Hva loven sier
CLOUD Act er en amerikansk lov fra 2018. Den lar amerikanske myndigheter pålegge leverandører som er underlagt amerikansk jurisdiksjon, å utlevere data som leverandøren har i sin besittelse, forvaring eller kontroll. Det gjelder også når dataene er lagret utenfor USA.
Det avgjørende er altså hvem som kontrollerer leverandøren, ikke hvor serveren står. En tjeneste driftet i Frankfurt eller Oslo av et selskap med amerikansk morselskap kan omfattes.
FISA 702
I tillegg gir Section 702 i Foreign Intelligence Surveillance Act amerikanske myndigheter hjemmel til å samle inn kommunikasjon om personer utenfor USA via amerikanske leverandører, for etterretningsformål.
Motargumentene, og hvorfor de er viktige
- Leverandøren kan bestride kravet. Store leverandører har varslet at de vil utfordre krav som er i strid med lokal lov.
- Ingen kjente krav. Under ed i det franske senatet i juli 2025 sa Microsoft Frankrikes juridiske direktør at selskapet ikke kan garantere at fransk offentlig data er beskyttet mot amerikanske krav. Han sa også at et slikt krav aldri har kommet.
- Overføringen er lovlig i dag. EU-US Data Privacy Framework gir grunnlag for overføring av personopplysninger til sertifiserte selskaper. EU-domstolens underrett avviste Latombe-saken i september 2025.
Risikoen er lav sannsynlighet og stor konsekvens. Det er nettopp den typen risiko ledelsen skal ta stilling til.
Hvorfor vi likevel anbefaler en exit-plan
Det rettslige grunnlaget for overføringer til USA har falt to ganger før: Safe Harbor i 2015 og Privacy Shield i 2020. Begge gangene måtte virksomheter i hele Europa finne nye løsninger på kort tid. En exit-plan gjør dere uavhengige av om det skjer igjen.
Om «suverene» skyer fra amerikanske leverandører
Amazon lanserte AWS European Sovereign Cloud i januar 2026. Den driftes av ansatte bosatt i EU gjennom tyske datterselskaper. Det endelige morselskapet er amerikansk. Etter forslaget til CADA krever nivå 3 europeisk eierskap og kontroll. Vurder arbeidslastene deres mot det kriteriet, og bestem hvilke som trenger det.
Ikke bare USA
CLOUD Act er det mest kjente eksempelet fordi de fleste skytjenestene i Norge er amerikanske. Prinsippet er det samme for andre land. Kinas etterretningslov fra 2017 pålegger for eksempel organisasjoner å støtte statens etterretningsarbeid. Spørsmålet er alltid hvilket lands lover leverandøren er underlagt, og om de gir myndighetene tilgang til data.
Skill mellom tre risikoer
- Rettslig tilgang: CLOUD Act og FISA 702.
- Sanksjoner og avstengning: en tjeneste stenges av politiske grunner.
- Kommersiell innlåsing: prisøkninger, lisensendringer og tvungne migreringer.
De fleste vil finne at den tredje koster mest i dag. De to første er grunnen til at temaet hører hjemme hos ledelsen.
Dette er en forklaring, ikke juridisk rådgivning. Kilder: SDxCentral (juli 2025), SCL (september 2025), Amazon (januar 2026).