October 2026 - Listan

DFRI träff-after work i Malmö?
by uvdfri 29 Oct '26

29 Oct '26

Hej! DFRI's afterworks i Stockholm är mycket uppskattade och energigivande. Inte så lätt för alla som vill ses live att ta sig till dem dock. Nästa vecka har jag ett samtal med en medlem från Malmö, och kanske en till, om tanken att ordna en träff/after work där. Om någon på listan vill vara med i det samtalet, pinga gärna mig så bjuder jag in. Självklart, om någon vill ordna en träff i annan stad, så pinga gärna också. Så hjälper vi gärna till. Med vänlig hälsning, Ulrika DFRI Styrelse

1 0

Kallelse till DFRI styrelsemöte tisdag 27 oktober kl. 18:00 (online)
by Börje Ohlman 27 Oct '26

27 Oct '26

DFRI håller ett öppet styrelsemöte torsdag 27 augusti 2026, kl 18:00 på internet. Vi beräknas hålla på i ungefär en timme. Alla medlemmar och andra intresserade är välkomna. Möteslänk: https://jitsi.dfri.se/DFRI-styr-2026 Du kan även föreslå saker som du vill ska tas upp på mötet på plats eller i förväg till styrelsen(a)dfri.se <mailto:styrelsen@dfri.se> Dagordning finns på: https://cryptpad.fr/pad/#/2/pad/view/MwR51HzLaajVT+Lx4UbsFUCd-XxIy28e5tUGZt… Den kommer att uppdateras fram till dess. Varmt välkommen!!! Styrelsen

2 1

Fwd: [EDRi-members] Tickets for the Chaos Communication Congress (40C3)
by Börje Ohlman 27 Oct '26

