En personuppgiftsincident (på norska ”avvik”) är en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust, ändring, obehörigt röjande av eller obehörig åtkomst till personuppgifter (artikel 4.12). Både olyckor och attacker räknas.
Exempel
- ett e-postmeddelande med lönelistor skickas till fel mottagare
- en bärbar dator eller telefon med kunddata har tappats eller stulits
- ett nätfiskemeddelande har gett någon åtkomst till ett e-postkonto
- en anställd har tittat i journaler eller kundkort utan tjänstemässigt behov
- en databas är felkonfigurerad och öppen på internet
- ransomware har krypterat filer med personuppgifter
- pappersmappar har slängts i vanligt skräp
- en säkerhetskopia har raderats utan att någon har en kopia
Tre typer av incidenter:
- konfidentialitet: någon obehörig får tillgång
- integritet: uppgifter har ändrats utan tillstånd
- tillgänglighet: uppgifter är borta eller otillgängliga
Din skyldighet: säg ifrån omedelbart
Som anställd ska du anmäla internt så snart du upptäcker eller misstänker en incident. Använd verksamhetens rutin, till exempel en incidentrapport, IT-support eller dataskyddsombudet. Du ska inte själv bedöma om den är ”stor nog”. Det avgör de som ansvarar. Radera inte bevis, försök inte dölja felet och försök inte städa upp på egen hand.
Skriv ner det du vet: vad som hände, när, vilka uppgifter och vilka som kan vara berörda.
Verksamhetens anmälningsskyldighet till Datatilsynet
Enligt artikel 33 ska den personuppgiftsansvarige anmäla incidenten till Datatilsynet utan onödigt dröjsmål och om möjligt senast 72 timmar efter att ha fått kännedom om den. Det gäller inte om incidenten sannolikt inte leder till någon risk för personers rättigheter och friheter. Sker anmälan senare än 72 timmar måste förseningen motiveras.
Fristen räknas i timmar, och den löper också under helger och helgdagar. Därför räknas varje timme du använder innan du säger ifrån.
Anmälan ska bland annat beskriva:
- incidentens art och ungefär hur många personer och uppgifter som berörs
- kontaktpunkt för mer information
- sannolika följder
- åtgärder som har vidtagits eller föreslagits
Uppgifter kan lämnas i etapper om allt inte är klart på en gång.
Personuppgiftsbiträden
Ett personuppgiftsbiträde som upptäcker en incident ska underrätta den personuppgiftsansvarige utan onödigt dröjsmål (artikel 33.2). Fristen på 72 timmar gäller den personuppgiftsansvarige.
Underrättelse till de berörda
Är det sannolikt att incidenten leder till hög risk för personerna, till exempel ekonomiskt bedrägeri, identitetsstöld eller röjande av hälsouppgifter, ska verksamheten också underrätta dem direkt och på ett tydligt språk (artikel 34). Det kan underlåtas om uppgifterna var försvarligt krypterade eller risken har avvärjts.
Alla incidenter ska dokumenteras
Även de som inte anmäls till Datatilsynet ska dokumenteras internt (artikel 33.5): fakta, effekter och åtgärder. Datatilsynet kan begära att få se dokumentationen.
Vad händer efteråt?
Verksamheten bedömer risken, täpper till hålet, anmäler vid behov och förbättrar rutinerna. Målet är lärande, inte att hitta syndabockar. Anställda som anmäler snabbt och ärligt gör sitt jobb.