TL;DR
A 22 de setembro de 2026 a autoridade sueca de proteção de dados (IMY) aplicou à Miljödata i Karlskrona AB uma coima de 1,8 milhões de coroas por violação do art. 32.º, n.º 1, do RGPD. Em agosto de 2025 um atacante subtraiu dados e publicou-os na darknet; segundo a empresa, diziam respeito a 2,2 milhões de pessoas: números de identificação pessoal, contactos, dados sobre baixas por doença, reabilitação e incidentes escolares. Duas falhas apuradas: controlos insuficientes na instalação de novo software e nenhuma monitorização automática em tempo real para detetar intrusões. Conduta considerada negligente. Entre os clientes afetados estão a maioria dos municípios suecos, várias regiões e agências do Estado: a IMY abriu investigações sobre dois municípios e uma região.
O que aconteceu
A Miljödata fornece sistemas de informação usados por entidades públicas e empresas privadas. Em agosto de 2025 um atacante entrou nos seus sistemas, copiou uma grande quantidade de dados pessoais e publicou-os na darknet. A própria empresa estimou 2,2 milhões de pessoas afetadas: uma parte considerável da população sueca. Entre os dados havia informação particularmente sensível, como baixas por doença, processos de reabilitação de trabalhadores e participações de incidentes em escolas.
As duas falhas apuradas
- SEM CONTROLO DO SOFTWARE NOVO. A empresa não verificava o suficiente o que era instalado nos seus sistemas: uma das vias mais comuns pelas quais um atacante entra e permanece.
- SEM ALERTA EM TEMPO REAL. Faltava uma monitorização automática capaz de sinalizar intrusões e atividade suspeita no momento.
- A MEDIDA É O TIPO DE DADOS. A IMY considerou a segurança inadequada para o que o fornecedor tratava: com dados de saúde e escolares de milhões de pessoas o nível exigido é mais alto.
- COIMA POR NEGLIGÊNCIA. A conduta foi qualificada como negligente, e a violação é do art. 32.º, n.º 1, que vincula responsáveis e subcontratantes.
Os clientes também estão sob análise
A coima recai sobre o fornecedor, mas a história não acaba aí. A IMY abriu investigações sobre dois municípios e uma região que usavam os sistemas da Miljödata. Quem confia dados a um fornecedor deve escolher um que dê garantias suficientes (art. 28.º, n.º 1) e verificá-lo ao longo do tempo: o contrato não transfere a responsabilidade.
Porque um montante «pequeno» conta
Face ao número de pessoas afetadas, 1,8 milhões de coroas podem parecer pouco. O valor da decisão está noutro lado: a autoridade aponta duas medidas concretas cuja ausência basta para violar o art. 32.º. São as mesmas que qualquer EPD pode pedir a um fornecedor amanhã de manhã, e as primeiras que uma autoridade vai olhar depois do próximo ataque.
O que significa para o EPD
Cinco perguntas aos fornecedores
Um: quem pode instalar software nos sistemas que tratam os nossos dados, e com que controlo prévio? Dois: existe monitorização automática de intrusões 24 horas por dia, e quem recebe o alerta? Três: o contrato do art. 28.º descreve medidas concretas ou apenas «medidas adequadas»? Quatro: em quantas horas o fornecedor nos avisa de uma violação? Cinco: quando verificámos pela última vez, com provas e não com declarações? No DPO Workspace o procedimento de violações agora refeito compara o prazo dos contratos com fornecedores com as 72 horas do responsável.
Procura uma ferramenta para o seu trabalho de EPD?
O DPO Workspace foi construído por um DPO certificado. 30 dias de experiência gratuita.
Começar gratuitamente
