EU vill skrota skyddet mot stora techbolag

EU-kommissionen har presenterat sitt förslag "Digital Omnibus", en omfattande reform som civilsamhället och dataskyddsförespråkare kallar ett massivt angrepp mot grundläggande GDPR-principer. Trots starkt motstånd från Europaparlamentet och de flesta medlemsstater driver kommissionen igenom förändringar som i praktiken sänker dataskyddsnivåerna till förmån för stora amerikanska techbolag. För svenska CTO:er och CISO:er signalerar detta en potentiell skiftning där efterlevnad handlar mindre om att skydda individer och mer om att navigera nya luckor designade för storindustrin.

Förslaget förändrar fundamentalt hur "personuppgifter" definieras genom att införa ett subjektivt tillvägagångssätt istället för ett objektivt. Enligt gällande regler skyddas data kopplad till en identifierbar person; det nya utkastet antyder dock att om ett företag hävdar att de inte har för avsikt att identifiera en användare, så kan GDPR inte tillämpas. Detta skapar ett juridiskt gråområde där giltigheten av dataskyddslagen beror på ett företags interna inställning, vilket gör tillsynen nästan omöjlig. Dessutom öppnar planen explicit dörren för att använda stora mängder personuppgifter från sociala medier-profiler för att träna AI-modeller, baserat på en opt-out-mekanism som förespråkare menar är praktiskt taget oarbetbar för användare.

För svenska organisationer är riskerna omedelbara och konkreta. De föreslagna förändringarna kan skapa betydande luckor i efterlevnaden där företag antar att de är undantagna från GDPR-krav endast för att de klassificerar data som "pseudonymiserad" eller hävdar bristande avsikt att identifiera användare. Denna oklarhet inbjuder till juridisk osäkerhet och ökar risken för böter om regeringsmyndigheter senare bestämmer sig för att den subjektiva definitionen inte håller i domstol. Dessutom kan en begränsning av användares rättigheter till strikt "dataskyddsändamål" exponera arbetsgivare och plattformar för rättsprocesser när de avslår ansökningar om åtkomst kopplade till arbetsrättsliga tvister eller kreditprövningar, vilket potentiellt strider mot etablerad praxis från EU-domstolen.

Denna regulatoriska drift understryker en kritisk strategisk prioritet för svenska ledare inom tekniken: behovet av att behandla känslig data lokalt inom EU eller Sverige så ofta som möjligt. Genom att förlita sig på externa API:n som opererar under dessa slappare standarder riskerar företag att deras data absorberas i oöverskådliga träningsdataset med få möjligheter till återvinning. Att upprätthålla strikt kontroll över datasuveränitet genom lokal behandling säkerställer att organisationer förblir föremål för de robusta skydd som den nuvarande GDPR-ramen erbjuder, snarare än att dras in i ett regulatoriskt landskap designat för global skala på bekostnad av individuella rättigheter. Den säkraste vägen framåt är inte att vänta på juridisk klarläggning kring dessa nya luckor, utan att arkitera system där data aldrig lämnar en tillförlitlig jurisdiktion.