Compliance-paradokset

Opdateret for 2026

Virksomheder bruger anonymiseringsværktøjer til at overholde GDPR. Værktøjet skal være løsningen. Det beskytter personoplysninger i henhold til Artikel 32. Men hvis værktøjet sender EU-persondata til amerikanske servere, skaber det præcis det brud, det var købt til at forhindre.

I august 2024 bødede den hollandske databeskyttelsesmyndighed Uber €290 millioner. Det var den største EU-overførselsbøde nogensinde på daværende tidspunkt. Årsagen: Uber sendte europæiske chaufførdokumenter til amerikanske servere. Navne, lokationsfiler, betalingsoplysninger og ID-papirer krydsede grænsen. Der var ingen ordentlige sikkerhedsforanstaltninger i henhold til Artikel 46. Den hollandske DPA fastslog, at Ubers brug af amerikanske servere var et vedvarende GDPR-brud.

Den samme logik gælder for anonymiseringsværktøjer. Et amerikansk SaaS-værktøj, der sender EU-persondata til amerikanske servere, gør præcis det, den hollandske DPA straffede. Formålet — anonymisering vs. tur-administration — ændrer ikke den juridiske analyse. Se vores compliance-oversigt for en let forståelig sammenfatning.

DPO'er har lagt mærke til det

DPO'er har rejst dette spørgsmål siden Schrems II i 2020. Den afgørelse afskaffede EU-US Privacy Shield. Den fastlagde reglen om, at amerikanske servere ikke er sikre til EU-persondata, medmindre der er indført ekstra sikkerhedsforanstaltninger.

Hvert amerikansk værktøj, der modtager EU-persondata, kræver et lovligt overførselsgrundlag på fil. GDPR-bøder har samlet nået €5,65 milliarder gennem 2025. Overførselsovertrædelser koster nu i gennemsnit €18 millioner pr. sag. Risikoen er reel. Den har allerede resulteret i store bøder. Den vil medføre flere.

To måder at løse paradokset på

Der er to reelle løsninger. For det første behandling af dokumenter udelukkende på EU-servere. Filerne forlader aldrig EU. For det andet et zero-knowledge-design. Intet personligt indhold når frem til serveren overhovedet.

EU-hosting alene er muligvis ikke tilstrækkeligt. Et amerikansk firma på EU-servere kan stadig pålægges at udlevere filer. FISA Section 702 og Executive Order 12333 rækker til amerikanske firmaer og deres EU-enheder. En amerikansk modervirksomhed kan tvinges til at give adgang — selv til filer på EU-servere.

Zero-knowledge-design løser dette. Hvis intet personligt indhold når frem til serveren, er serverplaceringen ligegyldig. Det, der når frem til serveren — krypterede tokens, maskerede værdier, transformeret output — er ikke personoplysninger i henhold til GDPR. Det falder uden for overførselsreglerne. anonym.legal følger selv den første vej: dens API behandler tekst i EU-datacentre (Hetzner, Falkenstein). Se vores sikkerhedsoversigt og prisplaner.

anonym.legal behandler tekst i EU-baserede Hetzner-datacentre (Falkenstein); zero-knowledge gælder for login, så din adgangskode forlader aldrig din enhed. anonym.legals Desktop-program læser filer på din enhed; registreringen kører på den EU-hostede API.