Den amerikanska CLOUD Act och digital suveränitet: molnval för europeiska lärosäten (2026)

Många europeiska lärosäten har e-post, dokument och forskningslagring på amerikanska molnplattformar, och allt fler anställda frågar om amerikanska myndigheter kan komma åt uppgifterna. Den här guiden skiljer de rättsliga fakta från den politiska debatten: vad CLOUD Act och FISA Section 702 säger, hur EU-rätten svarar, vad EU-datagränser och suveräna moln ändrar och inte ändrar, vad lärosäten och forskningsnätverk i flera länder gör, och hur ni väljer driftmiljö efter typ av uppgifter med en realistisk utträdesplan.

Publicerad 9 oktober 2026 · Källor kontrollerade 9 oktober 2026

Finns även på: English · Nederlands · Norsk · Suomi · Dansk · Français · Español · Português

Det här är en politisk fråga lika mycket som en rättslig. I guiden har uttalanden om gällande rätt och dokumenterade fakta en källa. Vår egen tolkning av vad de betyder för lärosäten är märkt Validemics analys. Ståndpunkter från lärosäten, personalgrupper och myndigheter återges som deras ståndpunkter, inte som avgjord rätt.

1. Vad säger CLOUD Act egentligen?

CLOUD Act är en amerikansk lag från 2018 som kräver att kommunikations- och molnleverantörer under amerikansk reglering lämnar ut uppgifter som de kontrollerar när de delges ett giltigt amerikanskt rättsligt föreläggande, även om uppgifterna lagras utomlands. Lagen är ett verktyg för brottsbekämpning och skapade också en väg för bilaterala avtal med utländska regeringar.

Huvudregeln finns i 18 U.S.C. § 2713, som infördes den 23 mars 2018. En leverantör av elektroniska kommunikationstjänster eller fjärrdatatjänster ska följa skyldigheterna i Stored Communications Act att bevara, säkerhetskopiera eller lämna ut kommunikation och kunduppgifter som den har i sin ”possession, custody, or control” (besittning, förvar eller kontroll), ”regardless of whether such communication, record, or other information is located within or outside of the United States” (oavsett om kommunikationen, uppgifterna eller annan information finns i eller utanför USA) [1].

Tre saker försvinner ofta i debatten:

• Det är inte en ny övervakningsbefogenhet. Lagen utvidgar befintliga brottsbekämpande verktyg enligt Stored Communications Act till uppgifter som lagras utomlands. Beslutet om dataskyddsramverket konstaterar att lagrat innehåll i regel kräver ett domstolsbeslut grundat på sannolika skäl (skäl 96) [9].
• Det finns en begränsad möjlighet att invända. Enligt 18 U.S.C. § 2703(h) kan en leverantör begära att ett föreläggande upphävs eller ändras om kunden inte är en amerikansk person och inte är bosatt i USA, och ett utlämnande skulle medföra en väsentlig risk för brott mot lagstiftningen i en ”qualifying foreign government”. Begreppet omfattar bara länder som har ett verkställande avtal enligt lagen och som ger leverantörer motsvarande rättigheter [2].
• Det finns avtal med vissa länder, inte med EU. Det amerikanska justitiedepartementet anger avtal med Storbritannien (undertecknat den 3 oktober 2019) och Australien (15 december 2021). För EU anges ett gemensamt uttalande om förhandlingar från 2019 och ett besked från 2023 om att förhandlingarna skulle återupptas [3]. Vi har inte hittat något ingånget avtal mellan EU och USA den 9 oktober 2026.

Validemics analys Det avgörande kriteriet för ett lärosäte är kontroll, inte plats. Om en leverantör under amerikansk jurisdiktion kan komma åt uppgifterna i användbar form är ett amerikanskt föreläggande riktat mot leverantören rättsligt möjligt, var servern än står. Hur ofta det i praktiken sker med uppgifter från lärosäten är en annan fråga, som offentliga källor inte helt kan besvara.

2. FISA 702, EO 12333 och Schrems II

Den huvudsakliga oron bakom Schrems II-domen var amerikansk underrättelseövervakning, inte CLOUD Act. Section 702 i Foreign Intelligence Surveillance Act (50 U.S.C. § 1881a) tillåter inriktning mot icke-amerikanska personer utomlands med påtvingad hjälp från amerikanska leverantörer. Executive Order 12333 reglerar annan underrättelseverksamhet, bland annat inhämtning utanför USA [5].

I Schrems II (C-311/18, 16 juli 2020) slog EU-domstolen fast att ”neither Section 702 of the FISA, nor E.O. 12333” (varken Section 702 i FISA eller EO 12333) gav de minimigarantier som proportionalitetsprincipen kräver (punkt 184). Domstolen fann också att ombudsmannen enligt Privacy Shield inte gav enskilda ett rättsmedel som motsvarar artikel 47 i stadgan (punkt 197) och ogiltigförklarade beslutet om Privacy Shield [5].

USA svarade med Executive Order 14086 av den 7 oktober 2022, som stärkte skyddsåtgärderna för signalspaning och, tillsammans med en föreskrift från justitieministern, inrättade en mekanism för prövning, bland annat Data Protection Review Court (DPRC). Kommissionen stödde sig på den när den antog beslutet om adekvat skyddsnivå för dataskyddsramverket den 10 juli 2023 [8] [9].

