Exempel på personuppgifts­incidenter

Ett sjukhus drabbas av en personuppgiftsincident som leder till obehörigt röjande av patientjournaler. Personuppgiftsincidenten kan sannolikt få betydande inverkan på individerna, på grund av att uppgifterna är känsliga och att patienternas konfidentiella medicinska detaljer blir kända för andra. Detta kan medföra en hög risk för patienternas rättigheter och friheter.

Gör så här

Anmäl personuppgiftsincidenten till IMY, informera dem som drabbats och dokumentera incidenten internt. 

Om en kunddatabas blir stulen bör ni antagligen informera kunderna. Kunddatabasens personuppgifter kan användas för att begå identitetsbedrägeri, vilket kan leda till ekonomisk förlust eller andra konsekvenser för de drabbade. Personuppgiftsincidenten kan alltså leda till en hög risk för fysiska personers rättigheter och friheter.

Gör så här

Anmäl personuppgiftsincidenten till IMY, informera dem som drabbats och dokumentera incidenten internt.

Ett universitet drabbas av en personuppgiftsincident när en anställd av misstag raderar ett register med kontaktuppgifter till de anställda. Detaljerna återskapas senare från en säkerhetskopia. Det är osannolikt att detta medför en hög risk för de anställdas rättigheter och friheter. De behöver därför inte informeras och ni behöver heller inte anmäla händelsen, men dokumentera ändå incidenten.

Gör så här

Motivera era bedömningar och dokumentera incidenten internt.

Om en telefonlista för personalen har försvunnit, eller om någon har ändrat i den utan tillåtelse, behöver ni normalt sett inte anmäla det till IMY, och då behöver ni inte heller informera de anställda. Händelsen kommer troligen inte att leda till en hög risk för fysiska personers rättigheter och friheter.

Gör så här

Motivera era bedömningar och dokumentera incidenten internt.

En lista med deltagare i en kurs om dataskydd skickas via mejl till fel konferensanläggning av en personuppgiftsansvarig. Listan innehåller namn och adress på alla 15 deltagare. Ingen av deltagarna har skyddad identitet. Den personuppgiftsansvariga upptäcker misstaget och informerar den felaktiga mottagaren om felskicket och ber mottagaren att radera mejlet.

Listan innehåller inga känsliga personuppgifter. Antalet personuppgifter och personer som drabbats är förhållandevis få. Det faktum att den personuppgiftsansvariga kontaktade den felaktiga mottagaren och bad mottagaren att radera mejlet ses som en mildrande omständighet. Mot bakgrund av omständigheterna i fallet behöver incidenten inte anmälas till IMY.

Gör så här

Motivera era bedömningar och dokumentera incidenten internt.