Personuppgiftsincidenter

Konsekvenserna kan vara olika till exempel då känsliga uppgifter läckt till Internet och då personuppgifter inte kan behandlas på grund av ett fel i ett datasystem.

Ju känsligare information personuppgiftsincidenten gäller, desto större risk för de personer som drabbas av incidenten. Också en kombination av olika uppgiftstyper som gäller en registrerad är ofta känsligare än en enskild uppgift som gäller en registrerad. När en personuppgiftsincident gäller en stor mängd uppgifter, gäller konsekvenserna också för en stor grupp.

Det är viktigt att bedöma hur enkelt personerna kan identifieras i det material som är föremål för personuppgiftsincidenten, antingen direkt eller indirekt utifrån övriga tillgängliga uppgifter. Identifierbarheten kan påverkas bland annat av hur väl uppgifterna krypterats eller pseudonymiserats.

En personuppgiftsincident kan ha allvarligare konsekvenser då den drabbar barn eller andra personer i sårbarare eller svagare ställning.

Den personuppgiftsansvariges bransch och roll kan påverka den risk som orsakas av personuppgiftsincidenten. Till exempel då en personuppgiftsincident drabbar ett patientdatasystem på ett sjukhus, är hotet för de registrerade sannolikt större än då personuppgiftsincidenten äger rum i ett prenumerantregister hos en dagstidning.

Det kan anses att konsekvenserna av en personuppgiftsincident är synnerligen allvarliga till exempel då den kan leda till identitetsstöld, bedrägeri, ångest, förnedring eller förlorat anseende.

Också den som fått tillgång till uppgifterna, kan påverka de konsekvenser som är att vänta. Sannolikheten för missbruk kan vara större, om det är känt att uppgifterna hamnat hos kriminella.

När du bedömer en risk förknippad med en personuppgiftsincident, ska de beakta allvaret i och sannolikhet för en eventuell konsekvens av personuppgiftsincidenten. Ju allvarligare följd för individen och ju sannolikare att den blir verklighet, desto större är den risk som är förknippad med en personuppgiftsincident.

Den personuppgiftsansvariga ska i sin anmälan noga bedöma allvarlighetsgraden av personuppgiftsincidentens eventuella konsekvenser för den registrerade. Syftet är att uttryckligen bedöma allvarlighetsgraden av personuppgiftsincidentens konsekvenser för den registrerade, inte konsekvenserna för den personuppgiftsansvariga.

Om den personuppgiftsansvariga anmäler på dataombudsmannens byrås blankett att hen bedömt att allvarlighetsgraden av eventuella konsekvenser för den registrerade är Betydande eller Väldigt betydande innebär detta i regel att den personuppgiftsansvariga ska utan oskäligt dröjsmål informera den registrerade om det inträffade och ange på blanketten under punkten Kontakt till de registrerade Ja eller Nej, men de kommer att underrättas.

Bedömning av allvarlighetsgraden av eventuella konsekvenser av en personuppgiftsincident är en av den personuppgiftsansvarigas skyldigheter. Om den personuppgiftsansvariga har bedömt allvarlighetsgraden av personuppgiftsincidentens konsekvenser för den registrerade felaktigt, beslutar tillsynsmyndigheten i sista hand på basis av de uppgifter som den personuppgiftsansvariga lämnat in huruvida tröskeln för att informera den registrerade uppfylls.

Dataombudsmannens byrå kan ålägga den personuppgiftsansvariga att informera den registrerade om tröskeln för anmälan uppfylls och den personuppgiftsansvariga inte på eget initiativ har informerat de registrerade som drabbats av personuppgiftsincidenten.

Dataombudsmannens byrås blankett för anmälan av personuppgiftsincidenter består av tre olika typer av anmälan: hela anmälan, preliminär anmälan och komplettering av tidigare anmälan.

Hela anmälan används när den personuppgiftsansvariga vet vad som har hänt vid personuppgiftsincidenten. När man fyller i anmälan kan en del av frågorna fortfarande var diffusa, men det är ändå klart för den personuppgiftsansvariga på basis av det som kommit fram att det är fråga om en personuppgiftsincident som uppfyller tröskeln för anmälan till tillsynsmyndigheten.

Syftet med preliminär anmälan är att den personuppgiftsansvariga kan meddela att en eventuell personuppgiftsincident har upptäckts, men det finns inte så mycket information om det inträffade ännu eller informationen är oklar. Om den personuppgiftsansvariga lämnar in en preliminär anmälan ska hen på eget initiativ komplettera den när hen har fått mer information om det inträffade.

Med en kompletterande anmälan som den personuppgiftsansvariga lämnat in på eget initiativ blir ärendets behandling hos tillsynsmyndigheten smidigare och snabbare och minskar tillsynsmyndighetens kontakter med den personuppgiftsansvariga.

Om den personuppgiftsansvariga anger i sin anmälan om personuppgiftsincidenten att vissa frågor om det inträffade ännu kommer att utredas, ska den personuppgiftsansvariga komma ihåg att på eget initiativ lämna in en kompletterande anmälan när mer information om det inträffade har erhållits.

Anmälan om personuppgiftsincident bör lämnas utan oskäligt dröjsmål även om man inte ännu känner till all information om det inträffade. Det är nödvändigt för tillsynsmyndigheten att få veta om en personuppgiftsincident inom den utsatta tiden.

Om den personuppgiftsansvariga upptäcker en personuppgiftsincident som ska anmälas till tillsynsmyndigheten, ska den personuppgiftsansvariga anmäla incidenten utan oskäligt dröjsmål, i den mån det är möjligt inom 72 timmar. Om anmälan inte lämnas inom 72 timmar ska den personuppgiftsansvariga lämna in en motiverad förklaring för förseningen till dataombudsmannens byrå.