27 Oct '26

1 0

Välskrivet om åldersverifiering / ID-kontroll
by uvdfri 08 Oct '26

08 Oct '26

> Vidarebefordrat mejl: > > Från: Paul Walsh <paulfwalsh(a)substack.com> > Ämne: Australia is using child safety to outlaw online anonymity > > Datum: 8 oktober 2026 12:14:25 CEST > Till: ulrika.info(a)agical.se > > Svara till: Paul Walsh <reply+3mgv4g&6itlfm&&466006d5db960b2d94f055f69f8813fd3f5c10f51236cb50d7180ebaa3f73874(a)mg1.substack.com> > > Forwarded this email?[Subscribe here](https://substack.com/redirect/2/eyJlIjoiaHR0cHM6Ly9wYXVsZndhbHNoLnN1Y… more > > [Australia is using child safety to outlaw online anonymity](https://substack.com/app-link/post?publication_id=10329477&post_… > > The eSafety Commissioner’s own statements expose the technical contradictions behind age checks, identity verification and national social media bans. > > [PAUL WALSH](https://substack.com/@paulfwalsh) > > OCT 8 > https://substack.com/@paulfwalsh > > https://substack.com/app-link/post?publication_id=10329477&post_id=21913691… > https://substack.com/app-link/post?publication_id=10329477&post_id=21913691… > https://substack.com/app-link/post?publication_id=10329477&post_id=21913691… > https://open.substack.com/pub/paulfwalsh/p/australia-is-using-child-safety-… > > [READ IN APP](https://open.substack.com/pub/paulfwalsh/p/australia-is-using-child-sa… > > https://substack.com/redirect/edb6bb06-2a2c-4e76-9333-fca0e9993c68?j=eyJ1Ij… > > Australia’s eSafety Commissioner, Julie Inman Grant, has made statements that are technically incorrect and disingenuous. I’ve broken them down below and provided simple technical analysis explaining why each one is wrong and how it misdirects the media and public. > > https://substack.com/redirect/3fa4bb41-15d3-4c21-b7d6-af38b5e71a89?j=eyJ1Ij… > > [X avatar for @ausvstheagenda] > Anthony Khallouf > @ausvstheagenda > > eSafety Commissioner Julie Inman Grant says critics of the ‘Digital Duty of Care’ exposure draft simply don’t understand the legislation, insisting she is only trying to help Australians while dismissing concerns about censorship. > > [Image] > > 9:02 AM · Oct 5, 2026·28.5K Views > > 276 Replies·79 Reposts·341 Likes > > The key takeaway from this post > > 💡 Online child safety doesnotrequire any form of age checks, identity verification, or government bans. > > Smartphones already make it possible for parents to block apps and websites, restrict music and movie content, approve downloads and purchases, limit who their children can communicate with, and set screen time limits and curfews based on their age and capabilities. Many parents already use these controls, and most schools have relied on them for quite some time. > > That means there’s no technical reason to force every adult through identity verification and no need for governments to introduce new laws banning children from services their own parents can already block. > > If parents can already achieve everything governments claim they want, the obvious question is why governments are campaigning for new laws instead of helping parents use the controls that already exist. > > Some people argue that age checking systems based on “zero knowledge” can preserve privacy. That’s irrelevant here. No form of age checking is necessary if parents can already control what their own children can access and do on their devices. > > --------------------------------------------------------------- > > The Australian eSafety Commissioner’s claims and my response > > 🇦🇺 “The government is listening to all kinds of feedback from stakeholders.” > > This is untrue. The government listens to organisations that support its narrative, including child safety charities, NGOs, think tanks, parents, behavioural psychologists and lobby groups. They are not technical experts in online child safety. > > The Commissioner and I have engaged multiple times on LinkedIn and she has followed my work for many years, but she doesn’t appear interested in campaigning to educate parents about the safety controls they can already use themselves. She’s laser focused on legislation that forces identity verification across the country. > > --------------------------------------------------------------- > > 🇦🇺 “So I think, you know, perhaps things will evolve.” > > No. The legislation either achieves its stated objective or it doesn’t. Saying the system will evolve is an excuse for predictable technical failures after implementation. > > --------------------------------------------------------------- > > 🇦🇺 “I think there’s been a real misreading and a misinterpretation about what the Digital Duty of Care legislation is meant to do.” > > This is also untrue. I understand the legislation, and so do other technical experts. Some of us understand the legislation and its technical consequences better than the people designing and implementing it. > > Saying “critics” have misread or misinterpreted the legislation avoids answering the technical objections. Disagreement is presented as misunderstanding. > > Calling us “critics” instead of technical experts also changes the framing. It makes this sound like an ideological argument instead of a technical one and avoids positioning the Commissioner against people with expertise, a proven track record in online child safety, and direct experience with the technology she wants to regulate. > > I’m seeing the same positioning