L'Autorité suédoise de protection de la vie privée (IMY) a publié une décision de sanction à l'encontre de Sportadmin, comprenant le prononcé d'une amende de 6 000 000 de couronnes suédoises (environ 530 000 €), pour des manquements liés à la sécurité des données personnelles.
Cette affaire débute par une enquête de l'autorité suite à une cyberattaque subie par l'entreprise en janvier 2025, ayant entraîné la fuite et la publication sur le Darknet des données de plus de 2,1 millions de personnes.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'assurer la sécurité du traitement (article 32 du RGPD) : L'autorité a relevé des défaillances techniques et organisationnelles, notant que Sportadmin n'avait pas mis en place un niveau de sécurité adapté aux données traitées, qui concernaient majoritairement des enfants et incluaient des données de santé. Il a été établi que l'entreprise avait connaissance de vulnérabilités dans ses systèmes et de zones à risque élevé bien avant l'attaque, mais que les mesures prises pour y remédier ont été jugées insuffisantes. L'entreprise ne disposait ni des procédures requises pour détecter les failles dans ses mesures de sécurité existantes, ni d'un système de détection des intrusions et des tentatives d'intrusion en temps réel.

En conséquence, l'autorité a imposé une amende de 6 000 000 de couronnes suédoises (environ 530 000 €) à Sportadmin.