GDPR

Ryktet om GDPR:s död är överdrivet

9 juni 2025 av Henrik Alexandersson

EU-kommissionen förenklar GDPR för att minska byråkratin. Men i praktiken är det rätt lite som ändras.

EU:s dataskyddsförordning – GDPR – håller på att omarbetas som ett led i EU-kommissionens regelförenklingar för företag.

Här står olika värden mot varandra. Å ena sidan den enskildes makt över sina persondata. Å andra sidan har näringslivet klagat på att GDPR orsakar en omfattande och kostsam byråkrati.

Vad är det då som ändras?

Tröskeln för krav på att dokumentera databehandling av personuppgifter (registerkravet) höjs från företag (och andra) med minst 250 anställda till 750.
Det nuvarande undantaget från dokumentationsplikt vid tillfällig databehandling tas bort.
Istället skall endast databehandling som bedöms medföra hög risk för de registrerades rättigheter och friheter omfattas av registerkravet.
Behandling av personuppgifter som sker med stöd i lag undantas från registerkravet.

I praktiken innebär detta att endast en liten del av EU:s företag (<0,05%) kommer att omfattas av registerkravet.

Sådana register skall bland annat innehålla uppgifter om den personuppgiftsansvarige, ändamålet med behandlingen, kategorier av registrerade och mottagare.

Man kan dock fråga sig om den risk som föreligger främst har med företagens stolek att göra. Men det gällde även tidigare, med 250-gränsen (c:a 0,2% av EU:s företag).

Dock gäller fortfarande följande för alla (även småföretag, föreningar med flera):

Personuppgiftsbehandling måste ha rättslig grund (till exempel samtycke, avtal eller rättsliga krav), vara korrekt och transparent.
Ändamålet måste vara begränsat.
Man får inte samla in eller lagra mer uppgifter än nödvändigt.
Man måste respektera den enskildes integritet, uppgifterna skall vara konfidentiella och skyddade (till exempel krypterade).
Alla registrerade skall ha rätt till information om den databehandling som sker och kunna få tillgång till sina uppgifter.
Registrerade skall även kunna begära rättelse eller radering av insamlad data.
Allvarliga personuppgifts-incidenter skall anmälas till dataskyddsmyndigheten (i Sverige IMY) inom 72 timmar.

Sammantaget gäller alltså de flesta regler fortfarande. Det som ändras är att dokumentationsskyldigheten minskar – både i omfattning och i hur många företag (c:a -0,15%) den gäller.

I vilken mån detta kommer att bidra till kommissionens mål att minska regelbördan för europeiska företag med 25% kan diskuteras.

Nu går frågan över till EU:s ministerråd och Europaparlamentet. Speciellt parlamentet lär ha invändningar.

• IMY: EU-kommissionen vill införa nya lättnader i GDPR för små och medelstora företag »

CC0

EU ångrar GDPR och sin nya AI Act

9 april 2025 av Henrik Alexandersson

EU-kommissionen ångrar nu delar av GDPR och sin nya AI-lagstiftning: Satsar 20 miljarder euro på att kompensera med AI Gigafactories och nya datacenter.

När jag arbetade i Europaparlamentet brukade vi säga att först beslutar EU, sedan debatterar man saken och därefter tar man reda på fakta. It’s funny because it’s true.

Man kan också notera att dåliga EU-förslag nästan aldrig går i papperskorgen. Istället kompromissar man tills man kommer fram till något otympligt som alla kan bli missnöjda med. Mycket talar för att Chat Control 2 kommer att bli ett exempel på detta.

Med de bästa och vackraste ambitioner ger man sig in i projekt, skriver omfattande och detaljerad lagstiftning och hinner som regel ställa till problem ute i verkligheten och näringslivet innan man inser att man kanske gått för långt. Då backar man. När skadan redan är skedd.

EU:s dataskyddsförordning, GDPR, är ett exempel. Grundprincipen att människor skall ha makten över sin egen persondata är vacker och bra på så många sätt. Men lagstiftningen har lett till tunga regelbördor och kostsam byråkrati (10-20 miljarder euro/år enligt Accenture), i delar till liten eller ingen nytta i sak. Och till en väldig massa cookie-banners.

Så nu backar EU-kommissionen. Politico rapporterar:

»The European Commission plans to present a proposal to cut back the General Data Protection Regulation, or GDPR for short, in the next couple of weeks. Slashing regulation is a key focus for Commission President Ursula von der Leyen, as part of an attempt to make businesses in Europe more competitive with rivals in the United States, China and elsewhere.«

Jag såg på nära håll när GDPR förhandlades fram och kunde redan då säga att man skapade ett byråkratiskt monster – som ständigt växte under processens gång. Utan att nödvändigtvis tillföra mer substans i kärnfrågan, persondataskyddet.

