När ett företag hanterar personuppgifter felaktigt är rubrikens siffra vanligtvis maximibeloppet för böter. Enligt GDPR kan böter uppgå till 17,5 miljoner pund eller 4 % av den globala omsättningen i Storbritannien, och 20 miljoner euro eller 4 % av den globala omsättningen i EU. Dessa siffror låter abstrakta, men de finns för att skydda dig. Den här guiden förklarar vad de innebär på klarspråk. ## Maximiböterna enligt GDPR i Storbritannien och EU De två regelverken följer samma grundläggande utformning. Vart och ett fastställer ett fast tak i sin egen valuta och en procentandel av organisationens globala omsättning. - **Storbritannien:** upp till 17,5 miljoner pund eller 4 % av den globala omsättningen - **EU:** upp till 20 miljoner euro eller 4 % av den globala omsättningen Procentandelen spelar roll eftersom den skalar med organisationens storlek. En fast summa skulle vara försumbar för ett mycket stort företag, så alternativet baserat på omsättning låter tillsynsmyndigheterna fastställa en påföljd som faktiskt känns. Topprankade guider i ämnet beskriver regeln som "det högre av de två" för den lägre nivån, och samma logik är det som gör rubrikens tak meningsfullt för stora företag. Dessa är tak, inte standardpåföljder. De flesta böter landar långt under maximibeloppet, och en tillsynsmyndighet måste motivera var ett ärende hamnar. ## Vilka överträdelser som faller inom respektive nivå GDPR använder en två nivåers-struktur. Den högre nivån, den som har taket på 17,5 miljoner pund eller 20 miljoner euro, är reserverad för de allvarligare överträdelserna. Den lägre nivån omfattar mindre allvarliga brister och har ett lägre tak. Offentligt tillgängliga sammanfattningar anger EU:s lägre nivå till 10 miljoner euro eller 2 % av den globala årsomsättningen. I grova drag riktar sig den högre nivån mot överträdelser som träffar kärnan i dina rättigheter, såsom att bryta mot grundprinciperna för behandling av uppgifter eller att neka människor de rättigheter lagen ger dem. Den lägre nivån förknippas i allmänhet med mer procedurmässiga eller organisatoriska skyldigheter. För en djupare genomgång av hur uppdelningen fungerar, se vår förklaring om [hur GDPR:s två nivåers påföljdssystem fungerar](/en/gdpr-fines-in-2026-how-the-two-tier-penalty-system-works). ## Hur tillsynsmyndigheterna fastställer den faktiska bötern Maximibeloppet är bara den inledande ramen. Tillsynsmyndigheterna väger omständigheterna i varje enskilt fall, och processen är inte en enkel uppslagstabell. En regel värd att känna till: när flera överträdelser inträffar samtidigt bör den totala bötern inte överstiga det belopp som anges för den allvarligaste överträdelsen. I praktiken innebär det att det tillämpliga taket är kopplat till den mest allvarliga överträdelsen i ärendet, inte summan av varje tak. Allvarlighetsgrad, organisationens storlek och typen av brist spelar alla in i den slutliga siffran. Det är därför två företag med liknande överträdelser kan få mycket olika påföljder, och varför rubrikernas maximibelopp bör läsas som en övre gräns snarare än en förutsägelse. ## Vad detta innebär för dig Böter går till tillsynsmyndigheter, inte till drabbade individer, så påföljden i sig kommer inte att ge dig pengar. Deras värde för dig är indirekt, men verkligt. - **De skapar en avskräckande effekt.** Ett tak kopplat till global omsättning ger även stora organisationer en anledning att ta dataskydd på allvar. - **De backar upp dina rättigheter.** Påföljderna på den högre nivån är kopplade till de överträdelser som betyder mest för dig, inklusive hur dina uppgifter används och huruvida dina rättigheter respekteras. - **De ger dig en väg att agera.