Mange organisationer har flyttet data til et datacenter i EU i den tro, at amerikansk ret dermed står uden for døren. Cloud Act bygger på en anden præmis, hvor pligten til at udlevere data følger den udbyder, der har kontrol over dem.
Artiklen forklarer, hvorfor loven blev vedtaget, hvordan et krav rejses, hvilke indsigelser udbyderen har, og hvor loven holder op. Til sidst vises, hvordan I bruger den til at prioritere systemerne i exit-planen.
Baggrunden var en tvist om en mailkonto i Irland
I december 2013 søgte amerikanske myndigheder en kendelse om indholdet af en bestemt mailkonto. Indholdet lå alene i Microsofts datacenter i Dublin. Microsoft nægtede at udlevere det med henvisning til, at loven ikke rakte uden for USA, og sagen nåede den amerikanske højesteret.
Inden højesteret afgjorde sagen, vedtog Kongressen den 23. marts 2018 Clarifying Lawful Overseas Use of Data Act som en del af en finanslov, Pub. L. 115-141. Myndighederne fik derefter en ny kendelse efter den ændrede lov. Højesteret erklærede den 17. april 2018 i United States v. Microsoft Corp. sagen for bortfaldet og ophævede de tidligere afgørelser.
Kongressens begrundelse
Lovens indledende afsnit beskriver formålet. Kongressen fandt, at myndighedernes arbejde blev hindret af manglende adgang til data uden for USA. Det drejede sig om data i varetægt hos udbydere, der er underlagt amerikansk jurisdiktion.
Samme afsnit anerkender, at udbyderne kan komme i klemme mellem to landes regler. Loven forsøger at løse den konflikt gennem mellemstatslige aftaler. Begge dele har betydning for, hvordan en dansk organisation skal læse loven.
Pligten i 18 U.S.C. § 2713
Bestemmelsen i § 2713 gælder udbydere af elektroniske kommunikationstjenester og fjernberegningstjenester, hvilket omfatter de fleste cloud- og SaaS-tjenester. Den pålægger dem at bevare og udlevere indhold og oplysninger om kunder, som er i deres besiddelse, varetægt eller kontrol.
Pligten gælder, uanset om data befinder sig i eller uden for USA. Det afgørende spørgsmål er derfor, om udbyderen er underlagt amerikansk jurisdiktion og har kontrol over data. Hvordan ejerskab og kontrakt kortlægges, står i → trin 2 om juridisk enhed og moderselskab.
Loven definerer ikke nærmere, hvornår et moderselskab har kontrol over data hos et datterselskab. Det spørgsmål afgøres af domstolene i den konkrete sag.
Sådan rejses et krav
Selve fremgangsmåden står i 18 U.S.C. § 2703. Vil en myndighed have indholdet af kommunikation, der har været opbevaret i 180 dage eller mindre, kræver det en kendelse fra en kompetent domstol. For andre oplysninger kan der i visse tilfælde bruges en stævning eller en retskendelse.
Med en kendelse skal myndigheden ikke underrette kunden. Efter § 2705, litra b, kan en domstol desuden pålægge udbyderen ikke at fortælle nogen om kravet. Det sker, når der er grund til at tro, at oplysningen vil bringe en efterforskning i fare, fx ved risiko for at beviser ødelægges.
Det betyder, at en kunde i praksis kan stå uden viden om, at data er udleveret. Om udbyderen må fortælle det senere, afhænger af den konkrete kendelse.
Udbyderens indsigelser
Cloud Act indsatte en særlig indsigelse i § 2703, litra h. En udbyder kan inden for 14 dage bede retten ændre eller ophæve et krav. Betingelsen er, at kunden ikke er amerikansk og ikke bor i USA. Udleveringen skal desuden indebære en væsentlig risiko for at overtræde lovgivningen i et såkaldt kvalificerende fremmed land.
Et kvalificerende land er efter bestemmelsens ordlyd et land, som USA har en aftale med efter § 2523. Uden en sådan aftale kan udbyderen ikke bruge den særlige indsigelse. Loven bevarer dog i sektion 103, litra c, de almindelige retsprincipper for afvejning af andre staters interesser i øvrige tilfælde.
Retten skal ved afvejningen blandt andet se på USA’s interesser, det fremmede lands interesser, kundens tilknytning til USA og udbyderens tilstedeværelse i USA. Udfaldet kan ingen forudsige på forhånd.
Aftalerne efter § 2523
Loven giver den amerikanske regering mulighed for at indgå aftaler med andre lande om adgang til data. Justitsministeriets oversigt over Cloud Act nævner en aftale med Storbritannien fra 3. oktober 2019 og en med Australien fra 15. december 2021.
Oversigten nævner også forhandlinger med EU. De blev indledt i 2019 og ifølge en fælles meddelelse fra det amerikanske justitsministerium og Europa-Kommissionen genoptaget 3. marts 2023. Oversigten var ved opslaget 30. oktober 2026 senest opdateret 24. oktober 2023 og nævner ingen aftale med EU.
Hvad Cloud Act ikke dækker
Cloud Act handler om udlevering af data i forbindelse med strafferetlig efterforskning. Overvågning med henblik på udenlandsk efterretning sker efter en anden hjemmel, som gennemgås i → FISA 702.