(En paradox i sammanhanget är att EU med ena handen försökt stärka persondataskyddet i kommersiella sammanhang – och med andra handen ständigt försöker försvaga medborgarnas konventionsskyddade rätt till privatliv och privat korrespondens gentemot staten.)

Ett annat exempel är EU:s nya AI Act, som i delar också är ett exempel på överreglering, detaljstyrning och byråkrati. Även där inser man nu att man skapat något som kommer att skada europeisk AI-industri, i den mån någon sådan existerar. Politico rapporterar:

»The EU executive will launch a new ”AI Continent” plan on Wednesday. According to an undated draft of the plan obtained by POLITICO, the executive wants to ”streamline” rules and get rid of ”obstacles” that it feels are slowing companies in Europe down in competing with the U.S. and China.«

Vilket är så dags nu när man redan etablerat ett omfattande regelverk – som företagen tvingats anpassa sig till. Eller som drivit nyetableringar till andra delar av världen.

Så nu överkompenserar man. EU-kommissionen vill inte bara förenkla de regler som man ägnat sju år av sammanträden åt ta ta fram. Enligt uppgifter i media lovar ordförande von der Leyen att satsa 20 miljarder euro av skattebetalarnas pengar på fem nya »AI Gigafactories« och att tredubbla kapaciteten i EU:s datacenter till år 2032. Om elen räcker och om man kan säkra tillgången till halvledare.

Om detta är vad som krävs för att stimulera europeiskt kreativt, innovativt entreprenörskap på AI-området är oklart. Vi vill inte vara onödigt EU-kritiska på denna blogg – men vi måste ändå ställa frågan om EU:s beslutsfattare begriper vad de sysslar med.

En inte allt för vågad gissning är att även delar av EU:s nya Digital Services Act kan komma att revideras. Detta då den utestänger nya aktörer (som inte har en rejäl kassakista, bra advokater och en kår av compliance officers) från att etablera sig och på allvar ta upp konkurrensen med Meta, Google, X och ByteDance på den europeiska marknaden för sociala media.

Länkar:
• Europe’s GDPR privacy law is headed for red tape bonfire within ‘weeks’ »
• Europe prepares AI charm offensive as industry trembles from tariff shocks »

CC0

EU:s digitala järnridå

23 januari 2025 av Henrik Alexandersson

EU:s digitala isolationism hotar vår utveckling, vårt välstånd och vår yttrandefrihet.

Ett slags digital järnridå – byggd av byråkrati – håller på att sänka sig runt EU.

Till exempel finns AI-tjänster som är blockerade i EU, på grund av EU:s nya AI Act. Om Chat Control 2 blir verklighet kommer meddelandetjänster som Signal att lämna EU. Och EU:s Digital Services Act (DSA) skapar en massiv byråkrati som driver IT-entreprenörer till andra delar av världen. För att inte nämna konsekvenserna av dataskyddsförordningen GDPR.

EU har en AI Act, men inga egna AI-företag i frontlinjen.

EU reglerar sociala media, men har inga egna stora sociala medieplattformar.

EU har ett mycket långtgående persondataskydd – samtidigt som politiken rullar ut en allt mer allomfattande massövervakning av folket.

Det är ingen naturlag att det skall vara så här. Allt är konsekvenser av medvetet fattade politiska beslut.

Samtidigt byggs en konflikt upp om censur och innehållsgranskning mellan de stora sociala medieplattformarna och EU. Resultatet kan bli att dessa måste skapa någon form av »walled gardens« för användare i EU, där informationen begränsas. Eller ytterst att vissa av företagen lämnar EU och blockerar oss användare här. (Youtube har flera gånger flaggat för att det kan ske.)

Om nu inte EU försöker stoppa dem först… Vilket landar i den debatt om yttrandefrihet och DSA vi nu ser.

På samma sätt har EU:s dataskyddsförordning (GDPR) fått många utländska medier och siter att hellre blockera användare i EU än underkasta sig förordningens massiva, byråkratiska krav. (Det är tur att det finns VPN.)

En beräkning uppskattar den totala kostnaden för GDPR i EU till drygt 200 miljarder euro. Och ytterligare 100 miljarder euro för företag utanför EU.

Kostnaderna för DSA är ännu i stort sett okända.

