Vem avgör om uppgifterna får ligga hos en amerikansk leverantör

Frågan kommer sällan som en principfråga. Den kommer som ett beslut med ett datum: ett avtal ska tecknas, en migrering ska godkännas, ett arkiv ska flyttas, och någon vill veta om just det här materialet får ligga där. Svaret söks då i CLOUD Act, och det är där utredningen tar fel väg. Den amerikanska lagen avgör inte er fråga. Den avgör leverantörens.

CLOUD Act nämner inte var servern står

Bestämmelsen är kort nog att läsa i sin helhet. Enligt 18 U.S.C. § 2713, som infördes genom Clarifying Lawful Overseas Use of Data Act den 23 mars 2018, ska en leverantör av elektronisk kommunikationstjänst eller fjärrdatatjänst fullgöra kapitlets skyldigheter att bevara, säkerhetskopiera eller lämna ut innehållet i ett meddelande och varje uppgift om en kund eller abonnent som finns i leverantörens besittning, förvar eller under leverantörens kontroll, oavsett om uppgiften finns inom eller utanför USA.

Det står ingenting där om datacentrets adress. Det som binder är rådigheten, alltså om leverantören kan nå uppgiften. En europeisk driftsregion ändrar inte den saken, och det är därför en garanti om lagringsort inte besvarar den fråga den ofta ges som svar på.

Svenska statens egen beskrivning säger samma sak utan att nämna lagen vid namn. I regeringens molnpolicy, beslutad av regeringen den 28 maj 2026, står att företag i vissa länder enligt respektive lands regelverk under vissa förutsättningar måste lämna ut data till sina berörda nationella myndigheter, även om dessa data hanteras och lagras utanför dessa länder.

Två källor med olika ursprung, en amerikansk lagtext och ett svenskt regeringsdokument, beskriver alltså samma mekanism. Det gör resten av diskussionen enklare, eftersom oenigheten inte gäller vad lagen säger utan vad den betyder för er.

För de flesta är det dessutom inte ett beslut som fattas för första gången. Enligt Eurostats undersökning av företagens it-användning köpte 72,0 procent av de svenska företagen med minst tio sysselsatta molntjänster under 2025, och bland företagen med minst 250 sysselsatta var andelen 94,4 procent. Populationen omfattar näringslivet utom jordbruk, skogsbruk, fiske och utvinning, och den utesluter finanssektorn, som har egna utkontrakteringsregler utöver de allmänna. Frågan gäller sällan om något ska flyttas. Den gäller vad som redan ligger där.

Leverantörens invändning kräver ett mellanstatligt avtal

Lagen innehåller en säkerhetsventil, och den är mindre än den ser ut. Enligt 18 U.S.C. § 2703(h) får en leverantör inom fjorton dagar begära att ett föreläggande ändras eller upphävs, men bara om leverantören har skälig anledning att anta både att kunden inte är en amerikansk person och inte är bosatt i USA, och att utlämnandet skulle medföra en påtaglig risk att leverantören bryter mot lagstiftningen i en kvalificerad utländsk stat.

Uttrycket kvalificerad utländsk stat är definierat, och definitionen är hela poängen: det krävs ett verkställighetsavtal med USA som har trätt i kraft enligt 18 U.S.C. § 2523. Amerikanska justitiedepartementet redovisar på sin sida om CLOUD Act avtal med Storbritannien och Australien. Europeiska kommissionen föreslog i februari 2019 att förhandlingar skulle inledas med USA och anger på sin sida om gränsöverskridande tillgång till elektroniska bevis att de fortfarande pågår.

Bland de avtal som redovisas där finns inget som omfattar Sverige. Leverantören kan naturligtvis processa på andra grunder, men den väg lagstiftaren själv byggde för konflikter mellan rättsordningar står inte öppen för en svensk kund.

Till det kommer en detalj som avgör hur beslutet ska fattas snarare än hur det ska motiveras. Enligt 18 U.S.C. § 2705(b) kan en domstol förelägga leverantören att inte underrätta någon annan om att föreläggandet finns, under den tid domstolen finner lämplig, bland annat om det finns anledning att anta att en underrättelse skulle allvarligt äventyra en utredning eller leda till att bevisning förstörs.

Ett utlämnande som ingen underrättar er om är inte en risk ni kan upptäcka i efterhand.

Det är därför frågan inte kan skjutas till en kommande revision. En kontrollpunkt som förutsätter att ni får veta något fungerar inte mot ett förfarande som är konstruerat för att ni inte ska få veta det. Bedömningen måste alltså göras innan materialet placeras, och den måste göras på vad ett utlämnande skulle kosta, inte på hur sannolikt det är.