** Om du anser att en organisation har missbrukat dina uppgifter kan du först ta upp frågan med organisationen och sedan vända dig till dataskyddsmyndigheten i ditt land. I Storbritannien är den myndigheten ICO. Det hjälper också att hålla förväntningarna realistiska. Ett mycket stort maximibelopp betyder inte att varje överträdelse leder till en mycket stor böt. Vår bevakning av [GDPR-böter och två nivåers-systemet](/en/gdpr-fines-in-2026-how-the-two-tier-penalty-system-works) undersöker varför de iögonfallande siffrorna kan vilseleda. ## Praktiska slutsatser Att förstå GDPR-böter är mest användbart eftersom det visar dig var din hävstång finns. Några steg sätter den kunskapen i arbete: 1. **Känn skillnaden mellan brittiska och EU-regler.** Det brittiska taket är 17,5 miljoner pund eller 4 %, och EU-taket är 20 miljoner euro eller 4 %. Vilket som gäller beror på var organisationen är verksam och var du befinner dig. 2. **Spara dokumentation.** Om du kontaktar ett företag angående dina uppgifter, spara e-postmeddelanden, datum och svar. De spelar roll om du senare klagar till en tillsynsmyndighet. 3. **Använd dina rättigheter.** Du kan fråga organisationer vilka uppgifter de har om dig och ta upp problem när något verkar fel. 4. **Eskalera vid behov.** Om ett företag inte löser ditt ärende är den nationella dataskyddsmyndigheten nästa steg. 5. **Minska din exponering.** Dela bara de uppgifter som en tjänst verkligen behöver, och använd starka, unika lösenord och tvåfaktorsautentisering. GDPR-böter, vare sig 17,5 miljoner pund i Storbritannien eller 20 miljoner euro i EU, är den synliga kanten av ett bredare system utformat för att hålla dina personuppgifter under din kontroll. Att känna till hur systemet fungerar gör det lättare att använda det.

Whirlpool listat på Whitearmors läckagesajt: Det här vet vi

Ransomware drabbade 1 140 industriföretag under Q2 2026, enligt Dragos

Quest Diagnostics har informerat tillsynsmyndigheter om att en obehörig part har fått åtkomst till ett av deras system, och att "vissa patientjournaler" kan vara påverkade. Avslöjandet, som gjordes i en regulatorisk inlämning och rapporterades av SecurityWeek, kretsar kring Quanum Lab Services Manager, en plattform där vissa kunder kan lägga testbeställningar. Detaljerna är fortfarande begränsade, men historien om **Quest Diagnostics dataintrång patientjournaler** erbjuder redan användbara lärdomar för alla som någonsin har tagit blodprov eller andra labbtester i USA. ## Vad Quest avslöjade om Quanum-intrånget Enligt källrapporten rapporterade Quest Diagnostics obehörig åtkomst till Quanum Lab Services Manager i en regulatorisk inlämning. Plattformen används av vissa kunder, vilket innebär vårdgivare och liknande organisationer, för att lägga beställningar på labbtester. Det är inte en konsumentinriktad app som de flesta patienter loggar in på själva. Företaget uppgav att man tror att vissa patientjournaler var involverade. Rapporteringen om inlämningen indikerar också att den fullständiga omfattningen fortfarande utreds. Vissa inlägg på sociala medier som cirkulerar om incidenten gör bredare påståenden, bland annat om vilka datatyper som exponerades. Eftersom själva inlämningen endast beskrivs i allmänna ordalag bör dessa påståenden behandlas försiktigt tills Quest eller tillsynsmyndigheter publicerar mer information. Det vi med säkerhet kan säga är begränsat: en kundinriktad beställningsplattform har accessed utan behörighet, vissa patientjournaler tros vara påverkade, och utredningen pågår. Läsare bör förvänta sig att bilden förändras i takt med att företaget får mer kunskap. ## Varför plattformar för labbbeställningar är en svag punkt i vårdsekretessen De flesta tänker på ett labb som en enda organisation. I praktiken involverar ett test en kedja av parter: din läkarmottagning, labbet, faktureringssystem och programvara som kopplar dem samman. Portaler som Quanum finns för att externa kunder ska kunna skicka beställningar och ta emot information, vilket innebär att de per design innehåller patientuppgifter och är åtkomliga för många användare från många platser. Den kombinationen skapar risk. Varje ansluten kund är ännu en uppsättning inloggningsuppgifter, enheter och personal som kan bli måltavla. Ett system byggt för bekvämlighet över många organisationer är också en värdefull enda åtkomstpunkt för en angripare. Du kanske aldrig har hört talas om plattformen, men