Vad innebär US Cloud Act för svenska bolag med känslig data?

Vad lagen faktiskt säger

Clarifying Lawful Overseas Use of Data Act (Cloud Act) ändrade Stored Communications Act så att amerikanska brottsbekämpande myndigheter kan begära ut elektronisk kommunikation från amerikanska tjänsteleverantörer oavsett var data fysiskt lagras.

Lagen omfattar alla amerikanska bolag och deras dotterbolag globalt. Att Microsoft, Google eller AWS har servrar i Stockholm spelar ingen roll — koncernen i sig är amerikansk och därmed omfattad.

Konflikten med EU-rätt

EU-domstolens Schrems II-dom 2020 underkände Privacy Shield-avtalet just för att amerikansk underrättelse- och brottsbekämpningslagstiftning ansågs ge för bred åtkomst utan tillräckliga rättssäkerhetsgarantier för EU-medborgare.

Det nya EU-US Data Privacy Framework från 2023 har förbättrat situationen men är fortfarande omtvistat. Många jurister, inklusive Max Schrems själv, anser att samma grundproblem kvarstår och att en Schrems III-dom kan komma att underkänna även det.

Praktisk risk för svenska företag

Risken är inte att amerikanska myndigheter dagligen läser svensk företagspost. Risken ligger i tre saker:

• GDPR-överträdelse: överföring till tredje land utan tillräckliga garantier ger sanktionsrisk
• NIS2-tillsyn: krav på dokumenterad leverantörskedja och datalokalisering
• Affärsmässig risk: klienter, banker och försäkringsbolag kräver i ökande grad EU-jurisdiktion
• Tystnadsplikt: advokater, läkare och revisorer kan bryta professionsregler om de inte säkrar datavägen

Vad man kan göra åt det

Det finns en skala från milda tekniska åtgärder till full migration. Vilken nivå som är rätt beror på datakänslighet och regelverk:

• Bring Your Own Key (BYOK): kryptering med kundens nycklar – höjer barriären men löser inte juridiken
• Klassificera och separera: behåll generella dokument hos M365, flytta känsliga till EU-leverantör
• EU-leverantör med EU-ägarskap: t.ex. svenskhostad Nextcloud, OVH, IONOS eller Hetzner
• Helt suverän stack: open source-komponenter, svensk leverantör, kundägda nycklar och dokumenterad sub-processor-lista