CLOUD Act, FISA 702 og andre amerikanske lover

Modul 1: Hvorfor en europeisk sky? · Lesetid: 12 minutter

Læringsmål: Etter denne leksjonen kan du forklare hvilke amerikanske lover gir tilgang til data hos amerikanske selskaper, hvorfor dette også gjelder når dataene ligger i Europa, og hva status er i november 2026.

Nøkkelbegreper: CLOUD Act, 18 U.S.C. 2713, "possession, custody, or control", tilbyder av en elektronisk kommunikasjonstjeneste, FISA Section 702, FISA-domstolen (FISC), sertifisering, Executive Order 12333, taushetspålegg, strafferett kontra etterretningsarbeid

Hvorfor amerikanske lover angår europeiske servere

I leksjon 1.1 så du at et selskap er underlagt lovene i landet der det er etablert. For de fleste store skytjenester er det USA. To amerikanske lover går igjen i enhver diskusjon om den europeiske skyen: CLOUD Act og Section 702 i FISA. De har ulike formål og virker på ulike måter, så det er greit å holde dem fra hverandre.

Dette er en forklaring, ikke juridisk rådgivning. Den amerikanske lovgivningen og tolkningen av den endrer seg; status i denne leksjonen er fra november 2026.

CLOUD Act: etterforskning i straffesaker

CLOUD Act står for Clarifying Lawful Overseas Use of Data Act. Loven ble vedtatt 23. mars 2018, som en del av en stor budsjettlov. Bakgrunnen var en rettssak mellom Microsoft og den amerikanske regjeringen: FBI ville ha e-post fra en mistenkt som lå på en server i Irland, og Microsoft nektet fordi dataene lå utenfor USA. Før Høyesterett rakk å avsi dom, laget Kongressen CLOUD Act, og dermed var saken avgjort.

Kjernen finner du i én setning, nå å finne som 18 U.S.C. 2713. I vanlige ord: en tilbyder av en elektronisk kommunikasjonstjeneste eller en fjernlagringstjeneste må bevare eller utlevere data som er i dens "possession, custody, or control", uavhengig av om disse dataene befinner seg innenfor eller utenfor USA.

Hva betyr dette i praksis?

• Det gjelder strafferettslig etterforskning. Myndighetene må ha en kjennelse fra en dommer, som en warrant, akkurat som ved data i USA.
• Det gjelder data som selskapet har kontroll over. Ligger e-posten din hos et europeisk datterselskap, men kan det amerikanske morselskapet få tilgang til den, kan morselskapet bli holdt ansvarlig.
• Tilbyderen kan protestere hvis utlevering kommer i konflikt med et annet lands lovgivning, men bare i bestemte tilfeller (særlig overfor land som USA har en spesiell avtale med, som Storbritannia og Australia). En generell avtale mellom EU og USA om denne typen bevis finnes ennå ikke.
• Kunden får ikke alltid vite om det. En dommer kan pålegge tilbyderen et taushetspålegg, slik at den ikke får varsle deg.

Samtidig sier GDPR (artikkel 48) at en utenlandsk dom eller kjennelse om utlevering av data bare anerkjennes dersom det finnes en avtale, som en rettshjelpsavtale. En amerikansk tilbyder kan dermed havne i skvis mellom to lovverk. Det er nettopp problemet: du som kunde kan ikke velge hvilken lov som vinner.

Et talende øyeblikk: i juni 2025 spurte en undersøkelseskomité i det franske senatet juridisk direktør i Microsoft Frankrike om han under ed kunne garantere at data om franske borgere aldri utleveres til amerikanske myndigheter uten Frankrikes samtykke. Svaret hans: "Nei, det kan jeg ikke garantere." Han la til at selskapet bestrider urettmessige forespørsler, og at en slik forespørsel i praksis ennå ikke hadde forekommet. Begge delene av dette svaret er viktige: risikoen er liten, men den finnes, og selskapet kan ikke utelukke den.

FISA Section 702: etterretning om utlendinger

FISA er Foreign Intelligence Surveillance Act. Section 702 ble lagt til i 2008. Formålet er ikke etterforskning av straffbare forhold, men innsamling av utenlandsk etterretning. Der ligger den store forskjellen fra CLOUD Act:

Under Section 702 kan amerikanske tjenester pålegge tilbydere av elektroniske kommunikasjonstjenester å bidra til innsamling av kommunikasjon fra utenlandske "targets". For en europeer gir amerikansk rett liten beskyttelse her: den grunnlovsfestede beskyttelsen mot ransaking (det fjerde grunnlovstillegget) gjelder først og fremst amerikanere. Dette programmet spilte en hovedrolle i avgjørelsen Schrems II fra EU-domstolen (leksjon 1.4).

