Därför hör ditt GIS hemma i Europa — och helst i Sverige

Fråga någon vilken som är organisationens känsligaste datamängd och svaret blir ofta personalsystemet eller kundregistret. Fråga en GIS-specialist och du får ett annat svar. Dina kartor vet var vattenledningarna går, hur elnätet hänger ihop, vilka byggnader som rymmer socialtjänst, var varje skola, pumpstation och serverhall ligger. Ett kommunalt GIS är i praktiken en detaljerad driftmanual över ett helt samhälle — och ledningsägare, planerare och myndigheter sitter på samma sorts material för sin egen infrastruktur.

Det är bakgrunden till en fråga som allt fler europeiska organisationer ställer till sina leverantörer: var finns vår data egentligen — och vilka länders lagar gäller för den?

Vad EU:s regelverk faktiskt säger#

Den juridiska grunden är GDPR. Persondata får bara lämna EU/EES under särskilda skyddsmekanismer, och det senaste decenniet har visat hur sköra de mekanismerna kan vara. Safe Harbor-avtalet ogiltigförklarades av EU-domstolen 2015. Efterträdaren Privacy Shield föll i Schrems II-domen 2020. Dagens ramverk, EU–US Data Privacy Framework, gäller — men det vilar på samma politiska grund som sina föregångare, och det är redan ifrågasatt i domstol. Att bygga ett plattformsval för de kommande tio åren på en överenskommelse med den historiken är en risk som många offentliga organisationer inte längre är beredda att ta.

Det djupare problemet är att frågan inte bara handlar om var servrarna står. Den amerikanska CLOUD Act ger amerikanska myndigheter rätt att begära ut data från leverantörer med säte i USA — oavsett i vilket land datan lagras. Ett amerikanskt molnbolags datacenter i Stockholm ligger alltså, juridiskt sett, fortfarande inom räckhåll för amerikansk lag. Det är den spänningen som europeiska domstolar och tillsynsmyndigheter återkommer till: geografin löser inte jurisdiktionen.

Samtidigt skärps kraven på den europeiska sidan. NIS2-direktivet höjer ribban för säkerhetsarbete och incidenthantering i samhällsviktig verksamhet och offentlig förvaltning — och gör organisationer ansvariga för sin leverantörskedja, molnleverantörer inräknade. ”Vi utgick från att leverantören hade koll” duger inte längre som svar.

Det geopolitiska läget#

Länge behandlades frågan om var data lagras som en ruta att bocka av i upphandlingen. De senaste åren har gjort den till en strategisk fråga. Handelskonflikter, sanktioner och snabbt skiftande allianser har påmint om att tillgången till digital infrastruktur kan bli ett påtryckningsmedel — och att ett beroende som känns teoretiskt i dag kan bli högst konkret i morgon. Runt om i Europa ser regeringar och offentliga verksamheter nu över hur mycket av deras kritiska verktyg som körs på infrastruktur under en annan jurisdiktion. Digital suveränitet har gått från konferensämne till upphandlingskrav.

GIS hamnar ovanligt högt på den risklistan, just på grund av vad datan beskriver. Att förlora tillgången till sin kartplattform i ett krisläge är illa nog; att detaljerad infrastrukturdata exponeras för en främmande jurisdiktion är värre.

Och i Sverige specifikt#

Svenska offentliga organisationer har dessutom egna skyldigheter utöver EU-reglerna. Offentlighets- och sekretesslagen begränsar hur sekretessreglerad information får hanteras när it-drift läggs ut, och säkerhetsskyddslagen gäller när datan rör verksamhet av betydelse för Sveriges säkerhet — vilket detaljerad infrastrukturkartläggning absolut kan göra. Offentliga vägledningsorgan har i flera år varnat för precis de molnupplägg vi beskriver ovan, och många kommuner har landat i att den säkraste tolkningen också är den enklaste: känslig data ska ligga hos leverantörer som bara lyder under svensk och europeisk lag.

Så har vi löst det i OrbGIS#

Vi har inte skruvat fast datasuveräniteten på OrbGIS i efterhand — plattformen byggdes så här från första dagen.

• Allt driftas i Sverige. Hela plattformen — applikation, databaser, kartservrar och fillagring — körs på svensk molninfrastruktur. Din data lämnar aldrig landet.
• Ett svenskt bolag under europeisk lag. OrbGIS är helägt svenskt. Det finns inget utländskt moderbolag som en annan jurisdiktion kan nå datan genom.
• Inga molnjättar i kedjan. Vår drift har inga beroenden till amerikanska molnleverantörer — varken för beräkning, lagring eller leverans.
• Även AI-funktionerna stannar i Europa. AI-stödet i OrbGIS körs på svensk, EU-baserad infrastruktur — inte på API-anrop som skickar ditt innehåll över Atlanten.
• Människor du kan fråga. En säkerhetsgranskning kommer alltid med frågor. Hos oss besvaras de av dem som bygger och driftar plattformen, inte av en supportkö.

För våra användare märks det här sällan i vardagen — det betyder bara att upphandlingen går smidigt och att säkerhetsansvarig sover gott. Och det är precis så det ska vara.

Ser din organisation över var er geodata ska ligga? Hör gärna av dig — eller se själv hur det fungerar och testa OrbGIS gratis.