Därför hör ditt GIS hemma i Europa – och helst i Sverige

Vilken är organisationens känsligaste datamängd? De flesta svarar personalsystemet eller kundregistret. Den som jobbar med GIS brukar svara något annat. I kartorna finns uppgifter om var vattenledningarna går, hur elnätet hänger ihop, i vilka byggnader socialtjänsten sitter och var varje skola, pumpstation och serverhall ligger. Ett kommunalt GIS är i praktiken en detaljerad beskrivning av hur ett helt samhälle fungerar och försörjs – och ledningsägare, planerare och myndigheter sitter på samma sorts material för sin egen infrastruktur.

Det är bakgrunden till en fråga som allt fler europeiska organisationer ställer sina leverantörer: var ligger vår data egentligen, och vilket lands lagar gäller för den?

Vad EU:s regelverk faktiskt säger#

Den juridiska grunden är GDPR: persondata får bara lämna EU/EES med stöd av särskilda skyddsmekanismer, och det senaste decenniet har visat hur sköra de mekanismerna kan vara. Safe Harbor-avtalet ogiltigförklarades av EU-domstolen 2015. Efterträdaren Privacy Shield föll i Schrems II-domen 2020. Dagens ramverk, EU–US Data Privacy Framework, gäller än så länge, men det vilar på samma politiska grund som föregångarna och har redan ifrågasatts i domstol. Många offentliga organisationer är inte längre beredda att bygga tio år av plattformsval på en överenskommelse med den historiken.

Det djupare problemet är att frågan inte bara handlar om var servrarna står. Den amerikanska CLOUD Act ger amerikanska myndigheter rätt att begära ut data från leverantörer med säte i USA, oavsett i vilket land datan lagras. Ett amerikanskt molnbolags datacenter i Stockholm ligger alltså, juridiskt sett, fortfarande inom räckhåll för amerikansk lag. Det är just det här europeiska domstolar och tillsynsmyndigheter återkommer till: var servrarna står avgör inte vilka lagar som gäller.

Samtidigt skärps kraven på den europeiska sidan. NIS2-direktivet höjer ribban för säkerhetsarbete och incidenthantering i samhällsviktig verksamhet och offentlig förvaltning, och gör organisationer ansvariga för hela sin leverantörskedja – molnleverantörer inräknade. ”Vi utgick från att leverantören hade koll” duger inte längre som svar.

Det geopolitiska läget#

Länge var frågan om var data lagras en ruta att bocka av i upphandlingen. De senaste åren har gjort den till en strategisk fråga. Handelskonflikter, sanktioner och snabbt skiftande allianser har påmint om att tillgången till digital infrastruktur kan användas som påtryckningsmedel, och att ett beroende som känns teoretiskt i dag kan bli högst konkret i morgon. Runt om i Europa ser regeringar och offentliga verksamheter nu över hur mycket av sina kritiska verktyg som körs på infrastruktur under en annan jurisdiktion. Digital suveränitet har gått från konferensämne till upphandlingskrav.

GIS hamnar högt på den risklistan, just på grund av vad datan beskriver. Att stå utan sin kartplattform i ett krisläge är illa nog. Ännu värre är om detaljerad infrastrukturdata blir åtkomlig under ett annat lands lagstiftning.

Vad som gäller i Sverige#

Svenska offentliga organisationer har dessutom egna skyldigheter utöver EU-reglerna. Offentlighets- och sekretesslagen begränsar hur sekretessreglerade uppgifter får hanteras när it-driften läggs ut, och säkerhetsskyddslagen gäller när datan rör verksamhet av betydelse för Sveriges säkerhet – dit detaljerad kartläggning av infrastruktur mycket väl kan räknas. Myndigheter som vägleder offentlig sektor har i flera år varnat för just den här sortens molnupplägg, och många kommuner har landat i att den säkraste tolkningen också är den enklaste: känslig data ska ligga hos leverantörer som bara lyder under svensk och europeisk lag.

Så har vi löst det i OrbGIS#

Datasuveränitet är inget vi har lagt till i efterhand – OrbGIS byggdes så här från första dagen.

• Allt driftas i Sverige. Hela plattformen – applikation, databaser, kartservrar och fillagring – körs på svensk molninfrastruktur. Din data lämnar aldrig landet.
• Ett svenskt bolag under europeisk lag. OrbGIS är helägt svenskt. Det finns inget utländskt moderbolag som ett annat lands myndigheter kan gå via för att nå datan.
• Inga molnjättar i kedjan. Vi är inte beroende av amerikanska molnleverantörer i något led – varken för servrar, lagring eller leverans.
• Även AI-funktionerna stannar i Europa. AI-stödet i OrbGIS körs på svensk, EU-baserad infrastruktur i stället för på API-anrop som skickar ditt innehåll över Atlanten.
• Människor du kan fråga. En säkerhetsgranskning väcker alltid frågor. Hos oss besvaras de av dem som bygger och driftar plattformen, inte av en supportkö.

I vardagen märker våra användare sällan av det här – det betyder bara att upphandlingen går smidigt och att den som är säkerhetsansvarig kan sova gott om natten. Och det är precis så det ska vara.

Funderar ni på var er geodata ska ligga? Hör gärna av dig – eller testa OrbGIS gratis och se själv hur det fungerar.