TL;DR
Den 22. september 2026 ila den svenske personvernmyndigheten (IMY) Miljödata i Karlskrona AB et gebyr på 1,8 millioner svenske kroner for brudd på art. 32 nr. 1 GDPR. I august 2025 stjal en angriper opplysninger og publiserte dem på darknet; ifølge selskapet gjaldt det 2,2 millioner personer: personnummer, kontaktopplysninger, opplysninger om sykefravær, rehabilitering og hendelser i skoler. To mangler ble påvist: utilstrekkelig kontroll ved installasjon av ny programvare og ingen automatisk sanntidsovervåking for å oppdage inntrenging. Forholdet ble vurdert som uaktsomt. Blant de berørte kundene er de fleste svenske kommuner, flere regioner og statlige etater: IMY har innledet granskinger av to kommuner og en region.
Hva som skjedde
Miljödata leverer informasjonssystemer som brukes av offentlige organer og private virksomheter. I august 2025 brøt en angriper seg inn i systemene, kopierte store mengder personopplysninger og publiserte dem på darknet. Selskapet anslo selv 2,2 millioner berørte: en stor del av Sveriges befolkning. Opplysningene omfattet særlig sensitive forhold som sykefravær, ansattes rehabilitering og meldinger om hendelser i skoler.
De to påviste manglene
- INGEN KONTROLL MED NY PROGRAMVARE. Selskapet kontrollerte ikke godt nok hva som ble installert på systemene: en av de vanligste måtene en angriper kommer inn og blir på.
- INGEN ALARM I SANNTID. Det manglet automatisk overvåking som varsler inntrenging og mistenkelig aktivitet mens det skjer.
- MÅLESTOKKEN ER TYPEN OPPLYSNINGER. IMY fant sikkerheten utilstrekkelig for det leverandøren behandlet: med helse- og skoleopplysninger om millioner av mennesker er kravet høyere.
- GEBYR FOR UAKTSOMHET. Forholdet ble ansett som uaktsomt, og bruddet gjelder art. 32 nr. 1, som binder både behandlingsansvarlige og databehandlere.
Også kundene granskes
Gebyret rammer leverandøren, men saken slutter ikke der. IMY har innledet granskinger av to kommuner og en region som brukte Miljödatas systemer. Den som overlater opplysninger til en leverandør, må velge en som gir tilstrekkelige garantier (art. 28 nr. 1), og følge den opp over tid: avtalen flytter ikke ansvaret.
Hvorfor et «lite» beløp betyr noe
Målt mot antallet berørte kan 1,8 millioner kroner virke beskjedent. Verdien av vedtaket ligger et annet sted: myndigheten peker på to konkrete tiltak der fraværet alene er nok til brudd på art. 32. Det er de samme ethvert personvernombud kan spørre en leverandør om i morgen tidlig, og de første en tilsynsmyndighet ser på etter neste angrep.
Hva det betyr for personvernombudet
Fem spørsmål til leverandørene
Én: hvem kan installere programvare på systemene som behandler opplysningene våre, og med hvilken forhåndskontroll? To: finnes det automatisk inntrengingsovervåking hele døgnet, og hvem mottar alarmen? Tre: beskriver databehandleravtalen (art. 28) konkrete tiltak eller bare «egnede tiltak»? Fire: innen hvor mange timer varsler leverandøren oss om et brudd? Fem: når kontrollerte vi sist, med bevis og ikke bare erklæringer? I DPO Workspace sammenligner den nye avviksrutinen leverandøravtalenes frist med den behandlingsansvarliges 72 timer.
Ser du etter et verktøy for arbeidet ditt som personvernombud?
DPO Workspace er bygget av et sertifisert personvernombud. 30 dager gratis.
Kom i gang gratis
