En personuppgiftsincident ska anmälas till behörig tillsynsmyndighet utan onödigt dröjsmål och, om möjligt, senast 72 timmar efter att den personuppgiftsansvariga fått vetskap om den. Undantaget gäller när det är osannolikt att incidenten medför risk för människors rättigheter och friheter. Alla personuppgiftsincidenter ska dokumenteras, även de som inte anmäls. Om incidenten sannolikt leder till hög risk ska de berörda dessutom informeras utan onödigt dröjsmål, om inget tillämpligt undantag gäller.
Det här är tre olika bedömningar enligt artiklarna 33 och 34 i GDPR: dokumentation, anmälan och information till berörda. Guiden hjälper er att avgöra när ni ska anmäla, vad anmälan behöver innehålla och hur ni använder IMY:s aktuella anmälningsväg. För den interna ansvarsfördelningen och ett underlag att anpassa finns också vår mall för rutin vid personuppgiftsincidenter.
Fastställ om personuppgifter har drabbats
En personuppgiftsincident är en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring av personuppgifter, eller till obehörigt röjande eller obehörig åtkomst. Det kan handla om ett intrång, men även om ett felaktigt mejlutskick, borttappade handlingar eller en systemändring som förstör uppgifter. Att en medarbetare gjorde ett misstag utesluter inte att det är en incident.
Bedöm konfidentialitet, riktighet och tillgänglighet var för sig. Om en angripare kopierar uppgifter påverkas konfidentialiteten. Om en felaktig import ändrar människors uppgifter påverkas riktigheten. Om viktiga personuppgifter inte går att använda kan tillgängligheten ha påverkats. Flera effekter kan finnas samtidigt, och återställd drift betyder därför inte automatiskt att alla konsekvenser är undanröjda.
Även ett tillfälligt avbrott orsakat av en säkerhetsincident kan vara en personuppgiftsincident. Det viktiga är vad som faktiskt har hänt med uppgifterna och vilka följder det får. Planerat underhåll är däremot inte i sig en säkerhetsincident enligt definitionen. Ett blockerat intrångsförsök utan påverkan på personuppgifter behöver också skiljas från ett bekräftat röjande. IMY:s vägledning om personuppgiftsincidenter beskriver dessa grundläggande bedömningar.
När börjar de 72 timmarna räknas?
Fristen utgår från vetskap om personuppgiftsincidenten, inte nödvändigtvis från den tid då angreppet eller misstaget inträffade. Enligt EDPB:s slutliga riktlinjer 9/2022 handlar vetskap om att med rimlig säkerhet kunna konstatera att en säkerhetsincident har inträffat och att personuppgifter har påverkats. Ni behöver inte känna till varje detalj eller ha fått en slutlig teknisk rapport.
Ett första larm kan behöva undersökas skyndsamt för att avgöra om personuppgifter berörs. Den inledande undersökningen får inte användas för att skjuta upp vetskapstidpunkten godtyckligt. Om ni redan har tydliga belägg för att kunduppgifter har skickats till fel mottagare börjar ni inte om från noll bara för att ledningen ännu inte har godkänt incidentens klassificering.
Notera därför flera tider: när händelsen verkar ha inträffat, när ni upptäckte en möjlig incident och när underlaget gav vetskap om en personuppgiftsincident. Förklara eventuella skillnader. En anmälningspliktig incident ska hanteras utan onödigt dröjsmål; 72 timmar är inte en rätt att vänta tills utredningen passar organisationens kalender. Helger gör inte fristen till 72 arbetstimmar.
Om ni anmäler senare än 72 timmar ska anmälan innehålla skälen till förseningen. Kravet ”om möjligt” tar höjd för omständigheter där tidsgränsen inte kan hållas, men avskaffar inte skyldigheten att agera skyndsamt. Beskriv vad som hindrade en tidigare anmälan och vilka åtgärder ni vidtog. Att utredningen fortsätter är inte i sig ett skäl att vänta med information som redan kan lämnas.
