Alla incidenter dokumenteras, även de som inte anmäls
Artikel 33.5 kräver att varje personuppgiftsincident dokumenteras, oavsett om den anmäls till IMY eller inte, med omständigheterna, effekterna och de vidtagna åtgärderna. Beslutet att inte anmäla är i sig ett beslut som ska kunna motiveras.
Vad de 72 timmarna kräver
- Anmälan till IMY utan onödigt dröjsmål och senast inom 72 timmar, om risk för de registrerade är sannolik (artikel 33.1)
- Information till de registrerade när risken är hög (artikel 34)
- Dokumentation av varje incident i incidentregistret, med motiveringen till beslutet (artikel 33.5)
- Motivering av förseningen om anmälan sker senare än 72 timmar
E-post och kalkylblad, eller ett flöde
Flödet i fyra steg, per kund
Kontroll, åtgärder, beslut, dokument — med hänvisningar till bestämmelserna intill och privata anteckningar för ombudet. 30 dagar gratis, utan kort.
Prova gratisVanliga fragor
Från när räknas de 72 timmarna?
Från det att den personuppgiftsansvarige får kännedom om incidenten, inte från det att den inträffade. Skäl 87 knyter kännedomen till en rimlig grad av visshet om att en säkerhetsincident har inträffat och har lett till att personuppgifter har komprometterats.
Måste alla incidenter anmälas till IMY?
Nej. Anmälan krävs när det är sannolikt att incidenten medför en risk för fysiska personers rättigheter och friheter. Är risken hög ska även de registrerade informeras enligt artikel 34. Men varje incident, även den som inte anmäls, ska dokumenteras enligt artikel 33.5.
Vad frågar IMY efter efter en incident?
Händelseförloppet, kategorier och ungefärligt antal registrerade och personuppgiftsposter, de sannolika konsekvenserna, de åtgärder som vidtagits eller föreslagits, och kontaktuppgifter till dataskyddsombudet. Artikel 33.3 räknar upp minimiinnehållet.
Vad händer om anmälan görs för sent?
Artikel 33.1 tillåter anmälan efter 72 timmar, men den ska då åtföljas av en motivering till förseningen. Motiveringen bedöms: en sen upptäckt som beror på organisatorisk oaktsamhet är i sig angriplig.
Vad gör ett personuppgiftsbiträde?
Biträdet ska underrätta den personuppgiftsansvarige utan onödigt dröjsmål efter att ha fått kännedom om incidenten (artikel 33.2). Biträdet anmäler alltså inte till IMY i eget namn — det är den ansvariges skyldighet.
Incidenten hanteras innan den inträffar
Rutin, register, information och nedräkning — färdiga, för varje kund.
Kom igang gratis