Nyheter · Nyhet
Miljödata får 1,8 miljoner i sanktionsavgift efter den stora personuppgiftsläckan
Integritetsskyddsmyndigheten anser att Miljödata hade för svaga tekniska och organisatoriska skydd när bolaget drabbades av ett intrång 2025. Företaget säger samtidigt att flera av bristerna redan har åtgärdats.
Summering
- IMY ger Miljödata en sanktionsavgift på 1,8 miljoner kronor.
- Beslutet gäller intrånget 2025 och personuppgifter som publicerades på darknet.
- Miljödata säger att flera påtalade brister redan har åtgärdats.
Myndigheten pekar på säkerhetsbrister
Integritetsskyddsmyndigheten, IMY, beslutar om en sanktionsavgift på 1,8 miljoner kronor mot Miljödata i Karlskrona. Beslutet gäller ett dataintrång som drabbade systemleverantören i augusti 2025. Enligt IMY kom en hotaktör över stora mängder personuppgifter och publicerade uppgifter på darknet. Myndigheten bedömer att Miljödata inte hade tillräckligt starka tekniska och organisatoriska skydd i förhållande till den typ av information som hanterades. Kritiken gäller bland annat kontroller vid installation av ny mjukvara och avsaknaden av automatisk realtidsövervakning som kunde ha upptäckt misstänkt aktivitet.
2,2 miljoner är bolagets uppgift
IMY skriver att personnummer, kontaktuppgifter och känsliga uppgifter om bland annat sjukfrånvaro, rehabilitering och elevhändelser fanns bland det material som berördes. Miljödata har uppgett att incidenten omfattade 2,2 miljoner personer. Den siffran ska därför beskrivas som bolagets uppgift, inte som en ny självständig mätning från IMY i sanktionsbeslutet. Det är en skillnad som spelar roll när en läcka är stor. Antalet berörda kan bero på hur kundsystem, historiska poster och individer räknas. Den säkra kärnan är att det rörde sig om ett omfattande intrång och personuppgifter som publicerades, medan den exakta populationen återges med tydlig avsändare.
Företaget invänder mot delar av bilden
Miljödata bekräftar sanktionsavgiften men skriver att bolaget inte delar alla slutsatser i IMY:s bedömning. Företaget uppger att de brister som myndigheten pekar på redan åtgärdades under incidentarbetet och att externa experter har anlitats för att utvärdera säkerheten. Det är inte samma sak som att företaget förnekar intrånget. Det är ett svar på bedömningen av hur säkerheten såg ut före och under händelsen. När en tillsynsmyndighet och ett företag beskriver samma incident med olika betoning bör båda delarna finnas med – beslutet är myndighetens, medan åtgärdsuppgifterna kommer från bolaget.
Ansvarskedjan går vidare
Miljödata hade många offentliga och privata kunder. IMY skriver att en majoritet av Sveriges kommuner, flera regioner och statliga myndigheter samt många privata företag fanns bland de verksamheter som påverkades. Myndigheten har dessutom startat granskningar av två kommuner och en region. Det gör beslutet större än en fråga om en enskild leverantör. En organisation som använder en extern systemleverantör måste fortfarande ha koll på vilka personuppgifter som behandlas och hur säkerheten följs upp. IMY:s beslut handlar om Miljödata, men nästa kapitel kan komma att handla om kundernas egna kontrollsystem.