Section 702 år 2026

Section 702 förlängdes senast i april 2024 med ett slutdatum i april 2026. Efter kortare förlängningar föll en ytterligare förlängning i representanthuset och bestämmelsen löpte ut den 12 juni 2026. Associated Press rapporterade att ett yttrande från Foreign Intelligence Surveillance Court i mars 2026 ”certified the program's renewal for another 12 months” (godkände en förlängning av programmet med ytterligare 12 månader), så inhämtningen väntades inte upphöra omedelbart [6]. Brennan Center, ett amerikanskt policyinstitut, skriver att övervakningen enligt Section 702 fortsätter till mars 2027 även om bestämmelsen löper ut [7].

På gång: den 9 oktober 2026 hittade vi ingen ny förlängning av Section 702 som trätt i kraft. Om kongressen förnyar den, och med vilka ändringar, har betydelse för kommissionens uppföljning av dataskyddsramverket. Kontrollera läget på nytt innan ni förlitar er på det här stycket.

3. Hur svarar EU-rätten på utländsk åtkomst?

EU-rätten godtar inte ett utländskt domstolsbeslut eller myndighetsbeslut i sig som laglig grund för att lämna ut personuppgifter. Enligt artikel 48 GDPR kan sådana beslut bara erkännas eller verkställas om de grundar sig på ett internationellt avtal, till exempel ett avtal om ömsesidig rättslig hjälp, utan att det påverkar övriga grunder i kapitel V [10].

I sitt gemensamma svar till Europaparlamentets LIBE-utskott av den 10 juli 2019 citerade EDPB och EDPS kommissionens uppfattning att ”Article 48 makes clear that a foreign court order does not, as such, make a transfer lawful under GDPR” (artikel 48 klargör att ett utländskt domstolsbeslut inte i sig gör en överföring laglig enligt GDPR). De drog slutsatsen att ”service providers subject to EU law cannot legally base the disclosure and transfer of personal data to the US on such requests” (tjänsteleverantörer som omfattas av EU-rätten inte lagligen kan grunda utlämnande och överföring av personuppgifter till USA på sådana begäranden) utan ett internationellt avtal eller annan rättslig grund [11]. De fann också att de flesta grunderna i artiklarna 6 och 49 inte lämpar sig för rutinmässiga begäranden enligt CLOUD Act.

Andra EU-regler pekar åt samma håll:

• GDPR art. 28.3 a. Ett personuppgiftsbiträde får bara behandla uppgifter enligt dokumenterade instruktioner från den personuppgiftsansvarige, även när det gäller överföringar, om det inte krävs enligt unionsrätten eller nationell rätt. Ett amerikanskt föreläggande är varken unionsrätt eller en medlemsstats nationella rätt [4].
• Standardavtalsklausulerna, klausul 15. När standardavtalsklausuler tillämpas ska importören utan dröjsmål underrätta exportören om en rättsligt bindande begäran från en myndighet, göra sitt bästa för att få ett undantag om den är förbjuden att underrätta, och föra register över begäranden (klausul 15.1) [12].
• Dataförordningen art. 32. För icke-personuppgifter, till exempel opublicerade forskningsresultat eller lärosätets egna uppgifter, ska leverantörer av databehandlingstjänster ”vidta alla adekvata tekniska, organisatoriska och rättsliga åtgärder, inbegripet avtal” för att förhindra statlig åtkomst från tredjeland som skulle strida mot unionsrätten eller nationell rätt. Utländska beslut erkänns bara på grundval av ett internationellt avtal, eller om sådant saknas endast på de villkor som anges i art. 32.3 [13].

Validemics analys Reglerna skapar en lagkonflikt, inte en sköld. De gör ett utlämnande olagligt sett från EU:s sida och ger kunden rätt att bli informerad, men de kan inte hindra en leverantör från att följa lagen i sitt hemland. Därför fokuserar vissa myndigheter på teknisk kontroll, till exempel vem som har krypteringsnycklarna, snarare än enbart på avtalsvillkor.

4. Läget för dataskyddsramverket den 9 oktober 2026

Beslutet om adekvat skyddsnivå för ramverket för dataskydd mellan EU och USA (DPF), genomförandebeslut (EU) 2023/1795, gäller och omfattar överföringar till amerikanska organisationer på DPF-listan. Det behandlar underrättelsemyndigheternas åtkomst genom EO 14086 och DPRC, och det beskriver brottsbekämpande myndigheters åtkomst enligt Stored Communications Act, den lag som CLOUD Act ändrade [9].

• Tribunalen, 3 september 2025. I Latombe mot kommissionen (T-553/23) ogillade tribunalen talan. Den fann att DPRC är tillräckligt oberoende och att Schrems II som ett minimum kräver efterhandsprövning i domstol av massinsamling, vilket amerikansk rätt tillhandahåller genom DPRC. Den påpekade också att kommissionen fortlöpande måste följa den amerikanska rättsliga ramen och kan tillfälligt upphäva, ändra eller upphäva beslutet [14].
• Överklagande, C-703/25 P. Philippe Latombe överklagade den 31 oktober 2025 [15]. Målet är inte avgjort. Vår guide om dataskyddsramverket (på engelska) följer förfarandet, bland annat att Microsoft tilläts intervenera i juni 2026.
• EDPB. Den 31 juli 2026 skrev EDPB till kommissionen om den amerikanska högsta domstolens dom i Trump v. Slaughter, som gäller oberoendet hos amerikanska myndigheter som FTC [16].

