Kivra – förstår du vad du godkänner?

Tänk dig Berit, 52 år

Berit är en fiktiv person.

Hon är 52 år, arbetar som sjukvårdsbiträde och använder mobilen varje dag. Hon betalar räkningar, använder BankID, läser nyheter och bokar tider precis som många andra.

Men hon kan inget särskilt om GDPR, personuppgiftsbiträden, berättigat intresse, profilering eller juridiska avtal. Hon har hört att Kivra är praktiskt: där kan viktig post från myndigheter och företag dyka upp i mobilen.

Det är från hennes perspektiv NextNet har gjort den här granskningen. Inte som jurister, utan som människor som vill förstå: Vad säger Berit egentligen ja till?

NextNet valde att inte installera appen

Inom ramen för granskningen valde NextNet att inte installera Kivra-appen och genomföra registreringen. Det bygger inte på att vi har konstaterat att Kivra gör något olagligt eller otillbörligt. Vi ville först få klarhet i villkoren, behandlingarna och de val som användaren möter.

NextNet skickade den 29 juli 2026 ett frågeunderlag till Kivras presskontakt Henrik Höglin. Frågorna gällde bland annat registreringsflödet, personuppgifter, profilering, spårning och analys, tredje parter, lagring, affärsmodell, statistik till avsändare och ägares eventuella tillgång till användardata.

Vi bad om svar senast den 6 augusti och skrev uttryckligen att Kivra gärna fick begära mer tid. När denna granskning förbereds har NextNet inte fått något svar eller någon bekräftelse på att frågorna kommer att besvaras. Det bevisar inte att något är fel; frågorna är fortfarande obesvarade.

Kivra är ett privat företag – inte en myndighet

Kivra Sverige AB är ett privat företag. Enligt Diggs information om leverantörer av digitala brevlådor är bolaget leverantör inom auktorisationssystemet för digital post. Beslutet anges till den 17 juni 2025 och avtalet gäller från den 1 juli 2025.

Staten har samtidigt en egen digital brevlåda: Min myndighetspost. Den förvaltas och utvecklas av Digg för post från offentliga aktörer; privat företagspost ingår inte där. Kivra är alltså inte en myndighetstjänst i betydelsen att staten äger och driver brevlådan, utan en privat tjänst som bland annat förmedlar digital post från offentliga aktörer.

Notis: Regeringen har beslutat att Digg och PTS ska slås samman den 1 januari 2027. Den sammanslagna myndigheten ska heta Digitaliseringsmyndigheten. Det förändrar inte den grundläggande skillnaden mellan Kivra Sverige AB som privat bolag och den offentliga digitala infrastrukturen runt myndighetsposten.

Vilka ligger bakom Kivra?

Kivras pressrum anger 41an Invest och FAM som huvudägare. 41an Invest anges som Karl-Johan Perssons och Stefan Krooks investeringsbolag. Bland övriga delägare nämns SEB samt bolagets styrelse och personal. FAM ingår i Wallenbergstiftelsernas ägarstruktur och anges som ägare i Kivra.

Det betyder inte att Karl-Johan Persson, Wallenbergstiftelserna, SEB eller andra ägare kan läsa användarnas post eller komma åt personuppgifter. NextNet har inte belägg för något sådant. Vi frågade därför Kivra vilka tekniska, organisatoriska och bolagsrättsliga kontroller som hindrar obehörig åtkomst. Frågan är obesvarad.

Själva brevet och Kivras övriga behandling är inte samma sak

I Kivras dataskyddsinformation, som uppges gälla från den 27 april 2026, beskrivs olika juridiska roller. När en avsändare förmedlar en försändelse är avsändaren personuppgiftsansvarig och Kivra personuppgiftsbiträde. När försändelsen ligger i användarens brevlåda uppger Kivra att ansvaret övergår till användaren och att Kivra behandlar uppgifterna enligt användarens instruktioner för att tillhandahålla tjänsten.

Samma information beskriver också situationer där Kivra själv är personuppgiftsansvarig och bestämmer ändamålet med behandlingen. Det är en viktig skillnad för den som försöker förstå vad tjänsten omfattar.

Kivra beskriver själv profilering

Enligt Kivras dataskyddsinformation kan behandling inom kommunikation och marknadsföring i vissa fall innebära profilering för att anpassa kommunikationens innehåll och göra den mer relevant. Kivra anger bland annat användar-ID, information om digital enhet, uppgifter om E-försändelser samt val, inställningar och interaktioner med tjänsten. Berättigat intresse anges som rättslig grund, och användaren kan enligt Kivra invända genom att kontakta företaget.

NextNet gör ingen bedömning av om profileringen är tillåten. Frågan är i stället om en vanlig användare förstår att uppgifter om E-försändelser och sättet att använda tjänsten kan ingå i den behandling som Kivra beskriver som profilering.

All personlig anpassning fungerar inte på samma sätt

Kivra beskriver också användning av spårningsteknik för relevanta meddelanden och notiser samt en mer personlig upplevelse. För den behandlingen anges samtycke. Analys av appanvändning anges också bygga på samtycke, medan analys av Kivras webbsidor anges bygga på berättigat intresse.

För användaren blir frågan: Vad behövs för att tjänsten ska fungera, vad bygger på berättigat intresse och vad kan jag själv välja bort? Det är en av de frågor NextNet bad Kivra förklara.

