Den 22 september 2026 fattade Integritetsskyddsmyndigheten (IMY) ett beslut som fått stor uppmärksamhet i svensk IT-bransch. Myndigheten bötfäller Karlskrona-bolaget Miljödata med 1,8 miljoner kronor för bristande säkerhetsåtgärder inför ransomware-attacken sommaren 2025, en attack som exponerade personuppgifter kopplade till uppskattningsvis 2,2 miljoner människor. Boten är låg jämfört med skadans omfattning, men beslutet säger mycket om hur svensk GDPR-tillsyn hanterar leverantörsrisk i kommunal sektor. Den här artikeln går igenom vad som faktiskt hände, hur boten räknades fram, hur den ställer sig mot andra europeiska sanktioner och vad IMY:s linje betyder för svenska kommuner och deras IT-leverantörer framöver.
IMY:s beslut den 22 september: vad myndigheten faktiskt sa
IMY:s beslut riktar in sig på ett enda spår: Miljödata hade inte de tekniska och organisatoriska skyddsåtgärder som krävs enligt artikel 32.1 i dataskyddsförordningen. Myndigheten konstaterar att bolaget saknade tillräcklig skyddsnivå i förhållande till den risk som behandlingen av känsliga personuppgifter faktiskt innebar, med tanke på att systemen innehöll sjukskrivningsuppgifter, löneuppgifter och i vissa fall skoluppgifter för anställda i svenska kommuner.
Beloppet, 1,8 miljoner kronor, motsvarar ungefär 183 000 dollar enligt BleepingComputers rapportering om ärendet. Det är en administrativ sanktionsavgift, inte ett skadestånd till de drabbade, och pengarna går till svenska staten snarare än till de 2,2 miljoner personer vars uppgifter läckte. IMY:s generaldirektör Eric Leijonram kommenterade fallet med orden: “Här har Miljödata brustit och resultatet är att en hotaktör kom över information om en stor del av Sveriges befolkning. Vi ser allvarligt på det som hänt”, enligt Sweden Herald.
Tidslinjen: från intrånget sommaren 2025 till boten hösten 2026
Attacken mot Miljödata inträffade i augusti 2025. En hotaktör som kallade sig “Datacarry” tog sig in i bolagets system och krävde 1,5 bitcoin i lösensumma, vid tidpunkten värt cirka 168 000 dollar. Miljödata betalade inte, och gruppen publicerade i stället stulna data. Eftersom Miljödatas mjukvara används av ett stort antal svenska kommuner för HR- och personaladministration spred sig konsekvenserna långt utanför ett enskilt bolag.
Mellan intrånget och IMY:s beslut gick drygt tretton månader. Under den tiden utredde myndigheten hur Miljödata hade konfigurerat sina system, vilka skyddsåtgärder som fanns på plats och om bolaget hade agerat i tid när det upptäckte avvikelser. Att processen tog så lång tid är inte ovanligt för större IMY-ärenden, men det belyser en strukturell svaghet: drabbade kommuner och medborgare fick leva med osäkerheten om vem som bar ansvaret under mer än ett år innan något formellt facit fanns.
Miljödata i korthet: en liten leverantör med enorm räckvidd
Miljödata i Karlskrona AB är inte ett känt namn för de flesta svenskar, men bolagets programvara sitter djupt inbäddad i kommunal infrastruktur. Systemen hanterar personaladministration, sjukfrånvaro och löner åt kommuner runt om i landet, vilket gör bolaget till ett klassiskt exempel på koncentrationsrisk: en enskild leverantör blir en gemensam sårbarhetspunkt för hundratals separata organisationer som var för sig tror att de har kontroll över sin egen säkerhet.
Just den här dynamiken, att en mindre aktör bär upp kritisk infrastruktur för offentlig sektor, är samma mönster som återkommer i flera svenska incidenter de senaste åren. Vår tidigare genomgång av Miljödata-attacken och de 200 drabbade kommunerna beskrev hur snabbt effekterna spreds redan under de första veckorna efter intrånget. IMY:s beslut bekräftar nu siffran 2,2 miljoner berörda individer, vilket är högre än de ursprungliga uppskattningarna på cirka 870 000 personer som cirkulerade kort efter attacken.
