Den 22 september 2026 beslutade Integritetsskyddsmyndigheten om en sanktionsavgift på 1,8 miljoner kronor mot Miljödata i Karlskrona AB. Intrånget i augusti 2025 nådde personnummer, kontaktuppgifter, sjukfrånvaro, rehabiliteringsuppgifter och incidentrapporter från skolan för omkring 2,2 miljoner personer, hos de flesta av Sveriges kommuner, flera regioner, statliga myndigheter och en lång rad privata bolag.
Dagen innan, den 21 september, antog Europeiska dataskyddsstyrelsen riktlinjer för hur tillsynsmyndigheter ska avgöra om en sanktionsavgift över huvud taget ska påföras. IMY har lett det arbetet. Lästa tillsammans säger de två mer om hur tillsynen kommer att fungera de närmaste åren än vad någon av dem gör var för sig.
Vad IMY beslutade, och vad beslutet inte avgör
Beslutet rör Miljödata i rollen som personuppgiftsbiträde och vilar på artikel 32.1: skyldigheten att vidta lämpliga tekniska och organisatoriska säkerhetsåtgärder utifrån riskerna. IMY pekar ut två konkreta brister. Bolaget saknade tillräcklig kontroll vid installation av ny programvara, och hade ingen automatisk övervakning i realtid som kunde upptäcka intrång och misstänkt aktivitet.
IMY bedömde att bolaget agerat oaktsamt snarare än uppsåtligt.
Vad beslutet inte avgör är ställningen för de organisationer vars uppgifter det handlade om. I november 2025 inledde IMY granskningar av tre personuppgiftsansvariga vid sidan av biträdet — Göteborgs stad, Älmhults kommun och Region Västmanland — med fokus på vilken information som behandlats i Miljödatas system och om vilka, däribland skyddade identiteter, tidigare anställda och barn. Det är ett eget spår, skilt från beslutet den här veckan.
Varför 1,8 miljoner är lägre än det låter
Ställt mot 2,2 miljoner berörda personer ser beloppet litet ut, och det är värt att förstå varför i stället för att anta att myndigheten var mild.
En sanktionsavgift enligt GDPR beräknas inte per berörd person. Den utgår från överträdelsens allvar och företagets omsättning, och justeras av försvårande och förmildrande omständigheter. En bedömning av oaktsamhet i stället för uppsåt drar bedömningen nedåt. Det gör även samarbete, vidtagna åtgärder och frånvaron av ett mönster av tidigare brister. Taket i artikel 83 är ett tak, inte ett riktmärke.
Den praktiska lärdomen är ändå inte lugnande. Avgiftens storlek är ett dåligt mått på hur mycket skada en incident gör, och på vad den kostar de organisationer som måste anmäla, åtgärda och förklara sig för de människor som berörs.
De fem stegen bakom en avgift
EDPB:s riktlinjer från den 21 september beskriver den metod tillsynsmyndigheter ska följa när de avgör om en sanktionsavgift är rätt ingripande. De kompletterar de befintliga riktlinjerna 04/2022 om hur beloppet beräknas, och ersätter artikel 29-gruppens äldre vägledning.
Metoden går i fem steg: kontrollera att överträdelsen alls kan medföra en avgift, fastställa vilken aktör som bär ansvaret, bedöma om handlandet var uppsåtligt eller oaktsamt, väga försvårande mot förmildrande omständigheter där mindre överträdelser normalt möts av en reprimand i stället för en avgift, och slutligen pröva utfallet mot effektivitet, proportionalitet och avskräckande verkan, med utrymme att avvika från gängse praxis i det enskilda fallet.
Riktlinjerna är föremål för offentligt samråd till och med den 13 november 2026, så texten kan ännu ändras. Riktningen ändras inte: samma resonemang, tillämpat på samma sätt, i varje medlemsstat.
Ansvaret ligger kvar hos den personuppgiftsansvarige
Det här är delen som angår ett bolag som aldrig hört talas om Miljödata.
IMY har varit tydlig med att både personuppgiftsansvariga och biträden bär skyldigheter, men att huvudansvaret ligger hos den personuppgiftsansvarige. Den ansvarige ska förvissa sig om att varje biträde man anlitar ger tillräckliga garantier för lämpliga tekniska och organisatoriska åtgärder, och den skyldigheten är löpande snarare än en ruta som kryssas vid avtalstecknandet.
IMY har samtidigt varit noggrann med den andra halvan: att en incident inträffar innebär inte i sig att någondera parten brustit. Säkerheten ska stå i proportion till den faktiska risken. En organisation som valt sin leverantör omsorgsfullt, dokumenterat varför och följt upp med jämna mellanrum står i ett helt annat läge än en som skrivit under ett standardavtal och aldrig tittat igen.
Vad tillräckliga garantier betyder i ett avtal
Ett biträdesavtal enligt artikel 28 är nödvändigt men inte tillräckligt. Det fördelar skyldigheter, men visar inte att ni bedömt något.
