Är det här ett dataintrång och måste jag anmäla det?
Som företagare är du ansvarig för personuppgifterna som tillhör dina kunder och medarbetare. I GDPR kallas du då personuppgiftsansvarig. Här läser du när något är en dataincident, när du måste anmäla det och vad du gör direkt. Detta är allmän information och inte juridisk rådgivning, vid tveksamhet kollar du på webbplatsen för Autoriteit Persoonsgegevens (AP) eller frågar en jurist.
Vad är en dataincident?
Enligt GDPR, den europeiska dataskyddslagen, är det en säkerhetsincident som gör att personuppgifter går förlorade, förstörs eller ändras, eller hamnar hos någon som inte får ha tillgång till dem (artikel 4, punkt 12). Personuppgifter är uppgifter om en identifierbar person, som ett namn, en e-postadress, en adress eller en beställningshistorik. Det handlar alltså inte bara om hackare. Exempel:
- ett e-postmeddelande eller en bilaga med personuppgifter som går till fel mottagare;
- en förlorad eller stulen laptop, telefon eller usb-sticka med personuppgifter som inte var krypterade;
- en hackad e-postlåda som innehåller fakturor, offerter eller jobbansökningar;
- en webbplats eller webbshop där kunduppgifter har stulits;
- ransomware som gör att du inte längre kommer åt din kundadministration, även om inget har kopierats.
De första stegen
- Stoppa läckan. Be den felaktiga mottagaren att radera e-postmeddelandet och bekräfta det. Ändra lösenordet för en kapad e-postlåda från en enhet du litar på (se Säkra lösenord och vad du gör vid ett läckt lösenord).
- Kartlägg vad som hände. Vad är orsaken, när började det, vilka uppgifter rör det sig om, hur många personer berörs, vem har tillgång och var uppgifterna krypterade? Skriv ner allt, med datum och tid.
- Bedöm risken för de personer vars uppgifter det gäller (se nedan).
- Anmäl till AP om det behövs, inom 72 timmar.
- Informera de berörda om risken för dem är hög.
- Dokumentera det i ditt dataincidentregister. Det gör du alltid.
Måste jag anmäla till Autoriteit Persoonsgegevens?
Du anmäler en dataincident utan onödigt dröjsmål och om möjligt inom 72 timmar efter att du upptäckt den. Det behövs inte om det sannolikt inte innebär någon risk för de personer vars uppgifter det gäller (artikel 33 GDPR).
- Klockan börjar räkna när du vet det, inte när läckan inträffade. Helgen räknas med: upptäcker du det på fredag klockan 16:40, anmäler du senast måndag klockan 16:40.
- Ofullständig anmälan är tillåten. Vet du inte allt efter 72 timmar, anmäl då med det du vet och komplettera anmälan senare.
- Endast online. Du anmäler via AP:s anmälningsformulär, inte per telefon, e-post eller post. Med AP:s frågeformulär förbereder du anmälan.
- Är du osäker? AP rekommenderar att du anmäler ändå.
Dessa frågor hjälper dig i bedömningen:
| Fråga | Lägre risk | Högre risk |
|---|---|---|
| Vilka uppgifter? | Endast företagskontaktuppgifter | Personnummer, kopia av ID-handling, bankuppgifter, lösenord, medicinska uppgifter, uppgifter om barn |
| Hur många personer? | En eller några få | Många |
| Läsbart för den som har det? | Väl krypterat, nyckeln har inte läckt | Läsbart, eller lösenordet har också läckt |
| Vem har det? | En känd mottagare som bekräftar att han har raderat det | En okänd person, en kriminell, eller offentligt på internet |
Ett exempel: om en väl krypterad laptop stjäls finns det sannolikt ingen risk. Anmälan behövs då inte, men du dokumenterar det ändå i ditt register. På en okrypterad laptop kan finnaren läsa allt, då finns det oftast en risk.
När informerar du de berörda?
Innebär läckan sannolikt en hög risk för de personer vars uppgifter det gäller, informerar du dem utan dröjsmål (artikel 34 GDPR). Berätta på vanligt språk vad som hände, vilka konsekvenser det kan få, vad du gör och vad de själva kan göra, som att ändra ett lösenord eller vara extra uppmärksamma på phishing i ditt namn.
Det behövs inte om uppgifterna var oläsbara tack vare god kryptering, eller om du därefter har vidtagit åtgärder som gör att den höga risken inte längre är sannolik. Kostar det en orimlig ansträngning att nå alla, gör du då ett offentligt meddelande.
Dataincidentregistret: håll det alltid uppdaterat
Varje dataincident dokumenterar du, även om du inte anmäler den (artikel 33 punkt 5). Notera fakta, konsekvenserna, åtgärderna och din bedömning: varför du anmälde eller inte anmälde, och varför du informerade eller inte informerade de berörda. AP har ett exempel på dataincidentregister.
Och om läckan finns hos en leverantör?
Ditt webbhotell, ditt bokföringsprogram i molnet eller din nyhetsbrevstjänst är enligt GDPR en personuppgiftsbiträde: en part som behandlar personuppgifter på ditt uppdrag. Ett personuppgiftsbiträde måste informera dig utan onödigt dröjsmål om det upptäcker en dataincident (artikel 33 punkt 2). Därefter bedömer du om du måste anmäla, och i princip anmäler du också själv.
Det gäller också om WebOké är ditt personuppgiftsbiträde. Tror du att läckan finns hos oss, till exempel på våra servrar? Kontakta oss då direkt via en ärende i Supportcentret, med vad du har sett och när.
Läs mer
- WebOké Backuper: visa, återställa eller ladda ner en backup
- Autoriteit Persoonsgegevens: anmäla eller inte anmäla
- Autoriteit Persoonsgegevens: hur du anmäler en dataincident
- Autoriteit Persoonsgegevens: frågeformulär för anmälningsformuläret
- Autoriteit Persoonsgegevens: exempel på dataincidentregister
- GDPR, artiklarna 4, 33 och 34 (EUR-Lex)