Den 22 september 2026 beslutade IMY om en sanktionsavgift på 1,8 miljoner kronor mot systemleverantören Miljödata i Karlskrona AB. Bakom beslutet finns ett mönster vi sett i flera IMY-avgöranden: bristande teknisk och organisatorisk säkerhet för de personuppgifter man hanterar.
Beslutet är intressant att läsa för alla som arbetar med dataskydd och informationssäkerhet. Inte för att Miljödata är unikt, utan för att de brister IMY pekar på är välkända och åtgärdbara.
I augusti 2025 utsattes Miljödata för ett dataintrång. En hotaktör fick tillgång till en stor mängd personuppgifter och publicerade dem på Darknet. Bland de berörda uppgifterna fanns personnummer, kontaktuppgifter och känsliga uppgifter om sjukfrånvaro, rehabilitering och elevhändelser.
Miljödata levererar system till offentlig sektor. Det innebar att en majoritet av Sveriges kommuner, flera regioner och statliga myndigheter, samt ett stort antal privata företag, påverkades av incidenten. IMY har inlett granskningar av två kommuner och en region kopplade till angreppet.
IMY konstaterade att Miljödata inte hade haft tillräckliga kontroller vid installation av ny mjukvara och saknade automatisk realtidsövervakning av sina system.
IMY:s generaldirektör Eric Leijonram kommenterade:
“GDPR ställer krav på lämpliga säkerhetsåtgärder för de personuppgifter man hanterar. Här har Miljödata brustit och resultatet är att en hotaktör kom över uppgifter om en stor del av Sveriges befolkning. Min förhoppning är att även andra verksamheter tar till sig av sanktionsbeslutet och vid behov ser över säkerheten för de personuppgifter man själv ansvarar för.”
Miljödata-beslutet är inte isolerat. I januari 2026 fick Sportadmin en sanktionsavgift på 6 miljoner kronor för bristande IT-säkerhet, efter att ha haft dokumenterade risker sedan 2021 utan att åtgärda dem tillräckligt.
IMY:s bedömningar pekar i samma riktning: det räcker inte att känna till riskerna. Säkerhetsarbetet behöver vara aktivt, dokumenterat och spårbart, med tydliga åtgärder och uppföljning.
Sedan 1 oktober 2026 gäller föreskriften om säkerhetsåtgärder och ledningens utbildning, utfärdad med stöd av cybersäkerhetslagen. Den preciserar vad ledningen i organisationer som omfattas av lagen ska fastställa, bedöma, godkänna och följa upp. Riskarbete är inte längre en intern angelägenhet. Det är något verksamheter behöver kunna visa, inför tillsyn och vid en incident.
Riskarbete som uppfyller vad GDPR och cybersäkerhetslagen kräver behöver tre saker:
Vår nya riskhanteringsmodul kopplar riskerna till de tillgångar ni redan har klassade, samlar behandlingsplaner med ansvarig och deadline och ger ett riskregister per riskägare och centralt. Den lanseras i december.
IMY:s generaldirektör uppmanar alla verksamheter att ta till sig av beslutet och se över sin säkerhet. GDPR kräver lämpliga tekniska och organisatoriska säkerhetsåtgärder, oavsett bransch eller storlek.
Föreskriften som gäller sedan 1 oktober 2026 preciserar att ledningen ska fastställa mål, bedöma vilka åtgärder som behövs, godkänna dem och följa upp att de genomförs. Riskarbetet ska vara dokumenterat och spårbart.
Riskanalysen är processen: ni identifierar risker, bedömer sannolikhet och konsekvens och bestämmer hur de ska behandlas. Riskregistret är resultatet: en strukturerad sammanställning av identifierade risker, bedömningar, åtgärder och ansvar. Riskregistret uppdateras löpande och används som underlag vid tillsyn och interna uppföljningar.