Har dina uppgifter läckt i ett dataintrång bör du göra tre saker med en gång: byta lösenord med början på e-postkontot, läsa igenom det besked du fått från den drabbade verksamheten och vara extra misstänksam mot mejl och sms de närmaste veckorna. Först därefter är det värt att fundera på anmälningar, och då gäller det att veta vem som ska anmäla vad. Dataintrång, personuppgiftsincident och polisanmälan är tre olika saker som ständigt blandas ihop, också av dem som skriver om saken.
Börja med lösenorden, och börja med e-posten
Integritetsskyddsmyndigheten, IMY, har en guide för den som kan ha berörts av en läcka, och myndighetens första praktiska råd är att byta lösenord om lösenord kan ha kommit ut. Skälet till att e-postkontot ska gå först är att det ofta fungerar som huvudnyckel: kontrollerar någon din e-post kan den personen begära lösenordsåterställning på alla tjänster som är registrerade på adressen. Har du dessutom återanvänt samma lösenord på flera ställen, vilket IMY beskriver som tyvärr vanligt, är varje sådan tjänst en öppen dörr.
Sedan gäller det att veta vad som faktiskt läckt. Har finansiella uppgifter som bankkonto- eller kreditkortsnummer kommit ut, eller uppgifter från pass eller id-kort, ökar risken att de används vid bedrägerier. Har bara kontaktuppgifter läckt är den vanligaste följden i stället nätfiske, alltså mejl, sms och samtal som ber dig klicka på en länk eller logga in någonstans. IMY:s råd är att vara på sin vakt även när avsändaren ser ut att vara någon du känner.
Var också uppmärksam på aktiviteter i dina tjänster som du inte utfört själv, och på att plötsligt bli utelåst. Det är ofta det första synliga tecknet på att någon annan tagit över kontot.
72-timmarsregeln gäller anmälan till IMY, inte beskedet till dig
Den siffra som brukar nämnas i nyhetsrapporteringen om läckor är 72 timmar. Den kommer från artikel 33 i dataskyddsförordningen och riktar sig till den personuppgiftsansvarige, alltså företaget, myndigheten eller föreningen som behandlar uppgifterna. Den ska anmäla incidenten till tillsynsmyndigheten utan onödigt dröjsmål och om möjligt inte senare än 72 timmar efter att ha fått vetskap om den. Kommer anmälan senare måste förseningen motiveras.
Här sitter en detalj som förklarar en hel del av frustrationen efter en stor läcka. Tröskeln för att anmäla till IMY och tröskeln för att berätta för dig är inte densamma. Anmälan ska göras såvida det inte är osannolikt att incidenten medför en risk för dina rättigheter och friheter, alltså en låg tröskel. Att informera dig som registrerad krävs enligt artikel 34 först om incidenten sannolikt leder till en hög risk. En incident kan alltså mycket väl vara anmäld till myndigheten utan att någon någonsin hör av sig till dig.
Får du ett besked ska det enligt IMY innehålla fyra saker: orsaken till incidenten, de sannolika konsekvenserna, vad verksamheten har gjort eller ska göra åt saken, och vart du kan vända dig för mer information. Saknas de punkterna är beskedet ofullständigt, och då är det rimligt att fråga.
Därför kan du ha berörts utan att någonsin få veta det
Artikel 34.3 räknar upp tre situationer där verksamheten slipper informera dig även vid hög risk. Den första är att uppgifterna skyddats med tekniska åtgärder som gör dem oläsbara för obehöriga, där kryptering nämns uttryckligen. Den andra är att verksamheten i efterhand vidtagit åtgärder som gör att den höga risken sannolikt inte längre uppstår. Den tredje är att det skulle kräva en oproportionell ansträngning att nå alla berörda, och då ska allmänheten informeras i stället, exempelvis genom ett pressmeddelande.
Det tredje undantaget är skälet till att stora läckor ofta hanteras med ett offentligt uttalande i stället för brev till var och en. Tystnad i din inkorg är alltså inget bevis för att ingenting hänt, och inte heller ett bevis för att något gjorts fel.
Polisanmälan hör hemma när brottet riktats mot dig
Dataintrång är ett brott och står i brottsbalkens 4 kapitel 9 c paragraf. Den som olovligen bereder sig tillgång till en uppgift avsedd för automatiserad behandling, eller olovligen ändrar, utplånar eller blockerar en sådan uppgift, döms till böter eller fängelse i högst två år. För grovt dataintrång skärptes straffskalan den 1 augusti 2026 genom lag (2026:1318), från fängelse i lägst sex månader och högst sex år till lägst ett och högst åtta år.
Polisens vägledning om dataintrång är skriven för situationen att någon tagit sig in i din dator eller tagit över ett konto du har på sociala medier. Då är du den drabbade och du gör anmälan. Har uppgifterna i stället läckt ur ett företags system riktade sig intrånget mot företagets system, och det är verksamheten som anmäler brottet. Din väg går då i första hand till IMY, inte till polisen. Blir de läckta uppgifterna sedan använda mot dig, någon tar ett lån i ditt namn eller kapar ditt konto, är det ett nytt brott där du är den drabbade, och då anmäler du.
Polisen anger två sätt att anmäla ett dataintrång: ring 114 14 eller besök en polisstation. Vissa brott går att anmäla via webben, men dataintrång är inte ett av dem. Ring 112 om brottet pågår. Två råd från Polisen är värda att ta på allvar. Spara allt underlag digitalt, alltså skärmdumpar, filer, bilder och mejl, även sådant du har på papper. Och anmäl fort, eftersom loggar och annan teknisk information kan vara svår för polisen att få tag i om det gått för lång tid.
