Amerikanska Cloud Act klubbades igenom den 23 mars men har hamnat lite i skymundan när fokus istället varit riktat mot GDPR-implementeringen bland svenska företag.

Den nya lagen gör det möjligt för amerikanska myndigheter att begära ut data från amerikanska molntjänstleverantörer även i utlandet. Var serverhallarna placerats fysisk spelar alltså inte längre någon roll. Syftet sägs vara att förenkla gränsöverskridande jakten på kriminalitet.

De amerikanska molnbolagen älskar Sverige. Här är säkert, elförsörjningen stabil och för det mesta är det ganska kallt. Därför etableras allt fler datacenter här.

Tack vare Amazons Web Services senaste jättebygge utanför Eskilstuna ska skidbacken i Vilsta friluftsområde bli 10 meter högre. Det blir stora schaktmassor över när svala datacenter byggs. På ytterligare två platser i Mälardalen etablerar den amerikanska teknikdraken sin molnverksamhet.

Men att svenska företag lagrat sin digitala information i svala serverrum i Enköping eller Upplands Väsby spelar ingen roll om leverantören är amerikansk. Misstänker amerikanska myndigheter brott kan de begära ut informationen från Amazons servrar även om den berör svenska företag och medborgare.

Myntets baksida är att integritet på nätet då försämrats. Privatpersoner, företag och myndigheter riskerar att få känslig information röjd.

Ett av huvudproblemen är att territoriella gränser riskerar upphöra på internet, vilket också är det beslutsfattarna vill för att underlätta jakten på brottslingar.

Amerikanska molntjänstleverantörerna kan hamn i en rävsax. Så länge lagstiftningen ser annorlunda ut i olika länder tvingas leverantörer som Google, Microsoft och Amazon välja vilket lands formalia de ska följa.

Risken är då att amerikanska molnleverantörer utestängs från upphandlingar utanför USA – när det handlar om digital hantering av känsliga uppgifter, som inte får riskera bli offentliga eller falla i knät på andra stater.

Företag och myndigheter som väljer att undvika amerikanska molntjänster på grund av Cloud Act kan komma att drabbas av högre kostnader och sämre kvalitet på sina molntjänster – för de amerikanska giganterna är marknadsledare.

Det krävs en storskalighet för att driva datacenter. Försprånget och stordriftsfördelarna de besitter är svåra att konkurrera emot för lokala spelare i respektive land.

I ett uppmärksammat fall från 2013 begärde amerikanska myndigheter att få ut information från Microsoft rörande en misstänkt drogkartell. Informationen var lagrad på Irland och föremålet för utredningen var en irländsk medborgare. Microsoft vägrade och ärendet drevs hela vägen till den amerikanska högsta domstolen.

Efter Cloud Act har amerikanska staten snart rätten på sin sida. Då är det legitimt att ställa frågan om också Irland, och likväl andra länder, även kommer få tillgång till amerikanska serverhallar på samma sätt.  

Även på den punkten har Cloud Act förenklat för myndigheterna. Lagen öppnar för USA att enklare teckna avtal direkt med andra länder gällande informationsutlämning från amerikanska servrar. Givet att begäran kommer från ett land som möter specifika krav på mänskliga rättigheter.

Men när avtalsparten väl givits tillgång till informationen är det inte längre en fråga för amerikanska myndigheter om och hur den används. Så frågan är hur mycket amerikanska myndigheter är beredd att dela med sig av om sina medborgare, och i så fall till vem?

Matz Karlsson, vd på svenska Storegate säger till IDG.se att Cloud Act ger ytterligare försäljningsargument till bolagen som erbjuder lokala molntjänster, till exempel i Sverige och då står under svensk lagstiftning.

Han har en poäng. En sannolik utveckling är att nischade aktörer i respektive land kommer att hantera extra känslig information åt lokala myndigheter.

Karlsson poängterar också att vi lever i en föränderlig värld. Cloud Act är en ny lag och det har tillkommit andra lagar innan det. Och nya kommer i framtiden.  Den nya lagstiftningen Cloud Act ersätter utdaterade Electric Communications Privacy Act från 1986.

Även EU arbetar på ett liknande lagförslag som ska tvinga teknikföretagen att skyndsamt dela med sig av elektroniska bevis, vilket inkluderar privat information från sociala nätverk.