Om din molnleverantör finns i USA kan ett giltigt amerikanskt domstolsbeslut tvinga företaget att hämta ditt företags data från servrar var som helst i världen.

Företag som Google, Microsoft och Amazon är sårbara för detta intrång, som möjliggörs av CLOUD Act, en lag från 2018 som ger amerikanska brottsbekämpande myndigheter globala tentakler.

Det är särskilt ett problem för EU-företag. Om din amerikanska leverantör lämnar ut dina e-postmeddelanden eller filer kan det utgöra ett brott mot GDPR genom att läcka personuppgifter, vilket kan medföra böter på upp till 20 miljoner euro eller 4 % av den globala årsomsättningen, beroende på vilket som är högst.

Det är verkligheten som amerikanska företag döljer när de säger ”GDPR-kompatibel” och ”europeiskt suveränt moln” i sin marknadsföring. En amerikansk leverantörs EU-datacenter drivs fortfarande av ett företag under amerikansk jurisdiktion. För ditt företag innebär detta att upphandlingsbeslut medför ett efterlevnadsansvar som du kanske inte har räknat med. För dina kunder innebär det att de personuppgifter de anförtrott till dig kan hamna i en rättslig process som de inte har något att säga till om, och som de kanske aldrig ens får kännedom om.

Här får du en enkel förklaring av CLOUD Act, varför denna integritetskränkande lagstiftning spelar roll för företag och hur du begränsar din exponering. Var dina data finns avgör inte längre vem som kan nå dem.

Vad är CLOUD Act?

Clarifying Lawful Overseas Use of Data Act (CLOUD Act(nytt fönster)) är en amerikansk federal lag som trädde i kraft 2018. Den gör det möjligt för federala brottsbekämpande myndigheter, i första hand justitiedepartementet och FBI men även federal, statlig och lokal polis, att få en husrannsakan, ett domstolsbeslut eller en stämning som tvingar teknikföretag under amerikansk jurisdiktion att lämna ut data, oavsett var i världen dessa data är fysiskt lagrade.

Om FBI till exempel får en husrannsakan som tvingar Microsoft att lämna ut e-postmeddelandena från ett europeiskt företag måste Microsoft lyda, även om en europeisk domstol inte håller med om begäran.

CLOUD Act har ett legitimt syfte inom brottsbekämpningen. Lagen är utformad för att hjälpa federala brottsbekämpande myndigheter att utreda allvarliga brott som terrorism, barnutnyttjande och cyberbrott. Den är inte avsedd för underrättelseinhämtning, som sker via en separat amerikansk myndighet, FISA Section 702, och som ofta förväxlas med den.

Det legitima syftet tar dock inte bort det strukturella problemet för företag: CLOUD Act kan sätta en leverantör under amerikansk jurisdiktion i en situation där att följa ett lagligt amerikanskt beslut innebär att bryta mot EU-lagstiftning. Det lämnar företag fångade mellan två regelverk för regelefterlevnad utan möjlighet att uppfylla båda.

Vad är ursprunget till CLOUD Act?

CLOUD Act antogs 2018 av den amerikanska regeringen för att ändra Stored Communications Act (SCA) från 1986. Ändringen var till stor del ett svar på ett pågående rättsfall(nytt fönster), ”Microsoft-Irland”-fallet.

2013 överklagade Microsoft en federal husrannsakan som krävde e-postmeddelandena från en kund som utreddes för narkotikasmuggling, e-postmeddelanden som Microsoft lagrade på servrar i Irland. Fallet hängde på en besvärlig juridisk fråga: kunde en amerikansk husrannsakan utfärdad enligt SCA nå digital kommunikation som kontrollerades av ett amerikanskt företag men lagrades på en dataserver utanför USA?

2018 väntade fallet på överklagande i högsta domstolen när USA:s kongress antog CLOUD Act. Detta gjorde både ”Microsoft-Irland”-fallet inaktuellt och avgjorde frågan om den amerikanska regeringens extraterritoriella befogenheter över data som lagras på utländsk mark, åtminstone på papper.