Center for Data Innovation uppskattar att EU:s AI Act kommer att kosta den europeiska ekonomin 31 miljarder euro under de närmaste fem åren och förväntas minska AI-investeringarna med nästan 20 procent.

EU har blivit en del av världen där det är onödigt krångligt och dyrt att driva IT-företag.

Dessutom håller vi på att skärma av oss från ett fritt och öppet flöde av in formation från övriga världen. (Det är lite som när man diskuterade att förbjuda parabolantenner i Sverige.)

På så sätt hamnar EU på efterkälken – på många områden.

Om vi till exempel inte får tillgång till samma AI-verktyg som i andra länder, då kommer det att bromsa utvecklingen på många andra områden.

Om vi inte får fri tillgång till information, då försämras vår förmåga att fatta genomtänkta beslut.

Vilket i slutändan drabbar vår tillväxt, vår utveckling och vårt välstånd. Det behöver man inte vara raketforskare för att inse.

Alla regelverk ovan är skrivna med goda intentioner och går som sådana att argumentera för. Men det betyder inte att de är bra, nödvändiga eller lämpliga. I stort sett vad som helst kan motiveras på ett eller annat sätt.

Men man kan inte bara se till ett förslags intentioner utan bör även göra en realistisk bedömning av dess konsekvenser. Vilket politiker i allmänhet och EU-politiker i synnerhet är dåliga på.

För att citera Metas Mark Zuckerberg:

»Europe has an ever-increasing number of laws, institutionalizing censorship, and making it difficult to build anything innovative there.«

EU ägnar sig enkelt uttryckt åt digital isolationism. Den tveksamma ambitionen var att bli världsledande på IT-reglering. Resultatet blev att EU nu hamnat på efterkälken både vad gäller digitala plattformar och AI. Samt att yttrandefriheten hotas.

Kusligt nog sker detta i relativt stor politisk enighet. Kampen för ett fritt och öppet internet är därför viktigare nu än någonsin tidigare.

Bakgrund: Dragkampen om överföring av persondata mellan EU och USA

10 februari 2022 av Henrik Alexandersson

Facebooks hotar att lämna EU. Domstolar förklarar Google Analytics olagligt. Detta är konsekvensen av en dragkamp om överföring av persondata från EU till USA som pågått i årtionden.

EU-domstolen menar att sociala medias överföring av persondata från EU till USA strider mot dataskyddsförordningen (GDPR). Domstolar i Frankrike, Nederländerna och Österrike har förklarat Google Analytics olagligt. Och Meta / Facebook / Instagram har hotat att helt dra sig ur den europeiska marknaden om de inte får fortsätta överföra persondata till USA.

Även om dessa frågor är aktuella just nu är frågan långt ifrån ny. I EU har det pågått en dragkamp om dataöverföring till USA i årtionden.

Det började med det så kallade SWIFT-avtalet. Efter terrorangreppen 9-11 skärpte USA sin kamp mot terrorismen. Ett steg i detta var att analysera banktransaktioner i jakt på terror-finansiering. Detta gällde även europeiska banktransaktioner. Därför överfördes bankdata i bulk från EU till USA.

Formerna för detta var under all kritik. Dokumentationen var ibland så dålig att någon verklig granskning av metod och innehåll i princip blev omöjlig. Gång på gång krävde Europaparlamentet att detta skulle skärpas upp.

Den övergripande principfrågan var enkel: Europaparlamentet ville ha garantier för att europeisk persondata inte föll i händerna på den amerikanska säkerhetsbyråkratin.

Och gång på gång ingick EU-kommissionen avtal med USA som inte levde upp till denna princip. Av skäl man bara kan spekulera kring.

Sedan kom GDPR, som i princip kräver att data som överförs från EU till annat land skall åtnjuta samma persondataskydd som i EU. Vilket var början på senare års processer. Två gånger har EU-domstolen kommit fram till att den överföring som sker till USA (inom ramen för Safe Harbour respektive EU-US Privacy Shield) inte lever upp till dessa krav.

Ungefär samtidigt avslöjade NSA-wisselblåsaren Edward Snowden hur USA (och dess partners) dammsuger allt de kan snappa upp inom ramen för sin globala massövervakning. Vilket gjorde frågan än mer brännande.

Så vad kommer att ske nu?

En första möjlighet är att USA faktiskt ger med sig och lämnar garantier för att europeisk persondata som överförs inte sugs upp av NSA och Homeland Security. Detta vill USA inte göra.

