Straffet för dataintrång är böter eller fängelse i högst två år. För grovt dataintrång är straffet fängelse i lägst ett och högst åtta år sedan den 1 augusti 2026, då straffskalan skärptes. Det som avgör om något över huvud taget är dataintrång är ett enda ord i lagtexten: åtkomsten eller ändringen ska ha skett olovligen. Något krav på att en spärr har forcerats finns inte.
Här står vad lagen kräver, vilka tre omständigheter som drar gränsen mot grovt brott, hur lång tid rättsväsendet har på sig och vad som händer efter en polisanmälan. Här står också varför en anmälan till polisen och en anmälan till Integritetsskyddsmyndigheten är två skilda saker. Vill du i stället veta vad du gör rent praktiskt när uppgifter har läckt, finns det i vår åtgärdsguide för den som drabbats av en läcka.
Vad lagen kräver för att något ska vara dataintrång
Bestämmelsen står i 4 kapitlet 9 c paragrafen brottsbalken. Första stycket lyder att den som olovligen bereder sig tillgång till en uppgift som är avsedd för automatiserad behandling, eller olovligen ändrar, utplånar, blockerar eller i register för in en sådan uppgift, döms för dataintrång till böter eller fängelse i högst två år. Detsamma gäller den som olovligen genom någon annan liknande åtgärd allvarligt stör eller hindrar användningen av en sådan uppgift.
Tre saker i den lydelsen är värda att stanna vid.
Det står olovligen, inte att någon måste bryta sig in. Lagtexten ställer inget krav på att en spärr forcerats, ett lösenord knäckts eller en säkerhetslucka utnyttjats. Prövningen gäller lovet, inte tekniken. Den som får ditt lösenord av dig och sedan använder det till något helt annat har inte fått lov till det.
Det står uppgift som är avsedd för automatiserad behandling. Skyddet gäller data i ett system, inte pärmen i bokhyllan. Ett konto hos en tjänst, en fil på en server, ett register hos en arbetsgivare, allt det ryms.
Och gärningen behöver inte handla om att läsa något. Att ändra, radera, blockera eller föra in en uppgift är egna gärningsformer, likställda med att bereda sig tillgång. Sista meningen fångar dessutom åtgärder som allvarligt stör eller hindrar användningen, alltså situationer där ingen sett dina uppgifter men du ändå inte kommer åt dem.
Även försök och förberedelse är straffbara. Enligt 4 kapitlet 10 paragrafen döms det till ansvar enligt 23 kapitlet för försök eller förberedelse till dataintrång som om det fullbordats inte skulle ha varit att anse som ringa, och för försök eller förberedelse till grovt dataintrång. Den lydelsen kom genom lag (2026:950) och gäller sedan den 2 juli 2026.
Straffet skärptes den 1 augusti 2026
Andra stycket i 9 c paragrafen fick en ny lydelse genom lag (2026:1318), utfärdad den 18 juni 2026 och publicerad i Svensk författningssamling den 25 juni. Av författningen framgår att den träder i kraft den 1 augusti 2026, och att den bygger på proposition 2025/26:218, betänkande 2025/26:JuU42 och riksdagsskrivelse 2025/26:390.
Skärpningen gäller bara den grova graden. För dataintrång av normalgraden står straffskalan kvar på böter eller fängelse i högst två år.
| Grad | Före 1 augusti 2026 | Från 1 augusti 2026 |
|---|---|---|
| Dataintrång | Böter eller fängelse i högst två år | Böter eller fängelse i högst två år |
| Grovt dataintrång | Fängelse i lägst sex månader och högst sex år | Fängelse i lägst ett och högst åtta år |
Den äldre lydelsen kom genom lag (2014:302).
Var gränsen mot grovt brott går
Lagtexten lämnar inte gränsdragningen öppen. Andra stycket räknar upp tre omständigheter som särskilt ska beaktas vid bedömningen av om brottet är grovt: om gärningen har orsakat allvarlig skada, om den har avsett ett stort antal uppgifter, eller om den annars har varit av särskilt farlig art.