from governments and the media. Everything is presented as a debate between child safety advocates on one side and privacy or civil liberties groups on the other. > > That’s false. > > This is also a technical argument between governments and child safety lobbyists, and independent technical experts who want to protect everyone. That means protecting children from harmful content and dangerous people online while also protecting the right to privacy of children and adults. > > --------------------------------------------------------------- > > 🇦🇺 “It’s meant to put proactive obligations on these technology companies, like we do with car manufacturers or medicines or medical devices.” > > That analogy fails. I’ll break down her statement because it tells us more than you might imagine. > > The Commissioner contradicts herself in the same video and across all of her campaigns. > > On one hand, she says children should be banned from social media. On the other, she says technology companies should have proactive obligations to make those same services safe for children. > > Those are completely different policies that require two completely different approaches from a technology perspective. > > If children are banned from Facebook, Instagram, Muse and similar services, the obligation is to keep children out. > > If children are allowed to use them, the obligation is to redesign the services so they’re safe for children of different ages. > > “Proactive obligations” only make sense in the second scenario because you only need to make a service safe for children if children are going to use it. > > She’s mixing both positions together. > > Expecting Meta to make services used by hundreds of millions of adults safe for children of different ages is either naive or irresponsible. Even if it were technically possible, and I argue it isn’t, Meta would have to redesign content systems, recommendation systems, communications features, advertising, account controls, moderation and other core parts of its services around different ages, levels of development and risk. > > None of this is comparable to requiring a car manufacturer to add a safety feature or requiring a medicine to meet a safety standard. A better analogy would be ordering Marlboro to make cigarettes safe for children. You either impose an age restriction because the product is unsafe for children, or you make the product safe enough for children to use. You can’t argue for both at the same time. > > The Commissioner is conflating separate objectives into language that works well for lobbying campaigns but doesn’t make sense from a technology or legislation perspective. > > “Proactive obligations” sounds responsible, but it avoids saying what companies are actually being required to do. > > “Online safety” sounds universally desirable, but it hides the technical mechanism required to enforce it. > > “Protecting children” makes the policy difficult to challenge because nobody wants to be portrayed as arguing against child safety. > > When regulators can’t defend digital policy using the technology they’re actually regulating, they fall back on cars, medicines and other physical products that work differently. When that fails, they fall back on ideology. > > That produces good campaign slogans, but it doesn’t produce coherent technology policy. > > --------------------------------------------------------------- > > 🇦🇺 “I’m sure there will be lots of negotiation, but I think the Digital Duty of Care is the only way we can get ahead of these harms rather than just responding to them after.” > > She contradicts herself in the same sentence. > > If the Digital Duty of Care is “the only way”, then there is no negotiation about the approach. The conclusion has already been made. > > She also ignores the fact that parents already have proactive controls on smartphones that can block apps, websites, content and access before harm occurs. > > So “the only way” is both inconsistent with “lots of negotiation” and technically false. > > --------------------------------------------------------------- > > Below is a demo I gave during a BBC Newsnight appearance in 2012. At the time, I was invited to advise the British government and its main online child safety adviser, John Carr, during the first Parliamentary inquiry into measures intended to protect children from pornography. > > Parental controls were so poor that I had to design and build what I believed was the most capable form of parental control available at the time for Samsung and Apple devices. I also pioneered the concept of time curfews. > > https://substack.com/redirect/d7256b53-35b7-4687-8114-2cf2dc9e2803?j=eyJ1Ij… > > That wasn’t my first involvement in online child safety. I was first exposed to digital risk, online impersonation, content and account moderation, and child safety when I worked at AOL in the mid 90s. I later co founded the global standard for Content Labelling and URL Classification at the W3C, the World Wide Web Consortium, in 2004. That work formally replaced an earlier standard called PICS in 2009. It was also when I co-invented the concept of classifying and labelling accounts and folders on the web. > > I have advocated for child safety and online account verification for longer than most people working in this field today. But I want to make one thing very clear. I still support