CLOUD Act är en amerikansk lag som ger amerikanska myndigheter möjlighet att begära ut data från leverantörer under amerikansk jurisdiktion, även när datan ligger på servrar i Sverige eller inom EU. Det står i direkt spänning med GDPR, som inte godtar ett utländskt myndighetsbeslut som ensam grund för att lämna ut personuppgifter. Det betyder inte att amerikanska molntjänster är förbjudna. Det betyder att du måste kunna visa att du har bedömt risken, valt rätt överföringsmekanism och vidtagit åtgärder som står sig vid en granskning. Här går vi igenom vad lagen innebär, var konflikten uppstår och hur du gör en bedömning som håller.
Kort sagt
- CLOUD Act gäller leverantörer som kontrollerar data, oavsett var datan lagras. Att välja ett datacenter i Sverige löser alltså inte frågan på egen hand.
- GDPR artikel 48 innebär att ett utländskt beslut om utlämnande inte ensamt är en giltig grund. Det krävs en internationell överenskommelse, och kraven i kapitel V gäller fortfarande.
- Amerikanska molntjänster kan användas lagligt, till exempel med stöd av EU–USA:s ramverk för dataskydd (DPF) eller standardavtalsklausuler med kompletterande skyddsåtgärder.
- Offentlig sektor och samhällsviktig verksamhet har strängare krav och bör göra en egen juridisk och säkerhetsmässig analys.
- Det avgörande är dokumentationen: kartläggning, rollfördelning, överföringsbedömning och uppföljning.
Innehållsförteckning
- Vad är CLOUD Act?
- Därför krockar CLOUD Act med GDPR
- Är amerikanska molntjänster olagliga enligt GDPR?
- Särskilda krav i offentlig sektor
- Så bedömer du en molnleverantör med koppling till USA
- Generativ AI: samma fråga i ny form
- Vårt perspektiv: gör CLOUD Act till en hanterbar risk
- Samla leverantörsbedömningar och TIA på ett ställe
- Vanliga frågor om CLOUD Act och GDPR
- Källor
Vad är CLOUD Act?
CLOUD Act (Clarifying Lawful Overseas Use of Data Act) antogs i USA 2018 och ändrade den amerikanska lagstiftningen om lagrad elektronisk kommunikation. Enligt Eurojusts genomgång av CLOUD Act klargör lagen att amerikanska tjänsteleverantörer är skyldiga att bevara och lämna ut data som de har kontroll över, oavsett var datan lagras.
Det centrala begreppet är alltså kontroll, inte geografi. Lagen kan omfatta:
- leverantörer av elektroniska kommunikationstjänster och molntjänster som är amerikanska eller har rättslig närvaro i USA
- europeiska dotterbolag till amerikanska koncerner, i den mån moderbolaget anses ha kontroll över datan
- innehåll, till exempel e-post, dokument och lagrade filer, men också trafik- och kontouppgifter
Lagen gör det också möjligt för USA att ingå bilaterala avtal med andra stater. Sådana CLOUD Act-avtal får enligt Cross-Border Data Forums frågor och svar om CLOUD Act endast användas för begäranden som gäller allvarlig brottslighet och inte för generell insamling av användardata.
För en svensk organisation är den praktiska följden enkel att formulera men svår att hantera: om din molnleverantör omfattas av amerikansk jurisdiktion kan amerikanska myndigheter i princip vända sig direkt till leverantören, och du får inte alltid veta om det. Leverantören kan i vissa fall vara förhindrad att informera kunden om begäran.
Därför krockar CLOUD Act med GDPR
GDPR utgår från att personuppgifter som lämnar EU ska ha ett skydd som i allt väsentligt motsvarar det europeiska. CLOUD Act utgår från att en amerikansk leverantör ska följa amerikanska myndighetskrav. När båda gäller samtidigt hamnar leverantören, och i förlängningen du som personuppgiftsansvarig, i en lagkonflikt.
Artikel 48: utländska beslut räcker inte
GDPR artikel 48 slår fast att en dom eller ett administrativt beslut från ett tredjeland som kräver att personuppgifter överförs eller lämnas ut bara kan erkännas om det grundar sig på en internationell överenskommelse, till exempel ett avtal om ömsesidig rättslig hjälp. Även då gäller övriga krav i kapitel V. CLOUD Act är med andra ord inte i sig en överföringsmekanism enligt GDPR.
Vad EDPB och EDPS har sagt
I Försäkringskassans vitbok om publika molntjänster refereras EDPB:s och EDPS bedömning att det enligt GDPR endast i undantagsfall finns rättsliga förutsättningar att föra över personuppgifter till ett tredjeland med stöd av CLOUD Act. Vitboken återger också EDPB:s hållning att företag inom EU generellt bör avslå direkta utlämnandebegäranden när det finns avtal om ömsesidig rättslig hjälp (MLAT), och hänvisa den utländska myndigheten till den vägen.
