Suveränitet
Ett europeiskt och ett amerikanskt moln skiljer sig först åt genom bolaget som kontrollerar tjänsten, sedan genom den lag som gäller för det bolaget och först därefter genom i vilket land servrarna står. Två identiska serverhallar i Frankfurt kan omfattas av två olika rättsordningar.
Man jämför ofta kartor över datacenter: Paris, Dublin, Frankfurt. Det är enkelt, och det besvarar en sekundär fråga. För att veta vem som kan tvingas lämna ut dina data måste man se på bolaget som innehar dem och på den lag det lyder under. Den användbara jämförelsen ställer två rättsliga positioner mot varandra, inte två länder, och den utser ingen vinnare: rätt val beror på företagets användningsområden. Begreppet suveränitet förklaras i vad är ett suveränt moln, och bedömningsmallen för inköp i definition, kriterier och begränsningar. Den här sidan jämför.
Microsoft och Google är bolag som lyder under amerikansk rätt. Deras europeiska avtal, dotterbolag och datacenter inom unionen ändrar inte det faktumet. När en amerikansk myndighet vänder sig till dem enligt amerikansk rätt blir frågan: har bolaget innehav av eller kontroll över data, även när diskarna står i Europa?
CLOUD Act, en amerikansk lag från 2018, ger svaret för leverantörer som lyder under amerikansk jurisdiktion: ett giltigt föreläggande kan avse data som innehas av leverantören, oavsett var de lagras. Det är ingen permanent åtkomst. Det är ett förfarande. Den praktiska poängen för köparen ligger på annat håll: att disken står i Europa tar inte bort den amerikanska leverantören från detta förfarande.
Dessa bolag erbjuder verkliga lösningar för datalokalisering. Microsoft beskriver en europeisk datagräns (EU Data Boundary) för berättigade tjänster: kunddata och pseudonymiserade personuppgifter lagras och behandlas inom EU eller EFTA, data från professionella tjänster lagras i vila, med dokumenterade undantag (fjärråtkomst från supporten, vissa eskaleringar, valfria funktioner, Multi-Geo-kunder utanför omfånget). Google erbjuder dataregioner för omfattat innehåll, beroende på utgåva, och en kontroll av supportens åtkomst (Access Management) som är förbehållen vissa utgåvor och tillval. Dessa lösningar minskar dataflödena. De ändrar inte mjukvaruleverantörens nationalitet.
En amerikansk mjukvaruleverantör som betjänar europeiska kunder befinner sig mellan två rättsordningar. Amerikansk rätt kan ålägga den att lämna ut data som den kontrollerar. GDPR (dataskyddsförordningen) föreskriver i artikel 48 att ett avgörande från en domstol eller myndighet i ett tredjeland som kräver överföring eller utlämnande av personuppgifter endast kan erkännas eller verkställas om det grundar sig på en internationell överenskommelse, till exempel ett avtal om ömsesidig rättslig hjälp, som gäller mellan det landet och unionen eller medlemsstaten. Texten säger inte hur en mjukvaruleverantör förenar dessa två krav i ett enskilt fall: det är leverantörens sak att förklara sin praxis, och kundens sak att fråga efter den.
Amerikansk rätt erbjuder ett rättsmedel. Enligt 18 U.S.C. § 2703(h) kan leverantören begära att ett föreläggande upphävs eller ändras, inom 14 dagar från delgivningen, om den anser att kunden inte är en ”United States person”, inte är bosatt i USA och att utlämnandet skulle medföra en allvarlig risk att bryta mot lagen i en ”kvalificerad utländsk regering”. Det avser en stat som är bunden till USA genom ett verkställande avtal som har trätt i kraft. Det amerikanska justitiedepartementet publicerar avtal med Storbritannien (undertecknat den 3 oktober 2019) och Australien (undertecknat den 15 december 2021). Inget avtal gäller med Europeiska unionen; förhandlingarna mellan EU och USA om elektroniska bevis återupptogs 2023; departementets sida nämner inget avtal med Frankrike. Denna särskilda invändningsmekanism förutsätter dock ett sådant avtal.
Frågan har ställts offentligt i Frankrike. Den 10 juni 2025 tillfrågades chefen för offentliga och juridiska frågor på Microsoft France, inför senatens undersökningskommission om offentlig upphandling, om han under ed kunde garantera att franska medborgares data som anförtrotts Microsoft via Ugap aldrig skulle överlämnas, till följd av ett föreläggande från den amerikanska regeringen, utan uttryckligt medgivande från de franska myndigheterna. Han svarade: ”Nej, det kan jag inte garantera, men, återigen, det har aldrig hänt hittills.” Svaret innehåller debattens båda delar: en garanti som bolaget inte kan ge, och ett fall som enligt bolaget inte har inträffat.
