Er datasystemer i skyen GDPR-kompatible? Et alternativ til Dropbox, Google Drive, OneDrive og lignende.

I mange år hadde jeg skytjenesten Dropbox som en del av infrastrukturen min:
Alle sikkerhetskopier og alt kundemateriale som var nødvendig for å utvikle nettprosjekter – grafikk, bilder, tekstfiler og dokumenter, Excel-ark og databaseeksporter – ble lagret i Dropboxen min.
Det var enkelt å dele data med kundene mine ved hjelp av delingsfunksjonen i Dropbox. Vi kunne samarbeide om dokumenter og mye mer.

Som frilansutvikler unnet jeg meg derfor et bedriftsabonnement hos Dropbox: Professional, med 3 TB lagringsplass og en rekke flotte funksjoner.

Da de nye GDPR-bestemmelsene trådte i kraft i EU i mai 2018, kontaktet jeg kundeservice hos Dropbox for å spørre hvordan jeg kunne fortsette å bruke Dropbox som bedriftskunde i samsvar med GDPR. Jeg fikk beskjed om at de snart ville tilby løsninger for dette.

I praksis endte det likevel med at de bare viste til EU–Privacy Shield-avtalen, uten å tilby noen løsning. For selskaper og enkeltpersonforetak i EU var dette altså fortsatt en juridisk gråsone. I personvernerklæringen viser Dropbox fremdeles til EU–Privacy Shield, som den 16.07.2020 ble kjent ugyldig av EU-domstolen med rettslig virkning.

Dropbox har riktignok tatt inn EUs standard personvernbestemmelser i personvernerklæringen, men det er dessverre ikke nok til at man kan bruke Dropbox som tysk virksomhet. Serverne som lagrer dataene, må nemlig også befinne seg i EU. Og nettopp denne flyttingen av data til en server i EU tilbyr Dropbox bare på følgende vilkår:

1. Man må ha minst et Business Standard-abonnement.
2. Man må bestille minst 10 brukere.
3. Man må velge et abonnement med årlig fakturering.

Dropbox i min Business Professional-tariff med bare én bruker er ikke tilstrekkelig for dette. Årsprisen for Business Professional er 198,96 € / år, mens årsprisen for den ovennevnte minimumstariffen for en «på en eller annen måte» GDPR-kompatibel drift av Dropbox utgjør minst 1200 € / år.

Jeg mottok denne informasjonen fra Dropbox Business-support for bare noen dager siden. Deretter undersøkte jeg muligheter for likevel å kunne bruke Dropbox i samsvar med GDPR – også uten å kunne migrere dataene mine til EU. Da fant jeg en svært lovende verktøy som heter Boxcryptor. Boxcryptor krypterer dataene før de lagres i Dropbox. Selskapet har både hovedkontor og servere i Tyskland, og et datasenter sertifisert etter ISO/IEC 27001:2013. Verktøyet kan dessuten kryptere data på en sikker måte før de lagres i iCloud, Microsoft OneDrive, Google Drive og hos mange andre amerikanske skyleverandører, og dermed beskytte dem mot uautorisert tilgang. For øyeblikket støttes 30 leverandører. Informasjon om Boxcryptor

Boxcryptor tilbyr i tillegg en delingstjeneste som gjør det mulig å dele krypterte filer via en delingslenke – helt likt Dropbox sin opprinnelige fildelingsfunksjon. Den Boxcryptors delingstjeneste heter Whisply og fungerer i nettleseren.

I utgangspunktet en flott idé og veldig funksjonell. Men jeg syntes denne «løsningen» var tungvint under testing. Og for kundene mine var det fortsatt ikke garantert en EU-serverplassering. Noen insisterte imidlertid på dette.

Dermed var det bare én løsning som var aktuell for meg: kutte ut Dropbox og lagre arbeidsdataene mine på en server jeg drifter selv i Tyskland. Jeg begynte derfor å lete etter programvare for skylagring med åpen kildekode som

• har en delingsfunksjon,
• jeg kan kjøre på min egen server,
• jeg kan bruke fra de andre enhetene mine via en app, og
• sørger for at synkroniseringen fungerer problemfritt.

Min programvareløsning heter «Seafile». Pro-versjonen kan brukes med en gratis lisens for opptil maksimalt 3 brukere. Men også for små og større team er prisen på Seafile interessant.

Jeg registrerte en brukerkonto på seafile.com og fikk dermed tilgang til kildefilene, Seafiles GitHub-repositorium og den omfattende dokumentasjonen. Deretter satte jeg opp en LEMP-stack på en av mine root-servere hos Netcup GmbH i Karlsruhe for bruk med Seafile. Nye kunder kan for øvrig legge inn denne rabattkoden til en verdi av 5 € ved bestilling: 36nc16160577660. Jeg installerte Ubuntu 20.04 LTS, Nginx og MariaDB, satte opp et underdomene med proxy for Seafile og installerte PHP 7.4 og 8.x, i tillegg til Python-bibliotekene verktøyet trenger.

Så installerte jeg Seafile på den klargjorte serveren og tok den nye GDPR-kompatible bedriftsskyen min i bruk. Jeg fjernet alle data fra Dropbox, flyttet dataene på min lokale maskin til den nye Seafile-mappen og startet synkroniseringen. Både installasjonen og oppsettet gikk knirkefritt.

Tillegg 18.11.2021: Også etter en tids aktiv bruk er jeg fortsatt svært fornøyd med denne løsningen. Den fungerer utmerket, og synkroniseringen er til og med betydelig raskere og mer effektiv enn Dropboxen min noen gang var.

Tillegg 21.03.2023: I mellomtiden har jeg funnet en personvernkompatibel skyløsning for brukere med mindre teknisk erfaring: produktet Storage Share fra Hetzner – f.eks. 5 TB forhåndsinstallert Nextcloud for kun € 16,89 / måned.

Hva synes du om disse løsningene? Hvordan har dere løst skylagringen i virksomheten din?
Jeg gleder meg til å lese svarene dine i kommentarfeltet.