En personuppgiftsincident kan inträffa i vilken organisation som helst, oavsett hur bra rutiner ni än har på plats. Det avgörande är hur ni hanterar situationen när den väl uppstår. Måste incidenten rapporteras till Integritetsskyddsmyndigheten (IMY)? Behöver de registrerade informeras? Och hur säkerställer ni att ni uppfyller alla krav i GDPR?
Här får du en genomgång av reglerna för rapportering, praktiska exempel från både offentlig och privat sektor, vanliga fallgropar och råd för att hantera incidenter korrekt och effektivt.
En personuppgift är all slags information som direkt eller indirekt kan hänföras till en levande person, till exempel namn, personnummer eller e-postadress.
Enligt GDPR är en personuppgiftsincident en säkerhetsincident som leder till oavsiktlig eller otillåten förstöring, förlust, ändring av samt obehörig åtkomst eller tillgång till personuppgifter.
Det spelar ingen roll om det är en cyberattack, ett misstag från en medarbetare eller en teknisk brist — alla typer av händelser som hotar skyddet av personuppgifter kan utgöra en incident.
Exempel på incidenter:
Att förstå vad som faktiskt räknas som en incident är det första steget för att kunna hantera den på rätt sätt.
Nej, inte alla. Enbart de incidenter som sannolikt medför en risk för de registrerades rättigheter och friheter behöver rapporteras. Detta är dock ett lågt ställt krav och i praktiken behöver därmed de flesta personuppgiftsincidenter rapporteras till IMY.
Enligt GDPR måste rapporteringen ske till IMY inom 72 timmar från det att incidenten upptäckts. Om ni väntar längre än så behöver ni kunna motivera varför och ni riskerar dyra sanktionsavgifter.
Exempel på rapporteringspliktiga incidenter:
Exempel på incidenter som ofta inte behöver rapporteras:
Även om en incident inte behöver rapporteras till IMY måste den ändå dokumenteras internt.
I en kommunal verksamhet kan det till exempel handla om att ett externt byggföretag av misstag får åtkomst till en mapp med sekretessbelagda personuppgifter om barn i socialtjänsten.
En sådan händelse bedöms innebära en hög risk för de berörda och rapporteras till IMY samma dag, tillsammans med en åtgärdsplan för att förhindra att det händer igen och med information till vårdnadshavarna.
I en privat verksamhet kan situationen se annorlunda ut, men principerna är desamma.
Ett e-handelsföretag som upptäcker att en hacker laddat ner en lista med kunders kontaktuppgifter och kreditkortsnummer från webbshopens server måste agera snabbt. Incidenten anmäls till IMY, kunderna informeras direkt och får stöd för att kontrollera sina konton och byta lösenord.
Riskbedömningen handlar om att analysera både sannolikheten för och allvaret i de negativa konsekvenserna för de berörda. Det är en bedömning som ska göras snabbt, men noggrant.
Faktorer att ta hänsyn till:
En väl underbyggd och dokumenterad riskbedömning hjälper både i dialogen med IMY och när ni informerar de registrerade.
Om incidenten innebär en hög risk för de registrerades rättigheter och friheter måste de också informeras, så snart som möjligt. Syftet är att ge dem möjlighet att vidta åtgärder för att skydda sig.
Exempel på när information till de registrerade krävs:
Om ni snabbt har vidtagit åtgärder som kraftigt minskar risken, till exempel genom att spärra konton, återkalla åtkomst eller påvisa att informationen var krypterad, kan det i vissa fall räcka att bara rapportera till IMY.
IMY tillhandahåller ett webbaserat formulär där ni anger:
En ofullständig anmälan är alltid bättre än ingen anmälan alls. Det går att komplettera informationen senare när mer fakta finns tillgänglig. Det viktiga är att skicka in en anmälan 72 timmar från upptäckt!
Det är också viktigt att internt dokumentera alla steg ni tar — även för incidenter som ni inte rapporterar till IMY — för att kunna visa att ni haft kontroll över situationen.
Många organisationer begår misstag som förvärrar situationen eller leder till kritik eller sanktioner. Några av de vanligaste är:
För att undvika dessa misstag är det avgörande att ha tydliga rutiner, utbilda personalen löpande och använda ett systemstöd som hjälper er att hantera incidenter strukturerat.
Att hantera en personuppgiftsincident korrekt kräver både snabbhet och precision. För många organisationer är det en utmaning att på egen hand hålla koll på alla steg: att dokumentera händelsen, göra en riskbedömning, avgöra om den ska rapporteras till IMY och eventuellt informera de registrerade – allt inom 72 timmar.
Med ett dedikerat verktyg för incidenthantering blir processen både enklare och mer tillförlitlig. Ett bra verktyg hjälper er att:
På så sätt slipper ni stress och osäkerhet när en incident inträffar och kan vara trygga med att ni agerar i linje med GDPR:s krav. Ni sparar tid, minskar risken för misstag och kan lättare visa tillsynsmyndigheten att ni haft kontroll på situationen.
Personuppgiftsincidenter inträffar ofta plötsligt och oväntat och kräver snabba och välgrundade beslut. Så snart en incident upptäcks behöver ni utreda den internt och avgöra om den måste anmälas till IMY och om de registrerade behöver informeras.
Med vårt verktyg för incidenthantering kan ni genomföra utredningen snabbare och dokumentationen blir korrekt och komplett.
Privacy Incident hjälper er med att:
Med tydliga rutiner och ett verktyg för att upptäcka och utreda personuppgiftsincidenter har ni redan halva arbetet gjort. När en incident väl inträffar kan ni snabbt kartlägga vad som har hänt, hur många som är drabbade, vilka risker som finns och vilka åtgärder som måste vidtas.
Privacy Incident är en del av ett systematiskt dataskyddsarbete som gör hanteringen säkrare, mer effektiv och ger en tydlig dokumentation och statistik för lärande och förbättringar över tid.
Vill du veta mer?
Boka en demo redan i dag och se hur ni kan hantera personuppgiftsincidenter snabbt, säkert och i full överensstämmelse med GDPR.