Incidenter
Vad är en personuppgiftsincident?
En personuppgiftsincident är en säkerhetsincident som kan innebära risker för människors friheter och rättigheter. Det kan t.ex. röra sig om att en eller flera registrerades personuppgifter har kommit i orätta händer, blivit förstörda eller gått förlorade på annat sätt.
Linnea Kjellberg
25e februari 2023
Vilken skyldighet har företag att hantera incidenter?
Denna artikel tar 3 min att läsa och innehåller även videos, mallar och annat användbart material.
Att förebygga, begränsa, hantera, rapportera och utvärdera säkerhetsincidenter är viktigt för att uppfylla kraven i GDPR, men det är också viktigt för att:
- skydda individers personliga integritet
- undvika ekonomiska straffavgifter och ideella skador på företagets rykte
- behålla kundens förtroende och tillit till företaget
- identifiera brister och lämpliga åtgärder för att förebygga framtida läckor och förbättra dataskyddet.
Om personuppgiftsincidenter inte åtgärdas snabbt och på rätt sätt kan det påverka de registrerade negativt. Det kan leda till att de förlorar kontrollen över sina personuppgifter, till diskriminering, identitetsstöld, bedrägeri, ekonomisk förlust, eller någon annan ekonomisk eller social nackdel.
Anmälningsplikt
Personuppgiftsincidenter ska anmälas till Integritetsskyddsmyndigheten om det inte är osannolikt att incidenten har medfört någon risk för de registrerade. Anmälan ska göras utan onödigt dröjsmål och senast inom 72 timmar. I anmälan ska ni beskriva vad som hänt och vilka registrerade och personuppgifter som berörs. Ni ska också beskriva de sannolika konsekvenserna av incidenten och vilka åtgärder ni har vidtagit eller kommer att vidta. Anmälan ska innehålla namn och kontaktuppgifter till DSO eller någon annan kontaktperson som kan ge mer information.
Information till de registrerade
Om det är sannolikt att incidenten medfört en hög risk för de registrerades rättigheter ska ni också informera de registrerade själva, så att de kan vidta åtgärder för att skydda sig mot negativa konsekvenser. De registrerade ska då få information om vad som hänt och lämpliga rekommendationer om vad de kan göra.
Användbara dokument
EDPB (European data protection board) har tagit fram en användbar riktlinje som berör personuppgiftsincidenter och hur de ska hanteras.
Riktlinjer om anmälan av personuppgiftsincidenter (ENG)
Denna riktlinje är ett bra dokument för att lära sig mer om hur personuppgiftsincidenter kan upptäckas, hanteras och vilka skyldigheter ni som personuppgiftsansvariga har för utredning och anmälan.
Riktlinjer om exempel när anmälan av personuppgiftsincidenter ska ske
Denna riktlinje från Europeiska Dataskyddsstyrelsen är ett bra dokument för att förstå vilka incidenter som tillsynsmyndigheterna anser är anmälningspliktiga samt när den registrerade ska informeras om en personuppgiftsincident.
