CLOUD Act gir ikke amerikanske myndigheter fri tilgang til alle data hos amerikanske selskaper. Loven avklarer blant annet at bestemte tjenesteleverandører under amerikansk jurisdiksjon kan pålegges å utlevere elektroniske data de har i sin besittelse, forvaring eller kontroll, selv om dataene lagres utenfor USA.
Det kreves fortsatt et gyldig myndighetskrav etter amerikansk rett. Samtidig kan et slikt krav komme i konflikt med europeiske regler om utlevering og overføring av personopplysninger. Derfor er CLOUD Act relevant når norske virksomheter vurderer skytjenester, men loven må forklares mer presist enn «USA kan hente alt».
Denne artikkelen gir en overordnet forklaring og praktiske kontrollpunkter. Den er ikke juridisk rådgivning i en konkret sak.
Hva er CLOUD Act?
CLOUD Act er forkortelse for Clarifying Lawful Overseas Use of Data Act. Loven ble vedtatt i USA i mars 2018 etter en konflikt om amerikanske myndigheters tilgang til e-postdata som Microsoft lagret i Irland.
Loven har to hoveddeler som ofte blandes sammen:
- Den presiserer rekkevidden av amerikanske pålegg til tilbydere av elektroniske kommunikasjons- og fjernlagringstjenester.
- Den oppretter et rammeverk for bilaterale avtaler som kan gjøre det mulig for godkjente land å rette kvalifiserte myndighetskrav direkte til tjenesteleverandører i det andre landet.
Begge delene handler om tilgang til elektroniske bevis i etterforskning av kriminalitet. De er ikke en generell ordning for kommersiell bruk, overvåking uten prosess eller fri innsynstilgang.
Hva betyr «possession, custody or control»?
CLOUD Act la til en bestemmelse i den amerikanske Stored Communications Act. Bestemmelsen sier at en omfattet tilbyder skal etterkomme pliktene i loven til å bevare, sikkerhetskopiere eller utlevere data i tilbyderens besittelse, forvaring eller kontroll, uavhengig av om kommunikasjonen, registeret eller opplysningen befinner seg i eller utenfor USA.
Det sentrale er derfor ikke bare hvor serveren står. Spørsmålet er om den aktuelle tilbyderen omfattes av amerikansk jurisdiksjon, om et gyldig pålegg retter seg mot tilbyderen, og om tilbyderen har den nødvendige kontrollen over dataene.
Formuleringen betyr heller ikke at enhver amerikansk eier automatisk kan levere ut alle data i et globalt konsern. Selskapsstruktur, avtaleforhold, teknisk tilgang og faktisk kontroll kan ha betydning. Dette må vurderes konkret.
Hvilke leverandører omfattes?
Den delen av loven som avklarer utleveringsplikten, bygger på Stored Communications Act og retter seg mot tilbydere av elektroniske kommunikasjonstjenester og fjernbaserte databehandlingstjenester som er underlagt amerikansk jurisdiksjon.
Det er mer presist enn å si at CLOUD Act gjelder «alle amerikanske selskaper». En industribedrift, butikk eller konsulentvirksomhet blir ikke en skyleverandør bare fordi den er amerikansk. For norske kunder er loven særlig relevant ved bruk av globale tjenester for e-post, samhandling, lagring, backup og annen behandling av elektroniske data.
Om en konkret tjeneste, juridisk enhet og datastrøm omfattes, må undersøkes i leverandørens avtaler og dokumentasjon.
Har myndighetene direkte tilgang?
Nei. CLOUD Act oppretter ikke en åpen teknisk bakdør som gir myndighetene kontinuerlig tilgang til kundenes skykontoer. Amerikanske myndigheter må bruke rettslige virkemidler med krav som varierer etter hvilken type data de ber om.
Et pålegg kan for eksempel gjelde abonnementsopplysninger, trafikkdata eller innhold. Kravene til myndighetenes prosess er ikke identiske for alle kategorier. Leverandøren mottar kravet og må vurdere om det er gyldig og hva som faktisk kan utleveres.
