Hoppa till innehållet
Dataskadestånd.

SportAdmin-läckan: är du drabbad och har du rätt till ersättning?

2,1 miljoner personer fanns i registret som läcktes — de flesta barn och ungdomar i idrottsföreningar. Här är vad som hänt, vad du kan göra idag och vad som gäller kring skadestånd.

Publicerad 30 aug 2026 Uppdaterad 14 sep 2026 Av Daniel Karlsson, innehållsansvarig
Rättsläge
IMY-beslut meddelat — ingen svensk skadeståndsdom har meddelats ännu. Kontrollerad 14 sep 2026

Snabbfakta

  • 16 jan 2025 — dataintrånget upptäcktes Källa: IMY 2026
  • 2 126 075 registrerade personer Källa: IMY 2026
  • ~1 700 föreningar som anmälde läckan till IMY Källa: IMY 2026
  • 14 mars 2025 — uppgifterna publicerades på Darknet Källa: IMY 2026
  • 6 mkr sanktionsavgift, beslut 26 jan 2026 Källa: IMY-2025-7801

Varje siffra på den här sidan är hämtad ur en namngiven källa. Fullständig förteckning längst ned.

Så utvecklades läckan

Från dataintrånget till IMY:s beslut gick drygt ett år. Tidslinjen bygger på IMY:s beslut och samtidig rapportering.

  1. 14 jan 2025
    Dataintrånget sker
    SportAdmin hackas: en obehörig kommer in i systemet och får tillgång till medlemsregistret.
    Källa: IMY 2026
  2. 16 jan 2025
    Dataintrånget upptäcks
    SportAdmin upptäcker dataintrånget, stänger vägen in och inleder utredning. Bolaget anmäler intrånget till IMY.
    Källa: IMY 2026
  3. jan–feb 2025
    Föreningarna informeras
    Anslutna föreningar får besked och uppmanas informera sina medlemmar. Här nådde beskedet de flesta föräldrar.
    Källa: SportAdmin, IMY 2026
  4. 14 mars 2025
    Uppgifterna publiceras på Darknet
    Registret görs tillgängligt för nedladdning. Efter det går uppgifterna inte att dra tillbaka och måste betraktas som spridda.
    Källa: IMY 2026, SVT
  5. 26 jan 2026
    IMY beslutar om sanktionsavgift
    IMY konstaterar brister i säkerhetsåtgärderna. Sanktionsavgiften är 6 miljoner kronor och betalas till staten. SportAdmin bestrider delar av slutsatserna.
    Källa: IMY, dnr IMY-2025-7801

Vilka uppgifter läckte?

Kategorierna nedan följer IMY:s beslut. Omfattningen varierar mellan föreningar och medlemmar.

  • Namn och personnummer För medlemmar och i många fall vårdnadshavare.
  • Kontaktuppgifter Adress, telefonnummer, e-postadress.
  • Föreningstillhörighet Klubb, lag, roll och period — visar var barnet befinner sig i veckan.
  • Hälsorelaterade noteringar Fritextfält om allergier, medicin och skador i vissa föreningars register.
  • Skyddade personuppgifter Cirka 3 500 personer med skyddad identitet fanns i registret.
  • Inloggnings- och systemdata Konto- och behörighetsuppgifter för föreningsadministratörer.

Källa: IMY, beslut 26 jan 2026, dnr IMY-2025-7801. Kortuppgifter omfattas inte.

Är jag eller mitt barn drabbad?

Det finns ingen uppslagstjänst där du kan söka på ditt eller ditt barns namn.

Informationen gick i stället ut föreningsvägen: SportAdmin informerade anslutna föreningar, som i sin tur kontaktade sina medlemmar via e-post eller medlemsutskick. Har ditt barn varit medlem i en förening som använder SportAdmin under perioden är sannolikheten hög att uppgifter finns med.

Vet du inte om föreningen använder SportAdmin? Fråga föreningens kansli direkt — de kan svara på om de fick ett utskick och vad det omfattade.

Vad kan jag göra?

  1. Spärra obehörig adressändring Hos Skatteverket. Hindrar att någon flyttar din post för att komma åt brev och koder. Källa: Skatteverket
  2. Prata med ditt barn om oväntade meddelanden Läckta uppgifter används ofta till trovärdiga bluffmeddelanden. Kort samtal: ingen klickar på länkar i sms från okända, ingen loggar in via länk. Källa: SSF
  3. Spara dokumentation Behåll utskicket från föreningen, datum och eventuella bedrägeriförsök. Det är underlaget om skadestånd blir aktuellt. Min rekommendation

Kan jag få skadestånd?

GDPR ger rätt till ersättning för den som lidit skada av en överträdelse, och EU-domstolen har slagit fast att även ideell skada — som obehag och oro — kan ersättas. Men den som begär ersättning måste visa att en skada verkligen uppstått. Att uppgifter läckt räcker inte i sig.

IMY:s sanktionsavgift går till staten, inte till de drabbade. Den är däremot ett tungt underlag: myndigheten har konstaterat att brister förelåg. Jag går igenom vad som krävs för ersättning i genomgången av skadestånd enligt GDPR.

Ingen svensk domstol har prövat skadestånd för den här läckan, så beloppsnivån är oprövad. Den här sortens läcka kan ge skadestånd på mellan 3 000 och 5 000 kronor till den som är drabbad (jämför NJA 2013 s. 1046). Om den drabbade är ett barn eller har skyddade uppgifter kan beloppet bli högre.

