- Eleg-projekt

Remissvar gällande statligt identitetskort och SverigeID (Diarienummer: Ju2026/01595)
by ByteVis 09 Nov '26

09 Nov '26

Jag skickade in ett remissvar till Justitiedepartementet angående promemorian ”Ett statligt identitetskort” (Ju2026/01595). Jag är ny här så detta kanske redan diskuterats men min tolkning är att denna reform är mycket mer omfattande än att bara handla om ett nytt fysiskt plastkort. På promemorians sida 12 tycker jag att det står att den nuvarande lagstiftningen som Polismyndigheten använder för e-legitimationen (SverigeID) helt kommer att upphävas och ersättas av den nya lagen år 2029 och att det handlar om ett långsiktigt helhetsgrepp kring vår statliga digitala identitet. Här är mitt remissyttrande: REMISSYTTRANDE Datum: 2026-10-23 Diarienummer: Ju2026/01595 Justitiedepartementet Mottagare: ju.remissvar(a)regeringskansliet.se Kopia till: ju.L4(a)regeringskansliet.se Yttrande över promemorian ”Ett statligt identitetskort” (Ju2026/01595) Härmed lämnas synpunkter som medborgare på rubricerad promemoria. Detta yttrande fokuserar på de principiella och praktiska problemen gällande digital inkludering, nationell suveränitet och medborgerliga rättigheter kopplat till den statliga e-legitimation (SverigeID) som det föreslagna fysiska identitetskortet ska bära och aktivera. Det övergripande syftet med reformen – att motverka digitalt utanförskap och säkerställa en robust, statligt garanterad infrastruktur för elektronisk identifiering – riskerar att helt omintetgöras på grund av hur den tekniska lösningen har utformats. Att låsa en statlig kärninfrastruktur till specifika kommersiella operativsystem (iOS och Android) skapar en rad helt ohållbara konsekvenser: 1. Kravet på kommersiella och proprietära plattformar och att ingå avtal med utländska privata bolag skapar digitalt utanförskap För att använda den statliga e-legitimationen krävs i dagsläget en mobiltelefon med operativsystemen iOS (Apple) eller Android med aktiva Google Play Services. Det innebär att medborgare som av integritetsskäl, säkerhetsskäl eller ekonomiska skäl valt att använda öppna, de-googlade alternativa mobila operativsystem eller fria operativsystem på persondatorer helt exkluderas. En statlig infrastruktur för identitetshandlingar måste vara universellt tillgänglig för alla medborgare. Tillgången till en medborgerlig rättighet får inte villkoras av att individen tvingas godkänna kommersiella techjättars globala användarvillkor, telemetriinsamling och integritetspolicyer. Det är djupt problematiskt att tillgången till statliga kärntjänster görs direkt beroende av ett privaträttsligt avtal med ett utländskt vinstintresse. 2. Kommersiella marknadsandelar är inte ett giltigt argument för tvång Det argument som anförts – att nästan 100 % av mobilmarknaden täcks av dessa två aktörer – är principiellt felaktigt för en statlig myndighet. Konsumentstatistik kan aldrig användas som skäl för att tvinga hela befolkningen att underkasta sig specifika kommersiella ekosystem. En statlig id-handling måste gälla på lika villkor, oavsett vilka tekniska eller integritetsmässiga val individen gör i sitt privata liv. 3. Oacceptabelt beroende av utländska techjättar Att basera verifikationen av en svensk statlig ID-handling på amerikanska företags proprietära API-tjänster (såsom Google Play Integrity API och Apples motsvarigheter) är problematiskt ur ett suveränitets- och säkerhetsperspektiv. Det innebär i praktiken att utländska, kommersiella aktörer ges vetorätt över vilka enheter och därmed vilka svenska medborgare som tillåts identifiera sig digitalt mot svenska myndigheter. Statlig kärninfrastruktur bör vila på öppna standarder som kan kontrolleras och granskas i sin helhet inom landet. 4. Behovet av fri distribution och plattformsoberoende Det statliga ID-ekosystemet bör förpliktigas att erbjuda alternativa distributionsvägar för sina applikationer. Det bör vara möjligt att installera och uppdatera e-legitimationen utan att tvingas registrera ett personligt konto hos Apple, Google eller Microsoft. Applikationen bör göras tillgänglig som en fristående installationsfil eller via öppna och fria programvaruarkiv. 5. Otydliga ansvarsförhållanden och avsaknad av rättssäkerhet vid tekniska konflikter Det uppstår stora juridiska frågetecken kring vem som bär ansvaret när systemet slutar fungera på grund av tredje part. Om en medborgare installerar integritetsverktyg som blockerar telemetridata, och Googles eller Apples säkerhetssystem (t.ex. Play Integrity) till följd av detta flaggar telefonen som ”osäker”, blockeras e-legitimationen. Det är djupt problematiskt att en svensk medborgare kan bli av med, eller få sin statliga ID-handling spärrad, helt utan att ett svenskt myndighetsbeslut har fattats, och utan att det finns en tydlig instans att överklaga till. 6. Sårbarhet vid ändrade användarvillkor Genom att göra SverigeID helt beroende av Apples, Googles eller Microsofts infrastruktur sätter sig den svenska staten i en farlig beroendeställning och gör sig sårbar för framtida villkorsändringar. Om dessa bolag i framtiden uppdaterar sina globala användaravtal på ett sätt som strider mot svenska principer, grundlagar eller EU-lagstiftning (till exempel gällande datadelning), har staten inga egna valmöjligheter. Att backa ur ett sådant beroende när systemet väl är sjösatt blir extremt svårt och kostsamt. Hur garanteras att SverigeID fungerar enligt svensk lag oberoende av vad Google, Apple eller Microsoft gör för uppdateringar i sina användarvillkor? 7. Det ofrivilliga samtycket och rätten att backa ur avtal Enligt dataskyddslagstiftningen har en medborgare en absolut rätt att när som helst återkalla ett samtycke till datadelning. Detta skapar en juridisk återvändsgränd med den nuvarande lösningen: Om en medborgare laddar ner appen, men omedelbart därefter återkallar sitt samtycke gentemot Google, Apple eller Microsoft med hänvisning till att det givits under tvång – hur ska staten hantera det? Hur är beredskapen för hur systemet ska fungera när medborgare nekar plattformsägarnas dolda dataflöden men kräver att deras statliga e-legitimation ska förbli aktiv? 8. Det statligt skapade demokratiska utanförskapet Utöver de rent dataskyddsrättsliga aspekterna innebär en plattformslåsning som beskrivet i ovan punkter en direkt urholkning av grundläggande demokratiska principer. I en demokratisk rättsstat ska tillgången till statliga kärntjänster och myndighetsutövning vara villkorslös och lika för alla. Genom att utforma SverigeID på ett sätt som kräver ett privaträttsligt avtal med utländska, kommersiella vinstintressen (Apple, Google och Microsoft), gör myndigheten i praktiken dessa bolag till grindvakter för det svenska medborgarskapet. Att hänvisa medborgare som nekar dessa avtal till analoga, långsamma pappersblanketter eller fysiska kontor är inte ett fullgott alternativ i ett i övrigt helt digitaliserat samhälle – det är en direkt diskriminering och ett statligt skapat utanförskap. Detta utplånar dessutom persondatorn som en självständig och säker plattform för myndighetsärenden. Förslag till justering i lagförslaget: För att lagstiftningens uttalade syfte om inkludering och bred tillgänglighet ska uppnås, yrkas att det införs följande skarpa krav i den slutgiltiga lagtexten för det statliga identitetskortet: 1. Den tillhörande statliga e-legitimationen måste utformas så att den kan distribueras, installeras och användas helt plattformsoberoende, utan krav på dolda dataflöden eller kontoregistreringar hos specifika utländska leverantörer. 2. Systemet måste erbjuda en renodlad, lokal desktop-lösning (exempelvis via öppna standarder mot det fysiska kortet anslutet via en standardiserad kortläsare eller öppna API:er) som fungerar helt fristående från smartphones och kommersiella appbutiker. Med vänlig hälsningEn medborgare

