Personuppgiftsincidenter och anmälningsplikten

Modul 8: När något går fel · Lästid: 11 minuter

Lärandemål: Efter den här lektionen kan du avgöra om något är en personuppgiftsincident, om du måste anmäla den inom 72 timmar till Integritetsskyddsmyndigheten (IMY) och om du måste informera de registrerade, och du kan föra in det i ett incidentregister.

Nyckelbegrepp: personuppgifter, personuppgiftsincident (incident som rör personuppgifter), personuppgiftsansvarig, personuppgiftsbiträde, GDPR artikel 33 och 34, anmälan om personuppgiftsincident, 72 timmar, risk och hög risk, incidentregister

Vad är en personuppgiftsincident?

Vid ordet "dataläcka" tänker folk på hackare som stjäl en databas. Det är en form av det. GDPR använder en bredare beskrivning: en personuppgiftsincident är en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring av personuppgifter, eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats (artikel 4, punkt 12).

Personuppgifter är alla uppgifter om en identifierbar person: ett namn, en e-postadress som jan.jansen@..., ett telefonnummer, en adress, ett kundnummer med orderhistorik, ett foto, en IP-adress i kombination med andra uppgifter. Uppgifter om ett företag som sådant (organisationsnummer, allmän adress) är det inte, men uppgifter om kontaktpersonen är det.

Därmed är allt detta personuppgiftsincidenter:

• ett mejl med en kundlista som skickas till fel mottagare;
• ett nyhetsbrev där alla mottagare syns i fältet Till eller CC;
• ett tappat usb-minne eller en tappad bärbar dator med personaluppgifter, om de inte var krypterade;
• utpressningsvirus (ransomware) som krypterar kundregistret (uppgifterna är då inte tillgängliga, även om inget har kopierats);
• en kapad mejlbox med fakturor som innehåller namn och adresser;
• en delad länk till en mapp med jobbansökningar som är öppen för alla.

Ordet "säkerhetsincident" visar att det inte bara handlar om konfidentialitet. Även förlust (uppgifterna är borta) och ändring (någon har ändrat kontonummer) räknas.

Vem är ansvarig: du eller din leverantör?

GDPR har två roller.

• Den personuppgiftsansvarige bestämmer varför och hur personuppgifter behandlas. För dina kund- och personaluppgifter är det du, som företagare.
• Ett personuppgiftsbiträde behandlar uppgifter på ditt uppdrag: ditt webbhotell, ditt bokföringsprogram i molnet, din nyhetsbrevstjänst, din IT-leverantör.

Läcker något hos ett personuppgiftsbiträde ska det utan onödigt dröjsmål anmäla det till dig (artikel 33.2). Du bedömer då om du måste anmäla till IMY och till de registrerade, och i princip anmäler du själv (om ni inte har kommit överens om att biträdet gör det å dina vägnar). Skyldigheten ligger alltså kvar hos dig, även om felet låg hos någon annan. Därför finns det i ett personuppgiftsbiträdesavtal avtal om hur snabbt och hur ett biträde informerar dig (lektion 7.2).

Klockan på 72 timmar

Artikel 33 i GDPR säger att du ska anmäla en personuppgiftsincident utan onödigt dröjsmål och om möjligt inom 72 timmar till Integritetsskyddsmyndigheten, efter att du fått vetskap om den. Undantaget: det är osannolikt att incidenten innebär en risk för människors rättigheter och friheter.

Fyra punkter missförstås ofta:

1. Klockan börjar när du får vetskap om det, inte när incidenten inträffade. "Få vetskap" betyder: du är rimligt säker på att det finns en incident som rör personuppgifter. En kort första bedömning är tillåten, men den som medvetet låter bli att titta skjuter inte upp klockan.
2. 72 timmar är 72 timmar, även på helger och helgdagar. Upptäcker du en incident fredag 16:40 är sista tidpunkten måndag 16:40.
3. Det är tillåtet att anmäla ofullständigt. Vet du inte allt efter 72 timmar anmäler du med det du vet och kompletterar senare. Anmäler du senare än 72 timmar måste du förklara varför (artikel 33 i GDPR).
4. Det handlar om risk för människor, inte om skadan för ditt företag.

Upptäckt:  fredag   16:40   -> klockan startar
          lördag              (räknas med)
          söndag              (räknas med)
Senast måndag   16:40   -> anmälan till IMY (eventuellt ofullständig)

Anmälan görs i regel via det online formuläret för anmälan av personuppgiftsincident hos IMY (e-tjänst). Du kan förbereda anmälan i förväg. Du fyller bland annat i vad som hände, när, vilka och hur många uppgifter och personer det gäller, vilka följder det kan få och vilka åtgärder du vidtagit. Här betalar loggboken från lektion 8.1 av sig.

När du ska och inte ska anmäla: riskbedömningen

Du bedömer hur sannolika och hur allvarliga följderna är för de registrerade. Tänk på: identitetsstöld, ekonomisk skada, diskriminering, skada på anseende, eller förlorad kontroll över sina uppgifter. Frågor som hjälper:

Två exempel som ofta återkommer:

• Krypterad bärbar dator stulen, starkt lösenord, nyckeln inte läckt, ny säkerhetskopia: sannolikt ingen risk. Anmäl inte till IMY, men för in det i ditt register.
• Webbutik hackad, angriparen har fått e-postadresser och svagt lagrade lösenord: risk, så anmäl. Och eftersom människor ofta återanvänder sitt lösenord (lektion 1.4) finns det en hög risk: informera de registrerade.

