text: Fuplex AB Olskroksgatan 20 416 66 Göteborg

text: Europaparlamentets och rådets förordning (EU) 2016/79 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: . 2 Se

text: prop. 2017/18:105

text: , s.187. 3

text: SOU 2024:75, s. 55

text: . 4 Se EU-domstolens dom av den 22 juni 2021, Latvijas Republikas Saeima,

text: , EU:C:2021:504, p. 74. 08-657 61 00

text: Se

text: artikel 288 andra stycket i Fördraget om Europeiska unionens funktionssätt

text: (FEUF). 6 Se EU-domstolens dom av den 16 december 2008, Satakunnan Markkinapörssi och Satamedia,

text: , EU:C:2008:727, p. 55–62. 7 Se Högsta domstolens två beslut 2025-02-25 i mål nr Ä 3456-42 och 3169-24, p. 33–43 och 56–57. 8 IMYRS 2024:1.

text: Artikel 58.1 i dataskyddsförordningen. 10

text: Artikel 58.2

text: och artikel 83-84 i dataskyddsförordningen.

titel: Fuplex AB

slug: fuplex-ab

title: Fuplex AB, krimfup.se

sammanfattning: IMY granskar Fuplex AB som tillhandahåller söktjänsten krimfup.se. IMY har tagit emot ett stort antal klagomål mot söktjänster som publicerar personuppgifter om Sveriges befolkning. Många av dessa klagomål rör söktjänster som publicerar uppgifter om lagöverträdelser, exempelvis domar i brottmål. Det som undersöks är om företaget agerar i strid med dataskyddsförordningen, GDPR, när de publicerar uppgifter om lagöverträdelser i sökbara databaser.

text: IMY-2025-6465 Tillsyn enligt dataskyddsförordningen

text: – begäran om information

text: Integritetsskyddsmyndigheten (IMY) är tillsynsmyndighet enligt dataskyddsförordningen , även kallad GDPR. IMY har beslutat att granska er personuppgiftsbehandling och har därför inlett tillsyn.

text: Varför granskar IMY er verksamhet?

text: Rättslig bakgrund - Den personliga integritetens förhållande till yttrande- och informationsfriheten

text: Publiceringar på internet faller som huvudregel utanför

text: yttrandefrihetsgrundlagens

text: (YGL) tillämpningsområde. Från huvudregeln görs undantag bland annat genom den så kallade databasregeln i

text: 1 kap. 4 §

text: YGL. För vissa aktörers databaser gäller grundlagsskyddet automatiskt. Andra aktörer kan hos Mediemyndigheten ansöka om ett så kallat utgivningsbevis (jfr

text: 1 kap. 4 § första stycket 1 d

text: och

text: 5 §

text: YGL). Vid en ansökan om utgivningsbevis görs det inte någon prövning av databasens innehåll eller syfte. Enligt exklusivitetsprincipen i

text: 1 kap. 14 §

text: YGL krävs stöd i grundlag för ingripande från en myndighet eller ett annat allmänt organ mot den som missbrukar yttrandefriheten. Det innebär i första hand ett skydd mot straffrättsliga ingripanden och skadestånd som inte har stöd i

text: tryckfrihetsförordningen

text: (TF) och YGL. Principen omfattar dock även andra sanktioner från det allmännas sida, såsom avskedande och liknande disciplinära åtgärder (t.ex. omplacering).

text: Rätten till skydd av personuppgifter preciseras i dataskyddsförordningen. Enligt artikel 10 i dataskyddsförordningen får behandling av personuppgifter som rör fällande domar i brottmål, lagöverträdelser som innefattar brott och därmed sammanhängande säkerhetsåtgärder endast utföras under kontroll av myndighet eller då behandlingen är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får föras endast under kontroll av en myndighet. Bestämmelsen syftar till att säkerställa ett utökat skydd mot sådan behandling av personuppgifter som kan utgöra ett särskilt allvarligt ingrepp i den grundläggande rätten till respekt för privatlivet och skydd för personuppgifter enligt artiklarna 7 och 8 i 4 EU:s rättighetsstadga.

text: Dataskyddsförordningen är bindande och direkt tillämplig i alla EU:s medlemsstater. Dataskyddsförordningen har dock utformats med hänsyn till andra rättigheter och intressen och innehåller de mekanismer som gör det möjligt att uppnå en korrekt balans mellan dessa, däribland mellan den personliga integriteten samt yttrande- och informationsfriheten. Uppgiften att sammanjämka dessa rättigheter har i huvudsak överlämnats till medlemsstaterna inom ramen för regleringen i artikel 85. Medlemsstaterna ska enligt artikel 85 i dataskyddsförordningen genom lag förena rätten till integritet med yttrande- och informationsfriheten och - om nödvändigt fastställa undantag från vissa delar av förordningen för viss behandling, exempelvis för behandling som sker för journalistiska ändamål. Sådana bestämmelser har förts in i lagen (

text: ) med kompletterande bestämmelser till EU:s dataskyddsförordning (

text: dataskyddslagen

text: Enligt

text: 1 kap. 7 § första stycket dataskyddslagen

text: ska dataskyddsförordningen och

text: dataskyddslagen

text: inte tillämpas i den utsträckning det skulle strida mot TF eller YGL. I bestämmelsens andra stycke görs undantag för yttrande- och informationsfriheten utanför det grundlagsskyddade området. Undantaget omfattar behandling av personuppgifter som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande. Detta avser exempelvis journalistisk verksamhet som bedrivs utan utgivningsbevis. Uttrycket behandling för journalistiska ändamål ska tolkas brett och omfattar bland annat att sprida information, åsikter eller idéer till allmänheten. Vilken teknik som används eller om verksamheten bedrivs i vinstsyfte påverkar inte bedömningen. Även behandling av personuppgifter som innebär att material som har samlats in från myndigheter i oförändrad form tillhandahålls kommersiellt kan utgöra behandling för journalistiska ändamål.

text: Högsta domstolen (HD) har i två beslut den 25 februari 2025 uttalat att det inte kan anses förenligt med unionsrätten att ha en ordning som innebär att brottmålsdomar i stor omfattning lämnas ut med följd att en betydande mängd personuppgifter rörande lagöverträdelser därefter kan behandlas i en databas och göras tillgängliga för andra. Det generella undantaget i

text: 1 kap. 7 § dataskyddslagen

text: , vilket bland annat föreskriver att artikel 10 i dataskyddsförordningen inte ska tillämpas vid behandling som sker för journalistiska ändamål, eller om det annars skulle strida mot grundlagarna, är, om det tolkas på det sätt som lagstiftaren får sägas ha avsett, därför inte förenligt med unionsrätten.

text: IMY:s behörighet att inleda tillsyn mot Fuplex AB

text: IMY har tidigare bedömt att regleringen i

text: och regleringen i 1 kap. 11 och 14 §§ YGL inneburit att IMY varit förhindrad att utöva tillsyn mot söktjänster med utgivningsbevis.

text: Genom ett rättsligt ställningstagande den 14 maj 2024 har IMY omprövat nämnda bedömning om behörighet att utöva tillsyn för verksamheter som har utgivningsbevis, eftersom det har skett en utveckling av europeisk och svensk rättspraxis. IMY bedömer i sitt ställningstagande att myndigheten har behörighet att inleda tillsyn med anledning av klagomål mot söktjänster med utgivningsbevis. I ställningstagandet definieras söktjänster som sådana tjänster som, gratis eller mot betalning, gör en stor mängd personuppgifter tillgängliga utan någon egentlig urskiljning och med möjlighet

text: till sökning på person. Det kan exempelvis vara fråga om uppgifter om fällande domar i brottmål och andra uppgifter om lagöverträdelser.

text: Mot bakgrund av HD:s ovan nämnda beslut anser IMY, oaktat att Fuplex AB har utgivningsbevis för webbplatsen www.krimfup.se, att IMY har behörighet att inleda en egeninitierad tillsyn mot bolaget.

text: Webbplatsen

text: IMY har tagit del av den information som finns att tillgå på webbplatsen www.krimfup.se. Där anges bland annat att Krimfup är en rättslig databas som tillgängliggör domar och förundersökningsprotokoll. Det framgår att det finns sökfält där man kan skriva in för- och efternamn, adress samt personnummer. På webbplatsen anges även ”Sök bland hundratals domar och förundersökningsprotokoll. Databasen uppdateras dagligen.”

text: IMY har mottagit en omfattande mängd klagomål mot webbplatsen efter myndighetens rättsliga ställningstagande.

text: Vad granskningen avser

text: IMY avser att utreda om Fuplex AB behandlar personuppgifter som rör fällande domar i brottmål samt lagöverträdelser som innefattar brott i sin söktjänst på webbplatsen www.krimfup.se i strid med artikel 10 i dataskyddsförordningen.

text: Våra frågor

text: 1. Vilket är ert organisationsnummer?

text: 2. Är ni personuppgiftsansvarig för den beskrivna söktjänsten på webbplatsen www.krimfup.se? Om nej, uppge vem som är det och varför ni anser det. Om ja, svara på nedanstående frågor.

text: 3. Beskriv syftet med söktjänsten på webbplatsen.

text: 4. Anser ni att er söktjänst utgör journalistisk verksamhet? Om ja, beskriv tydligt på vilket sätt. Ange i så fall om ni gjort en avvägning mellan journalistiska ändamål och de registrerades integritetsintresse. Om ni gjort en sådan avvägning ska ni ange detaljerat hur denna har gjorts.

text: 5. Till vilka tillhandahåller ni söktjänsten (t.ex. allmänheten eller betalande kunder)?

text: 6. Vilka personuppgifter har användarna av söktjänsten tillgång till? Förklara även om betalande kunder får tillgång till andra uppgifter än icke-betalande kunder och i så fall hur dessa skiljer sig åt.

text: 7. Är det möjligt för användare av er söktjänst att vid sökning med sökparametrar relaterade till en person – såsom personnamn, personnummer eller adress – ta del av sådana uppgifter som omfattas av artikel 10 som rör den eftersökta personen? Om ja, motivera vilket lagstöd ni har för den behandlingen?

text: 8. Hur många handlingar (ungefärligt antal) innehållande sådana uppgifter som avses i artikel 10 är sökbara i er tjänst?

text: 9. Avser ni att genomföra några ändringar i er söktjänst? Om ja, beskriv dessa förändringar.

text: Era svar

text: Svara skriftligt till IMY senast den 16 april 2025.

text: Ange IMY-2025-6465 när ni svarar. Era svar kan skickas via e-post till . Använd inte e-post om svaret innehåller känsliga personuppgifter eller uppgifter som omfattas av sekretess. Det går också att skicka era svar till: Integritetsskyddsmyndigheten, , . Ange om ni anser att några av uppgifterna i ert svar omfattas av sekretess, och i så fall vilka och vilken sekretessgrund.

text: Om ni utöver svaren på våra frågor vill hänvisa till ytterligare information eller handlingar så ange detta och vad ni vill visa med dem men skicka inte in handlingar som går utöver det angivna syftet med tillsynen.

text: Måste ni svara IMY?

text: Ja, IMY är tillsynsmyndighet enligt dataskyddsförordningen. Det innebär att ni ska lämna all information som vi behöver för att kunna fullgöra våra uppgifter som tillsynsmyndighet.

text: Vad händer sen?

text: När IMY är färdig med granskningen kommer ni att få ett beslut. Där kommer ni att få besked om eventuella brister i ert dataskydd och om ni måste vidta några korrigerande åtgärder. IMY kan exempelvis påföra administrativa sanktionsavgifter enligt dataskyddsförordningen.

text: Om ni har frågor om ärendet kontakta IMY: , 08- 657 61 00

text: Information om IMY:s behandling av personuppgifter


text: Legal Newsdesk Sweden AB Box 24247 104 51 Stockholm

text: Europaparlamentets och rådets förordning (EU) 2016/79 av den 27 april 2016

text: om skydd för fysiska personer med

text: avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: . 2 Se

text: prop. 2017/18:105

text: , s.187. 3

text: SOU 2024:75, s. 55

text: . 08-657 61 00

text: Se EU-domstolens dom av den 22 juni 2021, Latvijas Republikas Saeima,

text: , EU:C:2021:504, p. 74. 5 Se

text: artikel 288 andra stycket i Fördraget om Europeiska unionens funktionssätt

text: (FEUF). 6 Se EU-domstolens dom av den 16 december 2008, Satakunnan Markkinapörssi och Satamedia,

text: , EU:C:2008:727, p. 55–62. 7 Se Högsta domstolens två beslut 2025-02-25 i mål nr Ä 3456-42 och 3169-24, p. 33–43 och 56–57. 8 IMYRS 2024:1.

