Nedan följer det klagomål och den begäran om tillsyn som jag lämnade in till Integritetsskyddsmyndigheten (IMY) den 12 maj 2026 angående Polismyndighetens utveckling av den nya statliga e-legitimationen (Sverige-id).
Jag har gjort mitt bästa för att behålla formateringen i texten korrekt.

IMY:s diarienummer: IMY-2026-9198

--------------------------------------------------------------------------

Till: Integritetsskyddsmyndigheten (IMY)
E-post: imy@imy.se

Klagomål och begäran om tillsyn enligt dataskyddsförordningen (GDPR)

Inledande anmärkning och hemställan om skyndsam handläggning:
Jag lämnar in denna anmälan som privatperson och vanlig samhällsmedborgare utan juridisk utbildning och med få tidigare erfarenheter av myndighetsanmälningar. Denna text utgör min personliga analys och syn på de brister som föreligger i Polismyndighetens projekt. Då min juridiska kompetens är begränsad, har jag efter bästa förmåga försökt peka ut de områden där jag anser att regelverket åsidosätts.

Då ärendet rör en nationell kärninfrastruktur som planeras att tas i bruk den 1 december 2026, och som i ett slag kommer att påverka miljontals medborgares rätt till integritet och digital tillgänglighet, hemställer jag formellt om att IMY ger detta ärende skyndsam handläggning och prioriterad granskning. Det är av yttersta vikt att en tillsyn inleds innan den tekniska arkitekturen och de kommersiella plattformslåsningarna permanentas.

För att ge en omedelbar bild av ärendets allvar har jag i avsnitt 2.10 (Konkret påverkan på medborgaren) beskrivit vad Polismyndighetens valda systemarkitektur faktiskt innebär för mig och andra i form av ett tvingande digitalt utanförskap.

Skulle jag i mina sakpunkter ha feltolkat någon juridisk term, åberopat felaktig underartikel eller missat någon teknisk nyans, ber jag om överseende med detta. Med hänvisning till IMY:s officiella utredningsskyldighet och uppdrag enligt artikel 57.1.a och 57.1.h GDPR hemställer jag att myndigheten självständigt prövar substansen i mitt klagomål, och inom ramen för sin granskning korrigerar eventuella formella felaktigheter samt inkluderar de ytterligare lagöverträdelser som jag kan ha missat.


1. Inledning och bakgrund
Jag anmäler härmed Polismyndigheten för underlåtenhet att efterleva dataskyddsförordningen (GDPR) under utvecklingen och projekteringen av den kommande statliga e-legitimationen (Sverige-id).

Genom skriftväxling under myndighetens diarienummer A741.599/2025 har Polismyndigheten skriftligen bekräftat följande omständigheter:


2. Grund för klagomålet


2.1 Underlåtenhet att genomföra en konsekvensbedömning avseende dataskydd (Artikel 35 GDPR)

Polismyndigheten har i skriftligt svar till mig den 2026-03-31 (punkt 1.1) uttryckligen skrivit följande:
”Några sådana konsekvensbedömningar [DPIA enligt artikel 35 GDPR] som efterfrågas har ännu inte upprättats vid Polismyndigheten.”

Myndigheten har i ett senare svar (2026-04-28) försvarat frånvaron av en konsekvensbedömning med att ”Någon personuppgiftsbehandling inom ramen för den statliga e-legitimationen har ännu inte påbörjats.”. Detta utgör en fundamental felaktighet i tillämpningen av dataskyddsförordningen. Enligt artikel 35.1 GDPR ska en konsekvensbedömning göras ”före behandlingen”. Europeiska dataskyddsstyrelsens (EDPB) riktlinjer (wp248rev.01) slår fast att en DPIA ska fungera som ett styrande verktyg under design- och projekteringsfasen. Att fatta bindande arkitekturval, begränsa plattformsstöd till iOS/Android samt ansöka hos DIGG om utfärdande utan att ha upprättat en DPIA innebär att Polismyndigheten har låst fast projektets tekniska ramar utan att först analysera riskerna för medborgarnas rättigheter och friheter.

Det planerade systemet ”Sverige-id” uppfyller flera av de kriterier som enligt GDPR och IMY:s gällande föreskrifter gör en konsekvensbedömning absolut obligatorisk:

Genom att helt underlåta att upprätta en DPIA innan dessa avgörande strategiska och tekniska beslut fattades, har Polismyndigheten även brutit mot den grundläggande principen om ansvarsskyldighet (artikel 5.2 GDPR), då myndigheten saknar dokumentation som visar att de har övervägt integritetsvänliga alternativ.


Jag begär att IMY prövar om Polismyndigheten har brutit mot artikel 35 GDPR genom att driva projektet till ansöknings- och utvecklingsfas utan en upprättad konsekvensbedömning, samt att IMY utfärdar ett föreläggande mot myndigheten att skyndsamt upprätta en sådan innan ytterligare tekniska låsningar sker.