Under ed blev svaret nej, och sedan kom ett andra led

En uppgift som ofta förs vidare i frågan kommer från ett protokoll. I juni 2025 hördes Microsoft Frances direktör för juridiska och offentliga frågor, Anton Carniaux, under ed av franska senatens undersökningskommission om den offentliga upphandlingens kostnader och former. Han fick frågan om företaget kunde garantera att uppgifter om franska medborgare aldrig skulle lämnas ut efter en instruktion från den amerikanska regeringen utan franskt medgivande.

Svaret finns i kommissionens protokoll: nej, det kan jag inte garantera, men, återigen, det har ännu aldrig inträffat. Han tillade att det enligt företagets öppenhetsrapporter aldrig hade skett för ett europeiskt företag.

Andra ledet följer inte alltid med när uppgiften återges, och det är ett misstag åt båda hållen. Utan det blir citatet ett påstående om att utlämnanden sker rutinmässigt, vilket han inte sade. Med det blir citatet i stället precis det underlag ett beslut behöver: möjligheten bekräftas och kan inte uteslutas, samtidigt som utfallet hittills beskrivs som ingen händelse. Ett beslut som bygger på frekvens och ett beslut som bygger på konsekvens landar olika, och skillnaden syns bara när båda leden står kvar.

Slutsatsen gäller inte en leverantör utan en kategori. De stora amerikanska molnleverantörerna lyder under samma bestämmelse, och ingen av dem kan avtala bort en skyldighet som följer av lag i deras hemland.

Dataskyddet rörde sig, och det rörde sig åt det tillåtande hållet

En vanlig förväntning är att rättsläget har blivit strängare. Det har det inte.

Utgångspunkten sattes tidigt. I sitt gemensamma svar till Europaparlamentets LIBE-utskott i juli 2019 slog Europeiska dataskyddsstyrelsen och Europeiska datatillsynsmannen fast att ett utländskt domstolsbeslut inte i sig gör en överföring tillåten enligt dataskyddsförordningen, och att en leverantör som lyder under unionsrätten därför inte kan grunda ett utlämnande på en begäran enligt CLOUD Act utan ett internationellt avtal. Undantagen i artikel 49 beskrevs i samma svar som snäva och att tolka restriktivt.

Sedan dess har praxis gått åt andra hållet. EU-domstolen ogiltigförklarade visserligen det dåvarande adekvansbeslutet i Schrems II i juli 2020, men i domen Latombe mot kommissionen, mål T-553/23, ogillade tribunalen i september 2025 talan mot dataskyddsramen mellan EU och USA och bekräftade att USA vid tidpunkten för antagandet av beslutet säkerställde en adekvat skyddsnivå. Domen är överklagad: Philippe Latombe lämnade in ett överklagande den 31 oktober 2025, och prövningen i EU-domstolen pågår.

Parallellt kom en skyldighet som pekar åt motsatt håll, och den träffar leverantören och inte kunden. Dataförordningen tillämpas enligt Post- och telestyrelsen sedan den 12 september 2025 och innehåller skyddsåtgärder mot att myndigheter i tredjeländer får tillgång till uppgifter i strid med unionsrätten. Den delen gäller icke-personuppgifter, alltså det material som faller utanför dataskyddsförordningen och som en dataskyddsbedömning därför inte har täckt.

De svenska kompletterande bestämmelserna är däremot färska. Betänkandet Ökad och rättvis tillgång till data, SOU 2025:118, lämnades i december 2025 med förslaget att lagändringarna skulle träda i kraft den 1 juli 2026. Det datumet har passerat: betänkandet remitterades i februari 2026, remisstiden löpte ut i maj 2026, och förslaget bereds i Regeringskansliet. Post- och telestyrelsen anger att myndigheten i avvaktan på kompletterande lagstiftning har begränsade möjligheter att vidta åtgärder.

Regeringen skrev en policy och lämnade tillbaka beslutet

I maj 2026 beslutade regeringen Sveriges första molnpolicy för offentlig förvaltning. Den riktar sig till statliga myndigheter under regeringen samt kommuner och regioner, och till privata aktörer som bedriver offentligt finansierad verksamhet. Den innehåller sex principer: arbeta riskbaserat inför molnanvändning, välj effektiva molnlösningar, öka verksamhetsnyttan, främja portabilitet och en väl fungerande marknad, upprätthåll relevant kontroll över data, drift och teknik, och säkerställ god kravställning på leverantörerna.

Policyn är vägledande. Den anger att den kan användas som stöd av de offentliga aktörerna vid deras användning av molntjänster, och den placerar ansvaret uttryckligen: varje aktör måste göra en självständig bedömning och är själv ansvarig för sin användning av molntjänster.