text: Artikel 58.1 i dataskyddsförordningen. 10

text: Artikel 58.2

text: och artikel 83-84 i dataskyddsförordningen.

sprak: sv

titel: Legal Newsdesk Sweden AB

nyckelord:
Dataskydd
Dina rättigheter

publisher: Integritetsskyddsmyndigheten

slug: legal-newsdesk-sweden-ab

title: Legal Newsdesk Sweden AB, lexbase.se

org: imy

sammanfattning: IMY granskar Legal Newsdesk Sweden AB som tillhandahåller söktjänsten lexbase.se. IMY har tagit emot ett stort antal klagomål mot söktjänster som publicerar personuppgifter om Sveriges befolkning. Många av dessa klagomål rör söktjänster som publicerar uppgifter om lagöverträdelser, exempelvis domar i brottmål. Det som undersöks är om företaget agerar i strid med dataskyddsförordningen, GDPR, när de publicerar uppgifter om lagöverträdelser i sökbara databaser.

text: IMY-2025-6466 Tillsyn enligt dataskyddsförordningen

type: stycke

text: – begäran om information

type: rubrik

text: Integritetsskyddsmyndigheten (IMY) är tillsynsmyndighet enligt dataskyddsförordningen , även kallad GDPR. IMY har beslutat att granska er personuppgiftsbehandling och har därför inlett tillsyn.

text: Varför granskar IMY er verksamhet?

text: Rättslig bakgrund - Den personliga integritetens förhållande till yttrande- och informationsfriheten

text: Publiceringar på internet faller som huvudregel utanför

text: yttrandefrihetsgrundlagens

text: (YGL) tillämpningsområde. Från huvudregeln görs undantag bland annat genom den så kallade databasregeln i

text: 1 kap. 4 §

text: YGL. För vissa aktörers databaser gäller grundlagsskyddet automatiskt. Andra aktörer kan hos Mediemyndigheten ansöka om ett så kallat utgivningsbevis (jfr

text: 1 kap. 4 § första stycket 1 d

text: och

text: 5 §

text: YGL). Vid en ansökan om utgivningsbevis görs det inte någon prövning av databasens innehåll eller syfte. Enligt exklusivitetsprincipen i

text: 1 kap. 14 §

text: YGL krävs stöd i grundlag för ingripande från en myndighet eller ett annat allmänt organ mot den som missbrukar yttrandefriheten. Det innebär i första hand ett skydd mot straffrättsliga ingripanden och skadestånd som inte har stöd i

text: tryckfrihetsförordningen

text: (TF) och YGL. Principen omfattar dock även andra sanktioner från det allmännas sida, såsom avskedande och liknande disciplinära åtgärder (t.ex. omplacering).

text: Rätten till skydd av personuppgifter preciseras i dataskyddsförordningen. Enligt artikel 10 i dataskyddsförordningen får behandling av personuppgifter som rör fällande domar i brottmål, lagöverträdelser som innefattar brott och därmed sammanhängande säkerhetsåtgärder endast utföras under kontroll av myndighet eller då behandlingen är tillåten enligt unionsrätten eller medlemsstaternas nationella rätt, där lämpliga skyddsåtgärder för de registrerades rättigheter och friheter fastställs. Ett fullständigt register över fällande domar i brottmål får föras endast under kontroll av en myndighet. Bestämmelsen syftar till att säkerställa ett utökat skydd mot sådan behandling av personuppgifter som kan utgöra ett särskilt allvarligt ingrepp i den grundläggande

text: rätten till respekt för privatlivet och skydd för personuppgifter enligt artiklarna

text: och

text: i EU:s rättighetsstadga.

text: Dataskyddsförordningen är bindande och direkt tillämplig i alla EU:s medlemsstater. Dataskyddsförordningen har dock utformats med hänsyn till andra rättigheter och intressen och innehåller de mekanismer som gör det möjligt att uppnå en korrekt balans mellan dessa, däribland mellan den personliga integriteten samt yttrande- och informationsfriheten. Uppgiften att sammanjämka dessa rättigheter har i huvudsak överlämnats till medlemsstaterna inom ramen för regleringen i artikel 85. Medlemsstaterna ska enligt artikel 85 i dataskyddsförordningen genom lag förena rätten till integritet med yttrande- och informationsfriheten och - om nödvändigt fastställa undantag från vissa delar av förordningen för viss behandling, exempelvis för behandling som sker för journalistiska ändamål. Sådana bestämmelser har förts in i lagen (

text: ) med kompletterande bestämmelser till EU:s dataskyddsförordning (

text: dataskyddslagen

text: Enligt

text: 1 kap. 7 § första stycket dataskyddslagen

text: ska dataskyddsförordningen och

text: dataskyddslagen

text: inte tillämpas i den utsträckning det skulle strida mot TF eller YGL. I bestämmelsens andra stycke görs undantag för yttrande- och informationsfriheten utanför det grundlagsskyddade området. Undantaget omfattar behandling av personuppgifter som sker för journalistiska ändamål eller för akademiskt, konstnärligt eller litterärt skapande. Detta avser exempelvis journalistisk verksamhet som bedrivs utan utgivningsbevis. Uttrycket behandling för journalistiska ändamål ska tolkas brett och omfattar bland annat att sprida information, åsikter eller idéer till allmänheten. Vilken teknik som används eller om verksamheten bedrivs i vinstsyfte påverkar inte bedömningen. Även behandling av personuppgifter som innebär att material som har samlats in från myndigheter i oförändrad form tillhandahålls kommersiellt kan utgöra behandling för journalistiska ändamål.

text: Högsta domstolen (HD) har i två beslut den 25 februari 2025 uttalat att det inte kan anses förenligt med unionsrätten att ha en ordning som innebär att brottmålsdomar i stor omfattning lämnas ut med följd att en betydande mängd personuppgifter rörande lagöverträdelser därefter kan behandlas i en databas och göras tillgängliga för andra. Det generella undantaget i

text: 1 kap. 7 § dataskyddslagen

text: , vilket bland annat föreskriver att artikel 10 i dataskyddsförordningen inte ska tillämpas vid behandling som sker för journalistiska ändamål, eller om det annars skulle strida mot grundlagarna, är, om det tolkas på det sätt som lagstiftaren får sägas ha avsett, därför inte förenligt med unionsrätten.

text: IMY:s behörighet att inleda tillsyn mot Legal Newsdesk Sweden AB

text: IMY har tidigare bedömt att regleringen i

text: och regleringen i 1 kap. 11 och 14 §§ YGL inneburit att IMY varit förhindrad att utöva tillsyn mot söktjänster med utgivningsbevis.

text: Genom ett rättsligt ställningstagande den 14 maj 2024 har IMY omprövat nämnda bedömning om behörighet att utöva tillsyn för verksamheter som har utgivningsbevis, eftersom det har skett en utveckling av europeisk och svensk rättspraxis. IMY

text: bedömer i sitt ställningstagande att myndigheten har behörighet att inleda tillsyn med anledning av klagomål mot söktjänster med utgivningsbevis. I ställningstagandet definieras söktjänster som sådana tjänster som, gratis eller mot betalning, gör en stor mängd personuppgifter tillgängliga utan någon egentlig urskiljning och med möjlighet till sökning på person. Det kan exempelvis vara fråga om uppgifter om fällande domar i brottmål och andra uppgifter om lagöverträdelser.

text: Mot bakgrund av HD:s ovan nämnda beslut anser IMY, oaktat att Legal Newsdesk Sweden AB har utgivningsbevis för webbplatsen www.lexbase.se, att IMY har behörighet att inleda en egeninitierad tillsyn mot bolaget.

text: Webbplatsen

text: IMY har tagit del av den information som finns att tillgå på webbplatsen www.lexbase.se. Där anges bland annat att Lexbase är en webbtjänst som tillgängliggör rättslig information från samtliga svenska domstolar och andra myndigheter. Det framgår att det finns sökfält där man kan skriva in för- och efternamn samt personnummer. På webbplatsen anges även ”Sök efter brottmålsdomar och domstolsbeslut enkelt online! Lexbase är en databas med en miljon brottmålsdomar, beslut och strafföreläggande gällande privatpersoner och företag.”

text: IMY har mottagit en omfattande mängd klagomål mot webbplatsen efter myndighetens rättsliga ställningstagande.

text: Vad granskningen avser

text: IMY avser att utreda om Legal Newsdesk Sweden AB behandlar personuppgifter som rör fällande domar i brottmål samt lagöverträdelser som innefattar brott i sin söktjänst på webbplatsen www.lexbase.se i strid med artikel 10 i dataskyddsförordningen.

text: Våra frågor

text: 1. Vilket är ert organisationsnummer?

text: 2. Är ni personuppgiftsansvarig för den beskrivna söktjänsten på webbplatsen www.lexbase.se? Om nej, uppge vem som är det och varför ni anser det. Om ja, svara på nedanstående frågor.

text: Era svar

text: Ange IMY-2025-6466 när ni svarar. Era svar kan skickas via e-post till . Använd inte e-post om svaret innehåller känsliga personuppgifter eller uppgifter som omfattas av sekretess. Det går också att skicka era svar till: Integritetsskyddsmyndigheten, , . Ange om ni anser att några av uppgifterna i ert svar omfattas av sekretess, och i så fall vilka och vilken sekretessgrund.

text: Måste ni svara IMY?

text: Vad händer sen?

text: Om ni har frågor om ärendet kontakta IMY: , 08-657 61 00.

type: avgorande


text: Sportadmin i Skandinavien AB

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av 08-657 61 00 direktiv

text: (allmän dataskyddsförordning).

text: IMY:s förklaring: En SQL-injektion är en metod för dataintrång som utnyttjar en sårbarhet i SQL. SQL är ett programmeringsspråk som används för att ställa frågor till relationsdatabaser och för att ändra och uppdatera databaser. 3 IMY:s förklaring: Variabler används i program för att kortsiktigt lagra den data som behandlas. Dessa kan exempelvis innehålla uppgifter om användaren som namn och e-postadress, men även andra uppgifter som påverkar funktionaliteten i tjänsten.

text: IMY:s förklaring: En SQL-användare är ett konto som kan användas för att ansluta till en SQL-server, som är en server som har den mjukvara som krävs för att hantera databasen. 5 IMY:s förklaring: En Windows-användare är ett konto som kan användas i operativsystemet Microsoft Windows (exempelvis Windows Server 2025 eller Windows 11) för att logga in i datorn och/eller köra specifika program. 6 IMY:s förklaring: Tjänster (mindre program) kan köras i bakgrunden på en server för att utföra specifika uppgifter. SQL-tjänst är ett exempel på en databasrelaterad tjänst som kommunicerar med databasen.

text: IMY:s förklaring: WAF är en typ av brandvägg som används för att skydda webbapplikationer mot attacker och intrång genom att stoppa skadliga förfrågningar innan dessa når servern.

text: Se Europeiska dataskyddsstyrelens (EDPB:s) riktlinjer Guidelines 07/2020 on the concepts of controller and processor in the GDPR, p. 85.

text: Se EDPB:s

text: riktlinjer 07/2020

text: , p. 80. 10 Se EU-domstolens dom den 14 december 2023, Natsionalna agentsia za prihodite,

text: , EU:C:2023:986, p. 29 och 30.

text: Se EU-domstolens dom den 1 augusti 2022,

text: , Vyriausioji tarnybinės etikos komisija, EU:C:2019:773, p. 126. 12 Se artikel 87 i dataskyddsförordningen och

text: 3 kap. 10 § lagen (2018:218)

text: med kompletterande bestämmelser till EU:s dataskyddsförordning som ger ett särskilt skydd för sådana personuppgifter.

text: Se EDPB:s riktlinjer Guidelines 04/2022 on the calculation of administrative fines under the GDPR. 14 Se skäl 150 till dataskyddsförordningen. 15 Se EU-domstolens dom den 5 december 2023, Deutsche Wohnen,

text: , EU:C:2023:950, p. 57. 16 Se EU-domstolens dom den 13 februari 2025, ILVA,

text: , EU:C:2025:84, p. 36. 17 Se EU-domstolens dom den 27 april 2017, Akzo Nobel,

text: P, EU:C:2017:314, p. 48. 18 Se EU-domstolens dom den 6 oktober 2021, Sumal SL mot Mercedes Benz Trucks España SL,

text: , EU:C:2021:800, p. 41. 19 Se bland annat EU-domstolens domar den 20 januari 2011, General Química m.fl. mot kommissionen,

text: P, EU:C:2011:21, p. 37 och den 6 oktober 2021, Sumal SL mot Mercedes Benz Trucks España SL,

text: , EU:C:2021:800, p. 43 samt EDPB:s

text: riktlinjer 04/2022

text: , p. 122.

