min laptop med kunddata har stöldits vad ska jag göra nu

En stulen bärbar dator med kunduppgifter är vanligtvis ett dataintrång

En stulen företagsbärbar dator med kunduppgifter räknas i de flesta fall som ett brott mot säkerheten för personuppgifter, såsom artikel 4 i GDPR definierar det. Uppgifter lämnar organisationens kontroll, och det är exakt vad den definitionen syftar på — det spelar ingen roll om bärbara datorn stals från en bil, en väska eller ett kontor. Vad som exakt fanns på bärbara datorn och om informationen var krypterad eller på annat sätt skyddad spelar också en roll för hur allvarligt detta är, men själva stölden är utgångspunkten för bedömningen. En mer omfattande förklaring av vad som omfattas eller inte omfattas av denna definition finns på kunskapsbankssidan om vad ett dataintrång exakt är.

Från det ögonblick det upptäcks pågår två saker samtidigt: utredningen av fakta (vilka uppgifter, från vem, hur många personer och om det fanns kryptering) och frågan om detta måste rapporteras — till tillsynsmyndigheten och eventuellt till de registrerade själva. Båda frågorna beror på den risk som de stulna uppgifterna medför för människor, och den risken är exakt anledningen till att en tom eller väl krypterad bärbar dator bedöms annorlunda än en bärbar dator full med okrypterade kunduppgifter. Hur denna avvägning för rapportering till tillsynsmyndigheten fungerar är utförligt beskriven på sidan om när ett dataintrång måste rapporteras till Integritetsmyndigheten, och frågan om de registrerade själva också måste få ett meddelande på sidan om informera de registrerade om ett dataintrång.

Vad detta bygger på: artikel 4, artikel 32 och artikel 33 GDPR

Definitionen av ett brott mot säkerheten för personuppgifter finns i artikel 4 i GDPR, skyldigheten att på lämpligt sätt säkra uppgifter — inklusive risken för förlust av utrustning — i artikel 32 och rapporteringskravet till tillsynsmyndigheten i artikel 33. Dessa tre artiklar gäller direkt i hela EU, så bedömningen av om en stulen bärbar dator är ett reporterbart dataintrång följer samma regler överallt. Vad som varierar från land till land är tillsynsmyndigheten dit en rapport skickas: i Sverige är det Integritetsmyndigheten, i andra medlemsstater den nationella tillsynsmyndigheten i det landet. EDPB-riktlinjerna ger ytterligare vägledning om hur dessa artiklar tillämpas i praktiken, och Integritetsmyndigheten erbjuder på sin egen sida om dataintrång en svensk förklaring av samma regler.