2.2 Underlåtenhet att iaktta inbyggt dataskydd och dataskydd som standard (Artikel 25 GDPR)

Polismyndigheten har i skriftliga svar till mig den 2026-03-27 och 2026-03-31 (punkt 5.1 och 2.1) uttryckligen bekräftat att:
”Inga handlingar med sådana överväganden [avseende artikel 25 GDPR] som efterfrågas har upprättats vid Polismyndigheten.”

Myndigheten har försvarat denna totala avsaknad av dokumentation med att de har en ”sedan lång tid etablerat en utvecklingsprocess” och en ”utvecklingsmiljö som inbegriper dataskydd genom design och som standard”. Detta resonemang faller på sin egen orimlighet och strider mot principen om ansvarsskyldighet (artikel 5.2 GDPR). En personuppgiftsansvarig kan inte hänvisa till en allmän, diffus ”miljö” för att uppfylla kraven i artikel 25. Efterlevnaden av inbyggt dataskydd kräver specifika, dokumenterade och skräddarsydda tekniska och organisatoriska överväganden för det system som utvecklas.


Jag gör gällande att Polismyndighetens utveckling av Sverige-id strider fundamentalt mot artikel 25 GDPR på följande tre grunder:

1. Plattformsvalet har skett utan obligatorisk integritetsbedömning
Polismyndigheten har fattat ett aktivt designbeslut att exklusivt begränsa det initiala stödet för Sverige-id till mobilplattformarna iOS och Android. Expert- och tillsynsmyndigheten DIGG har i skriftligt svar till mig (se första mejlsvar från DIGG i Bilaga ’Mejlkonversation_med_DIGG.zip’) klargjort att det europeiska och nationella tillitsramverket är helt teknikneutralt och ger ett ”stort utrymme för en utfärdare att utforma sin lösning”, samt att ramverket ”innehåller inga krav som i sig hindrar en sådan [plattformsoberoende] utformning”.

Polismyndighetens val att låsa systemet till två kommersiella plattformar ägda av utländska bolag är således inte ett externt regulatoriskt krav, utan myndighetens eget skönsmässiga designval. Att det helt saknas skriftliga handlingar som analyserar detta val utgör ett direkt brott mot artikel 25.

2. Kapitulation av personuppgiftsansvaret och brist på kontroll
Genom att låsa det statliga e-id:t till iOS och Android blir överföring av oundviklig telemetri, enhetsidentifierare och IP-adresser en integrerad del av medborgarens användarflöde vid registrering och installation. Polismyndigheten har i sitt svar den 2026-04-15 bekräftat detta dataflöde, men uppger samtidigt att:
”Frågan [om personuppgiftsflöden till tredjepart] behöver i första hand ställas till respektive tillhandahållare av de tekniska plattformarna, då Sverige-id följer ett standardiserat användningsförfarande av plattformarna.”

Detta uttalande utgör ett synnerligen allvarligt medgivande. Som personuppgiftsansvarig har Polismyndigheten en absolut skyldighet att ha fullständig kontroll över de dataflöden som en myndighetsspecifik applikation initierar. Att hänvisa en medborgare till Apple och Google för att få reda på vilka personuppgifter som överförs visar att Polisen har designat ett system där de har abdikerat från sitt personuppgiftsansvar i strid med artikel 25.1.

3. Total avsaknad av plattformsoberoende och dataminimerande alternativ
Inbyggt dataskydd kräver att systemet utformas så att de registrerades integritetsrisker minimeras. Regeringen har i sitt pressmeddelande den 22 januari 2026 varit tydlig med att e-legitimationen ska kunna finnas på en fysisk bärare (t.ex. det nationella ID-kortet). Ett nationellt ID-kort utrustat med öppna, kryptografiska standarder (såsom FIDO2/WebAuthn) kan i teorin läsas av valfri enhet med NFC- eller kortläsare, helt oberoende av operativsystem.


Genom att Polisen helt saknar planer eller analyser för desktopmiljöer (Linux/Windows/macOS) eller Android-enheter utan Google Play Services, tvingar myndigheten medborgare att godkänna kommersiella Tech-jättars globala användarvillkor och spårningssystem för att överhuvudtaget kunna aktivera och använda en statlig ID-handling. Detta omöjliggör ett fritt och informerat samtycke och utgör motsatsen till dataskydd som standard (artikel 25.2).


Hemställan till IMY:
Jag begär att IMY prövar om Polismyndighetens underlåtenhet att dokumentera, utreda och integrera inbyggt dataskydd i arkitekturvalet för Sverige-id utgör en överträdelse av artikel 25 GDPR, samt att IMY förelägger Polismyndigheten att utreda och implementera plattformsoberoende, integritetsvänliga alternativ innan systemet driftsätts.



2.3 Potentiell otillåten överföring av personuppgifter till tredjeland (Artikel 44 och 45 GDPR)

Polismyndigheten har i sitt svar den 2026-04-15 (punkt 1.1) bekräftat att den planerade applikationen för Sverige-id kommer att överföra personuppgifter i form av IP-adresser och enhetsrelaterad information till mobilplattformarnas ägare (Apple Inc. och Google LLC). Myndigheten har samtidigt i svar den 2026-03-27 och 2026-03-31 bekräftat att inga specifika konsekvensbedömningar eller dokumenterade riskanalyser gällande dessa dataflöden har upprättats.