Status november 2026

Section 702 må gjentatte ganger forlenges av Kongressen. I april 2024 forlenget loven RISAA den med to år, til april 2026. I april 2026 lyktes det ikke med en lang forlengelse; det kom to korte forlengelser. 12. juni 2026 utløp loven, for første gang siden 2008. Ifølge medieomtale fortsetter innsamlingen i praksis, fordi FISA-domstolen i mars 2026 allerede hadde godkjent de årlige sertifiseringene; disse gjelder omtrent frem til mars 2027. Kongressen fortsetter i perioden fra 9. november 2026 å diskutere en ny forlengelse.

For ditt valg betyr dette: uansett om loven nå er utløpt eller ikke, forsvinner ikke det underliggende problemet. Sannsynligheten er stor for at det kommer en ny forlengelse, og myndighetene kan komme tilbake i en annen form.

Executive Order 12333: uten dommer

I tillegg til disse lovene finnes Executive Order 12333 fra 1981, en presidentordre om etterretningsarbeid. Dette dekker blant annet avlytting av internettkabler og innsamling av data utenfor USA, uten innblanding fra en dommer og uten at et selskap trenger å medvirke. For data som er kryptert underveis, er dette et mindre problem; for data hos et amerikansk selskap er CLOUD Act og 702 de relevante kanalene.

Hvor stor er risikoen egentlig?

Ærlig talt: for de fleste små organisasjoner er sjansen liten for at amerikanske tjenester nettopp er interessert i deres e-post. Likevel er det grunner til å ta det alvorlig:

• Du vet det ikke. På grunn av taushetspålegg får du kanskje aldri vite om det.
• Du er ikke den eneste berørte. I e-posten din finnes data om kunder, leverandører og ansatte. Du må beskytte deres data (leksjon 1.2).
• Noen data er sensitive. Et advokatkontor, en fastlege, en journalist eller en skole har en annen vurdering enn et bakeri.
• Reglene kan endre seg uten at du har noe du skulle sagt.

Bakkerij De Korrel har lite å frykte fra en etterretningstjeneste. Men Sanne tenker på at e-postboksen hennes også inneholder sykmeldinger fra de ansatte. Det er helseopplysninger, og der må hun være ekstra nøye.

I praksis: slik ser det ut hos en tilbyder

En europeisk tilbyder uten amerikansk morselskap og uten amerikanske underleverandører faller ikke inn under CLOUD Act og er ikke en "provider" i betydningen av Section 702. Den kan fortsatt pålegges å samarbeide med europeisk politi og påtalemyndighet, men da i henhold til europeisk og nasjonal rett, med en europeisk dommer som kontrollinstans. Hos WebOké står det i Nextcloud-veiledningen at filene dine ikke går til amerikanske skyselskaper. Hos andre tilbydere leter du etter en liste over underleverandører og etter den juridiske eieren (leksjon 2.1).

Oppsummering

• CLOUD Act (2018) pålegger amerikanske tilbydere å utlevere data de har kontroll over ved en strafferettslig kjennelse, selv om dataene ligger i utlandet.
• FISA Section 702 gir amerikanske tjenester tilgang til kommunikasjon fra ikke-amerikanere utenfor USA, for etterretningsformål, uten kjennelse per person.
• Section 702 utløp 12. juni 2026, men ifølge medieomtale fortsetter innsamlingen på grunnlag av sertifiseringer fra mars 2026; en ny forlengelse er under forhandling.
• En server i Europa beskytter ikke dersom selskapet bak den er underlagt amerikansk rett.
• Risikoen er liten for de fleste organisasjoner, men kan ikke utelukkes eller kontrolleres.

Quiz

Oppgave

Oppgave E1.3: Hvilken rett gjelder for tjenesten din? Velg din viktigste skytjeneste. Finn ut hvilket selskap som inngår avtalen med deg (står i vilkårene), hvor det er etablert, og hvem det endelige morselskapet er. Svar på: kan CLOUD Act gjelde for denne tjenesten, og hvorfor?

Les mer

Trinnene i disse artiklene gjelder for tjenestene til WebOké; hos andre tilbydere fungerer det på lignende måte.

• Nextcloud-veiledning 15.13: Ofte stilte spørsmål om sikkerhet og personvern
• 18 U.S.C. 2713, Required preservation and disclosure of communications and records (Cornell LII): https://www.law.cornell.edu/uscode/text/18/2713
• FISA Section 702 (50 U.S.C. 1881a) og CRS-rapporten "FISA Section 702 and the 2024 Reforming Intelligence and Securing America Act" (congress.gov, R48592)
• Forordning (EU) 2016/679 (GDPR), artikkel 48 (utenlandske kjennelser om utlevering)