CLOUD Act, FISA 702 och andra amerikanska lagar

Modul 1: Varför ett europeiskt moln? · Lästid: 12 minuter

Läromål: Efter den här lektionen kan du förklara vilka amerikanska lagar ger tillgång till data hos amerikanska företag, varför det gäller även om datan finns i Europa, och vad läget är i november 2026.

Nyckelbegrepp: CLOUD Act, 18 U.S.C. 2713, "possession, custody, or control", leverantör av en elektronisk kommunikationstjänst, FISA Section 702, FISA-domstolen (FISC), certifiering, Executive Order 12333, sekretessföreläggande, straffrätt gentemot underrättelsearbete

Varför amerikanska lagar rör europeiska servrar

I lektion 1.1 såg du att ett företag lyder under lagstiftningen i det land där det är etablerat. För de flesta stora molntjänster är det USA. Två amerikanska lagar återkommer i varje diskussion om det europeiska molnet: CLOUD Act och Section 702 av FISA. De har olika syften och fungerar olika, så det är bra att hålla isär dem.

Det här är en förklaring, inte juridisk rådgivning. Den amerikanska lagstiftningen och tolkningen av den förändras; läget i den här lektionen är från november 2026.

CLOUD Act: brottsutredning

CLOUD Act står för Clarifying Lawful Overseas Use of Data Act. Lagen antogs den 23 mars 2018, som en del av en stor budgetlag. Anledningen var en rättstvist mellan Microsoft och den amerikanska staten: FBI ville ha e-post från en misstänkt som fanns på en server i Irland, och Microsoft vägrade eftersom datan fanns utanför USA. Innan Högsta domstolen hann döma stiftade kongressen CLOUD Act, och därmed var frågan löst.

Kärnan finns i en enda mening, numera återfinns den som 18 U.S.C. 2713. I vanliga ord: en leverantör av en elektronisk kommunikationstjänst eller en fjärrlagringstjänst måste bevara eller lämna ut data som den har i sin "possession, custody, or control", oavsett om datan finns inom eller utanför USA.

Vad betyder det i praktiken?

• Det handlar om brottsutredning. Myndigheten måste ha ett beslut från en domare, till exempel en warrant, precis som vid data i USA.
• Det handlar om data som företaget har i sin makt. Finns din e-post hos ett europeiskt dotterbolag, men kan det amerikanska moderbolaget komma åt den, kan moderbolaget åläggas att lämna ut den.
• Leverantören kan invända om utlämning krockar med lagstiftningen i ett annat land, men bara i vissa fall (framför allt med länder som USA har ett särskilt avtal med, som Storbritannien och Australien). Ett allmänt avtal mellan EU och USA om denna typ av bevisning finns ännu inte.
• Kunden får inte alltid veta om det. En domare kan ålägga leverantören ett sekretessföreläggande, så att den inte får varna dig.

Samtidigt säger dataskyddsförordningen (GDPR) (art. 48) att en utländsk dom eller ett utländskt beslut om utlämning av data bara erkänns om det finns ett avtal, till exempel ett rättshjälpsavtal. En amerikansk leverantör kan alltså hamna i kläm mellan två lagar. Det är precis problemet: du som kund kan inte välja vilken lag som vinner.

Ett talande ögonblick: i juni 2025 frågade en undersökningskommitté i franska senaten chefsjuristen för Microsoft Frankrike om han under ed kunde garantera att data om franska medborgare aldrig lämnas ut till amerikanska myndigheter utan Frankrikes tillstånd. Hans svar: "Nej, det kan jag inte garantera." Han tillade att företaget bestrider felaktiga förfrågningar och att en sådan förfrågan i praktiken ännu inte hade förekommit. Båda delarna av det svaret är viktiga: risken är liten, men den finns, och företaget kan inte utesluta den.

FISA Section 702: underrättelser om utlänningar

FISA är Foreign Intelligence Surveillance Act. Section 702 lades till 2008. Syftet är inte att utreda brott, utan att samla in utländsk underrättelseinformation. Där ligger den stora skillnaden mot CLOUD Act:

Enligt Section 702 kan amerikanska myndigheter ålägga leverantörer av elektroniska kommunikationstjänster att medverka vid insamling av kommunikation från utländska "targets". För en europé ger den amerikanska lagstiftningen här lite skydd: det grundlagsskydd mot husrannsakan som finns (det fjärde tillägget) gäller framför allt amerikaner. Det här programmet spelade en huvudroll i domen Schrems II från EU-domstolen (lektion 1.4).