Det är alltså inte allvaret i största allmänhet som avgör, utan tre konkreta hållpunkter. Omfattningen räknas för sig, vilket är skälet till att ett intrång i en databas med tiotusentals poster bedöms annorlunda än ett intrång i ett enskilt konto även när skadan för varje enskild person är liten. Skadan räknas för sig, vilket gör att ett intrång som drabbar få men träffar hårt kan hamna i samma fack. Och den sista punkten, särskilt farlig art, fångar tillvägagångssättet snarare än utfallet.
Formuleringen är en uppräkning av vad som särskilt ska beaktas, inte en checklista där en uppfylld punkt automatiskt ger grovt brott. Bedömningen görs av domstolen i det enskilda fallet.
Två vägar, två myndigheter, två olika utfall
Den vanligaste missuppfattningen efter ett intrång är att en anmälan till Integritetsskyddsmyndigheten och en polisanmälan är samma sak, eller att den ena ersätter den andra. De är två skilda spår med olika regelverk, olika adressat och olika slutresultat.
Den straffrättsliga vägen går genom brottsbalken. Den riktar sig mot en fysisk person som handlat olovligen, prövas av polis, åklagare och domstol, och kan sluta i böter eller fängelse.
Tillsynsvägen går genom dataskyddsregelverket. Integritetsskyddsmyndigheten beskriver sitt uppdrag som att myndigheten är Sveriges dataskyddsmyndighet och tillsynsmyndighet för dataskyddsförordningen, brottsdatalagen, kamerabevakningslagen och kreditupplysningslagen. Myndigheten skriver att den handlägger klagomål från enskilda som anser att deras personuppgifter har behandlats felaktigt, och att den tar emot anmälningar om personuppgiftsincidenter från personuppgiftsansvariga. Om granskningarna står det att de bland annat kan leda till administrativa sanktionsavgifter.
Tillsynen riktar sig mot verksamheten som behandlade uppgifterna och prövar om den skött behandlingen rätt. Brottmålet riktar sig mot personen som tog sig in. Samma händelse kan ge båda, en av dem, eller ingen av dem. En anmälan till den ena myndigheten är inte en anmälan till den andra, och Integritetsskyddsmyndigheten utreder inte brott.
Vill du veta vad en verksamhet faktiskt har registrerat om dig innan du tar ställning, börjar du med ett registerutdrag. Vad förordningen i övrigt ger dig står i vår genomgång av dina rättigheter som privatperson.
Så lång tid har rättsväsendet på sig
Preskriptionstiden följer inte av 9 c paragrafen utan av 35 kapitlet 2 paragrafen brottsbalken, som knyter tiden till det straff som är föreskrivet för brottet. Ett brott preskriberas om den misstänkte inte har häktats, fått del av åtal eller godkänt ett strafföreläggande inom fem år när det är föreskrivet ett svårare straff än fängelse i ett år men inte över två år, och inom femton år när det är föreskrivet ett svårare straff än fängelse i fem år men inte över åtta år.
Dataintrång av normalgraden har fängelse i högst två år som maximum och hamnar därmed i femårsintervallet. Grovt dataintrång har fängelse i högst åtta år som maximum och hamnar i femtonårsintervallet.
Utanför den fristen ligger en yttre gräns. Enligt 35 kapitlet 4 paragrafen preskriberas ett brott alltid efter femton år när det inte är föreskrivet ett svårare straff än fängelse i två år, och efter trettio år för brott med strängare straffskala. Dataintrång av normalgraden hamnar därmed på femton år och grovt dataintrång på trettio. Den gränsen gäller även när fristen i 2 paragrafen har brutits genom häktning eller delgivning av åtal.
Här finns en detalj som är lätt att missa när straffskärpningen beskrivs. Maximistraffet för grovt dataintrång gick från sex till åtta år, men båda talen ligger inom samma intervall i 35 kapitlet, det som sträcker sig över fem år men inte över åtta. Skärpningen höjde alltså straffet utan att förlänga preskriptionstiden.
Observera också vad som avbryter preskriptionen. Paragrafen räknar upp häktning, delgivning av åtal och godkänt strafföreläggande. Din anmälan finns inte i den uppräkningen. Att anmäla i tid stoppar alltså inte klockan av sig självt.