Ett alternativ är att nätplattformarna sätter upp separat databehandling för EU, i EU. Vilket tydligen Google, TikTok och Microsoft överväger att göra. Bolagen är trots allt beroende av att analysera användardata för att kunna upprätthålla sin affärsmodell.

En tredje möjlighet är atombombs-alternativet, där de aktuella företagen stänger ner i EU. Vilket känns väldigt osannolikt.

Tills vidare hänger frågan i luften. Vilket inte är bra då det innebär stor osäkerhet för europeiska företag som är beroende av de olika plattformarna och deras analysverktyg.

EU vill göra Europols olagliga registrering av icke misstänkta laglig

28 januari 2022 av Henrik Alexandersson

Europol samlar på sig information om människor som inte är misstänkta för brott. Nu vill EU ändra reglerna för att göra denna olagliga verksamhet laglig – trots att den strider mot EU:s fördrag och förordningen om dataskydd.

I åratal har Europol samlat på sig mer data än vad lagen tillåter. Det handlar om personuppgifter där det inte kan påvisas att de registrerade personerna ägnar sig åt något olagligt eller har brottsligt samröre.

Nu har EU:s datatillsynsmyndighet EDPS beordrat Europol att radera denna information. Computer Sweden skriver:

»EDPS ger Europol ett år på sig att ta reda på vad som lagras på ett lagligt sätt, och de ska även radera nyligen insamlade uppgifter som inte kategoriserats inom sex månader.«

Europol anser sig dock inte ha gjort något fel. Och EU:s inrikeskommissionär Ylva Johansson säger till The Guardian:

»De brottsbekämpande myndigheterna behöver verktygen, resurserna och tiden för att analysera data som lagligen överförts till dem. (…) I Europa är Europol plattformen som stödjer de nationella polismyndigheterna i denna gigantiska uppgift.»

Slovenien ställde sig under sitt EU-ordförandeskap förra halvåret på Europols sida. Statewatch rapporterar:

»There has been ”significant progress” in negotiations on new powers for EU police agency Europol, according to a document circulated by the Slovenian Presidency of the Council in December. The police agency was recently ordered to delete vast amounts of personal data that it was processing illegally – but the new rules would allow those practices to continue. Member states may be hoping to approve the new rules before the agency has to implement the deletion order.«

EDRi noterar samma sak:

»The indiscriminate bulk data collection and algorithmic analyses of the “uncategorised” data by Europol violates EU data protection law, the EU Charter of Fundamental Rights and the Treaties. However, these activities not only continue in spite of the EDPS strong criticism – the EU institutions try to legalise them under the revised Europol Regulation.«

I sammanhanget är det värt att notera att det snart kommer en dom i EU-domstolen om PNR, det vill säga Passenger Name Record som handlar om att samla in persondata om alla flygresenärer. Detta kan komma att bli en signal om hur man får eller inte får samla in information. Om domstolen går på samma linje som när det gäller datalagringen lär domen bli att man inte får ägna sig åt urskiljningslös övervakning och datainsamling, speciellt inte utan misstanke om brott.

Det är dock inget det nuvarande franska EU-ordförandeskapet tänker vänta på. Åter till Statewatch:

»The French Presidency of the Council wants to enter secret ”trilogue” negotiations with the European Parliament and European Commission on new rules governing Europol, the EU policing agency, with a text including a ”workaround” to allow Europol to hold on to vast quantities of personal data that it is currently processing illegally.«
»The Presidency’s proposal seeks to allow agencies and states that illegally provided data to Europol to be able to give their consent for its ongoing processing under the new rules, which would legalise existing practices…«

EU tänker alltså göra olaglig övervakning och registrering – som strider mot EU:s fördrag och dataskyddsförordning – laglig genom hemliga förhandlingar.

EU-kommissionen och ministerrådet är redan ombord. Sedan får vi se vad som händer när Europaparlamentet skall behandla den nya regleringen för Europol.

Skulle de föreslagna förändringarna bli verklighet är det uppenbart att frågan kommer att gå vidare till EU-domstolen.

Länkar, i tidsordning:
• MEP Patrick Breyer (PP, DE): Stop Europol’s illegal bulk data collection! »
• Computer Sweden: Europol tvingas radera stora mängder personuppgifter »
• The Guardian: A data ‘black hole’: Europol ordered to delete vast store of personal data »
• EDPS Decision on the retention by Europol of datasets lacking Data Subject Categorisation (PDF) »
• Statewatch: EU: Europol: ”Significant progress” on legalising illegal data practices »
• EDRi: The EU’s own ‘Snowden Scandal’: Europol’s Data Mining »
• Statewatch: Europol: Council Presidency proposes workaround for illegal data processing »

Kommer krav på skydd av persondata att leda till ett balkaniserat internet?