Validemics analys DPF besvarar överföringsfrågan för amerikanska organisationer på listan. Den besvarar inte suveränitetsfrågan, som handlar om beroende, kontinuitet och kontroll. Ett lärosäte kan ha en laglig grund för överföring och ändå besluta att vissa uppgifter inte ska vara beroende av en enda leverantör utanför EU. För överföringsdelen, se vår mall för överföringsbedömning och verktyget för överföringsmekanismer.

5. Datalokalisering är inte datasuveränitet

Datalokalisering innebär att uppgifterna lagras och behandlas i en vald region, till exempel EU. Datasuveränitet handlar om vilka rättsordningar och vilka organisationer som kan styra, komma åt eller stänga av uppgifterna och tjänsten. En tjänst kan uppfylla krav på lokalisering samtidigt som operatören omfattas av lagstiftning utanför EU. De två kräver separata frågor i en leverantörsgranskning.

EDPB:s rekommendationer 01/2020 beskriver tydligt de tekniska åtgärdernas gränser. För molntjänster som behöver åtkomst till uppgifter i klartext (användningsfall 6) skrev EDPB att den var ”incapable of envisioning an effective technical measure” (inte kunde föreställa sig en effektiv teknisk åtgärd) som förhindrar oproportionerlig åtkomst från myndigheter, givet den tekniska utvecklingen [17]. Därför är de flesta kontorssviter, som måste läsa innehållet för att indexera, söka och köra AI-funktioner, svåra att skydda enbart med kryptering.

6. Vad de stora leverantörerna erbjuder

Beskrivningarna nedan kommer från leverantörernas egna sidor. Vi bedömer inte om de uppfyller någon rättslig standard. Läs avtalsvillkoren för ert abonnemang.

Microsoft: EU Data Boundary och suveräna erbjudanden

Microsoft beskriver EU Data Boundary som en gräns inom vilken företaget åtar sig att lagra och behandla kunddata och personuppgifter för sina onlinetjänster för företag, bland annat Azure, Dynamics 365, Power Platform och Microsoft 365. Sidan anger att åtagandena gäller ”subject to limited circumstances” (med förbehåll för vissa begränsade fall) där uppgifter fortfarande överförs utanför gränsen, och dokumenterar dessa överföringar separat. Gränsen omfattar EU- och Efta-länderna. För Microsoft 365 omfattas klientorganisationer (tenants) som registrerats i ett EU- eller Efta-land, men inte klientorganisationer med Multi-Geo Capabilities [18].

I april 2025 publicerade Microsoft fem ”European digital commitments”, bland annat ett löfte att bestrida varje myndighetsbeslut om att stänga ned den europeiska molndriften och tillsyn över de europeiska datacentren av en styrelse med europeiska medborgare [19]. I juni 2025 tillkännagav Microsoft Sovereign Public Cloud och Sovereign Private Cloud (båda i förhandsversion vid den tiden), Microsoft 365 Local, ”Data Guardian” (fjärråtkomst begränsad till personal bosatt i Europa), extern nyckelhantering och nationella partnermoln som Bleu i Frankrike och Delos Cloud i Tyskland [20].

Ett exempel från lärosätesvärlden visar varför inställningar för lokalisering behöver bevakas. SURF:s uppdatering i maj 2026 av konsekvensbedömningen för Microsoft 365 Copilot noterar att Microsoft i mars 2026 införde ”flex routing”, som möjliggör överföringar utanför EU Data Boundary för nya klientorganisationer. SURF kontrollerade att befintliga nederländska klientorganisationer inom utbildning inte hade ändrats och lade till frågan som en ny låg risk [21]. Se även våra faktablad om Microsoft 365 och Microsoft Copilot.

AWS European Sovereign Cloud

AWS meddelade den 15 januari 2026 att AWS European Sovereign Cloud är allmänt tillgängligt, med den första regionen i Brandenburg i Tyskland. Enligt AWS är det fysiskt och logiskt separerat från andra AWS-regioner och drivs av personer bosatta i EU genom ett nytt moderbolag och tyska dotterbolag som leds av EU-medborgare, med ”zero operational control outside of EU borders” (ingen operativ kontroll utanför EU:s gränser). AWS planerar suveräna Local Zones i Belgien, Nederländerna och Portugal [22].

Googles suveräna molnerbjudanden

Google anger tre huvudalternativ. Google Cloud Data Boundary erbjuder kontroll över lokalisering och åtkomst i det publika molnet, bland annat kundhanterade och externt lagrade nycklar. Google Cloud Dedicated körs på isolerad infrastruktur som drivs av en lokal partner. I Frankrike drivs den av S3NS, ett fristående franskt bolag tillsammans med Thales, som enligt Google är utformat för att uppfylla kraven i SecNumCloud. Google Distributed Cloud körs i egna lokaler, uppkopplat eller helt avskilt [23]. Se vårt faktablad om Google Workspace.