Sanktionsavgiften i siffror: så räknas 1,8 miljoner kronor fram
GDPR sätter ett teoretiskt maxtak för sanktionsavgifter på 20 miljoner euro eller 4 procent av ett bolags globala årsomsättning, beroende på vilket belopp som är högst. För mindre allvarliga överträdelser gäller ett lägre tak på 10 miljoner euro eller 2 procent av omsättningen. Men för svenska myndigheter och offentliga aktörer gäller ett annat regelverk: taket ligger på 10 miljoner kronor för de allvarligaste överträdelserna, enligt IMY:s egen beskrivning av sanktionsavgifter och varningar.
Miljödata är ett privat bolag snarare än en myndighet, så det höga EU-taket borde i teorin gälla. Ändå landade boten på en bråkdel av vad som varit möjligt. Så här ser den grova logiken ut när man förenklar hur en sanktionsavgift vägs mot ett bolags storlek:
Maxbelopp = max(20 000 000 EUR, 0.04 * global_arsomsattning)
Faktiskt_belopp = f(overtradelsens_allvar, atgardade_brister,
bolagets_storlek, samarbetsvilja)
Miljodata_bot = 1 800 000 SEK # ca 183 000 USD
Miljodata_max_teoretiskt = betydligt_hogre # bolaget ar litet,
# men overtradelsen var storSkillnaden mellan det teoretiska maxbeloppet och det faktiska beloppet förklaras av att Miljödata är ett litet bolag med begränsad omsättning. IMY väger alltid in betalningsförmåga, och en sanktionsavgift som slår ut ett bolag helt anses sällan proportionerlig. Frågan många ställer sig är om den avvägningen fortfarande fungerar när ett litet bolags kunder är stora nog att påverka miljontals människors integritet.
Tabell: IMY:s största sanktionsavgifter i jämförelse
Sätter man Miljödata-boten i sitt sammanhang blir mönstret tydligt. IMY:s historiskt största sanktionsavgifter har oftast handlat om informationsskyldighet och rätten till tillgång, inte om säkerhetsbrister som lett till faktiska intrång.
| Bolag | År | Belopp | Orsak |
|---|---|---|---|
| Google LLC | 2020 | 75 miljoner kr | Vägrade radera sökresultat (rätten att bli glömd) |
| Spotify AB | 2023 (fastställd igen 2025) | 58 miljoner kr | Otydlig information vid begäran om registerutdrag |
| Google LLC | 2022 | 52 miljoner kr | Brister i borttagning av sökresultat |
| H&M Hennes & Mauritz | 2020 | 35 miljoner kr | Otillåten övervakning av anställdas hälsouppgifter |
| Tele2 Sverige AB | 2021 | 12 miljoner kr | Bristande gallring och radering av kunddata |
| Klarna Bank AB | 2022 | 7,5 miljoner kr | Otydlig information om personuppgiftsbehandling |
| Miljödata i Karlskrona AB | 2026 | 1,8 miljoner kr | Bristande säkerhetsåtgärder inför ransomware-intrång |
Lägger man boten mot antalet drabbade blir kontrasten skarp. Spotify fick 58 miljoner kronor för brister som rörde enskilda registerutdrag. Miljödata fick 1,8 miljoner kronor efter att uppgifter om 2,2 miljoner personer hamnat i orätta händer. Det är en betydligt lägre bot för en incident som drabbade fler människor än någon av de andra posterna i tabellen.
Varför boten ser låg ut jämfört med skadans omfattning
Det korta svaret är att GDPR-sanktioner inte är utformade som ersättning per drabbad person. De ska vara effektiva, proportionella och avskräckande enligt förordningens egen formulering, men proportionaliteten mäts mot förövarens ekonomiska muskler, inte mot offrens antal. Miljödata är ett bolag med begränsad omsättning jämfört med en global techjätte som Google, och IMY tar uttryckligen hänsyn till betalningsförmåga när avgiften fastställs.
Kritiker menar att den logiken skapar ett glapp just där risken är som störst. Ju mer en liten leverantör outsourcas till av offentlig sektor, desto större blir den potentiella skadan vid ett intrång. Avgiften stannar ändå kopplad till leverantörens egen storlek snarare än till hur många människor som exponeras genom kundernas system. Det är en obalans som återkommer i flera länders tillsynspraxis, och den kommer sannolikt diskuteras vidare när EU:s dataskyddsmyndigheter jämför sina linjer under 2027.
