De vigtigste fakta kort fortalt

• US CLOUD Act (Clarifying Lawful Overseas Use of Data Act) er en amerikansk føderal lov fra 2018, som gør det muligt for amerikanske myndigheder at anmode om data fra amerikanske cloud-udbydere – uanset hvor de er lagret.
  
• Det anses for at være en strategisk risiko og en potentiel overtrædelse af GDPR, da det fratager EU-borgere og virksomheder effektiv retsbeskyttelse.
  
• Følsomme dokumenter som juridisk gyldige kontrakter og personlige identitetsbeviser er særligt udsatte, da de repræsenterer værdifulde forretnings- eller personlige aktiver.
  
• Det sikre strategiske svar for virksomheder er konsekvent at vælge europæiske platforme og datalagringssteder, der udelukkende er underlagt EU-lovgivning (GDPR, eIDAS).
  
• Som en 100 % europæisk platform tilbyder sproof den nødvendige digitale suverænitet og er derfor det risikofrie alternativ til din signaturhåndtering.

Problemets kerne: ekstraterritorial adgang

Europæiske virksomheder konfronteres i stigende grad med konflikter mellem amerikansk og EU-lovgivning i en digital verden. Den amerikanske CLOUD Act (Clarifying Lawful Overseas Use of Data Act), som trådte i kraft i 2018, står i centrum for dette dilemma.

Den giver de amerikanske retshåndhævende myndigheder mulighed for at anmode om data fra amerikanske cloud-udbydere – såsom Amazon, Microsoft eller Google. Det afgørende, strategisk relevante punkt er, at disse anmodninger er uafhængige af dataenes geografiske opbevaringssted. Om dine digitale kontrakter er placeret i Frankfurt, Dublin eller Amsterdam er irrelevant i forhold til CLOUD Act, så længe tjenesteudbyderen er en amerikansk virksomhed, hvilket skaber en juridisk gråzone, da amerikansk adgang potentielt er i konflikt med de strenge krav i den europæiske generelle databeskyttelsesforordning (GDPR).

CLOUD-loven og overtrædelsen af GDPR

Den strategiske risiko er klar: GDPR kræver, at personoplysninger kun må overføres til eller behandles i tredjelande, hvis der garanteres et tilstrækkeligt beskyttelsesniveau (art. 45 GDPR).

Men efter EF-Domstolens domme (f.eks. Schrems II) blev det fastslået, at amerikanske overvågningslove som CLOUD Act ikke giver tilstrækkelig beskyttelse af EU-data.

Aspekt	GDPR (EU-lovgivning)	US CLOUD Act (amerikansk lov)
Legitimering af adgang	Retskendelse i EU, stærk begrundelse	Amerikansk arrestordre eller indkaldelse, lavere forhindringer
Meddelelse	De berørte skal informeres	Udbyderen kan være underlagt tavshedspligt (ingen underretning)
Territorial rækkevidde	Begrænset til EU’s territorium	Ekstraterritorial, gælder over hele verden for amerikanske udbydere

I tilfælde af en digital signaturproces drejer det sig om meget følsomme data: Selve kontrakterne, men også identitetsbeviset og hele revisionssporet (signaturprotokollen).

Digitale kontrakter og den underliggende identitetsbekræftelse er din virksomheds mest kritiske dataaktiver. Her kan man ikke gå på kompromis med suveræniteten.

Vejen til risikominimering: intern handling

Løsningen for europæiske virksomheder er ikke bare at være opmærksomme på CLOUD Act, men at handle:

1. Identificer kritiske arbejdsbyrder: Evaluer, hvilke data (kontrakter, HR-filer, IP-dokumenter) der har et stort behov for beskyttelse.
   
2. Vælg en suveræn europæisk infrastruktur: Stol på europæiske, eIDAS-kompatible signatur- og hostingløsninger til disse kritiske områder.
   
3. Sikker adgang og identitetsstyring: Sørg for, at både adgang og verifikation af digital identitet for signaturrelevante data forbliver under europæisk kontrol – for eksempel gennem tillidstjenester, der er reguleret i Europa (eIDAS-kompatibel).

Digital suverænitet: sproof som et europæisk svar

Konflikten omkring CLOUD Act understreger behovet for Europas digitale suverænitet. Virksomheder skal handle proaktivt for at gøre deres datainfrastruktur immun over for tredjelandes adgangsrettigheder.

sproof blev udviklet som en europæisk platform med netop dette strategiske fokus. Vores perspektiv er kompromisløst:

1. Eksklusiv EU-lovgivning: sproof-løsninger, herunder sproof Sign, sproof Ident, sproof Widget, sproof Fastlane, sproof eID Hub, sproof Validate er 100% udviklet i Europa og hostet på europæiske servere. De er udelukkende underlagt GDPR og eIDAS.
   
2. Ingen CLOUD Act-risiko: Da sproof ikke er en amerikansk virksomhed og ikke har nogen amerikanske datterselskaber, kan amerikanske myndigheder ikke gennemtvinge adgang via CLOUD Act.
   
3. eIDAS-certificering: Vores tjenester opfylder de højeste europæiske tillidsstandarder, især for den kvalificerede elektroniske signatur (QES).

Dette valg er ikke kun et spørgsmål om overholdelse af lovgivningen, men en strategisk konkurrencefordel, der signalerer maksimal tillid til dine kunder og partnere.

Beskyt dine mest kritiske data. Vælg digital suverænitet. Start din migration nu til en 100 % europæisk signaturplatform, der garanterer din compliance-sikkerhed →.