voluntary account verification where it improves trust and reputation. I’m 100% opposed to any government mandating age or identity verification before adults, or children, can access basic websites, online services or communication tools. > > I advised the government to encourage ISPs and mobile network operators to give people content filtering tools they could use at their own discretion, but not to force those filters on the entire population. Default blocking would require providers to determine who was over 18, creating valuable identity data for cybercriminals and introducing censorship by blocking lawful content unless adults proved they were entitled to see it. > > I also warned that forcing identity verification would not protect children because the restrictions could be bypassed with a VPN, which can make a device appear to be connecting from a country where the ban doesn’t apply. > > None of what we’re seeing today is new, and Australia is not the first country to introduce so called child safety legislation. The UK tried this approach years ago and it clearly failed. If it had solved the problem, you wouldn’t be reading this post. > > 💡 The single most important point is that parental controls on smartphones today are vastly better than they were in 2012. They’re excellent. Despite what some people claim, they can’t simply be bypassed when protected by a PIN set by the parent. > > The Commissioner does not need to impose age checks, identity verification or national bans in the name of online child safety. She could achieve much more by educating parents and guardians about the controls they already have on the phones in their hands. > > 🇦🇺 The Australian government’s end game is to outlaw online anonymity so people censor themselves. There’s no other plausible reason when looking at all the evidence. > > When every person is forced to link what they read, write, share, and who they communicate with to their real identity, online anonymity is effectively outlawed and people will censor themselves. > > In the UK, 30 people are arrested every day for what they say online. The UK government would also have you believe it wants to force a national digital identity mandate on everyone to protect them from identity theft. > > At least 25 countries coordinate identity verification mandates under the pretext of child safety. > > --------------------------------------------------------------- > > Subscribe for more like this > > Never miss an investigation. Get every post as it’s published, plus 1 weekly briefing linking to everything I wrote that week across technology, governments, intelligence, legislation and corporate power.Always free. > > Follow the evidence, not the headlines.Subscribe for a weekly digest and follow to see investigations as soon as they’re published. > > [Subscribed](https://substack.com/redirect/2/eyJlIjoiaHR0cHM6Ly9wYXVsZndhbHN… > --------------------------------------------------------------- > > What to expect > > Every investigation begins with the core insight, then explains the technical capability, incentives, relationships and evidence behind it. > > I examine technology, AI, surveillance, cybercrime, digital identity, privacy, online safety, intelligence, legislation and the companies, governments and investors shaping them. > > Most posts take only a few minutes to read. Around once a month I’ll publish a longer investigation when a subject deserves deeper analysis. > > --------------------------------------------------------------- > > Check out my drafts folder > > You can now see what investigations I’m working on before I publish them. I’ve created a[drafts page](https://substack.com/redirect/a1ef1991-b6da-4a92-97eb-27637e08cefb?j=… you can see what I’m likely to write about next. > > --------------------------------------------------------------- > > Why this publication exists > > Too much reporting separates events that belong together. > > A government announcement becomes one story. An acquisition becomes another. An investment, a technical capability, a policy change or an executive statement becomes something else entirely. > > I investigate how those pieces connect. I don’t begin with conclusions. I begin with technical capability, evidence and incentives. Intent is the last thing I consider, not the first. > > 💭 Technology doesn’t concern me because of what it is. It concerns me because of what it allows people, organisations and governments to do. > > Know someone interested in surveillance, privacy, digital safety or cybercrime? Share this with them and bring them into the discussion. > > [Share Paul Walsh](https://substack.com/redirect/2/eyJlIjoiaHR0cHM6Ly9wYXVsZndhbHNoLnN1… > > [LIKE](https://substack.com/app-link/post?publication_id=10329477&post_id=21… > [COMMENT](https://substack.com/app-link/post?publication_id=10329477&post_id… > [RESTACK](https://open.substack.com/pub/paulfwalsh/p/australia-is-using-chil… > > © 2026Paul Walsh > 548 Market Street PMB 72296, San Francisco, CA 94104 > [Unsubscribe](https://substack.com/redirect/2/eyJlIjoiaHR0cHM6Ly9wYXVsZndhbH… > [Get the app](https://substack.com/redirect/1a11532e-47b1-47de-a2a1-5d5fee8e8752?j=e… writing](https://substack.com/redirect/2/eyJlIjoiaHR0cHM6Ly9zdWJzdGFjay5jb2… > > Med vänlig hälsning, > Ulrika Vincent > > Agical AB, > Västerlånggatan 79 > 11129 Stockholm > Tel: +46 702 69 1153

