Hvis skyleverandøren din er basert i USA, kan en gyldig amerikansk rettskjennelse tvinge selskapet til å hente selskapets data fra tjenere hvor som helst i verden.
Selskaper som Google, Microsoft og Amazon er sårbare for denne inntrengingen, som er muliggjort av CLOUD Act, en lov fra 2018 som gir amerikanske rettshåndhevelsesmyndigheter globale tentakler.
Det er spesielt et problem for EU-virksomheter. Hvis den amerikanske leverandøren din overlater e-postene eller filene dine, kan det utgjøre et brudd på GDPR ved å lekke personopplysninger, noe som kan føre til bøter på opptil 20 millioner euro eller 4 % av global årlig omsetning, avhengig av hvilket beløp som er høyest.
Det er virkeligheten amerikanske selskaper skjuler når de sier «GDPR-kompatibel» og «europeisk suveren sky» i markedsføringen sin. Et EU-datasenter tilhørende en amerikansk leverandør drives fortsatt av et selskap under amerikansk jurisdiksjon. For virksomheten din betyr dette at anskaffelsesbeslutninger innebærer et samsvarsansvar du kanskje ikke har regnet med. For kundene dine betyr det at personopplysningene de betrodde deg, kan ende opp i en rettsprosess de ikke har noen innflytelse over (og kanskje aldri får vite om).
Her får du en enkel forklaring på CLOUD Act, hvorfor denne inngripende lovgivningen er viktig for virksomheter, og hvordan du kan begrense eksponeringen din. Hvor dataene dine befinner seg, avgjør ikke lenger hvem som kan nå dem.
Hva er CLOUD Act?
Clarifying Lawful Overseas Use of Data Act (CLOUD Act(nytt vindu)) er en amerikansk føderal lov som trådte i kraft i 2018. Den gir føderal rettshåndhevelse – først og fremst Justisdepartementet og FBI, men også føderalt, statlig og lokalt politi – mulighet til å skaffe en ransakelsesordre, rettskjennelse eller stevning som tvinger teknologiselskaper under amerikansk jurisdiksjon til å utlevere data, uansett hvor i verden disse dataene er fysisk lagret.
For eksempel, hvis FBI skaffer en ransakelsesordre som tvinger Microsoft til å utlevere e-postene til en europeisk virksomhet, må Microsoft etterkomme – selv om en europeisk domstol er uenig i forespørselen.
CLOUD Act har et legitimt politiformål. Den er utformet for å hjelpe føderal rettshåndhevelse med å etterforske alvorlige forbrytelser som terrorisme, utnyttelse av barn og cyberkriminalitet. Den er ikke utformet for etterretningsinnsamling, som skjer gjennom en egen amerikansk myndighet (FISA Section 702), ofte forvekslet med den.
Det legitime formålet fjerner imidlertid ikke det strukturelle problemet for virksomheter: CLOUD Act kan sette en leverandør under amerikansk jurisdiksjon i en posisjon der det å oppfylle en lovlig amerikansk kjennelse betyr å bryte EU-lovgivningen. Det etterlater virksomheter fanget mellom to samsvarsregimer uten noen måte å oppfylle begge på.
Hva er opprinnelsen til CLOUD Act?
CLOUD Act ble vedtatt i 2018 av den amerikanske regjeringen for å endre Stored Communications Act (SCA) fra 1986. Denne endringen var i stor grad et svar på en pågående rettssak(nytt vindu), «Microsoft-Irland»-saken.
I 2013 utfordret Microsoft en føderal ransakelsesordre som krevde e-postene til en kunde som ble etterforsket for narkotikasmugling – e-poster som Microsoft hadde lagret på tjenere i Irland. Denne saken avhang av et vanskelig juridisk spørsmål: Kunne en amerikansk ransakelsesordre utstedt under SCA nå digital kommunikasjon kontrollert av et selskap basert i USA, men lagret på en datatjener utenfor USA?