Bedöm risken för människor, inte bara verksamhetens skada
Anmälan krävs om det inte är osannolikt att incidenten medför risk för fysiska personers rättigheter och friheter. Det är inte samma tröskel som hög risk, och ni behöver inte invänta bevis på att någon faktiskt har utsatts för bedrägeri. Bedöm både möjliga följders allvar och sannolikheten att de inträffar, med utgångspunkt i de konkreta uppgifterna och sammanhanget.
Fråga vilka människor som berörs, vilka uppgifter som har påverkats och vem som kan ha fått tillgång. Hälsouppgifter, skyddade kontaktuppgifter eller uppgifter om barn kan förändra konsekvenserna. Även vanliga kontaktuppgifter kan vara känsliga i ett visst sammanhang, exempelvis när de avslöjar att någon söker stöd i en utsatt situation. Antalet personer är relevant men avgör inte ensamt om en anmälan behövs.
Beakta också möjliga följder av att uppgifter saknas eller är felaktiga. En verksamhet kan återställa ett system snabbt men ändå ha fattat beslut på ett felaktigt underlag under avbrottet. Om uppgifter som behövs för en viktig insats varit otillgängliga måste den effekten analyseras. En riskbedömning som enbart frågar om någon obehörig har läst informationen missar dessa situationer.
Dokumentera vilka antaganden ni gör och vilket underlag som finns. ”Ingen har klagat” visar inte att risk saknas, och avsaknad av loggar visar inte att uppgifter varit skyddade. Om nya fakta ändrar bedömningen ska beslutet om anmälan eller information omprövas. Spara den tidigare bedömningen och förklara ändringen, så att händelseförloppet går att följa.
Kryptering avgör inte hela anmälningsfrågan
En stulen dator med fungerande stark kryptering kan innebära betydligt lägre risk för obehörig läsning än en oskyddad dator. Ni måste ändå kontrollera att skyddet faktiskt gällde de berörda uppgifterna, att nycklarna inte följde med och att öppna sessioner eller andra åtkomstvägar inte kringgick skyddet. En inställning som var planerad men aldrig aktiverades ger inte det skydd som riskbedömningen förutsätter.
Undersök samtidigt om uppgifterna går att återskapa och om förlusten påverkar människor. Kryptering kan skydda konfidentialiteten medan bristande säkerhetskopiering fortfarande skapar en tillgänglighetsrisk. I guiden om kryptering av personuppgifter förklaras varför skyddets praktiska funktion och hanteringen av nycklar spelar roll. Det går därför inte att ha en generell regel om att krypterade enheter aldrig behöver anmälas.
Det omvända gäller också: en uppgift som inte var krypterad leder inte automatiskt till anmälningsplikt i varje tänkbart fall. Ni måste bedöma incidentens faktiska omständigheter och riskerna. Säkerhetsbrister kan behöva rättas även när en viss incident inte når anmälningströskeln. Beslutet om anmälan är en bedömning av den aktuella händelsen, inte ett allmänt godkännande av organisationens säkerhet.
Ansvar när incidenten inträffar hos ett biträde
Ett personuppgiftsbiträde ska underrätta den personuppgiftsansvariga utan onödigt dröjsmål efter att ha fått vetskap om en personuppgiftsincident. Biträdet har inte en egen generell väntetid på 72 timmar. Det behöver inte heller avsluta den ansvarigas riskbedömning innan det rapporterar. Uppgifterna kan kompletteras när utredningen går vidare, så att den ansvariga kan börja agera direkt.
Den personuppgiftsansvariga har ansvaret för myndighetsanmälan och informationen till de registrerade. Ett biträde kan få ett korrekt uppdrag att skicka anmälan för den ansvarigas räkning, men ansvaret försvinner inte genom uppdraget. Biträdets rapportering behöver därför kopplas till en fungerande mottagare och eskalering. Ett automatiskt mejl till en obevakad adress är en svag praktisk lösning när tidsfrister löper.
Vetskapstidpunkten bedöms hos den personuppgiftsansvariga utifrån omständigheterna. I princip får den ansvariga vetskap när biträdet informerar om en konstaterad incident; tidigare egna uppgifter kan också vara avgörande. För över tydliga tider och fakta mellan parterna. Bestämmelserna om hjälp och kontaktvägar bör konkretiseras i personuppgiftsbiträdesavtalet enligt artikel 28, utan att skapa en avtalsmässig frist som tillåter onödigt dröjsmål.