3 4

Anmälan till IMY ang Polismyndighetens Sverige-id
by ByteVis 06 Nov '26

06 Nov '26

Nedan följer det klagomål och den begäran om tillsyn som jag lämnade in till Integritetsskyddsmyndigheten (IMY) den 12 maj 2026 angående Polismyndighetens utveckling av den nya statliga e-legitimationen (Sverige-id). Jag har gjort mitt bästa för att behålla formateringen i texten korrekt. IMY:s diarienummer: IMY-2026-9198 -------------------------------------------------------------------------- Till: Integritetsskyddsmyndigheten (IMY) E-post: imy(a)imy.se Klagomål och begäran om tillsyn enligt dataskyddsförordningen (GDPR) - Datum: 2026-05-12 - Klagande:XXXXXXXX - Motpart: Polismyndigheten - Motpartens diarienummer: A741.599/2025 - Saken avser: Bristande efterlevnad av artiklarna 5.1.a, 5.1.b, 5.1.c, 7.4, 24, 25, 35, 44 och 45 i GDPR under utvecklings- och projekteringsfasen av den statliga e-legitimationen (Sverige-id). Inledande anmärkning och hemställan om skyndsam handläggning: Jag lämnar in denna anmälan som privatperson och vanlig samhällsmedborgare utan juridisk utbildning och med få tidigare erfarenheter av myndighetsanmälningar. Denna text utgör min personliga analys och syn på de brister som föreligger i Polismyndighetens projekt. Då min juridiska kompetens är begränsad, har jag efter bästa förmåga försökt peka ut de områden där jag anser att regelverket åsidosätts. Då ärendet rör en nationell kärninfrastruktur som planeras att tas i bruk den 1 december 2026, och som i ett slag kommer att påverka miljontals medborgares rätt till integritet och digital tillgänglighet, hemställer jag formellt om att IMY ger detta ärende skyndsam handläggning och prioriterad granskning. Det är av yttersta vikt att en tillsyn inleds innan den tekniska arkitekturen och de kommersiella plattformslåsningarna permanentas. För att ge en omedelbar bild av ärendets allvar har jag i avsnitt 2.10 (Konkret påverkan på medborgaren) beskrivit vad Polismyndighetens valda systemarkitektur faktiskt innebär för mig och andra i form av ett tvingande digitalt utanförskap. Skulle jag i mina sakpunkter ha feltolkat någon juridisk term, åberopat felaktig underartikel eller missat någon teknisk nyans, ber jag om överseende med detta. Med hänvisning till IMY:s officiella utredningsskyldighet och uppdrag enligt artikel 57.1.a och 57.1.h GDPR hemställer jag att myndigheten självständigt prövar substansen i mitt klagomål, och inom ramen för sin granskning korrigerar eventuella formella felaktigheter samt inkluderar de ytterligare lagöverträdelser som jag kan ha missat. 1. Inledning och bakgrund Jag anmäler härmed Polismyndigheten för underlåtenhet att efterleva dataskyddsförordningen (GDPR) under utvecklingen och projekteringen av den kommande statliga e-legitimationen (Sverige-id). Genom skriftväxling under myndighetens diarienummer A741.599/2025 har Polismyndigheten skriftligen bekräftat följande omständigheter: - Avsaknad av konsekvensbedömning: Ingen konsekvensbedömning avseende dataskydd (DPIA) enligt artikel 35 GDPR har upprättats, trots att projektet avser en nationell identifieringsinfrastruktur med biometriska inslag som omfattar hela Sveriges befolkning. - Avsaknad av analyser enligt artikel 25: Inga specifika handlingar, arkitekturöverväganden eller analyser har upprättats för att visa hur kraven på inbyggt dataskydd och dataskydd som standard (artikel 25 GDPR) ska efterlevas i projektet. - Inskränkt plattformsval och kommersiellt beroende: Det initiala plattformsstödet har begränsats till de kommersiella mobilsystemen iOS (Apple) och Android (Google). Polismyndigheten har bekräftat att inga analyser av plattformsoberoende alternativ (t.ex. öppna standarder mot desktop eller renodlade fysiska bärare) har dokumenterats, trots att tillsynsmyndigheten DIGG skriftligen bekräftat att sådana lösningar är fullt möjliga inom tillitsramverket. - Okontrollerat dataläckage till tredjepart: Polismyndigheten har medgett att personuppgifter i form av IP-adresser och enhetsrelaterad information kommer att överföras till Apple och Google vid app-installationen, men har samtidigt uppgett att frågor om dessa dataflöden ”i första hand behöver ställas till respektive tillhandahållare av de tekniska plattformarna”. Myndigheten har därmed medgett att de saknar faktisk kontroll över de tekniska flödena till de amerikanska plattformsägarna, vilket står i direkt strid med principen om den personuppgiftsansvariges kontrollskyldighet. 2. Grund för klagomålet 2.1 Underlåtenhet att genomföra en konsekvensbedömning avseende dataskydd (Artikel 35 GDPR) Polismyndigheten har i skriftligt svar till mig den 2026-03-31 (punkt 1.1) uttryckligen skrivit följande: ”Några sådana konsekvensbedömningar [DPIA enligt artikel 35 GDPR] som efterfrågas har ännu inte upprättats vid Polismyndigheten.” Myndigheten har i ett senare svar (2026-04-28) försvarat frånvaron av en konsekvensbedömning med att ”Någon personuppgiftsbehandling inom ramen för den statliga e-legitimationen har ännu inte påbörjats.”. Detta utgör en fundamental felaktighet i tillämpningen av dataskyddsförordningen. Enligt artikel 35.1 GDPR ska en konsekvensbedömning göras ”före behandlingen”. Europeiska dataskyddsstyrelsens (EDPB) riktlinjer (wp248rev.01) slår fast att en DPIA ska fungera som ett styrande verktyg under design- och projekteringsfasen. Att fatta bindande arkitekturval, begränsa plattformsstöd till iOS/Android samt ansöka hos DIGG om utfärdande utan att ha upprättat en DPIA innebär att Polismyndigheten har låst fast projektets tekniska ramar utan att först analysera riskerna för medborgarnas rättigheter och friheter. Det planerade systemet ”Sverige-id” uppfyller flera av de kriterier som enligt GDPR och IMY:s gällande föreskrifter gör en konsekvensbedömning absolut obligatorisk: - Storskalig behandling och nationell infrastruktur: Systemet är en statlig kärninfrastruktur avsedd att omfatta och rullas ut till miljontals medborgare i Sverige. - Koppling till biometriska data: Lösningen bygger på att statlig identifiering villkoras och integreras med mobila enheters biometriska sensorer och hårdvara. - Sårbara registrerade i strikt beroendeställning: Medborgarna befinner sig i en absolut asymmetrisk beroendeställning gentemot Polismyndigheten och övriga offentliga aktörer. Att tvingas använda systemet för att få tillgång till lagstadgad digital offentlig service innebär att samtycke inte kan anses vara frivilligt (jämför artikel 7.4 och skäl 43 GDPR). - Systematiskt beroende av tredjepart och dataöverföring: Arkitekturvalet medför ett bekräftat, direkt flöde av enhetsdata och IP-adresser till amerikanska leverantörer (Apple och Google) vid registrering och installation, vilket skapar risker för kommersiell spårning och profilering. - Ny teknik i ett nytt sammanhang: Att staten för första gången utfärdar en officiell, digital identitetshandling och väljer att lägga hela distributionen och funktionen exklusivt i händerna på två utländska, kommersiella aktörers ekosystem utgör en användning av teknik som kräver en djupgående och oberoende riskanalys. Genom att helt underlåta att upprätta en DPIA innan dessa avgörande strategiska och tekniska beslut fattades, har Polismyndigheten även brutit mot den grundläggande principen om ansvarsskyldighet (artikel 5.2 GDPR), då myndigheten saknar dokumentation som visar att de har övervägt integritetsvänliga alternativ. Jag begär att IMY prövar om Polismyndigheten har brutit mot artikel 35 GDPR genom att driva projektet till ansöknings- och utvecklingsfas utan en upprättad konsekvensbedömning, samt att IMY utfärdar ett föreläggande mot myndigheten att skyndsamt upprätta en sådan innan ytterligare tekniska låsningar sker. 2.2 Underlåtenhet att iaktta inbyggt dataskydd och dataskydd som standard (Artikel 25 GDPR) Polismyndigheten har i skriftliga svar till mig den 2026-03-27 och 2026-03-31 (punkt 5.1 och 2.1) uttryckligen bekräftat att: ”Inga handlingar med sådana överväganden [avseende artikel 25 GDPR] som efterfrågas har upprättats vid Polismyndigheten.” Myndigheten har försvarat denna totala avsaknad av dokumentation med att de har en ”sedan lång tid etablerat en utvecklingsprocess” och en ”utvecklingsmiljö som inbegriper dataskydd genom design och som standard”. Detta resonemang faller på sin egen orimlighet och strider mot principen om ansvarsskyldighet (artikel 5.2 GDPR). En personuppgiftsansvarig kan inte hänvisa till en allmän, diffus ”miljö” för att uppfylla kraven i artikel 25. Efterlevnaden av inbyggt dataskydd kräver specifika, dokumenterade och skräddarsydda tekniska och organisatoriska överväganden för det system som utvecklas. Jag gör gällande att Polismyndighetens utveckling av Sverige-id strider fundamentalt mot artikel 25 GDPR på följande tre grunder: 1. Plattformsvalet har skett utan obligatorisk integritetsbedömning Polismyndigheten har fattat ett aktivt designbeslut att exklusivt begränsa det initiala stödet för Sverige-id till mobilplattformarna iOS och Android. Expert- och tillsynsmyndigheten DIGG har i skriftligt svar till mig (se första mejlsvar från DIGG i Bilaga ’Mejlkonversation_med_DIGG.zip’) klargjort att det europeiska och nationella tillitsramverket är helt teknikneutralt och ger ett ”stort utrymme för en utfärdare att utforma sin lösning”, samt att ramverket ”innehåller inga krav som i sig hindrar en sådan [plattformsoberoende] utformning”. Polismyndighetens val att låsa systemet till två kommersiella plattformar ägda av utländska bolag är således inte ett externt regulatoriskt krav, utan myndighetens eget skönsmässiga designval. Att det helt saknas skriftliga handlingar som analyserar detta val utgör ett direkt brott mot artikel 25. 2. Kapitulation av personuppgiftsansvaret och brist på kontroll Genom att låsa det statliga e-id:t till iOS och Android blir överföring av oundviklig telemetri, enhetsidentifierare och IP-adresser en integrerad del av medborgarens användarflöde vid registrering och installation. Polismyndigheten har i sitt svar den 2026-04-15 bekräftat detta dataflöde, men uppger samtidigt att: ”Frågan [om personuppgiftsflöden till tredjepart] behöver i första hand ställas till respektive tillhandahållare av de tekniska plattformarna, då Sverige-id följer ett standardiserat användningsförfarande av plattformarna.” Detta uttalande utgör ett synnerligen allvarligt medgivande. Som personuppgiftsansvarig har Polismyndigheten en absolut skyldighet att ha fullständig kontroll över de dataflöden som en myndighetsspecifik applikation initierar. Att hänvisa en medborgare till Apple och Google för att få reda på vilka personuppgifter som överförs visar att Polisen har designat ett system där de har abdikerat från sitt personuppgiftsansvar i strid med artikel 25.1. 3. Total avsaknad av plattformsoberoende och dataminimerande alternativ Inbyggt dataskydd kräver att systemet utformas så att de registrerades integritetsrisker minimeras. Regeringen har i sitt pressmeddelande den 22 januari 2026 varit tydlig med att e-legitimationen ska kunna finnas på en fysisk bärare (t.ex. det nationella ID-kortet). Ett nationellt ID-kort utrustat med öppna, kryptografiska standarder (såsom FIDO2/WebAuthn) kan i teorin läsas av valfri enhet med NFC- eller kortläsare, helt oberoende av operativsystem. Genom att Polisen helt saknar planer eller analyser för desktopmiljöer (Linux/Windows/macOS) eller Android-enheter utan Google Play Services, tvingar myndigheten medborgare att godkänna kommersiella Tech-jättars globala användarvillkor och spårningssystem för att överhuvudtaget kunna aktivera och använda en statlig ID-handling. Detta omöjliggör ett fritt och informerat samtycke och utgör motsatsen till dataskydd som standard (artikel 25.2). Hemställan till IMY: Jag begär att IMY prövar om Polismyndighetens underlåtenhet att dokumentera, utreda och integrera inbyggt dataskydd i arkitekturvalet för Sverige-id utgör en överträdelse av artikel 25 GDPR, samt att IMY förelägger Polismyndigheten att utreda och implementera plattformsoberoende, integritetsvänliga alternativ innan systemet driftsätts. 2.3 Potentiell otillåten överföring av personuppgifter till tredjeland (Artikel 44 och 45 GDPR) Polismyndigheten har i sitt svar den 2026-04-15 (punkt 1.1) bekräftat att den planerade applikationen för Sverige-id kommer att överföra personuppgifter i form av IP-adresser och enhetsrelaterad information till mobilplattformarnas ägare (Apple Inc. och Google LLC). Myndigheten har samtidigt i svar den 2026-03-27 och 2026-03-31 bekräftat att inga specifika konsekvensbedömningar eller dokumenterade riskanalyser gällande dessa dataflöden har upprättats. Jag gör gällande att detta agerande strider mot det allmänna tillvägagångssättet för överföringar i artikel 44 GDPR av följande skäl: a) Underlåtenhet att kontrollera adekvansbeslutets omfattning (Artikel 45 GDPR) Även om det nuvarande adekvansbeslutet för USA (EU-U.S. Data Privacy Framework) i grunden tillåter överföring till certifierade amerikanska bolag, befriar detta inte en svensk myndighet från sin skyldighet enligt artikel 44. Alla villkor i kapitel V måste alltjämt vara uppfyllda för att säkerställa att skyddsnivån för fysiska personer inte undergrävs. Eftersom Polismyndigheten skriftligen har medgett att de saknar handlingar rörande dessa överväganden, och därtill uppgett att frågor om dataflödena ”i första hand behöver ställas till respektive tillhandahållare”, har myndigheten i praktiken underlåtit att verifiera vilka specifika uppgifter som överförs, hur de behandlas och om överföringen ryms inom ramen för adekvansbeslutet. b) Bristande proportionalitet och hantering av amerikansk lagstiftning De amerikanska plattformsägarna lyder odiskutabelt under amerikansk lagstiftning, däribland FISA Section 702. Genom att utforma en nationell statlig e-legitimation på ett sådant sätt att installation och registrering tekniskt villkoras av att medborgarens personuppgifter (IP-adress och telemetri) exklusivt slussas via dessa aktörers infrastruktur, skapar Polismyndigheten en systemrisk där svenska medborgares data kan göras tillgänglig för utländsk underrättelsetjänst. Att initiera en sådan strukturell sårbarhet för en statlig kärnfunktion utan en föregående, dokumenterad riskanalys strider fundamentalt mot principen om ansvarsskyldighet (artikel 5.2 och artikel 24 GDPR). Yrkande rörande punkt 2.3: Jag hemställer att IMY, inom ramen för sin tillsyn, granskar de tekniska dataflödena till Apple och Google i projektet Sverige-id och förelägger Polismyndigheten att: - Dokumentera och redovisa exakt vilka personuppgifter som överförs till de amerikanska plattformsägarna, samt påvisa den lagliga grunden för denna specifika överföring. - Visa hur myndigheten säkerställer att överföringen uppfyller kraven i artikel 44 GDPR så att skyddsnivån för de registrerade inte undergrävs. - Utreda plattformsoberoende alternativ (exempelvis fysiska bärare i desktopmiljö) som helt eliminerar behovet av att blanda in utländska tredjepartsleverantörers infrastruktur vid utfärdande och användning av en statlig e-legitimation. 2.4 Underlåtenhet att iaktta principen om uppgiftsminimering (Artikel 5.1.c GDPR) Enligt artikel 5.1.c GDPR ska personuppgifter vara adekvata, relevanta och begränsade till vad som är nödvändigt för de ändamål för vilka de behandlas (uppgiftsminimering). Polismyndigheten har i skriftligt svar den 2026-03-27 bekräftat att inga handlingar eller analyser har upprättats för att pröva hur det planerade systemet för Sverige-id efterlever denna princip. Polismyndigheten har i sitt svar den 2026-04-15 (punkt 3.1) anfört att det systemhälso- och telemetridata som genereras ”inte innehåller personinformation utan enbart den data som krävs för förvaltning”. Detta påstående är juridiskt felaktigt. Myndigheten förbiser att unika enhetsidentifierare, tekniska metadata och IP-adresser utgör personuppgifter enligt etablerad praxis från EU-domstolen (se bl.a. mål C-582/14, Breyer), då uppgifterna möjliggör indirekt identifiering och spårning av enskilda användare. Genom att exklusivt låsa den statliga e-legitimationen till operativsystemen iOS och Android skapar Polismyndigheten ett oundvikligt överskott av personuppgifter som överförs till de kommersiella plattformsägarna vid applikationens installation och registrering (vilket myndigheten medgav den 2026-04-15). Detta dataflöde inkluderar: - Teknisk nätverksmetadata och IP-adresser: Uppgifter som oundvikligen exponeras för utländska tredjeparter. - Enhetsrelaterad information: Specifika hårdvaru- och systemkonfigurationer som skickas för att "garantera appens integritet" (Polismyndighetens eget svar den 2026-04-15, punkt 1.1). - Enhetskodning och IDFA/advertising ID: Google och Apple använder detta för annonsering - Telemetri om användarens beteende: Insamlas kontinuerligt Inget av detta dataöverskott är nödvändigt för att uppnå det primära ändamålet: att säkert verifiera en medborgares identitet mot en svensk myndighet. Tillsynsmyndigheten DIGG har skriftligen klargjort (se Bilaga ’Mejlkonversation_med_DIGG.zip’) att tillitsramverket för högsta tillitsnivå tillåter plattformsoberoende och minimalistiska lösningar. Det är tekniskt fullt möjligt att utforma en lösning (exempelvis via öppna standarder som FIDO2 mot en fysisk bärare i desktopmiljö) som utför en identitetsverifiering med absolut minimal dataexponering, helt utan att generera telemetri eller nätverksanrop till utländska kommersiella aktörer. Genom att Polismyndigheten har underlåtit att genomföra en jämförande analys av mer integritetsvänliga arkitekturalternativ, har myndigheten därmed låst fast sig vid en design som genererar ett unikt och onödigt flöde av personuppgifter till kommersiella tredjeparter. Detta utgör en direkt överträdelse av den tvingande principen om uppgiftsminimering i artikel 5.1.c GDPR. Yrkande rörande punkt 2.4: Jag hemställer att IMY prövar om Polismyndighetens valda systemarkitektur leder till en behandling av personuppgifter (IP-adresser och enhetsdata) som strider mot artikel 5.1.c GDPR, samt förelägger myndigheten att visa hur dataminimering har säkerställts i förhållande till alternativa, plattformsoberoende tekniska lösningar. 2.5 Underlåtenhet att uppfylla det övergripande personuppgiftsansvaret och principen om ansvarsskyldighet (Artikel 24 och Artikel 5.2 GDPR) Enligt artikel 24.1 GDPR åligger det den personuppgiftsansvarige att genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med förordningen. Detta ansvar är odelbart och omfattar hela den tekniska miljö som myndigheten väljer att aktivera för sin tjänst. Polismyndigheten har i sitt svar den 2026-04-15 (punkt 1.1) lämnat följande skriftliga ställningstagande angående de tekniska dataflödena till utländska kommersiella aktörer: ”Frågan behöver i första hand ställas till respektive tillhandahållare av de tekniska plattformarna, då Sverige-id följer ett standardiserat användningsförfarande av plattformarna.” Jag gör gällande att detta utgör en otillåten ansvarsförskjutning som står i direkt strid med artikel 24 och artikel 5.2 GDPR på följande grunder: 1. Otillåten outsourcing av det rättsliga ansvaret Enligt dataskyddsförordningen kan en personuppgiftsansvarig myndighet aldrig outsourca eller överlåta sitt utrednings- och redovisningsansvar till privata tredjepartsleverantörer. Genom att hänvisa en medborgare till Apple och Google för att få svar på vilka personuppgifter (IP-adresser och enhetsdata) som myndighetens eget systemarkitekturval genererar, visar Polismyndigheten att de saknar den insyn och kontroll som krävs enligt artikel 24. 2. Oförmåga att visa efterlevnad (Artikel 5.2 GDPR) Principen om ansvarsskyldighet innebär att Polismyndigheten aktivt måste kunna dokumentera och bevisa att medborgarnas rättigheter skyddas i systemet. Eftersom myndigheten skriftligen har medgett att inga specifika handlingar, riskanalyser eller bedömningar har upprättats rörande plattformsvalet och dess dataläckage, har myndigheten försatt sig i en situation där de är juridiskt oförmögna att visa efterlevnad. 