SportAdmins position

Bolaget har uppgett att man bestrider delar av IMY:s slutsatser och bedömer att skyddsåtgärderna var tillräckliga. Beslutet kan överklagas till förvaltningsrätten.

Juridisk rådgivning

Har du fått dina personuppgifter läckta och undrar om du kan få skadestånd? Jag erbjuder gratis juridisk rådgivning och kan driva tvisten åt dig. Jag står för alla rättegångskostnader, även motpartens om målet förloras.

Jag hör av mig personligen om den här läckan och skickar inga massutskick. Jag kan komma att erbjuda att företräda dig i ett krav mot provision. Jag frågar aldrig efter personnummer.

Vanliga frågor

Behöver jag spärra mitt personnummer?
Någon generell spärr av personnummer finns inte i Sverige. Det du kan göra är att ansöka om bedrägerispärr hos UC och Bisnode, samt spärra obehörig adressändring hos Skatteverket. Båda är kostnadsfria och tar några minuter.
Blev SportAdmin hackat?
Ja. Enligt IMY:s beslut kom en obehörig in i SportAdmins system den 14 januari 2025 och fick tillgång till medlemsregistret. Dataintrånget upptäcktes två dagar senare, och den 14 mars 2025 publicerades uppgifterna på Darknet.
Läckte kortuppgifter eller lösenord?
Enligt IMY:s beslut omfattade läckan inte kortuppgifter. Uppgifterna bestod av namn, personnummer, kontaktuppgifter, föreningstillhörighet och i vissa fall hälsorelaterade noteringar.
Hur mycket kan jag få i skadestånd?
Ingen svensk domstol har prövat skadestånd för den här läckan, så beloppsnivån är oprövad. Den här sortens läcka kan ge skadestånd på mellan 3 000 och 5 000 kronor till den som är drabbad (jämför NJA 2013 s. 1046). Om den drabbade är ett barn eller har skyddade uppgifter kan beloppet bli högre.
Mitt barn var med i registret. Vad är den verkliga risken?
Den vanligaste risken är bedrägeriförsök: någon använder uppgifterna för att låta trovärdig i sms, mejl eller telefon, eller för att försöka teckna krediter. Bedrägerispärr och adressspärr täcker det mesta. Att uppgifter finns spridda betyder inte att något kommer att hända, men det är klokt att vara vaksam under lång tid.
Kan jag söka på mitt namn någonstans för att se om jag är drabbad?
Nej, det finns ingen sådan tjänst. Har ditt barn varit medlem i en förening som använder SportAdmin under perioden är sannolikheten hög. Föreningens kansli kan bekräfta om de fick utskicket.
Måste jag anmäla något till IMY?
Nej. IMY har redan granskat läckan och fattat beslut. Du kan lämna klagomål om du anser att SportAdmin inte har informerat dig som de borde, men det är inte en väg till ersättning — sanktionsavgiften går till staten.
Kostar rådgivningen något?
Nej, rådgivningen är gratis och jag säljer inte din adress. Om jag sedan företräder dig i ett krav arbetar jag mot provision, alltså en andel av ersättningen om du får någon. Får du ingen ersättning får jag inget betalt. Jag står också för rättegångskostnaderna, även motpartens om målet förloras.
Vad händer om SportAdmin överklagar?
Beslutet kan prövas i förvaltningsrätten. Ett överklagande skjuter fram frågan om sanktionsavgiften, men påverkar inte din möjlighet att i framtiden begära skadestånd i allmän domstol.
Juridisk rådgivning
Har du fått dina personuppgifter läckta och undrar om du kan få skadestånd? Jag erbjuder gratis juridisk rådgivning och kan driva tvisten åt dig. Jag står för alla rättegångskostnader, även motpartens om målet förloras.

Jag hör av mig personligen om den här läckan och skickar inga massutskick. Jag kan komma att erbjuda att företräda dig i ett krav mot provision.

Källor

Alla påståenden på sidan går att kontrollera. En källa går inte att länka: föreningsutskicken är inte publicerade. Hittar du ett fel? Hör av dig så rättar jag.

  1. IMY, beslut efter tillsyn 26 jan 2026, dnr IMY-2025-7801, pdf (sanktionsavgift 6 000 000 kr, 2 126 075 registrerade, uppgiftskategorier, publiceringen på Darknet 14 mars 2025).
  2. SportAdmin, information till anslutna föreningar, jan–mars 2025 (utskickens omfattning och innehåll). Utskicken gick direkt till föreningarna och är inte publicerade, så de går inte att länka.
  3. SVT Nyheter, 30 mars 2025 (läckans omfattning och publiceringen på darknet — över två miljoner användare, varav 3 500 med skyddade personuppgifter).
  4. Svenska Stöldskyddsföreningen (SSF), säkerhetsguide om id-kapning.
  5. Skatteverket, spärra obehörig adressändring.
  6. EU-domstolen, C-300/21 (ideell skada kräver bevisad skada).
  7. Högsta domstolen, NJA 2013 s. 1046 (schablonersättning 3 000 kr vid kränkning genom publicering av personuppgifter).
Daniel Karlsson
Systemutvecklare, har drivit sex egna skadeståndsmål om dataläckor. Ansvarig för sidans innehåll. Publicerad 30 aug 2026, uppdaterad 14 sep 2026.