Ett europeiskt moln, i begreppets användbara mening, drivs av ett bolag som lyder under europeisk rätt och som inte är beroende av en koncern som omfattas av en amerikansk skyldighet att lämna ut data. OVHcloud är ett franskt bolag. Nextcloud GmbH är ett tyskt bolag: det ger ut programvara som kunden eller en hostingleverantör driver. BlueMind är ett franskt bolag för e-posttjänster. Infomaniak är ett schweiziskt bolag: Schweiz ligger i Europa, utanför Europeiska unionen, och omfattas av ett beslut om adekvat skyddsnivå från kommissionen. Att klassa det som ”amerikanskt” vore fel. Att klassa det som ”Europeiska unionen” vore också fel.
Europeisk rätt är ingen enhetlig sköld. En fransk operatör lyder under fransk rätt, en tysk operatör under tysk rätt. Begäranden från myndigheter förekommer. De går via domstolen och reglerna i operatörens land.
Den europeiska karaktären kan också gå förlorad genom underleverantörer: en europeisk driftsleverantör som lämnar säkerhetskopiering, filtrering eller support till en amerikansk leverantör återinför det som köparen ville undvika. Sidan skydda ett företag mot CLOUD Act beskriver detta i detalj.
| Fråga | Moln från amerikansk mjukvaruleverantör, data i Europa | Moln som drivs av ett europeiskt bolag |
|---|---|---|
| Var står diskarna? | Ofta valbart, i en EU-region, med skriftliga undantag | Enligt avtalet: Frankrike, Tyskland, annat EU-land eller hos kunden |
| Vem kan i USA föreläggas att lämna ut de data den kontrollerar? | Den amerikanska mjukvaruleverantören, om den har innehav eller kontroll | I princip inte den europeiska driftsleverantören, utom om den är beroende av en koncern eller ett underbiträde som kan det |
| Vilken domstol vid en lokal begäran? | Avtalets lagval, ofta kompletterat av mjukvaruleverantörens amerikanska rätt | Lagen i driftsleverantörens land |
| Avancerade kontorsfunktioner | Mycket omfattande (Office, Excel, Teams, eller Docs och Googles sökfunktion) | Varierar mellan produkter. Sällan likvärdiga för avancerad Excel, Power BI eller Teams-ekosystemet |
| Utträde med data | Verkliga exportverktyg, chatt- och automatiseringshistorik ofta ofullständig | Bedöms erbjudande för erbjudande. E-postexport (IMAP) är i regel enklast |
Ingen kolumn vinner överallt: den amerikanska mjukvaruleverantören vinner på funktionsbredd, den europeiska driftsleverantören på rättslig position. Att besluta är att veta vilken rad som väger tyngst för ditt företag.
Även med data lagrade i Europa innebär en tjänst från en amerikansk mjukvaruleverantör överföringar (supportåtkomst, eskaleringar, valfria funktioner), som måste vila på en grund enligt GDPR.
Den tidigare ramen, Privacy Shield (beslut 2016/1250), ogiltigförklarades av Europeiska unionens domstol den 16 juli 2020 (mål C-311/18, kallat Schrems II), bland annat på grund av omfattningen av de amerikanska övervakningsprogrammen och avsaknaden av effektiva rättsmedel. Standardavtalsklausulerna är fortfarande giltiga, men kräver en bedömning från fall till fall.
Per den 5 oktober 2026 kan överföringar till certifierade amerikanska organisationer stödja sig på beslutet om adekvat skyddsnivå (EU) 2023/1795, kallat Data Privacy Framework. Det är i kraft. Det är ifrågasatt, vilket advokatbyråerna DAC Beachcroft och WilmerHale påpekar. Enligt den senare avslog Europeiska unionens tribunal den 3 september 2025 en talan om ogiltigförklaring, och ett överklagande lämnades in till domstolen den 31 oktober 2025. Ett försiktigt företag dokumenterar denna grund i sitt register och planerar för vad det ska göra om den faller.
Det förblir relevant när verksamheten bygger på avancerad Excel, Power BI, Office-tillägg, Teams som branschstandard eller dussintals integrationer som redan är i produktion. Att byta verktyg av rättsliga skäl och sedan förlora den användning som håller företaget igång är en dålig kalkyl. Sidan Microsoft 365 jämfört med en suverän lösning beskriver denna tröskel i detalj.