Vitboken pekar dessutom på att en tjänsteleverantör som anlitas av en svensk myndighet riskerar att hamna i konflikt mellan EU-rätten och amerikansk lagstiftning när en begäran om utlämnande kommer. Konflikten är inte löst på lagstiftningsnivå. Den hanteras i dag genom avtal, tekniska åtgärder och riskbedömningar.
Lagring i EU är ingen fullständig lösning
Många utgår från att ett datacenter i Stockholm eller Frankfurt räcker. Men eftersom CLOUD Act bygger på kontroll kan datan nås även där. SLU anger i sin interna vägledning att personuppgifter som lagras på en server inom EU/EES som ägs av exempelvis Google, Microsoft eller Amazon betraktas som en överföring till tredjeland. Alla organisationer gör inte exakt den tolkningen, men den visar hur försiktigt flera svenska aktörer resonerar.
Är amerikanska molntjänster olagliga enligt GDPR?
Nej. CLOUD Act gör inte automatiskt användningen av amerikanska molntjänster olaglig. Frågan är vilken rättslig grund överföringen vilar på och om skyddet i praktiken är tillräckligt.
Från Schrems II till Data Privacy Framework
Genom Schrems II-domen den 16 juli 2020 ogiltigförklarade EU-domstolen Privacy Shield, eftersom ramverket inte gav tillräckligt skydd för personuppgifter som fördes över till USA. Domstolen godtog däremot standardavtalsklausuler, under förutsättning att skyddsnivån i praktiken är tillräcklig. Det beskriver IMY i sin vägledning om Schrems II, som också anger att överföringar till mottagare som omfattas av DPF kan stödjas på adekvansbeslutet.
Adekvansbeslutet antogs den 10 juli 2023. Göteborgs Stads dataskyddsenhet understryker att beslutet inte gäller USA generellt utan endast amerikanska organisationer som är certifierade under DPF. För en sådan mottagare behövs ingen ytterligare överföringsmekanism enligt kapitel V. EDPB:s frågor och svar om DPF, antagna den 15 januari 2026, bekräftar att uppgifter kan överföras till DPF-certifierade företag utan ytterligare skyddsåtgärder, förutsatt att certifieringen omfattar de aktuella uppgiftstyperna.
Varför DPF inte stänger CLOUD Act-frågan
DPF reglerar överföringen. CLOUD Act handlar om myndigheters åtkomst. De två överlappar, men en giltig överföringsgrund tar inte bort risken för att en amerikansk myndighet begär ut data, och den löser inte frågan om information som omfattas av sekretess eller säkerhetsskydd. Ramverket är dessutom politiskt och rättsligt omstritt, och tidigare ramverk har underkänts. Därför bör du ha en plan för vad som händer om grunden faller.
| Situation | Möjlig överföringsgrund | Kvarstående CLOUD Act-risk | Vad du bör göra |
|---|---|---|---|
| Amerikansk leverantör, DPF-certifierad för aktuella uppgifter | Adekvansbeslutet (DPF) | Ja, myndighetsåtkomst via leverantören | Kontrollera certifieringens omfattning, dokumentera, bedöm känslighet |
| Amerikansk leverantör utan DPF-certifiering | Standardavtalsklausuler | Ja | Gör en överföringsbedömning (TIA) och kompletterande åtgärder |
| EU-bolag som ingår i amerikansk koncern, data lagras i EU | Beror på flöden och supportåtkomst | Ja, om koncernen har kontroll | Kartlägg åtkomst, underbiträden och supportflöden |
| EU-ägd leverantör utan amerikansk närvaro | Ingen tredjelandsöverföring om allt stannar i EU/EES | Låg, men kontrollera underbiträden | Granska underbiträdeslistan och avtalsvillkor |
Vill du fördjupa dig i själva överföringsreglerna har vi en genomgång av tredjelandsöverföringar enligt GDPR.
Särskilda krav i offentlig sektor
För myndigheter, kommuner och regioner väger frågan tyngre. Det handlar inte bara om GDPR utan också om offentlighets- och sekretesslagen, säkerhetsskydd och förtroendet för samhällsbärande verksamhet.
- IMY:s undersökning från november 2022 visade att samtliga sju deltagande myndigheter såg utmaningar i att hitta GDPR-förenliga molntjänster, särskilt kring leverantörsavtal, rollfördelning och överföringar utanför EU.
- eSamverkansprogrammets uppdatering om adekvansbeslutet betonar att myndigheter utifrån sin egen analys bör överväga juridiska och säkerhetsmässiga faktorer, och att bedömningen kräver både teknisk och juridisk kompetens.