Loven giver heller ikke hjemmel til at lukke en kundes adgang. Lukninger sker typisk efter sanktionsregler eller præsidentordrer, som er beskrevet i → sanktioner og dekreter. En exit-plan skal derfor behandle risikoen for udlevering og risikoen for lukning som to forskellige spørgsmål. Udlevering handler om fortrolighed, mens lukning handler om, hvorvidt I kan arbejde videre. Tiltagene er forskellige, og en løsning på det ene spørgsmål løser sjældent det andet.
Udbyderens egne vilkår kan desuden give adgang til udlevering i flere tilfælde end loven kræver. Det gennemgås i → vilkår, der tillader udlevering uden retskendelse.
Hvilke systemer der skal vurderes først
Fordi loven følger udbyderen, er serverens placering et dårligt sorteringskriterium. Brug i stedet disse spørgsmål til at finde de systemer, der skal vurderes først.
- Indhold med høj følsomhed · Systemer med persondata af særlig kategori, forretningshemmeligheder, forhandlingsmateriale eller oplysninger om sikkerhed.
- Udbyder med amerikansk ejer · Tjenester, hvor kontraktparten eller dens moderselskab er amerikansk, uanset hvor data ligger.
- Udbyderen kan læse data · Tjenester, hvor udbyderen har adgang til data i klartekst eller til krypteringsnøglerne.
- Underleverandører med samme profil · Europæiske tjenester, der kører på en amerikansk platform, fremgår af listen over underleverandører.
- Svag kontraktbeskyttelse · Aftaler uden tilsagn om at bestride krav eller give besked, hvor det er lovligt.
Den kortlægning, som spørgsmålene bygger på, starter i → trin 1.
Tiltag, der kan ændre vurderingen
Kryptering med nøgler, som kun kunden råder over, kan begrænse, hvad en udbyder er i stand til at udlevere. Hvor langt det rækker, afhænger af, om tjenesten skal kunne læse data for at fungere, jf. → egne nøgler.
Udbydernes tilsagn om at bestride krav kan noteres som en afbødning, men ændrer ikke selve pligten. Hvad en af udbyderne selv har sagt om grænserne for sådanne tilsagn, gennemgås i → Microsofts svar til det franske senat. De store udbyderes tilsagn sammenlignes efter samme målestok i → de store udbyderes suveræne clouds. Det eneste tiltag, der fjerner pligten, er en udbyder uden for amerikansk jurisdiktion.
Hvad loven kan og ikke kan forklare
Loven forklarer, hvorfor placering i EU ikke i sig selv fjerner amerikanske myndigheders mulighed for at kræve data. Den forklarer også, hvorfor kunden kan stå uden viden om et krav.
Den kan ikke vise, hvor ofte krav rettes mod data om europæiske organisationer, eller om et bestemt system vil blive ramt. Om et datterselskab anses for at have kontrol over data, afhænger af en konkret juridisk vurdering. Det samme gælder spørgsmålet om, hvorvidt en europæisk søsterenhed er omfattet.
Loven siger heller intet om, hvordan en udbyder vil reagere, hvis et krav strider mod europæisk ret. Det står i udbyderens egne tilsagn og kontrakter, som skal læses for sig. Endelig kan reglerne ændres af Kongressen, og vurderingen bør derfor dateres.
Betydningen for exit-planen
Notér for hvert kritisk system, om udbyderen eller dens ejer er underlagt amerikansk jurisdiktion, og om udbyderen kan læse data. De systemer, hvor begge svar er ja og indholdet er følsomt, kommer først i → prioriteringen i trin 6.
For de systemer skal exit-planen beskrive, hvad der kan gøres på kort sigt, fx kryptering med egne nøgler eller færre følsomme data i tjenesten. Den skal også beskrive, hvad et skifte til en udbyder uden for amerikansk jurisdiktion vil kræve i tid og penge.
En uvildig gennemgang kan give et bedre grundlag, når mange systemer og koncernforhold skal vurderes. Nielco IT’s jurisdiktions- og afhængighedsvurdering kortlægger lovgivningen pr. system ud fra jeres eget materiale.
Kilder
- Legal Information Institute, Cornell Law School: 18 U.S. Code § 2713, Required preservation and disclosure of communications and records. https://www.law.cornell.edu/uscode/text/18/2713
- Legal Information Institute, Cornell Law School: 18 U.S. Code § 2703, Required disclosure of customer communications or records, herunder litra h. https://www.law.cornell.edu/uscode/text/18/2703
- Legal Information Institute, Cornell Law School: 18 U.S. Code § 2705, Delayed notice, litra b. https://www.law.cornell.edu/uscode/text/18/2705
- U.S. Department of Justice: CLOUD Act, lovtekst (Consolidated Appropriations Act 2018, Division V, sektion 101 til 106), 21. marts 2018. https://www.justice.gov/criminal/media/999391/dl?inline
- Supreme Court of the United States: United States v. Microsoft Corp., No. 17-2, per curiam, 17. april 2018 (via Legal Information Institute). https://www.law.cornell.edu/supremecourt/text/17-2
- U.S. Department of Justice, Criminal Division: CLOUD Act Resources, senest opdateret 24. oktober 2023, set 30. oktober 2026. https://www.justice.gov/criminal/cloud-act-resources
- U.S. Department of Justice: Justice Department and European Commission Announces Resumption of U.S. and EU Negotiations, 3. marts 2023. https://www.justice.gov/opa/pr/justice-department-and-european-commission-announces-resumption-us-and-eu-negotiations
