Certezza har tagit initiativ till en studie med syfte att undersöka vilka gärningspersoner som faktiskt fälls för dataintrång. Studien tog avstamp i Brottsförebyggande rådets rapport från 2022 om polisanmälda dataintrång. Brå undersökte dock inte vilka som döms, vilket väckte vårt intresse – liksom frågan om uppklarandegraden fortfarande mäts i promille. I arbetet med studien fann vi en oväntad överrepresentation av gärningar som kunde härledas till slarv kring e-tjänstelegitimationer.
Studien, som presenteras inom kort, omfattar 83 fällande domar från 2025 som vi analyserat. Antalet domar ska sättas i relation till att det enligt Polismyndigheten anmäldes 9 334 dataintrång under samma år. Uppklarandegraden uppgår totalt till 8,9 promille.
Brås rapport pekade på flera utmaningar i utredningar av dataintrång som bristande engagemang hos målsägare att delta i utredningen, särskilt hos utsatta företag, till svårigheter med att få tillgång till data från operatörer och från molntjänster – utmaningar som vi delar. Samtidigt ser vi ingen nämnvärd förändring; uppklarandegraden ligger fortsatt på ungefär samma nivå som för cykelstölder. Skillnaden är att dataintrång ofta handlar om avancerad cyberbrottslighet med stor påverkan på samhället. För denna typ av avancerade dataintrång är uppklarandegraden dessutom väsentligt lägre än för andra former av dataintrång.
Den vanligaste typen av dataintrång i materialet är olovlig registerslagning, vilket innebär att gärningspersonen gjort otillåtna sökningar i arbetsgivarens register eller system. Resultatet visar också att den vanligaste typen av organisation och yrkesroll som gärningspersonen tillhör återfinns inom vård och omsorg – inte sällan till följd av delade e-tjänstelegitimationer. Därför är det heller inte oväntat att de vanligaste målsägarna är patienter samt släkt och familj.
I domarna framgår det att personer inom vård och omsorg ofta hävdat sin oskuld genom att beskriva en arbetskultur där e-tjänstelegitimationer delas och kort lämnas kvar i datorerna. Enligt vårdanställda kan in- och utloggning ta upp till fem minuter, vilket leder till att korten lämnas kvar för att spara tid. Systemet blir därmed i sig en säkerhetsrisk och kan leda till att brott begås – med eller utan uppsåt. Själva inloggningsprocessen blir alltså en bidragande orsak till brottsligheten, snarare än enbart människors nyfikenhet.
Det är med andra ord ett klassiskt it-problem som ligger bakom en stor andel av de dataintrången som leder till fällande dom. Av allt att döma sker dessa dataintrång inte med uppsåt, utan som en konsekvens av att personal försöker utföra sina arbetsuppgifter så effektivt som möjligt. Jag vågar påstå att problemet inte ligger i e-tjänstelegitimationen i sig, utan snarare i hur vårdens verksamhetssystem – och de it-miljöer som ska stödja dem – har utformats.
Trots många decennier i informations- och cybersäkerhetsbranschen är det med viss förvåning jag konstaterar att den studie vi tagit initiativ till – med fokus på behovet av att stärka förmågan att bekämpa och lagföra avancerad cyberbrottslighet – också blottlägger uppenbara systemproblem inom vården.
Om vi exkluderar dessa former av dataintrång blir uppklarandegraden ännu lägre.
Författare Thomas Nilsson