Läget i november 2026

Section 702 måste ständigt förlängas på nytt av kongressen. I april 2024 förlängde lagen RISAA den med två år, till april 2026. I april 2026 lyckades inte en lång förlängning; det blev två korta förlängningar. Den 12 juni 2026 löpte lagen ut, för första gången sedan 2008. Enligt rapportering fortsätter insamlingen i praktiken, eftersom FISA-domstolen redan i mars 2026 hade godkänt de årliga certifieringarna; de gäller ungefär till mars 2027. Kongressen fortsätter förhandlingarna om en ny förlängning under lame duck perioden från den 9 november 2026.

För ditt val betyder det här: oavsett om lagen just nu har löpt ut eller inte, försvinner inte det underliggande problemet. Chansen är stor att det kommer en ny förlängning, och befogenheterna kan återkomma i en annan form.

Executive Order 12333: utan domare

Utöver dessa lagar finns Executive Order 12333 från 1981, ett presidentbeslut om underrättelsearbete. Det omfattar till exempel avlyssning av internetkablar och insamling av data utanför USA, utan domstolsinblandning och utan att ett företag behöver medverka. För data som är krypterad under överföring är det mindre ett problem; för data hos ett amerikanskt företag är CLOUD Act och 702 de relevanta vägarna.

Hur stor är risken egentligen?

Ärligt talat: för de flesta små organisationer är chansen liten att amerikanska myndigheter just är intresserade av deras e-post. Ändå finns det skäl att ta det på allvar:

• Du vet inte. På grund av sekretessförelägganden får du kanske aldrig veta om det.
• Du är inte den enda berörda. I din e-post finns data om kunder, leverantörer och medarbetare. Du måste skydda deras data (lektion 1.2).
• Viss data är känslig. En advokatbyrå, en husläkare, en journalist eller en skola gör en annan avvägning än ett bageri.
• Reglerna kan förändras utan att du har något att säga till om.

Bageriet De Korrel har lite att frukta från en underrättelsetjänst. Men Sanne inser att hennes brevlåda även innehåller sjukanmälningar från personalen. Det är hälsouppgifter, och dem måste hon hantera extra försiktigt.

I praktiken: så ser det ut hos en leverantör

En europeisk leverantör utan amerikanskt moderbolag och utan amerikanska underbiträden omfattas inte av CLOUD Act och är ingen "provider" enligt Section 702. Den kan fortfarande åläggas att medverka med europeisk polis och åklagare, men då enligt europeisk och nationell rätt, med en europeisk domstol som kontroll. Hos WebOké står det i Nextcloud-manualen att dina filer inte går till amerikanska molnföretag. Hos andra leverantörer letar du efter en lista med underbiträden och efter den juridiska ägaren (lektion 2.1).

Sammanfattning

• CLOUD Act (2018) ålägger amerikanska leverantörer att lämna ut data de har i sin makt vid ett brottmålsbeslut, även om datan finns utomlands.
• FISA Section 702 ger amerikanska myndigheter tillgång till kommunikation från icke-amerikaner utanför USA, för underrättelseändamål, utan beslut per person.
• Section 702 löpte ut den 12 juni 2026, men enligt rapportering fortsätter insamlingen baserat på certifieringar från mars 2026; en ny förlängning diskuteras.
• En server i Europa skyddar inte om företaget bakom den lyder under amerikansk lagstiftning.
• Risken är liten för de flesta organisationer, men går inte att utesluta eller kontrollera.

Quiz

Uppgift

Uppgift E1.3: Under vilken lagstiftning hör din tjänst? Välj din viktigaste molntjänst. Ta reda på vilket företag som ingår avtalet med dig (står i villkoren), var det är etablerat, och vem det slutliga moderbolaget är. Besvara: kan CLOUD Act vara tillämplig på den här tjänsten, och varför?

Läs mer

Stegen i de här artiklarna gäller för WebOkés tjänster; hos andra leverantörer fungerar det på liknande sätt.

• Nextcloud-guide 15.13: Vanliga frågor om säkerhet och integritet
• 18 U.S.C. 2713, Required preservation and disclosure of communications and records (Cornell LII): https://www.law.cornell.edu/uscode/text/18/2713
• FISA Section 702 (50 U.S.C. 1881a) och CRS-rapporten "FISA Section 702 and the 2024 Reforming Intelligence and Securing America Act" (congress.gov, R48592)
• Förordning (EU) 2016/679 (dataskyddsförordningen, GDPR), artikel 48 (utländska beslut om utlämning)