Sanktionsavgift mot Miljödata för bristande säkerhet

I augusti 2025 utsattes systemleverantören Miljödata för ett dataintrång, då en hotaktör kom över en stor mängd personuppgifter och därefter publicerade uppgifter på Darknet. Enligt bolaget omfattades 2,2 miljoner personer av incidenten. Bland de uppgifter som omfattades av incidenten fanns bland annat personnummer, kontaktuppgifter och känsliga personuppgifter om sjukfrånvaro, rehabilitering och elevhändelser i skolor.

IMY:s granskning visar att bolaget inte har haft en tillräckligt hög nivå på sin tekniska och organisatoriska säkerhet, sett till vilka typer av personuppgifter de har behandlat. Bolaget har inte gjort tillräckliga kontroller vid installation av ny mjukvara och har inte heller haft automatisk realtidsövervakning av sina system för att upptäcka intrång och misstänkt aktivitet.

– GDPR ställer krav på lämpliga säkerhetsåtgärder för de personuppgifter man hanterar. Här har Miljödata brustit och resultatet är att en hotaktör kom över uppgifter om en stor del av Sveriges befolkning. Vi ser allvarligt på det inträffade. Min förhoppning är att även andra verksamheter tar till sig av sanktionsbeslutet och vid behov ser över säkerheten för de personuppgifter man själv ansvarar för, säger Eric Leijonram, generaldirektör IMY.

IMY bedömer att Miljödata har agerat oaktsamt och beslutar om en sanktionsavgift på 1,8 miljoner kronor för överträdelse av artikel 32.1 i dataskyddsförordningen.

Bland Miljödatas kunder som påverkades av angreppet finns en majoritet av Sveriges kommuner, flera regioner och statliga myndigheter, samt ett stort antal privata företag. IMY har även inlett granskningar av två kommuner och en region kopplat till angreppet mot Miljödata. Dessa granskningar är pågående.

IMY begär klargörande om vilka brottsuppgifter som omfattas av artikel 10

EDPB antar riktlinjer med metod för när sanktionsavgift ska påföras

IMY inleder granskning av politiska partiers massutskick av sms

IMY lanserar trygghetsapp för unga på sociala medier