3. Systematisk underlåtenhet att säkerställa konfidentialitet och kontroll Genom att göra den statliga e-legitimationen strukturellt beroende av Apples och Googles slutna operativsystem, integrerar Polismyndigheten en infrastruktur som de saknar insyn i. Myndigheten kan därmed inte garantera, kontrollera eller begränsa hur dessa plattformsägare hanterar, profilerar eller vidarebehandlar de metadata och nätverksanrop som uppstår när en medborgare interagerar med den statliga e-legitimationen. Slutsats: Polismyndighetens egna svar blottar en fundamental brist i förståelsen av personuppgiftsansvaret. Att utveckla en nationell kärninfrastruktur för digital identifiering, och samtidigt deklarera att frågor om applikationens tekniska dataflöden ska ställas till utländska privata bolag, utgör ett pågående och allvarligt brott mot artikel 24 GDPR. Yrkande rörande punkt 2.5: Jag hemställer att IMY prövar Polismyndighetens efterlevnad av artikel 24 och artikel 5.2 GDPR, samt fastställer att myndighetens hänvisning av dataskyddsfrågor till externa plattformstillverkare utgör en otillåten ansvarsförskjutning som kräver korrigerande åtgärder eller föreläggande från tillsynsmyndigheten. 2.6 Varför kommersiella marknadsandelar inte kan motivera avsteg från GDPR Polismyndigheten har i sitt skriftliga svar den 2026-03-27 försvarat sitt exklusiva val av iOS och Android med följande motivering: ”Polismyndigheten kan konstatera att genom de valda plattformarna täcks nästan 100 % av mobilmarknaden.” Jag gör gällande att kommersiella marknadsandelar och konsumentstatistik är rättsligt irrelevanta som rättfärdigande för att frångå dataskyddsförordningens tvingande krav. Argumentet är juridiskt ohållbart av följande tre skäl: 1. Skyddet för individens rättigheter är bindande och oberoende av majoritetsval Dataskyddsförordningens krav är universella och skyddar den enskilde individens rätt till integritet. En statlig myndighet kan inte åberopa att en majoritet av befolkningen har valt att köpa en viss konsumentprodukt som skäl för att tvinga en minoritet att underkasta sig samma kommersiella ekosystem. Att använda marknadsandelar som ett rättsligt alibi raderar ut det minoritetsskydd som GDPR är satt att garantera. De grundläggande principerna i artikel 5 och kraven på inbyggt dataskydd i artikel 25 är bindande krav som måste uppfyllas inom ramen för GDPR, inte proportionella mot konsumenttrender. 2. Marknadsandelar uppfyller inte nödvändighetskravet i Artikel 6.1.e GDPR Om Polismyndighetens avsedda rättsliga grund för att tillhandahålla Sverige-id vilar på att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning (artikel 6.1.e GDPR), krävs enligt förordningen och praxis att behandlingen ska vara strikt nödvändig för att uppnå det specifika ändamålet. Eftersom Polismyndigheten hittills har underlåtit att skriftligen precisera sin rättsliga grund för mig, hemställer jag vad gäller denna punkt att IMY inom ramen för sin tillsyn avkräver myndigheten ett formellt klargörande. Om artikel 6.1.e avses, kan den slentrianmässiga överföringen av medborgarnas enhetsdata till Apple och Google inte anses vara rättsligt nödvändig. Att Polismyndigheten av kostnads- eller implementeringsskäl väljer att förlita sig på en rådande kommersiell marknadskoncentration gör inte åtgärden laglig, då expert- och tillsynsmyndigheten DIGG uttryckligen har bekräftat att identifiering på högsta tillitsnivå är tekniskt genomförbar via plattformsoberoende arkitekturer. 3. Självframkallat cirkelresonemang och digitalt utanförskap Polismyndigheten använder marknadens koncentration som ett argument för att inte utveckla oberoende alternativ. Detta är ett cirkelresonemang. Att marknaden är koncentrerad beror delvis på att offentliga aktörer underlåtit att tillhandahålla teknikneutrala, statliga alternativ. Genom att Polisen (svar 2026-03-31) medger att inga handlingar upprättats för att analysera riskerna för digitalt utanförskap eller teknikneutralitet, har myndigheten aktivt valt att exkludera medborgare som av integritetsskäl, tekniska skäl eller ekonomiska skäl inte använder Googles eller Apples ekosystem. Slutsats, hemställan och yrkande rörande punkt 2.6: Kommersiell marknadsdominans utgör inte en juridisk undantagsgrund från dataskyddsförordningen. Jag hemställer att IMY i sin prövning fastställer att Polismyndigheten inte kan använda marknadsandelar för att motivera avsteg från artiklarna 5.1.c och 25 GDPR. Jag yrkar att IMY utfärdar ett föreläggande mot Polismyndigheten att skyndsamt till tillsynsmyndigheten redovisa: - Vilken specifik rättslig grund enligt artikel 6 GDPR som myndigheten åberopar för den personuppgiftsbehandling som arkitekturvalet genererar. - En dokumenterad nödvändighets- och proportionalitetsbedömning som visar varför den omfattande exponeringen av medborgarnas enhetsdata och IP-adresser till utländska kommersiella aktörer är strikt nödvändig för att uppnå ändamålet ”elektronisk identifiering”. 2.7 Villkorat och ogiltigt samtycke samt otillåtet kopplingsförbehåll (Artikel 7.4 GDPR) Jag gör gällande att Polismyndighetens planerade distribution och tekniska utformning av Sverige-id omöjliggör ett giltigt och frivilligt samtycke för de registrerade, vilket utgör en överträdelse av artikel 7.4 GDPR. a) Inneboende obalans och otillbörligt tvång (Skäl 43 GDPR) Enligt dataskyddsförordningens tvingande krav måste ett samtycke vara ett frivilligt, specifikt, informerat och otvetydigt viljeuttryck. I skäl 43 GDPR samt Europeiska dataskyddsstyrelsens (EDPB) riktlinjer 05/2020 slås det fast att samtycke i regel inte utgör en giltig rättslig grund när det råder en tydlig obalans mellan den registrerade och den personuppgiftsansvarige, vilket i synnerhet är fallet när den personuppgiftsansvarige är en offentlig myndighet. Eftersom Sverige-id är avsett att vara den officiella statliga e-legitimationen för tillgång till grundläggande digital samhällsservice, befinner sig medborgaren i en absolut beroendeställning. Att villkora tillgången till denna medborgerliga infrastruktur med att individen måste acceptera Apples eller Googles kommersiella och integritetskränkande användarvillkor innebär att samtycket raderas ut av ett otillbörligt tvång. b) Otillåtet kopplingsförbehåll Artikel 7.4 GDPR föreskriver att det vid bedömningen av om samtycke har lämnats frivilligt maximalt ska tas hänsyn till om tillhandahållandet av en tjänst har gjorts beroende av samtycke till en personuppgiftsbehandling som inte är nödvändig för genomförandet av tjänsten (kopplingsförbehåll). Polismyndighetens arkitekturval skapar ett direkt kopplingsförbehåll: För att en medborgare ska kunna aktivera och använda sitt statliga e-id tvingas denne att ingå ett avtalsförhållande med en utländsk tredjepartsleverantör och underkasta sig den spårning och telemetri som sker på operativsystemsnivå. Denna personuppgiftsbehandling hos Apple och Google är, vilket tillsynsmyndigheten DIGG bekräftat, inte tekniskt nödvändig för att utföra själva identitetsverifieringen. Att Polismyndigheten ändå sammankopplar statlig myndighetsutövning med ett tvingande godkännande av kommersiella tredjepartsavtal strider direkt mot artikel 7.4 GDPR. Yrkande rörande punkt 2.7: Jag hemställer att IMY prövar om Polismyndighetens tekniska låsning till iOS och Android innebär ett otillåtet kopplingsförbehåll i strid med artikel 7.4 GDPR, samt förelägger myndigheten att tillhandahålla ett teknikneutralt distributions- och användningssätt som säkrar medborgarnas rätt till ett fritt och oberoende val. 2.8 Underlåtenhet att efterleva principen om laglighet, rättvisa och transparens (Artikel 5.1.a GDPR) Enligt artikel 5.1.a GDPR ska personuppgifter behandlas på ett lagligt, rättvist och transparent sätt i förhållande till den registrerade. Jag gör gällande och hemställer att IMY prövar om Polismyndighetens planerade systemarkitektur för Sverige-id bryter mot samtliga tre delar av denna fundamentala grundprincip: a) Bristande rättvisa och strukturellt tvång Principen om rättvis behandling innebär att personuppgifter inte får hanteras på ett sätt som är diskriminerande eller som medför oskäliga negativa konsekvenser för individen. Genom att villkora tillgången till den officiella statliga e-legitimationen med ett tvingande krav på att använda operativsystemen iOS eller Android, skapar Polismyndigheten en skadlig asymmetri. Medborgare som av ekonomiska, tekniska eller integritetsmässiga skäl inte äger eller vill använda dessa kommersiella plattformar exkluderas systematiskt från en statlig kärninfrastruktur. Att tvinga medborgare att ge upp sitt dataskydd på systemnivå och acceptera kommersiella tredjepartsvillkor för att kunna utöva sina medborgerliga rättigheter kan inte anses utgöra en rättvis behandling. b) Bristande transparens och urholkad informationsskyldighet (Artikel 13 GDPR) Transparensprincipen kräver att den registrerade ska ha fullständig insyn i hur dennes data behandlas och exponeras. Enligt artikel 13.1.e GDPR har Polismyndigheten en absolut skyldighet att informera om vilka mottagare som tar del av uppgifterna. Genom myndighetens skriftliga ställningstagande den 2026-04-15, där det uppges att frågor om applikationens personuppgiftsflöden till tredjepart behöver ”i första hand ställas till respektive tillhandahållare av de tekniska plattformarna”, har Polismyndigheten bekräftat att de själva saknar den insyn som krävs för att kunna uppfylla sin transparensskyldighet. När den personuppgiftsansvarige myndigheten inte kan redogöra för dataflödena, blir det rättsligt omöjligt för medborgaren att få den transparenta information som krävs för att kunna tillvarata sina rättigheter. c) Bristande laglighet För att en behandling ska vara laglig krävs en giltig och tillämplig rättslig grund enligt artikel 6, och behandlingen måste ske i överensstämmelse med unionens övriga rättsregler. Som utvecklats under punkt 2.6 och 2.7 har Polismyndigheten hittills underlåtit att precisera sin rättsliga grund, samtidigt som det valda distributionssättet medför ett otillåtet kopplingsförbehåll. En behandling som vilar på ogiltiga samtyckesstrukturer och som underlåter att iaktta kraven på inbyggt dataskydd uppfyller inte kravet på laglighet. Yrkande rörande punkt 2.8: Jag hemställer att IMY prövar om Polismyndighetens valda arkitektur och distributionsmodell för Sverige-id kränker principen om laglighet, rättvisa och transparens i artikel 5.1.a GDPR, samt förelägger myndigheten att utforma systemet så att det säkerställer en icke-diskriminerande, transparent och rättslig hantering för samtliga medborgare. 2.9 Underlåtenhet att förhindra ändamålsglidning och brott mot principen om ändamålsbegränsning (Artikel 5.1.b GDPR) Enligt artikel 5.1.b GDPR ska personuppgifter samlas in för särskilda, uttryckligt angivna och berättigade ändamål och får inte senare behandlas på ett sätt som är oförenligt med dessa ändamål (ändamålsbegränsning). Jag gör gällande att Polismyndighetens valda systemarkitektur för Sverige-id i praktiken omöjliggör efterlevnaden av denna princip på följande grunder: a) Oundviklig kommersiell vidarebehandling Det uttryckliga och berättigade ändamålet med det aktuella projektet är att tillhandahålla en säker, statlig infrastruktur för elektronisk identifiering av svenska medborgare. Genom att Polismyndigheten exklusivt låser denna infrastruktur till de proprietära operativsystemen iOS och Android, exponeras medborgarnas tekniska metadata, enhetsrelaterade information och IP-adresser oundvikligen för Apple och Google vid registrering och installation (vilket myndigheten bekräftat sker i svar den 2026-04-15). Dessa utländska privatföretag samlar in och behandlar denna typ av telemetri- och nätverksdata för ändamål som är helt främmande för svensk myndighetsutövning, såsom beteendebaserad profilering, kommersiell produktutveckling och annonsoptimering. b) Arkitekturvalet som en direkt orsak till överträdelsen Polismyndigheten har gjort ett tekniskt designval där acceptans av dessa kommersiella aktörers vidarebehandling görs till ett tvingande villkor för att en medborgare ska kunna använda sin statliga e-legitimation. Medborgaren har aldrig auktoriserat eller samtyckt till att dennes interaktion med svenska staten ska ligga till grund för kommersiell profilering hos utländska Tech-jättar. Genom att Polismyndigheten (enligt eget skriftligt medgivande den 2026-03-27, punkt 5.1) helt har underlåtit att utreda, dokumentera och utvärdera plattformsoberoende alternativ (såsom Linux, desktopmiljöer eller öppna standarder via en renodlad fysisk bärare), vilka skulle kunna isolera personuppgifterna till det ursprungliga identifieringsändamålet, har myndigheten aktivt byggt in en oacceptabel ändamålsglidning direkt i systemets kärna. Yrkande rörande punkt 2.9: Jag hemställer att IMY prövar om Polismyndighetens valda systemarkitektur och underlåtenhet att isolera personuppgifterna till det ursprungliga identifieringsändamålet strider mot artikel 5.1.b GDPR. Jag yrkar att IMY utfärdar ett föreläggande mot Polismyndigheten att redovisa: - Hur det primära och legitima ändamålet – att en svensk medborgare ska kunna autentisera sin identitet gentemot digital offentlig service – anses kräva eller rättfärdiga den oundvikliga genereringen och exponeringen av enhetsidentifierare, nätverksmetadata och telemetri till utländska kommersiella aktörer. - Hur myndigheten har vägt sitt systemarkitekturval mot de officiella, globala sekretess- och användarvillkor som Apple Inc. och Google LLC tillämpar, vari det uttryckligen framgår att insamlad telemetri- och enhetsdata vidarebehandlas för sekundära, kommersiella ändamål såsom beteendebaserad annonsering, spårning och profilering. - Huruvida Polismyndigheten har dokumenterat en medveten acceptans av denna kommersiella vidarebehandling under projekteringsfasen, eller om myndigheten har underlåtit att analysera plattformstillverkarnas öppna affärsmodeller i förhållande till kraven i artikel 5.1.b GDPR. - Vilka tekniska åtgärder som planeras för att fullständigt isolera medborgarnas personuppgifter till det ursprungliga identifieringsändamålet, eller utreda plattformsoberoende alternativ som eliminerar risken för ändamålsglidning. 2.10 Konkret påverkan på medborgaren – En strukturell och faktisk uteslutning Denna anmälan utgår från en faktisk situation för mig som svensk medborgare. Eftersom jag idag inte kan använda BankID, av exakt samma skäl som anges i detta klagomål (avsaknad av iOS/Android), såg jag den statliga e-legitimationen som min räddning ur ett långvarigt digitalt utanförskap. Med Polismyndighetens föreslagna lösning kommer jag dock att tvingas kvarstå i detta utanförskap. Som Linux-användare (eftersom Microsofts Windows innebär samma problematik gällande oundviklig överföring av telemetri och personuppgifter som iOS och Android) och innehavare av en mobiltelefon utan iOS eller Google Play Services, innebär Polismyndighetens valda implementation att jag stängs ute från möjligheten att använda Sverige-id. Jag kan därmed inte utöva min rätt till elektronisk identifiering på mitt eget val av teknik. I förlängningen innebär detta att avsaknaden av ett kommersiellt avtal med Google eller Apple ska avgöra om det överhuvudtaget går att leva ett normalt liv i Sverige och sköta sina myndighetskontakter. Det är en principvidrig ordning; jag hävdar med bestämdhet att jag som svensk medborgare ska kunna leva ett normalt liv utan att av staten avkrävas att ingå avtal med amerikanska bolag samt skicka min personuppgiftsdata dit. Valet att enbart stödja Apples och Googles slutna ekosystem innebär att jag och många andra medborgare lämnas praktiskt uteslutna från denna grundläggande statliga infrastruktur. Min situation är inte unik. Det finns en betydande grupp svenska medborgare som drabbas av exakt samma digitala utanförskap: - Medborgare som använder Linux på sina datorer (av arbetsrelaterade skäl, tekniska skäl eller integritetsskäl). - Medborgare som använder de-googlade Android-enheter (exempelvis GrapheneOS, LineageOS, Fairphone eller andra alternativ utan Google Play Services) för att skydda sin personliga integritet. - Medborgare som av principiella skäl vill begränsa sin löpande exponering för kommersiella plattformars telemetri och datainsamling. - Medborgare som av åldersmässiga, ekonomiska eller funktionella skäl inte äger eller kan hantera en modern smartphone. För dessa medborgare blir statens nya e-legitimation i praktiken en stängd dörr. De berövas möjligheten att logga in på myndighetssidor, hämta e-tjänster och tillvarata de digitala rättigheter som andra medborgare tar för givet. Tekniska lösningar för att undvika denna uteslutning existerar redan och är väl beprövade. Smartcard-baserad autentisering via en helt vanlig USB-kortläsare är en väletablerad teknik som används framgångsrikt av europeiska stater (exempelvis Tyskland och Österrike) för deras nationella e-legitimationer, samt av svenska finansiella institut. eIDAS-ramverket tillåter i allra högsta grad denna typ av plattformsoberoende och hårdvarubaserade lösningar, och expertmyndigheten DIGG har bekräftat att det svenska tillitsramverket är helt kompatibelt med detta. Polismyndigheten kan därför inte hävda att en plattformsoberoende lösning är tekniskt omöjlig eller oproportionerligt dyr. Att alternativet saknas beror helt och hållet på att det har ignorerats under design- och planeringsfasen. Detta härleds direkt till den totala avsaknad av konsekvensbedömningar (artikel 35) och analyser av inbyggt dataskydd (artikel 25) som denna anmälan adresserar. Resultatet av Polismyndighetens passivitet är en djup och oacceptabel motsägelse: Systemet påstås vara en statlig e-legitimation till för alla medborgare, men är i praktiken utformat för att stänga ute just de medborgare som värnar sin lagstadgade digitala integritet och suveränitet. 3. Sammanfattande bedömning Polismyndighetens utveckling av Sverige-id uppvisar en systematisk och medveten underlåtenhet att efterleva dataskyddsförordningens mest grundläggande krav under planerings- och designfasen. Genom att medvetet välja en exkluderande teknisk arkitektur utan att först genomföra föreskrivna konsekvensbedömningar (DPIA) eller analyser av inbyggt dataskydd (artikel 25), har myndigheten låst fast en hel nationell digital infrastruktur i ett läge där de i praktiken saknar kontroll över svenska medborgares personuppgifter. Att en statlig myndighet villkorar tillgången till grundläggande medborgerlig infrastruktur med att medborgaren tvingas in i utländska kommersiella ekosystem – och därmed exponeras för oundviklig telemetri, ändamålsglidning och tredjelandsöverföring – är inte förenligt med kraven på laglighet, rättvisa och transparens (artikel 5.1.a). 4. Slutliga yrkanden Med hänvisning till ovan anförda brister hemställer jag att Integritetsskyddsmyndigheten (IMY) skyndsamt utövar sina korrigerande befogenheter enligt artikel 58 GDPR och vidtar följande åtgärder: - Inledande av tillsyn: Att IMY skyndsamt inleder ett tillsynsärende mot Polismyndigheten för att granska efterlevnaden av artiklarna 5.1.a, 5.1.b, 5.1.c, 7.4, 24, 25, 35, 44 och 45 GDPR inom ramen för projektet Sverige-id. - Föreläggande om redovisning av dokumentation: Att IMY förelägger Polismyndigheten att omedelbart till tillsynsmyndigheten uppvisa en komplett konsekvensbedömning (DPIA) enligt artikel 35, en dokumenterad analys av inbyggt dataskydd enligt artikel 25, samt en skriftlig redogörelse för systemets avsedda rättsliga grund enligt artikel 6. - Tillsyn över dataöverföring och kontroll: Att IMY granskar lagligheten i de bekräftade dataflödena till Apple och Google, samt förelägger Polismyndigheten att visa hur de säkerställer att skyddsnivån för medborgarnas IP-adresser och enhetsdata inte undergrävs i strid med artikel 44 GDPR. - Krav på teknikneutralt alternativ: Att IMY förelägger Polismyndigheten att utreda och implementera en plattformsoberoende och dataminimerande lösning, exempelvis smartcard-/kortläsarbaserad autentisering via öppna standarder (såsom FIDO2), vilket tillsynsmyndigheten DIGG bekräftat är fullt tillåtet inom tillitsramverket. - Föreläggande om tidsplan för inkludering: Att Polismyndigheten föreläggs att senast den 1 september 2026 ha framme en dokumenterad handlingsplan för hur kortläsarbaserad autentisering eller andra plattformsoberoende alternativ ska tillgängliggöras. Om detta inte kan driftsättas före den planerade lanseringen den 1 december 2026, yrkas att funktionen ska vara implementerad senast den 1 januari 2027 för att minimera tiden i digitalt utanförskap för drabbade medborgare. - Villkorat föreläggande om lanseringspaus: För det fall att Polismyndigheten underlåter att presentera lagstadgad konsekvensbedömning (DPIA) och artikel 25-analys, eller om de tekniska flödena till tredjepart inte kan visas uppfylla förordningens krav, hemställs att IMY meddelar ett föreläggande om att pausa lanseringen och driften av Sverige-id till dess att laglighet har säkerställts. Härmed överlämnas ärendet för IMY:s vidare åtgärder. Jag står till myndighetens förfogande för ytterligare upplysningar eller tillhandahållande av den skriftväxling som ligger till grund för klagomålet.

