TL;DR
El 22 de septiembre de 2026 la autoridad sueca de protección de datos (IMY) impuso a Miljödata i Karlskrona AB una multa de 1,8 millones de coronas por infringir el art. 32.1 del RGPD. En agosto de 2025 un atacante sustrajo datos y los publicó en la darknet; según la empresa, afectaban a 2,2 millones de personas: números de identidad personal, datos de contacto, datos sobre bajas por enfermedad, rehabilitación e incidentes escolares. Dos fallos acreditados: controles insuficientes al instalar software nuevo y ninguna vigilancia automática en tiempo real para detectar intrusiones. Conducta negligente. Entre los clientes afectados, la mayoría de los municipios suecos, varias regiones y agencias estatales: la IMY ha abierto investigaciones sobre dos municipios y una región.
Qué ocurrió
Miljödata suministra sistemas de información utilizados por organismos públicos y empresas privadas. En agosto de 2025 un atacante vulneró sus sistemas, copió una gran cantidad de datos personales y los publicó en la darknet. La propia empresa estimó 2,2 millones de personas afectadas: una parte considerable de la población sueca. Entre los datos había información especialmente delicada, como bajas por enfermedad, procesos de rehabilitación de trabajadores e informes de incidentes en escuelas.
Los dos fallos acreditados
- SIN CONTROL DEL SOFTWARE NUEVO. La empresa no verificaba lo suficiente lo que se instalaba en sus sistemas: una de las vías más habituales por las que un atacante entra y se queda.
- SIN ALERTA EN TIEMPO REAL. Faltaba una vigilancia automática capaz de señalar intrusiones y actividad sospechosa en el momento.
- LA VARA DE MEDIR ES EL TIPO DE DATOS. La IMY consideró la seguridad inadecuada para lo que trataba el proveedor: con datos de salud y escolares de millones de personas el nivel exigido es mayor.
- MULTA POR NEGLIGENCIA. La conducta se calificó de negligente, y la infracción es del art. 32.1, que obliga a responsables y encargados.
También los clientes están bajo examen
La multa recae sobre el proveedor, pero la historia no acaba ahí. La IMY ha abierto investigaciones sobre dos municipios y una región que usaban los sistemas de Miljödata. Quien confía datos a un proveedor debe elegir uno que ofrezca garantías suficientes (art. 28.1) y verificarlo con el tiempo: el contrato no transfiere la responsabilidad.
Por qué un importe «pequeño» importa
Frente al número de personas afectadas, 1,8 millones de coronas pueden parecer poco. El valor de la decisión está en otra parte: la autoridad señala dos medidas concretas cuya ausencia basta para infringir el art. 32. Son las mismas que cualquier DPD puede pedir a un proveedor mañana por la mañana, y las primeras que mirará una autoridad tras el próximo ataque.
Qué significa para el DPD
Cinco preguntas a los proveedores
Uno: ¿quién puede instalar software en los sistemas que tratan nuestros datos, y con qué control previo? Dos: ¿hay vigilancia automática de intrusiones las 24 horas, y quién recibe la alerta? Tres: ¿el contrato del art. 28 describe medidas concretas o solo «medidas apropiadas»? Cuatro: ¿en cuántas horas nos avisa el proveedor de una brecha? Cinco: ¿cuándo lo comprobamos por última vez, con pruebas y no con declaraciones? En DPO Workspace el procedimiento de brechas recién rehecho compara el plazo de los contratos con proveedores con las 72 horas del responsable.
¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis
