Vad är CLOUD Act?
CLOUD Act är en amerikansk lag från 2018 som gör att amerikanska leverantörer kan behöva lämna ut uppgifter de kontrollerar, även om de lagras utanför USA.
Lagen lade till en bestämmelse i den amerikanska lagen om lagrad kommunikation, 18 U.S.C. § 2713. Den gäller leverantörer av elektronisk kommunikation och fjärrdatatjänster och omfattar uppgifter i deras besittning, vård eller kontroll.
Lagen används i brottsutredningar och kräver ett beslut enligt amerikansk straffprocess, till exempel en husrannsakningsorder som en domare har prövat. Den kom efter en tvist om e-post som en amerikansk leverantör lagrade på en server i Irland.
Europeiska dataskyddsstyrelsen och Europeiska datatillsynsmannen bedömde 2019 att ett utlämnande som bara grundas på ett sådant beslut i regel saknar stöd i GDPR. En leverantör som omfattas av båda kan därför behöva väga två lagar mot varandra.
Så fungerar det
Lagen utgår från begreppet kontroll. Om en leverantör under amerikansk jurisdiktion har uppgifterna i sin besittning, vård eller kontroll kan ett beslut omfatta dem, var servern än står. Leverantören kan i vissa fall begära att beslutet ändras om ett utlämnande skulle strida mot ett annat lands lag. Den möjligheten gäller länder som har ett särskilt avtal med USA om det.
Därför spelar det roll
Lagen gör att lagringsplatsen inte ensam avgör vilka lagar som gäller. Det spelar roll när känsliga uppgifter ska placeras och när en AI-tjänst skickar frågor och dokumentutdrag vidare till en leverantör. Den hör ihop med tredjelandsöverföring och är ett tydligt exempel på extraterritoriell lagstiftning.
Att tänka på
Lagen ger ingen fri tillgång. Den kräver ett beslut som en domare har prövat, och leverantörer granskar ofta sådana begäranden noga.
Hur långt kontrollen sträcker sig till ett europeiskt dotterbolag har inte prövats i domstol. Ställ därför konkreta frågor till leverantören om ägande, underleverantörer och avtal.
Vad det betyder för er
Fråga leverantören vem som äger bolaget och hur den hanterar en begäran från en myndighet i ett annat land.
Vanliga frågor
Gäller CLOUD Act om servrarna står i Sverige?
Ja, det kan den. Det som avgör är om en leverantör under amerikansk jurisdiktion har kontroll över uppgifterna. Platsen spelar mindre roll.
Är CLOUD Act samma sak som FISA 702?
Nej. CLOUD Act används i brottsutredningar och kräver ett domstolsbeslut i varje fall. FISA 702 gäller underrättelseinhämtning och bygger på årliga godkännanden.
Hur påverkar CLOUD Act AI-tjänster?
En fråga till en AI-tjänst innehåller ofta utdrag ur dokument. Om tjänsten drivs av ett amerikanskt bolag gäller samma resonemang för de uppgifterna som för molnlagring.
Källor: 18 U.S.C. § 2713 hos govinfoEDPB och EDPS om CLOUD Act
Relaterade begrepp
Läs mer
Alla begrepp Uppdaterad