GDPR i praktiken: mer än bara cookie-banners

Dataskyddsförordningen (GDPR, EU 2016/679) ger varje person rättigheter över sina personuppgifter: rätt till information, tillgång, rättelse, radering och dataportabilitet. Men för många organisationer är efterlevnaden fortfarande lappverk. Temat kommer att gå igenom grunderna: registerföring över personuppgiftsbehandling, skillnaden mellan personuppgiftsansvarig och personuppgiftsbiträde, när en konsekvensbedömning krävs och vad den dataskyddsansvarige egentligen gör.

Kärnpunkten: GDPR är inte en börda — det är en infrastruktur för rådighet. Den som vet var sin data finns och vem som använder den har redan kommit halvvägs mot digital rådighet. Lagstöd: GDPR, svensk dataskyddslag (2018:218). Myndighet: Integritetsskyddsmyndigheten (IMY).

NIS2 och cybersäkerhetslagen — cybersäkerhet blir chefsfråga

Den 15 januari 2026 trädde cybersäkerhetslagen (2025:1506) i kraft — Sveriges implementering av NIS2-direktivet (EU 2022/2555). Tusentals svenska verksamheter omfattas nu av krav på säkerhetsåtgärder, incidenthantering och rapportering: upplysning om betydande incidenter senast inom 24 timmar, incidentanmälan senast inom 72 timmar, och — nytt — uttryckligt ledningsansvar med krav på ledningsutbildning.

Temat kommer att gå igenom vem som omfattas (väsentliga respektive viktiga verksamhetsutövare), vilka kraven är och hur man bygger ett säkerhetsarbete som håller över tid. Rådighetsvinkeln: den som inte kan skydda sin egen verksamhet kan heller inte göra anspråk på att kontrollera den. Lagstöd: cybersäkerhetslagen (2025:1506), cybersäkerhetsförordningen (2025:1507) och MCFFS-föreskrifterna från Myndigheten för civilt försvar — sedan 1 juli 2026 ligger föreskriftsrätten hos FRA. Se NCSC för vägledning.

NIS2 står inte ensamt. CER-direktivet (EU 2022/2557) kräver fysisk och organisatorisk motståndskraft hos kritiska verksamheter, cyberresiliensförordningen (CRA, EU 2024/2847) flyttar ansvaret till tillverkarna av de produkter vi köper, och DORA (EU 2022/2554) gäller före NIS2 för finanssektorn. Från januari 2027 gör dessutom maskinförordningen (EU 2023/1230) cybersäkerhet till ett krav på uppkopplade maskiner. Läs mer under Lagar & regelverk.

Var bor din data? Molnet efter Schrems II

EU-domstolens Schrems II-dom (2020) ogiltigförklarade Privacy Shield och skärpte kraven på överföring av personuppgifter till länder utanför EU — särskilt USA, där massövervakningslagar som FISA 702 står i konflikt med EU:s grundläggande rättigheter. EU-US Data Privacy Framework ger i dag en grund för vissa överföringar. Tribunalen lät det stå kvar i september 2025, men domen är överklagad till EU-domstolen — den långsiktiga hållbarheten är fortsatt osäker.

Temat kommer att undersöka frågan: vem har rådighet över data som lagras hos utländska molnjättar? Vi tittar på svenska myndigheters prövningar, på europeiska initiativ som Gaia-X och EUCS, och på praktiska alternativ: europeiska molnleverantörer, on-prem och hybrida lösningar. För offentlig sektor är även eSams vägledningar om molntjänster och OSL (lagen om offentlighet och sekretess) centrala.

Framåt blir EU:s förslag till Cloud and AI Development Act (CADA, COM(2026) 502) centralt. Det ska bygga ut europeisk datacenterkapacitet och införa ett gemensamt ramverk för att bedöma hur suveräna moln- och AI-tjänster är, när offentlig sektor väljer leverantör. Se Lagar & regelverk.

AI-förordningen och rådigheten över besluten

EU:s AI-förordning (EU 2024/1689) är världens första heltäckande AI-lagstiftning. Den klassar AI-system efter risk — från förbjudna tillämpningar (t.ex. social poängsättning) till högrisksystem med stränga krav på transparens, mänsklig kontroll och datakvalitet. Kraven på högrisksystem har genom Digital Omnibus (EU 2026/1744) skjutits upp till december 2027.

Rådighetsfrågan är central: om beslut om dig fattas av algoritmer måste du kunna förstå, ifrågasätta och överklaga dem. Temat kommer att bryta ner förordningens krav och vad de betyder för svenska arbetsgivare, myndigheter och privatpersoner.

DSA och DMA — reglera plattformar, återfå rådighet

Lagen om digitala tjänster (DSA, EU 2022/2065) ställer krav på innehållsmoderering, transparens och användarskydd hos plattformar. Lagen om digitala marknader (DMA, EU 2022/1925) riktar sig mot "gatekeepers" — de allra största plattformarna — med krav på interoperabilitet och konkurrens.

Tillsammans är de EU:s svar på koncentrationen av digital makt. Temat kommer att förklara skillnaden mellan förordningarna, vad de innebär för svenska användare och företag, och varför de är ett led i Europas strävan efter digital rådighet.

Öppen källkod som rådighetsstrategi

Öppen källkod och öppna standarder är kanske det mest praktiska verktyget för digital rådighet: källkoden kan granskas, systemet kan flyttas, och ingen enskild leverantör kan låsa in dig. Flera svenska myndigheter och kommuner arbetar redan aktivt med öppen programvara, och nätverket NOSAD samlar programvara som används i offentlig sektor i katalogen offentligkod.se.

Temat kommer att titta på när öppen källkod är rätt val, hur man hanterar säkerhet och support, och på europeiska exempel som Schleswig-Holsteins övergång till öppna verktyg i förvaltningen.

Sedan juni 2026 har frågan också stöd på EU-nivå. EU:s strategi för öppen källkod ska hjälpa offentlig sektor att ställa krav på öppen källkod i upphandlingar, och förslaget till Cloud and AI Development Act inför en princip om öppen källkod först för moln- och AI-programvara i förvaltningen. Se Lagar & regelverk.

Europeiska alternativ till Microsoft 365

E-post, dokument, kalender, filer och videomöten är i dag i hög grad samlade hos en enda amerikansk leverantör, i många svenska myndigheter, kommuner och företag. Det är ett av de tydligaste exemplen på bristande digital rådighet: leverantören styr villkor, priser och var data lagras. Dessutom omfattas den av amerikansk lagstiftning som CLOUD Act och FISA 702, oavsett var servrarna står.

Alternativen finns och används redan i offentlig förvaltning i Europa. Tyskland har tagit fram openDesk, en samlad arbetsplats byggd på öppen källkod, och Frankrike har La Suite numérique för statsförvaltningen. Bland byggstenarna finns Nextcloud för filer och samarbete, LibreOffice och Collabora Online för dokument, Open-Xchange och Thunderbird för e-post samt Jitsi och Matrix för möten och chatt. Schleswig-Holstein och det danska digitaliseringsministeriet har påbörjat övergången från Microsofts kontorsprogram.

Temat kommer att jämföra alternativen och gå igenom drift i egen regi kontra hos europeisk leverantör. Det tar också upp migrering, hur man hanterar beroenden till Teams och Excel-makron, och hur offentlig sektor kan ställa krav på öppna format och möjlighet att byta leverantör i upphandlingar. Det stöds av dataförordningen, interoperabilitetsförordningen (EU 2024/903), den kommande CADA och EU:s strategi för öppen källkod.