Vems villkor gäller för er information?

Under det senaste året har en fråga börjat komma upp allt oftare i våra kundsamtal. Inte som en teknisk detalj i slutet av mötet, utan tidigt: var ligger egentligen vår information, och vad händer om leverantören ändrar sig?

Frågan i sig är inte ny för oss. Vi har arbetat med öppen källkod och egen drift i över tjugo år. Det nya är att det nu är kunderna som ställer den.

Vad är digital suveränitet?

Begreppet låter större än det är. Det betyder att ni själva bestämmer över er information, och i praktiken handlar det om tre frågor.

Var finns er information? Inte i vilket program, utan på vilka servrar, i vilket land, hos vilket företag.

Vem kommer åt den, utöver er själva? Leverantören, deras underleverantörer, och i förlängningen de myndigheter som har insyn enligt lagstiftningen där företaget hör hemma.

Kan ni ta den med er? Kommer ni loss om priset dubblas, villkoren ändras eller tjänsten läggs ner? Och hur lång tid tar det i så fall?

Det är lätt att blanda ihop med säkerhet och GDPR, men det är något annat. Säkerhet handlar om att skydda informationen. GDPR handlar om hur personuppgifter får hanteras. Suveränitet handlar om vem som bestämmer över den. En tjänst kan vara både säker och GDPR-förenlig och ändå vara något ni inte kan lämna.

Varför frågan kommer nu

I maj 2026 beslutade regeringen om en ny nationell molnpolicy (öppnas i nytt fönster) för offentlig förvaltning. Den slår fast att offentliga aktörer behöver bedöma riskerna med att vara beroende av enskilda leverantörer, och pekar särskilt på tre saker: öppna standarder, tydliga avtal och utträdesplaner. Förmågan att snabbt kunna byta lösning vid en geopolitisk händelse eller en cyberkris lyfts också fram.

Policyn säger inte exakt vad var och en ska göra. Den säger att man måste ta ställning, och att man ska kunna flytta sin data till en annan leverantör eller hantera den i egen regi om det behövs.

Policyn gäller myndigheter, kommuner och regioner. Men frågan är relevant för betydligt fler, och för många av våra kunder var den aktuell långt innan policyn kom.

Det är ingen liten fråga när Amazon, Microsoft och Google står för omkring 70 procent (öppnas i nytt fönster) av den europeiska molnmarknaden. Det gäller även den som aldrig skrivit avtal med något av dem: många av de tjänster som används för utskick, analys och formulär körs på deras servrar.

AI gör frågan större. Allt fler verktyg bygger in AI-funktioner, och då skickas informationen ofta vidare till en annan leverantör för att bearbetas. Den som köper ett verktyg för nyhetsbrev eller ett publiceringssystem kan alltså få ytterligare en leverantör på köpet, med egna servrar och egna villkor, utan att någonsin ha valt den.

Det handlar sällan om ett enskilt verktyg

När frågan väl ställs visar det sig ofta att den berör flera delar av infrastrukturen samtidigt. Fyra lager återkommer.

Det lager som väger tyngst är innehållet och plattformen, och det är också det som lättast glöms bort. Analys och utskick byter man på några veckor. Att byta plattform är ett projekt. Kostnaden sitter sällan i texterna, som nästan alltid går att exportera, utan i strukturen: hur innehållet hänger ihop, vad som är kopplat till vad, och det ni lagt till för att det ska gå att publicera. Det är den delen som ofta får byggas om från början hos nästa leverantör.

När det gäller webbanalysen är frågan vem som samlar in uppgifter om era besökare, och var de hamnar. Det finns alternativ som körs i egen drift och ger samma uppföljning utan att insamlingen lämnar er kontroll.

Med nyhetsbrev och medlemsutskick laddar ni upp era kontakter hos en leverantör. Det är ofta den plats där flest personuppgifter ligger utanför den egna miljön.

Och så driften: var står servrarna, och vem äger företaget som driver dem? Att datan ligger inom EU är inte samma sak som att leverantören är europeisk. Ett amerikanskt bolag med servrar i Frankfurt omfattas fortfarande av amerikansk lagstiftning. För en organisation vars medlemmar och användare finns i Sverige är en svensk leverantör ofta det naturliga valet: servrarna står i landet, avtalet skrivs under svensk lag och supporten är på svenska.

När det blir konkret

För en del verksamheter får frågan direkta konsekvenser.