dina journaler kan passera genom den helt enkelt för att en vårdgivare valde ett visst labb. Det är också därför patienter ofta får reda på ett intrång i andra hand. Organisationen du hade direkt kontakt med är kanske inte den som drabbades, så meddelanden kan komma från ett företag du inte känner igen. ## Vad detta innebär för dig Om du har använt Quest Diagnostics, direkt eller genom en läkare, är det praktiska budskapet att vara uppmärksam snarare än att panika. Inte alla patienter är påverkade, och företaget har inte publicerat en fullständig lista över exponerade data. Här är vad du bör göra nu: - **Håll utkik i din post och e-post efter ett meddelandebrev.** Organisationer som drabbas av ett intrång som påverkar personuppgifter förväntas vanligtvis meddela de berörda personerna. Läs eventuellt meddelande noggrant och spara en kopia. - **Överväg en kreditfrysning.** En frysning är gratis och begränsar någons möjlighet att öppna ny kredit i ditt namn. Det är en förnuftig försiktighetsåtgärd om ett meddelande säger att identifierande uppgifter var involverade. - **Var skeptisk mot oväntade meddelanden om din hälsa.** SMS, samtal eller e-post som nämner labbresultat, fakturering eller "verifiering av dina journaler" kan vara nätfiskeförsök. Kontakta Quest eller din vårdgivare via ett telefonnummer eller en webbplats som du själv hittar, inte ett som anges i meddelandet. - **Granska dina konton och uttalanden.** Kontrollera bank-, försäkrings- och hälsoportalaktivitet för något obekant och rapportera problem omedelbart. - **Stärk dina inloggningar.** Använd unika lösenord och multifaktorautentisering på patientportaler, e-post och finansiella konton. ## Hur stulna hälsodata används efter ett intrång Medicinsk information är attraktiv eftersom den kombinerar identitetsuppgifter med känslig kontext. Kriminella kan använda den för att skapa övertygande nätfiskemeddelanden som refererar till en verklig vårdgivare eller ett verkligt test, vilket gör att människor är mer benägna att klicka eller dela mer information. Identitetsuppgifter kan också användas i försök till bedrägeri. Det finns en andra användning som har blivit vanligare: påtryckning. Stulna journaler kan hållas över en organisation som hävstång, med angripare som hotar att publicera dem om inte krav uppfylls. Vår förklaring om [hur rykte blev vapnet i ransomware-datautpressning](/en/ransomware-gang-data-extortion-reputation-now-the-weapon-in-2026) täcker varför stulna data har blivit ett förhandlingsverktyg. Källrapporten om Quest säger inte att utpressning är involverad här, så detta är kontext snarare än ett påstående om denna incident. Det är också värt att notera att vägledning efter ett intrång kan variera beroende på vad som togs. I ett orelaterat fall rådde ett företag inom besöksnäringen drabbade gäster att [fysiskt ersätta sina pass och körkort](/en/quest-apartments-breach-guests-told-to-replace-passports) efter att identitetshandlingar exponerats. Det företaget har ingen koppling till Quest Diagnostics, men exemplet visar varför de specifika datatyperna som anges i ditt meddelande spelar större roll än rubriken. ## Viktiga slutsatser Avslöjandet om Quest Diagnostics dataintrång patientjournaler utvecklas fortfarande, och det exakta antalet personer och typer av data som påverkas är ännu inte offentliga. Tills de är det täcker några vanor det mesta av risken: 1. Håll utkik efter ett intrångsmeddelandebrev och läs det noggrant. 2. Frys din kredit om meddelandet nämner identifierande information. 3. Behandla oväntade hälso- eller faktureringsmeddelanden som misstänkta och verifiera via officiella kanaler. 4. Aktivera multifaktorautentisering för dina viktiga konton. För att förstå varför stulna journaler kan spela roll långt efter de första rubrikerna, läs vår artikel om [ransomware-datautpressning](/en/ransomware-gang-data-extortion-reputation-now-the-weapon-in-2026), och ta sedan tio minuter idag för att säkra din kredit och dina konton.

Autonom AI-lönsprogram automatiserar intrång till utpressning