2 2

Mejlväxling med Polismyndigheten om nya Sverige-id
by ByteVis 05 Nov '26

05 Nov '26

Nedan följer en tidigare mejlväxling jag haft med Polismyndigheten angående utvecklingen av den nya statliga e-legitimationen (Sverige-id). Svaren från Polismyndigheten har sedan använts i ett klagomål till Integritetsskyddsmyndigheten (IMY), vilket publiceras i en separat tråd. Texten är kopierad från olika PDF-filer, vilket gör att formateringen på enstaka ställen kan avvika, men jag har gjort mitt bästa för att återge originalet i sin helhet. Polismyndighetens diarienummer: A741.599/2025 -------------------------------------------------------------------------- Mottagare: registrator.kansli(a)polisen.se Datum: 2025-11-10 Ämne: Frågor om användning av statlig e-legitimation och EUDI Wallet Hej, Jag har förstått att Polismyndigheten, i enlighet med regeringens beslut den 31 mars 2025, har fått i uppdrag att utfärda en statlig e-legitimation på högsta tillitsnivå enligt EU:s eIDAS-förordning (eIDAS 2.0). Jag önskar få klarhet i följande: 1. Kommer det att gå att använda den statliga e-legitimationen på en dator med vilket operativsystem som helst (t.ex. Windows, macOS, Linux eller Chrome OS)? 2. Kommer användningen av den statliga e-legitimationen att kräva att jag använder EUDI Wallet för att logga in på myndigheters digitala tjänster? 3. Är det möjligt att använda den statliga e-legitimationen direkt, utan att använda EUDI Wallet eller någon annan digital identitetsplånbok – och i så fall, hur säkerställs interoperabilitet med EU:s krav? Om EUDI Wallet blir ett krav vill jag framföra min oro över att integrera den statliga e-legitimationen i kommersiella plattformars (Apple, Google, Microsoft) ekosystem, vilket riskerar att kollidera med flera GDPR-principer, såsom artikel 5.1.c (dataminimering), artikel 5.1.b (ändamålsbegränsning) och artikel 7.4 (frivilligt och informerat samtycke). Utifrån den information jag hittat tycks EUDI Wallet initialt endast vara tillgänglig som mobilapplikation för iOS eller Android (med potentiellt krav på Google Play Services för Android). Därför är jag orolig för att medborgare kan tvingas in i dessa kommersiella företags ekosystem för att få tillgång till viktiga samhällstjänster, särskilt de utan smartphone eller på alternativa plattformar som Linux, där dessa GDPR-principer och samtycke kan åsidosättas. Hur avser Polismyndigheten att säkerställa rätten till integritet och teknikneutral valfrihet i linje med eIDAS proportionalitetskrav? Finns det planerade alternativa lösningar för operativsystem som Linux eller telefoner utan Google Play Services, eller andra sätt att använda statlig e-legitimation utan EUDI Wallet? Vad är den förväntade tidsplanen för lansering, och hur integreras detta med befintliga e-legitimationer som BankID? Jag ser fram emot ett tydligt och formellt svar i denna fråga. Med vänlig hälsning -------------------------------------------------------------------------- Från: serviceavdelningen.kansli(a)polisen.se Datum: 2025-11-18 Ämne: Sv: Frågor om användning av statlig e-legitimation och EUDI Wallet Svar på frågor om statlig e-legitimation och EUDI Wallet Du har ställt tre frågor enligt ovan till Polismyndigheten. Dina frågor har fördelats till serviceavdelningen att besvara. Nedan redovisas frågorna och Polismyndighetens svar. 1 Statlig e-legitimation på dator Kommer det att gå att använda den statliga e-legitimationen på en dator med vilket operativsystem som helst (t.ex. Windows, macOS, Linux eller Chrome OS)? 1.1 Svar I det första skedet kommer användning på enheter med iOS och Android att stödjas. 2 Krävs EUDI Wallet? Kommer användningen av den statliga e-legitimationen att kräva att jag använder EUDI Wallet för att logga in på myndigheters digitala tjänster? 2.1 Svar Den statliga e-legitimationen är en fristående tjänst som godkänns inom Sverige och inom Europa i enlighet med eIDAS (EU-förordning om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden.) 3 E-legitimationen utan EUDI Wallet Är det möjligt att använda den statliga e-legitimationen direkt, utan att använda EUDI Wallet eller någon annan digital identitetsplånbok – och i så fall, hur säkerställs interoperabilitet med EU:s krav? 3.1 Svar Den statliga e-legitimationen kommer att kunna användas i enlighet eIDAS. Detta kommer att ske genom anslutning till Sweden Connect, som tillhandahålls genom Myndigheten för digital förvaltning. -------------------------------------------------------------------------- Mottagare: serviceavdelningen.kansli(a)polisen.se Datum: 2025-11-19 Ämne: Re: Sv: Frågor om användning av statlig e-legitimation och EUDI Wallet Hej, Jag återkommer med anledning av ert svar den 18 november 2025, som skickades som bifogad PDF. Bifogat till detta mejl finns: 1. Mitt ursprungliga mejl (PDF) 2. Ert svar (PDF) Begäran om diarienummer Enligt offentlighetsprincipen (TF 2 kap.) och Förvaltningslagen (2017:900) begär jag härmed att omedelbart få del av diarienumret för detta ärende. Diarienumret behövs för att jag ska kunna hänvisa korrekt i all framtida korrespondens och för att säkerställa att min uppföljning diarieförs i samma ärende. Uppföljning – obesvarade frågor Ert tidigare svar besvarade tyvärr inte merparten av mina frågor och inte heller de integritets- och teknikneutralitetsproblem jag lyfte. För tydlighetens skull upprepar jag här de frågor som fortfarande saknar svar: 1. Kommer den statliga e-legitimationen i något skede att kunna användas på datorer med Linux eller är den permanent begränsad till mobila enheter med iOS och Android? 2. Kommer det att krävas att medborgaren installerar och använder en EUDI-kompatibel plånbok för att kunna använda den statliga e-legitimationen vid inloggning till svenska myndigheters digitala tjänster? 3. Kommer det att finnas något tekniskt alternativ som gör det möjligt att använda den statliga e-legitimationen på hög tillitsnivå utan att tvingas installera en EUDI-plånbok (t.ex. via webbläsare, lokalt installerat program eller hårdvarutoken)? Om ja – hur ser det alternativet ut och när planeras det bli tillgängligt? 4. Hur avser Polismyndigheten att leva upp till eIDAS-förordningens krav på teknikneutralitet och proportionalitet samt DIGG:s riktlinjer om teknikneutralitet, när den första versionen enligt ert svar enbart stödjer iOS och Android? 5. Hur avser Polismyndigheten att säkerställa att medborgare inte tvingas in i kommersiella aktörers (Apple, Google, Microsoft m.fl.) ekosystem och därmed riskera brott mot GDPR artikel 5.1.b (ändamålsbegränsning), 5.1.c (dataminimering) och 7.4 (frivilligt samtycke) – särskilt för medborgare som använder Linux-datorer eller Android-telefoner utan Google Play Services? 6. Finns planer på en renodlad desktop-lösning eller annan lösning som fungerar utan Google Play Services, och i så fall när beräknas den bli tillgänglig? 7. Hur ser den konkreta tidsplanen ut för lansering av den statliga e-legitimationen? Kommer den att ersätta eller samexistera med dagens BankID-lösningar på lång sikt? 8. Kommer den statliga e-legitimationen att kunna användas för annan inloggning än till myndigheter (t.ex. banktjänster, regionernas hälsotjänster, apotek etc.) eller blir användningsområdet begränsat? Jag är medveten om att utvecklingen pågår och att vissa detaljer ännu inte är helt klara, men medborgarna har rätt att få tydlig information om vilka begränsningar och krav som kommer att gälla – särskilt när det rör grundläggande rättigheter som tillgång till samhällstjänster och skydd för den personliga integriteten. Jag ber att få ett komplett och tydligt svar på samtliga punkter ovan, samt diarienumret, senast inom den tid som följer av förvaltningslagen (20 arbetsdagar från det att detta mejl diarieförs). Med vänliga hälsningar -------------------------------------------------------------------------- Från: serviceavdelningen.kansli(a)polisen.se Datum: 2025-11-25 Ämne: Re: Sv: Frågor om användning av statlig e-legitimation och EUDI Wallet Svar på kompletterande frågor om statlig e-legitimation och EUDI Wallet Du har ställt ett antal kompletterande frågor enligt ovan till Polismyndigheten. Dina frågor, liksom de inledande frågorna, har fördelats till serviceavdelningen att besvara. Nedan redovisas frågorna och Polismyndighetens svar. 1 Statlig e-legitimation på dator Kommer den statliga e-legitimationen i något skede att kunna användas på datorer med Linux eller är den permanent begränsad till mobila enheter med iOS och Android? 1.1 Svar Det som ännu är beslutat är att det i första skedet kommer att stödjas iOS och Android. 2 Krav på EUDI-kompatibel plånbok Kommer det att krävas att medborgaren installerar och använder en EUDI-kompatibel plånbok för att kunna använda den statliga e-legitimationen vid inloggning till svenska myndigheters digitala tjänster? 2.1 Svar Den statliga e-legitimationen är en fristående tjänst, det kommer alltså inte krävas en EUDI-kompatibel plånbok. 3 Alternativ till EUDI-kompatibel plånbok Kommer det att finnas något tekniskt alternativ som gör det möjligt att använda den statliga e-legitimationen på hög tillitsnivå utan att tvingas installera en EUDI-plånbok (t.ex. via webbläsare, lokalt installerat program eller hårdvarutoken)? Om ja – hur ser det alternativet ut och när planeras det bli tillgängligt? 3.1 Svar Den statliga e-legitimationen är en fristående tjänst, det kommer alltså inte krävas en EUDI-kompatibel plånbok. Det är regeringen som fattar beslut om när den statliga e-legitimationen ska lanseras. Eventuellt krävs dessutom ett riksdagsbeslut i frågan. Det senaste regeringsbeslutet i ärendet fattades den 27 mars (Uppdrag att utfärda en statlig e-legitimation på högsta tillitsnivå, Ju2025/00740). 4 Teknikneutralitet och proportionalitet Hur avser Polismyndigheten att leva upp till eIDAS-förordningens krav på teknikneutralitet och proportionalitet samt DIGG:s riktlinjer om teknikneutralitet, när den första versionen enligt ert svar enbart stödjer iOS och Android? 4.1 Svar I eIDAS föreskrivs interoperabilitet mellan nationella system för elektronisk identifiering mellan EU:s medlemsstater. Detta kräver utveckling av ett teknikneutralt ramverk som inte gynnar någon särskild teknisk lösning för införande av e-legitimation. Hur sådana krav ska realiseras i praktiken kommer EU och medlemsländerna behöva ta ställning till de kommande åren. 5 Kommersiella aktörer Hur avser Polismyndigheten att säkerställa att medborgare inte tvingas in i kommersiella aktörers (Apple, Google, Microsoft m.fl.) ekosystem och därmed riskera brott mot GDPR artikel 5.1.b (ändamålsbegränsning), 5.1.c (dataminimering) och 7.4 (frivilligt samtycke) – särskilt för medborgare som använder Linux-datorer eller Android-telefoner utan Google Play Services? 5.1 Svar Se svar 4.1. 6 Desktop-lösning Finns planer på en renodlad desktop-lösning eller annan lösning som fungerar utan Google Play Services, och i så fall när beräknas den bli tillgänglig? 6.1 Svar Det finns i nuläget inte några sådana planer. 7 Konkret tidplan Hur ser den konkreta tidsplanen ut för lansering av den statliga e-legitimationen? Kommer den att ersätta eller samexistera med dagens BankID-lösningar på lång sikt? 7.1 Svar Lagstiftaren kommer att besluta en tidplan för införandet av den statliga e-legitimationen. 8 Annan inloggning än myndigheter Kommer den statliga e-legitimationen att kunna användas för annan inloggning än till myndigheter (t.ex. banktjänster, regionernas hälsotjänster, apotek etc.) eller blir användningsområdet begränsat? 8.1 Svar Huruvida andra aktörer än de statliga önskar använda den statliga e-legitimationen är en fråga för dessa aktörer. Polismyndigheten kommer att återkomma med mer information om praktiska möjligheter till sådan användning längre fram i tiden. Det kan dock redan nu konstateras att de statliga e-legitimationerna är ämnade att tillhandahållas inom ramen för lag (2023:704) om auktorisationssystem i fråga om tjänster för elektronisk identifiering och för digital post, vilket innebär att flera offentliga aktörer än endast statliga myndigheter kommer att erbjuda de aktuella tjänsterna. -------------------------------------------------------------------------- Mottagare: serviceavdelningen.kansli(a)polisen.se Datum: 2026-02-21 Ämne: Kompletterande frågor om statlig e‑legitimation och teknikneutralitet (dnr A741.599/2025) Hej, Tack för ert svar den 25 november 2025 i ärende A741.599/2025. Detta mejl är ett svar i samma ärende för att säkerställa korrekt diarieföring av konversationen. Jag konstaterar att flera av mina frågor fortfarande inte besvaras i sak, utan endast mycket övergripande. För att kunna ta ställning till hur den statliga e‑legitimationen påverkar min och andras möjlighet att använda offentliga e‑tjänster på ett teknikneutralt och integritetsvänligt sätt behöver jag mer konkreta besked. Nedan preciserar jag vad som fortfarande är oklart. 1. Stöd för Linux och andra desktopmiljöer. I ert svar anger ni endast att det i första skedet kommer att stödjas iOS och Android. Min fråga gällde särskilt om det finns någon avsikt eller inriktning att den statliga e‑legitimationen på sikt ska kunna användas på datorer med Linux eller på Android-telefoner utan Google Play Services, eller om Polismyndighetens plan är att permanent begränsa användningen till kommersiella ekosystem (Apple/Google/Microsoft)? Jag ber om ett klargörande om vilken övergripande inriktning Polismyndigheten har i denna fråga, även om alla detaljer ännu inte är beslutade. 2. Konkret teknisk lösning utan EUDI‑plånbok. Ni anger att den statliga e‑legitimationen är en fristående tjänst och att det därför inte kommer att krävas en EUDI‑kompatibel plånbok. Min fråga gällde dock vilken konkret teknisk lösning som då avses för användning på hög tillitsnivå, exempelvis: webbläsarbaserad lösning, lokal klientprogramvara, smartkort/hårdvarutoken eller annan lösning. Jag önskar en mer tekniskt konkret beskrivning av hur inloggning till svenska myndigheters e‑tjänster är tänkt att fungera utan EUDI‑plånbok, samt om denna lösning kommer att vara oberoende av specifika mobilplattformar (iOS/Android). 3. Teknikneutralitet, fysisk bärare och proportionalitet. I ert svar på fråga 4 återger ni eIDAS‑förordningens krav på interoperabilitet och teknikneutralitet på en övergripande nivå, men inte hur Polismyndigheten själv avser att praktiskt leva upp till dessa krav när man i första skedet endast planerar stöd för iOS och Android. I Finansdepartementets pressmeddelande den 22 januari 2026 om den statliga e‑legitimationen anges att e‑legitimationen ”ska finnas på en fysisk bärare, till exempel ett eget kort eller det nationella id‑kortet”. En e‑legitimation på en fysisk bärare, utformad med öppna och väletablerade standarder, möjliggör i princip användning tillsammans med valfri enhet som kan läsa den fysiska bäraren, oavsett operativsystem. Mot denna bakgrund ber jag om ett förtydligande av: – Hur Polismyndigheten bedömer att ett initialt stöd enbart för iOS/Android är förenligt med kravet på teknikneutralitet och proportionalitet. – Hur denna inriktning harmoniserar med regeringens uttalade ambition om en fysisk bärare som ska vara tillgänglig för så många som möjligt. – Om det finns någon plan att vid ett senare skede erbjuda en lösning som inte förutsätter ägande av smartphone från Apple eller Google. 4. GDPR och risken att tvingas in i kommersiella ekosystem. På min tidigare fråga om hur Polismyndigheten avser att säkerställa att medborgare inte i praktiken tvingas in i de kommersiella ekosystem som Apple, Google m.fl. kontrollerar – med hänvisning bland annat till GDPR artikel 5.1 b (ändamålsbegränsning), 5.1 c (dataminimering) och 7.4 (frivilligt samtycke) – hänvisar ni endast till ert svar på fråga 4. Jag ber särskilt om ett tydligt ställningstagande i följande situationer: – Medborgare som använder Linux‑datorer. – Medborgare som använder Android‑telefoner utan Google Play Services. – Medborgare som inte har smartphone över huvud taget. Vilka konkreta alternativ ska dessa personer ha för att kunna använda den statliga e‑legitimationen på högsta tillitsnivå, utan att behöva ansluta sig till Microsoft-, Apple‑ eller Google‑ekosystemen? Hur säkerställer lösningen tillgänglighet enligt DOS-lagen (2018:1177) för medborgare som inte kan eller vill använda smartphones? Ni bekräftar i ert svar 6.1 att det saknas planer för desktop-lösningar eller lösningar utan Google Play Services. Innebär detta att Polismyndighetens officiella ställningstagande är att medborgare som av integritetsskäl eller tekniska skäl inte använder Googles eller Apples ekosystem exkluderas från möjligheten att använda den statliga e-legitimationen på högsta tillitsnivå? Hur rimmar detta med proportionalitetsprincipen i eIDAS-förordningen och kravet att e-legitimationen ska vara tillgänglig för så många som möjligt? Vidare, hur bedömer Polismyndigheten beroendet av utländska plattformsägares (Apple/Google) kontroll över app-distribution ur ett perspektiv på svensk digital suveränitet? 5. Dataskydd genom design (artikel 25 GDPR). Har Polismyndigheten, inom ramen för uppdraget om statlig e‑legitimation, genomfört någon dokumenterad bedömning enligt artikel 25 GDPR (dataskydd genom design och som standard) där bland annat följande aspekter analyseras: – Nödvändighet och proportionalitet i att initialt begränsa användningen till iOS/Android. – Beroendet av Apple/Google och den ytterligare personuppgiftsbehandling som dessa plattformar medför. – Möjliga alternativ med hög eller mycket hög säkerhetsnivå som samtidigt är mer plattformsoberoende och integritetsskyddande (t.ex. FIDO2/WebAuthn, hårdvarutoken eller andra lösningar) samt skälen till att eventuella sådana alternativ inte valts. Om en sådan bedömning har genomförts ber jag att ni i vart fall i sak redogör för de huvudsakliga överväganden och slutsatser som gjorts i dessa frågor. 6. Konsekvensbedömning (DPIA) enligt artikel 35 GDPR. Har Polismyndigheten genomfört en konsekvensbedömning avseende dataskydd (DPIA) enligt artikel 35 GDPR för den statliga e‑legitimationen? – Om ja, omfattar den uttryckligen riskerna kopplade till beroende av tredjepartsplattformar (Apple/Google) och dessa aktörers datainsamling i samband med användning av e‑legitimationen? – Jag ber i så fall om en sammanfattande redogörelse för hur dessa risker har identifierats, bedömts och vilka åtgärder som planeras för att minska dem. 7. Relation till befintliga e‑legitimationer såsom BankID. På min fråga om den konkreta tidsplanen för lansering samt relationen till dagens BankID‑lösningar svarar ni att lagstiftaren kommer att besluta en tidplan. Min fråga gällde dock även hur Polismyndigheten ser på relationen till befintliga lösningar, särskilt BankID: – Är myndighetens inriktning att den statliga e‑legitimationen långsiktigt ska samexistera med BankID och andra kommersiella e‑legitimationer, eller är målsättningen att den statliga lösningen på sikt ska ersätta dessa? Jag ber om Polismyndighetens bedömning/inriktning i denna fråga, med utgångspunkt i de regeringsuppdrag som finns. 