Akut · 72 timmar
Personuppgiftsincident: vad som gäller inom 72 timmar
Klockan börjar ticka när ni fick kännedom – inte när incidenten inträffade. Här är vad som räknas som en incident, när den måste anmälas, vad anmälan ska innehålla och vilka misstag som driver upp kostnaden.
Behöver ni anmäla i dag? Ring oss. Vi går igenom händelsen, gör riskbedömningen tillsammans med er och skriver anmälan – eller säger till om den inte behövs.
Grunderna
Vad är en personuppgiftsincident?
En personuppgiftsincident är en säkerhetsincident som leder till att personuppgifter förstörs, förloras, ändras eller röjs – eller att någon obehörig får tillgång till dem. Det handlar alltså inte om uppsåt, utan om effekten. Även ett misstag internt är en incident.
Typiska exempel hos vanliga företag:
- Ett utskick där mottagarna ser varandras e-postadresser
- Fel kund fick ett brev eller en faktura med någon annans uppgifter
- En anställds e-postkonto kapades och fick ett utskick
- Stulen eller borttappad telefon, dator eller USB-minne
- Ett system stod öppet mot internet utan skydd
- Utpressningsvirus eller intrång där kunddata kan ha kopierats
- Personuppgifter låg kvar i ett system efter att de skulle raderats
Tidslinjen
De första 72 timmarna
Fristerna hänger ihop: anmälan till myndigheten inom 72 timmar, information till de registrerade utan onödigt dröjsmål om risken är hög.
-
0–1 timme – begränsa
Stäng av det som läcker, återkalla åtkomst, byt lösenord där det behövs, men radera ingenting. Loggar och spår är er bevisning. Skriv ner vad ni gör och när.
-
1–4 timmar – samla fakta
Vilka uppgifter, hur många personer, vilka kategorier, hur länge har det pågått, vem kommer åt dem nu? Kontakta leverantören om felet ligger hos dem.
-
4–24 timmar – riskbedömning och beslut
Risken bedöms utifrån typ av uppgifter, antal personer, om de är särskilt skyddsvärda (till exempel barn) och hur enkelt uppgifterna kan missbrukas. Besluta: anmäla, informera de registrerade, eller inget av dem – och dokumentera skälen.
-
24–72 timmar – anmäl till IMY
Anmälan görs i IMY:s e-tjänst. Ni behöver inte ha hela bilden klar: anmäl det ni vet och komplettera i efterhand. Det är både tillåtet och vanligt.
-
Efter 72 timmar – då?
Har ni missat fristen: anmäl ändå, och förklara varför det blev sent. Att anmäla sent är ett mindre problem än att inte anmäla alls.
-
Löpande – dokumentera allt
Alla incidenter ska dokumenteras internt, även de som inte anmäls, med fakta, konsekvenser och vidtagna åtgärder. IMY kan begära att få se den dokumentationen.
Innehållet
Vad anmälan ska innehålla
| Uppgift | Så tänker ni |
|---|---|
| Incidentens art | Vad hände, i klarspråk. Inte vilket system som krashade, utan vilka uppgifter som röjdes och hur. |
| Kategorier och antal | Hur många registrerade och hur många poster, uppskattat om exakt antal saknas. Skriv "cirka". |
| Kontaktpunkt | Dataskyddsombud eller den som ansvarar. En person, med direktkontakt. |
| Sannolika konsekvenser | Vad kan hända de registrerade? Identitetsstöld, bedrägeri, obehörig insyn, skada på anseende. |
| Vidtagna åtgärder | Vad ni gjort och vad som återstår. Även planerade åtgärder räknas. |
Sju misstag som blir dyra
- Att vänta på hela bilden. Fristerna är hårda. Anmäl det ni vet inom 72 timmar och komplettera sedan.
- Att behandla det som en IT-fråga. IT löser tekniken. Frågan om anmälan, riskbedömning och information är juridisk och organisatorisk – och den är er.
- Att städa bort loggar. Det försvårar utredningen internt och ser illa ut utåt.
- Att glömma leverantörskedjan. En underleverantör som läcker ska underrätta er utan onödigt dröjsmål. Ni kan inte luta er mot att de inte hörde av sig.
- Att inte informera de registrerade. Vid hög risk ska de få veta, utan onödigt drömsmål och i klarspråk om vad de bör göra.
- Att bara anmäla och sedan inte göra något. Hur ni hanterade incidenten är det som granskas. Åtgärdsplanen är en del av svaret.
- Att inte dokumentera de incidenter som inte anmäldes. De är den vanligaste överraskningen i en tillsyn.
Samma händelse, flera frister. En attack kan kräva anmälan till IMY inom 72 timmar enligt GDPR, en tidig varning inom 24 timmar enligt cybersäkerhetslagen om ni är en samhällsviktig verksamhet, och en polisanmälan. Läs mer om NIS2-rapporteringen och om IT-attacker.
Frågor och svar
Det vi får frågor om
Räknas det som incident om ingen obehörig hann se uppgifterna?
Ja, en röjning kan vara en incident även utan att någon utnyttjat den. Bedömningen av om den ska anmälas handlar om risken för de registrerade.
Måste vi anmäla allt, även små misstag?
Nej. Anmälan krävs när incidenten sannolikt innebär en risk för de registrerades rättigheter och friheter. Men alla incidenter ska dokumenteras internt – även de som inte anmäls.
Vad händer om vi anmäler för sent?
Anmäl ändå och förklara fördröjningen. Att anmäla sent är en förmildrande omständighet jämfört med att inte anmäla alls.
Ska vi informera kunderna?
Om risken är hög: ja, utan onödigt dröjsmål och i klarspråk. Är ni osäkra är det bättre att informera en gång för mycket – men gör det med fakta, inte med spekulation.
Måste vi skriva anmälan själva?
Ni ansvarar för den, men ni får ta hjälp. Vi skriver anmälan tillsammans med er och ser till att varje punkt är besvarad utan att ni lovar mer än ni vet.
Hur länge ska dokumentationen sparas?
Det finns ingen uttalad frist i GDPR, men dokumentationen behövs för att kunna visa ansvarsskyldighet. Utgå ifrån minst tre år, och längre om det finns andra skäl.
Källor och vidare läsning
- IMY – när ska vi anmäla personuppgiftsincidenten?
- IMY – anmäla personuppgiftsincident (e-tjänst)
- EDPB – riktlinjer om anmälan av personuppgiftsincidenter
Myndighetsinformation ändras. Kontrollera alltid aktuella regler och tidsfrister hos ansvarig myndighet, och ta juridisk rådgivning vid rättsliga bedömningar.
Fler akuta lägen