Validemics analys Datagränser ändrar främst plats och supportåtkomst. Separat drivna moln försöker ändra vem som kontrollerar operatören. Kundhållna nycklar och drift i egna lokaler ändrar vem som kan läsa uppgifterna. När en leverantör säger ”suverän”, fråga vilket av dessa som avses, för vilka tjänster och i vilket abonnemang.

Granskar ni en leverantör just nu? Validemic stämmer av leverantörens dokument mot GDPR och AI-förordningen och anger källa för varje bedömning. Testa demomiljön

7. Certifiering: EUCS och SecNumCloud

Den 9 oktober 2026 finns ingen antagen EU-gemensam certifiering av ”suveräna” molntjänster. EU:s ordning för cybersäkerhetscertifiering av molntjänster (EUCS) är fortfarande ett utkast. Den franska kvalificeringen SecNumCloud är den mest etablerade nationella märkningen som uttryckligen omfattar skydd mot lagstiftning utanför EU.

• EUCS. Kommissionens sida om ramen för cybersäkerhetscertifiering, senast uppdaterad den 9 september 2026, anger ”European cybersecurity certification scheme for cloud services” bland de utkast till ordningar som Enisa fått i uppdrag att ta fram, och anger ordningen för Common Criteria (EUCC) som den första som antagits [24]. Tidigare utkast som skulle ha lagt till suveränitetskrav var föremål för en lång debatt mellan medlemsstaterna. En slutlig ordning kan se annorlunda ut.
• SecNumCloud (Frankrike). ANSSI anger att SecNumCloud-kvalificerade tjänster syftar till att skydda känsliga uppgifter ”face à la menace cybercriminelle et à l'application de lois extraterritoriales” (mot cyberbrottslighet och tillämpningen av extraterritoriella lagar) och publicerar en förteckning över kvalificerade tjänster [25]. CNIL:s vägledning för högre utbildning, daterad den 24 augusti 2026, anger SecNumCloud-kvalificering som exempel på ett sätt att säkerställa att en leverantör enbart omfattas av europeisk rätt [26].

8. Vad regeringar och offentlig sektor gör

Offentliga organ i flera länder minskar sitt beroende av ett litet antal leverantörer utanför EU. De flesta insatserna sker gradvis, och de angivna skälen omfattar kontinuitet och förhandlingsstyrka lika väl som dataskydd.

• Frankrike. I ett svar på en skriftlig fråga i parlamentet, publicerat den 15 november 2022, uppgav utbildningsministeriet att statens digitaliseringsmyndighet 2021 hade funnit att Office 365 inte överensstämde med doktrinen ”cloud au centre”, att CNIL hade rått lärosäten att använda leverantörer som enbart omfattas av europeisk rätt och att rektorerna hade ombetts att stoppa ytterligare införanden av Microsoft och Google i skolorna [27]. Svaret är äldre än dataskyddsramverket från 2023.
• Tyskland. En fallkatalog från 2026 från den danska Digitaliseringsstyrelsen beskriver hur delstaten Schleswig-Holstein sedan 2012 går över till LibreOffice, Linux, Nextcloud och Open-Xchange, med målet att 2029 vara fri från alla utom ett fåtal kritiska Microsoftprodukter. 24 000 av delstatens 30 000 anställda använder nu den nya arbetsplatsen [28]. ZenDiS, ett federalt finansierat bolag, utvecklar openDesk, en kontorssvit med öppen källkod för offentlig förvaltning [29].
• Danmark. Digitaliseringsstyrelsen anger att finanslagen för 2026 avsätter 80 miljoner danska kronor för 2026–2029 till en handlingsplan för digital suveränitet [30]. Fallkatalogen beskriver hur Aarhus kommun ersatte Microsoft Azure med den tyska leverantören Hetzner för omkring 60 lösningar i en förvaltning, och en analys från Köpenhamns kommun av omkring 150 kritiska system som redovisades för kommunfullmäktige i december 2025 [28].
• Nederländerna. I september 2026 publicerade den nederländska regeringens granskningsnämnd för IT (AcICT) vägledning om molnanvändning för offentliga organ. Den första rekommendationen är att noga väga strategiska beroenden, bland annat inlåsning och möjligheter till utträde [31].
• Schweiz. De kantonala dataskyddsmyndigheterna (privatim) antog en resolution i november 2025. Enligt den är det ”in most cases (such as M365)” (i de flesta fall, som M365) otillåtet att lägga ut särskilt känsliga eller lagstadgat hemliga personuppgifter till stora internationella SaaS-tjänster, om inte det offentliga organet självt krypterar uppgifterna och leverantören saknar åtkomst till nyckeln [32].
• Sverige. eSam, myndigheternas samverkansprogram för digitalisering, skrev i september 2025 att beslutet om adekvat skyddsnivå för USA gäller tills det återkallas eller ogiltigförklaras, men att det inte nödvändigtvis löser frågor om utländsk åtkomst enligt extraterritoriell lagstiftning [33].

9. Vad lärosäten och forskningsnätverk gör

Europeiska lärosäten går tre huvudvägar: de granskar de stora amerikanska sviterna på djupet, de bygger eller köper gemensamma europeiska alternativ genom sina nationella forsknings- och utbildningsnätverk (NREN), och i Nederländerna antar de en gemensam plan för hela sektorn för digital autonomi.