8. Användningsområde utanför statliga myndigheter. I ert svar på min tidigare fråga anger ni att det är upp till andra aktörer om de önskar använda den statliga e‑legitimationen, och hänvisar till lag (2023:704). Min fråga gällde om Polismyndigheten avser att utforma den statliga e‑legitimationen och dess anslutningsmodeller så att det faktiskt blir praktiskt möjligt för t.ex. banker, regioner och apotek att ansluta sig. Jag ber därför om besked om Polismyndigheten, inom ramen för sitt uppdrag, planerar att möjliggöra sådan användning genom tekniska och avtalsmässiga lösningar, eller om det i praktiken endast är statliga myndigheters e‑tjänster som är i fokus. Jag är medveten om att allt ännu inte är slutligt beslutat. Min begäran är därför inte att få detaljerade tekniska specifikationer, utan att få del av den övergripande inriktning, plan och bedömning som Polismyndigheten arbetar efter, så långt det är möjligt utifrån gällande regeringsuppdrag. Jag ber att dessa frågor besvaras skriftligen inom skälig tid enligt förvaltningslagen, och att svaret diarieförs i samma ärende (dnr A741.599/2025). Med vänlig hälsning -------------------------------------------------------------------------- Från: serviceavdelningen.kansli(a)polisen.se Datum: 2026-02-26 Ämne: Kompletterande frågor om statlig e-legitimation och teknikneutralitet (dnr A741.599/2025) Svar på kompletterande frågor om statlig e-legitimation och EUDI Wallet Du har ställt ett antal kompletterande frågor till Polismyndigheten i angivet ärende. Dina frågor, liksom de inledande frågorna, har fördelats till serviceavdelningen att besvara. Nedan redovisas frågorna och Polismyndighetens svar. 1 Stöd för Linux och andra desktopmiljöer I ert svar anger ni endast att det i första skedet kommer att stödjas iOS och Android. Min fråga gällde särskilt om det finns någon avsikt eller inriktning att den statliga e-legitimationen på sikt ska kunna användas på datorer med Linux eller på Android-telefoner utan Google Play Services, eller om Polismyndighetens plan är att permanent begränsa användningen till kommersiella ekosystem (Apple/Google/Microsoft)? Jag ber om ett klargörande om vilken övergripande inriktning Polismyndigheten har i denna fråga, även om alla detaljer ännu inte är beslutade. 1.1 Svar Det finns i nuläget inte några beslut eller planer förutom stöd för iOS och Android. 2 Konkret teknisk lösning utan EUDI-plånbok Ni anger att den statliga e-legitimationen är en fristående tjänst och att det därför inte kommer att krävas en EUDI-kompatibel plånbok. Min fråga gällde dock vilken konkret teknisk lösning som då avses för användning på hög tillitsnivå, exempelvis: webbläsarbaserad lösning, lokal klientprogramvara, smartkort/hårdvarutoken eller annan lösning. Jag önskar en mer tekniskt konkret beskrivning av hur inloggning till svenska myndigheters e-tjänster är tänkt att fungera utan EUDI-plånbok, samt om denna lösning kommer att vara oberoende av specifika mobilplattformar (iOS/Android). 2.1 Svar Polismyndigheten kommer att återkomma med en beskrivning av hur inloggning med mera ska ske. Information om detta kommer att publiceras på Polismyndighetens webbplats. Avseende plattformsstöd, se svar 1.1 ovan. 3 Teknikneutralitet, fysisk bärare och proportionalitet I ert svar på fråga 4 återger ni eIDAS-förordningens krav på interoperabilitet och teknikneutralitet på en övergripande nivå, men inte hur Polismyndigheten själv avser att praktiskt leva upp till dessa krav när man i första skedet endast planerar stöd för iOS och Android. I Finansdepartementets pressmeddelande den 22 januari 2026 om den statliga e-legitimationen anges att e-legitimationen ”ska finnas på en fysisk bärare, till exempel ett eget kort eller det nationella id-kortet”. En e-legitimation på en fysisk bärare, utformad med öppna och väletablerade standarder, möjliggör i princip användning tillsammans med valfri enhet som kan läsa den fysiska bäraren, oavsett operativsystem. Mot denna bakgrund ber jag om ett förtydligande av: – Hur Polismyndigheten bedömer att ett initialt stöd enbart för iOS/Android är förenligt med kravet på teknikneutralitet och proportionalitet. – Hur denna inriktning harmoniserar med regeringens uttalade ambition om en fysisk bärare som ska vara tillgänglig för så många som möjligt. – Om det finns någon plan att vid ett senare skede erbjuda en lösning som inte förutsätter ägande av smartphone från Apple eller Google. 3.1 Svar Polismyndigheten kommer att ta fram en teknisk lösning som realiserar de krav som lagstiftaren ställer. I eIDAS föreskrivs som sagt interoperabilitet mellan nationella system för elektronisk identifiering mellan EU:s medlemsstater. Detta kräver utveckling av ett teknikneutralt ramverk som inte gynnar någon särskild teknisk lösning för införande av e-legitimation. Hur sådana krav ska realiseras i praktiken kommer EU och medlemsländerna behöva ta ställning till de kommande åren. Frågan om vilket stöd för olika tekniska plattformar som ska erbjudas är därmed i första hand en fråga för lagstiftaren. Övrigt avseende plattformsstöd, se svar 1.1 ovan. 4 GDPR och risken att tvingas in i kommersiella ekosystem På min tidigare fråga om hur Polismyndigheten avser att säkerställa att medborgare inte i praktiken tvingas in i de kommersiella ekosystem som Apple, Google m.fl. kontrollerar – med hänvisning bland annat till GDPR artikel 5.1 b (ändamålsbegränsning), 5.1 c (dataminimering) och 7.4 (frivilligt samtycke) – hänvisar ni endast till ert svar på fråga 4. Jag ber särskilt om ett tydligt ställningstagande i följande situationer: – Medborgare som använder Linux-datorer. – Medborgare som använder Android-telefoner utan Google Play Services. – Medborgare som inte har smartphone över huvud taget. Vilka konkreta alternativ ska dessa personer ha för att kunna använda den statliga e-legitimationen på högsta tillitsnivå, utan att behöva ansluta sig till Microsoft-, Apple- eller Google-ekosystemen? Hur säkerställer lösningen tillgänglighet enligt DOS-lagen (2018:1177) för medborgare som inte kan eller vill använda smartphones? Ni bekräftar i ert svar 6.1 att det saknas planer för desktop-lösningar eller lösningar utan Google Play Services. Innebär detta att Polismyndighetens officiella ställningstagande är att medborgare som av integritetsskäl eller tekniska skäl inte använder Googles eller Apples ekosystem exkluderas från möjligheten att använda den statliga e-legitimationen på högsta tillitsnivå? Hur rimmar detta med proportionalitetsprincipen i eIDAS-förordningen och kravet att e-legitimationen ska vara tillgänglig för så många som möjligt? Vidare, hur bedömer Polismyndigheten beroendet av utländska plattformsägares (Apple/Google) kontroll över app-distribution ur ett perspektiv på svensk digital suveränitet? 4.1 Svar Polismyndigheten har inte tagit ställning i sådana it-politiska frågor som du berör ovan, utan nöjer sig med att leva upp till gällande rätt. Det kan också noteras att Polismyndigheten, på dataskyddets område, står under tillsyn av Integritetsskyddsmyndigheten. Avseende lagen (2018:1937) om tillgänglighet till digital offentlig service, den så kallade DOS-lagen, så kommer Polismyndigheten i tillämpliga delar att leva upp till kraven som ställs. Det kan noteras att Myndigheten för digital förvaltning, Digg, enligt tillhörande förordning (2018:1938) utövar tillsyn på området och i denna flera gånger granskat Polismyndigheten. 5 Dataskydd genom design (artikel 25 GDPR) Har Polismyndigheten, inom ramen för uppdraget om statlig e-legitimation, genomfört någon dokumenterad bedömning enligt artikel 25 GDPR (dataskydd genom design och som standard) där bland annat följande aspekter analyseras: – Nödvändighet och proportionalitet i att initialt begränsa användningen till iOS/Android. – Beroendet av Apple/Google och den ytterligare personuppgiftsbehandling som dessa plattformar medför. – Möjliga alternativ med hög eller mycket hög säkerhetsnivå som samtidigt är mer plattformsoberoende och integritetsskyddande (t.ex. FIDO2/WebAuthn, hårdvarutoken eller andra lösningar) samt skälen till att eventuella sådana alternativ inte valts. Om en sådan bedömning har genomförts ber jag att ni i vart fall i sak redogör för de huvudsakliga överväganden och slutsatser som gjorts i dessa frågor. 5.1 Svar Polismyndigheten har en väl utvecklad process för dataskydd. Det kan i sammanhanget noteras att sådana e-legitimationer på högsta tillitsnivå också ska granskas och godkännas både av svenska myndigheter och av EU. I denna granskning ingår en bedömning av de tekniska plattformar och de processer, som tillämpas (Se lag (2023:704) om auktorisationssystem respektive förordning (2023:709) om auktorisationssystem.). Den statliga e-legitimationen är även ansluten till tillitsramverket för Svensk e-legitimation som etablerar gemensamma krav för utfärdare av Myndigheten för digital förvaltning (Digg) granskade och godkända e-legitimationer. Även i denna granskning ingår moment som avser dataskyddet. 6 Konsekvensbedömning (DPIA) enligt artikel 35 GDPR Har Polismyndigheten genomfört en konsekvensbedömning avseende dataskydd (DPIA) enligt artikel 35 GDPR för den statliga e-legitimationen? – Om ja, omfattar den uttryckligen riskerna kopplade till beroende av tredjepartsplattformar (Apple/Google) och dessa aktörers datainsamling i samband med användning av e-legitimationen? – Jag ber i så fall om en sammanfattande redogörelse för hur dessa risker har identifierats, bedömts och vilka åtgärder som planeras för att minska dem. 6.1 Svar Se svar 5.1 ovan. Polismyndigheten har givetvis även flera dataskyddsombud som övervakar att myndigheten följer dataskyddsförordningen vid behandling av personuppgifter. 7 Relation till befintliga e-legitimationer såsom BankID På min fråga om den konkreta tidsplanen för lansering samt relationen till dagens BankID-lösningar svarar ni att lagstiftaren kommer att besluta en tidplan. Min fråga gällde dock även hur Polismyndigheten ser på relationen till befintliga lösningar, särskilt BankID: – Är myndighetens inriktning att den statliga e-legitimationen långsiktigt ska samexistera med BankID och andra kommersiella e-legitimationer, eller är målsättningen att den statliga lösningen på sikt ska ersätta dessa? Jag ber om Polismyndighetens bedömning/inriktning i denna fråga, med utgångspunkt i de regeringsuppdrag som finns. 7.1 Svar Polismyndigheten har inga synpunkter på om och hur BankID ska samexistera med den statliga e-legitimationen. 8 Användningsområde utanför statliga myndigheter I ert svar på min tidigare fråga anger ni att det är upp till andra aktörer om de önskar använda den statliga e-legitimationen, och hänvisar till lag (2023:704). Min fråga gällde om Polismyndigheten avser att utforma den statliga e-legitimationen och dess anslutningsmodeller så att det faktiskt blir praktiskt möjligt för t.ex. banker, regioner och apotek att ansluta sig. Jag ber därför om besked om Polismyndigheten, inom ramen för sitt uppdrag, planerar att möjliggöra sådan användning genom tekniska och avtalsmässiga lösningar, eller om det i praktiken endast är statliga myndigheters e-tjänster som är i fokus. 8.1 Svar Den statliga e-legitimationen kommer som sagt att anslutas till auktorisationssystemet. Genom samma system kommer den att frivilligt tillgängliggöras för andra aktörer, än de som omfattas av obligatoriet i systemet. -------------------------------------------------------------------------- Mottagare: serviceavdelningen.kansli(a)polisen.se Datum: 2026-03-15 Ämne: Begäran om utlämnande av handlingar rörande statlig e-legitimation (dnr A741.599/2025) Hej, Tack för ert svar den 26 februari 2026 i ärende A741.599/2025. Mot bakgrund av de uppgifter ni lämnat i detta och tidigare svar samt regeringens uppdrag till Polismyndigheten att utforma och utfärda en statlig e‑legitimation som bland annat ska kunna finnas på en fysisk bärare, begär jag härmed, med stöd av 2 kap. tryckfrihetsförordningen, att omedelbart få ta del av följande allmänna handlingar i elektronisk form (t.ex. pdf via e‑post), i den mån de finns upprättade eller inkomna hos Polismyndigheten: 1. Eventuella konsekvensbedömningar avseende dataskydd (DPIA) enligt artikel 35 GDPR som avser den statliga e‑legitimationen, inklusive bilagor. 2. Dokumenterade bedömningar enligt artikel 25 GDPR ("dataskydd genom design och som standard") som avser den statliga e‑legitimationen, i synnerhet sådana där följande frågor berörs: – Valet att initialt begränsa användningen till iOS/Android. – Beroendet av Apple/Google och personuppgiftsbehandling kopplad till dessa plattformar. – Överväganden kring alternativa lösningar (t.ex. FIDO2/WebAuthn, hårdvarutoken, fysisk bärare mot desktop m.m.) och skälen till att sådana eventuella alternativ inte valts. 3. Tekniska inriktningsbeslut, kravspecifikationer eller andra beslutsunderlag där plattformsstödet för den statliga e‑legitimationen fastställs, inklusive uppgifter om att stöd i nuläget endast planeras för iOS och Android. 4. Riskanalyser, beslutsunderlag eller utredningar där frågor om: – Teknikneutralitet och proportionalitet enligt eIDAS. – Tillgänglighet enligt DOS‑lagen (2018:1177). – Risken för digitalt utanförskap för personer utan iOS/Android‑enheter har behandlats inom ramen för arbetet med den statliga e‑legitimationen. 5. Dokumentation inklusive protokoll, tjänsteanteckningar eller utredningsrapporter som ligger till grund för de uppgifter ni lämnat i svarspunkterna 4.1, 5.1 och 6.1 i ert mejl den 26 februari 2026. 6. Handlingar som rör genomförandet av regeringens uppdrag att ta fram en statlig e‑legitimation på högsta tillitsnivå, i den del som avser utformningen av e‑legitimationen på en fysisk bärare (t.ex. eget kort eller nationellt id‑kort) och hur denna lösning ska göras tillgänglig på ett teknikneutralt sätt. Här avser jag särskilt beslutsunderlag, inriktningsbeslut, kravspecifikationer eller annan dokumentation där Polismyndigheten analyserar eller tar ställning till hur uppdraget om fysisk bärare ska genomföras i relation till plattformsstöd, teknikneutralitet, tillgänglighet och proportionalitet. I den mån sådana handlingar explicit hänvisar till regeringens beslut (Ju2025/00740) eller till regeringens pressmeddelande den 23 januari 2026 om statlig e‑legitimation, omfattas de av denna begäran. 7. Korrespondens (e‑post och tjänsteanteckningar) mellan Polismyndigheten och Myndigheten för digital förvaltning (Digg) rörande tolkningen av teknikneutralitet och plattformsstöd för den statliga e‑legitimationen. Om någon av de efterfrågade handlingarna helt eller delvis omfattas av sekretess ber jag att ni lämnar ut handlingarna med maskering i de delar som bedöms sekretessbelagda, i enlighet med 2 kap. 15 § tryckfrihetsförordningen. Jag ber att få handlingarna expedierade skyndsamt via e‑post till denna adress. Om ni bedömer att vissa av de efterfrågade handlingarna inte finns hos Polismyndigheten ser jag gärna att ni kort anger detta för respektive punkt. Jag utgår från att denna begäran och ert eventuella svar diarieförs i samma ärende (dnr A741.599/2025). Med vänlig hälsning -------------------------------------------------------------------------- Mottagare: serviceavdelningen.kansli(a)polisen.se Datum: 2026-03-18 Ämne: Uppföljning med anledning av DIGG:s svar om statlig e-legitimation (dnr A741.599/2025) Hej, Jag hänvisar till vår tidigare korrespondens i ärende A741.599/2025 rörande den statliga e‑legitimationen på högsta tillitsnivå samt till de svar jag nu fått från Myndigheten för digital förvaltning (DIGG). DIGG uppger bland annat följande i sitt svar till mig: - Att tillitsramverket för Svensk e‑legitimation är teknikneutralt och inte innehåller krav som kopplar till specifika plattformar eller operativsystem. - Att motsvarande europeiska tillitsramverk i eIDAS genomförandeförordning (EU) 2015/1502 inte heller ställer krav på viss plattform. - Att Sweden Connect bygger på öppna standarder och inte reglerar vilka enheter eller operativsystem en specifik e‑legitimation ska stödja. - Att "Tillitsramverket beskriver vad som ska uppnås men inte hur. Det ger alltså stort utrymme för en utfärdare att utforma sin lösning". - Att frågor om plattformsstöd, tillgänglighet och användbarhet för den statliga e‑legitimationen är Polismyndighetens ansvar. DIGG anger vidare att det, utifrån tillitsramverket för en e‑legitimation på högsta tillitsnivå, är möjligt att utforma en plattformsoberoende lösning och att ramverket inte innehåller några krav som hindrar en sådan utformning. Mot denna bakgrund ber jag om ett förtydligande och mer preciserade svar från Polismyndigheten på följande punkter: 1. Polismyndighetens ansvar för plattformsval. DIGG klargör att varken eIDAS, genomförandeförordningen eller tillitsramverket ställer krav på att den statliga e‑legitimationen ska vara begränsad till iOS och Android, samt att det är Polismyndigheten som ansvarar för plattformsstöd, tillgänglighet och användbarhet. Jag ber därför att Polismyndigheten bekräftar att beslutet/inriktningen att i nuläget endast stödja iOS och Android (och att sakna planer för Linux/desktop, Android utan Google Play Services eller personer utan smartphone) är ett medvetet val av Polismyndigheten, och inte en följd av krav från DIGG, Sweden Connect eller eIDAS. 2. Bedömning av teknikneutralitet och proportionalitet utifrån eget plattformsval. Mot bakgrund av att DIGG uttryckligen anger att en plattformsoberoende lösning på högsta tillitsnivå är möjlig inom tillitsramverket, ber jag att Polismyndigheten redogör för sin egen bedömning av: - Hur ett plattformsval som i praktiken utesluter Linux‑användare, Android utan Google Play Services och personer utan smartphone är förenligt med kraven på teknikneutralitet och proportionalitet. - Hur Polismyndigheten vägt detta mot regeringens uttalade ambition om en fysisk bärare och bred tillgänglighet. 3. Risk för ökat beroende av kommersiella ekosystem. I dag är svenska e‑legitimationer redan i stor utsträckning beroende av kommersiella plattformar. En statlig e‑legitimation som på högsta tillitsnivå begränsas till iOS/Android riskerar att förstärka detta beroende ytterligare. Mot bakgrund av DIGG:s uppgift att tillitsramverket inte kräver en sådan plattformsbegränsning ber jag att Polismyndigheten redogör för om och hur man: - Har analyserat risken för ökat beroende av Apple/Google/Microsoft‑ekosystemen. - Har vägt detta mot alternativa, mer plattformsoberoende lösningar (t.ex. fysisk bärare mot desktop, FIDO2/WebAuthn, smartkort). - Hur detta förhåller sig till proportionalitetsprincipen i eIDAS och till målet att e‑legitimationen ska vara tillgänglig för så många som möjligt. 4. Tillgänglighet och DOS‑lagen i ljuset av DIGG:s avgränsning. DIGG anger i sitt svar att DOS‑lagen avser digital tillgänglighet i bemärkelsen att ingen ska hindras från att uppfatta och hantera digital service till följd av funktionsnedsättning, och att DIGG uppfattar mina frågor som avseende en annan typ av tillgänglighet (plattform/enhet). Jag ber därför att Polismyndigheten, som ansvarig utfärdare, redogör för: - Hur myndigheten bedömer tillgänglighet och risken för digitalt utanförskap för användare utan iOS/Android‑enheter. - Hur detta dokumenterats inom ramen för uppdraget (t.ex. i riskanalyser, konsekvensbedömningar eller andra beslutsunderlag). 