Flere lande uden for EU har vedtaget eller fremsat love, der kan pålægge udbydere at bygge evner til at give myndigheder adgang til data. Lovene kan ramme udbydere, der har kunder i landet, også når de ikke har hovedsæde dér.
Artiklen gennemgår reglerne i Storbritannien, Australien og Canada ud fra lovteksterne og beskriver, hvad de betyder for en organisation, der bruger tjenester med ejer eller drift i de lande. Den vurderer ikke, om lovene er forenelige med europæisk ret.
Hvorfor udenlandske adgangslove hører med i exit-planen
En tjeneste er underlagt lovene i de lande, hvor udbyderen er etableret eller driver forretning. Ændres en lov i et af de lande, kan tjenesten ændre sig for alle kunder, uden at kontrakten ændres.
Lovene i denne artikel adskiller sig fra Cloud Act, som handler om udlevering af data, udbyderen allerede har, jf. → Cloud Act. De handler i stedet om pålæg om at opbygge tekniske evner eller fjerne beskyttelse. Det kan påvirke tjenestens sikkerhed for alle brugere. Forskellen mellem, hvem der kan læse indholdet, og hvem der kan stille krav til udbyderen, er forklaret i → ende-til-ende-kryptering og jurisdiktion. Lovene her rammer begge spørgsmål på én gang, fordi de kan ændre selve krypteringen.
Storbritannien: tekniske kapacitetspålæg
Investigatory Powers Act 2016 giver i section 253 indenrigsministeren adgang til at udstede et technical capability notice til en operatør. Pålægget kræver, at ministeren finder det nødvendigt og forholdsmæssigt, og at en Judicial Commissioner har godkendt beslutningen.
Pålæggets forpligtelser fastsættes i bekendtgørelser. Ifølge loven kan de omfatte operatørens fjernelse af elektronisk beskyttelse, som operatøren selv eller andre på dens vegne har lagt på kommunikation eller data. Loven fastslår også, at pålæg kan gives til personer uden for Storbritannien og kræve handlinger uden for landet.
Efter section 255, stk. 8, må modtageren af et pålæg ikke oplyse om pålæggets eksistens eller indhold uden ministerens tilladelse. Kunderne får derfor typisk ikke at vide, om deres udbyder har modtaget et pålæg.
Apple-sagen viser, hvordan det kan mærkes
Apple tilbød funktionen Advanced Data Protection, der krypterer flere kategorier af iCloud-data fra ende til ende. Apple oplyser på sin supportside, senest opdateret 22. september 2025, at funktionen ikke længere kan tilbydes nye brugere i Storbritannien. Eksisterende britiske brugere skal selv slå funktionen fra for at kunne fortsætte med at bruge iCloud.
Ti datakategorier, herunder iCloud-backup, iCloud Drive, Fotos og Noter, falder for britiske brugere tilbage til standardbeskyttelse, hvor de ikke kan vælge ende-til-ende-kryptering. Ifølge Apple berøres de 15 kategorier, der som standard er krypteret fra ende til ende, ikke. iMessage og FaceTime er fortsat krypteret fra ende til ende i hele verden.
Apples supportside nævner ikke et pålæg. Investigatory Powers Tribunal afgjorde 7. april 2025, at det kunne offentliggøres, at Apple havde anlagt en sag mod indenrigsministeren om reglerne for tekniske kapacitetspålæg. Domstolen understregede, at ingen af parterne havde be- eller afkræftet pressens oplysninger om et pålæg til Apple.
Australien: tre former for bistand
Australien vedtog i 2018 Telecommunications and Other Legislation Amendment (Assistance and Access) Act 2018, lov nr. 148. Loven indsatte en ny del 15 i Telecommunications Act 1997 om bistand fra kommunikationsudbydere til myndighederne.
Del 15 indeholder ifølge lovens opbygning tre instrumenter. Et technical assistance request er en anmodning om frivillig bistand til efterretningstjenester eller aflytningsmyndigheder. Et technical assistance notice og et technical capability notice er pålæg. Udbyderne betegnes i loven designated communications providers.
Overskriften til section 317ZG fastslår, at en udbyder ikke må anmodes om eller pålægges at implementere eller bygge en systemisk svaghed eller sårbarhed. Loven indeholder også regler om uautoriseret videregivelse af oplysninger om instrumenterne.
Canada: et lovforslag om ministerielle pålæg
Canadas regering fremsatte 12. marts 2026 Bill C-22 med korttitlen Lawful Access Act, 2026. Forslaget er fremsat af ministeren for offentlig sikkerhed. Pr. 22. oktober 2026 var det henvist til udvalgsbehandling i Senatet og dermed ikke vedtaget.
Lovforslagets del 2 indeholder en ny lov om støtte til autoriseret adgang til oplysninger, ifølge lovteksten ved første behandling. Efter dens section 7 kan ministeren pålægge enhver udbyder af elektroniske tjenester at opbygge evner til at udtrække, organisere og give adgang til oplysninger. Et pålæg får først virkning, når efterretningskommissæren har godkendt det skriftligt.
En udbyder skal ikke efterkomme et pålæg, hvis det ville kræve, at den indfører en systemisk sårbarhed i tjenesten. Section 15 forbyder udbyderen at oplyse om pålæggets indhold og om, at udbyderen er omfattet af et pålæg. Definitionen af udbyder omfatter den, der leverer tjenester til personer i Canada eller driver en del af sin forretning dér.
Lovforslagets del 1 ændrer straffeloven og loven om gensidig retshjælp. Ændringerne giver blandt andet en dommer adgang til at godkende anmodninger til udenlandske enheder om trafikdata og abonnentoplysninger. De udvider også reglerne om tavshedspålæg, så de dækker nye former for henvendelser til udbydere. Udbyderen skal give ministeren mindst 15 dages skriftligt varsel, før den søger domstolsprøvelse af et pålæg.