Vilka befogenheter ger CLOUD Act den amerikanska regeringen?

CLOUD Act gav den amerikanska regeringen befogenhet att begära riktade uppgifter, var de än lagrades, genom att stärka extraterritoriella SCA-beslut riktade till amerikanska leverantörer. Lagen klargjorde att amerikansk brottsbekämpning kan använda husrannsakningar, stämningar och domstolsbeslut för att få åtkomst till elektroniskt lagrad kommunikationsdata som finns utanför USA, om lagringsleverantören lyder under amerikansk jurisdiktion och de begärda uppgifterna är relevanta och väsentliga för en pågående brottsutredning. En begäran enligt CLOUD Act går direkt till leverantören och kringgår den mycket långsammare MLAT-processen (Mutual Legal Assistance Treaty)(nytt fönster) som den amerikanska regeringen tidigare förlitade sig på.

CLOUD Act gav också regeringar som var villiga att ansluta sig till ett bilateralt verkställande avtal med den amerikanska regeringen befogenhet att låta brottsbekämpande myndigheter i partnerländer göra direkta, gränsöverskridande, ärendespecifika begäranden om data från amerikanska tjänsteleverantörer.

Verkställande avtal påskyndar bevisinsamling i allvarliga brottmål som terrorism och barnutnyttjande, där MLAT-processen kan ta månader. Vid tidpunkten för skrivandet finns bara två verkställande avtal: mellan USA och Storbritannien, som trädde i kraft i oktober 2022(nytt fönster), och mellan USA och Australien, som trädde i kraft i januari 2024(nytt fönster). Förhandlingar mellan den amerikanska regeringen och EU och Kanada(nytt fönster) har inletts men är ännu inte avslutade.

Teknikleverantörer har en skyddsmekanism: de kan överklaga eller begära ändring av ett amerikanskt beslut med stöd av ”comity”, den rättsliga principen att domstolar respekterar andra jurisdiktioners lagar, om efterlevnad skulle innebära att bryta mot en utländsk lag, särskilt en som omfattas av ett verkställande avtal. Utanför Storbritannien och Australien är denna common law-baserade comity-invändning det enda alternativet.

Men som Electronic Privacy Information Center (EPIC) argumenterar(nytt fönster) lämnar CLOUD Act, även med comity, kunderna, inklusive företag, med mycket liten verklig möjlighet till gottgörelse. Leverantörer är inte skyldiga att meddela en kund vars data har varit föremål för åtkomst, kunder har ingen oberoende rätt att överklaga en begäran, vilket helt beror på att leverantören väljer att invända, och verkställande avtal utesluter uttryckligen att skapa någon ny rättslig möjlighet för de berörda.

CLOUD Act vs GDPR

I Europa, där Protons egen forskning visar att över 74 % av alla börsnoterade företag är beroende av amerikanska tekniktjänster, är CLOUD Act särskilt oroande eftersom den krockar med EU:s allmänna dataskyddsförordning (GDPR).

Enligt artikel 48(nytt fönster) i GDPR erkänns eller verkställs inte ett utländskt domstolsbeslut eller beslut av en administrativ myndighet, inklusive ett SCA-beslut, om överföring eller utlämnande av personuppgifter automatiskt i EU, om det inte fattats enligt ett internationellt avtal, till exempel ett MLAT.

Även om det inte har förekommit något fall där GDPR har lett till böter för ett företag i samband med ett CLOUD Act-beslut finns det prejudikat för att tillsynsmyndigheter agerar mot denna typ av risk: 2023 bötfällde Irlands dataskyddsmyndighet Meta med rekordhöga 1,2 miljarder euro(nytt fönster) för EU–USA-överföringar som exponerats för amerikansk övervakningslagstiftning, närmare bestämt FISA Section 702, inte CLOUD Act.