Samla rätt uppgifter inför anmälan
Artikel 33 kräver en beskrivning av incidentens art. Där det är möjligt ska ni ange kategorier och ungefärligt antal berörda personer samt kategorier och ungefärligt antal berörda personuppgiftsposter. Det är olika uppgifter: en person kan förekomma i flera poster. Redovisa vad uppskattningen bygger på och undvik en skenbart exakt siffra när omfattningen ännu är osäker.
Ange namn och kontaktuppgifter till dataskyddsombudet eller en annan kontaktpunkt där mer information kan fås. Beskriv sannolika konsekvenser och vidtagna eller föreslagna åtgärder, inklusive hur negativa effekter begränsas. Skilj mellan en redan genomförd spärr, en pågående undersökning och en planerad förbättring. Myndigheten ska kunna förstå vad som faktiskt har hänt och vad organisationen fortfarande arbetar med.
Om all information inte kan lämnas samtidigt får den lämnas stegvis utan onödigt ytterligare dröjsmål. Skicka en användbar första anmälan med det ni vet och förklara vilka frågor som återstår. Följ upp kompletteringar med ansvariga och datum. Möjligheten till stegvis information är särskilt viktig när det tar tid att analysera loggar eller avgränsa flera kundmiljöer.
Samordna underlaget när flera team undersöker samma händelse. IT kan redovisa antalet konton i ett system medan kundservice uppskattar antalet personer som kontaktat verksamheten; dessa tal mäter inte samma sak. Ange vilken källa varje uppgift kommer från och vem som ansvarar för nästa kontroll. Om en tidigare uppskattning visar sig vara felaktig ska kompletteringen tydligt beskriva den nya uppgiften och varför bedömningen ändrats.
Kontrollera även att beskrivningen skiljer den ursprungliga orsaken från incidentens konsekvenser. Ett fel i en åtkomstregel kan ha gjort uppgifter tillgängliga under flera dagar, medan det ännu är oklart om någon hämtat dem. Redovisa båda förhållandena utan att kalla osäkerhet för bevisad frånvaro av åtkomst.
Så anmäler ni till IMY
På IMY:s aktuella sida för incidentanmälan finns myndighetens e-tjänst för nya anmälningar och kompletteringar. IMY rekommenderar e-tjänsten och tillhandahåller även blanketter. Utgå från denna sida när ni ska lämna information, så att ni använder aktuell anmälningsväg och aktuella frågor. Spara en kopia av det ni skickar och de uppgifter som visar när det skickades.
Incidentanmälan enligt artikel 33 är en uppgift för den personuppgiftsansvariga organisationen. En privatperson som anser sig drabbad använder i stället relevanta vägar för klagomål eller tips. Läs vid behov vår guide till Integritetsskyddsmyndigheten, IMY för skillnaden mellan myndighetens olika funktioner. En polisanmälan om ett angrepp ersätter inte en incidentanmälan enligt GDPR.
En anmälan som kommer in till IMY blir en allmän handling. Det betyder inte att alla uppgifter automatiskt lämnas ut: sekretess kan begränsa utlämnandet efter prövning. Undvik att skicka fler personuppgifter eller tekniska detaljer än vad som behövs för ärendet. Om ni anser att viss information bör omfattas av sekretess kan ni förklara detta, men det är myndigheten som gör prövningen.
Vid gränsöverskridande behandling ska ni bedöma vilken tillsynsmyndighet som är behörig och om reglerna om ansvarig tillsynsmyndighet är tillämpliga. Svenskt språk på en webbplats eller förekomsten av svenska kunder avgör inte ensamt frågan. Förbered denna bedömning när behandlingen organiseras och kontrollera den mot incidentens faktiska omfattning. Guiden gäller GDPR; personuppgiftsbehandling under särskild brottsbekämpande lagstiftning kan följa andra anmälningsregler.
När måste de drabbade få information?
