Det här inlägget är analys och utgör inte juridisk rådgivning. Regelverken som beskrivs är under kontinuerlig utveckling och tolkning. Konsultera kvalificerad juridisk rådgivning för bedömningar som rör din specifika situation.
Det finns ett vanligt missförstånd som sprider sig i svenska SME-bolag och innovationsmiljöer: att data lagrat i Sverige, på svenska servrar, skyddas av svenska och europeiska lagar. Det stämmer, men bara delvis. Om den tjänst som lagrar din data ägs av ett amerikanskt företag gäller ett annat regelverk parallellt, oavsett var servrarna fysiskt befinner sig. Det regelverket heter CLOUD Act.
Vad är CLOUD Act?
CLOUD Act, Clarifying Lawful Overseas Use of Data Act, trädde i kraft den 23 mars 2018, inbakad i ett amerikanskt omnibusanslag som president Trump undertecknade. Lagen kom till som ett direkt svar på rättsfallet United States v. Microsoft Corp., där Microsoft vägrade lämna ut e-postdata lagrat på servrar i Irland till amerikanska myndigheter. Kongressen ville inte invänta Högsta domstolens avgörande och stiftade lagen som löste frågan på förhand.
Lagen har två huvuddelar. Den första förpliktar tjänsteleverantörer som faller under amerikansk jurisdiktion att bevara och lämna ut data de har possession, custody or control över, oavsett var den är lagrad. Den andra ger USA möjlighet att ingå exekutiva avtal med andra länder, varigenom tjänsteleverantörer kan efterkomma direkta utlämningsorder utan att behöva gå via traditionella rättshjälpsavtal.
Det första ledet är det som direkt berör europeiska bolag. En order kan utfärdas av amerikanska domstolar, magistrate judges eller via grand jury subpoenas mot en leverantör som Google, Microsoft eller Salesforce, förutsatt att leverantören bedöms ha kontroll över den efterfrågade datan. Om det villkoret är uppfyllt är leverantören skyldig att lämna ut data även om den lagras i Stockholm, Frankfurt eller Dublin. Det krävs inte att ett europeiskt rättsväsende involveras, även om leverantören i teorin kan bestrida ordern eller åberopa comity-mekanismen. I fråga om underrättelse till den vars data berörs används så kallade gag orders relativt ofta i praktiken, men de är inte automatiska: de kräver särskild rättslig grund, är tidsbegränsade och kan utmanas rättsligt.
Lagen innehåller som sagt ett moment som förtjänar att nämnas särskilt: comity-principen, en common law-princip om hänsyn till utländsk rätt. En amerikansk domstol kan ta hänsyn till den utländska lagens krav och väga dessa mot den amerikanska ordern. Hur ofta och under vilka omständigheter det faktiskt sker är svårt att bedöma, eftersom offentlig rättspraxis efter CLOUD Act är mycket begränsad. Det är mer korrekt att beskriva comity som ett rättsligt instrument med oklar och begränsad tillämpning i praktiken än att påstå att det aldrig används. Som skydd för europeisk data är det dock i nuläget svagt.
Den vanligaste missuppfattningen: servrarnas placering
Många leverantörer erbjuder EU-baserade datacenter och marknadsför dessa som suveräna lösningar. Men suveränitet handlar inte om var data lagras utan om vem som kontrollerar tjänsten. Om molnleverantören faller under amerikansk jurisdiktion och har kontroll över datan gäller CLOUD Act, oavsett var servrarna finns.
Vad som avgör om ett bolag träffas av lagen är inte börsnotering, skattehemvist eller var ledningen sitter, utan om bolaget är en så kallad covered provider enligt Stored Communications Act och om det har possession, custody or control över den aktuella datan. I de flesta praktiska fall gäller det för stora amerikanska molnbolag och deras dotterbolag, eftersom moderbolaget typiskt sett utövar bestämmande inflytande över datainfrastrukturen. Men det är inte en absolut regel, och det finns koncernstrukturer där kontrollen är genuint segmenterad. Det är ett av skälen till att juridisk bedömning av den faktiska exponeringen inte kan ersättas med en enkel tumregel.
