Integritet · 12 november 2026
Personuppgiftsmyndigheten skärper reglerna för dataskydd med böter upp till 10 procent av omsättningen
Personuppgiftsmyndigheten övergår från efterhandssanktioner till förebyggande åtgärder och stärkt ansvar för företagsledningen vid dataskyddsöverträdelser. Vid upprepade och allvarliga överträdelser av personuppgiftslagen kan böter på upp till 10 procent av omsättningen nu utdömas.
Myndigheten presenterade de nya riktlinjerna på ett personuppgiftsskyddsforum den 9 november, där omkring 450 personuppgiftsskyddschefer deltog. Fokus ligger på att företag ska se personuppgiftsskydd som en ledningsfråga snarare än enbart regelefterlevnad.
Det straffande bötesystemet trädde i kraft den 11 september. Det gäller för dataskydd som inträffar efter lagändringen. Vid beräkning av böter tillämpas nu det högre värdet av antingen genomsnittlig omsättning de senaste tre åren eller föregående års omsättning. Detta innebär att företag med snabbt växande omsättning kan få högre bötesunderlag än tidigare.
Myndigheten erbjuder samtidigt incitament för företag som investerar i förebyggande åtgärder. Sådana investeringar kan minska bötesbeloppet vid överträdelser.
VD:ar får nu ett tydligare ansvar för personuppgiftsskydd. Myndigheten förbereder riktlinjer och handböcker för hur verkställande direktörer ska agera vid dataskydd. Personuppgiftsskyddschefer måste nu godkännas av styrelsen och anmälas till myndigheten. För nya personuppgiftsskyddschefer som utses efter den 11 september gäller detta krav omedelbar, medan befintliga chefer får övergångsbestämmelser. Anmälan måste göras inom sex månader från det att proceduren är slutförd.
Myndigheten skärper också kraven på ISMS-P-certifieringen, som är ett informationssäkerhetssystem. Tidigare har stora dataskydd inträffat även hos certifierade företag. Framöver fokuseras på faktiska skyddsåtgärder i stället för formell granskning. Efterkontroller kommer också att förstärkas. Från den 1 juli 2027 utökas kravet på ISMS-P-certifiering till fler organisationer och företag.
Reglerna för anmälan av dataskydd ändras. Tidigare krävdes anmälan endast när dataskydd bekräftats. Nu måste anmälan göras även när risken för dataskydd är hög. Anmälningskraven utökas också för att omfatta förfalskning, ändring och skada på personuppgifter orsakad av ransomware.
Myndigheten betonar vikten av att tillämpa personuppgiftsskydd redan vid systemdesign, inte bara efteråt. Befintliga system prioriterar ofta effektivitet framför säkerhet, vilket leder till att viktiga säkerhetssteg utelämnas. Myndigheten planerar att lagstifta om denna designprincip och utöka certifieringen för hårdvara och programvara.
Små och medelstora företag får stöd genom konsulttjänster. Myndigheten avsätter cirka 2,4 miljarder won för ett konsultationsprogram 2027 för att hjälpa mindre företag att identifiera säkerhetsproblem och förbättra sina system.
Myndigheten övervakar också hur personuppgifter samlas in, överförs och behandlas i anslutna produkter som robotdammsugare. Övervakningen av personuppgifter som sprids på darkweb och utländska webbplatser utökas för att förhindra sekundär skada som röstfishing.
Myndigheten stöder också säker användning av personuppgifter inom artificiell intelligens och dataindustrin. Företag kan använda personuppgifter för utveckling av artificiell intelligens under vissa villkor. Myndigheten förbereder undantagsbestämmelser och motsvarande förordningar. Utveckling och kommersialisering av personuppgiftsskyddstekniker stöds också. Företag kan använda förhandsgranskning och regulatoriska sandlådor när de utvecklar nya tjänster för artificiell intelligens.