Uppgifterna har på det sättet kunnat spridas utanför myndigheten.
Tullverket har anmält händelsen till Datainspektionen, som ska granska ärendet.
– Det är bilder i molntjänsten, och bilder innebär personuppgiftsbehandling, säger Max Blidberg, jurist vid Datainspektionen.
Datainspektionen vill inte gå in på vilken app det handlar om eller om den används av personalen som arbetsredskap.
Tullverket ska i nästa steg ge en utförligare bild av den så kallade personuppgiftsincidenten för att Datainspektionen ska kunna utreda händelsen.