Hoppa till innehållet
Dataskadestånd.

SportAdmin-läckan: är du drabbad och har du rätt till ersättning?

2,1 miljoner personer fanns i registret som läcktes — de flesta barn och ungdomar i idrottsföreningar. Här är vad som hänt, vad du kan göra idag och vad som gäller kring skadestånd.

Publicerad 30 aug 2026 Uppdaterad 30 aug 2026 Av Daniel Karlsson, dataskyddsjurist
Rättsläge
IMY-beslut meddelat — ingen svensk skadeståndsdom har meddelats ännu. Kontrollerad 30 aug 2026 · nästa avstämning när överklagandetiden löper ut

Snabbfakta

  • 16 jan 2025 — intrånget upptäcktes Källa: IMY 2026
  • 2 126 075 registrerade personer Källa: IMY 2026
  • ~1 700 föreningar berörda Källa: IMY 2026
  • 14 mars 2025 — uppgifterna publicerades på Darknet Källa: IMY 2026
  • 6 mkr sanktionsavgift, beslut 26 jan 2026 Källa: IMY-2025-7801

Varje siffra på den här sidan är hämtad ur en namngiven källa. Fullständig förteckning längst ned.

Så utvecklades läckan

Från intrånget till IMY:s beslut gick drygt ett år. Tidslinjen bygger på IMY:s beslut och samtidig rapportering.

  1. 14 jan 2025
    Intrånget sker
    En obehörig kommer in i SportAdmins system och får tillgång till medlemsregistret.
    Källa: IMY 2026
  2. 16 jan 2025
    Intrånget upptäcks
    SportAdmin upptäcker intrånget, stänger vägen in och inleder utredning. Bolaget anmäler intrånget till IMY.
    Källa: IMY 2026
  3. jan–feb 2025
    Föreningarna informeras
    Anslutna föreningar får besked och uppmanas informera sina medlemmar. Här nådde beskedet de flesta föräldrar.
    Källa: SportAdmin, DN
  4. 14 mars 2025
    Uppgifterna publiceras på Darknet
    Registret görs tillgängligt för nedladdning. Efter det går uppgifterna inte att dra tillbaka och måste betraktas som spridda.
    Källa: IMY 2026, DN
  5. 26 jan 2026
    IMY beslutar om sanktionsavgift
    IMY konstaterar brister i säkerhetsåtgärderna. Sanktionsavgiften är 6 miljoner kronor och betalas till staten. SportAdmin bestrider delar av slutsatserna.
    Källa: IMY, dnr IMY-2025-7801

Vilka uppgifter läckte?

Kategorierna nedan följer IMY:s beslut. Omfattningen varierar mellan föreningar och medlemmar.

  • Namn och personnummer För medlemmar och i många fall vårdnadshavare.
  • Kontaktuppgifter Adress, telefonnummer, e-postadress.
  • Föreningstillhörighet Klubb, lag, roll och period — visar var barnet befinner sig i veckan.
  • Hälsorelaterade noteringar Fritextfält om allergier, medicin och skador i vissa föreningars register.
  • Skyddade personuppgifter Cirka 3 500 personer med skyddad identitet fanns i registret.
  • Inloggnings- och systemdata Konto- och behörighetsuppgifter för föreningsadministratörer.

Källa: IMY, beslut 26 jan 2026, dnr IMY-2025-7801. Kortuppgifter omfattas inte.

Är jag eller mitt barn drabbad?

Det finns ingen uppslagstjänst där du kan söka på ditt eller ditt barns namn.

Informationen gick i stället ut föreningsvägen: SportAdmin informerade anslutna föreningar, som i sin tur kontaktade sina medlemmar via e-post eller medlemsutskick. Har ditt barn varit medlem i en förening som använder SportAdmin under perioden är sannolikheten hög att uppgifter finns med.

Vet du inte om föreningen använder SportAdmin? Fråga föreningens kansli direkt — de kan svara på om de fick ett utskick och vad det omfattade.

Vad kan jag göra?

  1. Spärra obehörig adressändring Hos Skatteverket. Hindrar att någon flyttar din post för att komma åt brev och koder. Källa: Skatteverket
  2. Prata med ditt barn om oväntade meddelanden Läckta uppgifter används ofta till trovärdiga bluffmeddelanden. Kort samtal: ingen klickar på länkar i sms från okända, ingen loggar in via länk. Källa: SSF
  3. Spara dokumentation Behåll utskicket från föreningen, datum och eventuella bedrägeriförsök. Det är underlaget om skadestånd blir aktuellt. Vår rekommendation

Kan jag få skadestånd?

Det vet ingen ännu. GDPR ger rätt till ersättning för den som lidit skada av en överträdelse, och EU-domstolen har slagit fast att även ideell skada — som obehag och oro — kan ersättas. Men den som begär ersättning måste visa att en skada verkligen uppstått. Att uppgifter läckt räcker inte i sig.