5. Dataskydd genom design (artikel 25 GDPR) i ljuset av DIGG:s besked. DIGG konstaterar att tillitsramverket inte hindrar en plattformsoberoende lösning. Med hänsyn till detta ber jag att Polismyndigheten närmare redogör för: - Hur kraven i artikel 25 GDPR (dataskydd genom design och som standard) konkret har beaktats i valet att initialt begränsa den statliga e‑legitimationen till iOS/Android, - Om alternativa, mer plattformsoberoende lösningar har analyserats ur ett dataskyddsperspektiv, och vilka skäl som legat till grund för att dessa inte valts. Jag är medveten om att utvecklingen pågår och att DIGG:s granskning ännu inte är avslutad. Min begäran är därför inte att få del av ett slutligt läge, utan att Polismyndigheten – så långt det är möjligt – redogör för sina egna bedömningar och överväganden utifrån det ansvar och det handlingsutrymme som DIGG nu klargjort att myndigheten har. Jag ber att detta mejl diarieförs i samma ärende (dnr A741.599/2025) och att jag får ett skriftligt svar inom skälig tid enligt förvaltningslagen. Med vänlig hälsning -------------------------------------------------------------------------- Från: serviceavdelningen.kansli(a)polisen.se Datum: 2026-03-27 Ämne: Sv: Uppföljning med anledning av DIGG:s svar om statlig e-legitimation (dnr A741.599/2025) Svar på begäran om uppgifter med mera Du har begärt ett antal uppgifter. Nedan redovisas respektive begäran och Polismyndighetens svar. 1 Polismyndighetens ansvar för plattformsval DIGG klargör att varken eIDAS, genomförandeförordningen eller tillitsramverket ställer krav på att den statliga e-legitimationen ska vara begränsad till iOS och Android, samt att det är Polismyndigheten som ansvarar för plattformsstöd, tillgänglighet och användbarhet. Jag ber därför att Polismyndigheten bekräftar att beslutet/inriktningen att i nuläget endast stödja iOS och Android (och att sakna planer för Linux/desktop, Android utan Google Play Services eller personer utan smartphone) är ett medvetet val av Polismyndigheten, och inte en följd av krav från DIGG, Sweden Connect eller eIDAS. 1.1 Svar Polismyndigheten har i sitt svar, daterat 2026-02-24, i avsnitt 1.1 redogjort för de plattformsstöd som i nuläget planeras att utvecklas. Det är Polismyndigheten som utvecklar de tekniska lösningarna här är frågan om, baserat på det som beslutats av lagstiftaren. Polismyndigheten kan konstatera att genom de valda plattformarna täcks nästan 100 % av mobilmarknaden. 2 Teknikneutralitet och proportionalitet DIGG klargör att varken eIDAS, genomförandeförordningen eller tillitsramverket ställer krav på att den statliga e-legitimationen ska vara begränsad till iOS och Android, samt att det är Polismyndigheten som ansvarar för plattformsstöd, tillgänglighet och användbarhet. Jag ber därför att Polismyndigheten bekräftar att beslutet/inriktningen att i nuläget endast stödja iOS och Android (och att sakna planer för Linux/desktop, Android utan Google Play Services eller personer utan smartphone) är ett medvetet val av Polismyndigheten, och inte en följd av krav från DIGG, Sweden Connect eller eIDAS. 2.1 Svar Se svar närmast ovan. 3 Kommersiella ekosystem I dag är svenska e-legitimationer redan i stor utsträckning beroende av kommersiella plattformar. En statlig e-legitimation som på högsta tillitsnivå begränsas till iOS/Android riskerar att förstärka detta beroende ytterligare. Mot bakgrund av DIGG:s uppgift att tillitsramverket inte kräver en sådan plattformsbegränsning ber jag att Polismyndigheten redogör för om och hur man: - Har analyserat risken för ökat beroende av Apple/Google/Microsoft-ekosystemen. - Har vägt detta mot alternativa, mer plattformsoberoende lösningar (t.ex. fysisk bärare mot desktop, FIDO2/WebAuthn, smartkort). - Hur detta förhåller sig till proportionalitetsprincipen i eIDAS och till målet att e-legitimationen ska vara tillgänglig för så många som möjligt. Svar 3.1 Polismyndigheten har i sitt svar, daterat 2026-02-24, i avsnitt 3.1 redogjort för tillämpningen av eIDAS krav på interoperabilitet. 4 Tillgänglighet enligt DOS-lagen DIGG anger i sitt svar att DOS-lagen avser digital tillgänglighet i bemärkelsen att ingen ska hindras från att uppfatta och hantera digital service till följd av funktionsnedsättning, och att DIGG uppfattar mina frågor som avseende en annan typ av tillgänglighet (plattform/enhet). 4.1 Svar Polismyndigheten har i sitt svar, daterat 2026-02-24, i avsnitt 4.1 redogjort för tillämpningen av DOS-lagen. Förutom den granskning som DIGG genomfört av Polismyndigheten med anledning av DOS-lagens tillämpning har inga ytterligare handlingar upprättats. 5 Dataskydd genom design (artikel 25 GDPR) DIGG konstaterar att tillitsramverket inte hindrar en plattformsoberoende lösning. Med hänsyn till detta ber jag att Polismyndigheten närmare redogör för: - Hur kraven i artikel 25 GDPR (dataskydd genom design och som standard) konkret har beaktats i valet att initialt begränsa den statliga e-legitimationen till iOS/Android, - Om alternativa, mer plattformsoberoende lösningar har analyserats ur ett dataskyddsperspektiv, och vilka skäl som legat till grund för att dessa inte valts. Jag är medveten om att utvecklingen pågår och att DIGG:s granskning ännu inte är avslutad. Min begäran är därför inte att få del av ett slutligt läge, utan att Polismyndigheten – så långt det är möjligt – redogör för sina egna bedömningar och överväganden utifrån det ansvar och det handlingsutrymme som DIGG nu klargjort att myndigheten har. 5.1 Svar Inga handlingar med sådana överväganden som efterfrågas har upprättats vid Polismyndigheten. I övrigt har Polismyndigheten inget övrigt att tillägga -------------------------------------------------------------------------- Mottagare: serviceavdelningen.kansli(a)polisen.se Datum: 2026-03-29 Ämne: Kompletterande frågor rörande teknisk arkitektur och dataskydd för statlig e-legitimation (dnr A741.599/2025) Hej, Tack för ert svar den 2026-03-27. Eftersom ni tidigare uppgett att inga handlingar har upprättats avseende plattformsval och dataskydd genom design, behöver jag få klarhet i den tekniska arkitekturen för att bättre kunna bedöma hur Polismyndigheten avser att efterleva GDPR. Jag begär därför svar på följande specifika punkter rörande den planerade appbaserade lösningen: 1. Tekniska flöden till tredjepart. Vilka personuppgifter eller tekniska metadata kan komma att överföras till Google LLC eller Apple Inc. vid installation, uppstart och löpande användning av appen, inklusive exempelvis telemetri, enhetsidentifierare, IP-adresser eller annan metadata? 2. Tredjepartsbibliotek och tjänster. Kommer appen att innehålla tredjepartsbibliotek eller inbyggda tjänster, till exempel Google Play Services, Firebase eller Apple-relaterade analys- eller notistjänster? Om ja, hur har Polismyndigheten säkerställt att dessa inte initierar nätverksanrop eller annan överföring av data till leverantören innan en aktiv användning sker? 3. Dataskydd genom design enligt artikel 25 GDPR. Hur har Polismyndigheten säkerställt att diagnostik-, analys- eller telemetridata begränsas så långt som möjligt och utformas med inbyggt dataskydd, så att uppgifterna inte i onödan kan kopplas till en specifik enhet eller användare? 4. Push-notiser och metadata. Hur avser Polismyndigheten att hantera push-notiser via exempelvis FCM eller APNs så att inte en tredjepartsleverantör kan dra slutsatser om att en viss användare interagerar med en myndighetstjänst vid en viss tidpunkt? Jag ber att detta mejl diarieförs i samma ärende (dnr A741.599/2025) och att jag får ett skriftligt svar inom skälig tid enligt förvaltningslagen, så att det kan utgöra underlag för min fortsatta dialog med tillsynsmyndigheter. Med vänlig hälsning -------------------------------------------------------------------------- Från: serviceavdelningen.kansli(a)polisen.se Datum: 2026-04-01 Ämne: SV: Begäran om utlämnande av handlingar rörande statlig e-legitimation (dnr A741.599/2025) Svar på begäran om utlämnande av handlingar rörande e-legitimation Du har begärt ett antal handlingar enligt ovan. Nedan redovisas respektive begäran och svar. 1 Eventuella konsekvensbedömningar avseende dataskydd (DPIA) enligt artikel 35 GDPR som avser den statliga e-legitimationen, inklusive bilagor 1.1 Svar Några sådana konsekvensbedömningar som efterfrågas har ännu inte upprättats vid Polismyndigheten. 2 Dokumenterade bedömningar enligt artikel 25 GDPR ("dataskydd genom design och som standard") som avser den statliga e-legitimationen, i synnerhet sådana där följande frågor berörs: • Valet att initialt begränsa användningen till iOS/Android. • Beroendet av Apple/Google och personuppgiftsbehandling kopplad till dessa plattformar. • Överväganden kring alternativa lösningar (t.ex. FIDO2/WebAuthn, hårdvarutoken, fysisk bärare mot desktop m.m.) och skälen till att sådana eventuella alternativ inte valts. 2.1 Svar Polismyndigheten har sedan lång tid etablerat en utvecklingsprocess och utvecklingsmiljö som inbegriper dataskydd genom design och som standard. Dataskydd genom design och som standard ingår därför i själva utvecklingsprocessen. Några sådana bedömningar som efterfrågas har inte upprättats vid Polismyndigheten. 3 Tekniska inriktningsbeslut, kravspecifikationer eller andra beslutsunderlag där plattformsstödet för den statliga e-legitimationen fastställs, inklusive uppgifter om att stöd i nuläget endast planeras för iOS och Android 3.1 Svar Några sådana dokument inriktningsbeslut, kravspecifikationer där plattformsstödet för den statliga e-legitimationen fastställs, inklusive uppgifter om att stöd i nuläget endast planeras för iOS och Android har inte upprättats vid Polismyndigheten. 4 Riskanalyser, beslutsunderlag eller utredningar där frågor om: • teknikneutralitet och proportionalitet enligt eIDAS, • tillgänglighet enligt DOS-lagen (2018:1177), • risken för digitalt utanförskap för personer utan iOS/Android-enheter har behandlats inom ramen för arbetet med den statliga e-legitimationen. 4.1 Svar Avseende frågan om DOS-lagen, det vill säga lag (2018:1937) om tillgänglighet till digital offentlig service, är svaret det samma som i fråga 2 ovan. Polismyndigheten har sedan lång tid etablerat en utvecklingsprocess och utvecklingsmiljö som inbegriper utveckling i enlighet lagstiftningens krav. Tillgänglighet ingår därför i själva utvecklingsprocessen och av det skälet har inga specifika beslut eller handlingar upprättats om detta. Avseende dina frågor om teknikneutralitet och digitalt utanförskap hänvisas till Polismyndighetens svar till dig daterat 2026-02-26. Några handlingar i frågorna har inte upprättats vid myndigheten. 5 Dokumentation inklusive protokoll, tjänsteanteckningar eller utredningsrapporter som ligger till grund för de uppgifter ni lämnat i svarspunkterna 4.1, 5.1 och 6.1 i ert mejl den 26 februari 2026 5.1 Svar Myndigheten för digital förvaltning (Digg) genomförande 2023-2024 ett tillsynsärende gällande webbplatsen Tidsbokning för pass. Handlingarna för detta ärende finns tillgängliga. 6 Handlingar som rör genomförandet av regeringens uppdrag att ta fram en statlig e-legitimation på högsta tillitsnivå, i den del som avser utformningen av e-legitimationen på en fysisk bärare (t.ex. eget kort eller nationellt id-kort) och hur denna lösning ska göras tillgänglig på ett teknikneutralt sätt. Här avser jag särskilt beslutsunderlag, inriktningsbeslut, kravspecifikationer eller annan dokumentation där Polismyndigheten analyserar eller tar ställning till hur uppdraget om fysisk bärare ska genomföras i relation till plattformsstöd, teknikneutralitet, tillgänglighet och proportionalitet. I den mån sådana handlingar explicit hänvisar till regeringens beslut (Ju2025/00740) eller till regeringens pressmeddelande den 23 januari 2026 om statlig e-legitimation, omfattas de av denna begäran. 6.1 Svar Polismyndigheten fattade den 9 december 2025 beslut om en ansökan om att bli utfärdare med kvalitetsmärket Svensk e-legitimation. Detta beslut finns tillgängligt att ta del av. I övrigt har Polismyndigheten inte upprättat någon sådan handling du efterfrågar förutom det som redovisas i avsnitt 7.1 nedan. 7 Korrespondens (e-post och tjänsteanteckningar) mellan Polismyndigheten och Myndigheten för digital förvaltning (Digg) rörande tolkningen av teknikneutralitet och plattformsstöd för den statliga e-legitimationen. 7.1 Svar Polismyndigheten och Digg arbetar för närvarande med den ansökan om att bli Utfärdare med Kvalitetsmärket Svensk e-legitimation. 8 Förfarande vid utlämnande Antalet sidor i de handlingar som efter begäran identifierats uppgår till cirka 400. Handlingarna tillhandahålls på papper. Du kan ta del av handlingarna hos Polismyndigheten. Enklast är om du har möjlighet att ta dig till Polhemsgatan 30, Stockholm, eftersom det är där som handlingarna upprättats och förvaras, men handlingarna kan också tillhandahållas på annan av Polismyndigheten tillgänglig adress, efter överenskommelse. Du kan också få en utskrift skickad till dig, men då kommer en avgift att tas ut i enlighet med avgiftsförordningen. Papperskopior är gratis upp till nionde kopian. Tio sidor kostar 50 kronor och därutöver kostar varje sida 2 kronor. En dubbelsidig kopia räknas som två sidor. 9 Rätt till ett beslut som går att överklaga Det svar du nu fått ta del av är ett tjänstemannabesked. Du har rätt att begära att Polismyndigheten prövar din begäran om utlämnande (ett så kallat myndighetsbeslut). Det krävs ett sådant myndighetsbeslut för att du ska kunna överklaga ärendet till domstol. Du kan skriftligen eller muntligen meddela Polismyndigheten att du begär ett myndighetsbeslut. -------------------------------------------------------------------------- Från: serviceavdelningen.kansli(a)polisen.se Datum: 2026-04-15 Ämne: Kompletterande frågor rörande teknisk arkitektur och dataskydd för statlig e-legitimation (dnr A741.599/2025) Svar på begäran om uppgifter Du har begärt ett antal uppgifter. Nedan redovisas respektive begäran och Polismyndighetens svar. 1 Tekniska flöden till tredjepart Vilka personuppgifter eller tekniska metadata kan komma att överföras till Google LLC eller Apple Inc. vid installation, uppstart och löpande användning av appen, inklusive exempelvis telemetri, enhetsidentifierare, IP-adresser eller annan metadata? 1.1 Svar Frågan behöver i första hand ställas till respektive tillhandahållare av de tekniska plattformarna, då Sverige-id följer ett standardiserat användnings-förfarande av plattformarna. Polismyndigheten kommer att skicka viss enhetsrelaterad information till den tekniska plattformen för att kunna garantera appens integritet. Detta sker dock endast vid registrering/installation av appen och inte vid löpande användning. Den tekniska plattformen kan se vilken IP-adress som anropet kommer från. 2 Tredjepartsbibliotek och tjänster Kommer appen att innehålla tredjepartsbibliotek eller inbyggda tjänster, till exempel Google Play Services, Firebase eller Apple-relaterade analys- eller notistjänster? Om ja, hur har Polismyndigheten säkerställt att dessa inte initierar nätverksanrop eller annan överföring av data till leverantören innan en aktiv användning sker? 2.1 Svar I nuläget finns det inget sådant beroende. 3 Dataskydd genom design enligt artikel 25 GDPR Hur har Polismyndigheten säkerställt att diagnostik-, analys- eller telemetridata begränsas så långt som möjligt och utformas med inbyggt dataskydd, så att uppgifterna inte i onödan kan kopplas till en specifik enhet eller användare? 3.1 Svar Sverige-id är uppbyggt så att diagnostik, analys- och telemetridata inte innehåller personinformation utan enbart den data som krävs för förvaltning av Sverige-id. Utöver detta följer Polismyndigheten dataskyddsregler och strävar efter att bygga en så bra lösning som möjligt. 4 Push-notiser och metadata Hur avser Polismyndigheten att hantera push-notiser via exempelvis FCM eller APNs så att inte en tredjepartsleverantör kan dra slutsatser om att en viss användare interagerar med en myndighetstjänst vid en viss tidpunkt? 4.1 Svar Polismyndigheten kommer att vara ytterst återhållsam med push-notiser. -------------------------------------------------------------------------- Mottagare: serviceavdelningen.kansli(a)polisen.se Datum: 2026-04-16 Ämne: Kompletterande fråga rörande statlig e-legitimation (dnr A741.599/2025) Hej, Tack för ert svar den 2026-04-15. Nu begär jag svar på följande specifika punkt. 1. Jag konstaterar att Polismyndigheten i mejlsvar daterat 2026-03-27 (punkt 5.1) skriftligen bekräftar att inga handlingar rörande bedömningar enligt GDPR Artikel 25 eller Artikel 35 (DPIA) har upprättats. Jag noterar även att myndigheten i sitt tidigare mejlsvar 2026-02-26 (punkt 6.1) undvek att svara direkt på frågan om en DPIA genomförts. Genomförandet av en konsekvensbedömning är ett absolut lagkrav enligt Artikel 35 GDPR och ska utföras innan behandlingen påbörjas. Eftersom införandet av en nationell e-legitimation med biometriska inslag och tredjepartsberoende odiskutabelt innebär en hög risk för individers rättigheter och friheter, betraktar jag avsaknaden av en sådan bedömning som ett erkänt pågående lagbrott. Avser Polismyndigheten att pausa utvecklingen tills dess att en lagstadgad DPIA och analys av dataskydd genom design har upprättats och diarieförts? Jag ber att detta mejl diarieförs i samma ärende (dnr A741.599/2025) och att jag får ett skriftligt svar inom skälig tid enligt förvaltningslagen, så att det kan utgöra underlag för min fortsatta dialog med tillsynsmyndigheter. Med vänlig hälsning -------------------------------------------------------------------------- Från serviceavdelningen.kansli(a)polisen.se Datum 2026-04-28 Ämne: SV: Kompletterande fråga rörande statlig e-legitimation (dnr A741.599/2025) Svar på fråga rörande statlig e-legitimation Du har ställt en fråga enligt nedan. Efter frågan redovisas Polismyndighetens svar. Ställd fråga Jag konstaterar att Polismyndigheten i mejlsvar daterat 2026-03-27 (punkt 5.1) skriftligen bekräftar att inga handlingar rörande bedömningar enligt GDPR Artikel 25 eller Artikel 35 (DPIA) har upprättats. Jag noterar även att myndigheten i sitt tidigare mejlsvar 2026-02-26 (punkt 6.1) undvek att svara direkt på frågan om en DPIA genomförts. Genomförandet av en konsekvensbedömning är ett absolut lagkrav enligt Artikel 35 GDPR och ska utföras innan behandlingen påbörjas. Eftersom införandet av en nationell e-legitimation med biometriska inslag och tredjepartsberoende odiskutabelt innebär en hög risk för individers rättigheter och friheter, betraktar jag avsaknaden av en sådan bedömning som ett erkänt pågående lagbrott. Avser Polismyndigheten att pausa utvecklingen tills dess att en lagstadgad DPIA och analys av dataskydd genom design har upprättats och diarieförts? Polismyndighetens svarNågon personuppgiftsbehandling inom ramen för den statliga e-legitimationen har ännu inte påbörjats.

