Hantering av personuppgifts­incidenter

Även om alla personuppgiftsincidenter är säkerhetsincidenter, är inte alla säkerhetsincidenter personuppgiftsincidenter. När en incident har inträffat måste den personuppgiftsansvariga därför göra en bedömning om det är en personuppgiftsincident eller inte. Om det är en personuppgiftsincident bör ni så snabbt som möjligt bedöma riskerna för de registrerade.

En personuppgiftsincident som inte hanteras på ett lämpligt sätt kan skada registrerade och påverka förtroendet för organisationen som behandlar personuppgifter. Den kan också leda till att IMY genom tillsyn dömer ut sanktionsavgifter.

Dokumentera alla personuppgiftsincidenter

Ni ska dokumentera alla personuppgiftsincidenter. Dokumentationen ska bland annat innehålla information om vad som har hänt, varför det har hänt och vilka personuppgifter som är påverkade. Den ska även innehålla konsekvenser för de registrerade och de åtgärder som ni har vidtagit för ett minska konsekvenserna.

Ni bör även dokumentera era skäl för de beslut som ni har fattat med anledning av personuppgiftsincidenten och er riskbedömning. Det bör till exempel framgå varför ni bedömt att en incident inte ska anmälas eller varför registrerade inte ska informeras.

Dokumentationen kan ni använda för att identifiera brister och utvecklingsbehov i det löpande och systematiska arbetet med dataskydd och informationssäkerhet. Det ska utifrån dokumentationen vara möjligt att kontrollera att ni följt bestämmelserna i dataskyddsförordningen.

Gör en riskbedömning

När det har skett en personuppgiftsincident bör ni så snabbt som möjligt bedöma riskerna för de registrerades fri- och rättigheter. I bedömningen bör ni ta hänsyn till de potentiella konsekvenserna och sannolikheten för att de inträffar. Riskbedömningen är bland annat avgörande för om incidenten behöver anmälas och om de registrerade behöver informeras om händelsen. Exempel på faktorer som kan beaktas i bedömningen:

Gör en anmälan till IMY

Om det inte är osannolikt att personuppgiftsincidenten medför en risk för de registrerades rättigheter och friheter måste ni anmäla den till IMY eller annan ansvarig tillsynsmyndighet. Läs mer om gränsöverskridande personuppgifter här.

I de fall personuppgiftsincidenten ska anmälas till IMY ska ni göra det inom 72 timmar från att ni fått vetskap om incidenten. Om ni inte har all nödvändig information vid den tidpunkten är det möjlighet att komplettera den inlämnade anmälan.

Uppger ni i anmälan att ni ska skicka in kompletteringar, är ni själva ansvariga för att det görs. Om ingen komplettering kommit in efter 4 veckor kan IMY fatta beslut i ärendet baserat på befintlig information.  

Om ni inte har lämnat in en anmälan inom 72 timmar eller om anmälan är ofullständig ska ni motivera anledningen till detta i er anmälan.

Vi kontaktar er om vi behöver ytterligare information eller om vi beslutar oss för att inleda tillsyn.

Anmälan gör det möjligt för oss att bland annat bevaka vad de personuppgiftsansvariga gör för att motverka negativa effekter. Om det blir nödvändigt kan en anmälan bland annat leda till att vi utövar våra tillsynsbefogenheter för att få personuppgiftsansvariga att vidta nödvändiga åtgärder.

Informera de registrerade

Enligt dataskyddsförordningen måste ni som personuppgiftsansvarig informera de registrerade utan onödigt dröjsmål om ni bedömer att personuppgiftsincidenten sannolikt leder till en hög risk för fysiska personers rättigheter och friheter.

Syftet med att informera de registrerade är att ge dem möjlighet att vidta egna åtgärder för att skydda sig mot negativa konsekvenser eller skador av en personuppgiftsincident.