Samma besked upprepades i regeringens svar på en skriftlig fråga om myndigheters beroende av amerikanska molntjänster i juli 2026: bedömningen ligger hos myndigheterna själva, och Post- och telestyrelsen har fått i uppdrag att vägleda dem. Att policyn inte förbjuder något är alltså inte en lucka i den. Det är vad den säger att den är.

Det finns ett regelverk där prövningen ligger hos någon annan än verksamheten själv. Enligt 4 kap. säkerhetsskyddslagen (2018:585), vars bestämmelser om utkontraktering trädde i kraft den 1 december 2021, ska en verksamhetsutövare i vissa fall samråda med tillsynsmyndigheten innan förfarandet inleds, och tillsynsmyndigheten får då enligt 11 § besluta att det planerade förfarandet inte får genomföras. Motsvarande gäller vid en överlåtelse enligt 17 §. Vad det innebär i praktiken, och vilka antaganden om förbud som inte håller, står i genomgången av AI i säkerhetskänslig verksamhet.

Tabellen visar vad respektive regelverk kan mynna ut i, inte hur ofta det gör det. Poängen ligger i radernas olikhet: en enda av raderna kan sluta i ett uttryckligt förbud mot just det planerade förfarandet, beslutat innan det inleds. De övriga ställer krav på hur ni gör, inte besked om ni får, och den skillnaden avgör när bedömningen måste vara gjord.

För de flesta binder ingenting utöver dataskyddet

Det finns ett motsatt förhållande som väger tyngre, och det talar för att ingenting av detta behöver göras.

För många svenska verksamheter finns ingen tystnadsplikt, ingen sekretessreglering och ingen säkerhetsskyddsanalys som binder valet. Det enda regelverk som träffar är dataskyddsförordningen, och den vägen står för närvarande öppen: adekvansbeslutet gäller, tribunalen har prövat det och ogillat talan, och regeringens egen molnpolicy säger att offentlig förvaltning även i fortsättningen kommer att kunna använda marknadsledande produkter och tjänster också om de kommer från företag med hemvist utanför EU. För den läsaren är hela klassificeringsövningen ett svar på en fråga som redan är besvarad.

Invändningen håller, men bara så länge underlaget gör det.

Ett beslut som vilar på ett adekvansbeslut är ett beslut ni kommer att få fatta igen.

Tribunalen prövade förhållandena vid tidpunkten för antagandet av beslutet, domen är överklagad och prövas nu av EU-domstolen, och den föregående ordningen ogiltigförklarades av samma domstol i juli 2020. Det säger ingenting om hur det går den här gången, men det säger något om vad ett beslut som enbart vilar på den grunden är värt över tid: det har en förfallodag som inte står skriven i avtalet. Den organisation som en gång har klassificerat sitt material behöver då bara läsa om en rad. Den som inte har gjort det får börja om från början, under tidspress, och det är den ordningen som gör frågan dyr.

Frågan som ger olika svar

Tre frågor avgör saken, och de ska ställas i den här ordningen.

Den första: finns det något utöver dataskyddet som binder just det här materialet? Tystnadsplikt, sekretess, ett åtagande i ett kundavtal, en säkerhetsskyddsanalys. Är svaret nej för allt ni har är beslutet enkelt och kan dokumenteras på en sida. Är svaret ja för en delmängd är det den delmängden som ska sorteras ut, inte hela verksamheten.

Den andra: kan den regeln sluta i ett förbud mot just det ni planerar, beslutat i förväg? Säkerhetsskyddslagen kan det, genom samrådsskyldigheten före utkontraktering. De flesta andra ställer krav på hur ni gör och lämnar frågan om ni får till er, och då ligger beslutet hos er även om ni skulle föredra att det låg någon annanstans. Att vänta på ett besked är i de fallen inte försiktighet, eftersom ingen har åtagit sig att lämna det.

Den tredje, som är den som faktiskt skiljer läsare åt: vad skulle ett utlämnande ni aldrig får veta om kosta er? För en verksamhet utan sekretessåtaganden är svaret ofta ingenting alls. För en byrå med tystnadsplikt är samma händelse en sekretessincident som drabbar en klient som aldrig fick frågan. För en verksamhet med säkerhetsskyddsklassificerade uppgifter är den något annat än så. Samma teknik, samma leverantör, samma lagtext, tre olika svar, och det är därför ett generellt råd i den här frågan alltid är fel för någon.

Ett fjärde kriterium gäller inte materialet utan bedömningen. Den som ställer upp alternativen ska inte ha en marginal på vilket ni väljer, och listan bör innehålla den installation som aldrig lämnar er egen miljö. Den posten hör hemma där även när den inte vinner, eftersom en lista utan den inte är en jämförelse utan en rekommendation. Hur sorteringen görs, och vem som äger den efteråt, beskrivs på sidan om AI governance och regelefterlevnad.