EU:s e-bevislag: kan ditt webbhotell tvingas lämna ut dina uppgifter till en åklagare i ett annat EU-land?

Kan ett svenskt webbhotell tvingas lämna ut uppgifter om din sajt till en åklagare i till exempel Tyskland eller Rumänien? Från och med den 18 augusti 2026 är svaret ja, i vissa fall. Då börjar en ny svensk kompletteringslag tillämpas fullt ut, och den kopplar direkt till EU:s förordning om elektroniska bevis i brottmål. Förordningen ger en åklagare eller domstol i ett EU-land rätt att vända sig direkt till en tjänsteleverantör i ett annat EU-land, utan att först gå via den mottagande statens myndigheter. Det är en ny mekanism, och den berör i praktiken varje svenskt webbhotell som har kunder eller data som kan bli intressanta i en utredning någonstans i unionen.

Det är lätt att blanda ihop det här med en helt annan fråga som redan är väletablerad, nämligen amerikanska myndigheters räckvidd via CLOUD Act och FISA. Den frågan avgör om ett USA-ägt bolag kan tvingas lämna ut data oavsett var servern fysiskt står, och den har vi gått igenom i detalj i vår artikel om serverplacering och GDPR. Där landar slutsatsen att ett svenskt eller EU-ägt webbhotell ger ett reellt skydd mot amerikansk lagstiftning. E-bevisförordningen är något annat. Den reglerar vad som gäller mellan EU-länder, och där löser valet av svensk leverantör inte samma problem. Den nya lagen bygger tvärtom på att nationsgränser inom EU inte längre ska vara ett hinder för brottsutredningar.

Två helt olika frågor om vem som kan begära ut din data

Om du driver en sajt hos ett svenskt webbhotell finns det alltså två separata trådar att hålla isär. Den ena handlar om icke-europeisk lagstiftning och löses av vem som äger bolaget. Den andra handlar om samarbete inom EU och löses inte alls på samma sätt, den finns där oavsett vilket EU-land webbhotellet sitter i.

Var servern fysiskt står har mindre betydelse än många tror i det här sammanhanget, vi har skrivit mer om den missuppfattningen i vår karta över svenska webbhotells datacenter. Det som spelar roll är i vilket land leverantören är etablerad och vilken myndighet som därmed blir inblandad.

Det finns dock två konkreta undantag där den fysiska placeringen faktiskt spelar roll, även om de inte ändrar det principiella resonemanget ovan. För det första kan lokala myndigheter i det land där servern fysiskt befinner sig ha en praktisk väg till hårdvaran och den data som lagras på den, oavsett om bolaget som driver tjänsten är europeiskt. En europeisk leverantör med servrar på amerikansk mark kan alltså i praktiken råka ut för att amerikanska myndigheter når eller beslagtar data direkt på platsen, utan att gå via bolagets hemland. För det andra ökar risken för avlyssning i transit sannolikt om trafiken tvingas lämna Europa och passera internationella nät, en farhåga som Schrems II-domen och diskussionen kring FISA 702 kretsar kring. Var bolaget är etablerat avgör fortfarande vilken rättslig myndighet som formellt styr över begäran, men var servrarna fysiskt står har ändå betydelse för fysisk räckvidd och trafiksäkerhet.

De två typer av order en åklagare kan skicka

Förordningen, formellt (EU) 2023/1543, skapar två nya verktyg som en brottsbekämpande myndighet i ett EU-land kan använda mot en leverantör i ett annat. Båda kan skickas direkt, utan mellansteg.

Europeisk utlämnandeorder

En europeisk utlämnandeorder (European Production Order) innebär att en rättslig myndighet i ett EU-land begär att få ut konkreta uppgifter direkt från en tjänsteleverantör i ett annat EU-land. Leverantören ska svara inom 10 dagar i normalfallet. Om det gäller ett nödfall, till exempel överhängande fara för liv eller allvarlig skada, kortas fristen till 8 timmar.

Europeisk bevarandeorder

En europeisk bevarandeorder (European Preservation Order) är ett mindre ingripande verktyg. Den begär inte att leverantören lämnar ut något, bara att angivna uppgifter bevaras och inte raderas eller skrivs över, i väntan på att en fullständig utlämnandeorder eller en traditionell rättshjälpsbegäran ska hinna komma på plats. Bevarandeordern gäller i 60 dagar och kan förlängas med ytterligare 30 dagar.

