Vad CLOUD Act betyder för er data

CLOUD Act är den lag som nämns oftast i frågan om amerikanska lagar och data som lagras i Europa. Den omfattar färre situationer än många tror, men den når uppgifter oavsett var de lagras.

Vad lagen säger

CLOUD Act antogs i mars 2018 som en del av en större budgetlag. Den lade till en bestämmelse i den amerikanska lagen om lagrad kommunikation, 18 U.S.C. § 2713. Enligt bestämmelsen ska en leverantör av elektronisk kommunikation eller fjärrdatatjänster bevara och lämna ut innehåll och uppgifter som den har i sin besittning, vård eller kontroll, oavsett om uppgifterna finns i eller utanför USA.

Bakgrunden var en tvist om e-post som en amerikansk leverantör lagrade på en server i Irland. Leverantören hävdade att ett amerikanskt beslut inte nådde dit. Målet hann gå till Högsta domstolen i USA, som avskrev det när den nya lagen hade antagits.

Lagen används i brottsutredningar och förutsätter ett beslut enligt amerikansk straffprocess, till exempel en husrannsakningsorder som en domare har prövat. Sedan 2018 är det kontrollen över uppgifterna som avgör, och lagringsplatsen saknar betydelse. Lagen är därmed ett exempel på extraterritoriell lagstiftning, alltså regler som når utanför landets gränser. Sådana regler finns i många länder, också inom EU.

När två lagar möts

Leverantören kan begära att ett beslut ändras eller upphävs om ett utlämnande skulle strida mot ett annat lands lag. Möjligheten gäller länder som har ingått ett särskilt avtal med USA om detta. Vi har inte hittat något sådant avtal med EU eller Sverige.

I EU gäller GDPR. Enligt artikel 48 får ett beslut från en domstol eller myndighet utanför EU erkännas endast om det grundas på ett internationellt avtal, till exempel ett avtal om rättslig hjälp. Europeiska dataskyddsstyrelsen och Europeiska datatillsynsmannen bedömde 2019 att ett utlämnande av personuppgifter enbart på grund av ett beslut enligt CLOUD Act i regel saknar rättslig grund i GDPR.

En leverantör som omfattas av båda regelverken kan därför behöva väga dem mot varandra. Leverantörer granskar ofta sådana begäranden noga och kan bestrida dem som inte är väl grundade. Ansvaret för uppgifterna ligger ändå kvar hos er. Är ni personuppgiftsansvariga och anlitar ett personuppgiftsbiträde är det ni som ska kunna visa att behandlingen är laglig.

Frågor till leverantören

Lagen knyter an till ägande och kontroll, och därför börjar frågorna där. Vem äger bolaget, och finns det ett moderbolag i USA? Be också leverantören beskriva vilka underleverantörer som kan nå uppgifterna och var de hör hemma, hur en begäran från en myndighet i ett annat land hanteras, om ni får veta när det händer och vad avtalet säger.

AI-delen behöver en egen fråga. En fråga till en AI-tjänst innehåller ofta utdrag ur era dokument. Skickas den vidare till en tjänst som drivs av ett amerikanskt bolag gäller samma resonemang för just de uppgifterna, även om resten av systemet körs i Sverige.

Svaren visar var gränsen går mellan uppgifter som kan ligga i en vanlig molntjänst och uppgifter som behöver en lösning där frågan aldrig uppstår. Reglerna om tredjelandsöverföring och frågorna om GDPR och AI hänger nära ihop med detta. Underrättelselagarna behandlas i nästa del, FISA 702 och vad underrättelselagar betyder för molnet.

Så fungerar det i iSearch

iSearch kan köras hos er, med hela kedjan i er egen miljö och utan publika AI-tjänster. Då finns uppgifterna bara hos er.

iSearch kan också köras hos oss. Driften sker i Sverige, av ett svenskt bolag utan amerikanska ägare och utan amerikanskägda underleverantörer för driften. Varje kund får en egen, avskild miljö. Hos oss kan iSearch köras helt utan publika AI-tjänster, med språkmodellen i den svenska driften.

Om ni väljer att använda publika AI-tjänster gäller resonemanget ovan för de uppgifter som skickas dit. Det är ni som avgör om de ska användas. Läs mer om egen installation eller molntjänst eller boka en genomgång.