CLOUD Act inneholder også en mekanisme der en leverandør i visse tilfeller kan be en domstol endre eller oppheve et pålegg når kunden ikke er en amerikansk person, ikke er bosatt i USA, og etterlevelse vil skape konflikt med lovgivningen i et kvalifisert fremmed land. At en innsigelsesmulighet finnes, betyr ikke at alle konflikter automatisk løses i leverandørens eller kundens favør.
Den andre delen: Bilaterale CLOUD Act-avtaler
Loven åpner også for avtaler mellom USA og land som oppfyller bestemte krav til rettssikkerhet, personvern og sivile rettigheter. Slike avtaler kan fjerne juridiske hindringer slik at kvalifiserte myndighetskrav kan sendes direkte til omfattede tjenesteleverandører i avtalelandet.
Det amerikanske justisdepartementets oversikt viser operative avtaler og forhandlinger. USA har inngått avtaler med Storbritannia og Australia. Departementets side omtaler også forhandlinger med Canada og EU, men en forhandling er ikke det samme som en avtale i kraft.
Denne avtaledelen går begge veier. Formålet er også å gi kvalifiserte utenlandske myndigheter en raskere lovlig vei til elektroniske bevis som ligger hos tilbydere under amerikansk jurisdiksjon.
Hvordan møter CLOUD Act GDPR?
En amerikansk ordre gjør ikke i seg selv en utlevering av personopplysninger lovlig etter GDPR. Artikkel 48 i personvernforordningen sier at en avgjørelse fra en domstol eller forvaltningsmyndighet i et tredjeland bare kan anerkjennes eller håndheves dersom den bygger på en internasjonal avtale, som en avtale om gjensidig rettshjelp, uten at dette utelukker andre overføringsgrunnlag i GDPR kapittel V.
Det europeiske personvernrådet vedtok i juni 2025 den endelige versjonen av retningslinjene om artikkel 48. Hovedpoenget er at en virksomhet som mottar et krav fra en myndighet i et tredjeland, må kontrollere både et behandlingsgrunnlag etter GDPR artikkel 6 og et gyldig grunnlag for overføringen etter kapittel V.
Det kan dermed oppstå en reell lovkonflikt: Amerikansk rett kan kreve utlevering, mens europeisk rett stiller selvstendige krav til om og hvordan personopplysninger kan overføres. Slike situasjoner må håndteres juridisk og konkret. De kan ikke løses av en generell setning i en databehandleravtale.
Fjerner Data Privacy Framework problemet?
EU-US Data Privacy Framework, DPF, og CLOUD Act regulerer forskjellige spørsmål. DPF kan gi et gyldig grunnlag for ordinær overføring av personopplysninger fra EØS til en sertifisert amerikansk virksomhet. CLOUD Act handler om myndigheters tilgang til elektroniske data gjennom bestemte rettslige prosesser.
En DPF-sertifisering betyr derfor ikke at leverandøren aldri kan motta et myndighetskrav. Samtidig vurderte EU-kommisjonen amerikanske garantier og klagemekanismer da den traff beslutningen om tilstrekkelig beskyttelsesnivå i 2023.
Virksomheter som vil vurdere lovlig bruk av amerikanske skytjenester, bør lese guiden om personopplysninger i amerikanske skyløsninger. Den forklarer overføringsgrunnlag, DPF, standardklausuler og øvrige GDPR-krav.
Er europeisk datalagring fortsatt viktig?
Ja. Europeisk lagring kan redusere antall dataflyter, forenkle avtaler og begrense hvem som har operativ tilgang. Det kan også være et viktig krav for virksomhetens risikostyring.
Men serverplassering avgjør ikke alene om CLOUD Act kan bli relevant. Hvis en omfattet tilbyder har kontroll over dataene, kan lagring utenfor USA falle innenfor lovens geografiske presisering. Motsatt kan tekniske og organisatoriske tiltak begrense hva leverandøren faktisk kan lese eller levere ut.
