TL;DR
Den 5 oktober 2026 publicerade UODO:s ordförande vägledning om anmälningströskeln i artikel 33.1, efter en rad incidenter med obehörig åtkomst till databaser över avtalsparter och faktureringssystem. Om endast uppgifter om näringsidkare som redan är offentliga i registret CEIDG har exponerats (namn, firma, NIP, officiell adress) är en risk normalt osannolik och anmälan behövs kanske inte. Om även PESEL-nummer, köpuppgifter som avslöjar hälsa eller andra särskilda kategorier, eller finansiell information har läckt ska incidenten anmälas; vid hög risk ska även de registrerade informeras (artikel 34). Alltid: en dokumenterad riskbedömning och skälen till att inte anmäla i den interna dokumentationen.
Bakgrunden
I de senaste incidenterna i Polen nådde den obehöriga åtkomsten inte kundregister med konsumenter, utan databaser över avtalsparter och faktureringssystem: listor över företag och egenföretagare som organisationen samarbetar med. UODO kräver av varje personuppgiftsansvarig en noggrann riskbedömning i varje enskilt fall, och resultatet avgör om anmälan ska göras.
När anmälan kanske inte behövs
Det typiska fallet är enskilda näringsidkare vars exponerade uppgifter motsvarar vad vem som helst kan slå upp i det offentliga registret CEIDG: för- och efternamn, firma, NIP, officiell verksamhetsadress. Enligt myndigheten ger förlust av konfidentialitet för sådana uppgifter normalt inte obehöriga några nya möjligheter att skada den registrerade. Andra länder har motsvarande företagsregister, men bedömningen måste alltid göras för det konkreta fallet.
När anmälan krävs
- PESEL, det polska nationella identitetsnumret: risk för identitetsstöld, bedrägerier och skulder i den registrerades namn.
- DETALJER OM KÖP ELLER TJÄNSTER som avslöjar hälsa eller andra särskilda kategorier: risk för den personliga integriteten, diskriminering och otillåten profilering.
- FINANSIELL INFORMATION: risk för bedrägerier och falska fakturor eller betalningar.
Att inte anmäla är inte att inte dokumentera
Även när den personuppgiftsansvarige drar slutsatsen att anmälan inte behövs måste den genomföra och dokumentera riskbedömningen och i den interna dokumentationen över incidenter ange skälen till att anmälan inte gjordes. GDPR kräver att alla incidenter dokumenteras, anmälda eller inte (artikel 33.5). Ett beslut att inte anmäla utan skriftligt spår går inte att försvara vid en tillsyn.
Vad det betyder för dataskyddsombudet
Fem steg vid en incident i faktureringsprogrammet
Ett: rekonstruera exakt vilka fält som exponerades, post för post, i stället för att resonera abstrakt om «databasen». Två: skilj uppgifter som redan är offentliga från allt annat (IBAN, belopp, beskrivningar av tjänster, privata kontaktuppgifter, anteckningar). Tre: skriv ner bedömningen med datum, författare, kriterier och slutsats, och öppna den igen om nya fakta dyker upp. Fyra: håll koll på de 72 timmarna, som räknas från när man fick kännedom om incidenten, inte från när analysen är klar. Fem: inträffade incidenten hos ett personuppgiftsbiträde, kontrollera att det underrättade den ansvarige utan onödigt dröjsmål (artikel 33.2) och att avtalet kräver det.
UODO:s tolkning stämmer med EDPB:s riktlinjer 9/2022 om anmälan av personuppgiftsincidenter: tröskeln är inte hur allvarlig incidenten känns, utan risken för människor. Det praktiska värdet i den polska vägledningen ligger i exemplen, som visar vad som gör en lista över avtalsparter till ett anmälningspliktigt problem.
Söker du ett verktyg för ditt arbete som dataskyddsombud?
DPO Workspace är byggt av ett certifierat dataskyddsombud. 30 dagar gratis.
Börja gratis