Ett medlemsregister hos en frivillig försvarsorganisation är i praktiken en förteckning över personer med utbildning inom totalförsvar och krisberedskap. Var den listan ligger och vilket lands lagar som kan ge åtkomst till den är därför inte bara en integritetsfråga utan också en säkerhetsfråga.

För ett fackförbund är själva medlemskapet en särskild kategori av personuppgifter enligt GDPR, med samma skyddsnivå som uppgifter om hälsa och politiska åsikter. Var de uppgifterna hanteras är ingen smaksak.

Vad man vinner och vad man tar ansvar för

Att flytta hem en tjänst betyder att köra den i er egen miljö, hos en driftleverantör ni själva valt, i stället för att hyra den färdig som molntjänst. Det handlar om mer än var datan ligger.

Kostnaderna blir mer förutsägbara. Många molntjänster tar betalt per kontakt eller användare, så priset växer med medlemsantalet. Med ett verktyg i egen drift betalar ni för servern och skötseln i stället, och den kostnaden ökar inte i samma takt när ni blir fler. Villkoren ändras inte heller över en natt.

Uppgifterna sprids mindre. När utskick och analys finns i er egen miljö behöver ni inte exportera medlemslistor till ännu en tjänst. Varje ställe där uppgifterna inte finns är ett ställe där de inte kan läcka.

Och ni har en väg ut. När verktyget bygger på öppen källkod och körs i en miljö ni valt kan ni byta driftleverantör utan att byta verktyg, och datan följer med. Det ersätter inte en plan för vad ni gör om förutsättningarna ändras, men det gör planen lättare att genomföra. Och det är just en sådan plan molnpolicyn efterfrågar, oavsett om tjänsten hyrs eller körs i egen drift.

Samtidigt flyttar ansvaret. Det som leverantören tidigare skötte behöver någon annan ta hand om. För utskick handlar det framför allt om att mejlen faktiskt kommer fram. För webbanalys handlar det om att den insamlade datan sköts rätt: vad som sparas, hur länge och vem som får se den. Och servrarna behöver uppdateras, skyddas och övervakas, oavsett vad som körs på dem.

Det är inget ni behöver kunna själva. Men någon behöver ta ansvar för det, och det är bra att veta innan ni börjar.

Ni behöver inte flytta allt, och inte på en gång. Börja där uppgifterna är som mest känsliga.

Det som inte går att flytta hem

Kortbetalningar kan ni inte driva själva. Det kräver tillstånd och avtal med aktörer som ingen enskild organisation ersätter. Detsamma gäller flera myndighetsintegrationer och tjänster som bygger på en infrastruktur det bara finns en av.

Poängen är inte att flytta hem allt. Poängen är att veta vad som ligger var, varför, och vad ni gör om en leverantör ändrar villkoren, höjer priset eller försvinner. En tjänst ni inte kan lämna är inget problem så länge ni valt den medvetet och vet vad beroendet innebär. Problemet uppstår när ingen vet att beroendet finns.

Fyra frågor ni kan ställa er själva

Börja inte med ett projekt. Börja med att ta reda på hur det ser ut:

1. Vilka tjänster använder ni, och var lagras datan? Listan blir ofta längre än ni tror. Gå igenom: innehållshantering, analys, utskick, inloggning och identitet, formulär, chatt, bokning, filer och bildbank, betalning, och de AI-tjänster som byggts in i något av ovanstående. Inloggningen är lätt att förbise. Ligger era användares identiteter hos en tredje part och den tjänsten slutar svara, kommer ingen in, oavsett hur väl allt annat fungerar.
2. Vilken data är känslig? Medlemsuppgifter, deltagarlistor, hälsouppgifter, och uppgifter som säger något om vad en person gör eller tillhör.
3. Vad skulle hända om en leverantör ändrade villkoren, höjde priset kraftigt eller stängde av er? Finns det en väg ut, och vet ni hur lång den är?
4. Vem äger innehållet och strukturen? Kan ni ta med er det, eller sitter det fast i leverantörens sätt att göra saker?

Har ni svar på de fyra har ni kommit längre än de flesta.

Vi hjälper gärna till att kartlägga

Vi går igenom var er information finns, vart den tar vägen, och vad det skulle innebära att flytta hem det som bör flyttas hem. Det är ett avgränsat uppdrag med en tydlig leverans: en karta ni känner igen er i, och ett underlag för att prioritera.

Självklart sköter vi även flytten och driften, så att ni inte behöver sköta det själva.

I nästa artikel visar vi hur analys, utskick och drift ser ut i praktiken hos några av våra kunder, och vad flytten faktiskt krävde.