Vad innebär US Cloud Act för svenska bolag med känslig data?
US Cloud Act från 2018 gav amerikanska myndigheter rätt att begära ut data från amerikanska molnleverantörer även om data fysiskt ligger i Europa. För svenska företag innebär det en ny risk som inte fanns när Microsoft 365, Google Workspace och AWS först rullades ut.
Vad lagen faktiskt säger
Clarifying Lawful Overseas Use of Data Act (Cloud Act) ändrade Stored Communications Act så att amerikanska brottsbekämpande myndigheter kan begära ut elektronisk kommunikation från amerikanska tjänsteleverantörer oavsett var data fysiskt lagras.
Lagen omfattar alla amerikanska bolag och deras dotterbolag globalt. Att Microsoft, Google, AWS eller Cloudflare har servrar i Stockholm spelar ingen roll — koncernen i sig är amerikansk och därmed omfattad.
Konflikten med EU-rätt
EU-domstolens Schrems II-dom 2020 underkände Privacy Shield-avtalet just för att amerikansk underrättelse- och brottsbekämpningslagstiftning ansågs ge för bred åtkomst utan tillräckliga rättssäkerhetsgarantier för EU-medborgare.
Det nya EU-US Data Privacy Framework från 2023 har förbättrat situationen men är fortfarande omtvistat. Många jurister, inklusive Max Schrems själv, anser att samma grundproblem kvarstår och att en Schrems III-dom kan komma att underkänna även det.
Praktisk risk för svenska företag
Risken är inte att amerikanska myndigheter dagligen läser svensk företagspost. Risken ligger i tre saker:
- GDPR-överträdelse: överföring till tredje land utan tillräckliga garantier ger sanktionsrisk
- NIS2-tillsyn: krav på dokumenterad leverantörskedja och datalokalisering
- Affärsmässig risk: klienter, banker och försäkringsbolag kräver i ökande grad EU-jurisdiktion
- Tystnadsplikt: advokater, läkare och revisorer kan bryta professionsregler om de inte säkrar datavägen
Vad man kan göra åt det
Det finns en skala från milda tekniska åtgärder till full migration. Vilken nivå som är rätt beror på datakänslighet och regelverk:
- Bring Your Own Key (BYOK): kryptering med kundens nycklar – höjer barriären men löser inte juridiken
- Klassificera och separera: behåll generella dokument hos M365, flytta känsliga till EU-leverantör
- EU-leverantör med EU-ägarskap: t.ex. svenskhostad Nextcloud, OVH, IONOS eller Hetzner
- Helt suverän stack: open source-komponenter, svensk leverantör, kundägda nycklar och dokumenterad sub-processor-lista
Frågor och svar
Är inte Microsofts EU Data Boundary tillräcklig?
EU Data Boundary håller data i EU vid normaldrift, men ändrar inte Cloud Acts juridiska räckvidd. Microsoft kan fortfarande tvingas lämna ut data om amerikansk domstol begär det.
Hur ofta används Cloud Act mot svensk företagsdata?
Konkret statistik är begränsad – beslut är ofta sekretessbelagda. Microsoft publicerar transparensrapporter som visar att tusentals förfrågningar tas emot varje år.
Räcker det med ett biträdesavtal?
Nej. Standardavtalsklausuler (SCC) räcker inte enligt Schrems II om mottagarlandets lagstiftning ger bred myndighetsåtkomst. EU-leverantör är den rena lösningen.
Vad rekommenderar ProjAlpha?
Klassificera först – allt behöver inte ligga i samma miljö. Flytta sedan känslig data till en suverän miljö i Sverige. Vi hjälper med både analys och migration.