Jag gör gällande att detta agerande strider mot det allmänna tillvägagångssättet för överföringar i artikel 44 GDPR av följande skäl:

a) Underlåtenhet att kontrollera adekvansbeslutets omfattning (Artikel 45 GDPR)
Även om det nuvarande adekvansbeslutet för USA (EU-U.S. Data Privacy Framework) i grunden tillåter överföring till certifierade amerikanska bolag, befriar detta inte en svensk myndighet från sin skyldighet enligt artikel 44. Alla villkor i kapitel V måste alltjämt vara uppfyllda för att säkerställa att skyddsnivån för fysiska personer inte undergrävs.

Eftersom Polismyndigheten skriftligen har medgett att de saknar handlingar rörande dessa överväganden, och därtill uppgett att frågor om dataflödena ”i första hand behöver ställas till respektive tillhandahållare”, har myndigheten i praktiken underlåtit att verifiera vilka specifika uppgifter som överförs, hur de behandlas och om överföringen ryms inom ramen för adekvansbeslutet.

b) Bristande proportionalitet och hantering av amerikansk lagstiftning
De amerikanska plattformsägarna lyder odiskutabelt under amerikansk lagstiftning, däribland FISA Section 702. Genom att utforma en nationell statlig e-legitimation på ett sådant sätt att installation och registrering tekniskt villkoras av att medborgarens personuppgifter (IP-adress och telemetri) exklusivt slussas via dessa aktörers infrastruktur, skapar Polismyndigheten en systemrisk där svenska medborgares data kan göras tillgänglig för utländsk underrättelsetjänst. Att initiera en sådan strukturell sårbarhet för en statlig kärnfunktion utan en föregående, dokumenterad riskanalys strider fundamentalt mot principen om ansvarsskyldighet (artikel 5.2 och artikel 24 GDPR).


Yrkande rörande punkt 2.3:
Jag hemställer att IMY, inom ramen för sin tillsyn, granskar de tekniska dataflödena till Apple och Google i projektet Sverige-id och förelägger Polismyndigheten att:

  1. Dokumentera och redovisa exakt vilka personuppgifter som överförs till de amerikanska plattformsägarna, samt påvisa den lagliga grunden för denna specifika överföring.

  2. Visa hur myndigheten säkerställer att överföringen uppfyller kraven i artikel 44 GDPR så att skyddsnivån för de registrerade inte undergrävs.

  3. Utreda plattformsoberoende alternativ (exempelvis fysiska bärare i desktopmiljö) som helt eliminerar behovet av att blanda in utländska tredjepartsleverantörers infrastruktur vid utfärdande och användning av en statlig e-legitimation.


2.4 Underlåtenhet att iaktta principen om uppgiftsminimering (Artikel 5.1.c GDPR)

Enligt artikel 5.1.c GDPR ska personuppgifter vara adekvata, relevanta och begränsade till vad som är nödvändigt för de ändamål för vilka de behandlas (uppgiftsminimering). Polismyndigheten har i skriftligt svar den 2026-03-27 bekräftat att inga handlingar eller analyser har upprättats för att pröva hur det planerade systemet för Sverige-id efterlever denna princip.

Polismyndigheten har i sitt svar den 2026-04-15 (punkt 3.1) anfört att det systemhälso- och telemetridata som genereras ”inte innehåller personinformation utan enbart den data som krävs för förvaltning”. Detta påstående är juridiskt felaktigt. Myndigheten förbiser att unika enhetsidentifierare, tekniska metadata och IP-adresser utgör personuppgifter enligt etablerad praxis från EU-domstolen (se bl.a. mål C-582/14, Breyer), då uppgifterna möjliggör indirekt identifiering och spårning av enskilda användare.

Genom att exklusivt låsa den statliga e-legitimationen till operativsystemen iOS och Android skapar Polismyndigheten ett oundvikligt överskott av personuppgifter som överförs till de kommersiella plattformsägarna vid applikationens installation och registrering (vilket myndigheten medgav den 2026-04-15). Detta dataflöde inkluderar:

Inget av detta dataöverskott är nödvändigt för att uppnå det primära ändamålet: att säkert verifiera en medborgares identitet mot en svensk myndighet.


Tillsynsmyndigheten DIGG har skriftligen klargjort (se Bilaga ’Mejlkonversation_med_DIGG.zip’) att tillitsramverket för högsta tillitsnivå tillåter plattformsoberoende och minimalistiska lösningar. Det är tekniskt fullt möjligt att utforma en lösning (exempelvis via öppna standarder som FIDO2 mot en fysisk bärare i desktopmiljö) som utför en identitetsverifiering med absolut minimal dataexponering, helt utan att generera telemetri eller nätverksanrop till utländska kommersiella aktörer.