Nederländerna: från öppna brev till en sektorsplan

• Brev från personal. I mars 2025 skrev två professorer vid Universiteit Utrecht till universitetsstyrelsen att ”The fact that the data is stored on European servers offers no (legal) protection” (att uppgifterna lagras på europeiska servrar ger inget (rättsligt) skydd), med hänvisning till CLOUD Act [34]. Liknande brev följde vid Radboud Universiteit (mars 2025) [35] och Rijksuniversiteit Groningen (april 2025) [36]. I en tankeskrift från december 2025 skrev författarna från Utrecht att de stora leverantörerna ”are subject to American jurisdiction (in particular the Cloud Act)” (omfattas av amerikansk jurisdiktion, särskilt Cloud Act) [37].
• Sektorsplan. I maj 2026 meddelade Universiteiten van Nederland (UNL) att universiteten, staten och SURF ska samarbeta för att stärka den digitala autonomin, med hänvisning till risker för kunskapssäkerhet, integritet, kontinuitet och akademiska värden. En kommitté ska föreslå gemensamma upphandlingsvillkor, alternativ och internationellt samarbete, med början i en grundläggande riskbedömning [38]. TU Eindhovens nyhetssajt rapporterade att universiteten och statssekreteraren undertecknade en avsiktsförklaring i juni 2026 [39].
• SURF. SURF:s strategi för molntjänster (2024) har datasuveränitet som ett av nio teman och anger att kontrollen över uppgifterna aldrig överlåts till leverantören [40]. I november 2025 meddelade SURF att organisationen skulle erbjuda Nextcloud till alla medlemsinstitutioner från januari 2026 och konstaterade att ”our independence and public values are coming under increasing pressure” (vårt oberoende och våra offentliga värden utsätts för ökande tryck) [41]. SURF:s konsekvensbedömningar av Microsoft 365 Copilot är ett exempel på hur en sektorsorganisation kan bedöma en leverantör för mångas räkning [21].
• Realistiska tidsplaner. Omkring 75 forskare från fem nederländska universitet hade testat Nextcloud sedan början av 2025, rapporterade Utrechts universitetstidning [42]. IT-direktören vid Universiteit Twente sa till universitetets tidning att universitetet inte klarar detta på egen hand och beskrev ett projekt för en suverän arbetsplats med Linux och LibreOffice [43].

Norden

• Sverige. Sunet Drive är en tjänst för lagring och fildelning byggd på Nextcloud och Sunets privata S3-lagring, placerad på svenska servrar. Sunet skriver att organisationen ”har full kontroll över allt lagrat data” [44]. Stockholms universitet erbjuder tjänsten till forskare [45].
• Finland. CSC, det finländska IT-centret för vetenskap, driver tjänster för känsliga uppgifter, bland annat ePouta, som beskrivs som ”a secure cloud computing environment designed to process sensitive data” (en säker molnmiljö utformad för att behandla känsliga uppgifter) [46].
• Norge. NREC, som drivs av universiteten i Bergen och Oslo tillsammans med nationella partner, tillhandahåller infrastruktur som tjänst från datacenter i Bergen och Oslo för högskolesektorn [47].

Tyskland, Schweiz och Frankrike

• sciebo (Nordrhein-Westfalen). När tjänsten lanserades 2015 uppgav Universität Münster att de deltagande universiteten driver sciebo själva, med behandling av uppgifterna i Münster, Bonn och Duisburg-Essen [48]. Den nuvarande webbplatsen kallar den ”a non-commercial cloud storage by universities for universities” (en icke-kommersiell molnlagring av universitet för universitet) [49].
• bwSync&Share (Baden-Württemberg). Drivs av Karlsruher Institut für Technologie sedan den 1 januari 2014 på Nextcloud och är öppen för lärosäten i delstaten och, via DFN-Cloud, för andra DFN-medlemmar [50].
• Schweiz. Switch Drive drivs i Switchs datacenter i Schweiz. Switch anger att ”All IT resources and usage data are located in Switch data centres” (alla IT-resurser och användningsdata finns i Switchs datacenter) [51].
• Frankrike. RENATER presenterar sina samarbetstjänster som ett alternativ till kostnadsfria onlinetjänster, med ett åtagande att ”garantir le stockage de vos données en France” (garantera att era uppgifter lagras i Frankrike) [52].

Europeisk upphandling: GÉANT OCRE

GÉANT:s ramavtal Open Clouds for Research Environments (OCRE) gör det möjligt för de nationella nätverken att erbjuda kommersiella molntjänster till sina medlemmar på förhandlade villkor. Luxemburgs nätverk Restena rapporterade att ramavtalet OCRE 2024 trädde i kraft den 3 februari 2025 och omfattar IaaS, PaaS och SaaS, och att sju plattformar, en blandning av amerikanska och europeiska leverantörer, finns tillgängliga i Luxemburg [53]. Fråga ert nationella nätverk (i Sverige Sunet) vilka leverantörer som finns tillgängliga i ert land.

