en knapp først.

I dag ber vi om en utdypning. Er det kun ved support at data kan bli overført til USA?

– Det ligger informasjon på sidene våre om hvilke skytjenester som er globale og vil overføre data, men samtidig har vi hatt disse garantiene våre knyttet til «data at rest» og «data in transit» og så videre. Hvis det først er en lokal tjeneste, så befinner dataene seg i datasenteret. Noen tjenester er imidlertid av en slik art at dataoverføring skjer til utlandet, svarer Lena Lundgreen.

Tar kampen til domstolene

– Hva kan Microsoft gjøre for å hindre utlevering av data, for eksempel om det skulle komme en hemmelig rettsordre i USA som krever dette?

– De forpliktelsene vi har tatt på oss der, er de vi egentlig annonserte den 19. november i fjor med en kunngjøring kalt «defending your data». Fra et overordnet perspektiv så tar vi på oss, så langt som mulig, å forsvare kundenes data ved å prøve å hindre utlevering, ta saker til domstolene.

Senest i januar blogget Microsoft om saker hvor de har utfordret hemmelige kjennelser i amerikansk rettsvesen og fått medhold

– Så problemstillingen du spør om ble adressert i det vi gjorde allerede i november i fjor. Dagens annonsering om EU Data Boundary retter seg ikke nødvendigvis mot disse forespørslene om rettshåndhevelse, påpeker Lundgreen.

– I hvilken grad kan Microsoft garantere at data lagret i datasentrene deres i Norge ikke kan bli utlevert til USA eller andre tredjeland?

– Altså, vi har forpliktelser i våre kontrakter på utlevering, men må forholde oss til de landene vi opererer i. Hvis det er juridisk lovlige utleveringsbegjæringer, så må vi ta hensyn til det, avslutter Microsoft Norges direktør for offentlig sektor, Lena Lundgreen.