jag har tappat bort en USB-sticka med kunddata är det ett dataintrång

En förlorad USB-sticka är vanligtvis ett dataintrång

En USB-sticka med kunduppgifter som är förlorad är i de flesta fall ett dataintrång enligt GDPR. Definitionen i artikel 4 GDPR talar om ett intrång på säkerheten som leder till förlust av personuppgifter, och det är precis vad som händer när en sticka med namn, adresser eller andra kunduppgifter inte längre kan hittas: uppgifterna är inte förstörda, men de ligger utanför företagets kontroll. Huruvida de också hamnar i fel händer är inte kärnan i frågan — förlust av kontroll är tillräckligt för att omfattas av definitionen.

Vad som händer därefter beror på vad som fanns på stickan och hur den var säkrad. En krypterad sticka med en begränsad uppsättning uppgifter ger en annan bild än en osäkrad sticka med många kunduppgifter eller känslig information. Den distinktionen är relevant för frågan när måste jag rapportera ett dataintrång till Datainspektionen, och även för frågan om kunderna själva måste få veta något — den frågan beskrivs på sidan om måste jag informera de registrerade själva vid ett dataintrång. För distinktionen mellan en incident och ett dataintrång i vidare mening är sidan vad är ett dataintrång exakt en logisk startpunkt.

Vad detta baseras på

Definitionen av ett intrång finns i artikel 4 GDPR, och artikel 33 GDPR reglerar rapporteringen till tillsynsmyndigheten när villkoren för det är uppfyllda. Datainspektionen utvecklar detta vidare på sin sida om dataintrång rapportering, och EDPB har publicerat riktlinjer med exempel på typer av dataintrång, inklusive förlorade datalagringsmedia. Rapporteringsplikten gäller överallt i EU enligt förordningen, men platsen där rapportering görs varierar per land: i Sverige är det Datainspektionen, i andra medlemsstater den tillsynsmyndighet som är utsedd där.