Exit fra skytjenesten: slik sikrer dere dataene når avtalen avsluttes

De fleste virksomheter bruker måneder på å velge skytjeneste og minutter på å lese avtalens regler om avslutning. Det er først når prisen øker, leverandøren blir kjøpt opp eller tjenesten svikter, at exit blir aktuelt. Da er det avtalen som avgjør om dataene kommer ut i brukbar stand, til hvilken pris og hvor raskt.

Hva betyr exit fra skytjenesten?

Exit fra skytjenesten er prosessen der kunden avslutter avtalen og flytter data, konfigurasjoner og brukere til en ny leverandør eller til egne systemer. En vellykket exit krever at kunden får ut alle data i et format som kan brukes videre, at tjenesten fungerer mens flyttingen pågår, og at leverandøren sletter sine kopier etterpå.

Risikoen ligger i hva som skjer når avtalen er taus. Uten regulering har kunden ikke krav på et bestemt format, ikke krav på bistand og ingen sikker frist. Leverandøren kan da diktere vilkårene akkurat når kunden er mest avhengig av dem.

Hva sier dataforordningen om exit fra skytjenesten?

Dataforordningen, forordning (EU) 2023/2854, kalles ofte Data Act. Kapittel VI, artikkel 23 til 31, gir kunder av skytjenester rett til å bytte leverandør eller flytte til egen infrastruktur. Reglene har gjeldt i EU siden 12. september 2025 (dataforordningen art. 50).

Reglene gjelder «databehandlingstjenester», som i dataforordningen art. 2 er definert vidt som digitale tjenester med nettverkstilgang på forespørsel til en delt pool av skalerbare dataressurser. Definisjonen omfatter infrastruktur- og plattformtjenester og mange SaaS-tjenester. Hvor grensen går for enkelte SaaS-tjenester, er omdiskutert.

Leverandøren skal fjerne kommersielle, tekniske, avtalemessige og organisatoriske hindringer for bytte (dataforordningen art. 23). Etter dataforordningen art. 25 skal kundens rettigheter ved bytte stå i en skriftlig avtale, som kunden skal få før den signeres. Tabellen viser de viktigste fristene.

I overgangsperioden skal leverandøren yte rimelig bistand, opprettholde tjenesten, informere om kjente risikoer og sikre et høyt sikkerhetsnivå. Avtalen skal også angi uttømmende hvilke data og digitale eiendeler som kan flyttes, og hvilke interne data leverandøren unntar for å verne forretningshemmeligheter. Etter dataforordningen art. 26 skal leverandøren opplyse om tilgjengelige metoder og formater og vise til et oppdatert nettregister over datastrukturer og dataformater.

En exitklausul er verdiløs hvis dataene kommer ut i et format ingen andre kan lese.

Hvilke unntak gjelder?

Etter dataforordningen art. 31 gjelder flere av pliktene ikke for tjenester der hoveddelen av funksjonene er skreddersydd for én kunde og ikke tilbys i større kommersiell skala. Kapittel VI gjelder heller ikke testversjoner som tilbys for en begrenset periode. Leverandøren skal opplyse kunden om hvilke plikter som ikke gjelder, før avtalen inngås.

Byttegebyrer omfatter ikke ordinære tjenestegebyrer eller gebyrer for tidlig oppsigelse (dataforordningen art. 2). En bindingsperiode kan derfor fortsatt koste penger å bryte. Hvordan dette skal avgrenses mot retten til å bytte med to måneders varsel, er ikke avklart. Forordningen inneholder ingen særskilt overgangsregel for kapittel VI, og etter ordlyden gjelder reglene derfor også for avtaler inngått før 12. september 2025. EU-kommisjonen har i forslaget til Digital Omnibus foreslått lempinger for blant annet eldre avtaler med små og mellomstore leverandører. Forslaget var ikke vedtatt da artikkelen ble skrevet.

Gjelder dataforordningen i Norge?

Ikke ennå. Forordningen er EØS-relevant, men den er ikke innlemmet i EØS-avtalen. Ifølge regjeringens EØS-notat er vurderingen av akseptabilitet og tilpasningsbehov ikke avsluttet, og gjennomføring i norsk rett vil kreve lovendring. Vi har ikke funnet noen norsk høring om gjennomføringen. Nkom har opplyst at etaten er aktuell som tilsynsmyndighet for reglene om bytte.

