Vad är Cloud Act?
Cloud Act är en amerikansk federal lag som antogs 2018. Lagen ger amerikanska myndigheter rätt att begära ut data från amerikanska teknikföretag (som Microsoft, Google och Amazon), oavsett var i världen denna data fysiskt lagras.
Detta innebär i praktiken att även om ett amerikanskt molnbolag har en serverhall i Sverige eller Tyskland, så lyder datan på den servern fortfarande under amerikansk lag. Om amerikanska rättsväsendet begär tillgång, är företaget skyldigt att lämna ut informationen, ofta utan att informera kunden.
Konflikten med GDPR och svensk integritet
Cloud Act står i direkt konflikt med grundtankarna i europeiska GDPR. GDPR syftar till att skydda EU-medborgares integritet och begränsa hur data får delas med länder utanför EU (tredjeland).
- GDPR säger: Du får inte dela data utan laglig grund eller adekvat skyddsnivå.
- Cloud Act säger: Amerikanska företag måste dela data om USA begär det, oavsett lokala lagar.
Detta skapar en juridisk osäkerhet för svenska företag. Kan man garantera att personuppgifter är skyddade enligt GDPR om leverantören tvingas lyda under Cloud Act? EU-domstolen (Schrems II) har indikerat att svaret ofta är nej.
Varför Savecore inte omfattas av Cloud Act
Savecore är ett helsvenskt bolag med svenska ägare och infrastruktur placerad uteslutande i Sverige. Vi lyder inte under amerikansk lagstiftning.
När ni lagrar data hos oss finns det ingen bakdörr för främmande makt. Er data skyddas av svensk och europeisk lag, vilket ger er full suveränitet över er information och förenklar ert GDPR-arbete avsevärt.
Vanliga frågor och svar om Cloud Act
Gäller Cloud Act även om servern står i Sverige?
Ja, om leverantören av tjänsten är ett amerikanskt företag (eller dotterbolag till ett sådant) gäller lagen, oavsett var servern fysiskt är placerad. Det är ägarskapet, inte geografin, som styr.
Hur påverkar Cloud Act offentlig sektor i Sverige?
Offentlig sektor har strikta krav på sig att skydda medborgarnas data (OSL och GDPR). Att använda tjänster som lyder under Cloud Act anses ofta olämpligt för sekretessbelagd information, vilket gör svenska molntjänster till ett förstahandsval.
Kan man kryptera sig skyddad från Cloud Act?
Kryptering är bra, men om leverantören har tillgång till krypteringsnycklarna (vilket ofta krävs för att tjänsten ska fungera smidigt) kan de tvingas lämna ut både data och nycklar.