Först av allt: läs brevet två gånger och titta på tidsfristen. IMY begär nästan alltid upplysningar – inte att ni ska erkänna något. Ni har rätt att få tid att svara ordentligt.
Bakgrund
Varför just ni?
En tillsyn kan starta på fyra sätt, och det påverkar hur ni ska läsa brevet:
- Efter ett klagomål från en registrerad, en anställd eller en konkurrent. Då är frågorna ofta snäva och gäller en enskild händelse.
- Efter en incidentanmälan som ni själva skickat in. Då är myndigheten redan informerad och tittar på hur ni hanterade situationen.
- Efter en sektorsgranskning där IMY valt ut en bransch – till exempel vård, skola, e-handel eller kreditupplysning. Då är frågorna generella och jämförs mellan företag.
- På eget initiativ utifrån omvärldsbevakning, medierapportering eller tidigare ärenden hos er.
Det är sällan personligt. Det är oftast en granskning av en rutin, inte av en människa – även om det kan kännas så när brevet kommer.
Första veckan
Så går det till, steg för steg
-
Dag 0 – brevet kommer
Läs vad tillsynen omfattar: vilken tid, vilka behandlingar, vilka system. Notera svarsdatum. Meddela ledningen och den som är dataskyddsombud, om ni har ett.
-
Dag 1–3 – samla, svara inte än
Ta fram det de frågar efter: register över behandlingar, rättslig grund, avtal, rutiner, loggar, beslut. Skriv ner vad som saknas – luckor är normala, och hur ni beskriver dem är viktigare än att de inte finns.
-
Dag 3–10 – formulera svaret
Ett svar per fråga, i samma ordning som de ställde dem. Fakta, källor och datum. Ingen argumentation om sådant de inte frågat om.
-
Innan fristen – skicka in
Behöver ni mer tid: begär förlängning i god tid och motivera varför. Det beviljas oftast. Ett ofullständigt svar i tid är sämre än ett fullständigt svar några dagar senare.
-
Under granskningen – åtgärda medan ni väntar
Hittar ni brister själva: åtgärda dem och berätta det. Vidtagna åtgärder väger positivt i bedömningen. Dokumentera vad ni gjort och när.
-
Beslutet
Utfallet blir i praktiken ett av fyra: ingen åtgärd, kritik, föreläggande (ibland med vite) eller sanktionsavgift. Ett föreläggande är en instruktion om vad ni ska göra – inte en dom om att ni är brottsliga.
Frågorna de ställer
Det här brukar efterfrågas
Nästan varje GDPR-tillsyn kretsar kring samma sex områden. Har ni dem samlade sedan tidigare går svaret fort att skriva.
| Område | Vad de vill se | Vanlig lucka |
|---|---|---|
| Register över behandlingar | Artikel 30-registret, aktuellt och komplett | Finns i ett kalkylark från 2021 som ingen äger |
| Rättslig grund | Varför ni får behandla uppgifterna, per ändamål | Saknas för marknadsföring och cookies |
| Biträdesavtal | Avtal med alla leverantörer som ser personuppgifter | Molntjänster och e-postverktyg saknas |
| Konsekvensbedömning | DPIA för behandlingar med hög risk | Aldrig gjord, eller gjord utan åtgärder |
| Registrerades rättigheter | Rutin och svarstider för begäranden | Ingen logg över inkomna begäranden |
| Incidenthantering | Rutin, ansvar, anmälda incidenter, dokumentation | Bara tekniska incidenter, inga personuppgiftsincidenter |
Så svarar ni utan att skada er själva
- Svara på det de frågar om – varken mer eller mindre. Att bre på med sådant ingen frågat om leder bara till nya frågor.
- Var sanningsenlig, även om svaret är obekvämt. Felaktiga uppgifter till en myndighet är en egen, allvarligare, fråga än den ursprungliga bristen.
- Skilj på vad ni vet och vad ni tror. "Vi antar att" och "vi har verifierat att" betyder helt olika saker i ett myndighetssvar.
- Visa vad ni gjort sedan bristerna upptäcktes. Datum, beslut, genomförda åtgärder. Det är den enskilt starkaste faktorn efter att bristen åtgärdats.
- Utse en talesperson. Alla frågor och all kontakt via en person. Det ger en konsekvent bild och färre motsägelser.
- Blanda inte in tekniken i onödan. Beskriv vad systemet gör i sak, inte vilken server det kör på – om de inte frågar.
Om ni inte svarar: en utebliven eller ofullständig upplysning kan leda till ett föreläggande förenat med vite – alltså en summa ni tvingas betala om ni inte gör det myndigheten begär. Det är dyrare och mer arbetskrävande än att svara ordentligt från början.
Vad det kan kosta
Sanktionsavgiften enligt GDPR är som högst 20 miljoner euro eller 4 procent av den globala årsomsättningen, beroende på vilket som är högst, vid allvarligare överträdelser. För andra överträdelser gäller 10 miljoner euro eller 2 procent. I Sverige har IMY utfärdat sanktionsavgifter i flera uppmärksammade ärenden, bland annat efter incidenten hos Miljödata och mot Spotify, där kammarrätten fastställde avgiften på 58 miljoner kronor. Det säger något viktigt: bristande incidenthantering och bristande information till registrerade är det som oftast driver beloppen – inte tekniken i sig.
Frågor och svar
Det vi får frågor om
Hur lång tid tar en tillsyn?
Från några veckor till över ett år. En snäv granskning efter ett klagomål går snabbare än en bred sektorsgranskning. Själva svarstiden ni får brukar vara två till fyra veckor.
Måste vi svara själva?
Ja, det är ni som är personuppgiftsansvarig. Ni får ta hjälp av konsult och jurist, men ansvaret kan inte delegeras bort.
Kan vi få förlängning?
Oftast ja, om ni begär det i god tid och förklarar varför. Att begära mer tid är normalt och ses inte som ett tecken på att något är fel.
Räcker det att anlita en jurist?
För den juridiska bedömningen, ja. Men de flesta frågorna är tekniska och organisatoriska: vad systemen faktiskt gör, vilka som kommer åt uppgifterna och vad som loggas. Där behövs någon som kan er miljö.
Vi hittade brister själva under granskningen – vad gör vi?
Åtgärda dem och berätta det i svaret eller i en komplettering. Vidtagna åtgärder är en förmildrande omständighet, och att själv hitta och rätta är bättre än att någon annan gör det.
Vad händer efter beslutet?
Antingen avslutas ärendet, eller så får ni kritik, ett föreläggande eller en sanktionsavgift. Ett beslut kan överklagas. Vi hjälper till med åtgärdsplanen oavsett utfall.
Källor och vidare läsning
Myndighetsinformation ändras. Kontrollera alltid aktuella regler och tidsfrister hos ansvarig myndighet, och ta juridisk rådgivning vid rättsliga bedömningar.
Fler akuta lägen