På den här sidan
En personuppgiftsincident ska som huvudregel anmälas till Integritetsskyddsmyndigheten (IMY) inom 72 timmar från att ni fått kännedom om den. Alla incidenter ska dessutom dokumenteras internt, även de som inte behöver anmälas.
Vad räknas som en personuppgiftsincident?
GDPR definierar en personuppgiftsincident som en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring av personuppgifter, eller till obehörigt röjande av eller obehörig åtkomst till dem. Det handlar alltså inte bara om dataintrång. Vanliga exempel:
- Ett mejl med personuppgifter skickas till fel mottagare.
- En dator, mobil eller ett USB-minne med personuppgifter försvinner.
- Ett intrång eller en utpressningsattack gör att uppgifter läcker eller blir oåtkomliga.
- Behörigheter är felinställda så att obehöriga kan se uppgifter.
- Uppgifter raderas av misstag och kan inte återställas.
Anmälan till IMY inom 72 timmar
Enligt artikel 33 ska den personuppgiftsansvarige anmäla incidenten till IMY utan onödigt dröjsmål och om möjligt inom 72 timmar efter att ha fått kännedom om den. Anmälan behövs inte om det är osannolikt att incidenten medför en risk för de registrerades rättigheter och friheter. Kommer anmälan in senare än 72 timmar ska ni förklara förseningen, och har ni inte all information kan ni komplettera i efterhand. Anmälan ska innehålla:
- Vad som hänt, vilka kategorier av registrerade och uppgifter som berörs och ungefär hur många.
- Kontaktuppgifter till dataskyddsombudet eller annan kontaktpunkt.
- De sannolika konsekvenserna av incidenten.
- Vilka åtgärder ni vidtagit eller planerar för att hantera incidenten och mildra effekterna.
När ska de registrerade informeras?
Om incidenten sannolikt leder till en hög risk för de registrerade ska ni enligt artikel 34 även informera dem utan onödigt dröjsmål, på ett klart och tydligt språk, så att de kan skydda sig - till exempel byta lösenord eller vara uppmärksamma på bedrägeriförsök. Information behövs inte om uppgifterna var skyddade så att de är oläsliga för obehöriga (till exempel krypterade), om ni i efterhand vidtagit åtgärder som gör att den höga risken sannolikt inte längre föreligger, eller om det skulle kräva en oproportionerlig ansträngning - då ska ni i stället informera offentligt.
Dokumentera även när ni inte anmäler
Artikel 33.5 kräver att alla personuppgiftsincidenter dokumenteras: vad som hänt, effekterna och vilka åtgärder som vidtagits. Det gäller även incidenter som ni bedömt inte behöver anmälas, och då bör även skälet till bedömningen framgå. Dokumentationen ska göra det möjligt för IMY att kontrollera att ni följt reglerna.
Så skiljer det sig från NIS2-rapportering
Omfattas ni av cybersäkerhetslagen kan samma händelse behöva rapporteras två gånger. En personuppgiftsincident går till IMY inom 72 timmar. En betydande incident enligt cybersäkerhetslagen rapporteras till CERT-SE i tre steg: tidig varning inom 24 timmar, incidentanmälan inom 72 timmar och slutrapport inom en månad. Bedömningarna är olika - GDPR handlar om risken för enskilda personer, cybersäkerhetslagen om påverkan på tjänsterna.
NIS2 och GDPR - skillnader och överlappChecklista för incidentrutinen
En fungerande rutin gör att 72 timmar räcker. Se till att ni har:
- En tydlig väg för medarbetare att larma internt, dygnet runt om det behövs.
- En utsedd ansvarig som bedömer risken och fattar beslut om anmälan.
- Kontaktuppgifter till dataskyddsombud, IT-leverantörer och personuppgiftsbiträden.
- Krav i biträdesavtalen på att biträden meddelar er utan onödigt dröjsmål.
- En mall för incidentlogg och för information till de registrerade.
- En uppföljning efter varje incident: vad ska ändras för att det inte ska hända igen?
Vill ni se det med er egen verksamhet?
Att komma igång som kund tar några minuter. Ni väljer regelverk, svarar i den takt ni hinner och bygger efterlevnaden steg för steg - utan konsultarvode.