Forordningen om frie datastrømme skal lette virksomheders brug af cloud-løsninger og skabe nye muligheder for datacenterindustrien. Den omhandler alle data, der ikke er persondata og gælder både virksomheders og offentlige myndigheders brug af cloud-tjenester.
Forordningen finder anvendelse fra 28. maj 2019, hvor indførelse af nye datalokaliseringskrav forbydes. Eksisterende datalokaliseringskrav skal ophæves senest 30. maj 2021.
Forbud mod dataplaceringskrav
Et dataplaceringskrav er enhver forpligtelse, krav eller andet, der indebærer, at dataopbevaring skal finde sted i en bestemt medlemsstat eller forhindrer databehandling i enhver anden medlemsstat. Fx er det ikke lovligt at stille krav om, at data skal opbevares i Danmark.
Forordningen indfører et forbud mod dataplaceringskrav i:
- National lovgivning
- Administrative bestemmelser af generel karakter, fx bekendtgørelser og cirkulærer.
- Almen og fast administrativ praksis i en medlemsstat og i offentlige organer, herunder i offentlige udbud.
Offentlige udbud
Forbuddet mod dataplaceringskrav betyder at I, som offentlig myndighed, ikke må fastsætte dataplaceringskrav i offentligt udbudsmateriale medmindre dataplaceringskravene er begrundet i hensynet til den offentlige sikkerhed og samtidig er i overensstemmelse med det EU-retlige proportionalitetsprincip.
Undtagelse til forbuddet
Forordningen indfører kun én enkelt undtagelse til forbuddet mod dataplaceringskrav: Et dataplaceringskrav er kun lovligt, hvis det er begrundet i hensynet til den offentlige sikkerhed og samtidig er i overensstemmelse med det EU-retlige proportionalitetsprincip. Der er ikke andre legitime hensyn, der kan begrunde en undtagelse til forbuddet mod datalokaliseringskrav.
Da forordningen finder anvendelse fra den 28. maj 2019, kan I som myndighed således kun indføre dataplaceringskrav begrundet i hensyn til offentlig sikkerhed og i overensstemmelse med proportionalitetsprincippet.
Inden 30. maj 2021 skal alle eksisterende dataplaceringskrav desuden ophæves, medmindre de kan begrundes i offentlig sikkerhed og samtidig er proportionale.
Underretning af EU-Kommissionen ved særregler
Det er som hovedregel forbudt at fastsætte dataplaceringskrav i dansk lovgivning. Men hvis I som myndighed vil indføre et lovligt dataplaceringskrav, der er begrundet i hensynet til den offentlige sikkerhed og i overensstemmelse med det EU-retlige proportionalitetsprincip, skal I underrette EU-Kommissionen om kravet inden vedtagelsen af loven.
En sådan underrettelse af EU-Kommissionen kaldes også notifikation og skal ske i overensstemmelse med Informationsproceduredirektivet.
Kontrol og sanktioner
Selvom virksomhederne efter forordningen selv kan bestemme, i hvilket land deres data skal opbevares, ændrer det ikke på, at I som myndighed fortsat skal have adgang til deres data ved kontrol.
Erhvervsstyrelsen er nationalt kontaktpunkt for forordningen og samarbejder med de øvrige EU-lande, hvis der er problemer med at få udleveret data, som opbevares i et andet EU-land, og som en virksomhed er forpligtet til at oplyse nationale myndigheder om.
Sanktionsmuligheder
Som dansk myndighed kan I indføre sanktioner, hvis virksomheder ikke indberetter data, som de er forpligtet til, når data opbevares i en cloud-løsning i et andet EU-land. Dette kunne eksempelvis være regnskabsdata. En sanktion kan være, at virksomheden forpligtes til at opbevare sine data i Danmark i en bestemt periode.
Hvis en virksomhed får en sanktion, hvor virksomheden har pligt til at opbevare sine data i Danmark i mere end 180 dage, skal I som dansk myndighed tage kontakt til Erhvervsstyrelsen. I vores egenskab af nationalt kontaktpunkt vil vi herefter underrette EU-Kommissionen om den pågældende sanktion, som vil vurdere, om den nationale regel er i overensstemmelse med EU-retten.
En sanktion, som indeholder et forbud mod opbevaring af data i udlandet, findes eksempelvis i bogføringslovens § 17.