Digital suverænitet

70 13 63 23

FISA 702: overvågning af ikke‑amerikanere hos amerikanske udbydere

FISA 702: overvågning af ikke-amerikanere hos amerikanske udbydere

Når en organisation vurderer en amerikansk udbyder, bliver Cloud Act typisk nævnt først. Vurderingen af lag 3 hviler også på FISA 702. Den hjemmel giver de amerikanske efterretningstjenester adgang til kommunikation fra personer uden for USA med hjælp fra udbyderne.

Artiklen forklarer, hvad bestemmelsen tillader, hvem den forpligter, hvorfor kunden ikke får besked, og hvordan den adskiller sig fra Cloud Act. Den giver også status for hjemlen pr. 30. oktober 2026.

Bestemmelsen i 50 U.S.C. § 1881a

Section 702 er en del af den amerikanske Foreign Intelligence Surveillance Act og står i 50 U.S.C. § 1881a. Efter stk. (a) kan justitsministeren og direktøren for national efterretning i fællesskab godkende målrettet overvågning af personer, der med rimelighed formodes at befinde sig uden for USA.

En godkendelse kan gælde i op til et år. Formålet er at indhente udenlandske efterretningsoplysninger. Efter stk. (b) må overvågningen ikke bevidst rettes mod personer, der vides at befinde sig i USA, eller mod amerikanske statsborgere og personer med fast ophold uden for USA.

Kommissionen beskriver i afgørelsen om EU-USA-databeskyttelsesrammen fra 10. juli 2023, at section 702 giver mulighed for målrettet overvågning af ikke-amerikanske personer med påbudt bistand fra amerikanske udbydere af elektroniske kommunikationstjenester.

Hvem der kan pålægges at hjælpe

Pligten påhviler udbydere af elektroniske kommunikationstjenester. Definitionen i 50 U.S.C. § 1881, stk. (b)(4) omfatter blandt andet teleselskaber, udbydere af elektroniske kommunikationstjenester og udbydere af fjerndatabehandlingstjenester, som er lovens betegnelse for lagring og databehandling for andre.

Ved Reforming Intelligence and Securing America Act af 20. april 2024 blev definitionen udvidet. Den omfatter nu også andre tjenesteudbydere med adgang til udstyr, der bruges eller kan bruges til at overføre eller lagre kommunikation, med visse undtagelser for fx boliger og spisesteder.

For en organisation, der bruger cloud, betyder det, at både den store platform og mindre udbydere, der lagrer data for kunder, kan være omfattet, hvis de er underlagt amerikansk jurisdiktion.

Domstolen godkender rammerne

Overvågningen kræver ikke en retskendelse for den enkelte person. Efter stk. (j) prøver domstolen for udenlandsk efterretningsovervågning, FISC, de årlige certificeringer og de procedurer, der styrer målretning, minimering og søgninger.

Kommissionens afgørelse oplyser, at de enkelte afgørelser om målretning træffes af efterretningstjenesten NSA efter de procedurer, FISC har godkendt. Efterretningstjenesten skal dokumentere sin vurdering skriftligt, og justitsministeriet gennemgår valget af mål og indberetter overtrædelser til FISC og Kongressen.

Domstolen ser altså på rammerne og procedurerne, mens valget af den enkelte person ligger hos efterretningstjenesten. Den forskel er vigtig, når jura og indkøb skal forklare risikoen for ledelsen.

Hvorfor kunden ikke får besked

Efter § 1881a, stk. (i)(1), kan justitsministeren og direktøren for national efterretning pålægge en udbyder straks at stille alle oplysninger, faciliteter og den bistand til rådighed, som indhentningen kræver. Pålægget skal udføres, så indhentningens hemmelighed beskyttes.

