Regler & juridik / GDPR och dataskydd

Personuppgiftsincidenter

En personuppgiftsincident är när personuppgifter förstörs, försvinner, ändras eller kommer i fel händer. Du måste ha en plan för hur du agerar – tidsfristerna är korta.

Exempel

Ett mejl till fel mottagare, en stulen dator, ett hackat konto eller en utpressningsattack.

Anmälan inom 72 timmar

Incidenter som kan innebära en risk för personerna ska anmälas till IMY inom 72 timmar från att du fått kännedom om dem.

Informera de drabbade

Om risken är hög ska de berörda personerna informeras utan onödigt dröjsmål.

Dokumentera allt

Alla incidenter ska dokumenteras internt – även de som inte behöver anmälas.

Gör så här

1. Stoppa incidenten: byt lösenord, koppla bort enheten, be mottagaren radera.
2. Ta reda på vilka uppgifter och vilka personer som berörs.
3. Bedöm risken för de drabbade.
4. Anmäl till IMY inom 72 timmar om risken inte är osannolik.
5. Informera de drabbade om risken är hög.
6. Dokumentera och vidta åtgärder så att det inte händer igen.

Vanliga misstag

• Att vänta med att agera i hopp om att det ska lösa sig.
• Att tro att det inte är en incident eftersom ingen gjort det med flit.
• Att inte dokumentera små incidenter.

Skriv en enkel incidentrutin nu, medan det är lugnt. Under en incident har du inte tid att leta information.

Källa: Integritetsskyddsmyndigheten (IMY)