Validemics analys I alla länder lämnar lärosätena inte de amerikanska sviterna över en natt. De klassar uppgifterna, håller de mest känsliga forskningsdata i nätverkens eller nationella tjänster, bygger gemensamma alternativ för fildelning och använder sektorsorganisationer för att förhandla och granska. Se vår guide om lagring av forskningsdata i molnet (på engelska) och faktabladet om Nextcloud.

10. Så bedömer ni risken

En bedömning av CLOUD Act och suveränitet passar in i den vanliga GDPR-processen. Kombinera överföringsbedömningen för uppgifter som lämnar EES med en bredare bedömning av beroenden som omfattar utländsk rättslig åtkomst, kontinuitet och utträde. Gör den per tjänst och per typ av uppgifter, inte en gång för ”molnet”.

1. Kartlägg tjänsten. Avtalspart, driftande bolag, lagrings- och behandlingsplatser, underbiträden och supportplatser. Använd underbiträdeslistan, inte marknadsföringssidor.
2. Klassa uppgifterna. Använd lärosätets informationsklassning och flagga känsliga personuppgifter, uppgifter som omfattas av sekretess, exportkontrollerad forskning och uppgifter som omfattas av partners sekretessvillkor.
3. Identifiera överföringar och överföringsmekanism. Fjärråtkomst från länder utanför EES räknas som överföring [17]. För amerikanska mottagare, kontrollera posten på DPF-listan. Använd annars standardavtalsklausuler med en överföringsbedömning. Vårt verktyg för överföringsmekanismer och vår mall för överföringsbedömning täcker det här steget.
4. Bedöm utländsk rättslig åtkomst separat. Fråga om operatören omfattas av amerikansk (eller annan icke-europeisk) jurisdiktion, om den kan komma åt innehåll i klartext och vad den åtar sig att göra när den får en begäran: underrätta er, bestrida den, bara lämna ut det minsta möjliga och publicera transparensuppgifter (jämför klausul 15 i standardavtalsklausulerna) [12].
5. Bedöm de tekniska kontrollerna. Vem har nycklarna? Finns kryptering på klientsidan eller totalsträckskryptering för de uppgifter som behöver det? Vilka funktioner slutar fungera när den används?
6. Bedöm beroende och kontinuitet. Vad skulle hända om tjänsten blev otillgänglig, mycket dyrare eller rättsligt oanvändbar för vissa uppgifter? Hur lång tid skulle en flytt ta?
7. Besluta och dokumentera. Dokumentera den kvarstående risken, villkoren för användning (till exempel ”inga känsliga personuppgifter”) och vem som accepterade den. Uppdatera konsekvensbedömningen vid behov, se vår mall för konsekvensbedömning.
8. Bevaka. Håll utkik efter ändringar av lagringsplatser, underbiträden, standardinställningar och amerikansk lag (Section 702, överklagandet i C-703/25 P, kommissionens översyn av DPF). Exemplet med flex routing hos SURF visar att standardinställningar kan ändras.

Om en sektorsorganisation redan har bedömt tjänsten (till exempel SURF:s konsekvensbedömningar), utgå från den och kontrollera att er konfiguration motsvarar dess antaganden. För processen i stort, se leverantörsgranskning för lärosäten och vår NIS2-guide (båda på engelska).

11. Beslutstabell: driftmiljö efter typ av uppgifter

Tabellen nedan är Validemics analys, inte ett rättsligt krav. Den visar ett vanligt mönster som stämmer med ståndpunkterna i källorna ovan. Er nationella rätt, era forskningsavtal och lärosätets informationsklassning går före.

AI-funktioner kräver extra uppmärksamhet, eftersom de ofta tillför nya behandlingsplatser och underbiträden. Vår guide om AI-tjänster vid nordiska lärosäten (på engelska) visar hur vissa lärosäten driver AI själva av det skälet.

12. Utträdesstrategier

En utträdesstrategi är en dokumenterad och testad plan för att flytta en tjänst och dess uppgifter till en annan leverantör eller till egen drift inom en bestämd tid och budget. Det är den mest praktiska suveränitetsåtgärden, eftersom den begränsar skadan av framtida ändringar av lag, pris eller policy. Dataförordningen ger nu molnkunder bytesrättigheter som går att göra gällande.

Vad dataförordningen kräver

Kapitel VI i förordning (EU) 2023/2854 har tillämpats sedan den 12 september 2025 [13]. Leverantörer av databehandlingstjänster ska undanröja hinder för byte (art. 23), och avtalet ska bland annat innehålla följande (art. 25.2):

• en längsta uppsägningstid för att inleda bytet på högst två månader;
• en obligatorisk längsta övergångsperiod på 30 kalenderdagar, under vilken leverantören ska bistå, upprätthålla kontinuiteten och skydda uppgifterna;
• en skyldighet att stödja kundens utträdesstrategi;
• en uttömmande specifikation av de uppgifter och digitala tillgångar som kan flyttas;
• en period för att hämta ut uppgifterna på minst 30 kalenderdagar efter övergångsperioden;
• fullständig radering av exporterbara uppgifter efter uthämtningsperioden.

När det gäller avgifter fick leverantörer från och med den 11 januari 2024 bara ta ut reducerade bytesavgifter som inte överstiger de direkta kostnaderna. Från och med den 12 januari 2027 får de inte ta ut några bytesavgifter alls (art. 29). Art. 31 undantar vissa specialbyggda tjänster och testversioner från delar av reglerna. Se vår sida dataförordningen förklarad.