Genom att Polismyndigheten har underlåtit att genomföra en jämförande analys av mer integritetsvänliga arkitekturalternativ, har myndigheten därmed låst fast sig vid en design som genererar ett unikt och onödigt flöde av personuppgifter till kommersiella tredjeparter. Detta utgör en direkt överträdelse av den tvingande principen om uppgiftsminimering i artikel 5.1.c GDPR.


Yrkande rörande punkt 2.4:
Jag hemställer att IMY prövar om Polismyndighetens valda systemarkitektur leder till en behandling av personuppgifter (IP-adresser och enhetsdata) som strider mot artikel 5.1.c GDPR, samt förelägger myndigheten att visa hur dataminimering har säkerställts i förhållande till alternativa, plattformsoberoende tekniska lösningar.



2.5 Underlåtenhet att uppfylla det övergripande personuppgiftsansvaret och principen om ansvarsskyldighet (Artikel 24 och Artikel 5.2 GDPR)

Enligt artikel 24.1 GDPR åligger det den personuppgiftsansvarige att genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa och kunna visa att behandlingen utförs i enlighet med förordningen. Detta ansvar är odelbart och omfattar hela den tekniska miljö som myndigheten väljer att aktivera för sin tjänst.


Polismyndigheten har i sitt svar den 2026-04-15 (punkt 1.1) lämnat följande skriftliga ställningstagande angående de tekniska dataflödena till utländska kommersiella aktörer:
”Frågan behöver i första hand ställas till respektive tillhandahållare av de tekniska plattformarna, då Sverige-id följer ett standardiserat användningsförfarande av plattformarna.”

Jag gör gällande att detta utgör en otillåten ansvarsförskjutning som står i direkt strid med artikel 24 och artikel 5.2 GDPR på följande grunder:

1. Otillåten outsourcing av det rättsliga ansvaret
Enligt dataskyddsförordningen kan en personuppgiftsansvarig myndighet aldrig outsourca eller överlåta sitt utrednings- och redovisningsansvar till privata tredjepartsleverantörer. Genom att hänvisa en medborgare till Apple och Google för att få svar på vilka personuppgifter (IP-adresser och enhetsdata) som myndighetens eget systemarkitekturval genererar, visar Polismyndigheten att de saknar den insyn och kontroll som krävs enligt artikel 24.

2. Oförmåga att visa efterlevnad (Artikel 5.2 GDPR)
Principen om ansvarsskyldighet innebär att Polismyndigheten aktivt måste kunna dokumentera och bevisa att medborgarnas rättigheter skyddas i systemet. Eftersom myndigheten skriftligen har medgett att inga specifika handlingar, riskanalyser eller bedömningar har upprättats rörande plattformsvalet och dess dataläckage, har myndigheten försatt sig i en situation där de är juridiskt oförmögna att visa efterlevnad.

3. Systematisk underlåtenhet att säkerställa konfidentialitet och kontroll
Genom att göra den statliga e-legitimationen strukturellt beroende av Apples och Googles slutna operativsystem, integrerar Polismyndigheten en infrastruktur som de saknar insyn i. Myndigheten kan därmed inte garantera, kontrollera eller begränsa hur dessa plattformsägare hanterar, profilerar eller vidarebehandlar de metadata och nätverksanrop som uppstår när en medborgare interagerar med den statliga e-legitimationen.


Slutsats:
Polismyndighetens egna svar blottar en fundamental brist i förståelsen av personuppgiftsansvaret. Att utveckla en nationell kärninfrastruktur för digital identifiering, och samtidigt deklarera att frågor om applikationens tekniska dataflöden ska ställas till utländska privata bolag, utgör ett pågående och allvarligt brott mot artikel 24 GDPR.


Yrkande rörande punkt 2.5:
Jag hemställer att IMY prövar Polismyndighetens efterlevnad av artikel 24 och artikel 5.2 GDPR, samt fastställer att myndighetens hänvisning av dataskyddsfrågor till externa plattformstillverkare utgör en otillåten ansvarsförskjutning som kräver korrigerande åtgärder eller föreläggande från tillsynsmyndigheten.



2.6 Varför kommersiella marknadsandelar inte kan motivera avsteg från GDPR

Polismyndigheten har i sitt skriftliga svar den 2026-03-27 försvarat sitt exklusiva val av iOS och Android med följande motivering:
”Polismyndigheten kan konstatera att genom de valda plattformarna täcks nästan 100 % av mobilmarknaden.”

Jag gör gällande att kommersiella marknadsandelar och konsumentstatistik är rättsligt irrelevanta som rättfärdigande för att frångå dataskyddsförordningens tvingande krav. Argumentet är juridiskt ohållbart av följande tre skäl:

1. Skyddet för individens rättigheter är bindande och oberoende av majoritetsval
Dataskyddsförordningens krav är universella och skyddar den enskilde individens rätt till integritet. En statlig myndighet kan inte åberopa att en majoritet av befolkningen har valt att köpa en viss konsumentprodukt som skäl för att tvinga en minoritet att underkasta sig samma kommersiella ekosystem. Att använda marknadsandelar som ett rättsligt alibi raderar ut det minoritetsskydd som GDPR är satt att garantera. De grundläggande principerna i artikel 5 och kraven på inbyggt dataskydd i artikel 25 är bindande krav som måste uppfyllas inom ramen för GDPR, inte proportionella mot konsumenttrender.