Läs mer om själva regelverket i EU-kommissionens sammanfattning på EUR-Lex, eller i förordningens fulltext på svenska.

Det som faktiskt ändras är att ordern går direkt till leverantören

Innan förordningen fanns bara en väg för den här typen av begäran, den så kallade rättshjälpsvägen, MLA (mutual legal assistance). Kort sagt gick en begäran från åklagaren i land A till en central myndighet i land A, vidare till motsvarande myndighet i land B, och slutligen till leverantören i land B. Varje steg tog tid, ofta månader, och processen fungerade som ett slags kvalitetsfilter där mottagarlandets egna myndigheter alltid var inkopplade innan något lämnades ut.

Det som ändras nu är att det mellansteget försvinner för den här typen av ärenden. En åklagare i Rumänien kan skicka en europeisk utlämnandeorder direkt till ett svenskt webbhotell, utan att svenska myndigheter behöver godkänna begäran i förväg, förutsatt att kraven i förordningen är uppfyllda. Det gör processen betydligt snabbare för brottsbekämpningen. Samtidigt tar den bort ett mellanled som tidigare fungerade som en informell kontrollpunkt, och det är den förändringen som gör lagen relevant att känna till även för dig som inte är jurist.

Att leverantören faktiskt lever upp till sina skyldigheter är inget som lämnas åt frivillighet heller. Enligt förordningens artikel 15 kan medlemsstaterna sätta sanktioner på upp till 2 procent av leverantörens totala globala årsomsättning föregående räkenskapsår om skyldigheterna inte följs, en påminnelse om att det är webbhotellet, inte kunden, som bär ansvaret för att hantera ordern korrekt.

Inte all data behandlas lika

Förordningen gör skillnad på vilken sorts uppgift som begärs, och tröskeln skiljer sig kraftigt mellan kategorierna, en nyans som ofta försvinner i förenklade beskrivningar av lagen.

• Abonnentuppgifter (namn, adress, e-post, betalningsuppgifter kopplade till kontot) och IP-adresser som enbart syftar till att identifiera en användare har inga särskilda extra krav i förordningen. En sådan order verkställs i praktiken utan att en domstol i det mottagande landet behöver blanda sig i.
• Innehållsdata (mejl, filer, meddelanden, det som faktiskt ligger lagrat) och trafikuppgifter utöver ren identifiering kräver att en domstol eller en domare i det utfärdande landet utfärdar eller granskar ordern. Dessutom ska mottagarstaten, i det här fallet Sverige, underrättas om ordern. Den svenska verkställande myndigheten har därefter 96 timmar på sig att åberopa en vägransgrund om det finns skäl att invända.

Skillnaden är alltså inte hårklyveri. Att någon i ett annat EU-land vill veta vem som äger ett domännamn eller en e-postadress är en sak, det går fort och utan mycket motstånd. Att samma person vill komma åt innehållet i din inkorg eller trafikloggarna för din sajt är en annan sak, där finns en domare inblandad och Sverige får en möjlighet att reagera innan det verkställs.

Mer alarmistiska beskrivningar av lagen ramar ofta in det här fel: datan handlar i första hand om uppgifter tjänsteleverantören själv har om dig som kund, inte om att en åklagare på något generellt sätt kan beordra fram hela din egen kunddatabas eller alla dina besökares uppgifter. Vad som konkret omfattas avgörs av vad som efterfrågas i den specifika ordern och vilken koppling den har till en pågående brottsutredning.

Så implementeras lagen i Sverige, och vem som blir grindvakten

Den 18 augusti 2026 träder den svenska kompletteringslagen till förordningen i kraft. Bakom lagen ligger Prop. 2025/26:147, "Effektivare gränsöverskridande inhämtning av elektroniska bevis", som i sin tur bygger på SOU 2024:85 (E-bevisningsutredningen) och som riksdagen behandlat i betänkandet 2025/26:JuU33. Du hittar propositionen i sin helhet hos riksdagen.

Två svenska myndigheter får centrala roller. Åklagarmyndigheten blir den verkställande och sanktionerande myndigheten när order kommer in mot svenska leverantörer. För de känsligaste ordrarna, de som gäller innehållsdata och kräver domstolsprövning, är det Stockholms tingsrätt som godkänner. Det här är alltså genomgående en straffprocessuell fråga, inte en dataskyddsfråga. Datainspektionen, numera Integritetsskyddsmyndigheten (IMY), är inte inblandad i den här processen på samma sätt som i GDPR-ärenden. Har du redan gått igenom vår GDPR-checklista för hemsidan är det bra att hålla isär de två spåren, de löser olika problem och har olika tillsynsmyndigheter.

