TL;DR
Ruotsin tietosuojaviranomainen IMY määräsi 22.9.2026 Miljödata i Karlskrona AB:lle 1,8 miljoonan kruunun seuraamusmaksun tietosuoja-asetuksen 32 artiklan 1 kohdan rikkomisesta. Elokuussa 2025 hyökkääjä anasti tietoja ja julkaisi ne darkwebissä; yhtiön mukaan ne koskivat 2,2 miljoonaa ihmistä: henkilötunnuksia, yhteystietoja sekä tietoja sairauspoissaoloista, kuntoutuksesta ja koulujen tapahtumista. Kaksi puutetta todettiin: uuden ohjelmiston asennuksen riittämätön valvonta ja automaattisen reaaliaikaisen tunkeutumisvalvonnan puuttuminen. Menettely katsottiin huolimattomaksi. Kärsineitä asiakkaita ovat useimmat Ruotsin kunnat, useat alueet ja valtion virastot: IMY on aloittanut tarkastukset kahdessa kunnassa ja yhdellä alueella.
Mitä tapahtui
Miljödata toimittaa tietojärjestelmiä julkisille toimijoille ja yksityisille yrityksille. Elokuussa 2025 hyökkääjä murtautui sen järjestelmiin, kopioi suuren määrän henkilötietoja ja julkaisi ne darkwebissä. Yhtiö itse arvioi asian koskevan 2,2 miljoonaa ihmistä: huomattavaa osaa Ruotsin väestöstä. Tiedoissa oli erityisen arkaluonteista tietoa, kuten sairauspoissaoloja, työntekijöiden kuntoutusta ja ilmoituksia kouluissa sattuneista tapahtumista.
Kaksi todettua puutetta
- UUSIA OHJELMISTOJA EI VALVOTTU. Yhtiö ei tarkistanut riittävästi, mitä sen järjestelmiin asennettiin: yksi yleisimmistä tavoista, joilla hyökkääjä pääsee sisään ja jää sinne.
- EI REAALIAIKAISTA HÄLYTYSTÄ. Puuttui automaattinen valvonta, joka ilmoittaa tunkeutumisista ja epäilyttävästä toiminnasta niiden tapahtuessa.
- MITTAPUUNA TIETOJEN LAATU. IMY piti tietoturvaa riittämättömänä suhteessa siihen, mitä toimittaja käsitteli: miljoonien ihmisten terveys- ja koulutiedoissa vaatimustaso on korkeampi.
- MAKSU HUOLIMATTOMUUDESTA. Menettely katsottiin huolimattomaksi, ja rikottu säännös on 32 artiklan 1 kohta, joka velvoittaa sekä rekisterinpitäjiä että käsittelijöitä.
Myös asiakkaat ovat tarkastelussa
Seuraamusmaksu kohdistuu toimittajaan, mutta asia ei pääty siihen. IMY on aloittanut tarkastukset kahdessa kunnassa ja yhdellä alueella, jotka käyttivät Miljödatan järjestelmiä. Joka uskoo tietoja toimittajalle, sen on valittava toimittaja, joka antaa riittävät takeet (28 artiklan 1 kohta), ja seurattava sitä jatkuvasti: sopimus ei siirrä vastuuta.
Miksi ”pieni” summa on merkittävä
Kärsineiden määrään nähden 1,8 miljoonaa kruunua voi tuntua vähäiseltä. Päätöksen arvo on muualla: viranomainen nimeää kaksi konkreettista toimenpidettä, joiden puuttuminen yksinään riittää 32 artiklan rikkomiseen. Niistä jokainen tietosuojavastaava voi kysyä toimittajalta huomisaamuna, ja niitä viranomainen katsoo ensimmäisenä seuraavan hyökkäyksen jälkeen.
Mitä se tarkoittaa tietosuojavastaavalle
Viisi kysymystä toimittajille
Yksi: kuka voi asentaa ohjelmistoja järjestelmiin, joissa tietojamme käsitellään, ja millaisella ennakkotarkistuksella? Kaksi: onko käytössä automaattinen ympärivuorokautinen tunkeutumisvalvonta, ja kuka saa hälytyksen? Kolme: kuvaako 28 artiklan sopimus konkreettisia toimenpiteitä vai vain ”asianmukaisia toimenpiteitä”? Neljä: kuinka monessa tunnissa toimittaja ilmoittaa meille loukkauksesta? Viisi: milloin tarkistimme viimeksi, todisteilla eikä vakuutteluilla? DPO Workspacessa uudistettu loukkausmenettely vertaa toimittajasopimusten määräaikaa rekisterinpitäjän 72 tuntiin.
Etsitkö työkalua tietosuojavastaavan työhösi?
DPO Workspace on sertifioidun tietosuojavastaavan rakentama. 30 päivää maksutta.
Aloita maksutta