Det er derfor nødvendig å skille mellom:
- hvor data og sikkerhetskopier lagres
- hvilken juridisk enhet som leverer tjenesten
- hvem som kan administrere eller dekryptere dataene
- hvilke underleverandører som brukes
- hvilke myndighetskrav leverandøren kan bli underlagt
Kan kryptering redusere risikoen?
Kryptering kan være et sterkt tiltak, men effekten avhenger av hvem som kontrollerer nøkkelen. Dersom kunden alene kontrollerer nøklene og leverandøren aldri trenger data i klartekst, kan leverandøren ha begrenset mulighet til å utlevere lesbart innhold.
Mange skytjenester må likevel behandle data i klartekst for søk, samhandling, dokumentredigering, spamfiltrering eller andre funksjoner. «Kryptert i ro og under transport» betyr da ikke nødvendigvis at leverandøren mangler teknisk tilgang.
Pseudonymisering, dataminimering, kundestyrte nøkler, oppdeling av data og streng tilgangsstyring kan redusere risiko. Tiltakene må vurderes mot den konkrete tjenesten og trusselen.
Hva bør en norsk virksomhet spørre leverandøren om?
- Hvem er avtaleparten? Finn den juridiske enheten, ikke bare merkevaren.
- Hvem har kontroll over dataene? Kartlegg administrasjon, support, underleverandører og nøkkelstyring.
- Hvor behandles dataene? Ta med hoveddata, backup, logger og telemetri.
- Hvordan håndteres myndighetskrav? Be om dokumentasjon på kontroll, varsling, innsigelser og åpenhetsrapportering.
- Kan leverandøren lese innholdet? Undersøk krypteringsmodell og hvem som kontrollerer nøklene.
- Hvilket overføringsgrunnlag brukes? Kontroller DPF, standardklausuler eller annet grunnlag for hver relevant mottaker.
- Kan risikoen reduseres i oppsettet? Vurder dataregion, funksjonsvalg, tilgang, lagringstid og hvilke data som i det hele tatt må ligge i tjenesten.
Svarene bør inngå i leverandørvurderingen og virksomhetens dokumenterte personvern- og sikkerhetsarbeid. Et generelt utsagn om «GDPR compliant» er ikke nok.
Vanlige misforståelser
«CLOUD Act gir amerikanske myndigheter direkte tilgang til alle servere»
Nei. Loven bygger på juridiske pålegg til omfattede tjenesteleverandører. Den gir ikke en generell, kontinuerlig innlogging til kundenes systemer.
«Alle amerikanske selskaper omfattes på samme måte»
Nei. Den sentrale utleveringsbestemmelsen gjelder bestemte tilbydere under amerikansk jurisdiksjon og data de har i sin besittelse, forvaring eller kontroll.
«Europeisk datasenter gjør CLOUD Act irrelevant»
Ikke nødvendigvis. Loven presiserer at lagringssted utenfor USA ikke alene fritar en omfattet tilbyder fra et gyldig pålegg.
«CLOUD Act betyr at amerikanske skytjenester er ulovlige»
Nei. Loven er ett av flere forhold i en risikovurdering. Lovlig bruk avgjøres av den konkrete dataflyten, overføringsgrunnlaget, avtalene, sikkerhetstiltakene og øvrige GDPR-krav.
Konklusjon
CLOUD Act gjør fysisk serverplassering til bare én del av vurderingen. En omfattet amerikansk tjenesteleverandør kan i bestemte situasjoner pålegges å utlevere data den kontrollerer, også når dataene ligger utenfor USA. Men det kreves juridisk prosess, og loven gir ikke fri eller automatisk tilgang.
For norske virksomheter er det viktigste å vite hvem som kontrollerer dataene, hva leverandøren teknisk kan lese, og hvordan myndighetskrav håndteres. Det gir et bedre beslutningsgrunnlag enn både skremselsbildet om at «USA ser alt» og markedsføringspåstanden om at europeisk serverplassering løser alt.
Kilder og videre lesning
Artikkelen ble vesentlig oppdatert 17. september 2026 med presisering av lovens virkeområde, avtaledelen og EDPBs endelige veiledning om GDPR artikkel 48.
