vilka är konsekvenserna om jag inte rapporterar ett dataintrång till AP

Att inte anmäla kan få konsekvenser som sträcker sig längre än själva dataintrånget

Den som inte anmäler ett anmälningspliktigt dataintrång till tillsynsmyndigheten riskerar att denna tillsynsmyndighet själv får reda på det och ingriper enligt artikel 33 i GDPR, som reglerar anmälningsplikten inom den där nämnda tidsfristen. Integritetsskyddsmyndigheten och övriga europeiska tillsynsmyndigheter har befogenhet att genomföra utredningar, ställa frågor och vid en konstatherad överträdelse förelägga en sanktion. Att ett intrång inte anmälts kommer ofta just fram genom att en registrerad själv klagar, genom att uppgifter dyker upp på andra håll, eller genom att en personuppgiftsbiträde eller leverantör anmäler intrånget och tillsynsmyndigheten följer upp därifrån — se även vad man ska göra när en leverantör anmäler ett dataintrång.

Vid sidan av risken gentemot tillsynsmyndigheten spelar något annat in: att inte anmäla ett intrång står skilt från frågan om de personer vars uppgifter det gäller måste underrättas. Den skyldigheten följer av artikel 34 i GDPR och kan förbliva gällande även om anmälan till tillsynsmyndigheten inte görs — med allt image- och förtroendeskada som det kan medföra när det senare ändå kommer upp. Även ett intrång som inte är anmälningspliktigt ska finnas kvar i den egna dokumentationen; se varför även oanmälda dataintrång bör dokumenteras.

Vad som gäller i reglerna

Skyldigheten att anmäla finns i artikel 33 i GDPR och denna skyldighet gäller direkt i varje medlemsstat i EU. Vart anmälan ska skickas skiljer sig mellan länder: i Sverige är det Integritetsskyddsmyndigheten, i andra medlemsstater den nationella tillsynsmyndigheten i det landet — EDPB hanterar en förteckning över dessa tillsynsmyndigheter och publicerar riktlinjer om tolkningen av anmälningsplikten. Den exakta utformningen av när något måste anmälas eller inte, beskrivs på sidan om att bedöma om ett dataintrång måste anmälas.