Vad som händer efter en polisanmälan
Polisens sida om dataintrång är skriven för situationen att någon tagit sig in i din dator eller tagit över ett konto du har på sociala medier. Myndigheten anvisar två vägar för anmälan: ring 114 14 eller besök en polisstation. Ring 112 om brottet pågår. Dataintrång finns inte med bland de brott Polisen listar som anmälningsbara via e-tjänst på webben, så räkna med telefon eller besök.
Sedan tar handläggningen vid. Polisen beskriver stegen på sin sida Polisanmälan, allt du behöver veta. När anmälan är gjord bedömer polis eller åklagare vilka möjligheter som finns att utreda brottet och beslutar därefter om en förundersökning ska inledas. Myndigheten skriver rakt ut att en förundersökning bara görs om det finns möjligheter att klara upp brottet, och att den kan läggas ned om det saknas tillräckliga bevis. Kopia på anmälan kommer normalt inom cirka tio arbetsdagar, och diarienumret står högst upp.
Två råd från Polisen hänger direkt ihop med den bedömningen. Spara allt underlag digitalt, alltså skärmdumpar, filer, bilder och mejl, även sådant du har på papper. Och anmäl så snart du kan, eftersom loggar och annan it-relaterad information kan vara svår för polisen att få tag i om det gått för lång tid. Det är alltså inte formaliteter, det är det material som avgör om det finns något att utreda.
Vanliga frågor
Krävs det att jag anmäler för att åklagaren ska kunna väcka åtal?
Nej. 4 kapitlet 11 paragrafen räknar upp de brott i kapitlet som får åtalas av åklagare bara om målsäganden anger brottet till åtal eller om åtal är påkallat från allmän synpunkt. Där står hemfridsbrott, olaga intrång, kränkande fotografering, olovlig identitetsanvändning, olaga integritetsintrång och några till. Dataintrång står inte med i uppräkningen.
Räknas det som dataintrång om jag själv lämnat ut lösenordet?
Lagtexten kräver att åtkomsten skett olovligen. Att du en gång gett någon åtkomst är inte samma sak som att varje senare användning är tillåten, men var den gränsen går i just din situation är en bedömningsfråga som avgörs av rättsväsendet, inte av en artikel.
Vad gäller om uppgifterna läckte från ett företag i stället?
Då riktade intrånget sig mot företagets system, och det är verksamheten som är drabbad av just det brottet. Din väg går i första hand till Integritetsskyddsmyndigheten. Blir de läckta uppgifterna sedan använda mot dig, till exempel genom att någon tar ett lån i ditt namn, är det ett nytt brott där du är den drabbade. Den situationen går vi igenom i guiden för den som fått uppgifter läckta.
Kan man bli dömd för dataintrång utan att ha hackat något?
Lagtexten ställer inget krav på att en teknisk spärr forcerats. Den talar om att olovligen bereda sig tillgång till en uppgift avsedd för automatiserad behandling, och om att olovligen ändra, utplåna, blockera eller föra in en sådan uppgift. Om ett visst förfarande uppfyller rekvisiten prövas i varje enskilt fall.
Olovligen är ordet som avgör
Straffet för dataintrång är böter eller fängelse i högst två år, och för grovt dataintrång fängelse i lägst ett och högst åtta år sedan den 1 augusti 2026. Det avgörande rekvisitet är att åtkomsten eller ändringen skett olovligen, inte att någon brutit sig in. Gränsen mot grovt brott dras med tre omständigheter i lagtexten: allvarlig skada, ett stort antal uppgifter, eller särskilt farlig art. Och den anmälan du gör till polisen är något annat än den du gör till Integritetsskyddsmyndigheten, med olika mottagare och olika utfall.
Uppgifterna kontrollerades den 28 augusti 2026 mot lagtexten hos riksdagen och lagar.se, den officiella författningstexten i Svensk författningssamling, Integritetsskyddsmyndigheten och Polisen.
Den här texten är en allmän genomgång av regelverket, inte juridisk rådgivning.
Utvald bild: Foto: Brett Sayles via Pexels.
Senast faktagranskad: 28 augusti 2026