I 2018 ventet saken på anke i Høyesterett da den amerikanske kongressen vedtok CLOUD Act. Dette gjorde både «Microsoft-Irland»-saken uaktuell og løste spørsmålet om den amerikanske regjeringens eksterritoriale fullmakter over data lagret på utenlandsk jord, i det minste på papiret.
Hvilke fullmakter gir CLOUD Act den amerikanske regjeringen?
CLOUD Act ga den amerikanske regjeringen fullmakt til å be om målrettede data, uansett hvor de var lagret, ved å styrke eksterritoriale SCA-kjennelser rettet mot amerikanske leverandører. Loven tydeliggjorde at amerikansk rettshåndhevelse kan bruke ransakelsesordrer, stevninger og rettskjennelser for å få tilgang til elektronisk lagrede kommunikasjonsdata som befinner seg utenfor USA, dersom lagringsleverandøren er underlagt amerikansk jurisdiksjon, og de etterspurte dataene er relevante og av betydning for en pågående straffeetterforskning. En CLOUD Act-forespørsel går direkte til leverandøren, og omgår den mye langsommere MLAT-prosessen (Mutual Legal Assistance Treaty)(nytt vindu) som den amerikanske regjeringen tidligere benyttet seg av.
CLOUD Act ga også fullmakt til regjeringer som var villige til å inngå en bilateral utøvende avtale med den amerikanske regjeringen, noe som ville la rettshåndhevelse i partnerland komme med direkte, grenseoverskridende, saksspesifikke forespørsler om data fra tjenesteleverandører basert i USA.
Utøvende avtaler fremskynder innsamling av bevis i alvorlige straffesaker som terrorisme og utnyttelse av barn, der MLAT-prosessen kan ta måneder. På tidspunktet for skrivingen finnes det bare to utøvende avtaler: mellom USA og Storbritannia (trådte i kraft i oktober 2022(nytt vindu)) og mellom USA og Australia (trådte i kraft i januar 2024(nytt vindu)). Forhandlinger mellom den amerikanske regjeringen og EU og Canada(nytt vindu) er startet, men ikke avsluttet.
Teknologileverandører har én sikkerhetsmekanisme: de kan utfordre eller be om å endre en amerikansk kjennelse med henvisning til «comity» – det juridiske prinsippet om at domstoler respekterer andre jurisdiksjoners lover – hvis det å etterkomme vil bety å bryte en utenlandsk lov, særlig en som er dekket av en utøvende avtale. Utenfor Storbritannia og Australia er denne comity-utfordringen etter common law det eneste alternativet som finnes.
Men som The Electronic Privacy Information Center (EPIC) hevder(nytt vindu), etterlater CLOUD Act, selv med comity, kundene, inkludert virksomheter, med liten reell klagemulighet. Leverandører er ikke pålagt å varsle en kunde hvis data har blitt gjort tilgjengelig, kunder har ingen uavhengig rett til å utfordre en forespørsel (det avhenger helt av at leverandøren velger å protestere), og utøvende avtaler utelukker uttrykkelig å opprette noe nytt rettsmiddel for de berørte.
CLOUD Act mot GDPR
I Europa, der Protons egen forskning viser at over 74 % av alle børsnoterte selskaper er avhengige av teknologitjenester basert i USA, er CLOUD Act av særlig bekymring fordi den er i konflikt med EUs personvernforordning (GDPR).
I henhold til artikkel 48(nytt vindu) i GDPR vil en utenlandsk rettskjennelse eller beslutning fra en forvaltningsmyndighet (inkludert en SCA-kjennelse) om å overføre eller utlevere personopplysninger ikke automatisk anerkjennes eller håndheves i EU, med mindre den er fattet i henhold til en internasjonal avtale, for eksempel en MLAT.
Selv om det ikke har vært noe tilfelle der GDPR har bøtelagt et selskap i forbindelse med en CLOUD Act-kjennelse, finnes det presedens for at tilsynsmyndigheter handler på denne kategorien av risiko: I 2023 ila Irlands databeskyttelseskommisjon Meta en rekordhøy bot på 1,2 milliarder euro(nytt vindu) for overføringer mellom EU og USA som var utsatt for amerikansk overvåkingslovgivning – nærmere bestemt FISA Section 702, ikke CLOUD Act.
