TL;DR
Den 22 september 2026 beslutade Integritetsskyddsmyndigheten (IMY) om en sanktionsavgift på 1,8 miljoner kronor mot Miljödata i Karlskrona AB för överträdelse av artikel 32.1 i dataskyddsförordningen. I augusti 2025 kom en hotaktör över uppgifter och publicerade dem på darknet; enligt bolaget omfattades 2,2 miljoner personer: personnummer, kontaktuppgifter, uppgifter om sjukfrånvaro, rehabilitering och elevhändelser i skolor. Två brister konstaterades: otillräckliga kontroller vid installation av ny mjukvara och ingen automatisk realtidsövervakning för att upptäcka intrång. Agerandet bedömdes som oaktsamt. Bland de drabbade kunderna finns en majoritet av Sveriges kommuner, flera regioner och statliga myndigheter: IMY har inlett granskningar av två kommuner och en region.
Vad som hände
Miljödata levererar informationssystem som används av offentliga verksamheter och privata företag. I augusti 2025 tog sig en hotaktör in i systemen, kopierade en stor mängd personuppgifter och publicerade dem på darknet. Bolaget uppskattade själv att 2,2 miljoner personer omfattades: en stor del av Sveriges befolkning. Bland uppgifterna fanns särskilt känslig information som sjukfrånvaro, anställdas rehabilitering och rapporter om händelser i skolor.
De två konstaterade bristerna
- INGEN KONTROLL AV NY MJUKVARA. Bolaget kontrollerade inte tillräckligt vad som installerades i systemen: ett av de vanligaste sätten för en angripare att ta sig in och stanna kvar.
- INGET LARM I REALTID. Det saknades automatisk övervakning som kunde signalera intrång och misstänkt aktivitet medan det pågick.
- MÅTTSTOCKEN ÄR TYPEN AV UPPGIFTER. IMY bedömde säkerheten som otillräcklig i förhållande till vad leverantören behandlade: med hälso- och skoluppgifter om miljontals människor är kravet högre.
- AVGIFT FÖR OAKTSAMHET. Agerandet bedömdes som oaktsamt, och överträdelsen gäller artikel 32.1, som binder både personuppgiftsansvariga och personuppgiftsbiträden.
Även kunderna granskas
Avgiften träffar leverantören, men där tar inte historien slut. IMY har inlett granskningar av två kommuner och en region som använde Miljödatas system. Den som anförtror uppgifter åt en leverantör måste välja en som ger tillräckliga garantier (artikel 28.1) och följa upp den över tid: avtalet flyttar inte ansvaret.
Varför ett ”litet” belopp spelar roll
Jämfört med antalet drabbade kan 1,8 miljoner kronor verka lite. Beslutets värde ligger någon annanstans: myndigheten pekar ut två konkreta åtgärder vars frånvaro räcker för en överträdelse av artikel 32. Det är samma åtgärder som varje dataskyddsombud kan fråga en leverantör om i morgon bitti, och de första en myndighet tittar på efter nästa angrepp.
Vad det betyder för dataskyddsombudet
Fem frågor till leverantörerna
Ett: vem får installera mjukvara i systemen som behandlar våra uppgifter, och med vilken förhandskontroll? Två: finns automatisk intrångsövervakning dygnet runt, och vem tar emot larmet? Tre: beskriver biträdesavtalet (artikel 28) konkreta åtgärder eller bara ”lämpliga åtgärder”? Fyra: inom hur många timmar meddelar leverantören oss en incident? Fem: när kontrollerade vi senast, med bevis och inte bara försäkringar? I DPO Workspace jämför den nya incidentrutinen leverantörsavtalens frist med den personuppgiftsansvariges 72 timmar.
Söker du ett verktyg för ditt arbete som dataskyddsombud?
DPO Workspace är byggt av ett certifierat dataskyddsombud. 30 dagar gratis.
Börja gratis
