IMY:s administrativa sanktionsavgifter är en av flera åtgärder vid överträdelser av dataskyddsreglerna. Ett belopp i en äldre nyhetsartikel behöver inte motsvara det belopp som gäller efter domstolsprövning. Det säger inte heller ensamt hur allvarlig en överträdelse är. För att använda ett avgörande som beslutsunderlag behöver man läsa vad som faktiskt prövades, när beslutet fattades och hur en eventuell överklagandeprocess har utvecklats.
Den här genomgången förklarar sanktionsramarna och fyra kontrollerade svenska ärenden: Spotify, Trygg-Hansa, Avanza och SL. Den är ingen rangordning av Sveriges största böter. Uppgifterna har granskats mot IMY:s publicerade material den 29 september 2026. Där en domstolsprocess pågår redovisas detta uttryckligen; ett ursprungligt myndighetsbeslut presenteras inte som en slutligt fastställd utgång.
Två sanktionsnivåer och individuella bedömningar
Artikel 83 GDPR innehåller olika maximibelopp beroende på vilka bestämmelser som överträtts. För överträdelser som omfattas av artikel 83.4 är taket tio miljoner euro eller, för företag, två procent av föregående räkenskapsårs totala globala årsomsättning, beroende på vilket belopp som är högst. För artikel 83.5 och 83.6 är motsvarande nivå tjugo miljoner euro eller fyra procent. Taket är inte ett automatiskt utgångsbelopp för varje ärende.
En avgift ska vara effektiv, proportionerlig och avskräckande. Bland omständigheterna finns överträdelsens art, allvar och varaktighet, berörda personer, uppsåt eller oaktsamhet, vidtagna skadebegränsande åtgärder och tidigare relevanta överträdelser. Uppgifternas karaktär och hur myndigheten fick kännedom om saken kan också vara betydelsefulla. Två händelser som på ytan liknar varandra kan därför leda till olika resultat.
En säkerhetsincident innebär inte automatiskt att en sanktionsavgift ska beslutas. Det måste utredas om relevanta skyldigheter har överträtts och om förutsättningarna för avgift är uppfyllda. Omvänt kan en överträdelse finnas utan att någon uppgift bevisligen har utnyttjats av en obehörig. Artikel 32 gäller det lämpliga skyddet för behandlingen, vilket måste bedömas utifrån riskerna och de faktiska åtgärderna.
Svenska myndigheter och offentligt ägda bolag
Enligt dataskyddslagen, 6 kap. 2 § kan svenska myndigheter påföras högst fem miljoner kronor för överträdelser som anges i artikel 83.4 och högst tio miljoner kronor för överträdelser som anges i artikel 83.5 och 83.6. Dessa nationella belopp ska alltså inte blandas ihop med företagens omsättningsbaserade tak.
Uttrycket myndigheter bör inte utan vidare utvidgas till varje offentligt ägt bolag eller varje verksamhet med ett offentligt uppdrag. Organisationsformen och tillämpliga regler måste bedömas. Att kollektivtrafik eller vård har ett samhällsuppdrag innebär inte ensamt att ett visst bolag omfattas av myndighetstaket. En felaktig jämförelse kan annars få ett verkligt beslut att se oförenligt med lagen ut.
Den närmare svenska ramen beskrivs i guiden till dataskyddslagen. För en verksamhet är den praktiska frågan först vilken juridisk person och vilken behandling som utreds. Dokumentera detta innan någon räknar på ett hypotetiskt maximibelopp. Koncernens struktur, omsättning och ansvarsfördelning kan kräva en särskild analys och kan inte ersättas av ett enkelt antal anställda.
Spotify: beslut, sänkning och återställd avgift
IMY:s ärendesida om Spotify redovisar beslutet den 12 juni 2023 om 58 miljoner kronor. Ärendet rörde hur information lämnades vid enskildas begäran om tillgång. IMY uppgav att Spotify lämnade ut de personuppgifter som behandlades, men att förklaringen av hur uppgifterna användes inte var tillräckligt tydlig. Problemet ska därför inte beskrivas som att företaget vägrade lämna ut samtliga uppgifter.