Om incidenten sannolikt leder till hög risk för de berördas rättigheter och friheter ska de informeras utan onödigt dröjsmål. Det finns ingen generell separat 72-timmarsfrist för den informationen. I vissa fall behöver människor få råd om skyddsåtgärder mycket snabbt, exempelvis om deras inloggningsuppgifter kan missbrukas. Vänta inte på att myndigheten ska godkänna kommunikationen om skyldigheten redan är klar.
Beskriv incidentens art med klart och tydligt språk. Informationen ska minst omfatta kontaktpunkt, sannolika konsekvenser och vidtagna eller föreslagna åtgärder. Anpassa råden till det som faktiskt hänt. Om lösenord inte berörts kan ett generellt krav att alla ska byta lösenord skapa förvirring. Fördjupad vägledning finns i artikeln om att informera personer som drabbats av en personuppgiftsincident.
Artikel 34 innehåller tre särskilda undantag. Informationen behöver inte lämnas när relevanta skyddsåtgärder har gjort uppgifterna oläsbara för obehöriga, eller när efterföljande åtgärder säkerställer att den höga risken sannolikt inte längre uppkommer. Om individuell information skulle kräva oproportionerlig ansträngning ska i stället ett offentligt meddelande eller en liknande åtgärd ge lika effektiv information. Det sista alternativet är alltså inte tillåtelse att vara tyst.
Pröva undantagen mot incidentens faktiska förhållanden och dokumentera varför de är tillämpliga. Samma allmänna påstående om kryptering kan inte användas oberoende av nyckelhantering och åtkomst. IMY kan också kräva att berörda informeras efter sin bedömning. En anmälan till myndigheten befriar inte organisationen från att själv hantera skyldigheterna gentemot människorna.
Dokumentera varje personuppgiftsincident
Artikel 33.5 kräver dokumentation av alla personuppgiftsincidenter, inklusive omständigheterna, effekterna och de åtgärder som vidtagits. Det gäller även incidenter där risk bedöms som osannolik och ingen anmälan görs. Dokumentationen ska göra det möjligt för tillsynsmyndigheten att kontrollera att reglerna har följts. Spara därför också skälen till bedömningen och vilket underlag som användes.
Incidentregistret är inte samma sak som registerförteckningen över behandlingar. Registerförteckningen beskriver den ordinarie behandlingen och kan hjälpa er hitta system, mottagare och ansvariga. Incidentdokumentationen beskriver den inträffade händelsen och besluten som följde. Koppla gärna ihop dem genom hänvisningar, utan att kopiera onödiga personuppgifter till flera dokument.
Bestäm vem som för loggen, vem som beslutar om anmälan och vem som kontaktar de berörda. Involvera dataskyddsombudet där ett sådant finns, men låt inte rådgivningsrollen dölja den personuppgiftsansvarigas ansvar. Artikeln om när dataskyddsombud krävs förklarar rollen närmare. Beslutsvägen behöver fungera också när ordinarie chef eller kontaktperson inte är tillgänglig.
Följ upp när den akuta situationen är över
Anta att ett felaktigt mejl återkallas och mottagaren bekräftar radering. Det kan vara relevant för riskbedömningen, men kontrollera vad bekräftelsen faktiskt täcker och om uppgifter kan ha kopierats vidare. Anta i stället att ett driftavbrott är löst: kontrollera att återställda uppgifter är riktiga och att människor inte fått felaktiga besked under avbrottet. En tekniskt avslutad händelse kan fortfarande kräva komplettering eller uppföljning.
Tilldela förbättringsåtgärder till ansvariga och kontrollera att de fungerar. Det kan handla om behörigheter, mottagarkontroll, återställning eller snabbare eskalering. En grundläggande plan för IT-säkerhet kan hjälpa till att ordna det fortsatta arbetet. Undvik att stänga ärendet enbart för att en utbildning bokats eller en rutin skrivits om; följ upp den förändring som ska minska risken för en liknande händelse.
När ny information kommer fram ska incidentdokumentationen, myndighetsanmälan och eventuell information till berörda fortfarande kunna uppdateras. Behåll en begriplig versionshistorik och skilj mellan vad som var känt vid första beslutet och vad som blev känt senare. Det gör både fortsatt hantering och framtida granskning mer tillförlitlig.