Hvis din skyudbyder har base i USA, kan en gyldig amerikansk retskendelse tvinge virksomheden til at hente din virksomheds data på servere overalt i verden.
Virksomheder som Google, Microsoft og Amazon er sårbare over for denne indtrængen, som CLOUD Act muliggør – en lov fra 2018, der giver amerikanske retshåndhævende myndigheder globale tentakler.
Det er især et problem for EU-virksomheder. Hvis din amerikanske udbyder udleverer dine e-mails eller filer, kan det udgøre en overtrædelse af GDPR for lækage af personoplysninger, hvilket kan medføre bøder på op til 20 mio. € eller 4 % af den globale årlige omsætning, alt efter hvad der er højest.
Det er den virkelighed, som amerikanske virksomheder slører, når de i deres markedsføring siger »GDPR-kompatibel« og »europæisk suveræn sky«. En amerikansk udbyders EU-datacenter drives stadig af en virksomhed under amerikansk jurisdiktion. For din virksomhed betyder det, at indkøbsbeslutninger medfører et compliance-ansvar, du måske ikke har regnet med. For dine kunder betyder det, at de personoplysninger, de betroede til dig, kan ende i en retslig proces, som de ikke har indflydelse på (og måske aldrig får kendskab til).
Her er en enkel forklaring på CLOUD Act, hvorfor denne indgribende lovgivning er vigtig for virksomheder, og hvordan du begrænser din eksponering. Hvor dine data ligger, bestemmer ikke længere, hvem der kan få adgang til dem.
Hvad er CLOUD Act?
Clarifying Lawful Overseas Use of Data Act (CLOUD Act(nyt vindue)) er en amerikansk føderal lov, der trådte i kraft i 2018. Den giver føderale retshåndhævende myndigheder – primært Justitsministeriet og FBI, men også føderalt, statsligt og lokalt politi – mulighed for at få en kendelse, en retskendelse eller en stævning, der tvinger teknologivirksomheder under amerikansk jurisdiktion til at udlevere data, uanset hvor i verden disse data fysisk er lagret.
Hvis FBI f.eks. opnår en kendelse, der tvinger Microsoft til at udlevere en europæisk virksomheds e-mails, skal Microsoft efterkomme den – selv hvis en europæisk domstol er uenig i anmodningen.
CLOUD Act har et legitimt politimæssigt formål. Den skal hjælpe føderale retshåndhævende myndigheder med at efterforske alvorlig kriminalitet som terrorisme, børneudnyttelse og cyberkriminalitet. Den er ikke beregnet til efterretningsindhentning, som foregår via en separat amerikansk myndighed (FISA Section 702), der ofte forveksles med den.
Det legitime formål fjerner dog ikke det strukturelle problem for virksomheder: CLOUD Act kan bringe en udbyder under amerikansk jurisdiktion i en situation, hvor det at efterkomme en lovlig amerikansk kendelse betyder at bryde EU-lovgivningen. Det efterlader virksomheder fanget mellem to compliance-regimer uden mulighed for at opfylde begge.
Hvad er oprindelsen til CLOUD Act?
CLOUD Act blev vedtaget i 2018 af den amerikanske regering for at ændre Stored Communications Act (SCA) fra 1986. Denne ændring var i vid udstrækning en reaktion på en igangværende retssag(nyt vindue), sagen »Microsoft-Ireland«.
I 2013 udfordrede Microsoft en føderal kendelse, der krævede e-mails fra en kunde, som var under efterforskning for narkotikahandel – e-mails, som Microsoft havde lagret på servere i Irland. Sagen afhang af et vanskeligt juridisk spørgsmål: Kunne en amerikansk kendelse udstedt i henhold til SCA nå digitale kommunikationer, der kontrolleres af en amerikanskbaseret virksomhed, men som er lagret på en dataserver uden for USA?
I 2018 verserede sagen ved USA’s højesteret, da den amerikanske kongres vedtog CLOUD Act. Det gjorde både sagen »Microsoft-Ireland« irrelevant og afklarede spørgsmålet om den amerikanske regerings eksterritoriale beføjelser over data lagret på udenlandsk jord, i hvert fald på papiret.