text: Se EU-domstolens dom den 1 juli 2010, Knauf Gips KG mot kommissionen,

text: P, EU:C:2010:389, p. 66, 72 och 85–86. 21 Se EU-domstolens dom den 10 september 2009, Akzo Nobel m.fl. mot kommissionen,

text: P, EU:C:2009:536, p. 72 och 73 som hänvisar till p. 87–94 i generaladvokatens förslag till avgörande den 23 april 2009 i samma mål. 22 Se EU-domstolens domar den 10 september 2009, Akzo Nobel m.fl. mot kommissionen,

text: P, EU:C:2009:536, p. 59–61 och den 14 juli 1972, ICI mot Commission,

text: , EU:C:1972:70, p. 136. 23 Se EU-domstolens domar den 4 maj 2023, Nacionalinis visuomenes sveikatos centras,

text: , EU:C:2023:949, p. 81 och den 5 december 2023, Deutsche Wohnen,

text: , EU:C:2023:950, p. 76.

text: Om företaget omfattas av en skyldighet att upprätta koncernredovisningar, vilket Lime gör, är det koncernredovisningen för koncernens moderbolag som är relevant för att återspegla företagets sammanlagda omsättning, se EDPB:s

text: riktlinjer 04/2022

text: , p. 130 och EU-domstolens dom den 30 maj 2013, Groupe Gascogne SA mot kommissionen,

text: P, EU:C:2013:770, p. 54–56. 25 Se EDPB:s

text: riktlinjer 04/2022

text: , p. 60. 26 Se EDPB:s

text: riktlinjer 04/2022

text: , p. 58.

text: Se EDPB:s

text: riktlinjer 04/2022

text: , p. 53. 28 Se EU-domstolens domar den 14 december 2023, Natsionalna agentsia za prihodite,

text: , EU:C:2023:986, p. 82 och den 4 oktober 2024, Agentsia po vpisvaniyata,

text: , EU:C:2024:827, p. 145. 29 Se EDPB:s

text: riktlinjer 04/2022

text: , p. 56. Som framgår av den hänvisade punkten i riktlinjerna, och Kammarrätten i Stockholms dom den 16 december 2022 i mål 7837-21, saknas det däremot stöd för att bedöma allvarligheten i en överträdelse minskar till följd av att den inte skett uppsåtligen på det sätt som Sportadmin argumenterat för. 30 Se EDPB:s

text: riktlinjer 04/2022

text: , p. 74.

text: Se EDPB:s

text: riktlinjer 04/2022

text: , p. 95–98. 32 Av EDPB:s

text: riktlinjer 04/2022

text: , p. 63–69, framgår hur ett företags årsomsättning kan påverka en beräkning av sanktionsavgiftens storlek som utgår från det statiska beloppet om 10 000 000 euro.

titel: Beslut

nyckelord:
Dataskydd
Informationssäkerhet
Dina rättigheter
Förening

amne: Tekniska och organisatoriska säkerhetsåtgärder

korrigerandeAtgard: Sanktionsavgift på 6 miljoner kronor

lagakraft: Ja

lagrum: Artikel 32 i dataskyddsförordningen, GDPR

nyckelord: Tekniska och organisatoriska säkerhetsåtgärder

overklagan: Nej

rubrik: Bristande skydd av personuppgifter i digitala tjänster för barn

sammanfattning: IMY har granskat om Sportadmin i Skandinavien AB har vidtagit lämpliga tekniska och organisatoriska åtgärder för att undvika ett dataintrång mot bolagets tjänster som skedde i januari 2025. Incidenten påverkade över två miljoner personer och ledde till att uppgifter som framförallt avsåg barn och unga publicerades på Darknet. Bland uppgifterna förekom känsliga och andra skyddsvärda personuppgifter. Granskningen visar att Sportadmin inte har vidtagit lämpliga säkerhetsåtgärder för att skydda personuppgifterna i tjänsterna. Sportadmin har en lång tid innan intrånget känt till vissa svagheter i sina system och att det funnits områden med förhöjda risker för angrepp. Sportadmin har haft ett bristfälligt skydd mot den typ av dataintrång som de utsattes för. Vidare har bolaget saknat de rutiner som krävts för att upptäcka brister i befintliga säkerhetsåtgärder. Bolaget har också saknat ett system för att i realtid upptäcka intrång och intrångsförsök. De konstaterade bristerna bedöms vara av hög allvarlighetsgrad. Läs tillsynsbeslutet

sanktionsavgift: 6 miljoner kronor

slug: sportadmin-i-skandinavien-ab

title: SportAdmin i Skandinavien AB

sammanfattning: Integritetsskyddsmyndigheten konstaterar att Sportadmin i Skandinavien AB har behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen (GDPR) genom att inte vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en lämplig säkerhetsnivå för personuppgifterna i sina tjänster innan och vid tidpunkten för den personuppgiftsincident som konstaterades den 16 januari 2025. Integritetsskyddsmyndigheten beslutar att Sportadmin i Skandinavien AB ska betala en administrativ sanktionsavgift på 6 000 000 kronor för överträdelsen.

text: IMY-2025-7801 Beslut efter tillsyn enligt

text: dataskyddsförordningen – Sportadmin i Skandinavien AB

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten konstaterar att Sportadmin i Skandinavien AB, 556773- 0832, har behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen genom att inte vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en lämplig säkerhetsnivå för personuppgifterna i sina tjänster innan och vid tidpunkten för den personuppgiftsincident som konstaterades den 16 januari 2025.

text: Integritetsskyddsmyndigheten beslutar med stöd av artiklarna 58.2 och 83 i dataskyddsförordningen att Sportadmin i Skandinavien AB ska betala en administrativ sanktionsavgift på 6 000 000 kronor för överträdelsen av artikel 32.1 i dataskyddsförordningen.

text: Redogörelse för tillsynsärendet

text: Bakgrund

text: Integritetsskyddsmyndigheten (IMY) har inlett tillsyn mot Sportadmin i Skandinavien AB (Sportadmin) med anledning av en personuppgiftsincident som inträffade den 16 januari 2025 och anmäldes av Sportadmin till IMY den 17 januari 2025.

text: Sportadmin tillhandahåller digitala kommunikationstjänster (tjänsterna) i form av bland annat ett webbaserat administrationsverktyg för medlemshantering, fakturering och hemsidor för idrottsföreningar och andra organisationer (föreningarna) samt en mobilapplikation som används av föreningarnas ledare, medlemmar och medlemmars målsmän.

text: Av Sportadmins anmälan om personuppgiftsincident framgår bland annat att tjänsterna, i vilka personuppgifter som Sportadmin är såväl personuppgiftsansvarig som personuppgiftsbiträde för behandlas, har utsatts för ett dataintrång av en extern angripare (hotaktören). Vidare anges att det vid tidpunkten för anmälan fanns tecken

text: på att data hade förts över till hotaktören och att det inte gick att utesluta att hotaktören därigenom fått tillgång till personuppgifter.

text: IMY:s prövning i ärendet gäller frågan om Sportadmin innan och vid tidpunkten för personuppgiftsincidenten hade vidtagit lämpliga tekniska och organisatoriska säkerhetsåtgärder enligt artikel 32.1 i dataskyddsförordningen för att skydda personuppgifterna som behandlas i tjänsterna.

text: Vad Sportadmin har uppgett

text: Sportadmin anser att bolaget inte har brutit mot dataskyddsförordningen och att vidtagna säkerhetsåtgärder varit tillräckliga i förhållande till personuppgifterna som behandlats i tjänsterna och har därutöver i huvudsak framfört följande.

text: Sammanfattning av intrånget

text: Den 16 januari 2025 upptäckte Sportadmin att det skett ett intrång i tjänsterna och påbörjade en utredning med stöd av en extern säkerhetspartner. Av de systemloggar som granskades under utredningen framgår bland annat följande.

text: Intrånget den 16 januari skedde genom att en hotaktör utförde en så kallad SQL- 2 3 injektion via en specifik variabel , som införts på en av Sportadmins webbsidor, som saknade skydd mot den typen av attacker. Utredningen indikerar att det även förekommit upprepade försök till SQL-injektioner sedan morgonen den 14 januari 2025. På grund av för höga tillåtna rättigheter i de delar av tjänsten där intrånget skedde kunde hotaktören bereda sig tillgång till Sportadmins server. Loggarna visade på avvikande utgående trafik från produktionsmiljön under tidig morgon den 16 januari 2025, vilket Sportadmin vid tidpunkten för intrånget bedömde som ett troligt tecken på dataöverföring ur miljön. Inledningsvis kunde bolaget inte bekräfta att sådan överföring skett. Den 14 mars 2025 publicerades dock all uthämtad och stulen data, som innehöll personuppgifter, på Darknet.

text: Den sannolika orsaken till intrånget och dess omfattning

text: Av Sportadmins utredning framgår att intrånget sannolikt möjliggjordes genom att en hotaktör kunde ta sig in i systemen genom en SQL-injektion.

text: I samband med en förändring av inloggningsförfarandet för föreningshemsidor den 28 juni 2022 genomfördes en förändring av kod varvid en särskild variabel infördes på en av Sportadmins webbsidor. När variabeln lades till förbisåg Sportadmin att tillämpa sin befintliga säkerhetsmetod för skydd mot SQL-injektioner. Eftersom förändringen inte introducerade en ny variabel i systemen, utan avsåg återanvändning av en variabel som Sportadmin ansåg som säker och som i regel inte brukar kräva applicering av ytterligare säkerhetsmetoder, upptäcktes inte bristen. Den oskyddade variabeln användes därefter direkt vid kommunikation med databasen vilket medförde en förhöjd risk för dataintrång med hjälp av SQL-injektioner. Det var vid denna variabel som den aktuella SQL-injektionen utfördes och som sannolikt orsakade incidenten.

text: Två faktorer som bidrog till incidentens omfattning rörde behörigheter och rättigheter 4 5 för SQL-användaren och Windows-användaren . SQL-användaren hade högre rättigheter än nödvändigt på grund av vissa kompatibilitetskrav med Sportadmins äldre system. Vidare hade den Windows-användare som körde SQL-servertjänsten vid tillfället högre rättigheter än vad som tidigare var känt. SQL-servern tillät även körning av externa programfiler, exempelvis Powershell-script.

text: Rutiner för kodgranskning och övervakningssystem

text: Den förändring av kod som genomfördes i juni 2022 klassificerades som en högriskändring och granskningar genomfördes därför av ytterligare personer. Avsaknaden av skydd mot SQL-injektioner fångades trots det inte upp på grund av att bolaget hade brister i sina granskningsrutiner för mer komplexa kodändringar. Bolaget har identifierat följande brister.

text: • Riskklassificeringen var för ensidig eftersom den huvudsakligen utgick från påverkan på inloggningsförfarandet och risk för otillbörlig åtkomst till användardata. Det innebar att andra typer av angrepp, såsom SQLinjektioner, inte beaktades i tillräcklig omfattning. • Kombinationen av en tekniskt komplex miljö där äldre (legacy) kod blandades med nyare implementeringar, bidrog till att den aktuella sårbarheten inte identifierades under granskningen. • Det saknades ytterligare granskningsrutiner vid förändring av kod som innebar en hög risk i kombination med särskilt beroende till äldre kod. De hade till exempel kunnat omfatta obligatorisk granskning av fler personer. Vidare hade automatiska säkerhetsgranskningar av koden kunnat identifiera sårbarheter. • Kodgranskningen var subjektiv och otydlig. Eftersom kodgranskning vid tidpunkten inte var ett obligatoriskt steg vid förändring av kod och riskbedömningskriterierna var subjektiva, baserades beslutet om att genomföra granskning på en individuell bedömning i det enskilda fallet.

text: Sportadmins system för övervakning larmade inte om misstänkta aktiviteter i samband med intrånget den 14 januari 2025 och framåt. Det program som användes bevakar och analyserar ständigt hårdvara, programvara (mjukvara) och användande för att identifiera eventuell onormal aktivitet i form av prestanda eller belastning, men utgör inte ett verktyg för att i realtid bevaka och upptäcka intrångsförsök. Loggar från systemet granskades manuellt av bolaget på daglig basis. Genom analyser av loggar eller vid oväntade förändringar i systemets prestanda kunde misstänkt aktivitet identifieras.