Att bygga planen

1. Inventering. Tjänster, datavolymer, integrationer (enkel inloggning, lärplattform, forskningssystem) och beroende användare.
2. Format. Välj hellre öppna format och kontrollera att exporter omfattar metadata, behörigheter och versionshistorik.
3. Identitet. Behåll identitetshanteringen under lärosätets eller federationens kontroll, så att ett leverantörsbyte inte innebär att alla användarkonton måste bytas.
4. Alternativ. Identifiera minst ett realistiskt alternativ per kritisk tjänst, ofta via ert nationella nätverk eller en nationell gemensam tjänst.
5. Test. Gör en partiell export och import varje år för en utvald enhet. En otestad utträdesplan är en förhoppning, inte en plan.
6. Budget och tid. Dokumentera den förväntade kostnaden och tiden för flytten. Den danska fallkatalogen visar att även en begränsad flytt (omkring 60 lösningar i en förvaltning i Aarhus) tog ungefär sex månader [28].

13. Avtalsvillkor att kräva vid upphandling

Avtalsvillkor kan inte ändra vilka lagar som gäller för en leverantör, men de kan ge lärosätet information, tid och valmöjligheter. Använd villkoren nedan i upphandlingar och vid förlängningar, anpassade till era nationella upphandlingsregler. Vårt verktyg för frågeformulär till leverantörer kan omvandla dem till frågor.

Där er sektorsorganisation förhandlar centralt (SURF, Sikt, Sunet, CSC, Jisc, DFN eller GÉANT genom OCRE), kontrollera vilka av villkoren som redan finns i ramavtalet innan ni förhandlar på egen hand. För själva villkoren enligt artikel 28 stämmer vår PUB-avtalskontroll av ett avtalsutkast punkt för punkt, och bevakningen av underbiträden kan hjälpa er att upptäcka ändringar efter undertecknandet.

