US CLOUD Act

Vad det innebär

Den amerikanska CLOUD Act (2018) innebär att amerikanska leverantörer måste lämna ut data de kontrollerar – oavsett var den lagras. Det är alltså kontrollen över data, inte lagringsplatsen, som avgör om amerikansk lag når den.

Status och datum

• Antagen 2018.
• Gällande.

Betydelse för analysen

• »EU-datacenter« räcker inte: nivå 1 ≠ nivå 3. I analysens nivåtrappa innebär nivå 1 att data lagras och behandlas inom EU – men leverantören lyder under amerikansk lag (CLOUD Act, FISA 702). Dagens erbjudanden av typen Microsoft EU Data Boundary, AWS European Sovereign Cloud i Brandenburg och Google/Thales S3NS stannar därför på nivå 1–2 och kvarstår under amerikansk jurisdiktion. Se Vad är oberoende.
• Målnivån. Det är skälet till att analysen siktar på nivå 3 – leverantören kontrolleras inte från tredjeland; europeisk leverantör eller egen drift – för mjukvara och moln. Se Cloud and AI Development Act.
• Leverantörens egna ord. Att lagen får praktisk verkan visas av Microsofts medgivanden under ed i franska senaten och i brittiska underhuset – se Leverantörsutfästelser.

Källor

• Bilaga A9 i presentationen (tabellen över rättslig och policymässig kontext). Presentationen anger ingen separat källhänvisning för CLOUD Act.