1 0

Hackaton 31 okt i Stockholm
by Christian Häggström 30 Oct '26

30 Oct '26

Hej alla hackers! Vi planerar att hålla ett hackaton på allhelgonahelgen i Stockholm. Ta med din dator, wifi och eluttag kommer finnas. Detta kommer du att kunna göra; * skaffa dfri:s demo e-legitimation på fil * tillverka en hemsida som accepterar dfri:s demo e-legitimation * utfärda din egen e-legitimation * Alla förbättringar checkas in på https://codeberg.org/DFRI-eID/dfri-eid * hjälpa till med vår FAQ om e-legitimation * hjälpa till att skriva en server för återkallade legitimationer * testa ut ett antal hårdvarutokens som kommer finnas på plats * lära dig grunderna i krypto med publik och privat nyckelpar * spela in/medverka i en podcast Tid: 31 okt kl 12 till 17 Plats: Källarbyn, Stora Nygatan 31, Gamla Stan. Vi sitter i rummet längst in. Välkomna! / Christian

3 3

Vår debattartikel publicerades idag 2026-10-21
by Elias Rudberg 22 Oct '26

22 Oct '26

Hej, Nu är debattartikeln publicerad: ”Polismyndighetens lösning försvagar Sveriges ställning som självständig stat.” https://www.sydsvenskan.se/opinion/polismyndighetens-losning-forsvagar-sver… Den ska även vara med i papperstidningen i Sydsvenskan och Helsingborgs Dagblad (de två tidningarna har gått ihop på nåt vis). / Elias

3 2

Sammanfattning av öppet möte 50 om att bygga egen e-leg-lösning, 12 okt 2026
by Elias Rudberg 14 Oct '26

14 Oct '26

Sammanfattning av öppet möte 50 om att bygga egen e-leg-lösning, 12 okt 2026: Tack till alla som var med på mötet! - CA-programvara för utgivaren och test med caddy eller nginx, status? - OpenPGP-kort, status? Granska gärna https://codeberg.org/DFRI-eID/dfri-eid/pulls/14 Granska även https://codeberg.org/DFRI-eID/dfri-eid/pulls/16 En MR som lägger till gpg-kort kommer baseras på toppen av dessa. - Hackaton i Stockholm lördag 31 okt kl 11-17 Letat lokal för hackaton men inte hittat någon bra. Vi gör så att de som vill vara med på hackatonet får anmäla sig till kalvdans(a)dfri.se . Elias fixar mailalias. Christian skickar ut separat mail till e-leg listan. och ett separat till "listan"- listan. - SamNet-konferensen 25 november 2026, vem/vilka presenterar vårt projekt där? https://samnet.se/ Christian presenterar, skickar foto och 2 små texter till Elias så lägger han till det. - Proof-of-concept klart snart? Vem gör vad? Vi pratar med om det i samband med hackatonet. - Skicka in debatt-artikel om att statlig e-legitimation inte bör kräva mobiltelefon? (en ganska klar version finns) Vi har ett utkast, hoppas kunna skicka in snart. Försöker få med flera lämpliga personer som kan vara med och underteckna. Tack till alla som hjälpt till med artikeln! - Fler frågor som borde ställas till Polismyndigheten om kommande statliga e-legitimationen? C skickade in en fråga 21 september, fick bekräftelse att det kommit farm men de har inte svarat på frågan ännu. Christian kollar deras blogg och skickar sedan en påminnelse. - Rapport från föredrag på Sunet nyligen om EU "Digital wallet", 2 oktober var det Elias var på ett sånt föredrag. Leif Johansson från Siros foundation, wWallet. EU "Digital wallet" är ett jätte-projekt som försöker lösa allting på ett sätt som det är tänkt ska uppfylla allt det här: - "privacy preserving" - "secure" - "deployable at scale" (Men billigt kommer det inte bli, och inte heller enkelt, projektet är väldigt stort och dyrt.) När det gäller privacy är det meningen att bland annat de här sakerna ska gälla: - "selective disclosure" (med zero-knowledge proofs eller liknande) - "verifier-verifier unlinkability" Det nämndes att "Digital wallet"-grejen är långt ifrån klar och kanske kommer kunna sjösättas om ca 5 år men ingen vet exakt när, det är mycket problem kvar att lösa. En svårighet som nämndes är att det inte är helt klart hur "selective disclosure" med zero-knowledge proofs ska lösas på ett sätt som samtidigt är post-kvantum-säkert. Frågade specifikt om SverigeID integrering; förmodligen aktiverar (enrollar) man sin wallet med SverigeID men sedan behövs inte SverigeID. Ordet id-växling nämndes inte dock, men det verkar vara vad det handlar om. Inget av det här är säkert men det verkar vara så att EU "Digital wallet" ska kunna användas med fri och öppen källkod (Siros saker ska ha BSD-licens t.ex.) men för att kunna använda "Digital wallet" kommer man behöva enrolla sig via något nationellt id-system som kan vara stängt beroende på vilket land man är i (som svenska polisens "Sverige-id" som ju tyvärr verkar bli låst till Apple/Google). Återstår att se hur det verkligen blir. - När blir nästa möte? Hackatonet är om ca 3 veckor, det blir som ett möte kan man säga, mer info om det ska komma i mejl som C ska skicka om det. Nästa vanliga möte efter det blir måndag 2026-11-23 klockan 18:30 till 19:30 Alla är välkomna att vara med på kommande möten. OBS även du som inte varit med förut är mycket välkommen att vara med! / Elias PS Läs gärna om projektet här: https://www.dfri.se/projekt/e-legitimation/ PPS Alla som är intresserade är välkomna att höra av sig via projektets mejllista