Udbyderen kan efter stk. (i)(4) indbringe pålægget for FISC og bede om at få det ændret eller ophævet. Kunden er ikke part i den sag. Kommissionens afgørelse nævner, at virksomheder, der modtager pålæg, kan offentliggøre samlede tal i deres gennemsigtighedsrapporter. Tallene siger intet om den enkelte kunde.

For kunden betyder det, at en udbyders forsikring om at give besked ved myndighedskrav typisk vedrører de tilfælde, hvor loven tillader det. Det samme gælder løfter om at bestride krav. De hører hjemme i en kontraktgennemgang, jf. → vilkår om udlevering uden retskendelse.

Forskellen på Cloud Act og FISA 702

De to hjemler bliver ofte nævnt sammen, men de bruges til forskellige formål. Cloud Act indsatte 18 U.S.C. § 2713 og handler om udlevering af data, som udbyderen har i sin besiddelse, varetægt eller kontrol, i forbindelse med strafferetlig efterforskning. Gennemgangen står i → Cloud Act.

  • Formål · Cloud Act bruges ved efterforskning af forbrydelser. FISA 702 bruges til at indhente udenlandske efterretningsoplysninger.
  • Hvem der er mål · Cloud Act kan bruges over for alle, der er genstand for en efterforskning. FISA 702 retter sig mod ikke-amerikanske personer uden for USA.
  • Retsprøvelse · krav efter Cloud Act rejses med en kendelse, stævning eller retsafgørelse i den konkrete sag. Ved FISA 702 godkender FISC rammerne, mens målene vælges af efterretningstjenesten.
  • Besked til kunden · efter 18 U.S.C. § 2705, stk. (b), kan en domstol i den konkrete sag forbyde udbyderen at give besked. Ved FISA 702 følger hemmeligholdelsen af selve pålægget.

For en vurdering af lag 3 betyder det, at en udbyder, der er omfattet af den ene hjemmel, ofte også er omfattet af den anden. Begge følger selskabet og ikke serverens placering.

Status for hjemlen pr. 30. oktober 2026

Section 702 har været tidsbegrænset siden 2008 og er forlænget flere gange. Loven fra april 2024 forlængede hjemlen i to år. Derefter fulgte to korte forlængelser, Public Law 119-84 af 18. april 2026 og Public Law 119-87 af 30. april 2026, som flyttede ophørsdatoen til 12. juni 2026.

Blandt de love, der er offentliggjort på govinfo.gov til og med Public Law 119-136 af 22. oktober 2026, findes ingen yderligere forlængelse. Efter overgangsreglen i FISA Amendments Act, der er gengivet under 50 U.S.C. § 1801, fortsætter godkendelser, ordrer og pålæg, der var i kraft på ophørsdatoen, indtil de udløber.

Det betyder, at overvågning efter allerede godkendte certificeringer kan fortsætte, selv om selve hjemlen er udløbet. Ifølge Brennan Center for Justice godkendte FISC de seneste certificeringer den 17. marts 2026, og de gælder til 17. marts 2027. Udbyderne samarbejder fortsat, som loven kræver. Centret vurderer, at Kongressen kan forny hjemlen frem til 17. marts 2027, uden at overvågningen afbrydes, fordi en ansøgning om nye certificeringer efter stk. (j)(5)(B) forlænger de gældende. Kongressen kan også genindføre eller forlænge hjemlen før. Status bør derfor kontrolleres ved hver gennemgang af exit-planen, jf. → trin 10.

Hvad EU har lagt til grund

Kommissionens afgørelse om databeskyttelsesrammen bygger på, at section 702 suppleres af garantierne i præsidentielt dekret 14086 fra oktober 2022. Dekretet indførte blandt andet en klageordning for personer i EU med en særlig domstol, Data Protection Review Court.

Afgørelsen forudsætter, at Kommissionen løbende følger samspillet mellem dekretet, section 702 og tilsynet. Den kan suspendere, ophæve eller ændre afgørelsen, hvis beskyttelsesniveauet ikke længere er tilstrækkeligt. Ændringer i section 702 kan derfor få betydning for, om overførsler til USA fortsat kan ske på dette grundlag.