2. Marknadsandelar uppfyller inte nödvändighetskravet i Artikel 6.1.e GDPR
Om Polismyndighetens avsedda rättsliga grund för att tillhandahålla Sverige-id vilar på att behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i myndighetsutövning (artikel 6.1.e GDPR), krävs enligt förordningen och praxis att behandlingen ska vara strikt nödvändig för att uppnå det specifika ändamålet.

Eftersom Polismyndigheten hittills har underlåtit att skriftligen precisera sin rättsliga grund för mig, hemställer jag vad gäller denna punkt att IMY inom ramen för sin tillsyn avkräver myndigheten ett formellt klargörande. Om artikel 6.1.e avses, kan den slentrianmässiga överföringen av medborgarnas enhetsdata till Apple och Google inte anses vara rättsligt nödvändig. Att Polismyndigheten av kostnads- eller implementeringsskäl väljer att förlita sig på en rådande kommersiell marknadskoncentration gör inte åtgärden laglig, då expert- och tillsynsmyndigheten DIGG uttryckligen har bekräftat att identifiering på högsta tillitsnivå är tekniskt genomförbar via plattformsoberoende arkitekturer.

3. Självframkallat cirkelresonemang och digitalt utanförskap
Polismyndigheten använder marknadens koncentration som ett argument för att inte utveckla oberoende alternativ. Detta är ett cirkelresonemang. Att marknaden är koncentrerad beror delvis på att offentliga aktörer underlåtit att tillhandahålla teknikneutrala, statliga alternativ. Genom att Polisen (svar 2026-03-31) medger att inga handlingar upprättats för att analysera riskerna för digitalt utanförskap eller teknikneutralitet, har myndigheten aktivt valt att exkludera medborgare som av integritetsskäl, tekniska skäl eller ekonomiska skäl inte använder Googles eller Apples ekosystem.


Slutsats, hemställan och yrkande rörande punkt 2.6:
Kommersiell marknadsdominans utgör inte en juridisk undantagsgrund från dataskyddsförordningen. Jag hemställer att IMY i sin prövning fastställer att Polismyndigheten inte kan använda marknadsandelar för att motivera avsteg från artiklarna 5.1.c och 25 GDPR.

Jag yrkar att IMY utfärdar ett föreläggande mot Polismyndigheten att skyndsamt till tillsynsmyndigheten redovisa:

  1. Vilken specifik rättslig grund enligt artikel 6 GDPR som myndigheten åberopar för den personuppgiftsbehandling som arkitekturvalet genererar.

  2. En dokumenterad nödvändighets- och proportionalitetsbedömning som visar varför den omfattande exponeringen av medborgarnas enhetsdata och IP-adresser till utländska kommersiella aktörer är strikt nödvändig för att uppnå ändamålet ”elektronisk identifiering”.



2.7 Villkorat och ogiltigt samtycke samt otillåtet kopplingsförbehåll (Artikel 7.4 GDPR)

Jag gör gällande att Polismyndighetens planerade distribution och tekniska utformning av Sverige-id omöjliggör ett giltigt och frivilligt samtycke för de registrerade, vilket utgör en överträdelse av artikel 7.4 GDPR.

a) Inneboende obalans och otillbörligt tvång (Skäl 43 GDPR)
Enligt dataskyddsförordningens tvingande krav måste ett samtycke vara ett frivilligt, specifikt, informerat och otvetydigt viljeuttryck. I skäl 43 GDPR samt Europeiska dataskyddsstyrelsens (EDPB) riktlinjer 05/2020 slås det fast att samtycke i regel inte utgör en giltig rättslig grund när det råder en tydlig obalans mellan den registrerade och den personuppgiftsansvarige, vilket i synnerhet är fallet när den personuppgiftsansvarige är en offentlig myndighet.


Eftersom Sverige-id är avsett att vara den officiella statliga e-legitimationen för tillgång till grundläggande digital samhällsservice, befinner sig medborgaren i en absolut beroendeställning. Att villkora tillgången till denna medborgerliga infrastruktur med att individen måste acceptera Apples eller Googles kommersiella och integritetskränkande användarvillkor innebär att samtycket raderas ut av ett otillbörligt tvång.

b) Otillåtet kopplingsförbehåll
Artikel 7.4 GDPR föreskriver att det vid bedömningen av om samtycke har lämnats frivilligt maximalt ska tas hänsyn till om tillhandahållandet av en tjänst har gjorts beroende av samtycke till en personuppgiftsbehandling som inte är nödvändig för genomförandet av tjänsten (kopplingsförbehåll).

