Miljödata bötfälls efter omfattande personuppgiftsläcka

Integritetsskyddsmyndigheten har beslutat att Miljödata ska betala en sanktionsavgift på 1,8 miljoner kronor efter cyberangreppet mot bolaget hösten 2025. Enligt Miljödata omfattades omkring 2,2 miljoner personer. Integritetsskyddsmyndighetens granskning visar att bolagets tekniska och organisatoriska säkerhetsnivå inte varit tillräcklig.

Integritetsskyddsmyndigheten uppgav den 27 augusti 2025 att angreppet inträffade den 23 augusti. Minst 164 kommuner och fyra regioner var då berörda, liksom privata verksamheter, universitet och högskolor. När myndigheten senare inledde tillsyn mot Miljödata hade den fått in över 500 anmälningar om personuppgiftsincidenter med koppling till angreppet och omkring 70 klagomål från registrerade personer.

Myndigheten konstaterar att Miljödata inte genomfört tillräckliga kontroller i samband med installation av ny mjukvara och att bolaget saknat automatisk realtidsövervakning för att upptäcka intrång och misstänkt aktivitet. Integritetsskyddsmyndighetens generaldirektör Eric Leijonram uppgav att bristerna gjorde det möjligt för en hotaktör att komma över uppgifter om en stor del av Sveriges befolkning och att myndigheten ser allvarligt på händelsen.

Flera berörda organisationer har tidigare redovisat vilka uppgifter som omfattades. Uppsala kommun uppgav att personuppgifter om omkring 17 000 nuvarande och tidigare anställda från 2021 publicerades på Darknet. Kommunen uppgav samtidigt att uppgifterna enligt avtalet skulle ha varit raderade och att kommunen tidigare hade fått besked om att detta hade skett, trots att informationen fortfarande fanns kvar i Miljödatas system.

Stockholms stad uppgav att staden inte hade något driftsatt system hos Miljödata när intrånget inträffade. Personuppgifterna fanns i en produktionsmiljö inför ett planerat införande av ett system för rapportering och uppföljning av arbetsmiljöincidenter. Stadens analys visade att även personer med skyddade personuppgifter fanns bland de drabbade.

Linköpings kommun uppgav att drygt 28 000 personer som varit anställda av kommunen från 2018 och framåt omfattades av läckan. Bland de exponerade uppgifterna fanns namn, personnummer, adresser, kontaktuppgifter och antal dagar i rehabiliteringskedjan. Sveriges lantbruksuniversitet uppgav att det under helgen den 13–14 september 2025 blev känt att angriparen hade publicerat läckta uppgifter. Universitetets berörda system var Adato, som bland annat används för sjukfrånvaro, rehabiliteringsärenden och förebyggande åtgärder. Sveriges lantbruksuniversitet anmälde incidenten till Integritetsskyddsmyndigheten och dåvarande Myndigheten för samhällsskydd och beredskap, medan Miljödata gjorde en polisanmälan.

Integritetsskyddsmyndigheten beslutade i november 2025 att även granska Göteborgs stad, Älmhults kommun och Region Västmanland med anledning av läckan. Tillsynerna skulle bland annat omfatta uppgifter om personer med skyddad identitet, tidigare anställda och barn.

Åklagarmyndigheten beslutade den 14 april 2026 att lägga ned förundersökningen om grovt dataintrång och försök till grov utpressning. Myndigheten uppgav att den bevisning som tagits fram inte var tillräcklig för att driva utredningen vidare. Senior åklagare Sandra Helgadottir var förundersökningsledare i ärende AM-129699-25. Åklagarmyndigheten uppgav samtidigt att utredningen kan återupptas om nya spår framkommer.