TL;DR
22 września 2026 r. szwedzki organ ochrony danych (IMY) nałożył na Miljödata i Karlskrona AB karę 1,8 mln koron za naruszenie art. 32 ust. 1 RODO. W sierpniu 2025 r. atakujący wykradł dane i opublikował je w darknecie; według spółki dotyczyło to 2,2 mln osób: osobistych numerów identyfikacyjnych, danych kontaktowych, informacji o zwolnieniach lekarskich, rehabilitacji i zdarzeniach w szkołach. Stwierdzono dwa uchybienia: niewystarczającą kontrolę instalowania nowego oprogramowania i brak automatycznego monitorowania w czasie rzeczywistym w celu wykrywania włamań. Działanie uznano za niedbałe. Wśród poszkodowanych klientów są większość szwedzkich gmin, kilka regionów i urzędów państwowych: IMY wszczął postępowania wobec dwóch gmin i jednego regionu.
Co się stało
Miljödata dostarcza systemy informatyczne używane przez podmioty publiczne i prywatne firmy. W sierpniu 2025 r. atakujący włamał się do jej systemów, skopiował dużą ilość danych osobowych i opublikował je w darknecie. Sama spółka oszacowała liczbę poszkodowanych na 2,2 mln: znaczną część ludności Szwecji. Wśród danych były informacje szczególnie wrażliwe, jak zwolnienia lekarskie, przebieg rehabilitacji pracowników i zgłoszenia zdarzeń w szkołach.
Dwa stwierdzone uchybienia
- BRAK KONTROLI NOWEGO OPROGRAMOWANIA. Spółka nie sprawdzała wystarczająco, co instalowano w jej systemach: to jedna z najczęstszych dróg, którymi atakujący wchodzi i zostaje.
- BRAK ALARMU W CZASIE RZECZYWISTYM. Zabrakło automatycznego monitorowania zdolnego sygnalizować włamania i podejrzaną aktywność na bieżąco.
- MIARĄ JEST RODZAJ DANYCH. IMY uznał bezpieczeństwo za nieodpowiednie do tego, co dostawca przetwarzał: przy danych o zdrowiu i szkolnych milionów osób wymagany poziom jest wyższy.
- KARA ZA NIEDBALSTWO. Działanie zakwalifikowano jako niedbałe, a naruszony przepis to art. 32 ust. 1, który wiąże zarówno administratorów, jak i podmioty przetwarzające.
Klienci też są pod lupą
Kara dotyka dostawcy, ale na tym sprawa się nie kończy. IMY wszczął postępowania wobec dwóch gmin i regionu korzystających z systemów Miljödata. Kto powierza dane dostawcy, musi wybrać takiego, który daje wystarczające gwarancje (art. 28 ust. 1), i sprawdzać go w czasie: umowa nie przenosi odpowiedzialności.
Dlaczego „mała” kwota ma znaczenie
W porównaniu z liczbą poszkodowanych 1,8 mln koron może wydawać się niewiele. Wartość decyzji leży gdzie indziej: organ wskazuje dwa konkretne środki, których brak wystarcza do naruszenia art. 32. To te same, o które każdy IOD może zapytać dostawcę jutro rano — i na które organ spojrzy najpierw po następnym ataku.
Co to oznacza dla IOD
Pięć pytań do dostawców
Po pierwsze: kto może instalować oprogramowanie w systemach przetwarzających nasze dane i z jaką kontrolą wstępną? Po drugie: czy istnieje automatyczne całodobowe monitorowanie włamań i kto dostaje alarm? Po trzecie: czy umowa z art. 28 opisuje konkretne środki, czy tylko „odpowiednie środki”? Po czwarte: w ciągu ilu godzin dostawca zawiadamia nas o naruszeniu? Po piąte: kiedy ostatnio to sprawdziliśmy, na podstawie dowodów, a nie deklaracji? W DPO Workspace nowa procedura obsługi naruszeń porównuje termin z umów z dostawcami z 72 godzinami administratora.
Szukasz narzędzia do codziennej pracy inspektora ochrony danych?
DPO Workspace został zbudowany przez certyfikowanego IOD. 30 dni bezpłatnie.
Zacznij bezpłatnie