Förvaltningsrätten sänkte avgiften till 40 miljoner kronor den 28 juni 2024, mål 13539-23. Kammarrätten biföll därefter IMY:s överklagande och fastställde avgiften till 58 miljoner kronor den 3 juni 2025, mål 4512-24, samtidigt som Spotifys överklagande avslogs. Detta är den domstolsutgång som den granskade IMY-sidan redovisar. Ett påstående att enbart 2024 års lägre belopp gäller skulle missa nästa steg i processen.
För den egna verksamheten är lärdomen att en stor datafil inte automatiskt utgör ett begripligt svar. Kontrollera om mottagaren kan förstå vilka uppgifter som avser honom eller henne, varför de behandlas och vad informationen betyder. En export med interna fältnamn behöver ofta förklaringar. Arbetet med registerutdrag enligt artikel 15 bör därför omfatta både sökning och begriplig presentation.
Trygg-Hansa: säkerhetskontroller före och under drift
IMY:s beslut mot Trygg-Hansa är daterat den 28 augusti 2023, medan det svenska pressmeddelandet publicerades den 30 augusti. Avgiften var 35 miljoner kronor. Myndigheten beskrev hur handlingar med kundinformation kunde nås genom att siffror i en länk ändrades, utan inloggning. Materialet gällde omkring 650 000 kunder och var åtkomligt under perioden oktober 2018 till februari 2021.
Vissa handlingar innehöll känsliga personuppgifter, bland annat detaljer om hälsa. IMY förtydligade också bolagshistoriken: bristen fanns hos Moderna Försäkringar, som senare slogs samman med Trygg-Hansa. Uppgiften om möjlig åtkomst är inte samma sak som bevis för att samtliga kunders information faktiskt hämtades av obehöriga. Här redovisas myndighetens beslut; en självständig kontroll av varje tänkbar senare process görs inte genom pressmeddelandet.
Den praktiska följden är att objektbehörighet måste kontrolleras för varje relevant begäran. Ett svårgissat dokumentnummer eller en länk som skickats privat är inte i sig ett behörighetssystem. I ett hypotetiskt kundsystem bör en granskning därför kontrollera om användare A kan hämta användare B:s dokument. Kontrollen behöver återkomma när nya dokumenttyper och gränssnitt införs, inte bara vid den första leveransen.
Avanza: händelseåret är inte beslutsåret
IMY:s publicerade praxisöversikt anger den 24 juni 2024 som beslutsdatum i Avanzaärendet och en sanktionsavgift på 15 miljoner kronor. Att händelsen och anmälan hade koppling till 2021 gör det inte till en sanktionsavgift beslutad det året. Översikten anger också att beslutet inte överklagades och har vunnit laga kraft.
Ärendet gällde överföring av integritetskänsliga personuppgifter till Meta genom en funktion i Meta-pixeln. Enligt IMY saknades tillräckliga tekniska begränsningar av vilka uppgifter som fördes över och rutiner för att själv upptäcka bristerna. Därmed är det missvisande att reducera frågan till att en viss produktkategori alltid är förbjuden. Den konkreta konfigurationen, innehållet i överföringen och verksamhetens kontroll var avgörande för säkerhetsbedömningen.
För ett annat företag kan motsvarande arbetsuppgift vara att kartlägga vad ett tredjepartsskript faktiskt skickar från ett formulär eller en inloggad sida. Även en liten funktionsändring kan ändra dataflödet. Låt därför verksamhetsägare och tekniskt ansvariga bedöma ändringen tillsammans. En genomgång av tredjelandsöverföringar kan behövas parallellt, men en sådan bedömning ersätter inte dataminimering och teknisk kontroll av innehållet.
SL: en process som fortfarande kräver statusangivelse
IMY beslutade den 21 juni 2021 om 16 miljoner kronor mot SL i ett ärende om kroppskameror med bild- och ljudinspelning. Förvaltningsrätten sänkte avgiften till 12 miljoner kronor den 18 februari 2022. Kammarrätten bestämde därefter avgiften till åtta miljoner kronor och undanröjde den del som avsåg bristande information, med hänvisning till vilken informationsbestämmelse IMY hade tillämpat.
