IMY bötfäller Miljödata efter omfattande personuppgiftsläcka

IMY:s beslut efter dataintrånget visar på brister i teknisk och organisatorisk säkerhet. En majoritet av Sveriges kommuner fanns bland de berörda kunderna.

Integritetsskyddsmyndigheten, IMY, har beslutat att Miljödata i Karlskrona AB ska betala en administrativ sanktionsavgift på 1,8 miljoner kronor. Myndigheten bedömer att bolaget har brutit mot artikel 32.1 i dataskyddsförordningen genom att inte ha vidtagit lämpliga tekniska och organisatoriska säkerhetsåtgärder.

Beslutet gäller den personuppgiftsincident som konstaterades den 23 augusti 2025. Enligt bolaget omfattades 2,2 miljoner personer av incidenten. Bland de röjda uppgifterna fanns personnummer, kontaktuppgifter samt känsliga uppgifter om sjukfrånvaro, rehabilitering och elevhändelser i skolor.

IMY:s granskning visar att Miljödata inte hade gjort tillräckliga kontroller när ny mjukvara installerades. Bolaget saknade också automatisk realtidsövervakning för att upptäcka intrång och misstänkt aktivitet.

Bland kunderna som påverkades finns enligt IMY en majoritet av Sveriges kommuner, flera regioner och statliga myndigheter. IMY granskar dessutom två kommuner och en region med koppling till angreppet. De granskningarna pågår och något ansvar i dessa ärenden är ännu inte fastställt.

För offentliga chefer understryker beslutet behovet av att koppla ihop dataskydd, informationssäkerhet, leverantörsstyrning och incidentberedskap. Det handlar både om att ställa verifierbara säkerhetskrav och om att löpande följa upp förändringar, övervakning och ansvarsfördelning hos en leverantör som behandlar känsliga personuppgifter.

Redaktionell metod: Artikeln är självständigt skriven av Offentligchef.se med primärkällan som faktaunderlag. Rubrik, sammanhang och chefsperspektiv är redaktionellt bearbetade.