5 augusti 2020 av Henrik Alexandersson

Som vi berättat i en tidigare bloggpost har EU-domstolen upphävt det så kallade EU-US Privacy Shield-avtalet, som reglerar överföring av persondata mellan EU och USA. Skälet är att domstolen anser att sådan data inte har tillräckligt starkt skydd mot amerikanska underrättlseorgan, som NSA.

Detta har utlöst en intensiv juridisk aktivitet hos många av de berörda företagen. Politico skriver:

»While it remains to be seen exactly how EU watchdogs will interpret the Privacy Shield ruling, a growing number of companies are not waiting to find out — and proactively taking the decision to keep their data in the bloc.« (…)

»A lawyer who represents large tech companies — and who asked to speak on condition of anonymity to discuss confidential matters — said they now advise some clients to consider compartmentalizing data in different regions.« (…)

»Calls for data localization — especially from privacy-conscious Germany — are not new, but this time could be different. Digital sovereignty has emerged as a top priority for Europe’s top policymakers, who have thrown their weight behind projects like Gaia-X, an initiative aimed at boosting the bloc’s ability to store data on the continent.«

Plötsligt tycks alla kort finnas på bordet. En möjlighet – som inte är speciellt trolig – är att USA ger utländska medborgare samma skydd mot massövervakning som amerikanska, eller ett USA inför en ny lagstiftning som ligger i linje med EU:s GDPR. En annan möjlighet är att dela upp data mellan EU och USA. Ett tredje alternativ är att endast överföra hårt krypterad persondata mellan EU och USA. Man skulle även teoretiskt kunna tänka sig att amerikanska nätjättar lagrar all sin information i Europa, även om inte heller det är troligt.

Oavsett vilket är risken att vi går mot en ökad balkanisering av internet – vilket i så fall strider mot hela principen om ett fritt, öppet och globalt nät. Det är också möjligt att vissa internationella företag och plattformar kan välja att sluta acceptera och serva kunder i EU. Vilket för övrigt är något Youtube redan överväger, efter att EU klubbat sitt nya upphovsrättsdirektiv.

Man kan även konstatera att företagsklimatet för nättjänster och -plattformar är sådant i EU att startups och riskkapital hellre söker sig till andra delar av världen. Vilket kommer att leda till att EU hamnar ännu mer på efterkälken. Trots de bästa intentioner håller vi på att reglera denna marknad till döds. Det är problematiskt, eftersom internet är ett centralt verktyg för mänsklighetens kollektiva utveckling.

Politico: The demise of Privacy Shield may be the end of US-Europe data transfers »

Europa hopplöst efter i plattformsekonomin

26 juni 2020 av Henrik Alexandersson

Gång på gång har EU fattat beslut om att bli ledande inom IT och digital ekonomi.

Det går som synes inte så bra. (Infographic från Dr. Holger Schmidt.)

Detta är kanske inte att förvånas över – då EU ständigt överreglerar och reglerar sönder marknaden.

Ta dataskyddsförordningen, GDPR, som exempel. Intentionen att användare skall ha makt över sin egen data är vällovlig. Men blev det så? För den vanlige användaren har denna lagstiftning inte märkts på annat sätt än att vi slentrianmässigt måste godkänna cookies oftare. Och för företagen har det inneburit påtagligt ökad administration och ökade kostnader. Då är det enklare för entreprenörer och riskkapitalister att söka sig utanför EU.

Eller EU:s nya upphovsrättslagstiftning. Regler som kräver uppladdningsfilter och idiotiska idéer som den så kallade länkskatten skrämmer företagen bort från Europa. Till exempel överväger Youtube om det överhuvudtaget går att verka inom EU när direktivet blir lag i medlemsstaterna. Vem vill starta något nytt i detta politiska klimat? Och även om nätjättarna – med alla sina resurser – klarar av att hantera kostsamma och komplicerade krav på till exempel uppladdningsfilter – så stängs dörren i ansiktet på alla små och nya aktörer. Därför kommer vi inte att få se nya nätplattformar, morgondagens nätjättar växa fram i Europa.

Exemplen är fler och nya krav på uppladdningsfilter och kontroll av innehåll är på väg i bland annat den nya förordningen om terror-relaterat innehåll online och med EU:s nya Digital Services Act.

EU håller helt enkelt på att hamna i digitalt bakvatten – som en direkt konsekvens av medvetet fattade politiska beslut.