CLOUD Act och svenska företag: vad gäller för er data?

Många svenska företag och organisationer lagrar sin data hos amerikanska molnleverantörer som Amazon Web Services (AWS), Microsoft Azure och Google Cloud. Ofta har de valt ett datacenter i Europa och utgår från att datan därmed skyddas av europeisk lag. Så enkelt är det inte. Den amerikanska lagen CLOUD Act gör att amerikanska myndigheter kan begära ut data från amerikanska leverantörer, oavsett var i världen servern står.

I den här guiden går vi igenom vad CLOUD Act är, hur lagen påverkar svenska företag och hur den förhåller sig till GDPR. Ni får också veta vad ni kan göra för att behålla kontrollen över er data.

Vad är CLOUD Act?

CLOUD Act (Clarifying Lawful Overseas Use of Data Act) är en amerikansk lag från 2018. Den ger amerikanska myndigheter rätt att kräva ut data från tjänsteleverantörer under amerikansk jurisdiktion, även när datan lagras utanför USA.

Det avgörande är alltså inte var datan finns, utan vem som kontrollerar den. Om er molnleverantör är ett amerikanskt bolag kan den tvingas lämna ut data som ligger i ett datacenter i Stockholm, Frankfurt eller Dublin.

Påverkar CLOUD Act svenska företag?

Ja, indirekt. CLOUD Act riktar sig mot leverantören och inte mot er som kund. Men det är er data som berörs. Lagen kan påverka er om ni:

• Använder AWS, Microsoft Azure, Google Cloud eller andra amerikanska molntjänster.
• Använder SaaS-tjänster som körs på amerikansk infrastruktur, till exempel e-post, CRM, lagring eller samarbetsverktyg
• Har en underleverantör som i sin tur använder ett amerikanskt moln.

Som kund får ni inte alltid veta om data begärs ut. Leverantören kan i vissa fall förbjudas att berätta om det.

CLOUD Act och GDPR: en juridisk konflikt

GDPR kräver att personuppgifter bara lämnas ut till myndigheter i länder utanför EU med stöd av en rättslig grund, till exempel ett internationellt avtal (artikel 48). CLOUD Act kan alltså tvinga en leverantör att göra något som GDPR inte tillåter.

Det sätter er i en svår sits som personuppgiftsansvarig. Det är ni som ansvarar för att personuppgifterna hanteras lagligt, även när de ligger hos en leverantör. Vid brister kan sanktionsavgiften bli upp till 4 procent av den globala årsomsättningen.

Schrems II och Data Privacy Framework

År 2020 ogiltigförklarade EU-domstolen avtalet Privacy Shield i det så kallade Schrems II-målet. Skälet var att amerikansk övervakningslagstiftning inte gav EU-medborgare ett tillräckligt skydd. År 2023 ersattes det av EU–US Data Privacy Framework.

Ramverket gäller i dag, men det är inte färdigprövat. Tribunalen godkände det 2025, och domen har överklagats till EU-domstolen. Två tidigare avtal av samma slag har redan underkänts. Många organisationer ser därför ramverket som en osäker grund att bygga sin datahantering på.

Vilka verksamheter berörs mest?

CLOUD Act är relevant för alla som hanterar känslig information, men särskilt för:

• Offentlig sektor: kommuner, regioner och myndigheter som hanterar medborgarnas uppgifter.
• Vård och hälsa: patientdata och journalsystem.
• Fintech, bank och försäkring: finansiell information och kunddata.
• Juridik och rådgivning: sekretessbelagd klientinformation.
• Företag med affärshemligheter: forskning, utveckling och immateriella rättigheter.

Räcker det att välja ett europeiskt datacenter?

Nej. Ett datacenter i EU skyddar inte mot CLOUD Act om leverantören är amerikansk. Begrepp som ”EU Data Boundary” eller ”europeisk region” handlar om var datan lagras, inte om vilket lands lagar leverantören måste följa.

Ställ därför tre frågor till er leverantör:

1. Är ni ett amerikanskt bolag, eller ägs ni av ett?
2. I vilket land lagras vår data, inklusive säkerhetskopior?
3. Äger och driver ni infrastrukturen själva, eller finns amerikanska underleverantörer i kedjan?

Så behåller ni kontrollen: svenskt moln och datasuveränitet

Datasuveränitet betyder att er data lyder under lagarna i det land där den lagras. För svenska företag är det enklaste sättet att uppnå det att välja ett moln där datan lagras i Sverige och leverantören inte är amerikansk.

Bahnhof Cloud är ett sådant moln:

Svenska datacenter: all drift sker i Bahnhofs egna datacenter i Sverige.

Svensk mark, svensk lag: er data lagras under svensk lagstiftning. Den kan inte begäras ut via amerikansk lag som CLOUD Act, bara enligt svensk lag och svenska rättsliga processer.

GDPR från dag ett: när datan stannar i Sverige blir efterlevnaden naturlig redan från början.

Egen infrastruktur: Bahnhof bygger, äger och driver sina egna datacenter och ett rikstäckande fibernät.

Checklista: hur exponerad är er data för CLOUD Act?

• Vet ni i vilka länder er molnleverantör och dess ägare har sitt säte?
• Har ni kartlagt vilka SaaS-tjänster och underleverantörer som hanterar personuppgifter?
• Har ni gjort en konsekvensbedömning (DPIA) för överföringar till tredje land?
• Vet ni var era säkerhetskopior lagras?
• Har ni en plan om Data Privacy Framework skulle underkännas?

Vanliga frågor om CLOUD Act

Behåll kontrollen över er data

CLOUD Act gör att valet av molnleverantör är både ett tekniskt och ett juridiskt beslut. Med ett svenskt moln vet ni var er data finns och vilken lag som gäller för den.

Kontakta oss så berättar vi hur ni kan flytta er data till Bahnhof Cloud.