Ett mejl med en kunds lönelista går till fel mottagare. En bärbar dator blir stulen på tåget. Båda är exempel på personuppgiftsincidenter enligt GDPR. Här lär du dig vad en incident är och vad byrån måste göra.

Vad är en personuppgiftsincident?

Det är en säkerhetsincident där personuppgifter förstörs, går förlorade, ändras eller hamnar hos någon obehörig. Det spelar ingen roll om det sker av misstag eller med avsikt.

Det här kan du se på en byrå:

  • Ett mejl med lönespecifikationer eller personnummer skickas till fel person.
  • En dator, mobil eller USB-sticka med kunduppgifter tappas bort eller stjäls.
  • Någon luras av nätfiske och en obehörig kommer åt mejlkontot.
  • Ett utpressningsprogram (ransomware) låser byråns filer.

72 timmar till IMY

Den som är personuppgiftsansvarig ska anmäla incidenten till Integritetsskyddsmyndigheten (IMY) inom 72 timmar från att den fick kännedom om den. Anmälan behövs inte om det är osannolikt att incidenten medför en risk för de personer som uppgifterna handlar om. Har ni inte alla uppgifter i tid kan ni anmäla det ni vet och komplettera senare.

Är risken hög för de berörda personerna ska ni också informera dem utan onödigt dröjsmål.

Byrån är ofta personuppgiftsbiträde

När byrån sköter löner eller bokföring åt en kund är byrån ofta personuppgiftsbiträde, och kunden är personuppgiftsansvarig. Då ska byrån underrätta kunden utan onödigt dröjsmål. Det är sedan kunden som anmäler till IMY. Titta i ert personuppgiftsbiträdesavtal. Där står ofta hur snabbt ni ska höra av er.

Så gör du

  1. Stoppa skadan. Byt lösenord, spärra enheten eller be fel mottagare radera mejlet.
  2. Säg till direkt. Berätta för den som ansvarar för GDPR på byrån.
  3. Bedöm risken för de personer som berörs.
  4. Underrätta kunden, eller anmäl till IMY om byrån själv är ansvarig.
  5. Dokumentera. Alla incidenter ska skrivas ner, även de som inte anmäls. Skriv vad som hände, vilka följder det fick och vad ni gjorde.

Vill du lära dig mer?

I Finanslicensers utbildning i GDPR lär du dig reglerna online i egen takt, och du får ett certifikat när du är klar.

Källa: artikel 33 och 34 i GDPR samt Europeiska dataskyddsstyrelsens guide om personuppgiftsincidenter.