Det en tillsynsmyndighet letar efter är spår av en bedömning: vad ni frågade leverantören innan ni anlitade dem, vad de svarade, vad ni gjorde åt luckorna och när ni senast återkom till saken. Frågorna som hade varit användbara här är odramatiska. Hur testas ny programvara innan den når produktion? Finns övervakning som upptäcker ett intrång medan det pågår i stället för efteråt? Vem larmas, och hur snabbt? Vilka kategorier av våra uppgifter hamnar faktiskt i systemet, och omfattar de barn, skyddade identiteter eller hälsouppgifter?
Praktiskt exempel: bolaget som lade ut lönehanteringen
Ett medelstort svenskt bolag lägger ut löne- och frånvarohantering på en leverantör. Systemet innehåller personnummer, löneuppgifter och sjukfrånvaro — det sista är hälsouppgifter.
Bolaget förblir personuppgiftsansvarigt hela vägen. Om leverantören drabbas av ett intrång kan leverantören möta sitt eget ansvar enligt artikel 32, men det är bolaget som ska bedöma risken för sina anställda, anmäla till IMY när tröskeln nås och informera de anställda själva när risken för deras rättigheter och friheter är hög. Det är också bolagets val av leverantör och löpande uppföljning som kommer att granskas.
Arbetet som gör det hanterbart görs innan något händer: en dokumentation av vad som efterfrågats och kontrollerats, en tydlig bild av vilka kategorier av uppgifter som ligger i systemet, och en anmälningsrutin som någon faktiskt gått igenom i praktiken.
Vanliga misstag
Att betrakta ett undertecknat biträdesavtal som hela den personuppgiftsansvariges egen omsorg.
Att anta att den personuppgiftsansvariges ställning är avgjord i och med att leverantören fått en avgift.
Att läsa en måttlig avgift som ett mått på hur allvarlig incidenten var, eller på vad den kommer att kosta er.
Att aldrig återkomma till en leverantörsbedömning efter uppstarten, trots att kategorierna av uppgifter i systemet växer.
Att vid en incident upptäcka att ingen vet exakt vems uppgifter, och vilka kategorier, som ligger hos leverantören.
Rekommenderade åtgärder
Lista de biträden som hanterar personuppgifter åt er, och markera vilka av dem som hanterar hälsouppgifter, uppgifter om barn eller skyddade identiteter.
Leta för var och en fram underlaget som visar att ni bedömde deras säkerhet innan ni anlitade dem. Finns inget, skapa det nu i stället för efter en incident.
Ställ två skriftliga frågor till era mest kritiska leverantörer: hur förändringar når produktion, och om intrång upptäcks i realtid.
Kontrollera att er incidentrutin pekar ut en person, en tidsfrist och en beslutsfattare, och att någon testat den.
Läs EDPB:s riktlinjer innan samrådet stänger den 13 november 2026, om sanktionsavgifter är något er organisation räknar på.
Vanliga frågor
Om vår leverantör drabbas av intrång, får vi också en avgift?
Inte automatiskt. Biträdet svarar för sina egna säkerhetsskyldigheter och den personuppgiftsansvarige för sina — att välja ett biträde som ger tillräckliga garantier, att följa upp upplägget och att anmäla korrekt. IMY har uttryckligen sagt att en incident inte i sig visar att någondera parten brustit.
Skyddar ett biträdesavtal oss?
Det krävs, och det är utgångspunkten snarare än försvaret. Artikel 28 anger vad som ska avtalas. Det en tillsynsmyndighet frågar om är om ni bildade er en uppfattning om leverantörens säkerhet och kan visa den.
Riktlinjerna är fortfarande på samråd. Gäller de nu?
De beskriver hur myndigheter ska tillämpa regler som redan finns, så den underliggande rätten är oförändrad. Texten kan justeras innan den är slutlig; samrådet pågår till den 13 november 2026. Att behandla femstegsmetoden som en beskrivning av rådande praxis är den säkra läsningen.
Slutsats
Miljödatabeslutet kommer att minnas för beloppet, vilket är det minst upplysande med det. De användbara delarna är att bristerna var vardagliga — programvara som nådde produktion utan tillräcklig kontroll, ingen övervakning som hade fångat ett intrång medan det pågick — och att de bedömdes som oaktsamma snarare än avsiktliga.
För de flesta bolag är frågan inte om de skulle få en avgift. Den är om de, den dag en leverantör ringer, kan visa vad de frågade, vad de fick för svar och vad de gjorde åt det. Den dokumentationen byggs nu eller inte alls.
Vill ni ha en tydlig bild av vilka av era leverantörer som hanterar vad, och hur er egen dokumentation skulle se ut i en tillsynsmyndighets ögon, går vi igenom det med er. Första timmen bjuder vi på.