Har någon hunnit använda dina uppgifter ekonomiskt gäller en annan ordning. Polisen vill då att du först kontaktar din bank för att stoppa fortsatt bedrägeri och därefter gör en polisanmälan. Till listan hör också att bestrida fakturor för sådant du inte köpt, att spärra personnumret hos kreditupplysningsföretaget om någon tagit en kreditupplysning i ditt namn, att kontrollera hos Skatteverket att ingen ändrat din folkbokföringsadress och hos Svensk adressändring att ingen lagt upp eftersändning av din post.
Om du vill att någon granskar hur det sköttes
IMY tog emot 12 300 incidentanmälningar under 2025, och myndigheten är öppen med att den för närvarande lägger stort fokus på klagomål från enskilda personer, vilket gör resurserna för granskning av incidentanmälningar begränsade. Det är en märklig och nyttig upplysning: ditt eget klagomål väger tyngre i myndighetens prioritering än den anmälan verksamheten själv skickade in. IMY skriver samtidigt att en incidentanmälan som inte leder till någon åtgärd inte betyder att myndigheten anser att allt gått rätt till.
Ett klagomål lämnas via IMY:s e-tjänst och måste uppfylla fem krav för att räknas som just ett klagomål: det ska röra en brist i personuppgiftsbehandling, du ska själv vara berörd, den ansvarige ska gå att peka ut, och du ska uppge vem du är och hur du kan nås. Saknas något hanteras det i stället som ett tips. Skillnaden är inte formell. Med ett fullständigt klagomål blir du part i ärendet, får alltid ett svar och kan yttra dig över materialet innan beslut fattas. Har du skyddade personuppgifter ska du inte använda e-tjänsten utan skicka klagomålet med brev. IMY rekommenderar att du först kontaktar verksamheten själv, gärna via dess dataskyddsombud.
Vill du veta vad organisationen faktiskt har om dig kan du samtidigt begära ett registerutdrag. Det är en av de rättigheter förordningen ger dig som privatperson, och svaret brukar säga mer om omfattningen än pressmeddelandet gjorde.
Läckdatabaser är privata tjänster, inte myndighetsregister
Den vanligaste vägen att söka på sin egen e-postadress är tjänsten Have I Been Pwned, som enligt sajtens egen presentation byggdes av säkerhetsskribenten Troy Hunt och drivs av honom sedan 2013. Det är alltså en privat tjänst, inte ett svenskt myndighetsregister, och den har varken tillsynsroll eller officiell status. Vare sig IMY:s guide för den som kan ha berörts eller Polisens sida om dataintrång hänvisar till någon sådan söktjänst.
Det gör den inte oanvändbar, men det avgör hur du bör läsa svaret. En träff är en indikation att ta på allvar och ett skäl att byta lösenord. En utebliven träff är inget kvitto på att inget läckt, bara på att just den tjänsten inte har uppgiften. Lämna aldrig ut lösenord, personnummer eller kortuppgifter till någon tjänst som lovar att kontrollera om de läckt.
Vanliga frågor
Vad räknas egentligen som en personuppgiftsincident?
Artikel 4.12 i dataskyddsförordningen definierar det som en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring, eller till obehörigt röjande av eller obehörig åtkomst till personuppgifter. Det behöver alltså inte handla om en hackare. IMY:s eget exempel är ett felaktigt brevutskick med känsliga uppgifter, och myndigheten påpekar att det inte spelar någon roll om det skett med avsikt eller av misstag. Även uppgifter som gått förlorade räknas, alltså utan att någon obehörig sett dem.
Kan jag kräva att få veta om jag fanns med i en läcka?
Du kan alltid fråga den personuppgiftsansvarige, och en begäran ska besvaras. Någon ovillkorlig rätt att få ett individuellt besked om varje incident finns däremot inte, eftersom skyldigheten att informera enligt artikel 34 är kopplad till hög risk och dessutom har tre undantag. Får du inget svar alls är det i sig något att ta upp med IMY.
Är IP-adressen som läckte en personuppgift?
Ja. IMY räknar upp IP-adressen bland exemplen på personuppgifter, vilket är en av anledningarna till att det går att säga en hel del om någon utifrån bara IP-adressen. Den ensam är sällan det som gör en läcka allvarlig, men den ingår i bedömningen av hur känslig kombinationen av uppgifter är.
Hjälper det att byta personnummer?
Nej. Skatteverket skriver att den som en gång fått ett personnummer behåller samma nummer livet ut, och myndigheten anger bara två skäl till ett nytt nummer: att den registrerade födelsetiden är fel, eller att det juridiska könet ändras. Att uppgifter läckt är inget av dem. De skydd som faktiskt finns efter en läcka är av annat slag: spärr hos kreditupplysningsföretagen, kontroll av folkbokföringsadress och eftersändning, och tvåfaktorsinloggning på de konton som betyder något.
Efteråt är det rutinen som gör skillnad
En läcka går inte att ta tillbaka. Uppgifter som kommit ut kan dyka upp i nya sammanhang långt senare, och det finns ingen instans som samlar in dem igen. Det som går att påverka är hur snabbt du märker nästa gång. Byt lösenorden, slå på tvåfaktorsinloggning där det går och lägg upp en enkel rutin för att hålla koll på dina personuppgifter löpande. Det tråkiga svaret är oftast det som fungerar.
Den här texten är en allmän genomgång av regelverket, inte juridisk rådgivning. Uppgifterna kontrollerades den 7 augusti 2026 mot Polisen, IMY och förordningstexten hos EUR-Lex.
Utvald bild: Foto: Markus Spiske via Pexels.