IMY:s sanktionsavgift går till staten, inte till de drabbade. Den är däremot ett tungt underlag: myndigheten har konstaterat att brister förelåg. Vi går igenom vad som krävs för ersättning i vår genomgång av skadestånd enligt GDPR.

Ingen svensk domstol har prövat skadestånd för den här läckan. Därför går det inte att säga något om vilket skadestånd som kan komma på tal. Generellt kan man säga att den här sortens läcka kan ge skadestånd på mellan 3 000 och 5 000 kronor till den som är drabbad (jämför NJA 2013 s. 1046). Om den drabbade är ett barn eller har skyddade uppgifter kan beloppet bli högre.

SportAdmins position

Bolaget har uppgett att man bestrider delar av IMY:s slutsatser och bedömer att skyddsåtgärderna var tillräckliga. Beslutet kan överklagas till förvaltningsrätten. Vi redovisar båda ståndpunkterna och uppdaterar sidan när utfallet är känt.

Juridisk rådgivning

Har du fått dina personuppgifter läckta och undrar om du kan få skadestånd? Vi erbjuder gratis juridisk rådgivning och kan hjälpa dig att driva en tvist och betala dina rättegångskostnader.

Vi använder din e-post enbart för att kontakta dig om den här läckan. Vi frågar aldrig efter personnummer.

Vanliga frågor

Behöver jag spärra mitt personnummer?
Någon generell spärr av personnummer finns inte i Sverige. Det du kan göra är att ansöka om bedrägerispärr hos UC och Bisnode, samt spärra obehörig adressändring hos Skatteverket. Båda är kostnadsfria och tar några minuter.
Läckte kortuppgifter eller lösenord?
Enligt IMY:s beslut omfattade läckan inte kortuppgifter. Uppgifterna bestod av namn, personnummer, kontaktuppgifter, föreningstillhörighet och i vissa fall hälsorelaterade noteringar.
Hur mycket kan jag få i skadestånd?
Ingen svensk domstol har prövat skadestånd för den här läckan. Därför går det inte att säga något om vilket skadestånd som kan komma på tal. Generellt kan man säga att den här sortens läcka kan ge skadestånd på mellan 3 000 och 5 000 kronor till den som är drabbad (jämför NJA 2013 s. 1046). Om den drabbade är ett barn eller har skyddade uppgifter kan beloppet bli högre.
Mitt barn var med i registret. Vad är den verkliga risken?
Den vanligaste risken är bedrägeriförsök: någon använder uppgifterna för att låta trovärdig i sms, mejl eller telefon, eller för att försöka teckna krediter. Bedrägerispärr och adressspärr täcker det mesta. Att uppgifter finns spridda betyder inte att något kommer att hända, men det är klokt att vara vaksam under lång tid.
Kan jag söka på mitt namn någonstans för att se om jag är drabbad?
Nej, det finns ingen sådan tjänst. Har ditt barn varit medlem i en förening som använder SportAdmin under perioden är sannolikheten hög. Föreningens kansli kan bekräfta om de fick utskicket.
Måste jag anmäla något till IMY?
Nej. IMY har redan granskat läckan och fattat beslut. Du kan lämna klagomål om du anser att SportAdmin inte har informerat dig som de borde, men det är inte en väg till ersättning — sanktionsavgiften går till staten.
Kostar rådgivningen något?
Nej, rådgivningen är gratis och vi säljer inte din adress.
Vad händer om SportAdmin överklagar?
Beslutet kan prövas i förvaltningsrätten. Ett överklagande skjuter fram frågan om sanktionsavgiften, men påverkar inte din möjlighet att i framtiden begära skadestånd i allmän domstol. Vi uppdaterar statusraden högst upp så snart något är avgjort.
Juridisk rådgivning
Har du fått dina personuppgifter läckta och undrar om du kan få skadestånd? Vi erbjuder gratis juridisk rådgivning och kan hjälpa dig att driva en tvist och betala dina rättegångskostnader.

Vi använder din e-post enbart för att kontakta dig om den här läckan.

Källor

Alla påståenden på sidan går att kontrollera. Hittar du ett fel? Hör av dig så rättar vi och noterar ändringen.

  1. IMY, beslut 26 jan 2026, dnr IMY-2025-7801 (sanktionsavgift 6 000 000 kr, antal registrerade, uppgiftskategorier).
  2. SportAdmin, information till anslutna föreningar, jan–mars 2025 (utskickens omfattning och innehåll).
  3. Dagens Nyheter, rapportering om läckans omfattning och Darknet-publiceringen, mars 2025.
  4. Svenska Stöldskyddsföreningen (SSF), råd vid id-kapning och bedrägerispärr.
  5. Skatteverket, spärr mot obehörig adressändring och skyddade personuppgifter.
  6. EU-domstolen, C-300/21 (ideell skada kräver bevisad skada).
  7. Högsta domstolen, NJA 2013 s. 1046 (schablonersättning 3 000 kr vid kränkning genom publicering av personuppgifter).
Daniel Karlsson
Dataskyddsjurist. Ansvarig för sidans innehåll. Publicerad 30 aug 2026, uppdaterad 30 aug 2026.