Europa i jämförelse: så bötfäller andra länder ransomware-brister
Miljödata-fallet är långt ifrån isolerat. Under 2026 har flera europeiska tillsynsmyndigheter fattat liknande beslut kopplade till artikel 32 och bristande säkerhet vid cyberattacker. Mönstret som växer fram är att böterna generellt hålls nere, även när antalet drabbade är stort, men att beloppen varierar kraftigt beroende på vilket land och vilken bransch det handlar om.
| Organisation | Land / myndighet | År | Belopp | Bakgrund |
|---|---|---|---|---|
| Miljödata | Sverige / IMY | 2026 | 1,8 Mkr (≈183 000 USD) | Ransomware, 2,2 miljoner drabbade, artikel 32 |
| Health Service Executive | Irland / DPC | 2026 | 300 000 euro | Ransomware mot labbsystem, artikel 32 och 34 |
| Vodafone España | Spanien / AEPD | 2026 | 400 000 euro | Cyberattack mot leverantör, 486 768 kunders telefonnummer exponerade |
| Namngivet ej offentliggjort telekombolag | Tyskland / BfDI | 2025 | 30 miljoner euro | Brister enligt artikel 32.1, enligt DLA Pipers årsrapport |
Enligt DLA Pipers GDPR-rapport för 2026 utfärdade europeiska tillsynsmyndigheter sanktionsavgifter för totalt cirka 1,2 miljarder euro under 2025, i linje med föregående år. Det tyska BfDI-fallet visar att avgifterna kan bli betydligt högre när bolaget som bötfälls har global omsättning att mäta procentsatsen mot. Mindre leverantörer som Miljödata, HSE och Vodafone España hamnar i ett lägre intervall oavsett hur många som drabbas.
Historisk kontext: GDPR-tillsyn i Sverige sedan 2018
IMY har bötfällt svenska och internationella bolag sedan dataskyddsförordningen trädde i kraft 2018, men tyngdpunkten har historiskt legat på informationsskyldighet snarare än tekniska säkerhetsbrister. Google-fallen, Spotify-fallet och Klarna-fallet handlade alla om hur bolag hanterade enskildas rättigheter, inte om huruvida ett system gick att knäcka. Miljödata-beslutet markerar därför ett skifte i vad IMY faktiskt granskar.
Enligt en genomgång från advokatfirman Schjødt ökade antalet incidentanmälningar till IMY med nästan 90 procent under 2025 jämfört med året innan, till totalt 12 276 rapporterade incidenter som berörde omkring 1,5 miljoner individer. Den ökningen sätter Miljödata-fallet i ett större sammanhang. Det är inte en enskild avvikelse utan en del av en trend där fler och fler organisationer tvingas rapportera intrång, samtidigt som antalet faktiska sanktioner mot bristande säkerhet fortfarande är lågt räknat i förhållande till anmälningsvolymen.
Tredjepartsrisken: en leverantör, hundratals kommuner
Det som gör Miljödata-fallet särskilt läsvärt för IT-ansvariga är inte boten i sig, utan vad den avslöjar om hur svensk offentlig sektor är uppbyggd. Många kommuner har historiskt outsourcat HR- och personalsystem till ett litet antal leverantörer för att spara pengar och slippa bygga egen kompetens. Det är en rimlig affärslogik i vardagen, men den skapar en enda felpunkt som en angripare bara behöver hitta en gång.
Samma mönster syns i andra svenska incidenter under 2026. Vår genomgång av Dustin-attacken och de läckta kontona visade hur en enskild IT-återförsäljares intrång fick följdverkningar hos kunder som aldrig själva blivit hackade. Kommuner som upphandlar IT-tjänster måste därför i praktiken granska leverantörens säkerhetsarbete lika noga som sitt eget, eftersom ansvaret enligt GDPR inte upphör bara för att behandlingen är utlagd på entreprenad.