Vad betyder ”Uppgifter om ditt Innehåll”?

Kivra beskriver behandling för business intelligence och affärsutveckling, med syftet att förstå hur tjänsterna används för affärs- och produktutvecklingsbeslut. Bland uppgiftskategorierna finns formuleringen ”Uppgifter om ditt Innehåll”, tillsammans med val, inställningar, interaktioner och information om digital enhet.

Kivra anger berättigat intresse som grund och uppger att uppgifterna anonymiseras 45 dagar efter behandlingen. Men den exakta avgränsningen av formuleringen framgår inte av det underlag NextNet har granskat. NextNet har bett Kivra precisera vilka uppgifter den omfattar. Något svar har inte kommit, så detta är en öppen fråga.

Kivra ger avsändare statistik

Kivra uppger att aggregerad och anonymiserad information skapas för att fakturera avsändare och ge dem insikter, exempelvis antal levererade E-försändelser och genomsnittlig öppningsgrad. Kivra beskriver informationen till avsändare som aggregerad och anonymiserad.

NextNet har inte belägg för att Kivra säljer individuella personuppgifter till avsändare. Dokumentationen visar däremot att information om hur tjänsten används ingår i Kivras kommersiella relation med avsändare.

Kivra erbjuder riktade kampanjer

I Kivras tjänstebeskrivning och särskilda villkor beskrivs Campaigns för kommersiella meddelanden. Enligt avsnitt 7 kan segmentering ske med vissa innehållstyper, personnummer eller organisationsnummer, taggar, tidsperioder och typ av användare. Kivra uppger att den angivna parametern matchas mot användardatabasen.

När segmenteringen görs med personuppgifter uppger Kivra att uppgifterna behandlas på avsändarens uppdrag som personuppgiftsbiträde. Det vore därför fel att automatiskt beskriva all segmentering i Campaigns som Kivras egen profilering. Dokumenten visar samtidigt att Kivra erbjuder kommersiella verktyg för riktad kommunikation.

Din adress kan användas för erbjudanden i närområdet

Kivra uppger att adressuppgifter från SPAR kan omvandlas till geografiska koordinater med Google Clouds geokodningstjänst. Syftet anges vara att informera användaren om nya butiker och möjliggöra erbjudanden i närområdet. Kivra anger berättigat intresse som rättslig grund.

Personuppgifter kan behandlas utanför EU/EES

Kivra skriver att huvudregeln är behandling i Sverige eller inom EU/EES, men att tjänster och verktyg i vissa situationer kan lagra eller behandla personuppgifter utanför EU/EES. Kivra anger adekvat skyddsnivå eller andra skyddsåtgärder, till exempel EU-kommissionens standardavtalsklausuler.

Det innebär inte att användarens digitala brev automatiskt skickas utanför EU. Olika behandlingar, uppgifter och leverantörer måste hållas isär. NextNet har ännu inte fått svar från Kivra på frågan om vilka uppgifter och situationer detta konkret gäller.

Informationen finns – men förstår användaren den?

NextNets slutsats är inte att Kivra saknar information om personuppgifter. Dataskyddsinformationen är omfattande och beskriver många behandlingar. Men för att förstå helheten behöver användaren skilja mellan personuppgiftsansvarig och biträde, avtal, samtycke och berättigat intresse, profilering och annan anpassning, innehåll och uppgifter om innehåll, samt Kivras och avsändarens behandling.

Det är mycket begärt av någon som bara vill få sin post i mobilen. Det räcker inte alltid att informationen finns i ett juridiskt dokument; den som ska fatta beslut behöver också kunna förstå vad den innebär.

Frågorna som fortfarande saknar svar

NextNet bad Kivra förklara registreringen, vad användaren aktivt accepterar, vilken information som lämnas före registreringen och hur behandlingar skiljs åt. Vi frågade också om ”uppgifter om ditt Innehåll”, tredje parter, inställningar, lagring, datadelning, statistik och ägares eventuella dataåtkomst.

Kivra fick frågorna före publicering och möjlighet att begära mer tid. NextNet har ännu inte fått något svar. Vi spekulerar inte i varför. Ett svar skulle göra granskningen bättre.

Tillbaka till Berit

Berit ville få sin post i mobilen. Kivras egna dokument visar att tjänsten samtidigt omfattar fler funktioner och behandlingar än förvaring av digital post: analys, affärsutveckling, statistik, profilering, personlig anpassning, erbjudanden och kommersiella kampanjverktyg. Det betyder inte att Kivra gör något fel, men frågan kvarstår: Kan en vanlig användare förstå vad hon säger ja till utan att först behöva lära sig dataskyddsjuridik?

Om uppgifter i granskningen

NextNet har utgått från offentligt tillgängliga källor och har gett Kivra möjlighet att bemöta frågorna i artikeln. Vi skiljer mellan verifierade uppgifter, Kivras egna uppgifter, NextNets analys och frågor som saknar svar.

Om Kivra eller någon annan kan visa att en sakuppgift är felaktig rättar vi den öppet och redovisar vad som har ändrats och varför.

💬 Vad tycker du?

Tycker du att informationen om Kivras villkor och behandling av personuppgifter är tillräckligt tydlig för en vanlig användare – eller borde den förklaras enklare innan registrering?

Dela gärna dina tankar i kommentarerna.

📚 Relaterade artiklar