IMY, GDPR och AI: vad tillsynen faktiskt tittar på

Det är lätt att läsa GDPR som en abstrakt textmassa och svårt att veta vad en svensk tillsynsmyndighet faktiskt reagerar på i praktiken. Integritetsskyddsmyndigheten, IMY, har de senaste åren fattat en rad beslut som säger mer om era risker än vad själva förordningstexten gör. Om ni läser dem sida vid sida framträder ett tydligt mönster: myndigheten återkommer gång på gång till två saker. Vart datan tar vägen, och om ni bedömde riskerna innan ni satte igång.

Den här genomgången handlar om vad IMY tittar på när moln och AI möter GDPR, och varför det mönstret spelar rakt in i frågan om var ni bör köra er AI.

Google Analytics: överföringen som inte gick att rädda med avtal

Den 3 juli 2023 avslutade IMY en granskning av fyra företag som använde Google Analytics. Granskningen inleddes efter klagomål från integritetsorganisationen noyb, och den handlade om samma fråga som legat olöst sedan Schrems II: kan personuppgifter om europeiska besökare skickas till ett amerikanskt bolag utan att amerikanska myndigheter kommer åt dem?

IMY:s svar var nej, inte i de granskade fallen. Företagen hade standardavtalsklausuler på plats och hade lagt till kompletterande skyddsåtgärder, precis som regelverket föreskriver. Myndigheten bedömde ändå att åtgärderna inte räckte för att hindra amerikansk åtkomst, och att överföringarna därmed var olagliga. Tele2 fick en sanktionsavgift på 12 miljoner kronor och CDON 300 000 kronor, medan övriga ålades att sluta använda verktyget. Ni kan läsa IMY:s egen sammanfattning av beslutet.

Lägg märke till vad som fällde avgörandet. Det var inte slarv med avtalen. Företagen gjorde det pappersarbete som förväntades, och det räckte ändå inte, eftersom den underliggande överföringen till ett tredjeland var problemet i sig. När själva dataflödet lämnar EU går det inte alltid att avtala sig ur risken.

Östersund: beslutet handlade om den uteblivna bedömningen

Ett halvår senare, den 30 november 2023, kom ett beslut med en annan poäng. Östersunds kommun fick en sanktionsavgift på 300 000 kronor för att ha infört Google Workspace i 24 skolor, för ungefär 6 000 elever, utan att först ha gjort en konsekvensbedömning avseende dataskydd. IMY:s beslut går att läsa i sin helhet på myndighetens webbplats.

Det är värt att vara noggrann här, eftersom beslutet ofta återberättas fel. Avgiften handlade inte uttryckligen om CLOUD Act eller om att data flöt till USA. Den handlade om att kommunen behandlade personuppgifter om barn, i stor skala, i ett system med kända risker, utan att ha gjort den bedömning som artikel 35 i GDPR kräver innan man sätter igång. Felet var alltså inte enbart var datan hamnade. Felet var att ingen på förhand hade satt sig ner och skrivit ner riskerna.

Känsliga uppgifter höjer ribban ytterligare

För vissa verksamheter är insatserna högre än så. Vård och omsorg behandlar hälsouppgifter, som enligt artikel 9 i GDPR är en särskild kategori av personuppgifter med starkare skydd. Sådan behandling är i vårdsammanhang laglig via artikel 9.2 h, men bara i kombination med det tystnadspliktsvillkor som ställs i artikel 9.3. Ovanpå detta ligger den svenska patientdatalagen (2008:355), som reglerar hur vårdgivare får hantera journaluppgifter.

Innebörden är enkel att sammanfatta. När ni behandlar hälsodata måste ni kunna visa både att behandlingen har rätt rättslig grund och att uppgifterna omfattas av tystnadsplikt hela vägen genom kedjan. IMY publicerar löpande vägledning för vårdgivare om just detta. Varje extra part i den kedjan, varje leverantör som teoretiskt kan nå uppgifterna, är en punkt ni måste kunna redogöra för. Ju fler händer datan passerar, desto längre blir listan över saker ni ska kunna försvara.

AI gör inte problemet mindre, snarare tvärtom

Det är frestande att tro att en AI-modell tvättar bort personuppgifterna. Man tränar en modell på data, och kvar blir vikter och siffror, inte namn och journaler. Så enkelt är det inte. I sitt yttrande 28/2024 från den 17 december 2024 slog Europeiska dataskyddsstyrelsen fast att en AI-modell som tränats på personuppgifter inte i samtliga fall kan anses vara anonym. Frågan måste bedömas från fall till fall. Yttrandet finns att läsa hos Europeiska dataskyddsstyrelsen.

För er del betyder det att en AI-satsning inte gör GDPR-frågan enklare. Den lägger till ett nytt led där personuppgifter kan finnas kvar, ofta på ett sätt som är svårt att granska i efterhand. Om den modellen dessutom körs som en molntjänst hos en leverantör i ett tredjeland, har ni på en gång återskapat exakt den situation som fällde företagen i Google Analytics-beslutet. Datan lämnar huset, och den gör det nu inbäddad i något ni inte fullt ut kan inspektera.

Varför egen hårdvara krymper exponeringen

Här knyts trådarna ihop. Det återkommande temat i IMY:s beslut är att data lämnar er till en tredje part, och att konsekvenserna inte bedömdes i tid. Bägge riskerna är knutna till att någon annan är inblandad i det känsliga flödet.

Om ni kör AI:n på egen hårdvara, i era egna lokaler, försvinner överföringen helt. Det finns inget tredjeland att avtala kring, ingen amerikansk myndighet som kan begära åtkomst till en server som aldrig rört en hyperskalig leverantör, och ingen extern part att redogöra för i journalkedjan. Konsekvensbedömningen blir samtidigt kortare, eftersom den svåraste delen, personuppgiftsbiträdet i ett tredjeland i det känsliga flödet, helt enkelt inte finns. Ni slipper inte konsekvensbedömningen, men ni slipper dess mest krävande kapitel.

Det är inte en magisk lösning på allt GDPR kräver. Ni har fortfarande rättslig grund, gallring, säkerhet och registrerades rättigheter att hantera, oavsett var maskinen står. Men de två frågor som IMY tydligast har visat att myndigheten straffar, den olagliga överföringen och den uteblivna bedömningen, blir båda betydligt lättare att svara på när datan aldrig lämnar er byggnad.

Det här är ingen juridisk rådgivning, och er dataskyddsjurist bör alltid göra den slutliga bedömningen för just er verksamhet. Men om ni läser IMY:s beslut som en vägvisare, snarare än som enskilda böter, pekar de ganska entydigt mot att den säkraste datan är den som aldrig behövde flytta.