min företags e-postkonto har hackats måste jag rapportera det

En hackad brevlåda är vanligtvis ett dataöverträdelse, anmälan beror på konsekvenserna

En hackad affärsmässig brevlåda är i de flesta fall en överträdelse i betydelsen av GDPR: det föreligger obehörig åtkomst till personuppgifter, och sådan åtkomst uppstår i praktiskt taget alla fall så snart någon utanför loggar in på ett konto som innehåller kund- eller kontaktuppgifter. Därmed är det fastslaget att något har hänt som faller under definitionen av vad är ett dataöverträdelse exakt? faller. Det är emellertid inte automatiskt detsamma som en anmälningsskyldighet till tillsynsmyndigheten.

Huruvida anmälan till tillsynsmyndigheten är aktuell beror på risken som överträdelsen medför för de personer vars uppgifter fanns i den brevlådan — tänk på fakturor med adressuppgifter, offerter med personnummer, eller korrespondens med känsligt innehål. En brevlåda med endast affärsmässiga kontaktuppgifter från kollegabedrifter medför en annan risk än en brevlåda full med kunddossier eller medicinsk korrespondens. Den avvägningen, och de åtgärder som hör till den, är utarbetad på sidan om när måste jag anmäla ett dataöverträdelse till Integritetsskyddsmyndigheten?. Bortsett från anmälan till tillsynsmyndigheten uppkommer även frågan om de registrerade själva ska få veta något, vilket har ett separat avvägningsramverk.

Grund i GDPR: definitionen av överträdelse och anmälningsskyldigheten

Grunden ligger i artikel 4 i GDPR, som definierar en överträdelse av skyddet av personuppgifter som åtkomst till, eller förlust, ändring eller förstöring av uppgifter som inte fick hända — en beskrivning som en hackad brevlåda vanligtvis faller under. Artikel 33 i GDPR kopplar till det villkoret för anmälan till tillsynsmyndigheten: anmälningsskyldigheten gäller när överträdelsen innebär en risk för de registrerades rättigheter och friheter, med ett undantag om denna risk skäligen kan antas vara frånvarande. EDPB:s riktlinjer utvecklar detta risikokoncept vidare, och Integritetsskyddsmyndigheten erbjuder på sin sida om dataöverträdelser en praktisk vägledning för den avvägningen. Vad som överallt i EU är lika: definitionen och risktestet från förordningen. Vad som skiljer sig per land är tillsynsmyndigheten dit anmälan skickas — i Sverige Integritetsskyddsmyndigheten, i andra medlemsstater den medlemsstatens tillsynsmyndighet.