Miljödata fick sanktionsavgift trots tvåfaktorsautentisering och kryptering

Integritetsskyddsmyndigheten (IMY) beslutade den 22 september 2026 om en sanktionsavgift på 1,8 miljoner kronor mot systemleverantören Miljödata. Bolaget hade tvåfaktorsautentisering, kryptering, övervakning och en process för att installera nya komponenter, och hade sannolikt kunnat svara ja på de flesta frågor i ett leverantörsformulär, alltså de säkerhetsfrågor ni ställer till en leverantör innan ni anlitar den. Det som avgjorde var om åtgärderna fungerade. Samtidigt granskar IMY om tre av kunderna, två kommuner och en region, själva har vidtagit lämpliga säkerhetsåtgärder för uppgifterna i leverantörens system.

Vad beslutade IMY? #

IMY bedömer att Miljödata i Karlskrona AB har brutit mot artikel 32.1 i Dataskyddsförordningen (GDPR). Artikeln kräver lämpliga tekniska och organisatoriska säkerhetsåtgärder. Myndigheten har beslutat om en sanktionsavgift på 1,8 miljoner kronor. Bolaget har bestritt överträdelsen, och beslutet kan överklagas till förvaltningsrätten inom tre veckor.

Intrånget började den 20 augusti 2025. Enligt bolagets uppgifter i beslutet omfattades omkring 2,2 miljoner personer, med bland annat personnummer och känsliga uppgifter om sjukfrånvaro och rehabilitering. Delar av den läckta informationen publicerades senare på darknet.

IMY konstaterar att Miljödata i huvudsak var personuppgiftsbiträde åt sina kunder, det vill säga behandlade uppgifterna för kundernas räkning. Bolaget levererar system för bland annat sjukfrånvaro, rehabilitering och tillbud till både offentliga och privata kunder.

Vad hade leverantören på plats? #

Enligt bolagets egna uppgifter i beslutet fanns det mesta som ett leverantörsformulär brukar fråga efter:

• tvåfaktorsautentisering på interna tjänster och separata behörighetskonton för olika roller
• kryptering av bilagor och fritextfält, som bolaget angav som skydd för de känsliga uppgifterna
• en process för att installera nya komponenter, med analys av behov, beroenden och påverkan på säkerheten
• driftövervakning genom serverleverantören och bolagets egen driftövervakning

Angriparen tog sig ändå in genom en brandväggskomponent som bolaget installerat ungefär en vecka tidigare. Därifrån skaffade sig angriparen högre behörighet och rörde sig mellan servrarna i tre dygn. Ett tekniskt fel i tjänsten utlöste till slut ett larm, och det var inget säkerhetslarm. Enligt IMY var övervakningen främst inriktad på prestanda och tillgänglighet.

IMY lade två brister till grund för beslutet. Bolaget kontrollerade inte att det installerade rätt version av komponenten, och det saknade automatisk realtidsövervakning för att upptäcka intrång och misstänkt aktivitet. IMY bedömde både versionskontrollen och den automatiska realtidsövervakningen som grundläggande säkerhetsåtgärder, med tanke på hur känsliga och omfattande uppgifterna var. För versionskontrollen vägde IMY dessutom in att servern var exponerad mot internet och att sårbarheten var känd. IMY bedömer lämpligheten utifrån omständigheterna i det enskilda fallet, så beslutet säger inte att Dataskyddsförordningen kräver realtidsövervakning av alla.

Känner ni igen de två antagandena? #

Två resonemang som bolaget redovisar i beslutet är värda att läsa noggrant, eftersom de är lätta att känna igen både hos er själva och hos era leverantörer.

Vi är för okända för att vara ett mål. Miljödata bedömde sannolikheten för ett cyberangrepp som relativt låg, bland annat mot bakgrund av bolagets begränsade offentliga profil. Konsekvenserna för de registrerade bedömdes som stora, men riskerna som låga efter de åtgärder som vidtagits.

Det kom från en välkänd leverantör. Komponenten levererades i en föråldrad version med en känd, kritisk sårbarhet, och information om sårbarheten hade legat på leverantörens webbplats i mer än ett år. Miljödata kontrollerade inte versionen, bland annat eftersom det var en kostsam produkt från en välkänd leverantör.

Det första antagandet gör ett företag om sig självt. Det andra gör det om sina leverantörer. Inget av antagandena låter orimligt, och båda är lätta att skriva in i en riskanalys. IMY bedömde risken som hög där bolaget hade bedömt den som låg, och underkände skälet att leverantören var välkänd.

