Du har kanske hört talas om förkortningen DGA. Det står för Data Governance Act, på svenska ofta kallad dataförvaltningsförordningen. DGA är en ny EU-förordning som trädde i kraft den 24 september 2023. Syftet är att underlätta och öka tilltron till datadelning inom EU. DGA ingår i EU:s större datastrategi för den digitala inre marknaden, där man vill stimulera innovation och nya affärsmöjligheter genom att göra mer data tillgängligt på ett säkert och kontrollerat sätt. För dig som driver företag eller köper konsulttjänster innebär detta att nya möjligheter öppnas samtidigt som det tillkommer ansvar kring hur data hanteras och delas.
Varför infördes DGA?
EU har länge velat frigöra värdet i data – inte minst offentliga data och affärsdata – men tidigare har det funnits många hinder. Myndigheter och företag har ofta varit tveksamma till att dela känslig information, dels av integritetsskäl, dels för att skydda affärshemligheter. DGA införs för att lösa detta genom tydliga gemensamma regler. Huvudmålet är att öka förtroendet för datadelning och undanröja tekniska hinder. Det betyder bland annat att man ska reglera nya former av datatjänster, uppmuntra frivillig delning av data för allmännytta (så kallad dataaltruism) och se till att data som delas verkligen är säkra. Tanken är att när fler känner sig trygga med att dela data, kan mer värdefull information användas för forskning, digital innovation och konkurrenskraftiga affärstjänster.
Möjligheter och skyldigheter med DGA
DGA förändrar spelplanen för svenska företag genom att skapa både chanser och krav. På möjlighetssidan handlar det om att fler data från myndigheter eller företag kan bli åtkomliga. Du kan till exempel få enklare åtkomst till statistik eller geodata från kommuner och statliga verk. Genom gemensamma standarder och nya mellanhandstjänster kan du också samarbeta över gränserna: data kan delas mellan länder eller branscher på ett mer enhetligt sätt. För företaget kan detta betyda nya affärsmöjligheter – till exempel kan du bygga nya digitala tjänster på offentliga databaser eller delta i EU-finansierade datautbyten. Dessutom kan en certifiering enligt DGA, med en gemensam logotyp för godkända datatjänster, bli en kvalitetsstämpel som ökar kundernas förtroende för din verksamhet.
Samtidigt tillkommer nya skyldigheter. Om ditt företag erbjuder en dataförmedlingstjänst – det vill säga en plattform eller ett system som kopplar ihop dataägare med datakonsumenter – måste ni följa specifika regler. Ni behöver anmäla er verksamhet till Post- och telestyrelsen (PTS) innan ni kör igång. Exempel på dataförmedlingstjänster kan vara en marknadsplats där företag köper och säljer data, eller en tjänst där användares data samlas in och delas vidare (till exempel hälsoappar som delar hälsodata för forskning). I samband med anmälan krävs det att ni beskriver hur tjänsten fungerar, och ni måste leva upp till krav på neutralitet, datasäkerhet och transparens som DGA ställer. Om ni inte uppfyller reglerna kan PTS göra tillsyn och i värsta fall utdöma sanktionsavgifter.
Även dataaltruism är nytt i DGA. Det innebär att individer eller företag kan låta en organisation hantera och dela deras data för allmännyttiga syften, exempelvis medicinsk forskning eller samhällsplanering, utan vinstintresse. En sådan organisation kan ansöka om att bli registrerad som erkänd dataaltruismorganisation. Efter registrering får organisationen använda en EU-gemensam beteckning och logotyp. Syftet är att skapa förtroende för att insamlad data verkligen används för forsknings- eller samhällsnytta, utan att någon betalar för sig.
För dig betyder det här att du bör se över vilka slags data ni hanterar. Om ni samlar in personuppgifter måste ni självklart följa GDPR även i fortsättningen. Men under DGA kan även annan skyddad information bli aktuell – till exempel affärsdata eller icke-offentlig statistik. Du måste ha kontroll på datastyrningen i företaget: det vill säga vem som äger vilken data, hur den får delas och vilka säkerhetsåtgärder som krävs. Det kan handla om tekniska lösningar som kryptering och anonymisering, men också om avtal och sekretesspolicyer. Kort sagt: mer datadelning innebär samtidigt att ni behöver ha ännu bättre rutiner för dataskydd och datastyrning.
