Suverenitet og jurisdiksjon

USAs interesser kan nå dataene deres i et europeisk datasenter

Hvor dataene deres lagres, er ikke det samme spørsmålet som hvilken lov leverandøren deres må svare for. For en amerikansk skyleverandør kan USAs lov nå data som holdes i et europeisk datasenter, og det endrer hva et løfte om europeisk hosting faktisk er verdt.

Jurisdiksjon følger leverandøren, ikke infrastrukturen

FISA Amendments Act (seksjon 702, kodifisert i 50 U.S.C. 1881a) lar justisministeren og etterretningsdirektøren i fellesskap autorisere innhenting av utenlandsk etterretningsinformasjon om ikke-amerikanske personer som med rimelighet antas å befinne seg utenfor USA, i opptil ett år om gangen, uten en individuell rettskjennelse per mål. Leverandører er pålagt å bistå, og en direktiv til en leverandør medfører vanligvis en taushetsplikt.

CLOUD Act (18 U.S.C. 2523) lar en amerikansk kjennelse pålegge en leverandør å utlevere data i sin besittelse, forvaring eller kontroll, uavhengig av hvor dataene er lagret. Den ble vedtatt i mars 2018 nettopp for å avgjøre tvisten i United States v. Microsoft, der myndighetene hadde fått en kjennelse for en konto hvis e-post var lagret i Microsofts datasenter i Dublin. Microsoft bestred den; saken nådde Høyesterett; og 17. april 2018 avviste retten anken som omtvistet fordi CLOUD Act i mellomtiden hadde gjort dataene fremleggbare.

Den juridiske forpliktelsen hviler derfor på den amerikanske leverandøren som forvalter, uansett hvor serverne fysisk står. Det svenske forsvaret kom til samme konklusjon i sin skystrategi, og påpekte at plasseringen av en leverandørs hovedkvarter er avgjørende for hvilken lovgivning som gjelder. SVT, 30. mai 2026

«Utenlandsk etterretningsinformasjon» er bredere enn å fange terrorister

Seksjon 702 retter seg mot «utenlandsk etterretningsinformasjon». Den lovbestemte definisjonen (50 U.S.C. 1801(e)) inkluderer informasjon USA trenger for å beskytte seg mot angrep, sabotasje, internasjonal terrorisme, spredning av våpen og skjult etterretningsaktivitet. Men den inkluderer også, med hensyn til enhver fremmed makt eller fremmed territorium, informasjon som gjelder «nasjonalt forsvar eller USAs sikkerhet» eller «gjennomføringen av USAs utenrikssaker».

Poenget er ikke at seksjon 702 er lik «å fange terrorister». En kommersiell anbudskonkurranse, en strategisk beslutning om energipolitikk, eller holdningen til en forsvarsleverandør kan alle berøre gjennomføringen av USAs utenrikssaker. Dette utsetter kommersielt sensitivt materiale for innhenting når de lovbestemte vilkårene er oppfylt.

Hva de sier, og hva som er dokumentert

Offentlig beroligelse

Microsofts Sverige-sjef, Sophia Wikander, sa i mai 2026 at Microsoft ville bestride en slik kjennelse hver gang. SVT, 30. mai 2026
Microsoft Sverige publiserte forpliktelser om å bestride enhver forespørsel om utlevering av svenske kommersielle eller offentlige kundedata som er i konflikt med GDPR eller annen svensk lov. Microsoft Sveriges pressmelding, 11. februar 2021

Hva som er dokumentert

Microsoft Frankrikes sjefsjurist, Anton Carniaux, sa til det franske senatet (10. juni 2025) at han ikke kan garantere at data som er lagret i europeiske datasentre, ikke vil bli overlevert til amerikanske myndigheter under en formelt gyldig CLOUD Act-forespørsel; selskapet ville være juridisk forpliktet til å fremlegge dem. Datatilsynskommentar fra Hamburg, 1. august 2025
Snowden-avsløringene (2013) identifiserte amerikanske leverandører, inkludert Microsoft, som deltakere i PRISM-programmet under seksjon 702. PRISM (Wikipedia)
Microsofts egne rapporter om myndighets- og politiforespørsler publiserer samlede volum av data fremlagt under FISA-kjennelser og nasjonale sikkerhetsforespørsler. Microsofts åpenhetsrapport

Hvem sine interesser vinner når forpliktelser kolliderer?

Vi hevder ikke å vite, forespørsel for forespørsel, hva en leverandør ville velge å gjøre, og vi påstår ikke at en bestemt fil er blitt krevd eller lest. Men insentivene er vanskelige å se bort fra.

En leverandør som mottar en direktiv under seksjon 702, er pålagt å holde innhentingen hemmelig. Kunden holdes utenfor denne prosessen: leverandøren kan ikke tilby åpenheten som trengs for å verifisere hva som skjedde med kundens data. Et offentlig løfte om å bestride en kjennelse etablerer ikke at en bestridelse vil bli gjort. Uten bevis på handling forblir det en markedssikkerhet.

Når valget står mellom å bryte USAs lov synlig og å bryte europeisk lov usynlig, er en rimelig lesning av insentivene at leverandører ikke ville velge å være de første til å offentlig bryte USAs lov. Bemerkelsesverdig: ingen amerikansk leverandør har noen gang offentlig trosset en direktiv under seksjon 702 eller en endelig CLOUD Act-forespørsel. Det er ikke et bevis på hva en enkelt forespørsel har inneholdt — det er en uttalelse om hva insentivene gjør forutsigbart. Microsoft publiserer tall som viser etterlevelse av nasjonale sikkerhetskrav som berører tusenvis av kontoer. Det er observerbar praksis, ikke en hypotetisk risiko. En administrerende direktørs løfte om å bestride en kjennelse er en markedssikkerhet — ikke bevis på at selskapet vil holde tilbake dataene deres. Uten et dokumentert tilfelle av avslag er det praktiske spørsmålet: hvordan ville mine data klart seg i den situasjonen, og hvordan ville jeg noensinne få vite det?

Videre lesning

Diskuter deres behov