Dataskyddsombudet ska rådfrågas omedelbart vid en personuppgiftsincident och ge oberoende rådgivning om riskbedömning, dokumentation och anmälan till tillsynsmyndigheten. Ombudet fungerar som kontaktpunkt gentemot Integritetsskyddsmyndigheten (IMY) och bistår med underlag för beslut, men det operativa ansvaret för att stoppa läckan, säkra bevis och genomföra åtgärder ligger hos verksamheten eller den utsedda incidentorganisationen.
Kort sagt:
- Insatt tid och förberedda mallar samt kriterier för hög risk minimerar risken att ombudet kopplas in för sent under en incident.
- Dataskyddsombudet ska alltid informeras omedelbart efter upptäckt för att kunna bidra till riskbedömning och säkerställande av korrekt rapportering.
- Operativt ansvar för att stoppa läckan och säkra bevis ligger hos organisationens incidentorganisation, inte hos dataskyddsombudet.
- Rådgivning från ombudet är helt beroende av tillgång till incidentloggar, IT-system och dokumentation som ska vara på plats innan en incident inträffar.
- Dokumentation av riskbedömning och avvikelser från ombudets rekommendationer skyddar organisationen vid framtida granskningar.
Innehållsförteckning
- Vilket mandat har dataskyddsombudet enligt GDPR?
- Så ser arbetsflödet ut från upptäckt till anmälan
- Checklistor och mallar dataskyddsombudet bör ha redo
- Vem bär det operativa ansvaret när krisen är på riktigt?
- Vad Evertrust ser gå fel i praktiken
- Så kan Evertrust stötta ditt dataskyddsombud vid en incident
- Mitt råd: vänta inte på att incidenten blir akut
- Källor
Vilket mandat har dataskyddsombudet enligt GDPR?
Artikel 39 i dataskyddsförordningen ger dataskyddsombudet fyra huvuduppgifter: informera och ge råd om skyldigheter, övervaka efterlevnad, ge råd vid konsekvensbedömningar och agera kontaktpunkt gentemot tillsynsmyndigheten och registrerade. Vid en personuppgiftsincident aktiveras alla fyra samtidigt, ofta under stark tidspress.
Ombudet ska vara oberoende och rapportera direkt till högsta ledningen, inte till en avdelningschef som kan ha ett intresse av att tona ned en incident. EDPB:s vägledning slår fast att ombudet inte får ta emot instruktioner om hur rådgivningen ska utformas, och att organisationen måste ge ombudet tillgång till den information som krävs för att göra jobbet. I praktiken betyder det att dataskyddsombudet måste kopplas in i incidentloggar och IT-system redan innan något har hänt, inte först när krisen är ett faktum.
Det ombudet inte gör är att äga det operativa ansvaret. Rollen är rådgivande:
- Ombudet bedömer risk och juridiska krav, men stänger inte servrar eller återställer backuper.
- Ombudet skriver inte den tekniska incidentrapporten, men granskar att den uppfyller kraven i artikel 33.
- Ombudet kan inte tvinga fram ett beslut, men kan och ska kräva att dess råd dokumenteras.
Den gränsdragningen är avgörande för hela artikeln: dataskyddsombudets roll vid personuppgiftsincidenter handlar om rådgivning och kontroll, inte om att leda räddningsinsatsen.
Så ser arbetsflödet ut från upptäckt till anmälan
När en incident upptäcks startar klockan direkt. EDPB:s riktlinjer 9/2022 beskriver processen i tydliga steg, och ombudets roll skiljer sig åt beroende på var i förloppet organisationen befinner sig.
- Upptäckt och första begränsning. Incidentorganisationen isolerar systemet och säkrar loggar. Dataskyddsombudet ska informeras samtidigt, inte efteråt, eftersom en försenad involvering ofta leder till att bevis går förlorat och att riskbedömningen blir grund.
- Snabb riskbedömning. Ombudet hjälper till att avgöra om incidenten innebär en risk för registrerades rättigheter och friheter. Handlar det om känsliga uppgifter, stora volymer eller utsatta grupper som barn väger det tungt mot en anmälningsskyldighet.
- Anmälan till IMY. Om risken bedöms som verklig gäller 72-timmarsregeln: anmälan ska som huvudregel lämnas inom 72 timmar från att organisationen fick kännedom om incidenten, enligt IMY:s vägledning. Anmälan måste enligt artikel 33 GDPR innehålla namn och kontaktuppgifter till dataskyddsombudet, en beskrivning av incidenten, ungefärligt antal berörda registrerade och vilka åtgärder som vidtagits eller planeras.
- Information till registrerade. Om incidenten sannolikt innebär en hög risk för de drabbade krävs enligt artikel 34 dessutom direkt information till dem, inte bara till tillsynsmyndigheten.
En detalj som ofta missas: anmälan behöver inte vara komplett vid inlämning. Artikel 33.4 tillåter att uppgifter lämnas i omgångar när mer information blir tillgänglig, vilket ger utrymme att först begränsa skadan innan varje detalj är klarlagd.
Checklistor och mallar dataskyddsombudet bör ha redo
En incident är fel tillfälle att uppfinna processen från noll. Ombudet gör störst nytta när kriterier och mallar finns förberedda innan telefonen ringer.