Den aktuella IMY-sidan om SL redovisar ytterligare ett viktigt steg. Högsta förvaltningsdomstolen upphävde den 25 juni 2026 kammarrättens dom i delen om sanktionsavgift för bristande information och återförvisade den frågan till kammarrätten. Därför anges här både det ursprungliga beloppet och processens utveckling. Varken sexton eller åtta miljoner presenteras som ett oproblematiskt slutligt totalbelopp för hela ärendet.
För den som planerar kamerabevakning visar ärendet varför olika ändamål och funktioner måste bedömas var för sig. Att dokumentera hot är inte samma sak som att identifiera en person utan giltig biljett. Ljud, förinspelning och information till berörda behöver egna förklaringar. En kortfattad slutsats att alla kroppskameror saknar rättslig grund skulle därför bli alltför långtgående.
Läs beslutet i en bestämd ordning
Börja med beslutets eller domens faktiska slutsats: vilka överträdelser konstateras och vilka åtgärder beslutas? Läs sedan vilken behandling och tidsperiod som omfattas. En senare teknisk förbättring betyder inte att den äldre bedömningen beskriver dagens system. På samma sätt innebär en domstols ändring av avgiften inte nödvändigtvis att varje konstaterad överträdelse har fallit bort.
Skilj mellan myndighetens bedömning, den granskade organisationens invändningar och domstolens slutsatser. Ett stycke som återger bolagets uppgifter är inte automatiskt ett godtaget sakförhållande. Dokumentera också om materialet är ett beslut, ett pressmeddelande eller en kort praxisöversikt. De kan komplettera varandra men ger inte samma detaljnivå. En rubrik bör aldrig ensam avgöra hur ett ärende beskrivs internt.
När ni använder ett fall i en ledningspresentation bör källhänvisningen därför innehålla organisation, beslutsdatum och kontrollerad processstatus. Ange separat när ni kontrollerade uppgifterna. Om en överklagandefråga fortfarande är öppen ska det framgå även i sammanfattningen. Då undviker ni att ett gammalt belopp fortsätter cirkulera som slutligt faktum långt efter att prövningen har gått vidare.
Översätt erfarenheterna till egna kontroller
Ett avgörande är användbart när det leder till en konkret fråga om den egna behandlingen. Spotify kan ge anledning att läsa ett faktiskt registerutdrag ur mottagarens perspektiv. Trygg-Hansa kan motivera kontroll av dokumentbehörigheter. Avanza kan ge anledning att granska konfigurationen av externa skript. SL kan leda till en uppdelning mellan ändamål, ljudupptagning och information i ett kameraförslag.
Dokumentera vad kontrollen omfattar och vad den inte omfattar. Om ni granskar behörighet i kundportalen har ni inte samtidigt bevisat att alla arkivkopior har rätt lagringstid. Om ni förbättrar en mall för registerutdrag återstår frågan om organisationen hittar alla relevanta uppgifter. En tydlig avgränsning gör resultatet mer användbart och minskar risken för att en begränsad kontroll får en överdriven betydelse.
Knyt resultatet till tekniska och organisatoriska åtgärder och den ansvariga verksamhetsägaren. En beslutad förbättring bör ha ett verifierbart resultat, till exempel att obehöriga användare inte längre kan hämta andra kunders dokument. En uppdaterad policy kan vara en del av åtgärden, men visar inte ensam att en teknisk brist har rättats i produktion.
Dokumentation behöver beskriva verkligheten
En registerförteckning hjälper till att hitta ändamål, system, mottagare och ansvariga. Den är inte en försäkring mot sanktioner. Om registret säger att uppgifter raderas efter en viss händelse medan systemet behåller dem obegränsat kvarstår problemet. Kontrollera därför viktiga påståenden mot verkliga inställningar och arbetsmoment, särskilt vid leverantörsbyten och nya funktioner.
