Kommentar till amerikanska CLOUD Act

Vi är i en bransch där hantering av känslig information är central. Därför har vi intresserat följt turerna kring Facebooks hantering av användaruppgifter, men förvånas samtidigt över att så lite intresse riktats mot CLOUD Act.

Amerikanska myndigheter har i vissa lägen rätt att begära ut information från amerikanska företag och CLOUD Act gör detta möjligt även om informationen lagras i andra länder. Tidigare har till exempel Microsoft kunnat vägra att lämna ut information med hänvisning till att servrarna står på Irland. Med den nyss antagna CLOUD Act försvinner den möjligheten.

En större myndighet hörde nyligen av sig till oss och ville försäkra sig om att vi inte byggde våra tjänster på amerikanska molnlösningar, då den typen av lösningar inte längre är ett alternativ för dem just med hänvisning till CLOUD Act.

Vi arbetar med svenska lösningar och lagring i Sverige, men utvecklingen väcker flera frågor.

Hur påverkar detta hur myndigheter ser på molntjänster från Microsoft, Google eller Amazon? Hur kommer svenska företag med skyddsvärda affärshemligheter att agera? Hur går CLOUD Act ihop med GDPR som träder i kraft i vår? Kommer amerikanska staten att skriva på ett personuppgiftsbiträdesavtal då de tvingar till sig personuppgiftsansvariges data? 😊

Många frågor. Har någon svaren?