Marknadseffekter: cyberförsäkring, upphandling och leverantörskrav
För cyberförsäkringsbranschen är fall som Miljödata en påminnelse om att koncentrationsrisk i leverantörskedjan är svårare att prissätta än enskilda företagsrisker. Ett försäkringsbolag som tecknar avtal med en enda kommun tar en avgränsad risk. Ett försäkringsbolag som exponeras mot en leverantör som betjänar hundratals kommuner tar i praktiken på sig en systemrisk, även om varje enskilt avtal ser litet ut på pappret.
Effekten syns redan i hur offentlig upphandling formuleras. Fler kommuner ställer numera krav på att leverantörer ska kunna visa upp oberoende säkerhetsgranskningar, incidenthanteringsplaner och bevis på multifaktorautentisering innan kontrakt skrivs. Vår guide till en NIS2-anpassad incidentplan beskriver konkret vilka steg en organisation bör ha på plats för att inte hamna i samma situation som Miljödata gjorde 2025. Kostnaden för den typen av granskning läggs i slutänden ofta på leverantören, vilket i sin tur pressar mindre aktörer att antingen höja sina priser eller investera i säkerhet de tidigare skjutit upp.
Vad kommuner och IT-leverantörer bör göra nu
IMY:s beslut pekar ut några konkreta brister som andra organisationer bör läsa som en checklista snarare än ett enskilt åtal. Bristande skydd enligt artikel 32 handlar sällan om exotiska hot, utan om grundläggande hygien som inte underhållits över tid.
- Kartlägg vilka system som hanterar känsliga personuppgifter, inklusive sjukfrånvaro- och löneuppgifter, och prioritera skydd utifrån den faktiska känsligheten, inte utifrån systemets ålder eller storlek.
- Kräv regelbundna penetrationstester och sårbarhetsskanningar av tredjepartsleverantörer, inte bara av interna system, eftersom ansvaret enligt GDPR följer med data oavsett var den bearbetas.
- Bygg en dokumenterad incidentplan som kan aktiveras inom timmar, inte veckor, eftersom tidsfaktorn påverkar både skadans omfattning och myndighetens bedömning av bolagets agerande efteråt.
- Se över avtalsvillkor med IT-leverantörer så att säkerhetskrav, revisionsrätt och ansvarsfördelning vid intrång är tydligt reglerade innan något händer, inte efteråt.
- Investera i segmentering av system som betjänar många kunder, så att ett intrång hos en avdelning inte automatiskt ger tillgång till hela kundstocken.
Kopplingen till NIS2 och den nya cybersäkerhetslagen
Miljödata-beslutet kommer samtidigt som Sverige rullar ut sin nationella implementering av NIS2 genom cybersäkerhetslagen, som omfattar tusentals medelstora och stora företag i samhällsviktiga sektorer. GDPR och NIS2 överlappar delvis men skiljer sig åt i fokus. GDPR straffar bristande skydd av personuppgifter, medan NIS2 straffar bristande riskhantering av kritiska tjänster oavsett om personuppgifter är inblandade.
Ett bolag som Miljödata skulle sannolikt omfattas av båda regelverken beroende på hur dess tjänster klassificeras. Det betyder att nästa liknande incident kan resultera i två separata sanktionsprocesser, en från IMY och en från tillsynsmyndigheten för cybersäkerhetslagen. I praktiken kan det göra den sammanlagda kostnaden för bristande säkerhetsarbete betydligt högre framöver än vad Miljödata fick betala i det här fallet.
Prognoser: vad väntar Sverige och Norden framåt
Baserat på hur IMY, DPC i Irland och AEPD i Spanien har agerat under 2026 går det att skissa några rimliga utvecklingslinjer för de kommande tolv till arton månaderna.
- Fler svenska IT-leverantörer med kommunala kunder kommer granskas av IMY under 2027, eftersom Miljödata-fallet sätter ett tydligt prejudikat för vad myndigheten anser vara otillräckligt skydd.
- Sanktionsbeloppen för säkerhetsbrister stiger sannolikt i takt med att fler ärenden gäller större, mer omsättningsstarka bolag snarare än små nischleverantörer som Miljödata.
- Samspelet mellan GDPR-tillsyn och cybersäkerhetslagens tillsyn skärps, med risk för att organisationer möter dubbla sanktionsprocesser för samma underliggande incident.