1 0

Välkomna på öppet möte nr 50 om att bygga egen e-leg-lösning, 12 okt klockan 18:30
by Elias Rudberg 11 Oct '26

11 Oct '26

Hej! Välkomna till distans-möte nummer 50 om hur vi kan bygga en egen decentraliserad lösning för fri och öppen e-legitimation. Vi fortsätter med kravspecifikation, design, implementation och testning av de olika komponenter som kommer behövas. Tid: måndag 12 okt 2026 klockan 18:30. Vi siktar på att hålla på i upp till en timme. Plats: https://jitsi.dfri.se/e-id-meeting Förslag till agenda: - CA-programvara för utgivaren och test med caddy eller nginx, status? - OpenPGP-kort, status? - Hackaton i Stockholm lördag 31 okt kl 11-17 - SamNet-konferensen 25 november 2026, vem/vilka presenterar vårt projekt där? - Proof-of-concept klart snart? Vem gör vad? - Skicka in debatt-artikel om att statlig e-legitimation inte bör kräva mobiltelefon? (en ganska klar version finns) - Fler frågor som borde ställas till Polismyndigheten om kommande statliga e-legitimationen? Alla är välkomna, både ni som varit med tidigare och alla nya som vill vara med och diskutera och hjälpa till med det här. Svara gärna här på mejllistan med alla frågor och funderingar inför mötet, och förslag på fler saker vi borde ta upp. Välkomna! Vänliga hälsningar Projektets styrgrupp genom Elias PS Läs gärna om projektet här: https://www.dfri.se/projekt/e-legitimation/

1 0

Sammanfattning av öppet möte 49 om att bygga egen e-leg-lösning, 14 sep 2026
by Elias Rudberg 02 Oct '26

02 Oct '26

Sammanfattning av öppet möte 49 om att bygga egen e-leg-lösning, 14 sep 2026: Tack till alla som var med på mötet! - podd-avsnitt där ljo varit med och nämnt vårt projekt. Länk? Förutom Linuxfika-avsnittet nedan är det Kodsnack: https://friprogramvarusyndikatet.tv/w/aTmcvW2mMtVZ7KzREercPn - jolla-telefoner finns, intressant apropå att inte vara låst till apple/google/microsoft Diskussion om Jollaphone från en medlem A. Hör in om e-leg-projektet har några beröringspunkter. Jolla telefonen var med i senaste "Linuxfika"-podden: https://www.linuxfika.se/jolla-och-sailfishos-specialen/ Även i Kodsnack-avsnittet ovan. ny telefon Jolla Phone 2026 finns att förbeställa nu med leverans i november förinstallerad med operativsystemet Sailfish OS: [https://commerce.jolla.com/](https://commerce.jolla.com/) 15500 redan beställda. - OpenPGP-kort, status? C har fått igång OpenPGP-kortet, ska städa upp den koden lite bara. Funkar just nu med Linux-dator och commandline-verktyg. OpenPGP-cert är lite skilt från x509-certifikat, man behöver andända GNUTLS. OpenPGP-kortet stöder inte TLS 1.3 men det funkar i alla fall med GNUTLS. Detta är på gång. - Hackaton-uppföljning - lokal? Eftersom vi planerat in ett hackaton i Stockholm under höstlovet (lördag 31 oktober, klockan 11-17) -- C har försökt hitta lokal men det är inte klart ännu (C kollar vidare på det). Kan vi samarrangera Hackaton med Stacken på KTH? Biblioteket/folkets hus? Telefonplan? - Proof-of-concept klart snart? Vem gör vad? På hackatonet den 31 okt kan vi ta mer detaljer kring det. ljo jobbar på faq-sidan. ljo jobbar även på möjlighet att ladda upp revokeringslistor. - Svar från EU-kommissionen ang. beroende till Apple/Google Se https://mailman.dfri.se/mailman3/hyperkitty/list/eleg-projekt@lists.dfri.se… - Skriva debatt-artikel om att statlig e-legitimation inte bör kräva mobiltelefon? utkast: https://cryptpad.fr/pad/#/2/pad/edit/F5+z0pypuI-c-vgT8RVHrkuA/ Två personer jobbar vidare på det. - Fler frågor som borde ställas till Polismyndigheten om kommande statliga e-legitimationen? Fråga om inkludering, exkludering. Fråga om polisens uppdrag, borde inte tjänster göras tillgängliga för så många som möjligt? Hur ser deras konsekvens-analys ut när det gäller att de exkluderar så många? kolla i "listan" om Göteborg så finns det exempel där. Vad är polisens egen bedömning av hur många personer som exkluderas? Enligt **artikel 35 GDPR** ska en DPIA Analys (Data Protection Impact Assessment) göras. Lagen om tillgänglighet till digital offentlig service (DOS lagen). Det skulle vara bra att skicka frågor till Polismyndigheten om de sakerna. Alla uppmuntras att hjälpa till, vem som helst kan ju skicka frågor. Berätta gärna vilka svar ni får. Se tidigare exempel här: https://mailman.dfri.se/mailman3/hyperkitty/list/eleg-projekt@lists.dfri.se… https://mailman.dfri.se/mailman3/hyperkitty/list/eleg-projekt@lists.dfri.se… https://mailman.dfri.se/mailman3/hyperkitty/list/eleg-projekt@lists.dfri.se… - När blir nästa möte? Nästa möte hålls måndag 2026-10-12 klockan 18:30 till 19:30 (en timme) Alla är välkomna att vara med på kommande möten. OBS även du som inte varit med förut är mycket välkommen att vara med! / Elias PS Läs gärna om projektet här: https://www.dfri.se/projekt/e-legitimation/ PPS Alla som är intresserade är välkomna att höra av sig via projektets mejllista

2 3

Inbjudan till skrivstuga om "debattartikel-utkast till insändare om e-legitimation"
by Mats Karlsson 30 Sep '26

30 Sep '26

Den 3 oktober mellan kl 16-17 så är ni inbjudna till en skrivstuga. https://jitsi.dfri.se/skrivarstuga Texten ligger på Cryptpad, https://cryptpad.fr/doc/#/2/doc/edit/CDKFBbfsXPY0jVvu3J5zVYJ4/men är också inkluderad i detta mejl, se nedan. Det finns några förslag till ändringar och där det finns så är den ena texten i *blått* och den andra i *grönt*.. - - - - Sverige bygger digitalt beroende när världen blir osäkrare Sverige behöver digital självständighet när världen blir osäkrare ”*En svensk digital identitet ska vara statens och medborgarnas infrastruktur, inte något som i praktiken kontrolleras av några få globala teknikföretag.”* *”Om vi ska ha en svensk digital identitet ska det vara statens och medborgarnas infrastruktur, inte något som i praktiken kontrolleras av några få globala teknikföretag.”* I december ska Polismyndigheten börja utfärda den nya statliga e-legitimationen. För att använda den digitalt planeras en mobilapplikation för Android och Iphone. Det innebär ett beroende av underliggande plattformar och säkerhetsfunktioner som kontrolleras av Google respektive Apple. Det innebär ett beroende av underliggande plattformar som kontrolleras av Google respektive Apple. Det kan verka som en praktisk teknisk lösning. Men i dagens säkerhetspolitiska läge måste vi ställa en större fråga: *är det klokt att bygga en samhällskritisk e-legitimation på en teknisk plattform som Sverige varken kontrollerar eller fritt kan ersätta?* Det handlar inte om att staten aldrig ska använda teknik från privata företag. Det handlar om vilken grad av teknisk och strategisk självständighet Sverige ska ha över en funktion som människor kan behöva för att få tillgång till samhällets digitala tjänster. Världsläget har förändrats. Krig, handelstvister, sanktioner, tullar och en växande geopolitisk konkurrens om strategisk teknik har visat att tekniska och ekonomiska beroenden också kan bli säkerhetspolitiska sårbarheter. Det som fungerar som en kommersiell lösning i dag behöver inte vara en långsiktigt hållbar samhällsinfrastruktur i morgon. Det är därför Europas diskussion om digital suveränitet är viktig. EU arbetar för att minska strategiska beroenden av teknik och tjänster från länder utanför unionen och lyfter fram öppen källkod, öppna standarder och interoperabilitet som verktyg för Europas digitala handlingsfrihet. Sverige har dessutom redan utrett flera av dessa frågor. I SOU 2023:61 bedömde utredningen att den statliga e-legitimationen bör baseras på öppna standarder. Under remissbehandlingen lyftes också behovet av internationella standarder, interoperabilitet och redundans. FOI pekade på att en statlig e-legitimation är ett komplext sociotekniskt system med många externa beroenden och att även underleverantörer och försörjningsberedskap måste analyseras ur ett kris- och krigsperspektiv. MSB lyfte behovet av ökad redundans. Mot den bakgrunden måste även den tekniska plattform som krävs för att använda e-legitimationen granskas. Polismyndigheten har uppgett att den säkerhetskedja som krävs för den planerade mobilapplikationen i praktiken bara finns hos Apple och Google. Polismyndigheten har uppgett att den planerade mobilapplikationen bara kommer att finnas för Iphone (Apple) och Android (Google). Staten kan alltså skapa en egen e-legitimation och samtidigt bygga in ett nytt plattformsberoende i användningen av den. Frågan är inte bara *vem som lagrar våra identitetsuppgifter*. Vi måste också fråga *vem som kontrollerar tekniken som krävs för att vi ska kunna använda vår identitet*. Om svaret i praktiken är Apple eller Google har Sverige byggt in ett beroende i en samhällskritisk funktion. Om svaret i praktiken är Apple eller Google har Sverige byggt in ett farligt beroende i en samhällskritisk funktion." *Vi anser därför att den statliga e-legitimationen bör bygga på fem principer:* *Öppen specifikation:* Vem som helst ska kunna skapa en kompatibel implementation. *Fri programvara:* Den centrala programvaran ska kunna granskas och vidareutvecklas öppet. *Plattformsoberoende:* Ingen ska behöva använda Apple, Google eller Microsoft för att legitimera sig. *Leverantörsoberoende:* Staten ska kunna byta leverantör utan att bygga om hela infrastrukturen. *Integritet och decentralisering:* Systemet ska minimera central lagring och onödig överföring av personuppgifter. Detta är också utgångspunkten för *DFRI:s arbete med e-legitimation*: en digital identitet ska bygga på fri och öppen programvara, öppna specifikationer, plattformsoberoende och respekt för individens integritet. Detta är inte bara tekniska önskemål. Det handlar om svensk handlingsfrihet. En stat som kan byta leverantör och teknisk implementation är mindre sårbar än en stat som är beroende av ett fåtal globala plattformar. *En svensk digital identitet ska vara statens och medborgarnas infrastruktur, inte en funktion som i praktiken kontrolleras av några få globala teknikföretag. Om vi ska ha en svensk digital identitet ska det vara statens och medborgarnas infrastruktur, inte en funktion som i praktiken kontrolleras av några få globala teknikföretag.* Europa har börjat behandla digitalt beroende som en strategisk sårbarhet. Sverige bör inte gå i motsatt riktning. Europa har börjat behandla digitalt beroende som en strategisk sårbarhet. Sverige bör inte vara sämre. *Referenser* - *Polismyndigheten – iOS/Android och säkerhetskedjan * *https://mailman.dfri.se/mailman3/hyperkitty/list/eleg-projekt%40lists.dfri.se/thread/G772LY7IO6I3KEB632LGKD4K3CXRFBBF/?sort=thread* <https://mailman.dfri.se/mailman3/hyperkitty/list/eleg-projekt%40lists.dfri.…> - *SOU 2023:61 – En säker och tillgänglig statlig e-legitimation * *https://www.regeringen.se/rattsliga-dokument/statens-offentliga-utredningar/2023/10/sou-202361/* <https://www.regeringen.se/rattsliga-dokument/statens-offentliga-utredningar…> - *FOI – remissvar om SOU 2023:61 * *https://www.regeringen.se/contentassets/432e635bdd964101a297164b2b003945/totalforsvarets-forskningsinstitut-.pdf* <https://www.regeringen.se/contentassets/432e635bdd964101a297164b2b003945/to…> - *MSB – remissvar om SOU 2023:61 * *https://www.regeringen.se/contentassets/432e635bdd964101a297164b2b003945/myndigheten-for-samhallsskydd-och-beredskap.pdf* <https://www.regeringen.se/contentassets/432e635bdd964101a297164b2b003945/my…> - *Lagrådsremiss 2026 – En statlig e-legitimation * *https://www.regeringen.se/rattsliga-dokument/lagradsremiss/2026/01/en-statlig-e-legitimation/* <https://www.regeringen.se/rattsliga-dokument/lagradsremiss/2026/01/en-statl…> - *Prop. 2025/26:250 – En statlig e-legitimation * *https://www.regeringen.se/rattsliga-dokument/proposition/2026/05/prop.-202526250/* <https://www.regeringen.se/rattsliga-dokument/proposition/2026/05/prop.-2025…> - *EU-kommissionen – EU Tech Sovereignty * *https://digital-strategy.ec.europa.eu/sv/policies/eu-tech-sovereignty* <https://digital-strategy.ec.europa.eu/sv/policies/eu-tech-sovereignty> - *EU-kommissionen – Open Source Strategy * *https://digital-strategy.ec.europa.eu/en/policies/open-source-strategy* <https://digital-strategy.ec.europa.eu/en/policies/open-source-strategy> *DFRI:s arbete med e-legitimation* *https://www.dfri.se/sv/engagera-dig/projekt/e-legitimation/project-introduction-in-english/* <https://www.dfri.se/sv/engagera-dig/projekt/e-legitimation/project-introduc…> -- Med vänliga hälsningar Mats

2 2

Välkomna på öppet möte nr 49 om att bygga egen e-leg-lösning, 14 sep klockan 18:30
by Elias Rudberg 14 Sep '26

14 Sep '26

Hej! Välkomna till distans-möte nummer 49 om hur vi kan bygga en egen decentraliserad lösning för fri och öppen e-legitimation. Vi fortsätter med kravspecifikation, design, implementation och testning av de olika komponenter som kommer behövas. Tid: måndag 14 sep 2026 klockan 18:30. Vi siktar på att hålla på i upp till en timme. Plats: https://jitsi.dfri.se/e-id-meeting Förslag till agenda: - CA-programvara för utgivaren och test med caddy eller nginx, status? - OpenPGP-kort, status? - Proof-of-concept klart snart? Vem gör vad? - Svar från EU-kommissionen ang. beroende till Apple/Google - https://mailman.dfri.se/mailman3/hyperkitty/list/eleg-projekt@lists.dfri.se… - Skriva debatt-artikel om att statlig e-legitimation inte bör kräva mobiltelefon? - Fler frågor som borde ställas till Polismyndigheten om kommande statliga e-legitimationen? Alla är välkomna, både ni som varit med tidigare och alla nya som vill vara med och diskutera och hjälpa till med det här. Svara gärna här på mejllistan med alla frågor och funderingar inför mötet, och förslag på fler saker vi borde ta upp. Välkomna! Vänliga hälsningar Projektets styrgrupp genom Elias PS Läs gärna om projektet här: https://www.dfri.se/projekt/e-legitimation/

1 0