1 0

Kallelse till DFRI styrelsemöte torsdag 2026-10-08 kl. 18:00 (fysiskt)
by uvdfri 05 Oct '26

05 Oct '26

DFRI håller ett öppet styrelsemöte torsdag 8 september 2026, kl 18:00 på Agicals kontor, Västerlånggatan 79, 2tr, Stockholm. Vi beräknas hålla på i ungefär en timme. Alla medlemmar och andra intresserade är välkomna. För att delta på mötet, kontakta styrelse(a)dfri.se så får du portkoder. Du kan även föreslå saker som du vill ska tas upp på mötet på plats eller i förväg till styrelsen(a)dfri.se Dagordning finns på: https://cryptpad.fr/doc/#/2/doc/view/kEiB+DSrEJ5OcaRbH-j9m3cLA-9z5WH5T64EVU… Den kommer att uppdateras fram till dess. Varmt välkommen!!! Styrelsen

1 0

Fwd: Obligatoriskt mobilnummer vid klagomål – begäran om rättslig grund, nödvändighet och DPIA enligt GDPR
by Mats Karlsson 04 Oct '26

04 Oct '26

Ibland kan det vara bra att ifrågasätta. Det blev rättat samma dag som svaret kom. /Mats ---------- Forwarded message --------- From: Dataskyddsombudet <dataskyddsombudet_ext(a)sl.se> Date: Mon, Sep 28, 2026 at 9:54 AM Subject: Sv: Obligatoriskt mobilnummer vid klagomål – begäran om rättslig grund, nödvändighet och DPIA enligt GDPR To: Mats Karlsson <mats.n.karlsson(a)gmail.com> Hej! Tack för att du har kontaktat mig med dina frågor. Jag återkommer när jag har hunnit titta närmare på dem. Med vänlig hälsning, *Johanna Wallerström* *Dataskyddsombud* *IT-avdelningen* *Strategi och Styrning* *Region Stockholm *Trafikförvaltningen 105 73 Stockholm Lindahagensgatan 100 Telefon: 08-123 316 00 Fax: 08-123 316 06 *www.regionstockholm.se <http://www.regionstockholm.se/>* *Trafikförvaltningen stödjer Trafiknämnden inklusive Färdtjänst och Spårvägsmuseet, AB Storstockholms Lokaltrafik och Waxholms Ångfartygs AB* *Från:* Mats Karlsson <mats.n.karlsson(a)gmail.com> *Skickat:* den 25 september 2026 20:43 *Till:* Dataskyddsombudet <dataskyddsombudet_ext(a)sl.se> *Ämne:* Obligatoriskt mobilnummer vid klagomål – begäran om rättslig grund, nödvändighet och DPIA enligt GDPR Till SL dataskyddsombud, Jag vill få klarhet i SL behandling av personuppgifter i samband med att en person lämnar ett klagomål eller en synpunkt via SL webbformulär. I det aktuella formuläret krävs mobiltelefonnummer när jag väljer att få återkoppling via e-post. Om jag i stället väljer att få återkoppling via vanlig post krävs inte något mobiltelefonnummer. Jag ifrågasätter inte att SL i vissa situationer kan ha ett legitimt behov av att behandla ett telefonnummer. Min fråga gäller varför telefonnumret är nödvändigt i just denna situation och varför uppgiften måste vara obligatorisk. Om återkopplingen ska ske via e-post finns redan en e-postadress som kan användas för återkopplingen. Jag har därför svårt att se vilket ytterligare ändamål som kräver att ett mobiltelefonnummer samlas in och görs till ett villkor för att kunna lämna klagomålet och få återkoppling via e-post. Jag begär därför att SL redovisar följande: *1. Ändamålet med behandlingen* Vilket eller vilka konkreta ändamål behandlas mobiltelefonnumret för när en person lämnar ett klagomål och väljer återkoppling via e-post? *2. Rättslig grund enligt artikel 6 GDPR* Vilken rättslig grund enligt artikel 6 GDPR åberopar SL för behandlingen av mobiltelefonnumret i denna situation? Om SL åberopar artikel 6.1 e GDPR, vill jag även få en redogörelse för vilken uppgift av allmänt intresse eller vilken myndighetsutövning som gör behandlingen av just mobiltelefonnumret nödvändig. *3. Uppgiftsminimering enligt artikel 5.1 c GDPR* Hur har SL bedömt kravet på mobiltelefonnummer mot principen om uppgiftsminimering i artikel 5.1 c GDPR? Jag vill särskilt veta varför en e-postadress inte anses vara tillräcklig när den uttryckligen valts som kanal för återkoppling. Hur har SL bedömt att insamlingen av mobiltelefonnumret är *nödvändig*, och inte endast praktiskt användbar eller önskvärd, för det angivna ändamålet? *4. Skillnaden mellan e-post och vanlig post* Varför krävs mobiltelefonnummer när återkoppling ska ske via e-post, medan samma uppgift inte krävs när återkoppling ska ske via vanlig post? Vilken konkret skillnad i behandlingen av själva klagomålsärendet motiverar denna skillnad? *5. Varför är mobiltelefonnumret obligatoriskt?