Suveränitet och jurisdiktion

Amerikanska intressen kan nå era data i ett europeiskt datacenter

Var era data lagras är inte samma fråga som vilken lagstiftning er leverantör måste rätta sig efter. För en amerikansk molnleverantör kan amerikansk lagstiftning omfatta data som lagras i ett europeiskt datacenter, och det förändrar vad ett löfte om europeisk drift faktiskt är värt.

Jurisdiktionen följer leverantören, inte infrastrukturen

FISA Amendments Act (Section 702, kodifierad i 50 U.S.C. 1881a) rätt att gemensamt godkänna insamling av utländsk underrättelseinformation om icke-amerikanska personer som på rimliga grunder antas befinna sig utanför USA, upp till ett år åt gången, utan ett individuellt domstolsbeslut för varje målperson. Leverantörer är skyldiga att bistå, och ett direktiv till en leverantör medför i allmänhet tystnadsplikt.

CLOUD Act (18 U.S.C. 2523) gör det möjligt att genom ett amerikanskt beslut tvinga en tjänsteleverantör att lämna ut data som den innehar, förvarar eller kontrollerar, oavsett var dessa data lagras. Lagen antogs i mars 2018 just för att avgöra tvisten i United States v. Microsoft, där staten hade fått ett domstolsbeslut om ett konto vars e-post lagrades i Microsofts datacenter i Dublin. Microsoft bestred beslutet; målet nådde Högsta domstolen; och den 17 april 2018 avskrev domstolen överklagandet eftersom saken hade förfallit, då CLOUD Act under tiden hade gjort uppgifterna tillgängliga oavsett omständigheterna.

Den rättsliga skyldigheten vilar alltså på den amerikanska leverantören som förvarare, oavsett var servrarna fysiskt är placerade. Försvarsmakten drog samma slutsats i sin molnstrategi och konstaterade att platsen för leverantörens huvudkontor är avgörande för vilken lagstiftning som gäller. SVT, 30 maj 2026

”Utländska underrättelser” är bredare än att fånga terrorister

Section 702 avser ”utländsk underrättelseinformation”. Lagens definition (50 U.S.C. 1801(e)) omfattar information som USA behöver för att skydda sig mot angrepp, sabotage, internationell terrorism, vapenspridning och hemlig underrättelseverksamhet. Men den omfattar också, när det gäller varje utländsk makt eller utländskt territorium, information som rör ”USA:s nationella försvar eller säkerhet” eller ”bedrivandet av USA:s utrikespolitik”.

Poängen är att Section 702 inte är liktydigt med att ”fånga terrorister”. Ett kommersiellt anbud, ett strategiskt energipolitiskt beslut eller en försvarsleverantörs ställningstaganden kan alla ha betydelse för USA:s utrikespolitik. Det gör kommersiellt känsligt material tillgängligt för inhämtning när lagens villkor är uppfyllda.

Vad de säger och vad som har dokumenterats

Offentliga försäkringar

Microsofts Sverigechef Sophia Wikander sade i maj 2026 att Microsoft skulle bestrida ett sådant beslut varje gång. SVT, 30 maj 2026
Microsoft Sverige publicerade åtaganden om att bestrida varje begäran om utlämnande av data från svenska företagskunder eller kunder i offentlig sektor som strider mot GDPR eller annan svensk lagstiftning. Microsoft Sveriges pressinformation, 11 februari 2021

Vad som har dokumenterats

Microsoft Frankrikes chefsjurist Anton Carniaux sade inför den franska senaten (10 juni 2025) att han inte kan garantera att data som lagras i europeiska datacenter inte lämnas till amerikanska myndigheter vid en formellt giltig begäran enligt CLOUD Act; företaget skulle vara rättsligt skyldigt att lämna ut dem. Hamburgs dataskyddsmyndighets kommentar, 1 augusti 2025
Snowdens avslöjanden (2013) pekade ut amerikanska leverantörer, däribland Microsoft, som deltagare i PRISM-programmet under Section 702. PRISM (Wikipedia)
Microsofts egna rapporter om myndighetsförfrågningar och brottsbekämpning publicerar sammanställda volymer av data som lämnats ut enligt FISA-beslut och förfrågningar rörande nationell säkerhet. Microsofts transparensrapport

Vems intressen väger tyngst när skyldigheter står i konflikt med varandra?

Vi påstår inte att vi vet, för varje enskild begäran, vad en leverantör skulle välja att göra, och vi hävdar inte att någon specifik fil har begärts ut eller lästs. Men incitamenten är svåra att bortse från.

En leverantör som delges ett direktiv enligt Section 702 är skyldig att hålla inhämtningen hemlig. Kunden hålls utanför processen: leverantören kan inte erbjuda den insyn som behövs för att verifiera vad som hände med kundens data. Ett offentligt löfte om att bestrida ett beslut innebär inte att en invändning kommer att göras. Utan belägg för att åtgärder vidtagits förblir det ett marknadsföringslöfte.

När valet står mellan att öppet bryta mot amerikansk lag och att i det dolda bryta mot europeisk lag är en rimlig tolkning av incitamenten att leverantörer inte skulle välja att bli först med att öppet bryta mot amerikansk lag. Det är värt att notera att ingen amerikansk leverantör någonsin offentligt har trotsat ett direktiv enligt Section 702 eller en slutlig begäran enligt CLOUD Act. Det är inte ett bevis för vad någon enskild begäran har innehållit — det är ett påstående om vad incitamenten gör förutsägbart. Microsoft publicerar siffror som visar att företaget följer krav rörande nationell säkerhet som berör tusentals konton. Det är en observerbar praxis, inte en hypotetisk risk. En vd:s löfte att bestrida ett beslut är en marknadsföringsförsäkran — inte belägg för att företaget kommer att vägra lämna ut era data. I avsaknad av ett dokumenterat fall av vägran är den praktiska frågan: hur skulle det gå med våra data i den situationen, och hur skulle vi någonsin få veta det?

Vidare läsning

Prata med oss om era behov