text: Övervakningssystemet varnade dock för onormal aktivitet när en av Sportadmins servrar slutade svara den 16 januari 2025. Det ledde till en manuell granskning och detektion av det pågående intrånget. I den efterföljande utredningen möjliggjorde systemet vidare tillgång till loggar. Loggarna användes bland annat för att förstå vilka sannolika tillvägagångssätt hotaktören använde för att få tillgång till systemet och för att i efterhand konstatera att intrångsförsöken pågått sedan den 14 januari 2025.

text: Riskbedömningar och vidtagna säkerhetsåtgärder

text: Sportadmin har ett strukturerat säkerhets- och dataskyddsarbete där riskbedömningar diskuteras och uppdateras löpande. Utöver det genomfördes större årliga genomlysningar under 2021 och 2022 samt vid årsskiftet 2023/2024. Vid genomlysningarna identifierade Sportadmin konsekvent förhöjda risker för dataintrång i form av bland annat SQL-injektioner på grund av att delar av systemet varit skriven i äldre kod. Sportadmin utförde därför ett kontinuerligt arbete för att minska riskerna genom att bland annat addera och uppdatera skyddet för SQL-injektioner samtidigt som bolaget successivt övergick till modern teknik.

text: De publikt exponerade delarna av Sportadmins system, såsom föreningshemsidor, bedömdes som områden med en förhöjd risknivå för potentiellt dataläckage eller förstörelse av data som konsekvens. Det genomfördes därför riktade insatser för att identifiera och åtgärda sårbarheter relaterade till SQL-injektioner i de delar av systemen som ännu inte migrerats till modern teknik. I början av 2023 infördes en förstärkt säkerhetsmetod mot SQL-injektioner. När den nya säkerhetsmetoden implementerades saknades dock kännedom om att en variabel stod utan skydd. Säkerhetsmetoden applicerades därför inte på denna variabel.

text: I maj och juni 2024 undersöktes möjligheten att införa ytterligare skydd för tjänsterna genom att implementera en så kallad Web Application Firewall (WAF) . Vid testerna uppstod problem som gjorde att lösningen inte ansågs genomförbar vid tillfället på grund av att den krävde en hög grad av manuell hantering och skulle aktualisera höga genomförandekostnader. Testningen pausades därför temporärt med avsikten att framöver identifiera en mer hållbar lösning givet den dåvarande tekniska miljön. Vid tidpunkten för incidenten hade även ett arbete för att övergå till en SQL-användare med begränsade behörigheter påbörjats, men inte slutförts.

text: Personuppgifterna i tjänsterna

text: Personuppgiftsincidenten omfattade 2 126 075 fysiska personer, som var identifierbara via personnummer. Eftersom föreningarnas verksamheter primärt är inriktade på aktiviteter för barn och ungdomar är denna grupp mest förekommande i föreningarnas register. Tjänsterna innehåller flera kategorier av personuppgifter i form av bland annat fullständiga namn och kontaktuppgifter, kön, personnummer, relation mellan målsman och medlem, nationalitet samt den idrott och förening som en registrerad varit kopplad till. Bland de personuppgifter som behandlas i tjänsterna förekommer även känsliga personuppgifter om funktionsnedsättningar och allergier. Det har även framkommit att det i viss omfattning förekommit skyddade personuppgifter i tjänsterna, även om utgångspunkten var att sådana uppgifter inte skulle behandlas i tjänsterna.

text: Åtgärder som vidtagits med anledning av incidenten

text: Det skedde en fullständig nedstängning av samtliga tjänster cirka en timme efter att incidenten upptäcktes. Sportadmin hanterade händelsen som en allvarlig säkerhetsincident utifrån tre parallella fokusområden i form av minimering av skador för kunder och användare, återställning till normal drift och kommunikation gentemot föreningarna och användarna. Sportadmin genomförde även omfattande åtgärder i syfte att minimera risken för att en liknande incident ska inträffa. Bolaget vidtog bland annat flera tekniska åtgärder på kort tid i form av bland annat omfattande genomgångar av befintlig funktionalitet och aktivering av en ny produktionsmiljö i syfte att förhindra hotaktörens fortsatta, eller ytterligare, åtkomst till personuppgifterna. I den

text: nya produktionsmiljön som togs i drift den 18 januari 2024 infördes flera förstärkta skydd mot SQL-injektioner, exempelvis aktiverades WAF.

text: Sportadmin informerade och uppmanade samtliga föreningar att anmäla händelsen till IMY som egna personuppgiftsincidenter, med hänvisning till informationen i Sportadmins incidentanmälan. Sportadmin arbetade, i samråd med IMY, för att göra det så enkelt som möjligt för alla parter att lämna in korrekta och fullständiga anmälningar till IMY. Bolaget hade över 2000 uppsökande samtal med föreningarna, som utfördes av ett stort antal anställda under en mycket kort tid, för att informera om diskussionerna med IMY och för att stötta i arbetet med att anslutas till Sportadmins anmälan. Det resulterade i att de allra flesta föreningar, närmare 1700, inkom med anmälningar inom 72 timmar från incidenten. Sportadmin informerade föreningarna löpande om ärendets status och stöttade i deras kontakt med användarna.

text: Sportadmin inhämtade vidare samtycke från föreningarna att agera i deras ställe för att skicka ut information till samtliga registrerade kring incidenten. På grund av informationen kunde de registrerade tillvarata sina rättigheter enligt dataskyddsförordningen bättre, än om föreningarna tillhandahållit informationen, eftersom det gjorde det enkelt att överblicka vilka personuppgifter som behandlats och av vilka föreningar. Bolaget har uppgett att agerandet ledde till att de registrerade fick tillgång till information inom kort tid och innan hotaktören släppte uppgifterna. Det medförde bland annat att de registrerade omgående kunde vidta försiktighetsåtgärder avseende sina personuppgifter.

text: Motivering av beslutet

text: Tillämpliga bestämmelser m.m.

text: Personuppgiftsansvar

text: Med personuppgiftsansvarig avses enligt artikel 4.7 i dataskyddsförordningen en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt.

text: Med personuppgiftsbiträde avses enligt artikel 4.8 i dataskyddsförordningen en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som behandlar personuppgifter för den personuppgiftsansvariges räkning.

text: En leverantör som tillhandahåller standardiserade tjänster kan agera som personuppgiftsbiträde medan dess användare agerar personuppgiftsansvariga i den mån de sistnämnda bestämt ändamålet för behandlingen och i vart fall utövar ett väsentligt inflytande över metoderna för behandlingen. Det ska dock noteras att en sådan tjänsteleverantör kan fungera som personuppgiftsansvarig för viss behandlingsaktivitet och personuppgiftsbiträde för annan aktivitet. För att avgöra hur personuppgiftsansvaret fördelar sig krävs att det för respektive aktivitet görs en analys

text: av vilken grad av inflytande respektive aktör har haft för att det ska gå att avgöra vem som bestämt ändamål och medel för den aktuella behandlingen.

text: Kravet på att vidta lämpliga skyddsåtgärder

text: Enligt artikel 32.1 i dataskyddsförordningen ska både personuppgiftsansvariga och personuppgiftsbiträden vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken med behandlingen. Vid bedömningen av vilka tekniska och organisatoriska åtgärder som är lämpliga ska den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna för fysiska personers rättigheter och friheter beaktas.

text: Enligt artikel 32.1 i förordningen omfattar lämpliga säkerhetsåtgärder, när det är lämpligt,

text: a) pseudonymisering och kryptering av personuppgifter, b) förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystemen och tjänsterna, c) förmågan att återställa tillgängligheten och tillgången till personuppgifter i rimlig tid vid en fysisk eller teknisk incident, d) ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet.

text: Enligt artikel 32.2 i dataskyddsförordningen ska vid bedömningen av lämplig säkerhetsnivå särskild hänsyn tas till de risker som behandlingen medför, i synnerhet för oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats.

text: EU-domstolen har uttalat att hänvisningen i artikel 32 till en ”säkerhetsnivå som är lämplig i förhållande till risken” respektive ”lämplig säkerhetsnivå” visar att det genom förordningen inrättats ett riskhanteringssystem och att ambitionen med förordningen inte på något sätt är att eliminera riskerna för personuppgiftsincidenter. Bestämmelsens ordalydelse innebär endast en skyldighet för den personuppgiftsansvariga att vidta tekniska och organisatoriska åtgärder för att i möjligaste mån undvika personuppgiftsincidenter. Bedömningen av om sådana åtgärder är lämpliga ska ske utifrån de konkreta omständigheterna i det enskilda fallet.

text: I skäl 75 till dataskyddsförordningen anges att vid bedömningen av risken för fysiska personers rättigheter och friheter ska olika faktorer beaktas. Bland annat nämns personuppgifter som omfattas av tystnadsplikt, uppgifter om hälsa eller sexualliv, om det sker behandling av personuppgifter rörande sårbara fysiska personer, framförallt barn, eller om behandlingen inbegriper ett stort antal personuppgifter och gäller ett stort antal registrerade. I skäl 76 till dataskyddsförordningen anges att hur sannolik och allvarlig risken för den registrerades rättigheter och friheter är, bör fastställas utifrån behandlingens art, omfattning, sammanhang och ändamål. Risken bör utvärderas på grundval av en objektiv bedömning, genom vilken det fastställs om behandlingen inbegriper en risk eller en hög risk.

text: Känsliga personuppgifter och personuppgifter som förtjänar särskilt skydd

text: Uppgifter om hälsa tillhör de särskilda kategorier av personuppgifter, så kallade känsliga personuppgifter, som ges ett särskilt starkt skydd enligt dataskyddsförordningen. Det är som huvudregel förbjudet att behandla sådana personuppgifter enligt artikel 9.1 i dataskyddsförordningen, om inte behandlingen omfattas av något av undantagen i artikel 9.2 i förordningen.

text: Uppgifter om hälsa definieras i artikel 4.15 i dataskyddsförordningen som personuppgifter som rör en fysisk persons fysiska eller psykiska hälsa vilka ger information om dennes hälsostatus. I skäl 35 till dataskyddsförordningen anges att personuppgifter om hälsa bör innefatta alla de uppgifter som hänför sig till en registrerad persons hälsotillstånd som ger information om den registrerades tidigare, nuvarande eller framtida fysiska eller psykiska hälsotillstånd.

text: I skäl 38 till dataskyddsförordningen anges att barns personuppgifter förtjänar särskilt skydd, eftersom barn kan vara mindre medvetna om berörda risker, följder och skyddsåtgärder samt om sina rättigheter när det gäller behandling av personuppgifter. Sådant särskilt skydd bör i synnerhet gälla vid insamling av personuppgifter med avseende på barn när tjänster som erbjuds direkt till barn utnyttjas.

text: IMY:s bedömning

text: Personuppgiftsansvar

text: Av utredningen i ärendet framgår att Sportadmin i huvudsak agerar som personuppgiftsbiträde för personuppgifterna som behandlas i tjänsterna, och i begränsad omfattning som personansvarig. Eftersom skyldigheten att vidta lämpliga åtgärder enligt artikel 32 i dataskyddsförordningen gäller för både personuppgiftsansvariga och personuppgiftsbiträden, kommer IMY inte att närmare bedöma vilken roll som bolaget har haft i förhållande till respektive behandlingsaktivitet.

text: Behandlingen har krävt en hög säkerhetsnivå

text: Sportadmin har enligt artikel 32 i dataskddsförordningen haft en skyldighet att vidta lämpliga säkerhetsåtgärder för att skydda personuppgifterna som behandlas i tjänsterna. Av utredningen framgår att det är bolaget som utformar och tillhandahåller de aktuella tjänsterna och som därmed har haft den faktiska möjligheten att implementera sådana åtgärder. Vid bedömningen av vilka åtgärder som varit lämpliga i det aktuella fallet beaktar IMY följande.

text: Behandlingen av personuppgifter i tjänsterna har varit omfattande. Enligt Sportadmin har 2 126 075 fysiska personer, som varit identifierbara via personnummer, omfattats av personuppgiftsincidenten. Tjänsterna, som använts av ett stort antal idrottsföreningar i hela Sverige, har vidare innehållit ett stort antal personuppgifter om varje registrerad såsom fullständiga namn och kontaktuppgifter, kön, personnummer, relation mellan medlem och målsman, nationalitet samt den idrott och klubb som en registrerad varit kopplad till. IMY bedömer att det genom tillgång till informationen varit möjligt att direkt utläsa ett stort antal uppgifter om varje registrerad, vilket gjort behandlingen särskilt integritetskänslig.