* Jag vill särskilt ifrågasätta att mobiltelefonnumret är ett obligatoriskt fält och inte en frivillig kontaktuppgift. Om SL anser att det finns ett legitimt ändamål för att behandla mobiltelefonnumret, varför kan uppgiften då inte lämnas frivilligt av den registrerade? Vilken konkret behandling eller funktion förutsätter att mobiltelefonnumret lämnas, och varför kan denna funktion inte tillhandahållas utan att mobiltelefonnumret görs till ett villkor för att kunna lämna klagomålet och få återkoppling via e-post? Om SL anser att mobiltelefonnumret är nödvändigt, innebär detta att en person som inte vill lämna sitt mobiltelefonnummer inte kan lämna ett klagomål via webbformuläret och få återkoppling via e-post? Om svaret är ja, vilken rättslig och dataskyddsmässig bedömning ligger till grund för att tillgången till denna kommunikationskanal görs beroende av att ytterligare en personuppgift lämnas? *6. Information enligt artikel 13 GDPR* Var i den information som lämnas till den registrerade enligt artikel 13 GDPR framgår att mobiltelefonnummer är obligatoriskt för denna behandling, vilket ändamål uppgiften har och vilken rättslig grund som åberopas? Om detta inte framgår tydligt av den information som lämnas i samband med formuläret, vill jag veta var SL anser att den registrerade får denna information. *7. Inbyggt dataskydd enligt artikel 25 GDPR* Har SL gjort en bedömning enligt artikel 25 GDPR av om det är möjligt att utforma formuläret så att endast de personuppgifter som faktiskt är nödvändiga för den valda återkopplingskanalen samlas in? Har SL särskilt övervägt en utformning där mobiltelefonnumret är frivilligt när återkoppling sker via e-post? Om en sådan bedömning har gjorts önskar jag få ta del av resultatet eller åtminstone den del som rör det obligatoriska mobiltelefonnumret och valet att göra fältet obligatoriskt. *8. Konsekvensbedömning enligt artikel 35 GDPR* Har SL genomfört en konsekvensbedömning avseende dataskydd (DPIA) enligt artikel 35 GDPR för den behandling av personuppgifter som sker genom kundtjänstformuläret, inklusive kravet på obligatoriskt mobiltelefonnummer? Om en sådan konsekvensbedömning har genomförts begär jag att få ta del av den, alternativt de delar av konsekvensbedömningen som avser insamling och behandling av telefonnummer. Om SL har bedömt att någon konsekvensbedömning enligt artikel 35 GDPR inte behöver genomföras, önskar jag få veta på vilka grunder SL har gjort den bedömningen. Jag önskar även, om en sådan bedömning finns dokumenterad, få ta del av det dokumenterade underlag som ligger till grund för bedömningen att behandlingen inte medför sådan hög risk för fysiska personers rättigheter och friheter att en DPIA krävs. Jag noterar särskilt att SL publicerade integritetsinformation anger att telefonnummer behandlas "i vissa fall", medan e-postadress och postadress anges bland de personuppgifter som SL normalt behandlar. Mot den bakgrunden önskar jag en konkret förklaring till varför telefonnumret är obligatoriskt i just denna situation. Jag vill också understryka att min fråga inte gäller huruvida SL tekniskt sett kan samla in ett telefonnummer, utan huruvida det är *nödvändigt och proportionerligt att kräva uppgiften som villkor för att kunna lämna ett klagomål och få svaret via e-post*. Jag önskar därför ett svar som anger den konkreta rättsliga grunden, ändamålet och nödvändigheten av behandlingen, snarare än en generell hänvisning till SL integritetspolicy eller till att uppgiften efterfrågas av kundtjänstens system. Med vänlig hälsning, Mats Karlsson -- Med vänliga hälsningar Mats +46 76 341 81 83 matsk.wordpress.com

2 2