Är ett mejl till fel mottagare ett dataöverträdelse?

Ett felskickat e-postmeddelande kan vara ett dataintrång

Ett e-postmeddelande som skickas till fel mottagare faller under definitionen av ett dataintrång enligt GDPR: det föreligger då ett brott mot säkerheten som leder till oönskad åtkomst till personuppgifter av någon som inte har rätt till det. Oavsett om det gäller ett CV, en faktura med en adress eller ett internt memo med namn — så snart personuppgifter hamnar hos fel person är klassificeringen "dataintrång" i princip aktuell.

Att något är ett dataintrång innebär inte automatiskt att det måste rapporteras. Artikel 33 i GDPR kopplar rapporteringsplikten till tillsynsmyndigheten till den risk som intrånget utgör för den registrerades rättigheter och friheter: hur känsliga är uppgifterna, hur många personer är berörda, och har e-postmeddelandet hämtats tillbaka eller förblev det oöppnat. Ett felskickat e-postmeddelande med bara ett namn och en mötestid väger olika än ett e-postmeddelande med finansiell information eller hälsoupplysningar till en stor grupp fel mottagare. Organisationen som gjorde misstaget gör denna avvägning själv och avgör också själv om den ska rapportera.

Detta följer av artikel 33 i GDPR

Definitionen av ett brott mot säkerheten för personuppgifter och kopplingen till rapporteringsplikten inom 72 timmar finns i artikel 33 i GDPR; Datainspektionen klargör på sin sida om rapportering av dataintrång hur denna riskavvägning görs i praktiken. GDPR gäller som förordning direkt i varje medlemsstat, så denna kärna är densamma överallt — det som skiljer är var rapporteringen görs. I Sverige är det Datainspektionen, som enda nationell tillsynsmyndighet. I Tyskland är det annorlunda: där rapporterar en organisation till tillsynsmyndigheten i den delstat där etableringsorten är belägen, och det finns sexton delstatstillsynsmyndigheter tillsammans med den federala BfDI.