Det har redan hänt. I era egna kommuner.
Offentlig sektor är inte en mjukare måltavla – den är en större. Akter, register och personalhandlingar ligger i PDF:er på vanliga datorer, och varje fil med personnummer är en fil som kan hamna fel.
-
2025
Miljödata
HR-system åt 164 kommuner och 4 regioner. Över en miljon svenskar fick personnummer röjda – via en leverantör som kommunerna själva hade godkänt.
-
2023
Stockholms stad – Aspuddens skola
Kamerabevakning utan rättslig grund, i större omfattning och under längre tid än nödvändigt. Sanktionsavgift 800 000 kronor – mot en kommunal nämnd.
-
2023
Östersunds kommun
Google Workspace på 24 skolor – utan konsekvensbedömning. Sanktionsavgift 300 000 kronor för elevernas personuppgifter.
-
2023
Region Dalarna
Kallelser i fönsterkuvert röjde vilken mottagning patienten skulle till. Sanktionsavgift 200 000 kronor – för ett kuvert.
-
2023
Region Skåne
Ett okrypterat USB-minne med personnummer för 2 000 patienter försvann. Sanktionsavgift 200 000 kronor.
-
2025
Diskrimineringsombudsmannen
Ett webbformulär utan tillräckliga skyddsåtgärder. Cirka 500 tips med känsliga uppgifter kunde ha röjts. Sanktionsavgift 100 000 kronor – mot en myndighet.
Notan går till verksamheten. Inte till angriparen.
- 10 000 000 kr
- högsta sanktionsavgift för en kommun, en region eller en myndighet. Dataskyddslagen 6 kap. 2 §
- 20 miljoner euro
- eller 4 % av den globala omsättningen, för privata bolag. Samma förordning, samma tak – oavsett var i EU verksamheten finns. GDPR art. 83
- 12 276
- anmälda personuppgiftsincidenter i Sverige 2025. Nästan dubbelt mot året innan. IMY
- 4,44 miljoner dollar
- genomsnittskostnad för ett dataintrång – innan sanktionsavgift och skadestånd räknas in. IBM, 2025
Sanktionsavgiften är den billigaste posten. Utredning, jurister och incidentrapportering kostar mer – och förtroendet går inte att fakturera tillbaka.
EU lägger bot. Individerna kräver skadestånd.
Tillsynsmyndigheterna i EU samarbetar, och taket är detsamma i hela unionen. Irlands dataskyddsmyndighet lade 2023 1,2 miljarder euro på Meta för olagliga överföringar till USA – samma förordning som gäller för en kommun i Östergötland. DPC
Ovanpå sanktionsavgiften kommer skadeståndet enligt GDPR artikel 82. Varje drabbad kan kräva ersättning för den skada läckan orsakat, och liknande krav kan prövas samlade i en grupptalan. Justitiekanslern tillerkände 2025 en person 25 000 kronor efter att känsliga hälsouppgifter röjts. JK
Räkna själva: antalet personnummer i era egna filer, gånger ersättningen per drabbad. Det talet står ingenstans i budgeten i dag – men det är det talet som gäller den dag filen hamnar fel.
Risken försvinner inte för att ni väntar.
Den försvinner när filerna slutar bära personnummer. Det tar en eftermiddag att maskera dem som redan ligger på datorn – och ett par sekunder per fil efter det.
Begär offert i dag Gratis att prova i 14 dagar · nedladdningen ligger högst upp