Berörda personer och personuppgifter

SportAdmin uppgav att 2 126 075 personer berördes

SportAdmin uppgav till IMY att incidenten omfattade 2 126 075 personer som kunde identifieras genom personnummer. En stor del av de berörda var barn. Antalet i IMY:s beslut kommer från SportAdmins redovisning.

Källa: IMY:s beslut, sidorna 7–8.

Systemen innehöll flera typer av personuppgifter

IMY:s beslut beskriver följande typer av personuppgifter:

Kombinationen av uppgifter varierade mellan personerna. IMY vägde in både mängden uppgifter per person och vilka uppgifter systemen innehöll.

Källa: IMY:s beslut, sidorna 7–9.

Uppgifterna kunde användas för att kartlägga barn och familjer

Uppgifterna kunde tillsammans visa ett barns identitet, kontaktvägar, familjerelationer, idrott och föreningstillhörighet.

IMY lade särskild vikt vid att en stor del av de berörda var barn och att materialet innehöll uppgifter om hälsa och skyddade personuppgifter. En angripare kan använda sådana uppgifter för att kartlägga familjer och rikta kontaktförsök mot dem.

IMY bedömde att personuppgifterna medförde höga risker

En bedragare kan använda namn, personnummer och kontaktuppgifter i riktade bedrägeriförsök. Uppgifter om familjerelationer, idrott och föreningstillhörighet kan göra försöken trovärdiga. Uppgifter om hälsa kan avslöja privata förhållanden.

För personer med skyddade personuppgifter kan kopplingen mellan namn, kontaktuppgifter och förening medföra en säkerhetsrisk. IMY bedömde att antalet berörda personer, mängden uppgifter per person och vilka uppgifter systemen innehöll medförde höga risker för de berördas rättigheter och friheter.

Källa: IMY:s beslut, sidorna 7–8.