Forordningen gjelder etter dataforordningen art. 1 nr. 3 leverandører som tilbyr tjenester til kunder i EU, uansett hvor leverandøren er etablert. Norske virksomheter med datterselskaper i EU kan derfor ha rettigheter etter forordningen allerede i dag. Mange globale leverandører har dessuten innført de samme vilkårene for alle kunder. Inntil reglene gjelder i Norge, må norske kunder likevel sikre exit gjennom avtalen.

Hva krever personvernforordningen ved avslutning?

Behandler leverandøren personopplysninger på vegne av kunden, skal databehandleravtalen fastsette at leverandøren etter kundens valg sletter eller leverer tilbake alle personopplysninger når tjenesten avsluttes, og sletter eksisterende kopier med mindre lov krever lagring (GDPR art. 28 nr. 3 bokstav g). Plikten gjelder i Norge i dag.

Kunden er behandlingsansvarlig og må kunne dokumentere at opplysningene er slettet eller tilbakelevert. Be derfor om skriftlig bekreftelse på sletting, også hos underleverandører. Les mer om databehandleravtale ved kjøp av SaaS. Ligger dataene hos en leverandør i USA, må også overføringsgrunnlaget vurderes ved bytte. Se artikkelen om Data Privacy Framework og overføring til USA.

Hva bør exitklausulen inneholde?

Statens standardavtale SSA-L er en god målestokk, også for private kunder. Etter SSA-L 2026 skal tjenesten være fullverdig i hele avslutningsperioden, uansett årsaken til avslutningen (punkt 5.3). Leverandøren skal tilrettelegge for overføring av data med sikkerhetskopier, datastrukturer og metadata, i tillegg til lisenser, kontrakter og brukeroversikter. Kunden har krav på oppfølgende bistand i inntil 30 dager etter at tjenesten er etablert hos ny leverandør, og kan kreve avtalen forlenget i inntil seks måneder på like vilkår (punkt 5.4). Dataene skal leveres i et allment tilgjengelig og maskinlesbart format, og leverandøren har ikke under noen omstendighet rett til å holde dataene tilbake (punkt 7.2).

Bistanden betales etter avtalte timepriser, men ikke når avtalen avsluttes på grunn av vesentlig mislighold fra leverandøren. Det er en balansert løsning som kunden bør kreve også i kommersielle avtaler.

Hvor går exit oftest galt?

Exit går oftest galt fordi kunden starter for sent. Oppsigelsesfristen løper ut før ny leverandør er valgt, og kunden må enten fornye for et nytt år eller flytte i full fart. Det nest vanligste problemet er at eksporten bare omfatter rådata. Vedlegg, historikk, tilganger, arbeidsflyter og koblinger mellom datasett blir igjen, eller kommer ut i et format som må bygges om manuelt.

Et tredje problem er at ingen i virksomheten eier prosessen. Exit krever både juridisk, teknisk og faglig kompetanse, og ansvaret bør plasseres hos én person med mandat til å ta beslutninger. Tap av data i overgangen er dessuten ofte dårlig regulert i leverandørens ansvarsbestemmelser.

Hva bør virksomheten gjøre?

1. Lag en exitplan før avtalen signeres. Beskriv hvilke data, integrasjoner og konfigurasjoner som må flyttes, og hvor lang tid det tar.
2. Krev et maskinlesbart og dokumentert format, med datastrukturer og metadata intakt.
3. Avtal overgangsperiode og forlengelse. Tjenesten skal fungere fullt ut til flyttingen er ferdig, og kunden bør kunne forlenge avtalen ved behov.
4. Avtal bistand og pris på forhånd, og at bistanden er vederlagsfri hvis leverandøren har misligholdt.
5. Utelukk tilbakeholdsrett i dataene, også ved uenighet om betaling.
6. Krev sletting med skriftlig bekreftelse, også hos underleverandører, og i samsvar med databehandleravtalen.
7. Test eksporten jevnlig. En årlig prøveeksport avdekker problemer mens det fortsatt er tid til å rette dem.
8. Sjekk om leverandøren følger dataforordningen overfor kunder i EU, og be om at de samme vilkårene gjelder i Norge.

Exit fra skytjenesten henger tett sammen med pris og ansvar. En sterk exitklausul gir kunden en reell mulighet til å si nei til en prisøkning fra SaaS-leverandøren, og den reduserer konsekvensene hvis dataene går tapt. Se også artikkelen om ansvarsbegrensning i SaaS-avtaler, pilarsiden om kontrakter og pilarsiden om personvern.

Spørsmål og svar

Neste faglige kontroll: 31. januar 2027