text: Vidare anser IMY att karaktären på de personuppgifter som behandlats i tjänsterna har varit sådan att behandlingen inneburit höga risker för de registrerades rättigheter och friheter. De aktuella personuppgifterna har huvudsakligen gällt barn som är särskilt skyddsvärda enligt dataskyddsförordningen.Vidare har tjänsterna innehållit känsliga

text: personuppgifter om hälsa i form av allergier och funktionsnedsättningar. Behandling av sådana uppgifter kan utgöra ett synnerligen allvarligt ingrepp i de grundläggande rättigheterna avseende respekt för privatlivet och skydd för personuppgifter. Utredningen visar även att tjänsterna har innehållit skyddsvärda uppgifter i form av personnummer samt skyddade personuppgifter.

text: Sammantaget har omfattningen av behandlingen sett till både antalet berörda registrerade, som huvudsakligen varit barn, och den omfattande mängden uppgifter om varje registrerad samt uppgifternas karaktär medfört en hög risk för fysiska personers rättigheter och friheter. Obehörigt röjande av eller obehörig åtkomst till personuppgifterna har kunnat leda till allvarliga konsekvenser för de berörda personerna. Det har ställt krav på en hög säkerhetsnivå för behandlingen i form av tillräckliga säkerhetsåtgärder för att säkerställa motståndskraft i tjänsterna och effektiviteten i de tekniska och organisatoriska åtgärder som vidtagits för att upprätthålla behandlingens säkerhet.

text: Sportadmin har inte vidtagit tillräckliga säkerhetsåtgärder

text: IMY ska därefter bedöma om Sportadmin har vidtagit de tekniska och organisatoriska åtgärder som, i förhållande till de höga risker som förelegat, varit lämpliga för att skydda personuppgifterna i tjänsterna.

text: Bristande åtgärder i syfte att förhindra och begränsa omfattningen av intrånget

text: Av utredningen i ärendet framgår att Sportadmin i samband med en förändring av inloggningsförfarandet för föreningshemsidor den 28 juni 2022 på en viss webbsida infört en variabel som saknat det skydd som bolaget vid tidpunkten tillämpade mot SQL-attacker. IMY konstaterar att Sportadmins tjänster därigenom lämnats exponerade för förhöjda risker för intrång i form av SQL-injektioner. Även om Sportadmin i början av 2023 infört en förstärkt säkerhetsmetod mot SQL-injektioner förblev tjänsterna sårbara på grund av att Sportadmin inte uppmärksammat den aktuella bristen i form av den oskyddade variabeln vid implementeringen av metoden. Sportadmin har uppgett att intrånget sannolikt utförts genom denna variabel. IMY saknar anledning att ifrågasätta denna uppgift.

text: IMY bedömer, även med beaktande av att det inte med full säkerhet kan konstateras vad som orsakat intrånget, att Sportadmin inte har haft ett tillräckligt skydd för att förhindra den typ av dataintrång som bolaget utsatts för. Sportadmin har sedan år 2021 återkommande identifierat att det funnits förhöjda risker för intrång i tjänsterna genom SQL-injektioner. I ärendet har det framkommit att en variabel trots det haft ett bristfälligt skydd mot sådana angrepp. Av utredningen framgår även att Sportadmin har avstått från att införa ytterligare skyddslager, exempelvis i form av WAF, som hade kunnat möjliggöra upptäckt och förhindrande av intrånget trots det bristfälliga skyddet för variabeln. Det har inte heller framkommit att bolaget i stället implementerat några andra tekniska åtgärder som skulle kunnat förhindra eller försvåra möjligheten att utföra SQL-injektioner. Sådana åtgärder har i stället genomförts först efter att personuppgiftsincidenten inträffat. Mot bakgrund av de höga risker för SQL-injektioner som identifierats och de allvarliga konsekvenser som ett sådant intrång riskerat

text: medföra för de registrerade bedömer IMY att ytterligare åtgärder för att skydda tjänsterna mot sådana intrång lämpligen borde ha genomförts i ett tidigare skede.

text: Förutom avsaknaden av skydd mot SQL-injektioner framgår det av utredningen att Sportadmin, trots bolagets vetskap om de förhöjda riskerna i samband med SQLinjektioner via de publikt exponerade delarna av tjänsterna, har haft för höga rättigheter i tjänsternas bakomliggande system. Detta har möjliggjort för hotaktören att komma åt mer information vid intrånget än om så inte varit fallet. IMY konstaterar att en restriktiv uppsättning av behörigheter och uppföljning av dessa är en grundläggande säkerhetsåtgärd som begränsar möjligheten för obehöriga att bereda sig tillgång till personuppgifter och att sådana åtgärder hade kunnat begränsa omfattningen av det aktuella intrånget.

text: Mot denna bakgrund bedömer IMY sammantaget att Sportadmin inte i tillräcklig utsträckning har vidtagit lämpliga tekniska och organisatoriska åtgärder i förhållande till de risker som förelegat för dataintrång. Personuppgifterna har därmed inte getts ett tillräckligt skydd mot risken för obehörigt röjande och obehörig åtkomst.

text: Bristande åtgärder för att upptäcka de bristfälliga säkerhetsåtgärderna

text: IMY konstaterar att Sportadmin inte har upptäckt de konstaterade bristerna i skyddet mot SQL-injektioner i samband med kodgranskning som gjordes vid förändringen i juni 2022, och inte heller vid någon av de genomlysningar som skett därefter. Avsaknaden av ett sådant skydd har inte heller upptäckts i samband med att Sportadmin infört en uppdaterad säkerhetsmetod mot SQL-injektioner år 2023.

text: IMY anser att det har ankommit på Sportadmin att vidta lämpliga åtgärder för att löpande följa upp och säkerställa att vidtagna säkerhetsåtgärder varit tillräckligt effektiva. Den identifierade bristen i skyddet mot SQL-injektioner har varit av sådan grundläggande karaktär att Sportadmin borde ha upptäckt och åtgärdat den. Sportadmin har dock inte haft tillräckliga rutiner för kodgranskning för att upptäcka bristen vilket har lett till att den aktuella variabeln implementerats utan tillräckliga säkerhetsåtgärder. Bolaget har inte heller haft förmågan att under den långa period från det att variabeln infördes till att den aktuella personuppgiftsincidenten inträffade identifiera och åtgärda den aktuella bristen i efterhand. Mot bakgrund av de höga riskerna för SQL-injektioner som Sportadmin identifierat och att bolaget trots det inte upptäckt att det under en längre tid funnits grundläggande brister i skyddet mot sådana angrepp, bedömer IMY att bolagets rutiner för kodgranskning inte har varit tillräckliga för att följa upp effektiviteten av de tekniska och organisatoriska åtgärderna i syfte att säkerställa behandlingens säkerhet.

text: Bristande åtgärder för att upptäcka intrång eller intrångsförsök

text: Av Sportadmins redogörelse framgår att det övervakningssystem som bolaget använt har varnat för onormal aktivitet först när bolagets servrar slutat svara den 16 januari 2025, det vill säga två dagar efter att intrångsförsöken påbörjats den 14 januari 2025. Enligt Sportadmin har bolagets övervakningssystem inte utgjort ett verktyg för att i realtid bevaka och upptäcka intrångsförsök. Övervakningssystemet som använts har i stället bevakat och analyserat hårdvara, mjukvara och användande. Sportadmin har uppgett att bolaget har kunnat identifiera misstänkt aktivitet genom manuell analys av loggar från systemet på daglig basis och vid oväntade förändringar i systemets prestanda.

text: IMY konstaterar att de tekniska och organisatoriska säkerhetsåtgärderna som Sportadmin vidtagit för att övervaka säkerhetsrelaterade händelser inte har varit tillräckliga för att upptäcka eller varna för de initiala intrångsförsöken, körningen av skadlig kod från hotaktören eller överföringen av personuppgifter. Mot bakgrund av de höga risker som personuppgiftsbehandlingen inneburit och med hänsyn till att Sportadmin under flera år identifierat förhöjda risker för SQL-injektioner, bedömer IMY att Sportadmin borde ha vidtagit lämpliga åtgärder för att automatiskt i realtid identifiera förestående hot i form av exempelvis intrång eller intrångsförsök som kan leda till obehörig åtkomst. Om sådana åtgärder vidtagits hade Sportadmin haft bättre förutsättningar att förhindra eller i vart fall begränsa skadan för de registrerade.

text: Sammanfattande bedömning

text: Sammantaget bedömer IMY att Sportadmin inte har vidtagit tillräckliga åtgärder för att säkerställa att personuppgifterna som behandlats i bolagets tjänster skyddats mot risken för bland annat obehörigt röjande eller obehörig åtkomst till följd av dataintrång. Vidare har bolaget, trots vetskapen om de förhöjda riskerna för SQL-injektioner, saknat förmågan att identifiera att de åtgärder som vidtagits i syfte att skydda tjänsterna mot sådana intrång varit bristfälliga. Bolaget har inte heller haft förutsättningar för att upptäcka intrånget i tillräckligt god tid för att förhindra eller i vart fall begränsa konsekvenserna av det. Mot denna bakgrund bedömer IMY att Sportadmin har behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen genom att inte ha vidtagit lämpliga tekniska och organisatoriska åtgärder för att säkerställa en lämplig säkerhetsnivå för personuppgifter i tjänsterna innan och vid tidpunkten för den personuppgiftsincident som konstaterades den 16 januari 2025.

text: Val av ingripande

text: Vad Sportadmin har uppgett

text: Sportadmin har i huvudsak uppgett följande gällande valet av korrigerande åtgärd.

text: Om IMY bedömer att Sportadmin har behandlat personuppgifter i strid med artikel 32 ska i första hand ingen sanktionsavgift utgå och i andra hand sanktionsavgiften bestämmas till ett lågt belopp.

text: Incidenten har skett på grund av att en extern aktör utnyttjat en tillfällig svaghet i Sportadmins IT-säkerhetssystem och har inte berott på att bolaget haft ett generellt otillräckligt eller undermåligt säkerhetssystem. Sportadmin har vidtagit omfattande tekniska och organisatoriska säkerhetsåtgärder för personuppgifterna i tjänsterna. Om dessa inte bedöms tillräckliga har bolaget varken agerat uppsåtligen eller oaktsamt genom att inte vidta skyddsåtgärder utöver vad som tillämpades vid tidpunkten för incidenten. Omständigheten att en eventuell brist inte har varit uppsåtlig talar för att överträdelsen är av lägre allvarlighetsgrad. Vidare har endast 115 föreningar och 25 medlemmar hört av sig till Sportadmin med ersättningskrav på grund av bristande funktionalitet i tjänsterna samt för att incidenten medfört en oro och osäkerhet för medlemmarna. Att tycka att en situation är obehaglig är dock inte samma sak som att drabbas av en reell skada. Utifrån det totala antalet individer som berörts av incidenten är det fråga om ett mycket lågt antal personer som har, eller anser sig ha, lidit skada.

text: Det föreligger flera förmildrande omständigheter bland annat i form av att bolaget på eget initiativ har anmält händelsen till IMY och har samarbetat med myndigheten och vidtagit åtgärder för att mildra skadan för de registrerade. Bolaget har bland annat

text: vidtagit mer omfattande åtgärder än som krävts för att skydda personuppgifterna i tjänsterna efter incidenten vilket medfört ökade driftkostnader och minskad användarvänlighet vilket har haft en negativ påverkan på bolagets kundnöjdhet. Sportadmin har tagit ett långtgående ansvar för att möjliggöra för föreningarna att göra incidentanmälningar samt uppfylla sin informationsskyldighet gentemot de registrerade. Arbetet har medfört stora kostnader för Sportadmin och haft stor inverkan på arbetsmiljön för de anställda. Incidenten har även i övrigt medfört ekonomiska förluster för bolaget på grund av att annat arbete än det som rört incidenten behövt nedprioriteras. Vidare har incidenten fått stor medial spridning på ett sätt som påverkat bolaget negativt. Sportadmin har inte tidigare gjort sig skyldig till någon överträdelse av dataskyddsförordningen och har vidtagit omfattande åtgärder för att minimera risken för liknande händelser.

text: Med beaktande av det säkerhetsarbete Sportadmin genomfört före och efter incidenten i syfte att begränsa skadan för de registrerade, Sportadmins uppvisade samarbete med IMY, föreningarna och även polisen samt den skada incidenten medfört för bolaget är en sanktionsavgift inte en effektiv eller proportionerlig åtgärd. IMY kan uppnå samma effekt med en mindre ingripande åtgärd i form av en reprimand.

