vem är ansvarig för att rapportera ett dataintrång inom mitt företag

Ansvaret ligger hos organisationen, inte hos en enskild anställd

Dataskyddsförordningen föreskriver meddelandeskyldigheten hos organisationen som är registeransvarig, inte hos en enskild arbetare som upptäcker eller orsakar läckan. Vem inom företaget som faktiskt lämnar meddelandet regleras inte av dataskyddsförordningen — det är en intern angelägenhet. I praktiken är det vanligtvis ägaren, en direktör eller någon som särskilt har utsetts för att hantera integritetsfrågor, till exempel en dataskyddansvarig om sådan har utsetts. För en egenföretagare eller ett litet företag utan separat funktion faller ansvaret ofta på den person som driver företaget.

Det som är säkert är att det måste finnas någon som vet att ett meddelande kan behövas så snart en läcka uppstår, och som kan bedöma om vad som faktiskt utgör en personuppgiftsincident gäller här. Ett företag som inte har fastställt vem som hanterar detta löper risk för att en läcka upptäcks men att ingen vidtar nästa åtgärd — medan klockan börjar löpa från det att läckan upptäcktes. Även om behandlingen är outsourcad till en tredje part ändrar det ingenting på vem som är ansvarig för meddelandet: det är och förblir den egna organisationen, även när en leverantör själv meddelar en personuppgiftsincident.

Där detta framgår av: artikel 33 i dataskyddsförordningen

Artikel 33 i dataskyddsförordningen talar alltid om "registeransvarig" som den part som måste meddela tillsynsmyndigheten, utan att föreskriva en intern funktion eller person; vem som faktiskt gör det är upp till organisationen själv. Datainspektionen bekräftar på sin sida om personuppgiftsincidenter att meddelandeskyldigheten ligger hos organisationen och inte hos en specifik anställd. Vilken tillsynsmyndighet meddelandet ska göras till varierar mellan medlemsstater: i Sverige är det Datainspektionen, medan det i övriga EU är den egna nationella tillsynsmyndigheten som är den behörig myndighet. Mer om de steg som ska följas och tillsynsmyndighetens roll finns i när en personuppgiftsincident måste meddelas till Datainspektionen.