- Diggs vägledning om extern driftsform för SDK anger att information som en leverantör hanterar för en deltagarorganisations räkning inte får ställas under kontroll av en juridisk person med huvudsäte utanför EU/EES.
- EDPB har i sina rekommendationer om molntjänster i offentlig sektor understrukit att offentliga organisationer måste säkerställa full efterlevnad och särskilt hantera riskerna när externa leverantörer behandlar personuppgifter.
Att riskerna är verkliga visar IMY:s beslut mot Umeå universitet, där universitetet fick en sanktionsavgift på 550 000 kronor för att inte ha vidtagit lämpliga tekniska och organisatoriska säkerhetsåtgärder för känsliga personuppgifter i en amerikansk molntjänst. Ärendet gällde säkerhetsåtgärder snarare än CLOUD Act i sig, men det visar att tillsynsmyndigheten granskar hur molntjänster faktiskt konfigureras och används.
En personuppgiftsansvarig får bara anlita biträden som ger tillräckliga garantier för att de registrerades rättigheter skyddas. Den som behöver en snabb påminnelse om skillnaden mellan roller och ansvar kan gå igenom centrala GDPR-begrepp och därefter vår artikel om registeransvarig och biträde.
Så bedömer du en molnleverantör med koppling till USA
En bedömning som håller vid en tillsyn följer en tydlig ordning. Använd stegen nedan som arbetsgång.
- Kartlägg behandlingen. Vilka personuppgifter, vilka kategorier av registrerade och hur känsliga uppgifterna är. Utgå från din registerförteckning enligt GDPR så att bedömningen knyts till faktiska behandlingar.
- Identifiera jurisdiktionen. Är leverantören, moderbolaget eller något underbiträde amerikanskt eller verksamt i USA? Gå igenom underbiträdeslistan och var support- och driftpersonal sitter.
- Fastställ rollerna. Är leverantören personuppgiftsbiträde, eller behandlar den uppgifter för egna ändamål, till exempel diagnostik- och telemetridata? Rollen styr vilka villkor som krävs.
- Välj överföringsgrund. Kontrollera om leverantören är DPF-certifierad och om certifieringen täcker uppgiftstyperna. Annars: standardavtalsklausuler.
- Gör en överföringsbedömning (TIA). Analysera mottagarlandets lagstiftning, inklusive CLOUD Act, och hur sannolikt och allvarligt ett utlämnande vore för just dina uppgifter.
- Välj kompletterande åtgärder. Vanliga åtgärder är kryptering där nycklarna förvaltas utanför leverantörens kontroll, pseudonymisering, dataminimering och begränsad supportåtkomst.
- Reglera myndighetsbegäranden i avtalet. Leverantören bör åta sig att pröva och om möjligt bestrida begäranden, hänvisa till rättsliga hjälpavtal, informera dig när det är tillåtet och publicera transparensrapporter. Läs mer om vad ett personuppgiftsbiträdesavtal bör innehålla.
- Dokumentera beslutet och följ upp. Ange vem som fattade beslutet, på vilket underlag och när bedömningen ska göras om, till exempel vid ändrade villkor, nya underbiträden eller rättsliga förändringar kring DPF.
Om behandlingen sannolikt medför hög risk, till exempel vid storskalig behandling av känsliga uppgifter, krävs dessutom en konsekvensbedömning. Vår guide om bedömning av konsekvenser visar hur DPIA och TIA hänger ihop.
Exempel: ett medelstort vårdbolag byter e-postplattform
Ett vårdbolag med 400 anställda vill flytta e-post och dokumenthantering till en amerikansk molnplattform med datacenter i Sverige. Dataskyddsombudet konstaterar att leverantören är DPF-certifierad, men att plattformen kommer att innehålla hälsouppgifter i patientkorrespondens. Bolaget väljer därför att hålla journaldata i ett separat system med europeisk drift, att begränsa vilka uppgifter som får skickas via e-post och att aktivera kundhanterade krypteringsnycklar för dokumentlagringen. Beslutet, underlaget och datum för omprövning läggs in i bolagets dokumentation. Resultatet är inte noll risk, men en risk som är identifierad, begränsad och möjlig att försvara. Organisationer i Microsofts miljö kan jämföra med vår genomgång av personuppgifter i Microsoft 365.
Generativ AI: samma fråga i ny form
Många av de mest använda AI-tjänsterna utvecklas av amerikanska aktörer. Digg anger i sina riktlinjer för generativ AI att användning av allmänt tillgängliga generativa AI-tjänster innebär personuppgiftsbehandling som måste analyseras utifrån GDPR innan tjänsterna tas i bruk. CLOUD Act-frågan följer med: prompter, uppladdade dokument och loggar kan omfattas av samma åtkomstregler som annan molnlagrad data.
