När måste jag anmäla ett dataöverträdelse till Datainspektionen?

Anmälan är huvudregeln, såvida en risk inte är osannolik

En dataöverträdelse anmäler du till tillsynsmyndigheten så snart det är sannolikt att överträdelsen utgör en risk för de rättigheter och friheter som tillhör de personer vars uppgifter har drabbats. Det är kärnan i artikel 33 GDPR: anmälan är utgångspunkten, och endast när det är rimligt att anta att ingen risk uppstår, uteblir anmälan. I praktiken betyder detta att de flesta överträdelser av personuppgifter — ett felskickat e-postmeddelande med kunduppgifter, en stulen bärbar dator, en hackad databas — omfattas av anmälningsplikten, medan en överträdelse som uppenbart inte kan drabba någon (till exempel för att uppgifterna var krypterade och nyckeln inte läckte) kan falla utanför anmälningsplikten.

För denna bedömning ser du på exakt vad som hände, vilka uppgifter det handlar om och vem som kan drabbas. Känsliga uppgifter, finansiella uppgifter eller uppgifter om barn väger tyngre än en enstaka e-postadress. Klockan på 72 timmar enligt artikel 33 GDPR börjar löpa från det ögonblick du blir medveten om överträdelsen, inte från det ögonblick den uppstod — dessa två ligger ibland veckor ifrån varandra. Ett beslutsträd som går igenom denna avvägning steg för steg är aldrig en ersättning för din egen bedömning av den konkreta överträdelsen, men hjälper till att gå igenom frågan "anmälningspliktig eller inte" på ett strukturerat sätt.

Där detta följer av artikel 33 GDPR och EDPB-riktlinjerna

Anmälningsplikten själv finns i artikel 33 GDPR; precisering av begrepp som "risk" och "utan onödig dröjsmål" kommer från EDPB:s riktlinjer om datöverträdelseanmälningar, och Myndigheten för samhällsskydd och beredskap klargör detta för den svenska praktiken. GDPR gäller direkt i varje medlemsstat, men vem du anmäler till varierar: i Sverige anmäler du till Datainspektionen, som är den enda tillsynsmyndigheten för hela landet. I Tyskland anmäler du till tillsynsmyndigheten i den delstat där verksamheten är etablerad, eftersom det finns sexton delstatstillsynsmyndigheter tillsammans med en federal tillsynsmyndighet.