Var hamnar din gästdata egentligen?

(lugn bakgrundsmusik) Stockholm. En tisdag, strax före lunch. En restaurang på en sidogata. Det doftar nybryggt och nybakat och i hörnet vid kassan står en surfplatta uppställd.

På skärmen: dagens bokningar. Namn, telefonnummer, mejladresser. En liten anteckning vid ett av borden. Glutenallergi, fyra personer, fira något.

Allt det där ligger i ett bokningssystem och bokningssystemet ligger i ett moln. Frågan den här restaurangägaren aldrig ställt sig, och som vi ska ställa i dag, är enkel och obekväm på samma gång. Var ligger det molnet? Vem kan läsa namnen?

Och vad händer den dagen någon annan får tag i listan? Juristen kan dataskyddslagen. Det vet jag ingenting om. Jag är sommelier och jag har jobbat i besöksnäringen i tjugofyra år.

Men jag känner igen mönstret. Jag har sett gästlistor, bokningar, mejllistor och lojalitetsklubbar växa fram i restaurang efter restaurang. Vi samlade in allt och vi tänkte sällan på var det hamnade. Vi trodde att det var vårt, att vi ägde det för att vi skrev ner det.

Och det är just det som är felet. Din data är inte din bara för att du samlade in den. Välkommen till Gästen Först. Det här är första avsnittet i det vi kallar Säkerhetsveckan.

Fyra avsnitt om hur du skyddar det som är ditt. Och vi börjar med det känsligaste av allt. Gästens data. Namn, nummer, allergier, vanor.

Med mig i dag har jag Rickard Wilhelmsson, som bygger restaurang AI och Wilhelmsson Labs. Tjugofyra år i besöksnäringen, sommelier. Och Sara, integritetsjurist och dataskyddsexpert, som hjälper mindre bolag att hålla sig på rätt sida av GDPR. Sara är en gestaltad röst, en praktiker.

Sara, du hörde Rickards ingress. Han säger att datan inte är hans bara för att han samlade in den. Är det juridiskt korrekt? Det är faktiskt mer korrekt än de flesta jurister hade vågat formulera det.

Den där meningen, din data är inte din bara för att du samlade in den, den är nästan hela GDPR i en mening. För det som händer när en gäst lämnar sitt namn och nummer är inte att du blir ägare till uppgifterna. Du blir ansvarig för dem. Det är en helt annan sak.

Du blir det som lagen kallar personuppgiftsansvarig. Och med det ansvaret följer en lång rad skyldigheter som de allra flesta restaurangägare, och för den delen advokater och hantverkare, aldrig har läst en rad om. Du förvaltar någon annans uppgifter. Du äger dem inte.

Förvaltare, inte ägare. Det är en omställning i hur man tänker. För i restaurangvärlden var gästlistan alltid en tillgång. Något du byggde, något du var stolt över.

Stamgästerna, mejllistan, lojalitetsklubben. Ingen sa någonsin till mig att det också var en risk. Att samma lista som var min stolthet kunde bli min största huvudverk. Och jag tror inte jag är ensam.

Jag tror nittio procent av alla som driver något litet bär runt på en sådan lista utan att ha tänkt en sekund på var den faktiskt ligger. Då tar vi den vanligaste myten först. Sara, jag har hört väldigt många säga: "Vårt system har servrar i Europa, alltså är vi trygga." Servern står i Frankfurt. Stämmer det?

Det är den mest spridda missuppfattningen jag möter. Och jag förstår varför, för den låter logisk. Servern står i Frankfurt, alltså stannar datan i Europa, alltså är vi skyddade. Men det stämmer inte.

Och anledningen heter Schrems två. Det är en dom från EU-domstolen från juli 2020. Det den slog fast, förenklat, är att det inte räcker att titta på var servern fysiskt står. Du måste titta på vem som äger och kontrollerar bolaget.

