37 miljoner kronor är priset på ett avtal ni redan har

Under 2025 påförde Integritetsskyddsmyndigheten sanktionsavgifter på 37 miljoner kronor mot ett svenskt apotek och 8 miljoner kronor mot ett annat, för att de inte hade infört tillräckliga tekniska och organisatoriska åtgärder när de använde ett analysverktyg från en extern leverantör. Ett tredje bolag fick betala 6 miljoner kronor efter en personuppgiftsincident kopplad till brister i säkerheten. Källa: IMY:s pressmeddelanden om besluten under 2025.

Det gemensamma i alla tre fallen var inte avsaknad av en integritetspolicy. Det var glappet mellan vad policyn sa och vad systemen faktiskt gjorde. Ett bolag kan ha en juridiskt korrekt text på hemsidan och samtidigt dela data med tredjepartsverktyg på ett sätt som texten aldrig beskriver.

Det här är ett räkneexempel, inte en prognos för ert bolag. Sätt in egna siffror för att se var ni står.

Mönstret från 2025 års sanktioner är värt att lägga märke till av ett särskilt skäl. Ingen av de bolag som fick betala hade uppenbart struntat i GDPR. Alla hade en integritetspolicy, alla hade rutiner på papper. Det som fällde dem var glappet mellan den dokumenterade avsikten och den faktiska tekniska verkligheten, ett glapp som kan uppstå i vilket bolag som helst i takt med att nya verktyg införs snabbare än juridiken hinner uppdateras kring dem.

Övningen tar sällan mer än en eftermiddag för ett bolag av medelstorlek, jämfört med de veckor det tar att svara på en formell begäran om information från IMY efter att en anmälan redan kommit in. Den tidsskillnaden är själva poängen med att göra genomgången proaktivt snarare än reaktivt.

Steg ett. Lista varje extern tjänst som får tillgång till persondata från er produkt: analysverktyg, marknadsföringsplattformar, betallösningar, kundtjänstsystem. De flesta bolag kommer fram till fler tjänster än de först räknade med, ofta mellan tio och tjugo för ett medelstort SaaS-bolag.

Steg två. För varje tjänst, fråga om det finns ett giltigt personuppgiftsbiträdesavtal, om dataflödet är beskrivet i integritetspolicyn, och om det finns en teknisk kontroll som begränsar vilken data som faktiskt skickas. Tre frågor, tre möjliga nej-svar per tjänst.

Många bolag stannar av vid steg ett och nöjer sig med att ha listan, utan att gå vidare till de faktiska kontrollerna i steg två. Listan i sig ger ingen trygghet. Det är svaren på de tre frågorna per tjänst som visar var det verkliga arbetet ligger, och det är den delen som oftast skjuts upp till “när det finns tid”, vilket i praktiken ofta betyder att den aldrig blir av förrän en anmälan tvingar fram den.

Steg tre. Multiplicera antalet nej-svar med den tid det skulle ta att reda ut varje enskild brist i efterhand, under tidspress, efter en anmälan från en användare eller en begäran från IMY. Jämför den tiden med tiden det tar att gå igenom listan i lugn takt idag, en tjänst i taget.

Räkneexemplet fungerar oavsett bolagets storlek. Ett litet bolag har färre tjänster att gå igenom men också mindre marginal för att bära en oväntad kostnad. Ett större bolag har fler tjänster men också fler resurser att sätta av till genomgången. I båda fallen gäller samma princip: varje obesvarad fråga är en öppen risk fram till att den faktiskt stängs.

IMY:s ärendeinflöde ökade 56 procent under 2025 jämfört med föregående år, den högsta ökningen någonsin uppmätt. Källa: IMY:s årssammanfattning för 2025. Fler anmälningar från privatpersoner betyder fler tillfällen där både texten och de faktiska rutinerna granskas.

Storleken på sanktionsavgifterna beräknas utifrån bolagets omsättning, inte utifrån hur allvarlig den enskilda tekniska bristen var i sig. Det gör att ett växande bolag kan drabbas hårdare för samma typ av brist år för år, i takt med att omsättningen ökar, utan att säkerhetsarbetet nödvändigtvis hängt med i samma takt. Ett bolag som klarade sig med en anmärkning för några år sedan riskerar en betydligt större avgift för samma sorts brist idag, om inget i rutinerna har förändrats under tiden.

Det är sällan den stora, medvetna överträdelsen som blir dyr. Det är den lilla tekniska luckan som funnits i över ett år utan att någon märkt den, för att ansvaret för texten och ansvaret för systemet legat hos olika personer som aldrig stämt av mot varandra.

Gör den här övningen den här veckan. Ta listan från steg ett, tjänsterna som får tillgång till persondata, och gå igenom de tre frågorna i steg två för var och en. Räkna ihop antalet nej-svar. Den siffran är er egen, konkreta utgångspunkt för vad som behöver rättas till innan nästa anmälan kommer in till IMY, från en användare snarare än från er själva.