For skyleverandører basert i USA betyr dette at hvis den amerikanske regjeringen ber om data som de behandler, men som kontrolleres av europeiske virksomheter, kan det å etterkomme CLOUD Act bety å bryte GDPR. I henhold til artikkel 28(nytt vindu) kan leverandøren (databehandleren) bare handle etter den behandlingsansvarliges dokumenterte instruksjoner, og «å utlevere data til en utenlandsk regjering» er ikke blant disse instruksjonene.
Eksponeringen er ikke begrenset til leverandøren. Hvis leverandøren utleverer en kundes data som svar på en pålagt kjennelse uten det internasjonale avtalevilkåret artikkel 48 krever (som, siden det for tiden ikke finnes noen utøvende CLOUD Act-avtale mellom USA og EU, betyr en MLAT), bærer virksomheten som eier disse dataene, sitt eget ansvar, ikke bare leverandøren den hyret til å lagre dem.
Hvorfor dataenes plassering ikke betyr datasuverenitet
I juni 2025(nytt vindu) ble Microsoft Frankrikes egen direktør for offentlige og juridiske anliggender, Anton Carniaux, spurt under ed i det franske senatet(nytt vindu) om han kunne garantere at franske borgeres data aldri ville bli utlevert til amerikanske myndigheter uten fransk samtykke.
Svaret hans: «Nei. Det kan jeg ikke garantere.» Han la til at «det har aldri skjedd før», noe som selvfølgelig ikke betyr at det ikke kan skje i fremtiden.
Budskapet var tydelig: Datasuverenitet handler ikke lenger om hvor dataene er lagret, men om hvem som kontrollerer dem. Plasseringen av dataserverne dine og regjeringene som har myndighet over dem, er ikke lenger nødvendigvis det samme.
Dette faktum passer dårlig sammen med de «GDPR-kompatible» skytilbudene amerikanske skygiganter (eller «hyperscalere») markedsfører til europeiske virksomheter. Disse «europeiske suverene sky»-produktene drives av selskaper med hovedkontor i USA, eller kontrolleres av et amerikansk morselskap, og GDPRs beskyttelse strekker seg bare så langt amerikansk lov tillater.
Hvordan arkitektur for nulltilgangskryptering reduserer eksponering for CLOUD Act
Hvis skylagringsleverandøren din er underlagt amerikansk jurisdiksjon og amerikansk rettshåndhevelse krever tilgang til dataene dine (med legitime juridiske grunner), kan verken du eller leverandøren din stoppe det. På dette punktet er kryptering dataenes eneste forsvar.
Kryptering gjør data uleselige og ubrukelige for både cyberkriminelle og regjeringer, og gjør dem om til «chiffertekst» som bare noen med den riktige nøkkelen kan lese.
Krypteringen som tilbys av de fleste amerikanske skyleverandører, har imidlertid et fatalt forbehold: de beholder dekrypteringsnøklene selv. Det betyr at de kan lese dataene dine, eller bli tvunget til å overlevere en lesbar kopi til en tredjepart, for eksempel amerikansk rettshåndhevelse.
For reell beskyttelse mot at fil- og meldingsdata eksponeres, enten for cyberkriminelle eller regjeringer, trenger du ende-til-ende-kryptering eller nulltilgangskryptering, som hindrer leverandøren i å få tilgang til dataene.
En leverandør som bruker nulltilgangskryptering, har ikke nøkkelen til å dekryptere filene den håndterer og lagrer på tjenerne sine. Den kan fortsatt bli tvunget til å utlevere data når rettshåndhevelse krever det, selv om dataene er lagret i en jurisdiksjon som håndhever en streng standard for databeskyttelse, som Sveits. Men filene som overleveres, vil være krypterte og uleselige.