Samma sak gäller personuppgiftsbiträdesavtal. Ett korrekt avtal är viktigt när rollen är biträde, men ersätter inte lämpligt val av leverantör och uppföljning. Förfrågningar om radering eller återlämnande behöver fungera praktiskt. Vid egna ändamål hos mottagaren kan dessutom en annan rollbedömning behövas. Ett standardavtal bör inte användas för att dölja ett oklart dataflöde.
Ett dataskyddsombud kan ge råd och övervaka efterlevnaden, men övertar inte ledningens ansvar. Organisationen behöver resurser och beslutsvägar för att genomföra nödvändiga åtgärder. Ombudets dokumenterade rekommendationer har begränsat praktiskt värde om ingen har uppdraget att hantera de identifierade riskerna. Följ därför upp både beslut och resultat utan att göra ombudet till ensam ägare av alla processer.
Samarbete och åtgärder ger ingen bestämd rabatt
Samarbete med tillsynsmyndigheten och åtgärder för att begränsa skada kan få betydelse enligt artikel 83. Det innebär inte att varje korrekt svar eller varje obligatorisk incidentanmälan automatiskt ger en viss procentuell nedsättning. Bedömningen tar hänsyn till omständigheterna och till vad som redan följer av organisationens skyldigheter. Ett löfte om en generell rabatt vid självanmälan skulle därför vara missvisande.
Besvara en begäran från IMY tydligt och inom den angivna tiden. Om en fråga behöver preciseras eller ett underlag ännu inte kan tas fram bör detta hanteras öppet och i rätt tid. Förklara vilka uppgifter som är kontrollerade och vilka som fortfarande utreds. Försök inte fylla luckor genom att i efterhand datera en handling som om den funnits före händelsen.
Guiden om att förbereda en IMY-tillsyn hjälper till att ordna bevisningen. Ett användbart underlag binder samman den aktuella behandlingen, ansvarsfördelningen, rättsliga bedömningar och faktiska skyddsåtgärder. Det behöver också visa vad som ändrats efter ett identifierat problem. En stor mängd osorterade dokument kan göra även korrekta uppgifter svåra att bedöma och följa upp.
Avgift, skadestånd och skyldighet att rätta är olika frågor
En administrativ sanktionsavgift är inte ersättning till den enskilde. Skadestånd enligt artikel 82 kräver en egen bedömning av överträdelse, skada och orsakssamband. Inte heller upphör skyldigheten att rätta behandlingen bara för att en avgift har betalats. Ett föreläggande, en begäran från en registrerad och en skadeståndsfråga kan behöva hanteras parallellt, med olika ansvariga och tidsfrister.
Detta är särskilt tydligt vid begäran om radering. Ett beslut om en sanktion besvarar inte automatiskt vilka uppgifter som fortfarande får lagras för ett visst lagligt ändamål. Den individuella begäran måste prövas enligt sina villkor och undantag. Organisationen bör kunna förklara både rättelsen av ett systemfel och bedömningen i den enskildes ärende.
När ni överväger stödverktyg är uppföljningsförmåga ett relevant kriterium. En jämförelse av GDPR-programvara kan användas för att undersöka versioner, ansvar och bevislänkar, medan kostnadsguiden hjälper att bedöma en konkret beställning. Inget verktyg garanterar sanktionsfrihet, och inköpspriset bör inte motiveras med en ogrundad förutsägelse om vilken framtida bot ni annars skulle få.
Använd rätt källa för nästa uppdatering
IMY:s avgiftsöversikt ger en ingång till besluten, men enskilda ärendesidor och domar behövs för processhistoriken. Myndighetens förklaring av sanktionsavgifter ger den allmänna ramen. Läs dessa tillsammans med GDPR:s artikel 83 och den svenska dataskyddslagen.
Inför en ny intern riskbedömning bör ni uppdatera de fall ni faktiskt stödjer er på. Det är inte nödvändigt att återge varje publicerad avgift för att göra en bra bedömning. Ett fåtal väl förstådda avgöranden med korrekt processstatus kan ge bättre stöd än en lång tabell med sammanblandade händelseår, beslut och pressdatum. Den avgörande frågan är vilken konkret förbättring som följer av den kunskapen.