Hvilke beføjelser giver CLOUD Act den amerikanske regering?
CLOUD Act gav den amerikanske regering beføjelse til at anmode om målrettede data, uanset hvor de var lagret, ved at styrke eksterritoriale SCA-kendelser til amerikanske udbydere. Loven præciserede, at amerikanske retshåndhævende myndigheder kan bruge kendelser, stævninger og retskendelser til at få adgang til elektronisk lagrede kommunikationsdata uden for USA, hvis udbyderen af lagerplads er underlagt amerikansk jurisdiktion, og de anmodede data er relevante og væsentlige for en igangværende strafferetlig efterforskning. En CLOUD Act-anmodning går direkte til udbyderen, og springer den meget langsommere MLAT (Mutual Legal Assistance Treaty)(nyt vindue)-proces over, som den amerikanske regering tidligere benyttede.
CLOUD Act gav også regeringer, der var villige til at tilslutte sig en bilateral regeringsaftale med den amerikanske regering, beføjelse til at lade retshåndhævende myndigheder i partnerlande fremsætte direkte, grænseoverskridende og sagspecifikke anmodninger om data fra amerikanske tjenesteudbydere.
Regeringsaftaler fremskynder indsamling af bevismateriale i alvorlige straffesager som terrorisme og børneudnyttelse, hvor MLAT-processen kan tage måneder. På nuværende tidspunkt findes der kun to regeringsaftaler: mellem USA og Storbritannien (trådte i kraft i oktober 2022(nyt vindue)) og mellem USA og Australien (trådte i kraft i januar 2024(nyt vindue)). Forhandlinger mellem den amerikanske regering og EU og Canada(nyt vindue) er indledt, men ikke afsluttet.
Teknologiudbydere har én sikkerhedsmekanisme: De kan anfægte eller anmode om at ændre en amerikansk kendelse under »comity« – det retsprincip, at domstole retter sig efter andre jurisdiktioners love – hvis det at efterkomme den vil betyde at bryde en udenlandsk lov, især en der er omfattet af en regeringsaftale. Uden for Storbritannien og Australien er denne comity-udfordring baseret på common law den eneste mulighed.
Men som The Electronic Privacy Information Center (EPIC) argumenterer for(nyt vindue), efterlader CLOUD Act selv med comity kunder, herunder virksomheder, med meget lidt reel klagemulighed. Udbyderne er ikke forpligtet til at underrette en kunde, hvis data er blevet tilgået, kunderne har ingen uafhængig ret til at anfægte en anmodning (det afhænger helt af, om udbyderen vælger at gøre indsigelse), og regeringsaftaler udelukker udtrykkeligt at skabe nye retsmidler for de berørte personer.
CLOUD Act vs. GDPR
I Europa, hvor Protons egen forskning viser, at over 74 % af alle børsnoterede selskaber er afhængige af amerikanske teknologitjenester, er CLOUD Act af særlig bekymring, fordi den er i konflikt med EU’s databeskyttelsesforordning (GDPR).
I henhold til artikel 48(nyt vindue) i GDPR anerkendes eller håndhæves en udenlandsk retskendelse eller afgørelse fra en administrativ myndighed (herunder en SCA-kendelse) om at overføre eller videregive personoplysninger ikke automatisk i EU, medmindre den er truffet i henhold til en international aftale, f.eks. en MLAT.
Selv om der ikke har været et tilfælde, hvor GDPR har givet en virksomhed en bøde i forbindelse med en CLOUD Act-kendelse, er der præcedens for, at tilsynsmyndigheder handler på denne type risiko: I 2023 gav Irlands databeskyttelseskommission Meta en rekordstor bøde på 1,2 mia. €(nyt vindue) for EU-US-overførsler, der var udsat for amerikansk overvågningslovgivning – nærmere bestemt FISA Section 702, ikke CLOUD Act.