Polismyndighetens arkitekturval skapar ett direkt kopplingsförbehåll: För att en medborgare ska kunna aktivera och använda sitt statliga e-id tvingas denne att ingå ett avtalsförhållande med en utländsk tredjepartsleverantör och underkasta sig den spårning och telemetri som sker på operativsystemsnivå. Denna personuppgiftsbehandling hos Apple och Google är, vilket tillsynsmyndigheten DIGG bekräftat, inte tekniskt nödvändig för att utföra själva identitetsverifieringen. Att Polismyndigheten ändå sammankopplar statlig myndighetsutövning med ett tvingande godkännande av kommersiella tredjepartsavtal strider direkt mot artikel 7.4 GDPR.


Yrkande rörande punkt 2.7:
Jag hemställer att IMY prövar om Polismyndighetens tekniska låsning till iOS och Android innebär ett otillåtet kopplingsförbehåll i strid med artikel 7.4 GDPR, samt förelägger myndigheten att tillhandahålla ett teknikneutralt distributions- och användningssätt som säkrar medborgarnas rätt till ett fritt och oberoende val.



2.8 Underlåtenhet att efterleva principen om laglighet, rättvisa och transparens (Artikel 5.1.a GDPR)

Enligt artikel 5.1.a GDPR ska personuppgifter behandlas på ett lagligt, rättvist och transparent sätt i förhållande till den registrerade. Jag gör gällande och hemställer att IMY prövar om Polismyndighetens planerade systemarkitektur för Sverige-id bryter mot samtliga tre delar av denna fundamentala grundprincip:

a) Bristande rättvisa och strukturellt tvång
Principen om rättvis behandling innebär att personuppgifter inte får hanteras på ett sätt som är diskriminerande eller som medför oskäliga negativa konsekvenser för individen. Genom att villkora tillgången till den officiella statliga e-legitimationen med ett tvingande krav på att använda operativsystemen iOS eller Android, skapar Polismyndigheten en skadlig asymmetri. Medborgare som av ekonomiska, tekniska eller integritetsmässiga skäl inte äger eller vill använda dessa kommersiella plattformar exkluderas systematiskt från en statlig kärninfrastruktur. Att tvinga medborgare att ge upp sitt dataskydd på systemnivå och acceptera kommersiella tredjepartsvillkor för att kunna utöva sina medborgerliga rättigheter kan inte anses utgöra en rättvis behandling.

b) Bristande transparens och urholkad informationsskyldighet (Artikel 13 GDPR)
Transparensprincipen kräver att den registrerade ska ha fullständig insyn i hur dennes data behandlas och exponeras. Enligt artikel 13.1.e GDPR har Polismyndigheten en absolut skyldighet att informera om vilka mottagare som tar del av uppgifterna.

Genom myndighetens skriftliga ställningstagande den 2026-04-15, där det uppges att frågor om applikationens personuppgiftsflöden till tredjepart behöver ”i första hand ställas till respektive tillhandahållare av de tekniska plattformarna”, har Polismyndigheten bekräftat att de själva saknar den insyn som krävs för att kunna uppfylla sin transparensskyldighet. När den personuppgiftsansvarige myndigheten inte kan redogöra för dataflödena, blir det rättsligt omöjligt för medborgaren att få den transparenta information som krävs för att kunna tillvarata sina rättigheter.

c) Bristande laglighet
För att en behandling ska vara laglig krävs en giltig och tillämplig rättslig grund enligt artikel 6, och behandlingen måste ske i överensstämmelse med unionens övriga rättsregler. Som utvecklats under punkt 2.6 och 2.7 har Polismyndigheten hittills underlåtit att precisera sin rättsliga grund, samtidigt som det valda distributionssättet medför ett otillåtet kopplingsförbehåll. En behandling som vilar på ogiltiga samtyckesstrukturer och som underlåter att iaktta kraven på inbyggt dataskydd uppfyller inte kravet på laglighet.


Yrkande rörande punkt 2.8:
Jag hemställer att IMY prövar om Polismyndighetens valda arkitektur och distributionsmodell för Sverige-id kränker principen om laglighet, rättvisa och transparens i artikel 5.1.a GDPR, samt förelägger myndigheten att utforma systemet så att det säkerställer en icke-diskriminerande, transparent och rättslig hantering för samtliga medborgare.


2.9 Underlåtenhet att förhindra ändamålsglidning och brott mot principen om ändamålsbegränsning (Artikel 5.1.b GDPR)

Enligt artikel 5.1.b GDPR ska personuppgifter samlas in för särskilda, uttryckligt angivna och berättigade ändamål och får inte senare behandlas på ett sätt som är oförenligt med dessa ändamål (ändamålsbegränsning).

Jag gör gällande att Polismyndighetens valda systemarkitektur för Sverige-id i praktiken omöjliggör efterlevnaden av denna princip på följande grunder:

a) Oundviklig kommersiell vidarebehandling
Det uttryckliga och berättigade ändamålet med det aktuella projektet är att tillhandahålla en säker, statlig infrastruktur för elektronisk identifiering av svenska medborgare. Genom att Polismyndigheten exklusivt låser denna infrastruktur till de proprietära operativsystemen iOS och Android, exponeras medborgarnas tekniska metadata, enhetsrelaterade information och IP-adresser oundvikligen för Apple och Google vid registrering och installation (vilket myndigheten bekräftat sker i svar den 2026-04-15).