Är du osäker? Då är det i regel säkrast att anmäla. Även IMY rekommenderar att anmäla vid tveksamhet. Ny information lämnar du senare med en kompletterande anmälan.

Informera de registrerade: vid hög risk

Artikel 34 handlar om de personer vars uppgifter det gäller. Innebär incidenten sannolikt en hög risk informerar du dem utan onödigt dröjsmål: så snart som rimligen är möjligt. Där gäller ingen 72-timmarsfrist, men att vänta tills allt är utrett är inte heller meningen.

I meddelandet står på tydligt språk vad som hände, vilka de sannolika följderna är, vad du gör och vad de själva kan göra (till exempel byta lösenord på andra ställen, vara uppmärksam på phishing i ditt namn, varna sin bank), plus en kontaktperson.

Att informera behövs inte om du vidtagit lämpliga åtgärder som gör uppgifterna oläsbara (som god kryptering), om du i efterhand vidtagit åtgärder som gör att den höga risken inte längre är sannolik, eller om det kräver en oproportionerlig ansträngning: då gör du i stället ett offentligt meddelande (artikel 34.3).

Observera: phishing följer ofta på en personuppgiftsincident. Kriminella vet då vilka dina kunder är och skickar ett mejl "från dig". Varna dina kunder även för det.

Incidentregistret: alltid

Artikel 33.5 kräver att du dokumenterar varje personuppgiftsincident, även om du inte anmäler den. Dokumentera: fakta, följderna, åtgärderna och din bedömning (varför du anmälde eller inte, varför du informerade eller inte). Du väljer själv formen; IMY har en exempelmall för incidentregister. En enkel tabell räcker:

Nr | Upptäckt (datum/tid) | Vad hände | Vilka uppgifter, hur många personer
   | Följder | Åtgärder | Anmält till IMY? (ja/nej + varför, datum)
   | Registrerade informerade? (ja/nej + varför) | Avslutat (datum)

Registret hjälper dig också själv: ser du tre gånger om året "mejl till fel mottagare", vet du var du behöver förbättra dig (till exempel en fördröjning vid sändning, eller inga kundlistor längre som bilaga, lektion 7.3).

Personuppgiftsincident och cybersäkerhetslagen: två olika anmälningar

Omfattas din organisation av cybersäkerhetslagen (2025:1506) (NIS2, lektion 9.1), gäller dessutom en anmälningsplikt för betydande incidenter: en första varning inom 24 timmar, en anmälan inom 72 timmar och en slutrapport inom en månad, via registrering hos tillsynsmyndigheten. Det är en annan anmälan, med ett annat syfte (kontinuiteten i tjänster) och till en annan myndighet. En utpressningsattack kan alltså höra till båda. De flesta små företag omfattas inte av cybersäkerhetslagen; GDPR:s anmälningsplikt gäller dock för alla.

Den här lektionen ger allmän information och är inte juridisk rådgivning. Rådfråga vid tveksamhet IMY:s webbplats eller en jurist.

Sammanfattning

• En personuppgiftsincident är varje incident som gör att personuppgifter går förlorade, ändras, eller hamnar hos någon som inte får ha tillgång till dem; även ett mejl till fel mottagare eller en okrypterad bärbar dator som förkommit.
• Anmälan till IMY: utan onödigt dröjsmål och om möjligt inom 72 timmar efter upptäckt, även på helger, om inte risken sannolikt är obefintlig. Det är tillåtet att anmäla ofullständigt.
• Informera de registrerade: utan onödigt dröjsmål, om det sannolikt finns en hög risk.
• Läcker det hos ditt personuppgiftsbiträde ska biträdet informera dig; beslutet om anmälan ligger hos dig.
• Dokumentera varje personuppgiftsincident i ditt incidentregister, med din bedömning.

Quiz

Uppgift

Uppgift A8.2: Räkna ut tidsfristen. Du får fyra upptäcktstillfällen. Fyll i, för varje tillfälle, senaste datum och tid för anmälan till IMY. Programmet rättar.

Uppgift A8.2b: Anmäla eller inte? Du får åtta korta fall. Välj för varje fall om du måste anmäla till IMY, om du måste informera de registrerade, och om du för in det i ditt incidentregister. Programmet rättar och ger förklaring för varje fall.

Läs mer

Stegen i WebOkés artiklar gäller för WebOkés miljö; hos andra leverantörer fungerar det på ett liknande sätt.

• Hjälp! Min webbplats har hackats. Hur löser eller förhindrar jag det?
• Integritetsskyddsmyndigheten, exempelmall för incidentregister: https://www.imy.se/
• Integritetsskyddsmyndigheten, anmälningsplikt vid personuppgiftsincidenter: https://www.imy.se/
• Integritetsskyddsmyndigheten, checklista för anmälan av personuppgiftsincidenter: https://www.imy.se/
• GDPR (förordning (EU) 2016/679), artiklarna 4, 33 och 34: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• Nederländska NCSC, Anmäla en personuppgiftsincident (nederländsk källa): https://www.ncsc.nl/wet-en-regelgeving/melden-van-een-datalek