For amerikanske skyudbydere betyder det, at hvis den amerikanske regering anmoder om data, som de behandler, men som kontrolleres af europæiske virksomheder, kan det at efterkomme CLOUD Act betyde at bryde GDPR. I henhold til artikel 28(nyt vindue) må udbyderen (databehandleren) kun handle efter den dataansvarliges dokumenterede instruktioner, og »at videregive data til en udenlandsk regering« er ikke blandt disse instruktioner.
Eksponeringen er ikke begrænset til udbyderen. Hvis udbyderen videregiver en kundes data som svar på en påtvungen kendelse uden det internationale aftalegrundlag, som artikel 48 kræver (hvilket, da der i øjeblikket ikke findes nogen CLOUD Act-regeringsaftale mellem USA og EU, betyder en MLAT), bærer den virksomhed, der ejer disse data, sit eget ansvar, ikke kun den leverandør, den hyrede til at opbevare dem.
Hvorfor placeringen af data ikke betyder datasuverænitet
I juni 2025(nyt vindue) blev Microsoft Frankrigs egen direktør for offentlige og juridiske anliggender, Anton Carniaux, under ed spurgt i det franske senat(nyt vindue), om han kunne garantere, at franske borgeres data aldrig ville blive udleveret til amerikanske myndigheder uden fransk samtykke.
Hans svar: »Nej. Det kan jeg ikke garantere«. Han tilføjede, at »det er aldrig sket før«, hvilket naturligvis ikke betyder, at det ikke kan ske i fremtiden.
Budskabet var klart: Datasuverænitet handler ikke længere om, hvor data er lagret, men om, hvem der kontrollerer dem. Placeringen af dine dataservere og de regeringer, der har myndighed over dem, er ikke længere nødvendigvis det samme.
Denne kendsgerning står ubehageligt i kontrast til de »GDPR-kompatible« skyløsninger, som amerikanske skygiganter (eller »hyperscalers«) markedsfører til europæiske virksomheder. Disse »europæiske suveræne sky«-produkter drives af virksomheder med hovedkvarter i USA eller som kontrolleres af et amerikansk moderselskab, og GDPR’s beskyttelse rækker kun så langt, som amerikansk lov tillader.
Hvordan zero-access-krypteringsarkitektur begrænser eksponering for CLOUD Act
Hvis din udbyder af skylagerplads er underlagt amerikansk jurisdiktion, og amerikanske retshåndhævende myndigheder kræver adgang til dine data (af legitime juridiske årsager), kan hverken du eller din udbyder forhindre det. På dette tidspunkt er kryptering dine datas eneste forsvar.
Kryptering gør data ulæselige og ubrugelige for både cyberkriminelle og regeringer og omdanner dem til »ciphertext«, som kun nogen med den rigtige nøgle kan læse.
Men krypteringen, som de fleste amerikanske skyudbydere tilbyder, har en fatal hage: De beholder selv dekrypteringsnøglerne. Det betyder, at de kan læse dine data eller tvinges til at udlevere en læsbar kopi til en tredjepart som f.eks. amerikanske retshåndhævende myndigheder.
For at opnå reel beskyttelse mod eksponering af fil- og beskeddata, hvad enten det er over for cyberkriminelle eller regeringer, har du brug for end-to-end-kryptering eller zero-access-kryptering, som forhindrer udbyderen i at få adgang til dataene.
En udbyder, der bruger zero-access-kryptering, har ikke nøglen til at dekryptere de filer, den håndterer og lagrer på sine servere. Den kan stadig tvinges til at videregive data, når retshåndhævende myndigheder kræver det, selv hvis dataene er lagret i en jurisdiktion, der håndhæver en streng databeskyttelsesstandard, som Schweiz. Men de filer, der udleveres, vil være krypterede og ulæselige.