Dessa utländska privatföretag samlar in och behandlar denna typ av telemetri- och nätverksdata för ändamål som är helt främmande för svensk myndighetsutövning, såsom beteendebaserad profilering, kommersiell produktutveckling och annonsoptimering.

b) Arkitekturvalet som en direkt orsak till överträdelsen
Polismyndigheten har gjort ett tekniskt designval där acceptans av dessa kommersiella aktörers vidarebehandling görs till ett tvingande villkor för att en medborgare ska kunna använda sin statliga e-legitimation. Medborgaren har aldrig auktoriserat eller samtyckt till att dennes interaktion med svenska staten ska ligga till grund för kommersiell profilering hos utländska Tech-jättar.

Genom att Polismyndigheten (enligt eget skriftligt medgivande den 2026-03-27, punkt 5.1) helt har underlåtit att utreda, dokumentera och utvärdera plattformsoberoende alternativ (såsom Linux, desktopmiljöer eller öppna standarder via en renodlad fysisk bärare), vilka skulle kunna isolera personuppgifterna till det ursprungliga identifieringsändamålet, har myndigheten aktivt byggt in en oacceptabel ändamålsglidning direkt i systemets kärna.


Yrkande rörande punkt 2.9:
Jag hemställer att IMY prövar om Polismyndighetens valda systemarkitektur och underlåtenhet att isolera personuppgifterna till det ursprungliga identifieringsändamålet strider mot artikel 5.1.b GDPR.

Jag yrkar att IMY utfärdar ett föreläggande mot Polismyndigheten att redovisa:

  1. Hur det primära och legitima ändamålet – att en svensk medborgare ska kunna autentisera sin identitet gentemot digital offentlig service – anses kräva eller rättfärdiga den oundvikliga genereringen och exponeringen av enhetsidentifierare, nätverksmetadata och telemetri till utländska kommersiella aktörer.

  2. Hur myndigheten har vägt sitt systemarkitekturval mot de officiella, globala sekretess- och användarvillkor som Apple Inc. och Google LLC tillämpar, vari det uttryckligen framgår att insamlad telemetri- och enhetsdata vidarebehandlas för sekundära, kommersiella ändamål såsom beteendebaserad annonsering, spårning och profilering.

  3. Huruvida Polismyndigheten har dokumenterat en medveten acceptans av denna kommersiella vidarebehandling under projekteringsfasen, eller om myndigheten har underlåtit att analysera plattformstillverkarnas öppna affärsmodeller i förhållande till kraven i artikel 5.1.b GDPR.

  4. Vilka tekniska åtgärder som planeras för att fullständigt isolera medborgarnas personuppgifter till det ursprungliga identifieringsändamålet, eller utreda plattformsoberoende alternativ som eliminerar risken för ändamålsglidning.


2.10 Konkret påverkan på medborgaren – En strukturell och faktisk uteslutning

Denna anmälan utgår från en faktisk situation för mig som svensk medborgare. Eftersom jag idag inte kan använda BankID, av exakt samma skäl som anges i detta klagomål (avsaknad av iOS/Android), såg jag den statliga e-legitimationen som min räddning ur ett långvarigt digitalt utanförskap. Med Polismyndighetens föreslagna lösning kommer jag dock att tvingas kvarstå i detta utanförskap.

Som Linux-användare (eftersom Microsofts Windows innebär samma problematik gällande oundviklig överföring av telemetri och personuppgifter som iOS och Android) och innehavare av en mobiltelefon utan iOS eller Google Play Services, innebär Polismyndighetens valda implementation att jag stängs ute från möjligheten att använda Sverige-id. Jag kan därmed inte utöva min rätt till elektronisk identifiering på mitt eget val av teknik. I förlängningen innebär detta att avsaknaden av ett kommersiellt avtal med Google eller Apple ska avgöra om det överhuvudtaget går att leva ett normalt liv i Sverige och sköta sina myndighetskontakter. Det är en principvidrig ordning; jag hävdar med bestämdhet att jag som svensk medborgare ska kunna leva ett normalt liv utan att av staten avkrävas att ingå avtal med amerikanska bolag samt skicka min personuppgiftsdata dit.

Valet att enbart stödja Apples och Googles slutna ekosystem innebär att jag och många andra medborgare lämnas praktiskt uteslutna från denna grundläggande statliga infrastruktur. Min situation är inte unik. Det finns en betydande grupp svenska medborgare som drabbas av exakt samma digitala utanförskap:

För dessa medborgare blir statens nya e-legitimation i praktiken en stängd dörr. De berövas möjligheten att logga in på myndighetssidor, hämta e-tjänster och tillvarata de digitala rättigheter som andra medborgare tar för givet.