Det innebär att ett svenskt bolag som använder Microsoft 365, Google Workspace, Salesforce CRM, AWS, HubSpot eller liknande tjänster i de flesta fall inte kan garantera att deras data är otillgänglig för amerikanska myndigheter. Det spelar i regel ingen roll om abonnemanget tecknas med ett europeiskt dotterbolag eller om EU-hosting-alternativet är valt, så länge det amerikanska moderbolaget faktiskt kontrollerar tjänsten och datan.
GDPR-konflikten – ett reellt compliance-dilemma
Situationen skapar ett påtagligt compliance-dilemma: att följa en CLOUD Act-order kan innebära brott mot GDPR, och att följa GDPR kan innebära att man trotsar ett amerikanskt rättsligt beslut. Leverantören har formella möjligheter att bestrida ordern, åberopa comity eller segmentera data för att mildra konflikten, men dessa vägar är osäkra och resurskrävande.
GDPR artikel 48 slår fast att beslut från myndigheter i tredjeland inte i sig utgör tillräcklig rättslig grund för utlämning av personuppgifter. Andra överföringsmekanismer kan i teorin vara tillämpliga, men är begränsade i praktiken när det handlar om myndighetsåtkomst av det slag CLOUD Act möjliggör. Det traditionella sättet att hantera sådana situationer, via internationella avtal om rättshjälp, MLAT, kringgås just av CLOUD Act:s konstruktion. Molnbolaget hamnar i kläm: vägrar man följa den amerikanska ordern riskerar man sanktioner i USA, följer man den bryter man mot europeisk lag.
Det är viktigt att förstå att detta inte är en hypotetisk risk. Det är ett strukturellt problem inbyggt i hur dessa rättssystem förhåller sig till varandra. Inget befintligt avtal löser hela konflikten mellan EU:s grundläggande rättigheter och amerikansk övervakningslagstiftning.
Data Privacy Framework – ett bräckligt fundament
Sedan Schrems II-domen 2020, som underkände Privacy Shield-avtalet med hänvisning till just amerikansk övervakning, har EU och USA förhandlat fram ett nytt ramverk: Trans-Atlantic Data Privacy Framework, DPF, antaget i juli 2023. Ramverket innebär att amerikanska bolag kan certifiera sig och därigenom erbjuda en legal grund för att föra persondata från EU till USA.
Men DPF har ett grundläggande konstruktionsproblem. Det vilar på Executive Order 14086, ett presidentdekret som en ny administration kan ändra eller upphäva. Hela ramverket involverar även ett EU-kommissionsbeslut, vilket gör konsekvenserna av ett eventuellt upphävande juridiskt komplexa snarare än omedelbart binära, men grunden är ändå instabil. Max Schrems och organisationen NOYB har offentligt meddelat att en ny juridisk utmaning, Schrems III, förbereds.
I september 2025 avvisade EU:s General Court ett första försök att ogiltigförklara DPF, men domstolen var explicit med att den bedömde situationen utifrån hur det såg ut i juli 2023. Den tog alltså inte ställning till händelser under Trump-administrationen, inklusive de förändringar som skett i de oberoende organ vars existens är en förutsättning för DPF:s trovärdighet. Om DPF skulle underkännas i en kommande rättsprocess kollapsar den legala grunden för en stor del av de datatransfererar som sker dagligen mellan EU och USA. Tidigare har tillsynsmyndigheter tillämpat viss pragmatism i sådana övergångssituationer, men någon garanterad övergångstid finns inte. DPF erbjuder alltså viss legal trygghet just nu, men på ett fundament av sand snarare än betong.
Relevanta EU-direktiv bortom GDPR
GDPR är inte ensamt om att forma det regulatoriska landskapet. Flera nyare EU-regelverk förstärker kraven och gör det svårare att ignorera frågan om var data kontrolleras, inte bara var den lagras.