EU arbejder på en køreplan
EU har ikke en tilsvarende lov. Kommissionen præsenterede 24. juni 2025 en køreplan for lovlig adgang til data for retshåndhævelsen. Kommissionen vil i 2026 fremlægge en teknologisk køreplan for kryptering, der skal identificere og vurdere løsninger, som giver lovlig adgang til krypterede data og samtidig beskytter cybersikkerhed og grundlæggende rettigheder.
Køreplanen nævner også støtte til nye dekrypteringsteknologier, så Europol får en ny generation af dekrypteringsevne fra 2030. Det er planer, ikke vedtagne regler. Forhandlingerne om scanning af beskeder er beskrevet i → chatkontrol i EU.
Fællestræk i de tre landes regler
Lovene er forskellige i detaljen, men de har tre træk til fælles, som er relevante for en kunde.
- Rækkevidde ud over landets grænser · Britiske pålæg kan gives til personer uden for Storbritannien, og det canadiske forslag dækker udbydere med kunder i Canada.
- Hemmeligholdelse · Både den britiske lov og det canadiske forslag forbyder udbyderen at oplyse om pålæg.
- Grænse ved systemiske svagheder · Australien og Canada udelukker pålæg, der kræver systemiske svagheder eller sårbarheder. Den britiske lov giver mulighed for pålæg om fjernelse af elektronisk beskyttelse.
Hvor grænsen går i praksis, afgøres af myndigheder og domstole i de enkelte lande. Det kan en kunde ikke selv vurdere ud fra lovteksten.
Hvad det betyder for tjenester med ejer eller drift i landene
En udbyder kan vælge at fjerne en funktion frem for at efterkomme et krav, sådan som Apple fjernede Advanced Data Protection for britiske brugere. Funktionen forsvinder da for kunderne i det land, mens tjenesten fortsætter med svagere beskyttelse.
Udbyderen kan også efterkomme et pålæg uden at oplyse kunderne om det. Derfor kan en kunde ikke regne med at blive varslet. Vurderingen må bygge på, hvor udbyderen og dens leverandører er etableret, og hvor de har kunder, jf. → trin 3 om leverandørkæden.
Kryptering med nøgler, som kun kunden har, kan begrænse, hvad en udbyder kan give adgang til. Det forudsætter, at nøglerne ligger uden for udbyderens rækkevidde, jf. → egne nøgler.
Hvad gennemgangen kan og ikke kan vise
Gennemgangen viser, hvilke beføjelser lovene giver, og hvem de kan rettes mod. Den giver et grundlag for at notere, hvilke af jeres tjenester der har ejer, drift eller kunder i de tre lande.
Den viser ikke, om en bestemt udbyder har modtaget et pålæg, da hemmeligholdelsen netop forhindrer det. Den viser heller ikke, hvordan de canadiske regler ender, før forslaget er færdigbehandlet. Juridiske spørgsmål om forholdet til europæisk ret skal vurderes af jurister.
Betydningen for exit-planen
Lovgivning i et land, hvor jeres udbyder har forretning, kan ændre tjenestens sikkerhed for alle kunder. Notér for hver tjeneste med følsomme data, hvilke lande udbyderen og dens moderselskab er etableret i.
- Brug kortlægningen af juridisk enhed og moderselskab fra → trin 2.
- Vurder i → trin 4, om udbyderen kan ændre krypteringen uden varsel.
- Følg det canadiske lovforslag og EU’s køreplan, og opdater vurderingen i → trin 10.
En uvildig vurdering kan betale sig, når mange tjenester har ejere i forskellige lande. Nielco IT’s jurisdiktions- og afhængighedsvurdering kortlægger lovgivning pr. system og juridisk enhed og moderselskab bag hver kontrakt.
Kilder
- legislation.gov.uk: Investigatory Powers Act 2016, section 253, Technical capability notices. https://www.legislation.gov.uk/ukpga/2016/25/section/253
- legislation.gov.uk: Investigatory Powers Act 2016, section 255, Further provision about notices under section 252 or 253. https://www.legislation.gov.uk/ukpga/2016/25/section/255
- Apple Support: supportartikel 122234 om Advanced Data Protection i Storbritannien, opdateret 22.9.2025. https://support.apple.com/en-us/122234
- Investigatory Powers Tribunal: Apple Inc v Secretary of State for the Home Department, IPT/25/68/CH, dom af 7.4.2025. https://investigatorypowerstribunal.org.uk/judgement/apple-inc-v-secretary-of-state-for-the-home-department/
- Federal Register of Legislation (Australien): Telecommunications and Other Legislation Amendment (Assistance and Access) Act 2018, No. 148, 2018. https://www.legislation.gov.au/C2018A00148/asmade/text
- Federal Register of Legislation (Australien): Telecommunications Act 1997, konsolideret udgave, del 15, set 30.10.2026. https://www.legislation.gov.au/C2004A05145/latest/text/2
- Parliament of Canada, LEGISinfo: C-22, An Act respecting lawful access (Lawful Access Act, 2026), set 30.10.2026. https://www.parl.ca/legisinfo/en/bill/45-1/c-22
- Parliament of Canada: Bill C-22, first reading, 12.3.2026. https://www.parl.ca/DocumentViewer/en/45-1/bill/C-22/first-reading
- Europa-Kommissionen, Migration and Home Affairs: Commission presents Roadmap for effective and lawful access to data for law enforcement, 24.6.2025. https://home-affairs.ec.europa.eu/news/commission-presents-roadmap-effective-and-lawful-access-data-law-enforcement-2025-06-24_en
