TL;DR
Op 22 september 2026 legde de Zweedse privacytoezichthouder (IMY) Miljödata i Karlskrona AB een boete op van 1,8 miljoen kronen wegens schending van art. 32, lid 1, AVG. In augustus 2025 stal een aanvaller gegevens en publiceerde ze op het darkweb; volgens het bedrijf ging het om 2,2 miljoen mensen: persoonsnummers, contactgegevens, gegevens over ziekteverzuim, re-integratie en incidenten op scholen. Twee tekortkomingen: onvoldoende controle bij het installeren van nieuwe software en geen automatische realtime monitoring om inbraken te detecteren. Het handelen werd als nalatig aangemerkt. Onder de getroffen klanten zijn de meeste Zweedse gemeenten, meerdere regio's en overheidsdiensten: de IMY is onderzoeken gestart bij twee gemeenten en een regio.
Wat er gebeurde
Miljödata levert informatiesystemen aan overheidsinstanties en particuliere bedrijven. In augustus 2025 drong een aanvaller de systemen binnen, kopieerde een grote hoeveelheid persoonsgegevens en publiceerde die op het darkweb. Het bedrijf schatte zelf 2,2 miljoen getroffenen: een flink deel van de Zweedse bevolking. Daaronder waren bijzonder gevoelige gegevens, zoals ziekteverzuim, re-integratietrajecten van werknemers en meldingen van incidenten op scholen.
De twee vastgestelde tekortkomingen
- GEEN CONTROLE OP NIEUWE SOFTWARE. Het bedrijf controleerde onvoldoende wat er op de systemen werd geïnstalleerd: een van de meest voorkomende manieren waarop een aanvaller binnenkomt en blijft.
- GEEN REALTIME ALARM. Er ontbrak automatische monitoring die inbraken en verdachte activiteit direct signaleert.
- DE MAATSTAF IS HET SOORT GEGEVENS. De IMY vond de beveiliging ontoereikend voor wat de leverancier verwerkte: bij gezondheids- en schoolgegevens van miljoenen mensen ligt de lat hoger.
- BOETE WEGENS NALATIGHEID. Het handelen werd als nalatig aangemerkt; geschonden is art. 32, lid 1, dat verwerkingsverantwoordelijken en verwerkers evenzeer bindt.
Ook de klanten worden onderzocht
De boete treft de leverancier, maar daarmee is het verhaal niet uit. De IMY is onderzoeken gestart bij twee gemeenten en een regio die de systemen van Miljödata gebruikten. Wie gegevens aan een leverancier toevertrouwt, moet er een kiezen die voldoende garanties biedt (art. 28, lid 1) en die blijven controleren: het contract draagt de verantwoordelijkheid niet over.
Waarom een „klein” bedrag telt
Afgezet tegen het aantal getroffenen lijkt 1,8 miljoen kronen weinig. De waarde van het besluit ligt elders: de toezichthouder noemt twee concrete maatregelen waarvan het ontbreken al genoeg is voor een schending van art. 32. Het zijn dezelfde waarnaar elke FG een leverancier morgenochtend kan vragen, en waar een toezichthouder na de volgende aanval als eerste naar kijkt.
Wat het betekent voor de FG
Vijf vragen aan leveranciers
Eén: wie mag software installeren op de systemen die onze gegevens verwerken, en met welke voorafgaande controle? Twee: is er automatische inbraakmonitoring, dag en nacht, en wie ontvangt het alarm? Drie: beschrijft het verwerkerscontract (art. 28) concrete maatregelen of alleen „passende maatregelen”? Vier: binnen hoeveel uur meldt de leverancier ons een datalek? Vijf: wanneer hebben we dat het laatst gecontroleerd, met bewijs in plaats van verklaringen? In DPO Workspace vergelijkt de vernieuwde datalekprocedure de termijn in de contracten met leveranciers met de 72 uur van de verwerkingsverantwoordelijke.
Zoekt u een hulpmiddel voor uw dagelijkse werk als FG?
DPO Workspace is gebouwd door een gecertificeerde functionaris voor gegevensbescherming. 30 dagen gratis.
Gratis starten
