SportAdmin i Skandinavien AB

Integritetsskyddsmyndigheten konstaterar att Sportadmin i Skandinavien AB har behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen (GDPR) genom att inte vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en lämplig säkerhetsnivå för personuppgifterna i sina tjänster innan och vid tidpunkten för den personuppgiftsincident som konstaterades den 16 januari 2025. Integritetsskyddsmyndigheten beslutar att Sportadmin i Skandinavien AB ska betala en administrativ sanktionsavgift på 6 000 000 kronor för överträdelsen. Bakgrund Integritetsskyddsmyndigheten (IMY) har inlett tillsyn mot Sportadmin i Skandinavien AB (Sportadmin) med anledning av en personuppgiftsincident som inträffade den 16 januari 2025 och anmäldes av Sportadmin till IMY den 17 januari 2025. Sportadmin tillhandahåller digitala kommunikationstjänster (tjänsterna) i form av bland annat ett webbaserat administrationsverktyg för medlemshantering, fakturering och hemsidor för idrottsföreningar och andra organisationer (föreningarna) samt en mobilapplikation som används av föreningarnas ledare, medlemmar och medlemmars målsmän. Av Sportadmins anmälan om personuppgiftsincident framgår bland annat att tjänsterna, i … Tillämpliga bestämmelser m.m. Personuppgiftsansvar Med personuppgiftsansvarig avses enligt artikel 4.7 i dataskyddsförordningen en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter. Om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt. Med personuppgiftsbiträde avses enligt artikel 4.8 i dataskyddsförordningen en fysisk …