Polisens personal- och lönesystem, som kallas Palasso, innehåller namn, personnummer och löner på landets alla polisanställda. Där finns även uppgifter om personalens närmaste anhöriga, inklusive deras barn. Det går till och med att se vart poliser reser, vilka meriter de har och vilka scheman de följer.
Ekot beskriver systemet, som funnits sedan 1990-talet, som "hjärtat i polisens verksamhet".
Den som har tillgång till Palasso får en unik inblick i polisens arbete.
Fram till 2015 skötte polisen själv systemet, men därefter tog man hjälp av ett utländskt företag, kanadensiska CGI. Företaget kunde logga in i polisens lönesystem från sina egna privata lokaler i utlandet, i stället för de särskilda lokaler som polisen använt.
Enligt Säkerhetsskyddsförordningen måste känslig information, i detta fall när den skickas mellan polisen och CGI, krypteras på ett sätt som godkänns av den svenska Försvarsmakten.
Men för att spara tid och pengar ska rikspolischefen Dan Eliasson våren 2015 ha gjort ett otillåtet undantag från denna regel.
Pia Gruvö, chef för IT-säkerhet på Militära underättelse- och säkerhetstjänsten, MUST, ser allvarligt på det inträffade och gör paralleller till IT-läckan på Transportstyrelsen. Enligt henne innebär händelsen att uppgifterna kan ha hamnat hos obehörig.
– Det bryter ju mot säkerhetsskyddsförordning och vad som kan hända där det har vi ju sett nyligen då, säger Pia Gruvö till Ekot och syftar på att Transportstyrelsens generaldirektör Maria Ågren tvingades avgå för brott mot samma förordning.
Gruvö påpekar att enbart regeringen får göra avsteg från Säkerhetsskyddsförordningen, vilket inte ska ha skett.
– Om detta stämmer så är det ju ytterst allvarligt. Det kan handla om känsliga uppgifter för poliser och deras familjer. Nu måste rikspolischefen redogöra för om detta stämmer. Vi måste också veta om det skett i samråd med departement och regeringen, sade Moderaternas rättspolitiske talesperson Tomas Tobé i SVT Aktuellt 21.
Dan Eliasson har inte velat kommentera avslöjandet, trots att han enligt beslutet han skrev under 2015 var medveten om riskerna med att frångå reglerna i Säkerhetsskyddsförordningen, skriver Ekot.
I efterhand har polisen förnekat att man brutit mot Säkerhetsskyddsförordningen. Enligt polisen handlar det hela om ett missförstånd.
"Det finns utrymme att använda andra säkra lösningar när det, som i detta fall, gäller IT-nätverk som kontrolleras av oss själva. Här har vårt beslut varit otydligt, vilket vi beklagar", skriver polisen på sin hemsida.
