Hvem som behandler data på deres vegne, hvor i verden det skjer, og hva de får lov til.
Hvorfor det er viktig
Dere er behandlingsansvarlig — ansvaret kan ikke settes bort. Overføring ut av EØS krever et gyldig grunnlag, og «leverandøren sier det er greit» er ikke et.
Eksempel på kravformulering
All behandling av personopplysninger skal skje innenfor EU/EØS. Databehandleravtale skal inngås før behandling starter, og skal liste alle underleverandører. Endring av underleverandør skal varsles minst 30 dager i forveien med rett til å motsette seg.
Tilpass tallene til deres virkelighet — et krav du ikke kan begrunne, er et krav du ikke bør stille.
Slik verifiserer du det
Be om listen over underleverandører — inkludert AI- og analysetjenester. Sjekk hvor dataene faktisk ligger, ikke hvor leverandøren har hovedkontor.
Fallgruver
Å glemme underleverandørene. Leverandøren er kanskje norsk, men bruker amerikansk sky, amerikansk e-postutsending og amerikansk AI-API. Da er data ute av EØS uansett.
AI-perspektiv
Dette er ofte det avgjørende kravet ved valg av AI-leverandør: EU-baserte alternativer (Mistral, Aleph Alpha, DeepL) eller Azure/Vertex med EU-region gjør datalokasjon vesentlig enklere.