Hvordan Proton beskytter virksomheder mod CLOUD Act
Proton er beskyttet mod CLOUD Act på to vigtige måder:
- Schweizisk jurisdiktion, som begrænser, hvem der kan tvinge Proton til at udlevere data
- Og stærk kryptering, som begrænser, hvad de kan gøre med det, Proton udleverer
Proton har hovedkvarter i Genève i Schweiz uden for amerikansk jurisdiktion og rækkevidden af CLOUD Act-kendelser. Amerikanske myndigheder kan heller ikke ty til en bilateral genvej: Schweiz er ikke part i nogen CLOUD Act-regeringsaftale.
Det fjerner ikke retsprocessen helt. Schweiz har sin egen ramme for gensidig retshjælp, som giver schweiziske myndigheder mulighed for at samarbejde med udenlandske efterforskninger. Men enhver anmodning skal først godkendes efter schweizisk lov af schweiziske domstole – den kan ikke være en kendelse, der forkyndes direkte for udbyderen.
Protons juridiske historie viser, at vi er villige til og i stand til at udfordre schweizisk lov. I 2020 udfordrede vi en schweizisk lov om dataopbevaring, som vi mente var et uhensigtsmæssigt forsøg på at bruge telekommunikationslove til at underminere privatlivet. I 2021 afgjorde den føderale forvaltningsdomstol, at e-mailtjenester ikke er telekommunikationsudbydere og derfor ikke er omfattet af lovens opbevaringskrav.
Og selv en vellykket schweizisk kendelse har grænser for, hvad den kan opnå. Protons end-to-end- og zero-access-kryptering betyder, at beskedindhold og filer er ulæselige for Proton selv, og der er ingen nøgle at udlevere, uanset hvem der spørger. Indholdet af dine e-mails, dokumenter, filer og andre data forbliver uden for rækkevidde.
Ofte stillede spørgsmål om CLOUD Act
Tilsidesætter CLOUD Act GDPR?
CLOUD Act tilsidesætter ikke GDPR, men den er i konflikt med den. Et påbud i henhold til CLOUD Act kan bringe en amerikansk udbyder i en situation, hvor efterkommelse overtræder GDPR artikel 48, fordi der ikke er automatisk anerkendelse af et udenlandsk påbud uden en international aftale. Ingen af lovene viger for den anden, og udbyderen – og enhver europæisk virksomhed, den betjener – er fanget mellem dem.
Gælder CLOUD Act kun for amerikanske virksomheder?
CLOUD Act gælder ikke kun for virksomheder med hovedkontor i USA eller kontrolleret af et amerikansk moderselskab. Den omfatter også enhver udbyder med tilstrækkelig amerikansk juridisk tilstedeværelse eller forretningsmæssig tilknytning. Et amerikansk datterselskab, amerikansk personale eller kontorer eller virksomheder, der målrettet henvender sig til amerikanske kunder, kan være nok til at bringe en organisation med hovedkontor uden for USA ind under CLOUD Act.
Kan jeg afvise en anmodning i henhold til CLOUD Act?
Kunden (den dataansvarlige) er generelt ikke den, der modtager påbuddet – det er udbyderen. Udbyderen kan rejse en comity-indsigelse, hvis efterkommelse overtræder udenlandsk lov, eller gøre indsigelse, hvis en anmodning er juridisk mangelfuld. Men hvis retsmidlerne er udtømte, og påbuddet stadig er gyldigt, vil udbyderen være tvunget til at efterkomme det.
Hvad er forskellen mellem CLOUD Act og en MLAT?
Når der anmodes om digitale beviser via en Mutual Legal Assistance Treaty (MLAT), bliver denne anmodning judicielt gennemgået, en grundig og langsom proces. De executive agreements, der aktiveres af CLOUD Act, lader retshåndhævelsen omgå MLAT-processen, hvis der anmodes om data fra et partnerland. Indtil videre har kun Storbritannien og Australien executive agreements med USA.
Stopper kryptering anmodninger i henhold til CLOUD Act?
Kryptering stopper ikke en retslig kendelse, men hvis en udbyder opbevarer kundedata med end-to-end-kryptering eller nul-adgangskryptering, vil de ikke have nogen læsbare data at give til myndighederne, fordi de ikke har dekrypteringsnøglerne. De ville derfor kun udlevere krypterede filer.