text: Det är Sportadmins omsättning som ska ligga till grund för en beräkning av en eventuell sanktionsavgift. Sportadmins moderbolag äger endast 85 procent av aktierna i Sportadmin och förfogar inte på något sätt över övriga röster i Sportadmin. Det föreligger därmed ingen presumtion för att Sportadmin och moderbolaget utgör en ekonomisk enhet. Moderbolaget utövar inte, och har inte heller möjlighet att utöva, ett avgörande inflytande över Sportadmins beteende. Sportadmin har fortsatt att bedrivas som en fristående affärsenhet efter förvärvet. Sportadmin utgör en egen ekonomisk enhet, har en egen ledningsgrupp och styrelse samt ett separat kontor i förhållande till sitt moderbolag. Sportadmin har även en egen driftsmiljö och utvecklingsorganisation och vid tidpunkten för incidenten hade bolaget ingen assistans avseende drift från moderbolaget. Vidare arbetade ingen från moderbolaget för Sportadmin på regelbunden basis. Vid tidpunkten för överträdelsen hade Sportadmin endast funnits i koncernen under en kort tid. Moderbolaget har inte haft någon operativ kontroll och ansvar för den dagliga styrningen av Sportadmins produktutveckling, tekniska miljö eller drift och inte heller för övriga avdelningar. Sportadmin agerar således självständigt i såväl strategiska som operativa frågor kopplade till tjänsternas utformning och hantering av personuppgifter.

text: Tillämpliga bestämmelser

text: Val av korrigerande åtgärder och beräkning av sanktionsavgiftens storlek

text: Vid överträdelser av dataskyddsförordningen har IMY ett antal korrigerande befogenheter att tillgå enligt artikel 58.2 a–j i dataskyddsförordningen, bland annat reprimand, föreläggande och sanktionsavgift. Av artikel 83.2 framgår att IMY ska påföra administrativa sanktionsavgifter utöver eller i stället för de andra åtgärder som avses i artikel 58.2 beroende på omständigheterna i det enskilda fallet. Enligt artikel 83.1 ska varje tillsynsmyndighet säkerställa att påförandet av administrativa sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande.

text: I artikel 83.2 i dataskyddsförordningen anges de faktorer som ska beaktas för att bestämma om en administrativ sanktionsavgift ska påföras och vad som ska påverka sanktionsavgiftens storlek. Av betydelse för bedömningen av överträdelsens allvar är bland annat dess karaktär, svårighetsgrad och varaktighet. Europeiska

text: dataskyddsstyrelsen (EDPB) har antagit riktlinjer om beräkning av administrativa sanktionsavgifter enligt dataskyddsförordningen som syftar till att skapa en harmoniserad metod och principer för beräkning av sanktionsavgifter.

text: Enligt artikel 83.4 i dataskyddsförordningen ska det vid överträdelser av bland annat artikel 32 påföras administrativa sanktionsavgifter på upp till 10 000 000 euro eller, om det gäller ett företag, på upp till två procent av den totala globala årsomsättningen under föregående budgetår, beroende på vilket värde som är högst.

text: Om det är fråga om en mindre överträdelse får IMY enligt skäl 148 till dataskyddsförordningen i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b i förordningen.

text: Definitionen av begreppet företag

text: Vid bestämmande av maxbeloppet för en sanktionsavgift som ska påföras ett företag ska den definition av begreppet företag användas som EU-domstolen använder vid tillämpning av artiklarna

text: och

text: i Fördraget om Europeiska unionens funktionssätt (EUF-fördraget). Beräkningen av maxbeloppet för en personuppgiftsansvarig som utgör ett sådant företag eller ingår i ett sådant företag ska ske på grundval av en procentandel av det berörda företagets totala globala årsomsättningen under föregående räkenskapsår. Begreppet företag ska även beaktas för att bedöma den faktiska eller materiella ekonomiska kapaciteten hos den personuppgiftsansvarige som påförs sanktionsavgiften och därigenom kontrollera om sanktionsavgiften är effektiv, proportionerlig och avskräckande.

text: Av EU-domstolens praxis framgår att begreppet företag omfattar varje enhet som utövar ekonomisk verksamhet, oavsett enhetens rättsliga form och sättet för dess finansiering samt även om enheten i juridisk mening består av flera fysiska eller juridiska personer. Olika företag inom samma koncern kan således bilda en ekonomisk enhet och därmed utgöra ett företag i den mening som avses i artiklarna

text: och

text: i EUF-fördraget. En sådan ekonomisk enhet består av en enhetlig organisation med personal samt materiella och immateriella tillgångar, vilken på ett varaktigt sätt strävar efter att uppnå ett bestämt ekonomiskt mål, och som kan medverka till en överträdelse enligt

text: artikel 101.1 EUF-fördraget

text: Frågan om moderbolag och dotterbolag ska betraktas som en del av samma ekonomiska enhet beror till stor del på om dotterbolaget, trots att det är en självständig juridisk person, inte självständigt bestämmer sitt beteende på marknaden utan huvudsakligen tillämpar instruktioner som det får från moderbolaget som kan anses utöva ett avgörande inflytande över dotterbolaget. Kriterierna för att fastställa detta bygger på de ekonomiska, rättsliga och organisatoriska kopplingarna mellan moderbolaget och dess dotterbolag, exempelvis storleken på deltagandet, personalen eller organisatoriska kopplingar, instruktioner och förekomsten av företagskontrakt.

text: För att avgöra huruvida det har förelegat en ekonomisk enhet kan även beaktas om samma personer innehar nyckelposter i ledningen för bolagen i en koncern.

text: EU-domstolen har uttalat att omständigheten att ett dotterbolag i huvudsak tillämpar instruktioner från moderbolaget och inte självständigt kan anses bestämma sitt agerande på marknaden endast utgör ett tecken på att en ekonomisk enhet föreligger, men utgör inte den enda omständigheten som gör moderbolaget ansvarigt. Domstolen har även uttalat att det inte är avgörande huruvida moderbolaget har blandat sig i dotterbolagets löpande verksamhet. Ett moderbolag kan ha ett avgörande inflytande på dotterbolaget även om det inte har någon konkret medbestämmanderätt eller tillhandahåller några konkreta instruktioner eller riktlinjer avseende enskilda delar av affärspolitiken. Följaktligen kan en gemensam affärspolitik inom en koncern även framgå indirekt av det sammanlagda ekonomiska och rättsliga sambandet mellan moderbolaget och dess dotterbolag. Till exempel kan moderbolagets inflytande på dess dotterbolag avseende företagets strategi, verksamhetspolitik och -planer, investeringar, kapacitet, finansiering, personalfrågor och rättsliga frågor indirekt påverka dotterbolagets och hela koncernens agerande på marknaden.

text: Av EU-domstolens praxis följer att om ett moderbolag äger 100 procent eller nästan 100 procent av aktierna i ett dotterbolag föreligger en presumtion för att moderbolaget utövar ett avgörande inflytande över dotterbolagets beteende (den så kallade Akzoprincipen). Presumtionen kan dock motbevisas om företaget lämnar tillräcklig bevisning för att styrka att dotterbolaget agerar självständigt på marknaden.

text: IMY:s bedömning

text: Sanktionsavgift ska påföras

text: IMY har bedömt att Sportadmin har behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen genom att inte vidta tillräckliga tekniska och organisatoriska åtgärder för att skydda personuppgifterna som behandlas i bolagets tjänster. Av Sportadmins uppgifter i ärendet framgår att den oskyddade variabeln, som sannolikt möjliggjorde SQL-intrånget i januari 2025, infördes redan i juni 2022. De konstaterade bristerna har lett till obehörig åtkomst till en stor mängd personuppgifter som huvudsakligen gällt barn och omfattat känsliga liksom särskilt skyddsvärda personuppgifter. IMY bedömer att det inte är fråga om en sådan mindre allvarlig överträdelse som kan medföra att en reprimand utfärdas i stället för en sanktionsavgift.

text: EU-domstolen har klargjort att det krävs att den personuppgiftsansvarige har begått en överträdelse uppsåtligen eller av oaktsamhet för att administrativa sanktionsavgifter ska kunna påföras enligt dataskyddsförordningen. EU-domstolen har härvid uttalat att personuppgiftsansvariga kan påföras sanktionsavgifter för ageranden om de inte kan anses ha varit okunniga om att agerandet utgjorde en överträdelse, oavsett om de varit medvetna om att de åsidosatte bestämmelserna i dataskyddsförordningen.

text: Sportadmin har i egenskap av personuppgiftsbiträde, och i begränsad omfattning även som personuppgiftsansvarig, haft ett ansvar för att uppfylla dataskyddsförordningens

text: krav på att vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en lämplig skyddsnivå för personuppgifterna som behandlats i tjänsterna. Genom att inte vidta sådana åtgärder har IMY kommit fram till att Sportadmin behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen. IMY bedömer att Sportadmin inte kan anses ha varit okunnigt om att agerandet inneburit en överträdelse av förordningen. IMY anser mot denna bakgrund att Sportadmin har varit oaktsamt i förhållande till den överträdelse av dataskyddsförordningen som konstaterats. Samtliga förutsättningar för att påföra Sportadmin en sanktionsavgift är därmed uppfyllda.

text: Lime-koncernens årsomsättning ska ligga till grund för beräkningen av sanktionsavgiften

text: Av Sportadmins årsredovisning för år 2024 framgår följande. Den 9 januari 2024 tecknade Lime Technologies Sweden AB (Lime Sweden) avtal om att förvärva aktierna i Sportadmin. Den första delen av förvärvet avsåg 85 procent av aktierna och rösterna, och genomfördes den 9 januari 2024. Resterande 15 procent av aktierna ska förvärvas det tredje kvartalet 2027. Sportadmin och Lime Sweden ingår i koncernen Lime Technologies Group (Lime-koncernen) vars moderbolag är Lime Technologies AB (publ) (Lime).

text: Lime äger 100 procent av aktierna i Lime Sweden. Enligt Akzo-principen föreligger därmed en presumtion, som inte har motbevisats i ärendet, för att Lime utövar ett avgörande inflytande över Lime Swedens beteende. Den aktuella presumtionen är inte tillämplig avseende förhållandet mellan Lime Sweden och Sportadmin. IMY konstaterar dock att Lime Swedens betydande aktieinnehav om 85 procent i Sportadmin, tillsammans med avtalet om att ett heltäckande förvärv ska ske inom en överskådlig framtid, utgör omständigheter som bör tillmätas stor vikt vid bedömningen av om Lime Sweden vid tidpunkten för överträdelsen utövade ett avgörande inflytande över Sportadmin. Därutöver beaktas även följande omständigheter som enligt IMY:s mening talar för att Lime, Lime Sweden och Sportadmin ska betraktas som en ekonomisk enhet.

text: I Limes årsredovisning för 2024 benämns Sportadmin genomgående som ”Lime Sportadmin”. Vidare framhålls köpet av Sportadmin som ett sätt att stärka Limes produktportfölj samt möjliggöra en lokal tillväxtpotential och långsiktig internationalisering, där Lime Sportadmins produktutbud förväntas bidra till både tillväxt och lönsamhet för koncernens resultat. Av årsredovisningen framgår även att internationaliseringen av Sportadmin har påbörjats genom förvärv av ett nederländskt bolag, som Sportadmin äger 100 procent av aktierna i. Det anges också att koncernen fortsätter ha en aktiv Mergers and Acquisitions Agenda för Sportadmins vidare internationalisering. I årsredovisningen anges även att Lime, i samband med förvärvet av Sportadmin, adderade medlemsorganisationer som en femte fokusbransch, där Lime under en längre tid stärkt sin position på flera marknader bland idrottsföreningar och andra typer av medlemsbolag. Vidare anges att sedan Sportadmin blev en del av Lime-koncernen har koncernen fortsatt att utveckla Sportadmins plattform med fokus på användarvänlighet, integrationer och skalbarhet. IMY anser att dessa uttalanden ger stöd för att det föreligger sådana gemensamma planer och ekonomiska mål inom koncernen som bolagen tillsammans strävar mot, som utgör ytterligare faktorer som talar för att bolagen i fråga utgör en ekonomisk enhet.

text: Av Sportadmins respektive Lime Swedens årsredovisningar för år 2024 framgår att två av fem styrelseledamöter hade chefs- och styrelsepositioner inom både Sportadmin och Lime Sweden vid tidpunkten för överträdelsen. Vidare framgår av Limes

text: årsredovisning för år 2024 att fyra av styrelseledamöterna i Sportadmin även ingick i koncernledningen och den utökade ledningsgruppen för Lime, varav en i egenskap av VD och koncernchef för Lime-koncernen. Det kan därmed konstateras att samma personer innehaft nyckelposter i ledningen för flera av de aktuella bolagen samtidigt.