Om bolaget är amerikanskt finns det amerikanska lagar. Cloud Act och en sak som heter FISA 702, som ger amerikanska myndigheter rätt att begära ut data från det bolaget. Oavsett om servern står i Frankfurt, Stockholm eller på månen. Serverns adress räddar dig inte.

Bolagets nationalitet avgör. Det där hade fått mig att tappa hakan när jag drev restaurang, för vi köpte alltid det som var enklast. Det mest kända bokningssystemet, den största mejltjänsten, det smidigaste lojalitetsverktyget. Och jag hade svurit på att vi var trygga om det stod någonstans att datan låg i Europa.

Det stod ju i villkoren. Men det du säger är att villkoren ljög inte. De berättade bara inte hela sanningen. Servern låg i Europa.

Men bolaget som ägde servern lidde under andra lagar. Och det är ju exakt det jag menar med att vi inte tänkte. Vi läste raden om var servern stod. Vi läste aldrig raden om vem som ägde den.

Och du är i gott sällskap för även de allra största gjorde fel här. Meta, alltså Facebook och Instagram, fick rekordböter i maj 2023. En komma två miljarder euro. Och vet du vad de fick böter för?

Inte ett dataintrång, inte att någon hackade dem. De fick böter för precis det här. Att de fört över europeisk data till USA på ett sätt som domstolen ansåg olagligt efter Schrems två. En komma två miljarder euro för en överföring.

Det är inte en parkeringsbot. Och om Meta, med tusentals jurister, inte fick till det, vad är då sannolikheten att den lilla restaurangen med surfplattan vid kassan har koll? Poängen är inte att skrämmas. Poängen är att problemet är osynligt tills det inte är det.

En komma två miljarder euro för en överföring. Det sätter ribban för hur fel det kan gå. Rickard, du bygger ju system. Hur tänker du kring det här rent praktiskt?

När vi byggde våra system gjorde vi ett medvetet val. Vi byggde så att data stannar i EU, hos europeiska leverantörer, så långt det överhuvudtaget gick. Inte för att det var billigast eller smidigast, det var det inte, utan för att Sara har helt rätt. Det är osynligt tills det inte är det och då är det för sent.

Men jag vill vara ärlig om att det är svårt. Det finns en bekvämlighet i att bara klicka i det mest kända verktyget och den bekvämligheten är dyrköpt. Det jag lärt mig är att man måste vända på ordningen. Fråga var datan hamnar först.

Sen fråga om verktyget är smidigt. Då tar vi nästa. Mejllistan. Lojalitetsprogrammet.

Den där listan Rickard kallade sin stolthet. Sara, hur blir denna risk? Får jag försvara mig innan Sara sänker mig? För här tänker jag att jag faktiskt gjorde rätt.

Vi frågade ju om lov. När gästen gick med i lojalitetsklubben kryssade de i en ruta. De sa ja, de gav sitt samtycke. Och jag har alltid tänkt att samtycke är trumfkortet.

Frågade jag om lov så är jag skyddad. Eller är det inte så enkelt? Jag ska inte sänka dig, men jag ska komplicera det. Samtycke är en giltig rättslig grund, det är sant.

Men det är också den svagaste och mest missförstådda av dem alla. För samtycke måste vara fritt, frivilligt, specifikt, informerat. Och det är just ordet fritt som fäller de flesta. Låt mig ge dig det tydligaste exemplet vi har i Sverige.

De allra första GDPR-böterna här gick till en gymnasieskola i Skellefteå 2019. Tvåhundratusen kronor. De hade testat ansiktsigenkänning för att registrera närvaro på tjugotvå elever. Och de hade frågat om lov.

Eleverna hade sagt ja. Men IMY underkände samtyckena. Varför? För att en elev står i beroendeställning till sin skola.

Du kan inte säga ett fritt ja till din rektor. Det finns en maktobalans. Och här är det jag vill att du tar med dig. Samtycke är ofta värdelöst som rättslig grund just när det finns en maktobalans.