Tekniska lösningar för att undvika denna uteslutning existerar redan och är väl beprövade. Smartcard-baserad autentisering via en helt vanlig USB-kortläsare är en väletablerad teknik som används framgångsrikt av europeiska stater (exempelvis Tyskland och Österrike) för deras nationella e-legitimationer, samt av svenska finansiella institut. eIDAS-ramverket tillåter i allra högsta grad denna typ av plattformsoberoende och hårdvarubaserade lösningar, och expertmyndigheten DIGG har bekräftat att det svenska tillitsramverket är helt kompatibelt med detta.

Polismyndigheten kan därför inte hävda att en plattformsoberoende lösning är tekniskt omöjlig eller oproportionerligt dyr. Att alternativet saknas beror helt och hållet på att det har ignorerats under design- och planeringsfasen. Detta härleds direkt till den totala avsaknad av konsekvensbedömningar (artikel 35) och analyser av inbyggt dataskydd (artikel 25) som denna anmälan adresserar.

Resultatet av Polismyndighetens passivitet är en djup och oacceptabel motsägelse: Systemet påstås vara en statlig e-legitimation till för alla medborgare, men är i praktiken utformat för att stänga ute just de medborgare som värnar sin lagstadgade digitala integritet och suveränitet.



3. Sammanfattande bedömning

Polismyndighetens utveckling av Sverige-id uppvisar en systematisk och medveten underlåtenhet att efterleva dataskyddsförordningens mest grundläggande krav under planerings- och designfasen. Genom att medvetet välja en exkluderande teknisk arkitektur utan att först genomföra föreskrivna konsekvensbedömningar (DPIA) eller analyser av inbyggt dataskydd (artikel 25), har myndigheten låst fast en hel nationell digital infrastruktur i ett läge där de i praktiken saknar kontroll över svenska medborgares personuppgifter.

Att en statlig myndighet villkorar tillgången till grundläggande medborgerlig infrastruktur med att medborgaren tvingas in i utländska kommersiella ekosystem – och därmed exponeras för oundviklig telemetri, ändamålsglidning och tredjelandsöverföring – är inte förenligt med kraven på laglighet, rättvisa och transparens (artikel 5.1.a).



4. Slutliga yrkanden

Med hänvisning till ovan anförda brister hemställer jag att Integritetsskyddsmyndigheten (IMY) skyndsamt utövar sina korrigerande befogenheter enligt artikel 58 GDPR och vidtar följande åtgärder:

  1. Inledande av tillsyn: Att IMY skyndsamt inleder ett tillsynsärende mot Polismyndigheten för att granska efterlevnaden av artiklarna 5.1.a, 5.1.b, 5.1.c, 7.4, 24, 25, 35, 44 och 45 GDPR inom ramen för projektet Sverige-id.

  2. Föreläggande om redovisning av dokumentation: Att IMY förelägger Polismyndigheten att omedelbart till tillsynsmyndigheten uppvisa en komplett konsekvensbedömning (DPIA) enligt artikel 35, en dokumenterad analys av inbyggt dataskydd enligt artikel 25, samt en skriftlig redogörelse för systemets avsedda rättsliga grund enligt artikel 6.

  3. Tillsyn över dataöverföring och kontroll: Att IMY granskar lagligheten i de bekräftade dataflödena till Apple och Google, samt förelägger Polismyndigheten att visa hur de säkerställer att skyddsnivån för medborgarnas IP-adresser och enhetsdata inte undergrävs i strid med artikel 44 GDPR.

  4. Krav på teknikneutralt alternativ: Att IMY förelägger Polismyndigheten att utreda och implementera en plattformsoberoende och dataminimerande lösning, exempelvis smartcard-/kortläsarbaserad autentisering via öppna standarder (såsom FIDO2), vilket tillsynsmyndigheten DIGG bekräftat är fullt tillåtet inom tillitsramverket.

  5. Föreläggande om tidsplan för inkludering: Att Polismyndigheten föreläggs att senast den 1 september 2026 ha framme en dokumenterad handlingsplan för hur kortläsarbaserad autentisering eller andra plattformsoberoende alternativ ska tillgängliggöras. Om detta inte kan driftsättas före den planerade lanseringen den 1 december 2026, yrkas att funktionen ska vara implementerad senast den 1 januari 2027 för att minimera tiden i digitalt utanförskap för drabbade medborgare.

  6. Villkorat föreläggande om lanseringspaus: För det fall att Polismyndigheten underlåter att presentera lagstadgad konsekvensbedömning (DPIA) och artikel 25-analys, eller om de tekniska flödena till tredjepart inte kan visas uppfylla förordningens krav, hemställs att IMY meddelar ett föreläggande om att pausa lanseringen och driften av Sverige-id till dess att laglighet har säkerställts.

Härmed överlämnas ärendet för IMY:s vidare åtgärder. Jag står till myndighetens förfogande för ytterligare upplysningar eller tillhandahållande av den skriftväxling som ligger till grund för klagomålet.