Varför granskar IMY kunderna? #

IMY inledde i november 2025 granskningar av två kommuner och en region som använde Miljödatas system. Enligt IMY:s webbplats pågick granskningarna fortfarande den 23 september 2026.

Granskningarna gäller kundernas egen säkerhetsskyldighet. IMY ska pröva om kunderna har vidtagit lämpliga tekniska och organisatoriska åtgärder enligt artikel 32. Åtgärderna ska säkerställa en lämplig säkerhetsnivå i förhållande till riskerna med den behandling av personuppgifter som skett i Miljödatas system. Artikel 32 gäller både den personuppgiftsansvarige och biträdet.

Ett biträdesavtal flyttar alltså inte ansvaret för säkerheten från kunden till leverantören. Leverantören har ett eget ansvar, och det har ni också.

Vad kan ni som kund kräva? #

Dataskyddsförordningen ger er tre verktyg där leverantören behandlar personuppgifter för er räkning. Rollen avgörs per behandling, och samma leverantör kan vara personuppgiftsansvarig för en behandling och biträde för en annan.

• Ni får bara anlita biträden som ger tillräckliga garantier om att genomföra lämpliga tekniska och organisatoriska åtgärder (artikel 28.1).
• Biträdesavtalet ska ge er tillgång till den information som krävs för att visa att skyldigheterna har fullgjorts, och göra det möjligt att genomföra granskningar, inbegripet inspektioner (artikel 28.3 h).
• Ni ska kunna visa att behandlingen följer förordningen, och era åtgärder ska ses över och uppdateras vid behov (artikel 24.1).

Artikel 32.1 nämner dessutom ett förfarande för att regelbundet testa, undersöka och utvärdera hur effektiva åtgärderna är, och IMY hänvisar själv till det ledet i beslutet. Det är den frågan ett formulär sällan ställer: inte om åtgärden finns, utan om någon har prövat att den fungerar.

Hur ofta ni ska följa upp en leverantör säger förordningen inte. Det är en avvägning ni själva ska kunna motivera.

Kan ni svara på IMY:s frågor om er egen leverantör? #

I november 2025 skickade IMY en begäran om information till en av de granskade kommunerna. Frågorna är skrivna till en kommun, där nämnder kan vara egna personuppgiftsansvariga. I ett privat bolag är svaret på fråga 1 normalt bolaget självt. I en koncern är det det eller de bolag som bestämmer varför och hur uppgifterna behandlas, och det behöver inte vara bolaget som tecknade avtalet med leverantören. Fråga 2 blir en kontroll av att biträdesavtalet finns och går att ta fram. Så här frågade IMY, i vår sammanfattning (tillsynsskrivelsen i sin helhet finns på IMY:s tillsynssida):

1. Vem är personuppgiftsansvarig för behandlingen i leverantörens system: ni själva eller, om inte, vilka delar av organisationen?
2. Har ni anlitat leverantören som personuppgiftsbiträde, och när? Biträdesavtalet ska bifogas.
3. Hur är ansvaret för att bedöma och vidta säkerhetsåtgärder reglerat mellan er och biträdet?
4. Hur omfattande är behandlingen: hur många registrerade, och hur länge ligger uppgifterna kvar?
5. Vilka slags personuppgifter har ni behandlat i systemet?
6. Har ni behandlat skyddade personuppgifter där, alltså uppgifter om personer med sekretessmarkering, skyddad folkbokföring eller fingerade personuppgifter?
7. Har ni behandlat barns personuppgifter där?

Frågorna ställdes till en offentlig kund, och att de ställts säger ingenting om vad granskningen leder till.

Fråga 4 och 6 är de jag skulle börja med. Enligt Miljödatas egna uppgifter behandlades i viss omfattning skyddade personuppgifter i tjänsterna, trots att utgångspunkten var att sådana uppgifter inte skulle finnas där. När IMY inledde granskningarna angav myndigheten att de bland annat gällde tidigare anställda som slutat för länge sedan. Hade uppgifterna om de tidigare anställda gallrats, hade de inte kunnat läcka ur leverantörens system.

Nästa steg #

Mitt råd är att gå igenom de sju frågorna för den leverantör som har era mest känsliga personuppgifter och sedan ställa tre egna frågor till leverantören. Hur kontrollerar ni version och kända sårbarheter i komponenter från tredje part innan ni installerar dem? Vad larmar er övervakning på? När prövade någon senast att den larmar på det den ska? Går svaren inte att få fram är det i sig ett besked.

Behöver ni hjälp med att gå igenom era leverantörer, se vårt stöd inom GDPR och dataskydd. Omfattas ni också av Cybersäkerhetslagen har jag skrivit om leverantörsavtalen i Har ni följt upp avtalet från 2023?.