text: Vidare anges i Sportadmins personuppgiftspolicy att eftersom Sportadmin ingår i Limekoncernen behandlar även Lime Sweden, som hanterar koncernens huvudsakliga administrativa funktioner, de registrerades personuppgifter som gemensamt personuppgiftsansvariga med Sportadmin. Av Sportadmins redogörelse för personuppgiftsincidenten framgår även att Lime Swedens chefsjurist har agerat som Sportadmins juridiska ombud i det juridiska team som sattes samman med anledning av incidenten. Vidare framgår att Lime-gruppens interna kompetens nyttjats i samband med vidtagandet av tekniska och organisatoriska åtgärder efter personuppgiftsincidenten. Sportadmin har även uppgett att bolaget sedan 2024 haft tillgång till dokumenterade rutiner för kodändringar som tagits fram av Lime-koncernen som stöd i sitt arbete med säkerhetsaspekten i utvecklingsprocessen. Enligt Sportadmin har bolaget sedan förvärvet arbetat med att implementera dessa dokument i sin verksamhet. IMY bedömer att dessa omständigheter ger stöd för att det finns tydliga organisatoriska kopplingar, bland annat vad gäller personal och tillämpning av instruktioner, mellan de berörda bolagen.

text: Vid en samlad bedömning av ovanstående ekonomiska, rättsliga och organisatoriska kopplingar mellan bolagen bedömer IMY att dessa ska betraktas som en sådan ekonomisk enhet som utgör ett företag i den mening som avses i artiklarna

text: och

text: i EUF-fördraget. Beräkningen av sanktionsavgiften ska därför göras utifrån Limekoncernens årsomsättning för år 2024 vilken var cirka 685 700 000 kronor. Två procent av Lime-koncernens årsomsättning för år 2024 är därmed 13 714 000 kr. Eftersom detta belopp är lägre än det statiska maxbeloppet som anges i artikel 83.4 i dataskyddsförordningen är den högsta sanktionsavgiften som kan fastställas i ärendet 10 miljoner euro.

text: Överträdelsen är av hög allvarlighetsgrad

text: Vid bedömningen av överträdelsens allvar ska hänsyn tas till bland annat dess karaktär, svårighetsgrad och varaktighet. Av EDPB:s riktlinjer framgår att allvarlighetsgraden delas in i låg, medel eller hög allvarlighetsgrad.

text: Sportadmin har haft en långtgående skyldighet att skydda personuppgifterna som behandlas i bolagets tjänster som används av ett stort antal idrottsföreningar i hela Sverige. De konstaterade bristerna i skyddet för personuppgifter har varit av grundläggande karaktär och medfört möjlighet till obehörig åtkomst till över två miljoner personers uppgifter. Merparten av personuppgifterna har omfattat barn, som på grund av sin sårbarhet ska ges ett särskilt starkt skydd för sina personuppgifter. Överträdelsen har vidare omfattat en stor mängd uppgifter om varje person, vilket medför att integritetsriskerna ökat. Uppgifterna i fråga har därtill omfattat känsliga personuppgifter om hälsa och andra uppgifter av integritetskänslig karaktär i form av personnummer och skyddade personuppgifter. Överträdelsen har dessutom gällt den centrala behandlingen av personuppgifter i Sportadmins kärnverksamhet, där bolaget får förutsättas ha goda förutsättningar att vidta lämpliga säkerhetsåtgärder i

text: förhållande till identifierade risker. Det gör att överträdelsen ska anses som allvarligare, än om så inte varit fallet.

text: Bristerna i skyddet för personuppgifterna har lett till att hotaktören kunnat bereda sig tillgång till och därefter publicera personuppgifter från tjänsterna på Darknet. IMY konstaterar att en obehörig åtkomst till den typ av personuppgifter som behandlas i tjänsterna medför en hög risk för skada för de registrerade. Detta särskilt med beaktande av att EU-domstolen uttalat att skada kan uppkomma för registrerade redan vid förlust av kontroll över egna personuppgifter, även om det inte förekommit något konkret missbruk av uppgifterna i fråga. Sportadmins bristfälliga agerande har därmed, enligt IMY, haft stor påverkan på de registrerades fri- och rättigheter.

text: Bedömningen av överträdelsens allvar påverkas även av faktorer som varaktighet och, beroende på omständigheterna i det enskilda fallet, graden av oaktsamhet i förhållande till konstaterade brister. Sportadmin har under flera års tid identifierat förhöjda risker för sådana SQL-injektioner som sannolikt orsakat den aktuella personuppgiftsincidenten. Det innebär att Sportadmin under en lång period underlåtit att vidta tillräckliga säkerhetsåtgärder för att förhindra och upptäcka den aktuella typen av dataintrång, trots att bolaget under hela denna period varit medvetet om de risker som ett sådant bristfälligt skydd innebar. IMY konstaterar att bolaget beslutat att avvakta med att vidta flera lämpliga åtgärder för att förstärka skyddet mot SQLinjektioner och andra dataintrång, trots att åtgärderna var nödvändiga för att säkerställa ett tillräckligt skydd. Av utredningen framgår att bolaget haft förmåga att utföra sådana åtgärder på kort tid efter personuppgiftsincidenten. Mot denna bakgrund, och med beaktande av behandlingens omfattning och karaktär, bedömer IMY att Sportadmin har uppvisat en sådan hög grad av oaktsamhet att det ska beaktas i skärpande riktning.

text: Med hänvisning till det nu anförda bedömer IMY att den aktuella överträdelsen är av hög allvarlighetsgrad.

text: Förmildrande och försvårande faktorer

text: Vid bedömningen av sanktionsavgiftens storlek ska hänsyn även tas till de försvårande och förmildrande faktorer som anges i artikel 83.2 i dataskyddsförordningen.

text: Av utredningen framgår att Sportadmin vidtagit flera tekniska och organisatoriska åtgärder efter incidenten bland annat i syfte att skydda de registrerades personuppgifter, minska påverkan på de registrerade och stärka IT-säkerheten långsiktigt. IMY konstaterar att de genomförda åtgärderna i stor utsträckning omfattat sådant som borde ha vidtagits redan innan incidenten inträffade för att uppnå en lämplig säkerhetsnivå. De vidtagna åtgärderna kan inte heller anses gå utöver vad som kan förväntas av Sportadmin i det aktuella fallet. IMY bedömer vidare att det inte har framkommit att åtgärderna som vidtagits efter intrånget har mildrat skadan för de registrerade i sådan utsträckning att dessa ska betraktas som förmildrande faktorer.

text: Den omständigheten att Sportadmin har anmält en egen personuppgiftsincident och samarbetat med IMY vid utredningen av händelsen i den utsträckning som det kan förväntas påverkar inte sanktionsavgiftens storlek i höjande eller sänkande riktning.

text: Däremot beaktar IMY som förmildrande vid bedömningen av sanktionsavgiftens storlek att Sportadmin har tagit en aktiv och samordnande roll för att möjliggöra för samtliga föreningar som omfattats av personuppgiftsincidenten att uppfylla sina skyldigheter att lämna in incidentanmälningar till IMY i rätt tid. Sportadmin har dessutom utgjort en central kontaktpunkt mellan IMY, bolaget och föreningarna samt bistått föreningarna i att lämna information om incidenten till berörda registrerade i syfte att bland annat underlätta för dessa personer att vidta försiktighetsåtgärder för att skydda sina personuppgifter.

text: IMY bedömer att det därutöver saknas försvårande eller förmildrande åtgärder som påverkar sanktionsavgiften.

text: Sanktionsavgiftens storlek

text: IMY bestämmer utifrån en samlad bedömning att Sportadmin ska betala en administrativ sanktionsavgift på 6 000 000 kronor. Vid bestämmandet av sanktionsavgiftens storlek har överträdelsens höga allvarlighetsgrad och Limekoncernens omsättning beaktats. IMY har som en förmildrande omständighet beaktat Sportadmins agerande i samband med incidenten men också tagit hänsyn till att överträdelsen skett inom ramen för Sportadmins verksamhet och inte i övriga delar av koncernen. Sammanfattningsvis bedömer IMY att sanktionsavgiften är effektiv, proportionerlig och avskräckande.

text: Detta beslut har fattats av generaldirektören Eric Leijonram efter föredragning av avdelningsjuristen Maja Welander. Vid den slutliga handläggningen har även rättschefen David Törngren, enhetschefen Christelle Bourquin, rådgivaren Sara Ahmed, juristen Viktor Johnsson samt it- och informationssäkerhetsspecialisten Johnny Gordon Tornesjö medverkat.

text: Eric Leijonram

text: Bilaga

text: Information om betalning av sanktionsavgift.

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY inom tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då

text: beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.


text: Kopparbergs Bryggeri AB (publ) Klotenvägen 1 714 82 Kopparberg

text: Europaparlamentets och rådets förordning (EU) 2016/79 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av 08-657 61 00 direktiv

text: Artikel 58.1 i dataskyddsförordningen.

text: Artikel 58.2

text: och artikel 83-84 i dataskyddsförordningen.

titel: Tillsynsskrivelse

nyckelord:
Dataskydd
Informationssäkerhet
Dina rättigheter

slug: kopparbergs-bryggeri-ab

title: Kopparbergs Bryggeri AB

sammanfattning: IMY har inlett en tillsyn och granskning pågår.

text: IMY-2026-10056 Tillsyn enligt dataskyddsförordningen

text: – begäran om information

text: Säkerhet i samband med behandling

text: Integritetsskyddsmyndigheten (IMY) är tillsynsmyndighet enligt dataskyddsförordningen , GDPR. IMY har beslutat att granska er personuppgiftsbehandling och har därför inlett tillsyn.

text: Varför granskar IMY er verksamhet?

text: IMY har fått in klagomål mot er (se bilaga) den 4 december 2025.

text: Klagandena gör gällande att personalrelaterade personuppgifter har varit tillgängliga för obehöriga på ert intranät. Enligt klagomålet rör det bland annat förstadagsintyg, alkolhol- och drogtester samt ansökningshandlingar.

text: IMY har beslutat att granska era generella rutiner avseende den aktuella personuppgiftsbehandlingen. IMY avser att utreda huruvida ni har behandlat personuppgifter i enlighet med de krav på integritet och säkerhet som krävs enligt dataskyddsförordningen. Den bestämmelse som aktualiseras är i första hand artikel 32 i dataskyddsförordningen.

text: IMY avser dock inte att granska om ni har uppfyllt era skyldigheter vid hantering av personuppgiftsincidenter.

text: Våra frågor

text: 1. Vilket är ert organisationsnummer? 2. Är ni personuppgiftsansvarig för den i klagomålet beskrivna personuppgiftsbehandlingen? Om nej, uppge vem som är det och varför ni anser det. Om ja, svara på nedanstående frågor. 3. Hanterade ni fram till i november 2025 personalrelaterade personuppgifter (Personaluppgifter) inom er verksamhet på bryggeriet i Kopparberg, genom i

text: klagomålet hänvisade mappstruktur på ert intranät i SharePoint (Personuppgiftsbehandlingen)? Om nej, förklara utförligt hur ni annars har hanterat dessa. Om ja, svara på nedan frågor.

text: 4. Ange hur många fysiska personers personuppgifter som har hanterats inom den i p. 3 omnämnda personuppgiftbehandlingen. 5. Under vilken tidsperiod har dessa personaluppgifter hanterats på intranätet? 6. Redogör för vilka kategorier av personalrelaterade personuppgifter som ni har hanterat. 7. Vem eller vilka har haft tillgång till de aktuella uppgifterna på intranätet? 8. a) Redogör för eventuella behörighetsbegränsningar som avsett att säkerställa att endast behörig personal kan behandla uppgifterna. b) Har det skett förändringar i behörighetshanteringen, som har lett till att obehöriga har kunnat få åtkomst till uppgifterna, som tidigare har varit begränsade? c) Redogör även för eventuella övriga tekniska och organisatoriska säkerhetsåtgärder ni har vidtagit för att skydda de aktuella personuppgifterna för obehörig åtkomst. 9. Vilka eventuella riskbedömningar utifrån fysiska personers rättigheter och friheter har ni gjort avseende säkerhet vid personuppgiftsbehandlingen? 10. Vilka bedömningar har ni gjort avseende behandlingen och säkerheten avseende känsliga personuppgifter, i samband med personuppgiftsbehandlingen? 11. Vilka åtgärder har ni vidtagit sedan det uppmärksammades att personaluppgifter låg tillgängligt på intranätet för obehöriga?