Hvad det betyder for leverandørvurderingen

Spørgsmålet i leverandørvurderingen er, om udbyderen eller dens moderselskab er underlagt amerikansk jurisdiktion. Hvor data ligger, er mindre vigtigt for denne hjemmel. Ejerskabet slås op efter → trin 2.

Spørgsmålet gælder også underleverandører, som udbyderen bruger til drift, support eller lagring. En europæisk udbyder, der lagrer kundedata hos en amerikansk platform, kan derfor have data liggende hos en udbyder, der er omfattet. Notér for hvert system, hvilke datatyper der ligger hos udbyderen, og om de vil gøre skade, hvis de blev indhentet uden jeres viden. Den vurdering bruges i prioriteringen i → trin 6. Bed desuden leverandøren om at beskrive skriftligt, hvordan den håndterer myndighedsanmodninger, jf. → seks spørgsmål til leverandøren.

Tiltag, der kan ændre vurderingen

Kryptering, hvor udbyderen ikke har nøglerne, kan begrænse, hvad udbyderen kan udlevere af indhold. Effekten afhænger af, hvor nøglerne opbevares, og hvilke data der stadig behandles ukrypteret, fx metadata og data under behandling. Det er gennemgået i → egne nøgler og → ende-til-ende-kryptering og jurisdiktion.

Et skift til en udbyder uden amerikansk tilknytning flytter hjemlen ud af billedet. Det kræver dog, at hele kæden er gennemgået, også underleverandører, jf. → trin 3.

Hvad hjemlen kan og ikke kan forklare

FISA 702 forklarer, hvorfor en amerikansk udbyder kan være forpligtet til at give efterretningstjenester adgang til kommunikation uden at underrette kunden. Den forklarer også, hvorfor dataplacering i EU ikke fjerner risikoen i lag 3.

Hjemlen siger intet om, hvor ofte en bestemt udbyder modtager pålæg, eller om en bestemt organisations data er berørt. Den viser heller ikke, hvordan en eventuel ny lov vil se ud, hvis Kongressen genindfører hjemlen med andre regler for målretning, søgninger eller tilsyn. Den juridiske vurdering af en konkret overførsel hører hjemme hos jurister og tilsynsmyndigheder.

Betydningen for exit-planen

Markér i kortlægningen de systemer, hvor udbyderen eller moderselskabet er amerikansk, og hvor data er følsomme for jer eller jeres kunder. Notér status for section 702 med dato, og sæt et opslag på næste gennemgang.

For systemer med følsomme data og amerikansk ejer bør exit-planen indeholde et konkret alternativ og en tidsplan. En uvildig jurisdiktions- og afhængighedsvurdering fra Nielco IT kan give overblik over, hvilke love der gælder pr. system.

Kilder

Skrevet af John Nielsen, indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Om John Nielsen · LinkedIn

John Nielsen, Nielco IT

Skal afhængigheden kortlægges?

Skriv kort, hvilke systemer eller leverandører det drejer sig om, og hvad anledningen er. Så vender jeg tilbage. Jeg sælger rådgivning, ikke produkter, og har ingen leverandørpartnerskaber.

Tak for din henvendelse. Jeg vender tilbage hurtigst muligt.

Eller kontakt os på

+45 70 13 63 23

info@nielcoit.dk

Seneste på bloggen

Statens udgifter til Microsoft: hvad tallene viser

Statens udgifter til Microsoft: hvad tallene viser

31. oktober 2026

Fysisk infrastruktur: hvem står bag pc'er, servere og netværksudstyr

Fysisk infrastruktur: hvem står bag pc’er, servere og netværksudstyr

30. oktober 2026

KL og kommunernes digitale handlefrihed

KL og kommunernes digitale handlefrihed

30. oktober 2026