För amerikanska molnleverantörer innebär detta att om den amerikanska regeringen begär data som de behandlar men som kontrolleras av europeiska företag kan efterlevnad av CLOUD Act innebära att bryta mot GDPR. Enligt artikel 28(nytt fönster) får leverantören, det vill säga personuppgiftsbiträdet, endast agera enligt den personuppgiftsansvariges dokumenterade instruktioner, och ”att lämna ut data till en utländsk regering” ingår inte bland dessa instruktioner.

Exponeringen är inte begränsad till leverantören. Om leverantören lämnar ut en kunds data som svar på ett tvingande beslut utan den internationella avtalsgrund som artikel 48 kräver, vilket i dag innebär ett MLAT eftersom inget verkställande CLOUD Act-avtal finns mellan USA och EU, bär det företag som äger uppgifterna sitt eget ansvar, inte bara den leverantör det anlitade för att lagra dem.

Varför platsen för data inte innebär datasuveränitet

I juni 2025(nytt fönster) fick Anton Carniaux, Microsoft Frankrikes egen chef för offentliga och juridiska frågor, under ed frågan i den franska senaten(nytt fönster) om han kunde garantera att franska medborgares data aldrig skulle lämnas ut till amerikanska myndigheter utan franskt samtycke.

Hans svar: ”Nej. Det kan jag inte garantera.” Han tillade att ”det har aldrig hänt tidigare”, vilket förstås inte betyder att det inte skulle kunna hända i framtiden.

Budskapet var tydligt: Datasuveränitet handlar inte längre om var data lagras, utan om vem som kontrollerar den. Platsen för dina dataservrar och de regeringar som har befogenhet över dem är inte längre nödvändigtvis samma sak.

Detta faktum står illa till sammans med de ”GDPR-kompatibla” molnerbjudanden som amerikanska molnjättar, eller ”hyperscalers”, marknadsför till europeiska företag. Dessa ”europeiska suveräna moln”-produkter drivs av företag med huvudkontor i USA eller kontrolleras av ett amerikanskt moderbolag, och GDPR:s skydd sträcker sig bara så långt amerikansk lag tillåter.

Hur arkitekturen för nollåtkomstkryptering minskar exponeringen för CLOUD Act

Om din molnlagringsleverantör lyder under amerikansk jurisdiktion och amerikansk brottsbekämpning kräver åtkomst till dina data, med legitima juridiska skäl, kan varken du eller din leverantör hindra det. Vid det här laget är kryptering dina datas enda försvar.

Kryptering gör data oläsbara och oanvändbara för både cyberkriminella och regeringar och omvandlar dem till ”chiffertext” som bara någon med rätt nyckel kan läsa.

Krypteringen som erbjuds av de flesta amerikanska molnleverantörer har dock en fatal hake: de behåller dekrypteringsnycklarna själva. Det innebär att de kan läsa dina data eller tvingas lämna över en läsbar kopia till en tredje part, som amerikansk brottsbekämpning.

För verkligt skydd mot att fil- och meddelandedata exponeras, vare sig för cyberkriminella eller regeringar, behöver du end-to-end-kryptering eller nollåtkomstkryptering, som hindrar leverantören från att få åtkomst till data.

En leverantör som använder nollåtkomstkryptering har inte nyckeln för att avkryptera de filer den hanterar och lagrar på sina servrar. Den kan fortfarande tvingas lämna ut data när brottsbekämpande myndigheter kräver det, även om data lagras i en jurisdiktion som tillämpar en strikt dataskyddsstandard, som Schweiz. Men filerna som lämnas över skulle vara krypterade och oläsbara.

Hur Proton skyddar företag från CLOUD Act

Proton skyddas från CLOUD Act på två viktiga sätt:

  • Schweizisk jurisdiktion, som begränsar vem som kan tvinga Proton att lämna ut data
  • Och stark kryptering, som begränsar vad de kan göra med det Proton lämnar ut

Proton har sitt huvudkontor i Genève i Schweiz, utanför amerikansk jurisdiktion och räckvidden för CLOUD Act-beslut. Amerikanska myndigheter kan inte heller ta en bilateral genväg: Schweiz är inte part i något verkställande CLOUD Act-avtal.