text: Begrepp

text: Personuppgiftsansvarig är en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter (artikel 4.7 i dataskyddsförordningen).

text: Personuppgifter är enligt artikel 4.1 i dataskyddsförordningen varje upplysning som avser en identifierad eller identifierbar fysisk person (nedan kallad en registrerad), varvid en identifierbar fysisk person är en person som direkt eller indirekt kan identifieras särskilt med hänvisning till en identifierare som ett namn, ett identifikationsnummer, en lokaliseringsuppgift eller online-identifikatorer eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, psykiska, ekonomiska, kulturella eller sociala identitet.

text: Säkerhet för personuppgifter är reglerat i artikel 32 i dataskyddsförordningen. Av artikeln framgår bl.a. att den personuppgiftsansvariga ska mot bakgrund av behandlingens art, omfattning, sammanhang, ändamål samt riskerna för fysiska personers rättigheter och friheter vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en lämplig säkerhetsnivå.

text: Era svar

text: Svara skriftligt till IMY senast den 16 juni 2026.

text: Ange IMY-2026-10056 när ni svarar. Era svar kan skickas via e-post till . Tänk på att inte använda e-post om svaret innehåller känsliga personuppgifter eller

text: uppgifter som omfattas av sekretess. Det går också att skicka era svar till: Integritetsskyddsmyndigheten, , . Ange om ni anser att några av uppgifterna i ert svar omfattas av sekretess, och i så fall vilka och vilken sekretessgrund.

text: Måste ni svara IMY?

text: Ja, IMY är tillsynsmyndighet enligt dataskyddsförordningen. Det innebär att ni ska lämna all information som vi behöver för att kunna fullgöra våra uppgifter som tillsynsmyndighet.

text: Vad händer sen?

text: När IMY är färdig med granskningen kommer ni att få ett beslut. Beslut kan komma att fattas redan när vi har fått ert svar på tillsynsskrivelsen. Utifrån vad som framkommit i ärendet kan IMY i beslutet komma att konstatera brister i er tillämpning av de dataskyddsbestämmelser som är aktuella i ärendet. Vid brister kan IMY exempelvis utfärda en reprimand och/eller förelägga er att vidta vissa åtgärder. I vissa fall kan IMY påföra administrativa sanktionsavgifter enligt dataskyddsförordningen.

text: Axel Waltré

text: Jurist, IMY

text: Bilaga:

text: Klagomål

text: Information om IMY:s behandling av personuppgifter


text: Europaparlamentets och rådets förordning (EU) 2016/399 av den 9 mars 2016

text: om en unionskodex om gränspassage för personer (kodex om Schengengränserna). 2

text: Europaparlamentets och rådets förordning (EU) 2018/1861 av den 28 november 2018

text: (EG) nr 1987/2006

text: . 3

text: Europaparlamentets och rådets förordning (EG) nr 767/2008 av den 9 juli 2008

text: om informationssystemet för viseringar (VIS) och utbytet mellan medlemsstaterna av uppgifter om viseringar för kortare vistelse (VIS förordningen). 4 Europaparlamentet och

text: rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av 08-657 61 00 direktiv

text: (allmän dataskyddsförordning).

text: Europaparlamentets och rådets förordning (EU) 2016/79 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv

text: . 2

text: om inrättande, drift och användning av Schengens informationssystem (SIS) på området in- och utresekontroller, om ändring av konventionen om tillämpning av Schengenavtalet och om ändring och upphävande av förordning

text: (EG) nr 1987/2006

text: . 3

text: om en unionskodex om gränspassage för personer. 4

text: om Informationssystemet för viseringar (VIS) och utbytet av information mellan medlemsstaterna om viseringar för kortare vistelse, viseringar för 08-657 61 00 längre vistelse och uppehållstillstånd.

text: Artikel 58.2

text: och artikel 83-84 i dataskyddsförordningen.

slug: kustbevakningen

title: Kustbevakningen

sammanfattning: IMY inledde en tillsyn mot Kustbevakningen för att kontrollera om den personuppgiftsbehandling som Kustbevakningen utför i samband med gränskontroll och kontroll av sjötrafiken enligt gränskodexen och utlänningslagen vid användningen av Schengens informationssystem (SIS) och Informationssystemet för viseringar (VIS) är i överensstämmelse med gränsförordningen, VIS-förordningen samt dataskyddsförordningen. Mot bakgrund av de svar som Kustbevakningen har lämnat saknas anledning att ställa fördjupade frågor inom ramen för tillsynen eller i övrigt vidta några ytterligare utredningsåtgärder. IMY väljer därför att avsluta tillsynsärendet.

text: Beslut

text: IMY-2026-4550 Beslut efter tillsyn enligt bl.a. VIS-

text: förordningen och gränsförordningen – Kustbevakningen

text: Integritetsskyddsmyndighetens beslut

text: Ärendet avslutas.

text: Redogörelse för tillsynsärendet

text: Granskningens bakgrund och syfte

text: Integritetsskyddsmyndigheten (IMY) har inlett tillsyn mot Kustbevakningen. Syftet med tillsynen har varit att kontrollera om den personuppgiftsbehandling som Kustbevakningen utför i samband med gränskontroll och kontroll av sjötrafiken enligt gränskodexen och

text: utlänningslagen (2005:716)

text: vid användning av Schengens informationssystem (SIS) och Informationssystemet för viseringar (VIS) är i 2 3 överensstämmelse med gränsförordningen , VIS-förordningen samt dataskyddsförordningen .

text: Granskningens metod och omfattning

text: Tillsynen genomfördes genom skriftliga frågor till Kustbevakningen om myndighetens arbetssätt vid gränskontroll och kontroll av sjötrafiken.

text: IMY har begärt att Kustbevakningen beskriver myndighetens ansvar för den personuppgiftsbehandling som sker vid in- och utresekontroller, vilka tekniska system och applikationer som används för att utföra slagningar i VIS och SIS samt hur information skickas mellan respektive system/applikation. IMY har även ställt frågor om behörighetstilldelningen till VIS och SIS samt vilken utbildning personal som ska få behörighet till systemen genomgår. IMY har även begärt att Kustbevakningen

text: beskriver vilken typ av verifierings- och autentiseringsmekanismer som används för att säkerställa att endast behöriga användare får åtkomst till VIS och SIS samt hur logguppföljning avseende personuppgiftsbehandlingen går till.

text: IMY har även ställt frågor om vilken information som Kustbevakningen lämnar till de registrerade med anledning av den personuppgiftsbehandling som sker inom ramen för gränskontrollverksamheten.

text: Motivering av beslutet

text: Kustbevakningen har svarat utförligt på IMY:s frågor om hur myndigheten arbetar vid gränskontroll och kontroll av sjötrafiken samt den personuppgiftsbehandling som sker inom ramen för detta arbete. Kustbevakningen har även upplyst IMY om att VIS inte används i dagsläget men att myndigheten ser ett verksamhetsbehov av att kunna nyttja systemet i framtiden. Kustbevakningens svar inom ramen för tillsynen har därför enbart omfattat användningen av SIS.

text: Kustbevakningen har, under tiden för tillsynen, uppdaterat informationstexterna på myndighetens webbplats om hur personuppgifter behandlas i den operativa verksamheten. Detta för att tillförsäkra registrerade ytterligare transparens och lättillgänglig information om hur Kustbevakningen hanterar personuppgifter.

text: Detta beslut har fattats av enhetschefen Jonas Agnvall efter föredragning av juristen Karolina Haeggström. Vid den slutliga handläggningen av ärendet har även it- och informationssäkerhetsspecialisten Mats Juhlén och juristen Linda Markus medverkat.

text: Jonas Agnvall

text: Kopia till

text: Dataskyddsombudet

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY inom tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i rätt tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.

text: Tillsynsskrivelse

text: IMY-2026-4550 Tillsyn av Kustbevakningen –

text: slutanvändare av SIS och VIS vid gränskontroll

text: Bakgrund och syfte med granskningen

text: Integritetsskyddsmyndigheten (IMY) är tillsynsmyndighet enligt bl.a. dataskyddsförordningen , GDPR. IMY har en skyldighet enligt regelverken som styr Schengens informationssystem (SIS) och Informationssystemet för viseringar (VIS) att granska samtliga användare av systemen. Mot denna bakgrund har IMY beslutat att inleda tillsyn mot Kustbevakningen avseende den personuppgiftsbehandling som utförs av slutanvändare av den svenska delen av SIS och VIS vid de gränskontroller som Kustbevakningen gör. Med slutanvändare avses Kustbevakningen i sin gränskontrollerande verksamhet, närmare bestämt anställda som har befogenhet att söka direkt i de nämnda informationssystemen eller en teknisk kopia av systemen.

text: Syftet med tillsynen är att kontrollera om den personuppgiftsbehandling som utförs av slutanvändare inom ramen för SIS och VIS är i överensstämmelse med gällande rätt, 2 3 d.v.s. Gränsförordningen , Gränskodexen , lag (

text: ) med kompletterande bestämmelser till EU:s förordningar om Schengens informationssystem, VISförordningen och dataskyddsförordningen.

text: Metod för tillsynen

text: IMY kommer initialt att ställa generella frågor som rör Kustbevakningens arbetssätt och hantering av personuppgifter avseende VIS och SIS. Utifrån svaren, kommer kompletterande frågor att ställas i valda delar och tillsynens omfattning kommer att närmare definieras.

text: När IMY är färdiga med tillsynen kommer ni att få ett beslut. Innan beslutet fattas kommer ni att få ta del av och möjlighet att yttra er över allt material som är av betydelse för ärendet.

text: Utifrån vad som framkommit i ärendet kan IMY i beslutet komma att konstatera brister i er tillämpning av de dataskyddsbestämmelser som är aktuella i ärendet. Vid brister kan IMY exempelvis utfärda en reprimand och/eller förelägga er att vidta vissa åtgärder. I vissa fall kan IMY påföra administrativa sanktionsavgifter enligt dataskyddsförordningen.

text: IMY:s frågor

text: 1) Beskriv kortfattat hur ni utövar kontroll av sjötrafiken enligt

text: utlänningslagen (2005:716)

text: . Vänligen svara även på nedanstående frågor.

text: a) Beskriv ansvarsfördelningen mellan er och Polismyndigheten. Dvs hur vanligt förekommande är det att ni genomför gränskontroller på egen hand och hur ofta medverkar ni i Polismyndighetens kontrollverksamhet?

text: b) Beskriv ert ansvar för personuppgiftsbehandlingen som sker vid in- och utresekontroller enligt

text: utlänningslagen

text: c) Vilken utbildning vad avser VIS och SIS genomgår blivande personal som har behörighet till VIS och SIS systemen?

text: d) Vilken information ges till enskilda om vilken information som behandlas av er inom ramen för en gränskontroll?

text: 2) Beskriv, exempelvis med ett flödesschema, vilka tekniska system och applikationer som används för att utföra slagningar i VIS och SIS vid gränskontroll samt hur informationen skickas mellan respektive system/applikation? Beskriv också vilka system som Kustbevakningen kontrollerar och hanterar samt vilka system som kontrolleras av extern part och deras eventuella ansvar.

text: 3) Beskriv hur behörighetstilldelningen till VIS och SIS systemen sker? Exempelvis a) Vilka olika behörighetsnivåer finns? b) Hur sker tilldelning, granskning, förändring och avregistrera behörigheter?

text: 4) Vilken typ av verifierings- och autentiseringsmekanismer används för att säkerställa att endast behöriga användare får åtkomst till VIS och SIS?

text: 5) Sker logguppföljning avseende personuppgiftsbehandlingen i VIS och SIS? a) Om ja, på vilket sätt och hur ofta?

text: Svar

text: Vänligen svara senast den 1 april 2026. Ange IMY-2026-4550 när ni svarar. Era svar kan skickas via e-post till . Tänk på att inte använda e-post om svaret innehåller känsliga personuppgifter eller uppgifter som omfattas av sekretess. Det går också att skicka era svar till:

text: Integritetsskyddsmyndigheten

text: Ange om ni anser att några av uppgifterna i ert svar omfattas av sekretess, och i så fall vilka och vilken sekretessgrund.

text: Om ni har frågor om ärendet kontakta:

text: Karolina Haeggström: karolina.haeggstrom@imy.se, telefon: 08-515 15 417 Linda Markus: linda.markus@imy.se, telefon: 08-657 61 37

text: Kopia till:

text: Dataskyddsombudet

text: Information om IMY:s behandling av personuppgifter https://