Hvordan Proton beskytter virksomheter mot CLOUD Act
Proton er beskyttet mot CLOUD Act på to viktige måter:
- sveitsisk jurisdiksjon, som begrenser hvem som kan tvinge Proton til å utlevere data
- Og sterk kryptering, som begrenser hva de kan gjøre med det Proton eventuelt utleverer
Proton har hovedkontor i Genève i Sveits, utenfor amerikansk jurisdiksjon og rekkevidden til CLOUD Act-kjennelser. Amerikanske myndigheter kan heller ikke ty til en bilateral snarvei: Sveits er ikke part i noen utøvende CLOUD Act-avtale.
Dette fjerner ikke rettslig behandling helt. Sveits har sitt eget rammeverk for gjensidig rettslig bistand, som lar sveitsiske myndigheter samarbeide med utenlandske etterforskninger. Men enhver forespørsel må først klareres etter sveitsisk lov, av sveitsiske domstoler – det kan ikke være en ransakelsesordre som leveres direkte til leverandøren.
Protons juridiske historie viser at vi er villige og i stand til å utfordre sveitsisk lov. I 2020 utfordret vi en sveitsisk lov om datalagring som vi mente var et uriktig forsøk på å bruke telekommunikasjonslover til å undergrave personvernet. I 2021 avgjorde den føderale forvaltningsdomstolen at e-posttjenester ikke er telekommunikasjonsleverandører, og derfor ikke er underlagt lovens oppbevaringskrav.
Og selv en vellykket sveitsisk kjennelse har grenser for hva den kan oppnå. Protons ende-til-ende- og nulltilgangskryptering betyr at meldingsinnhold og filer er uleselige for Proton selv, og det finnes ingen nøkkel å overlevere, uansett hvem som spør. Innholdet i e-postene dine, dokumenter, filer og andre data forblir utenfor rekkevidde.
Ofte stilte spørsmål om CLOUD Act
Overstyrer CLOUD Act GDPR?
CLOUD Act overstyrer ikke GDPR, men den er i konflikt med den. Et pålegg etter CLOUD Act kan sette en amerikansk leverandør i en posisjon der det å etterkomme pålegget bryter med GDPR artikkel 48 (ingen automatisk anerkjennelse av et utenlandsk pålegg uten en internasjonal avtale). Ingen av lovene viker for den andre, og leverandøren – og enhver europeisk bedrift den betjener – sitter i klem mellom dem.
Gjelder CLOUD Act bare for amerikanske selskaper?
CLOUD Act gjelder ikke bare bedrifter med hovedkontor i USA, eller som kontrolleres av et amerikansk morselskap. Den rammer også enhver leverandør med tilstrekkelig rettslig tilstedeværelse eller forretningsmessig tilknytning til USA. Et amerikansk datterselskap, ansatte eller kontorer i USA, eller virksomheter som bevisst retter seg mot amerikanske kunder, kan være nok til å bringe en organisasjon med hovedkontor utenfor USA innenfor rekkevidden av CLOUD Act.
Kan jeg avslå en anmodning etter CLOUD Act?
Kunden (behandlingsansvarlig) er vanligvis ikke den pålegget rettes mot – det er leverandøren. Leverandøren kan fremme en comity-innsigelse hvis det å etterkomme bryter utenlandsk lov, eller motsette seg hvis en anmodning er rettslig mangelfull. Men hvis rettsmidlene er uttømt og pålegget fortsatt er gyldig, vil leverandøren bli tvunget til å etterkomme.
Hva er forskjellen mellom CLOUD Act og en MLAT?
Når digitale bevis blir anmodet om via en gjensidig rettslig bistandsavtale (MLAT), blir denne anmodningen gjenstand for rettslig prøving, en grundig og langsom prosess. Utøvende avtaler som muliggjøres av CLOUD Act, lar rettshåndhevelsen omgå MLAT-prosessen ved anmodning om data fra et partnerland. Så langt er det bare Storbritannia og Australia som har utøvende avtaler med USA.
Stopper kryptering anmodninger etter CLOUD Act?
Kryptering stopper ikke et pålegg, men hvis en leverandør lagrer kundedata med ende-til-ende-kryptering eller nulltilgangskryptering, vil de ikke ha noen lesbare data å gi til myndighetene, fordi de ikke har dekrypteringsnøklene. De vil derfor bare overlevere krypterte filer.