Din data är inte din bara för att du samlade in den. Och samtycket är inte giltigt bara för att någon kryssade i en ruta. Vänta, så själva grundbulten i hur jag tänkte, vi frågade ju om lov, den håller inte alltid. För i restaurangen finns det ju ingen sådan maktobalans, tänker jag.

Gästen kan ju gå därifrån. Ingen tvingar dem in i lojalitetsklubben. Men jag hör vad du säger. Att jag inte kan luta mig mot ett ja om ja:et inte var ärligt fritt.

Och att den ruta jag var så nöjd med kanske var formulerad så att gästen inte ens fattade vad de sa ja till. Precis, och i restaurangfallet har du faktiskt en poäng. Gästen är friare än eleven. Men problemet flyttar bara.

För nu blir frågan i stället, var informerade? Förstod gästen att de hamnade på en lista som skulle mejlas en gång i veckan i flera år? Och så är det riktigt farliga. Mejllistan blir en bomb, inte den dagen du använder den.

Den blir en bomb den dagen någon annan får tag i den. Tänk dig att den listan läcker. Att en gammal anställd tar med sig den. Att den ligger i en molntjänst som blir hackad.

Då är det inte din stolthet längre. Då är det tusentals personer vars uppgifter du var ansvarig för och inte skyddade. Och det är då Aimi ringer. Och att Aimi ringer är inte hypotetiskt.

Sara, du nämnde böter. Vad har faktiskt hänt på senare tid? Det har hänt en hel del. Ett bolag som heter Sportadmin fick sex miljoner kronor i böter efter en IT-läcka som rörde två komma en miljoner personer.

Klarna fick sju komma fem miljoner kronor. Och ett bolag fick femhundratusen kronor för en sak som låter nästan banal. De hade mejlat kunders ekonomiska uppgifter till fel mottagare. Det sista vill jag understryka.

Det var inget hackerangrepp. Det var ett slarvfel. Fel adress i ett mejl. Och det är det som gör det här verkligt för den lilla verksamheten.

Du behöver inte bli hackad av proffs. Det räcker att någon skickar gästlistan till fel person en stressig fredag. Det här leder oss in i något nytt. För nu kommer AI in i restaurangen på ett sätt som låter smart.

Rickard, säg den tanke jag vet att många bär på. Okej, här är frestelsen. Du har redan en övervakningskamera. Den hänger där för säkerhets skull.

Och nu finns det smart programvara som kan känna igen ansikten. Tänk vad fint, säger någon leverantör. Kameran känner igen stamgästen när han kommer in. Personalen får en signal.

Här kommer Bengt. Han brukar sitta vid fönstret och dricka amarone. Det låter ju som drömmen om den perfekta värdskapen. Tekniken känner igen gästen åt dig.

Och jag erkänner, en del av mig tänker, vad häftigt! Det är ju exakt den personliga touchen vi alltid jagade i restaurang. Sara, säg varför jag har fel. Jag älskar att du säger det rakt ut, för det är exakt så fällan ser ut.

Den ser ut som värdskap. Men i samma sekund som du låter en kamera känna igen ett ansikte, har du klivit över en gräns i lagen. Ett ansikte som behandlas för att identifiera en person är biometriska uppgifter. Och biometri är det GDPR kallar en särskild kategori, artikel nio.

Det är samma kategori som uppgifter om din hälsa, din sexuella läggning, din religion, dina politiska åsikter. Och utgångspunkten för hela artikel nio är att den här typen av behandling är förbjuden. Inte svår, inte reglerad. I princip förbjuden, med några få undantag.

Det var precis det skolan i Skellefteå snubblade på. Ansiktsigenkänning på tjugotvå elever. Det var biometri. Det var artikel nio.

Och samtycket höll inte. Så när leverantören säger att din kamera kan känna igen Bengt, då säger den i praktiken: Vill du behandla en av de mest skyddade kategorierna av personuppgifter som finns för att slippa fråga vad Bengt vill dricka? När du sätter det så låter det plötsligt vansinnigt. Att jag skulle riskera samma kategori som hälsouppgifter för att slippa det som är själva poängen med mitt jobb, att lära känna gästen igenom att prata med honom.