- Fler kommuner kräver oberoende säkerhetscertifiering av sina IT-leverantörer redan i upphandlingsskedet, vilket gradvis pressar bort leverantörer som inte investerat i grundläggande skydd.
- Cyberförsäkringspremier för bolag med stor kommunal kundbas fortsätter stiga, eftersom försäkringsbolagen nu har konkreta skadedata att prissätta koncentrationsrisken mot.
Ransomware-läget i Sverige: Miljödata är inget undantag
Sätter man Miljödata i sitt bredare sammanhang syns ett Sverige som fortsatt är hårt pressat av ransomware. Enligt ransomware.live hade Sverige omkring 156 registrerade ransomware-offer under 2026 fram till slutet av september, en siffra som placerar landet högt i nordisk jämförelse. Attacker mot bolag som Electrolux, Aarsleff och Dustin under samma år visar att Miljödata-fallet är en del av ett större mönster snarare än en engångsföreteelse.
Skillnaden mellan Miljödata och flera av de andra fallen är att just detta ärende resulterade i en formell GDPR-sanktion. De flesta ransomware-drabbade svenska bolag har hittills sluppit den typen av efterspel. Det gör IMY:s beslut till ett av de tydligaste exemplen på att myndigheter faktiskt börjar koppla ihop bristande teknisk säkerhet med juridiskt ansvar, snarare än att bara behandla intrång som ett internt IT-problem hos det drabbade bolaget.
Vanliga frågor om Miljödata-boten och GDPR-ansvar
Vad exakt bötfälldes Miljödata för?
Miljödata bötfälldes för bristande tekniska och organisatoriska skyddsåtgärder enligt artikel 32.1 i GDPR, inte för själva ransomware-attacken. Skillnaden är juridiskt viktig: IMY straffar bristen på skydd innan intrånget, inte det faktum att bolaget blev attackerat.
Hur stor var boten och när meddelades den?
Boten uppgick till 1,8 miljoner kronor, motsvarande ungefär 183 000 dollar, och beslutet offentliggjordes av IMY den 22 september 2026.
Hur många personer påverkades av intrånget?
IMY:s beslut anger att uppgifter kopplade till cirka 2,2 miljoner personer exponerades, en högre siffra än de ursprungliga uppskattningarna på omkring 870 000 som cirkulerade direkt efter attacken 2025.
Vem låg bakom attacken mot Miljödata?
En aktör som använde namnet “Datacarry” tog på sig ansvaret och krävde 1,5 bitcoin i lösensumma. Miljödata betalade inte, och gruppen publicerade i stället stulen data.
Kan drabbade kommuner eller privatpersoner få egen ersättning?
Sanktionsavgiften går till svenska staten, inte till de drabbade. Enskilda som vill söka ersättning måste normalt göra det via civilrättslig talan, vilket är en separat process från IMY:s tillsynsärende.
Varför är boten så låg jämfört med andra IMY-beslut?
IMY väger in bolagets betalningsförmåga och storlek. Miljödata är ett förhållandevis litet bolag, vilket gör att sanktionsavgiften hamnar långt under de 10 miljoner kronor som är taket för de allvarligaste överträdelserna mot svenska myndigheter, trots att skadans omfattning i antal drabbade var betydande.
Hur skiljer sig det svenska fallet från liknande ärenden i andra EU-länder?
Mönstret är likartat. Både Irlands DPC och Spaniens AEPD utfärdade jämförbart låga böter, 300 000 respektive 400 000 euro, för säkerhetsbrister kopplade till cyberattacker under 2026. Det tyska BfDI-fallet, som landade på 30 miljoner euro, visar samtidigt att beloppen kan bli betydligt högre när bolaget som bötfälls har global omsättning att räkna procentsatsen mot.
Påverkar cybersäkerhetslagen och NIS2 den här typen av ärenden framöver?
Ja. Organisationer som omfattas av både GDPR och cybersäkerhetslagen riskerar framöver att möta separata sanktionsprocesser för samma underliggande incident, vilket sammantaget kan göra den ekonomiska konsekvensen av bristande säkerhet betydligt större än vad Miljödata fick uppleva i det här ärendet.