Detta tar inte bort rättsliga processer helt och hållet. Schweiz har sitt eget ramverk för ömsesidig rättslig hjälp, som låter schweiziska myndigheter samarbeta med utländska utredningar. Men varje begäran måste först godkännas enligt schweizisk lag, av schweiziska domstolar. Den kan inte vara en husrannsakan som delges leverantören direkt.

Protons rättsliga historia visar att vi är villiga och kapabla att utmana schweizisk lag. 2020 utmanade vi en schweizisk lag om lagring av data som vi ansåg vara ett otillbörligt försök att använda telekommunikationslagar för att undergräva integriteten. 2021 slog den federala förvaltningsdomstolen fast att e-posttjänster inte är telekommunikationsleverantörer och därför inte omfattas av lagens lagringskrav.

Och även ett framgångsrikt schweiziskt beslut har gränser för vad det kan få ut. Protons end-to-end-kryptering och nollåtkomstkryptering innebär att meddelandeinnehåll och filer är oläsbara för Proton själva, och det finns ingen nyckel att lämna över, oavsett vem som frågar. Innehållet i dina e-postmeddelanden, dokument, filer och andra data förblir utom räckhåll.

Prova Proton for Business

Vanliga frågor och svar om CLOUD Act

Åsidosätter CLOUD Act GDPR?

CLOUD Act upphäver inte GDPR, men står i konflikt med den. Ett föreläggande enligt CLOUD Act kan försätta en amerikansk leverantör i en situation där efterlevnad innebär ett intrång i artikel 48 i GDPR (inget automatiskt erkännande av ett utländskt föreläggande utan ett internationellt avtal). Ingen av lagarna ger vika för den andra, och leverantören, liksom alla europeiska företag de betjänar, hamnar i kläm mellan dem.

Gäller CLOUD Act bara amerikanska företag?

CLOUD Act tillämpas inte bara på företag med huvudkontor i USA eller som kontrolleras av ett amerikanskt överordnat företag. Den omfattar även alla leverantörer med tillräcklig rättslig närvaro i USA eller affärsmässig koppling dit. Ett amerikanskt dotterbolag, personal eller kontor i USA, eller verksamhet som riktas avsiktligt mot amerikanska kunder, kan räcka för att en organisation med huvudkontor utanför USA ska omfattas av CLOUD Act.

Kan jag neka till en begäran enligt CLOUD Act?

Kunden (personuppgiftsansvarig) är i allmänhet inte den som föreläggandet riktas till, utan leverantören. Leverantören kan göra en invändning om comity om efterlevnad bryter mot utländsk lag, eller motsätta sig begäran om den är juridiskt bristfällig. Men om alla rättsliga medel är uttömda och föreläggandet fortfarande gäller tvingas leverantören att följa det.

Vad är skillnaden mellan CLOUD Act och ett MLAT?

När digital bevisning begärs via en Mutual Legal Assistance Treaty (MLAT) genomgår begäran en rättslig prövning, en grundlig och långsam process. De verkställande avtal som aktiveras genom CLOUD Act gör att brottsbekämpande myndigheter kan kringgå MLAT-processen när de begär ut data från ett partnerland. Hittills är det bara Storbritannien och Australien som har verkställande avtal med USA.

Hindrar kryptering begäranden enligt CLOUD Act?

Kryptering hindrar inte ett rättsligt föreläggande, men om en leverantör lagrar kunddata med end-to-end-kryptering eller nollåtkomstkryptering har den inga läsbara data att lämna ut till myndigheterna, eftersom den inte har dekrypteringsnycklarna. Leverantören lämnar därför bara över krypterade filer.