Är det här en dataläcka och behöver jag anmäla det?
Som företagare ansvarar du för personuppgifterna om dina kunder och anställda. I GDPR kallas du då personuppgiftsansvarig. Här läser du när något är en personuppgiftsincident, när du måste anmäla den och vad du gör direkt. Det här är en allmän förklaring och inte juridisk rådgivning; är du osäker kan du titta på webbplatsen för Autoriteit Persoonsgegevens (AP) eller fråga en jurist.
Vad är en personuppgiftsincident?
Enligt GDPR, EU:s dataskyddsförordning, är det en säkerhetsincident som gör att personuppgifter går förlorade, förstörs eller ändras, eller hamnar hos någon som inte har rätt till dem (artikel 4.12). Personuppgifter är uppgifter om en identifierbar person, till exempel ett namn, en e-postadress, en adress eller en orderhistorik. Det handlar alltså inte bara om hackare. Exempel:
- ett mejl eller en bilaga med personuppgifter som skickas till fel mottagare;
- en borttappad eller stulen dator, telefon eller usb-sticka med personuppgifter som inte var krypterade;
- en hackad brevlåda som innehåller fakturor, offerter eller ansökningsbrev;
- en webbplats eller webbutik där kunduppgifter har stulits;
- ransomware som gör att du inte kommer åt ditt kundregister, även om ingenting har kopierats.
De första stegen
- Stoppa läckan. Be fel mottagare att radera mejlet och bekräfta det. Byt lösenord för en kapad brevlåda från en enhet du litar på (se Säkra lösenord och vad du gör om ett lösenord har läckt).
- Kartlägg vad som hände. Vad är orsaken, när började det, vilka uppgifter gäller det, hur många personer berörs, vem kommer åt dem och var uppgifterna krypterade? Skriv ner allt, med datum och tid.
- Bedöm risken för de personer som uppgifterna gäller (se nedan).
- Anmäl till AP om det behövs, inom 72 timmar.
- Informera de berörda om risken för dem är hög.
- För in det i ditt incidentregister. Det gör du alltid.
Måste jag anmäla till Autoriteit Persoonsgegevens?
Du anmäler en personuppgiftsincident utan onödigt dröjsmål och om möjligt inom 72 timmar efter att du upptäckt den. Det behövs inte om det är osannolikt att den innebär en risk för de personer som uppgifterna gäller (artikel 33 GDPR).
- Klockan startar när du får veta det, inte när incidenten inträffade. Helgen räknas: upptäcker du det på fredag klockan 16:40 anmäler du senast måndag klockan 16:40.
- Du får anmäla ofullständigt. Vet du inte allt efter 72 timmar anmäler du med det du vet och kompletterar anmälan senare.
- Bara online. Du anmäler via AP:s anmälningsformulär, inte via telefon, mejl eller post. Med AP:s frågeformulär förbereder du anmälan.
- Är du osäker? Då rekommenderar AP att du anmäler ändå.
De här frågorna hjälper dig att göra bedömningen:
| Fråga | Lägre risk | Högre risk |
|---|---|---|
| Vilka uppgifter? | Bara kontaktuppgifter i arbetet | Personnummer, kopia av id-handling, bankuppgifter, lösenord, medicinska uppgifter, uppgifter om barn |
| Hur många personer? | En eller några få | Många |
| Läsbart för den som har det? | Väl krypterat, nyckeln har inte läckt | Läsbart, eller lösenordet har också läckt |
| Vem har det? | En känd mottagare som bekräftar att uppgifterna är raderade | En okänd person, en brottsling eller offentligt på internet |
Ett exempel: stjäls en väl krypterad dator är det troligen ingen risk. Då behöver du inte anmäla, men du för in det i ditt register. På en okrypterad dator kan den som hittar den läsa allt; då finns det oftast en risk.
När informerar du de berörda?
Innebär incidenten troligen en hög risk för de personer som uppgifterna gäller informerar du dem utan onödigt dröjsmål (artikel 34 GDPR). Berätta med enkla ord vad som hände, vilka följderna kan bli, vad du gör och vad de själva kan göra, till exempel byta lösenord eller vara extra uppmärksamma på nätfiske i ditt namn.
Det behövs inte om uppgifterna var oläsbara tack vare god kryptering, eller om du efteråt har vidtagit åtgärder som gör att den höga risken inte längre är trolig. Kräver det en oproportionerlig ansträngning att nå alla gör du i stället ett offentligt meddelande.
Incidentregistret: för det alltid
Varje personuppgiftsincident dokumenterar du, även om du inte anmäler den (artikel 33.5). Skriv ner fakta, följderna, åtgärderna och din bedömning: varför du anmälde eller inte och varför du informerade de berörda eller inte. AP har ett exempel på ett incidentregister.
Och om incidenten finns hos en leverantör?
Ditt webbhotell, ditt bokföringsprogram i molnet eller din nyhetsbrevstjänst är enligt GDPR ett personuppgiftsbiträde: en part som behandlar personuppgifter på ditt uppdrag. Ett personuppgiftsbiträde måste informera dig utan onödigt dröjsmål om det upptäcker en personuppgiftsincident (artikel 33.2). Därefter bedömer du om du måste anmäla, och i princip anmäler du också själv.
Det gäller också om WebOké är ditt personuppgiftsbiträde. Avtalet om detta finns i vårt personuppgiftsbiträdesavtal, se Personuppgiftsbiträdesavtal: var hittar jag det? Tror du att incidenten finns hos oss, till exempel på våra servrar? Kontakta oss då direkt via ett ärende i Supportcentret och berätta vad du har sett och när.
Läs mer
- WebOké Backups: visa, återställa eller ladda ner en backup
- Autoriteit Persoonsgegevens: anmäla eller inte
- Autoriteit Persoonsgegevens: så anmäler du en personuppgiftsincident
- Autoriteit Persoonsgegevens: frågeformulär för anmälningsformuläret
- Autoriteit Persoonsgegevens: exempel på incidentregister
- GDPR, artiklarna 4, 33 och 34 (EUR-Lex)
Vill du lära dig mer? Gå den kostnadsfria kursen Säkert online för företagare, lektion 8.2 Personuppgiftsincidenter och anmälningsplikten.