Vad är extraterritoriell lagstiftning?
Extraterritoriell lagstiftning är lagar som ett land tillämpar på personer, företag eller uppgifter utanför sina egna gränser.
Många länder har sådana regler. GDPR är ett exempel, eftersom förordningen gäller företag utanför EU som erbjuder tjänster till människor i EU. Den amerikanska CLOUD Act är ett annat.
För data betyder det att flera länders lagar kan gälla samtidigt. Var uppgifterna lagras spelar in, liksom vem som äger och kontrollerar leverantören.
När två lagar kräver olika saker kan en leverantör hamna i en lagkonflikt. Ansvaret för uppgifterna ligger ändå kvar hos den organisation som har lämnat dem.
Så fungerar det
Kopplingen till landet kan vara ägande, säte, var en tjänst erbjuds eller vem som kontrollerar uppgifterna. Räcker kopplingen kan lagen gälla även när verksamheten sker någon annanstans. Ett och samma uppdrag kan därför omfattas av lagar från mer än ett land samtidigt.
Därför spelar det roll
eSam påpekar att andra länders lagstiftning kan inverka extraterritoriellt på publika moln. Därför räcker det sällan att fråga var servrarna står. Frågan om datasuveränitet handlar lika mycket om ägande och kontroll, och CLOUD Act är ett exempel som ofta nämns.
Att tänka på
Regler med räckvidd utanför landet har ofta ett legitimt syfte, som brottsbekämpning eller skydd av personuppgifter. Ta reda på vilka av dem som gäller för era uppgifter.
Gör kartläggningen per tjänst. En och samma leverantör kan ha olika bolag, regioner och underleverantörer för olika delar.
Vad det betyder för er
Fråga vilka länders lagar som gäller för leverantören, för dess ägare och för underleverantörerna.
Vanliga frågor
Är GDPR också extraterritoriell?
Ja. Förordningen gäller även företag utanför EU som erbjuder varor eller tjänster till människor i EU, eller som följer deras beteende här.
Hur vet vi vilka lagar som gäller för en tjänst?
Fråga leverantören om ägande, säte, var driften sker och vilka underleverantörer som är inblandade. Det ger en bild av vilka länders lagar som kan nå uppgifterna.
Källor: Dataskyddsförordningen, artikel 3, på EUR-LexeSam om molnfrågan
Relaterade begrepp
Läs mer
Alla begrepp Uppdaterad