Praktiska exempel på anpassningar
Hur kan detta se ut i praktiken? Här är några scenarier för inspiration:
- Dataförmedlingstjänst:
Tänk dig att du driver en startup som utvecklar en plattform där företag kan köpa varandras anonymiserade kunddata för marknadsanalyser. Eftersom din plattform kopplar samman dataägare och dataanvändare räknas den som en dataförmedlingstjänst under DGA. Det innebär att du måste anmäla din tjänst till PTS i förväg och visa att plattformen är neutral (till exempel att du inte gynnar vissa dataleverantörer framför andra). Du måste även uppfylla säkerhetskrav – till exempel att all data som delas är krypterad och att ingenting sprids utan godkännande. Efter godkänd anmälan får din plattform rätt att använda EU:s gemensamma logotyp för erkända dataförmedlare, vilket kan ge dig en konkurrensfördel genom att signalera trygghet. - Dataaltruism:
Föreställ dig att du driver en ideell forskningsorganisation som samlar in data om luftkvalitet via sensorer och mobila appar. Ni vill dela denna data med universitet och myndigheter för att förbättra miljöundersökningar. Enligt DGA kan detta göras genom en dataaltruism-organisation. Ni kan alltså ansöka hos PTS om att bli erkänd som sådan. När ni är registrerade kan ni använda logotypen för erkända dataaltruismorganisationer, vilket ökar troligen förtroendet hos datalek donatorer och samarbetspartners. Själva datadelningen måste fortfarande ske med respekt för allas integritet – ni kan till exempel behöva se till att inga användaruppgifter kan spåras till enskilda personer (anonymisering) även om datan inte innehåller känsliga personuppgifter. - Säkrare datastyrning och känslig information:
DGA innebär också att alla företag bör ha ordning på sin datastyrning. Det kan till exempel betyda att du utser en person eller enhet som ansvarig för hur data ska hanteras. Föreställ dig att ditt företag regelbundet delar kunduppgifter eller försäljningsstatistik med partners. Enligt DGA måste ni hantera sådan känslig information med försiktighet. Det kan innebära att ni behöver använda tekniker som pseudonymisering (att ersätta namn med koder) eller att ni bara delar aggregerad statistik istället för rådata. Interna rutiner kan behöva uppdateras så att det klart framgår vilka typer av data ni får dela, hur ni rapporterar till myndigheter och vem som har rätt att godkänna nya datadelningar. Kanske behöver ni även införskaffa eller utveckla nya IT-verktyg som stöttar denna säkra datadelning, exempelvis plattformar som kontrollerar åtkomsten automatiskt.
Sammanfattningsvis handlar anpassningen ofta om att dokumentera och formalisera hur ni hanterar data. Innan DGA kanske ni delade data lite på måfå när tillfälle gavs. Nu behöver ni tänka efter en extra gång, upprätta tydliga processer och se till att tekniken stöder dem. Detta är i grunden samma sak som god datastyrning – det finns överlappningar med GDPR men även nya aspekter som fokuserar på utbyte av data snarare än bara skydd av personuppgifter.
Vår roll i implementeringen av DGA
Som konsulter inom dataskydd och informationshantering ser vi att Data Governance Act (DGA) kan kännas komplex för många företag – särskilt för dem som inte har en etablerad struktur för att hantera och dela data på ett säkert sätt. Vår roll är att göra den processen både tydlig och hanterbar.
Vi hjälper våra kunder att tolka DGA och omsätta regelverket till praktiska och hållbara rutiner. Genom att kartlägga befintliga dataprocesser identifierar vi var organisationen står idag och vilka områden som behöver förstärkas – exempelvis inom datastyrning, policyer, tekniska lösningar eller avtalshantering.
Utifrån den analysen tar vi fram en tydlig handlingsplan för hur verksamheten stegvis kan uppfylla DGA-kraven. Det kan innebära att införa nya verktyg för datadelning, implementera system för anonymisering och spårbarhet, eller att utveckla processer för hur data delas internt och externt på ett säkert sätt.
Vi arbetar ofta i gränslandet mellan teknik, juridik och strategi. Därför samarbetar vi med tekniska specialister som kan bygga eller förbättra kundernas datainfrastruktur, och med jurister som säkerställer att avtal och rutiner följer EU:s krav. På så sätt kan vi erbjuda en helhetslösning som både uppfyller regelverket och stärker organisationens affärsnytta.
För oss handlar DGA inte bara om regelefterlevnad – utan om att skapa nya möjligheter för innovation, transparens och effektiv datadelning. Med rätt strategi kan DGA bli en konkurrensfördel. Genom vårt stöd får våra kunder inte bara trygghet i sin efterlevnad, utan också ett mer värdeskapande och framtidssäkert sätt att arbeta med data.