Kriterier för “hög risk” att ha till hands:
- Rör det särskilda kategorier av personuppgifter, som hälsodata eller uppgifter om sexuell läggning?
- Kan uppgifterna användas för identitetsstöld, ekonomisk skada eller diskriminering?
- Är de registrerade en utsatt grupp, till exempel barn eller patienter?
- Hur stort är antalet berörda och hur lätt är uppgifterna att koppla till enskilda individer?
Minimiuppgifter i anmälan till IMY, enligt både artikel 33 och IMY:s e-tjänst för anmälan: en beskrivning av vad som hänt, en uppskattning av antal registrerade och kategorier av uppgifter, vidtagna eller planerade åtgärder, samt namn och e-postadress till dataskyddsombudet. IMY:s formulär har ett eget fält för just detta, vilket gör det svårt att missa i praktiken men lätt att missa i förberedelsen.
Proffstips: Skriv riskbedömningen som ett eget dokument, separat från incidentrapporten. Då kan du visa exakt vilket underlag som låg till grund för beslutet, även om ledningen senare väljer en annan väg än den du rekommenderade.
Om organisationen väljer att inte följa ombudets råd, till exempel att inte anmäla trots att ombudet bedömer risken som hög, ska den bedömningen dokumenteras skriftligt med datum, vem som fattade beslutet och skälen till det enligt en guide till säkrare arbetsplats. Det skyddar både organisationen och ombudet om frågan senare granskas av IMY.
Vem bär det operativa ansvaret när krisen är på riktigt?
Ansvaret för att hantera en personuppgiftsincident ligger hos personuppgiftsansvarig, i praktiken ofta en särskild incidentorganisation med IT-säkerhet, juridik och kommunikation representerade. Dataskyddsombudet sitter inte i förarsätet där. Ombudets uppgift är att se till att besluten fattas på rätt juridisk grund, inte att fatta dem.
Det ger ombudet rätt att:
- Kräva att bli rådfrågad så snart en incident upptäcks, inte i efterhand.
- Få sina råd och den bedömning som ligger bakom dem dokumenterade, oavsett om de följs eller inte.
- Rapportera direkt till högsta ledningen om ombudet upplever att det hålls utanför eller ignoreras systematiskt.
En tydlig rapporteringslinje löser många konflikter innan de uppstår. Om vd eller styrelse vet att dataskyddsombudets bedömning alltid dokumenteras och alltid når dem, minskar frestelsen att kringgå ombudet vid en obekväm incident.
Vad Evertrust ser gå fel i praktiken
Det vanligaste misstaget vi ser är inte okunskap om reglerna, utan tajmning: dataskyddsombudet kopplas in för sent, ofta efter att IT redan har fattat beslut om vad som ska ske. Det andra vanliga misstaget är ofullständig dokumentation, särskilt när ledningen väljer en annan väg än den ombudet rekommenderat och ingen skriver ner varför.
Båda problemen löses med förberedelse: ge ombudet permanent åtkomst till incidentloggar, IT-arkitektur och en aktuell kontaktlista över ansvariga i organisationen. En incident som redan har eskalerat är ett dåligt tillfälle att först ta reda på vem som äger vilket system. Evertrust arbetar löpande som extern dataskyddsombud och privacy counsel åt organisationer som vill ha den beredskapen på plats innan den behövs, till exempel genom analyser av hur tekniska förändringar påverkar dataskyddsrisker.
Så kan Evertrust stötta ditt dataskyddsombud vid en incident
Evertrust tar rollen som extern dataskyddsombud, ger incidentrådgivning under press och hjälper till med DPIA:er och dokumentationsstöd när beslut behöver stå sig juridiskt över tid. Skillnaden mot att lösa det internt är att du får ett ombud som redan har sett mönstren i vad IMY faktiskt reagerar på, snarare än att lära sig det under en pågående kris.
En incident är sällan det bästa tillfället att bygga rutinerna från grunden. Många organisationer tar därför in Evertrust för en inledande genomgång, en kortare konsultation eller en workshop där incidentflödet, mallarna för riskbedömning och kontaktvägarna till IMY går igenom tillsammans med teamet. Det ger en tydlig bild av var ansvaret ligger den dag telefonen faktiskt ringer. Läs mer om hur GDPR-tillsynen har utvecklats i praktiken, till exempel i genomgången av Vattenfalls böter för bristande transparens, eller boka en genomgång av era rutiner direkt via Evertrust.
Mitt råd: vänta inte på att incidenten blir akut
Det bästa dataskyddsombudet är det som redan har sett era system innan något gått fel. Koppla in ombudet i incidentplanen nu, ge det tillgång till loggar och kontaktvägar, och se till att varje avvikelse från dess råd skrivs ner samma dag den fattas.
Behöver ni hjälp att sätta upp den beredskapen? Hör av er till Evertrust.
— Jesper
Källor
- Data Protection Officer | Data protection guide for small business | European Data Protection Board
- Article 33 GDPR | GDPR Hub
- Anmäl personuppgiftsincident | Integritetsskyddsmyndigheten