Praktiskt betyder det att AI-verktyg bör in i samma leverantörsbedömning som övriga molntjänster, med tydliga regler för vilka uppgifter som får matas in. En bra utgångspunkt är en genomgång av GDPR och generativ AI i praktiken, kompletterad med vår artikel om huruvida företag får använda ChatGPT på jobbet. Om ni dessutom omfattas av AI-förordningen kan arbetet samordnas med era krav enligt AI-förordningen.
Vårt perspektiv: gör CLOUD Act till en hanterbar risk
Vi möter ofta två ytterligheter. Den ena är organisationer som har bestämt sig för att CLOUD Act inte berör dem eftersom datan ligger i Sverige. Den andra är organisationer som har stannat upp helt, eftersom ingen vågar fatta beslut om molntjänster. Ingen av hållningarna är hållbar.
Vår erfarenhet som jurister är att konflikten mellan CLOUD Act och GDPR sällan går att lösa juridiskt i det enskilda fallet. Den går däremot att hantera. Det som skiljer en organisation som står stark vid en tillsyn från en som inte gör det är nästan alltid dokumentationen: att varje leverantör är kopplad till de behandlingar den berör, att överföringsgrunden är vald och motiverad, att kompletterande åtgärder är beskrivna och att någon har ett namngivet ansvar för att följa upp.
Vi rekommenderar därför att du behandlar CLOUD Act som en återkommande punkt i leverantörsbedömningen, inte som en engångsutredning. Prioritera efter känslighet: börja med de system som rymmer känsliga personuppgifter, sekretessbelagd information eller affärskritisk data. En riskbaserad prioritering gör att resurserna hamnar där konsekvenserna av ett utlämnande vore störst.
— Jesper
Samla leverantörsbedömningar och TIA på ett ställe
I Trustview kopplar du leverantörsbedömningar, överföringsbedömningar och konsekvensbedömningar direkt till din registerförteckning. Du delegerar ansvar, följer upp åtgärder och ser compliance-status i realtid, med färdiga mallar för GDPR, NIS2, ISO 27000 och AI-förordningen. Plattformen kostar från 2 500 kr per månad, och se Trustviews priser och upplägg för detaljer. Behöver du stöd i en specifik bedömning finns även juridisk rådgivning från jurister med inriktning på svensk och europeisk dataskyddsrätt.
Vanliga frågor om CLOUD Act och GDPR
Räcker det att välja en leverantör med datacenter i Sverige?
Nej, inte om leverantören eller dess moderbolag omfattas av amerikansk jurisdiktion. CLOUD Act bygger på vem som kontrollerar datan, inte var den lagras. Datacenter i Sverige minskar vissa risker men ersätter inte en överföringsbedömning.
Måste vi göra en TIA om leverantören är DPF-certifierad?
För själva överföringen behövs ingen ytterligare överföringsmekanism om certifieringen täcker de aktuella uppgifterna. Du behöver ändå bedöma säkerhet, roller, underbiträden och känslighet, och dokumentera varför tjänsten är lämplig. Vid känsliga uppgifter är det klokt att även analysera åtkomstrisken.
Vad gör vi om leverantören får en begäran enligt CLOUD Act?
Avtalet bör ange att leverantören ska pröva begäran, hänvisa till rättsliga hjälpavtal där sådana finns och informera dig när det är tillåtet. Om ett utlämnande sker kan det utgöra en personuppgiftsincident som ska bedömas och eventuellt anmälas till IMY inom 72 timmar. Läs mer i vår guide om personuppgiftsincidenter inom 72 timmar.
Gäller CLOUD Act även europeiska leverantörer?
Den kan göra det om leverantören har rättslig närvaro i USA eller använder amerikanska underbiträden som har kontroll över datan. Granska därför ägarstruktur och underbiträdeslistor, inte bara var bolaget är registrerat.
Källor
- Eurojust: The CLOUD Act
- Cross-Border Data Forum: CLOUD Act, Answers to Frequently Asked Questions
- EUR-Lex: Dataskyddsförordningen (EU) 2016/679
- Försäkringskassan: Vitbok om publika molntjänster i samhällsbärande verksamhet
- SLU: Överföring av personuppgifter till länder utanför EU
- IMY: Schrems II-domen och ytterligare skyddsåtgärder
- Göteborgs Stad: Dataskyddsenhetens uppdaterade rekommendationer
- EDPB: EU-U.S. Data Privacy Framework FAQ
- IMY-bloggen: Utmaning för myndigheter att hitta molntjänster som uppfyller GDPR
- eSam: Uppdatering kring adekvansbeslutet
- Digg: Vägledning kring extern driftsform vid anslutning till SDK
- EDPB: Rekommendationer om molntjänster i offentlig sektor
- IMY: Beslut efter tillsyn av Umeå universitet
- Digg: Användning av allmänt tillgänglig och integrerad generativ AI