14. Checklista

Källor

1. 18 U.S.C. § 2713, Required preservation and disclosure of communications and records, Legal Information Institute (hämtad 9 oktober 2026).
2. 18 U.S.C. § 2703, subsection (h), comity analysis, Legal Information Institute (hämtad 9 oktober 2026).
3. US Department of Justice: CLOUD Act Resources (hämtad 9 oktober 2026).
4. Förordning (EU) 2016/679 (dataskyddsförordningen), artiklarna 28, 32, 44 och 48 (hämtad 9 oktober 2026).
5. EU-domstolens dom av den 16 juli 2020, Facebook Ireland och Schrems, C-311/18, punkterna 184, 197 och 201, läst via EU:s publikationsbyrå (hämtad 9 oktober 2026).
6. Associated Press: A key U.S. government surveillance program is set to expire. A look at what that means, 12 juni 2026 (hämtad 9 oktober 2026).
7. Brennan Center for Justice: Section 702 of FISA, 2026 resource page, uppdaterad 17 september 2026 (hämtad 9 oktober 2026).
8. EU-domstolen, pressmeddelande nr 106/25 om mål T-553/23, som beskriver EO 14086 av den 7 oktober 2022 och DPRC (hämtad 9 oktober 2026).
9. Kommissionens genomförandebeslut (EU) 2023/1795 (ramverket för dataskydd mellan EU och USA), skälen 96–97, läst via EU:s publikationsbyrå (hämtad 9 oktober 2026).
10. GDPR artikel 48, Överföring eller utlämnande som inte är tillåtet enligt unionsrätten (hämtad 9 oktober 2026).
11. EDPB-EDPS Joint Response to the LIBE Committee on the impact of the US Cloud Act, bilaga daterad 10 juli 2019 (hämtad 9 oktober 2026).
12. Kommissionens genomförandebeslut (EU) 2021/914 (standardavtalsklausuler), klausul 15 (hämtad 9 oktober 2026).
13. Förordning (EU) 2023/2854 (dataförordningen), artiklarna 23, 25, 29, 31, 32 och 50, läst via EU:s publikationsbyrå (hämtad 9 oktober 2026).
14. Tribunalen, Latombe mot kommissionen, T-553/23, pressmeddelande av den 3 september 2025 (hämtad 9 oktober 2026).
15. Överklagande ingett den 31 oktober 2025 av Philippe Latombe, mål C-703/25 P, EUT C/2025/6610 (hämtad 9 oktober 2026).
16. EDPB Letter to the European Commission on US Supreme Court judgment Trump v. Slaughter, 31 juli 2026 (hämtad 9 oktober 2026).
17. EDPB:s rekommendationer 01/2020 om kompletterande åtgärder, version 2.0, punkt 13 och användningsfall 6 (hämtad 9 oktober 2026).
18. Microsoft Learn: What is the EU Data Boundary? (hämtad 9 oktober 2026).
19. Microsoft: Microsoft announces new European digital commitments, Brad Smith, 30 april 2025 (hämtad 9 oktober 2026).
20. Microsoft: Announcing comprehensive sovereign solutions empowering European organizations, 16 juni 2025 (hämtad 9 oktober 2026).
21. SURF: Privacy risks Microsoft 365 Copilot remain 'orange' despite improvements, 27 maj 2026 (hämtad 9 oktober 2026).
22. AWS: AWS Launches AWS European Sovereign Cloud and Announces Expansion Across Europe, 15 januari 2026 (hämtad 9 oktober 2026).
23. Google Cloud: Sovereign Cloud (hämtad 9 oktober 2026).
24. Europeiska kommissionen: EU Cybersecurity Certification Framework, senast uppdaterad 9 september 2026 (hämtad 9 oktober 2026).
25. ANSSI: SecNumCloud pour les fournisseurs de services cloud (hämtad 9 oktober 2026).
26. CNIL: Enseignement supérieur, les règles et bonnes pratiques pour utiliser des outils collaboratifs en ligne, 24 augusti 2026 (hämtad 9 oktober 2026).
27. Assemblée nationale, skriftlig fråga nr 971 och ministerns svar, svaret publicerat 15 november 2022 (hämtad 9 oktober 2026).
28. Digitaliseringsstyrelsen: Digital suverænitet, casekatalog (utarbetad av PA Consulting), januari 2026, fall 3, 11 och 13 (hämtad 9 oktober 2026).
29. openDesk (ZenDiS) (hämtad 9 oktober 2026).
30. Digitaliseringsstyrelsen: Digital suverænitet (hämtad 9 oktober 2026).
31. Digitale Overheid: Cloud, bland annat AcICT:s vägledning om molnanvändning, 8 september 2026 (hämtad 9 oktober 2026).
32. privatim: resolution om internationella molnlösningar och pressmeddelande, 24 november 2025 (hämtad 9 oktober 2026).
33. eSam: Uppdatering kring adekvansbeslutet i en turbulent tid, 26 september 2025 (hämtad 9 oktober 2026).
34. Universiteit Utrecht: Open letter to the Executive Board calling for a transformation to digital autonomy, 25 mars 2025 (hämtad 9 oktober 2026).
35. Personal vid Radboud Universiteit: Open letter on dependence on Big Tech, 10 mars 2025 (hämtad 9 oktober 2026).
36. Rijksuniversiteit Groningen: Open letter to the Executive Board to end dependence on Big Tech, 10 april 2025 (hämtad 9 oktober 2026).
37. Universiteit Utrecht, IOS Think Paper 7: Towards a collective digital autonomy for Dutch universities, december 2025 (hämtad 9 oktober 2026).
38. Universiteiten van Nederland: Universiteiten lanceren plan om digitaal autonomer te worden, 6 maj 2026 (hämtad 9 oktober 2026).
39. Cursor (TU Eindhoven): Universities and government join forces on digital autonomy, 26 juni 2026 (hämtad 9 oktober 2026).
40. SURF: Cloud sourcing strategie, 2024 (hämtad 9 oktober 2026).
41. SURF: Education and research move forward with Nextcloud, 24 november 2025 (hämtad 9 oktober 2026).
42. DUB (Universiteit Utrecht): Can Dutch universities do without Microsoft?, 24 november 2025 (hämtad 9 oktober 2026).
43. U-Today (Universiteit Twente): Breaking free from big tech? UT can't do it alone, 9 december 2025 (hämtad 9 oktober 2026).
44. Sunet: Sunet Drive (hämtad 9 oktober 2026).
45. Stockholms universitet: Sunet Drive (Nextcloud), uppdaterad 24 november 2025 (hämtad 9 oktober 2026).
46. CSC: Sensitive data services (hämtad 9 oktober 2026).
47. NREC: Norwegian Research and Education Cloud (hämtad 9 oktober 2026).
48. Universität Münster: pressmeddelande om lanseringen av sciebo, 28 januari 2015 (hämtad 9 oktober 2026).
49. hochschulcloud.nrw: sciebo (hämtad 9 oktober 2026).
50. Karlsruher Institut für Technologie: bwSync&Share (hämtad 9 oktober 2026).
51. Switch: Switch Drive (hämtad 9 oktober 2026).
52. RENATER: Services (hämtad 9 oktober 2026).
53. Restena: Cloud suppliers and opportunities for 2025-2029 (GÉANT OCRE 2024), 14 februari 2025 (hämtad 9 oktober 2026).

Om den här sidan

Källorna kontrollerades den 9 oktober 2026. Vi har läst rättstexterna (United States Code via Legal Information Institute, EU-rättsakterna i de versioner av Europeiska unionens officiella tidning som publiceras av EU:s publikationsbyrå), domstolshandlingar, sidor från EDPB, kommissionen och nationella myndigheter, leverantörernas sidor och de sidor från lärosäten och forskningsnätverk som anges ovan. EU-rättsakter citeras i den officiella svenska lydelsen. Övriga citat återges på originalspråket med en svensk översättning inom parentes. Beskrivningarna av leverantörerna är leverantörernas egna, och vi har inte testat tjänsterna. Där vi ger vår egen tolkning är den märkt som Validemics analys. Sidan är allmän information, inte juridisk rådgivning. Amerikansk övervakningslagstiftning, överklagandet om dataskyddsramverket och EU:s certifieringsordning för molntjänster kan alla ändras, och vi uppdaterar sidan när det sker. Om du hittar ett fel eller en inaktuell uppgift, kontakta oss så rättar vi det.