Det är ju nästan en förolämpning mot yrket. Att ersätta minnet och ögonkontakten med en kamera som scannar ansikten. Och det är där jag landar i den här veckan. Att en del teknik ska man inte vilja ha även när den finns.

Inte för att den är olaglig först, utan för att den löser fel problem. Och ändå, Sara, är du inte teknikfientlig. Det märks. Var går din gräns mellan smart och förbjudet?

Nej, jag är inte teknikfientlig alls. Jag använder AI varje dag. Men där går en gräns som är värd att kunna. Och den handlar om en sak Rickard varit inne på, utan att veta att han nuddade en juridisk poäng.

Var datan hamnar. Ta AI-verktyg. Skillnaden mellan en gratis tjänst och en betald är ofta avgörande. En gratis chattjänst kan enligt sina villkor i många fall läsas av granskare och tränas på det du skriver in.

Skriver du in en gästs allergi, en kunds personnummer, ett avtalsinnehåll i ett gratisverktyg, då kan det bli en del av modellen. Betalda tjänster för företag, de seriösa, gör i regel inte det utan att du gett ditt uttryckliga ja. Så min gräns är inte gammal mot ny teknik. Min gräns är: Vet jag var det jag matar in tar vägen?

Om svaret är nej, då stoppar jag. Det här var precis den sortens samtal jag hoppades på. Rickard, tre konkreta saker. Om en restaurangägare, en advokat eller en hantverkare lyssnar nu och vill börja någonstans, vad är steg ett, två och tre?

Tre saker och inget av dem kräver en jurist för att börja. Det första, gör en lista över var din data faktiskt ligger. Inte ett projekt, bara en lista. Bokningssystemet, mejllistan, lojalitetsklubben, det gamla kalkylarket på en dator i köket.

Skriv ner var varje sak bor. Och för varje rad ställ Saras fråga: Vet jag vem som äger bolaget bakom det här verktyget och var datan tar vägen? Servern i Frankfurt räddar dig inte om bolaget lider under andra lagar. Det andra, rensa.

Det mesta du samlat behöver du inte. Den gamla mejllistan med folk som åt hos dig en gång 2019, den är inte en tillgång. Den är en bomb som väntar. Data du inte har kan inte läcka.

Det är den enklaste säkerhetsåtgärd som finns och den kostar ingenting. Spara bara det du verkligen använder. Tredje, innan du säger ja till nästa smarta verktyg, vänd på ordningen. Fråga var datan hamnar först.

Sen fråga om det är smidigt. Inte tvärtom. Och rör inte biometri, ansiktsigenkänning, sånt som känner igen kroppar och ansikten om du inte har en jurist bredvid dig. Det är artikel nio.

Det är en helt egen liga. För i grunden handlar hela den här veckan om en enda omställning. Din data är inte din bara för att du samlade in den. Du förvaltar den åt någon annan och förvaltning kräver att du vet var den är.

Kontroll först, sen bekvämlighet. Sara, Rickard, tack! Det här var en ögonöppnare och jag säger det som någon som själv samlar in alldeles för mycket. Det här var första avsnittet i säkerhetsveckan.

Nästa gång lämnar vi datan och tar oss in i lösenorden. Den där lappen på skärmen, det där lösenordet alla i personalen delar, kontot ingen bytte när någon slutade. Rickard, sista ord. Sara är en gestaltad röst, en praktiker av den typ jag pratat med.

Inte en verklig person kopplad till en verklig byrå och inget hon sagt ska tas som juridisk rådgivning i ditt enskilda fall. Och Olivia, som lett det här samtalet, är en AI-röst byggd på Eleven Labs. Samma sorts teknik vi pratar om i det vi bygger. Det kändes extra viktigt att säga just det avsnitt om datasäkerhet.

Tack för att ni lyssnade.