Det förblir också relevant när den rättsliga analysen av överföringen, personuppgiftsbiträdesavtalet (DPA) och alternativen för datalokalisering svarar mot registrets verkliga behov. Många europeiska företag använder Microsoft 365 eller Google Workspace inom denna ram. Att säga det hör till en ärlig jämförelse. De kontroller som behöver göras beskrivs i GDPR och Microsoft 365 och GDPR och Google Workspace.
Den blir relevant när ledningen vill att bolaget som innehar e-posten och filerna ska vara ett europeiskt bolag, att supporten ska kunna nås inom den ramen och att användningen ryms inom e-posttjänst, filer och redigering av dem online, videokonferens, ett CRM-system och telefoni. Den blir också relevant vid en installation hos kunden, när företaget inte vill ha något moln alls.
De två alternativen utesluter inte varandra. Ett företag kan behålla ett amerikanskt kontorspaket för de arbetsplatser som är beroende av det och anförtro resten åt en europeisk driftsleverantör. Upplägget kräver mer administration; det är motiverat när användningsområdena är tydligt åtskilda.
Guiden Europeiska alternativ till Microsoft 365 går igenom Microsoft 365, Google Workspace, OVHcloud, Nextcloud, Infomaniak, andra aktörer och Klytic, med användningsfallet för var och en.
Hypotetiskt fall. Ett litet eller medelstort industriföretag har två anläggningar. Konstruktionsavdelningen arbetar i avancerad Excel och kommunicerar med sina uppdragsgivare via Teams. Verkstaden, inköp och administrationen använder främst e-posttjänsten och delade mappar, där ritningar finns.
En uppdragsgivare begär att dess ritningar ska innehas av ett europeiskt bolag. För konstruktionsavdelningen skulle ett byte från avancerad Excel och Teams störa arbetet med kunderna: det amerikanska kontorspaketet är fortsatt motiverat, med en dokumenterad analys av överföringen. För ritningarna och de övriga avdelningarnas e-post tillgodoser en europeisk driftsleverantör begäran utan förlorad funktionalitet. Beslutet följer tabellens rader, inte en princip.
Nej. CLOUD Act avser data som en leverantör som omfattas av amerikansk lag innehar eller kontrollerar, oavsett var de lagras. Den europeiska regionen minskar överföringarna. Den ändrar inte vilket bolag som innehar data.
Ja, om den är beroende av en koncern som omfattas av den lagen eller om den anförtror data åt ett underbiträde som gör det. Därför behöver man granska moderbolaget och förteckningen över underbiträden, inte bara driftsleverantörens namn.
Det ger en grund för överföringar till certifierade amerikanska organisationer enligt GDPR. Det är i kraft och ifrågasatt. Det ändrar varken mjukvaruleverantörens nationalitet eller räckvidden för det föreläggande som amerikansk rätt föreskriver.
Klytic hör hemma i tabellens andra kolumn. Klytic drivs av Dedicace Software, ett franskt bolag. Drift är möjlig i alla geografiska områden som motsvarar den tillämpliga jurisdiktionen, förutsatt att de tjänster som krävs finns tillgängliga, till exempel i Europa eller på Mauritius, eller på kundens egna servrar.
E-posttjänsten bygger på Zimbra, som ges ut av Synacor i USA och drivs av Klytic. Dokumenten bygger på en dedikerad Nextcloud-instans per kund. Klytic är inte SecNumCloud-kvalificerat och ersätter varken avancerad Excel, Power BI eller Teams. Tjänsterna köps separat: ett företag kan behålla Microsoft 365 och bara lägga till filtreringen Klytic MTA, placerad framför dess e-posttjänst. Detaljerna om driften finns på sidan drift och suveränitet.
Den här sidan beskriver en allmän ram. Den ersätter inte en analys av ditt avtal.
Rättsläget den 5 oktober 2026. Den här texten ersätter inte en analys av ett avtal. Beslutet om adekvat skyddsnivå EU–USA (EU) 2023/1795 gäller. Det är ifrågasatt. För SecNumCloud är ANSSI:s katalog avgörande.
Hämtade i oktober 2026.
E-post, dokument, videomöten, CRM och telefoni, driftade i det område som motsvarar din jurisdiktion, till exempel i Europa eller på Mauritius, eller hos dig.
Välkomsterbjudande
Provperiod utan förpliktelser. En rådgivare ringer upp dig för att förstå dina behov och förbereda din Klytic-miljö.
