Region Västmanland

IMY-2025-21179 Tillsyn enligt dataskyddsförordningen

- begäran om information

Integritetsskyddsmyndigheten (IMY) är tillsynsmyndighet enligt dataskyddsförordningen , GDPR. IMY har beslutat att granska er personuppgiftsbehandling och har därför inlett ett tillsynsärende.

Varför granskar IMY er verksamhet?

I augusti 2025 utsattes systemleverantören Miljödata i Karlskrona Aktiebolag (Miljödata) för ett it-angrepp. Angriparen har enligt rapportering i media haft tillgång till Miljödatas it-miljö och en stor mängd personuppgifter har varit åtkomliga för angriparen. Personuppgifter har efter angreppet publicerats på Darknet. I stor utsträckning är det anställdas och före detta anställdas personuppgifter som har läckt. Av medierapporteringen framgår även att barns personuppgifter och personuppgifter tillhörande personer med skyddad identitet har behandlats i Miljödatas system och läckt efter angreppet.

IMY har efter it-angreppet mot Miljödata mottagit en anmälan om en personuppgiftsincident från er den 28 augusti 2025. Av er anmälan framgår bland annat att personuppgifter som införts i Miljödatas system tillhörande anställda eller tidigare anställda hos Region Västmanland, eventuellt även personer med skyddade uppgifter, har omfattats av personuppgiftsincidenten.

Mot denna bakgrund har IMY beslutat att granska om Region Västmanland (org.nr 232100-0172) har vidtagit lämpliga tekniska och organisatoriska åtgärder enligt artikel 32 i dataskyddsförordningen för att säkerställa en lämplig säkerhetsnivå i förhållande till riskerna med den behandling av personuppgifter som skett i Miljödatas system.

Våra frågor

Personuppgiftsansvar

1. Är ni personuppgiftsansvarig för den personuppgiftsbehandling som skett i Miljödatas system avseende personuppgifter tillhörande anställda eller tidigare anställda hos Region Västmanland? Om nej vem/vilka är personuppgiftsansvariga inom regionen för behandlingen? Lista ev.

förvaltningar som är personuppgiftsansvariga efter storleksordning (utifrån antal registrerade vars personuppgifter har behandlats).

2. Har ni anlitat Miljödata som personuppgiftsbiträde? När anlitade ni Miljödata? Bifoga personuppgiftsbiträdesavtalet till ert svar till IMY.

3. Redogör för hur ansvaret är reglerat för att bedöma och vidta lämpliga säkerhetsåtgärder mellan den som är personuppgiftsansvarig och personuppgiftsbiträde för behandlingen i Miljödatas system.

Personuppgifter

4. Hur omfattande är er behandling av personuppgifter i Miljödatas system? Beskriv antal registrerade och hur länge personuppgifterna behandlas i systemet.

5. Vilka slags personuppgifter har ni behandlat i Miljödatas system?

6. Har ni behandlat skyddade personuppgifter i Miljödatas system?

7. Har ni behandlat barns personuppgifter i Miljödatas system?

Era svar

Svara skriftligt till IMY senast den 24 november 2025.

Ange IMY-2025-21179 när ni svarar. Era svar kan skickas via e-post till . Tänk på att inte använda e-post om svaret innehåller känsliga personuppgifter eller uppgifter som omfattas av sekretess. Det går också att skicka era svar till: Integritetsskyddsmyndigheten, , .

Ange om ni anser att några av uppgifterna i ert svar omfattas av sekretess, och i så fall vilka och vilken sekretessgrund.

Måste ni svara Integritetsskyddsmyndigheten?

Ja, IMY är tillsynsmyndighet enligt dataskyddsförordningen, GDPR. Det innebär att vi får begära att ni lämnar all information som vi behöver för att kunna fullgöra våra uppgifter som tillsynsmyndighet.

Vad händer sen?

När IMY är färdig med granskningen kommer ni att få ett beslut. Innan beslutet fattas kommer ni att få ta del av och möjlighet att yttra er över allt material som är av betydelse för ärendet. Utifrån vad som framkommit i ärendet kan IMY i beslutet komma att konstatera brister i er tillämpning av de dataskyddsbestämmelser som är aktuella i ärendet. Vid brister kan IMY exempelvis utfärda en reprimand och/eller förelägga er att

vidta vissa åtgärder. I vissa fall kan IMY påföra administrativa sanktionsavgifter enligt dataskyddsförordningen. Om ni har frågor om ärendet kontakta:

Erika Palmheden

Jurist, IMY erika.palmheden@imy.se (eller telefon 08-657 61 00)

Kopia till:

Dataskyddsombudet

Information om IMY:s behandling av personuppgifter:

https://