NIS2, Direktiv 2022/2555, trädde i kraft i januari 2023 och skulle ha implementerats i nationell lag senast oktober 2024. Direktivet utvidgar cybersäkerhetskraven till fler sektorer och bolag, med krav på riskhantering, leverantörskedjeanalys och incidentrapportering. Begreppet datasuveränitet förekommer inte som explicit lagkrav i NIS2, men kraven på leverantörskedjeanalys och riskhantering är formulerade tillräckligt brett för att frågan om var data kontrolleras och under vilken jurisdiktion tjänsteleverantören lyder är direkt relevant att adressera. Direktivet kompletterar GDPR utan att ersätta det, och efterlevnad av GDPR uppfyller inte automatiskt alla krav under NIS2. Som utgångspunkt gäller en så kallad size-cap rule där mikroföretag och små företag är undantagna, men undantag finns för bolag i kritiska sektorer och för vissa tjänster oavsett storlek. Det är en fråga som kräver individuell bedömning snarare än en enkel tumregel.
DORA, Förordning 2022/2554, trädde i kraft i januari 2023 och började tillämpas den 17 januari 2025. Den gäller finanssektorn och inför strikta krav på riskhantering av IKT-leverantörer. Finansbolag, från banker till betalningsförmedlare och fintech-startups, måste bedöma och dokumentera riskerna med sina tredjepartsleverantörer och ha beredskapsplaner om en leverantör plötsligt inte kan nyttjas. I kombination med CLOUD Act-problematiken innebär det att ett finansbolag som är beroende av en enda amerikansk molnleverantör för kritiska system bär en risk som tillsynsmyndigheterna nu aktivt förväntar sig att se hanterad.
EU Data Act, Förordning 2023/2854, trädde i kraft i januari 2024 och började tillämpas den 12 september 2025. Den innehåller ett kapitel specifikt riktat mot olaglig utländsk myndighetsåtkomst till icke-personlig data lagrad inom EU. Lagen inför också switching requirements som ska göra det enklare att byta molntjänsteleverantör, med övergångsperioder och tekniska begränsningar som varierar beroende på situation. Det är ett direkt svar på den inlåsning som präglar dagens marknad och stärker EU:s digitala suveränitet som politiskt projekt, om än mer på sikt än omedelbart.
Vad innebär det i praktiken för ett SME-bolag?
Det konkreta problemet för ett typiskt svenskt tillväxtbolag, en healthtech-startup eller ett traditionellt bolag under digitalisering är att verktygslådan i stor utsträckning är amerikansk. CRM-systemet, fildelningen, e-posten, projekthanteringen, videomötena, HR-systemet: de flesta standardverktyg är produkter från bolag som i de flesta praktiska fall faller under amerikansk federal jurisdiktion. Det är dessa bolag som kan ta emot en order och som i normalfallet är skyldiga att följa den.
Det vore fel att måla upp detta som en omedelbar existentiell risk för alla bolag. Lagen är primärt konstruerad för brottsutredningar och de allra flesta bolag är inte föremål för sådana. Det krävs ett rättsligt beslut, inte ett godtyckligt myndighetsbeslut. Men det vore lika fel att avfärda frågan. Tre faktorer gör den angelägen att adressera aktivt just nu.
Om DPF underkänns i en kommande rättsprocess påverkas den legala grunden för en stor del av de datatransfererar som sker dagligen mellan EU och USA, med potentiellt omedelbar effekt. NIS2 och DORA ställer krav på att bolag aktivt dokumenterar och hanterar riskerna med sina leverantörer, vilket innebär att en utebliven bedömning av exponeringen mot utomeuropeisk jurisdiktion i sig kan utgöra en compliance-brist. Och i sektorer som healthtech och life science hanteras känslig patientdata och klinisk information där konsekvenserna av en oönskad utlämning inte bara är juridiska utan etiska, med direkt påverkan på patienttillit och affärsmöjligheter.
Det handlar inte om att bannlysa amerikanska tjänster. Det handlar om att förstå vad man väljer, och att göra det valet medvetet med öppna ögon för de juridiska och operationella konsekvenserna. Det regulatoriska trycket ökar, det geopolitiska läget är instabilt, och den som väntar på ett slutgiltigt besked från domstolarna innan man börjar tänka igenom sin leverantörsstrategi riskerar att göra det i en situation där valmöjligheterna är färre och tidspressen är större.