Ett datum som cirkulerat en del och skapat förvirring är 1 juli 2026. Det datumet hör till en annan, parallell lag som genomför EU-direktivet (EU) 2023/1544 om utseende av rättsliga ombud för insamling av bevis. Delar av den lagstiftningen trädde i kraft redan 1 juli, medan kapitel 3 följde den 19 augusti. Ser du det datumet nämnt någon annanstans är det alltså inte samma sak som den här artikeln handlar om, även om de två regelverken hänger ihop och infördes i närliggande tidsspann.

Vi går igenom mekaniken här utifrån offentliga källor som propositionen och förordningstexten, men det här är ingen juridisk rådgivning. Har du en konkret situation där ditt företag berörs, kontakta en jurist med inriktning mot straffprocessrätt.

Vem behöver egentligen oroa sig?

Det kan låta som att vilken åklagare som helst i vilket EU-land som helst plötsligt kan komma åt vad som helst. Så ser det inte ut i praktiken. En order måste vara kopplad till en konkret brottsutredning i det utfärdande landet, och den ska uppfylla de trösklar för misstanke och proportionalitet som gäller enligt landets egen straffprocessrätt innan den ens kan skickas iväg. Det är inte ett sätt att kringgå beviströsklar, det är ett sätt att korta ner tiden det tar att verkställa en begäran som ändå hade blivit godkänd, bara långsammare, under den gamla ordningen.

För ett laglydigt svenskt småföretag som driver en vanlig sajt är risken att någonsin bli föremål för en sådan order försumbar. Att förstå mekanismen handlar om att se vad som faktiskt ändras i maskineriet bakom kulisserna, snarare än att oroa sig i onödan. Allt en sajt rör vid, databasen, mejlen, filerna, loggarna, kundregistret, ligger samlat hos webbhotellet. Därför spelar det roll vem som juridiskt kan tvinga fram en utlämning och under vilka förutsättningar, även om sannolikheten att det någonsin berör just din verksamhet är mycket liten. Det är samma logik som gäller för NIS2 och cybersäkerhetslagen, EU bygger löpande ut regelverket kring vem som ansvarar för vad i leverantörskedjan, utan att det nödvändigtvis förändrar vardagen för de allra flesta kunder.

Två olika sorters underrättelse, och ingen av dem är ett hemligt beslag som standard

En sista missuppfattning som är värd att räta ut handlar om hemlighetsmakeri. Det finns faktiskt två separata underrättelser i det här systemet, och de blandas ofta ihop.

Den första är underrättelsen mellan staterna. Vid order som rör innehållsdata eller trafikuppgifter ska mottagarstaten, alltså Sverige, informeras om ordern så att svenska myndigheter har möjlighet att åberopa en vägransgrund inom de 96 timmarna som nämndes ovan. Det här är en process mellan myndigheter som du som kund inte märker av direkt.

Den andra är underrättelsen till dig som person, den vars uppgifter faktiskt hämtats ut. Enligt brottsdatadirektivet (EU) 2016/680 gäller som utgångspunkt att den registrerade ska informeras "utan onödigt dröjsmål". Det är alltså inte, som standard, ett hemligt beslag där du aldrig får veta något. Men direktivet öppnar samtidigt för att informationen kan skjutas upp om ett omedelbart avslöjande skulle riskera att försvåra den pågående utredningen. I praktiken betyder det att underrättelsen till dig kan komma senare än själva utlämningen, ibland betydligt senare, utan att det för den sakens skull är tänkt att bli permanent hemligt.

Håll isär de två. Den ena underrättelsen handlar om att Sverige som stat får en chans att invända. Den andra handlar om din egen rätt att i efterhand få veta att dina uppgifter har begärts ut, en rätt som finns kvar men som kan skjutas på framtiden.

E-bevisförordningen är ett tecken på hur EU gradvis suddar ut de praktiska gränserna mellan medlemsländerna i brottsbekämpningen, samtidigt som skillnaden mellan olika sorters data och olika sorters skydd blir mer teknisk och mer detaljerad. Vill du se hur det här hänger ihop med var din leverantör faktiskt lagrar sin data, finns en bra utgångspunkt bland de svenska webbhotellen vi jämför, där etablering och ägarskap är minst lika relevant som serverns fysiska placering.