Enligt artikel 34 i GDPR finns det särskild information som ska framgå till registrerade när incidenter (personuppgiftsincidenter) inträffar. Däremot behöver företag inte alltid informera de registrerade om en inträffad personuppgiftsincident som omfattar deras personuppgifter. Det finns alltså vissa typer av personuppgiftsincidenter som inte behöver bli anmälda till IMY och som inte heller behöver bli informerade om till de registrerade.
När det inträffar en personuppgiftsincident som sannolikt leder till en hög risk för de registrerades fri- och rättigheter, måste företaget anmäla incidenten till IMY. Dessutom är det vid dessa situationer som företaget kan behöva informera de registrerade som incidenten omfattar.
Observera att företaget också ska göra en polisanmälan om den inträffade incidenten också utgör ett brott, exempelvis ett dataintrång. Anmälan av en personuppgiftsincident ska ske till IMY inom 72 timmar från att den personuppgiftsansvarige upptäckte incidenten.
Här är den information som ska framgå till registrerade vid incidenter som omfattar deras personuppgifter
Om den inträffade personuppgiftsincidenten sannolikt leder till en hög risk för den registrerades rättigheter och friheter, kan företaget behöva informera den registrerade om det inträffade. Vid sådana fall ska företaget tillhandahålla informationen till den registrerade utan onödigt dröjsmål.
I de fall företaget behöver informera registrerade om en inträffad personuppgiftsincident ska företaget:
- Beskriva vad som har inträffat. Om det är möjligt, ska företaget även ge information om vilka kategorier av personuppgifter respektive registrerade som incidenten berör och ungefär hur många personuppgifter och registrerade som incidenten berör.
- Ge kontaktuppgifterna till en kontaktpunkt hos företaget som kan ge mer information om händelsen. Vissa företag behöver ha ett dataskyddsombud, men detta gäller inte alla företag. Om företaget har ett dataskyddsombud ska kontaktuppgifter till denne framgå.
- Beskriva vilka konsekvenser som personuppgiftsincidenten sannolikt kan innebära.
- Förklara vilka åtgärder som företaget har vidtagit för att minimera de eventuella konsekvenserna av personuppgiftsincidenten och vad företaget har gjort för att åtgärda incidenten.
Här kan du läsa en rapport från IMY som handlar om personuppgiftsincidenter.
En vanlig personuppgiftsincident
En vanlig personuppgiftsincident är felskickade mejl, SMS, brev eller andra typer av meddelanden. Därför är det bra att alltid dubbelkolla att mottagaradressen är korrekt angiven för att undvika denna typ av incident. Orsaken till dessa personuppgiftsincidenter är ofta den mänskliga faktorn.
