GDPR och molnet: Vad gäller för svenska företag 2026?

Dataskyddsförordningen (GDPR) fortsätter att ställa höga krav på hur europeiska företag hanterar personuppgifter. Den eviga frågan är: Kan man använda amerikanska molntjänster eller måste man välja en helsvensk eller europeisk lösning?

Schrems II och EU-US Data Privacy Framework

Även om EU och USA har etablerat ramverket EU-US Data Privacy Framework kvarstår betydande juridiska frågetecken kring den amerikanska övervakningslagstiftningen (FISA 702 och US CLOUD Act). Dessa lagar tillåter amerikanska myndigheter att begära ut data från amerikanska molnjättar även om datan rent fysiskt är lagrad på servrar i Sverige eller Europa.

För myndigheter, vårdgivare, utbildningssektorn och företag som hanterar känsliga personuppgifter rekommenderas starkt fullständig europeisk datasuveränitet, till exempel genom lösningar som Nextcloud eller lokala svenska driftsleverantörer.

Checklista för molnefterlevnad

• Dataminimering: Lagra inte mer persondata än vad som är strikt nödvändigt för verksamheten.
• Personuppgiftsbiträdesavtal (DPA): Säkerställ att du har ett formellt DPA-avtal signerat med leverantören.
• Kryptering i vila och överföring: Säkerställ att TLS 1.3 och AES-256 används som standard med kunden kontrollerande nycklar.
• Revisionsspår: Logga vem som har läst, redigerat eller laddat ner känsliga handlingar.

Rätten att bli raderad och dataportabilitet

Enligt artikel 17 och 20 i GDPR har registrerade personer rätt att få sina personuppgifter raderade samt rätt att få ut dem i ett maskinläsbart format. När du väljer en molnplattform måste du kontrollera att systemet har funktioner för att söka fram och permanent radera data på begäran, även från backuparkiv inom rimlig tid.