Kan jag hantera ett dataintrång på egen hand?
Ja, du kan göra en stor del av bedömningen och hanteringen av ett dataintrång själv. GDPR föreskriver inte att en jurist eller extern byrå måste anlitas. Det som förordningen kräver är att du identifierar intrånget, bedömer om det utgör en risk för de personer vars uppgifter har påverkats, och — om så är fallet — rapporterar i tid till Datainspektionen och eventuellt till de registrerade själva.
Huruvida du kan göra det på egen hand beror framför allt på omfattningen av och komplexiteten i incidenten. Ett felskickat e-postmeddelande med en klients uppgifter är något helt annat än en hackad server med tusentals kunddossier. Gränsen mellan att göra det själv och att lägga ut det på underentreprenör ligger inte i lagen, utan i din egen förmåga att snabbt och noggrant bedöma vad som har hänt.
Vad du kan bedöma själv
Den första frågan vid varje incident är om det överhuvudtaget rör sig om ett dataintrång enligt GDPR: har personuppgifter gått förlorade, readits av någon som inte hade rätt till det, eller oavsiktligt ändrats eller raderats? Du kan mycket väl göra denna bedömning med hjälp av en tydlig checklista. se i några frågor var du står ger en första indikation utan att du omedelbar behöver en rådgivare.
Om det faktiskt är ett intrång följer riskbedömningen: utgör det en fara för de registrerades rättigheter och friheter, till exempel för att känsliga uppgifter är tillgängliga för allmänheten eller identitetsbedrägerier blir möjliga? Denna avvägning kan du också göra för många vanliga situationer med hjälp av EDPB:s riktlinjer och förklaringen som Datainspektionen lämnar om detta. kunskapsbanken med förklaringar per ämne beskriver de kriterier som spelar in här, tillsammans med källhänvisningen i den officiella texten.
Den faktiska rapporteringen till Datainspektionen är i praktiken också något som många företag kan göra själva. Tillsynsmyndigheten har ett eget rapporteringsformulär för detta, och den information som efterfrågas — vad som hände, vilka uppgifter det gäller, hur många personer som påverkades och vilka åtgärder som genomfördes — är information som din organisation själv känner till bäst.
När det är lämpligt att söka extra hjälp
Det finns ett antal situationer där själv hantering blir svårare. Om det rör sig om ett stort antal registrerade, om särskilda kategorier av personuppgifter som t.ex. hälsouppgifter, eller om en teknisk incident vars omfattning fortfarande är oklar, är det lämpligt att inte enbart förlita sig på din egen bedömning. Detsamma gäller när intrånget potentiellt också har konsekvenser i en annan medlemsstat, eller när det är oklart vilken tillsynsmyndighet som är behörig.
Att själv informera de registrerade — i stället för endast tillsynsmyndigheten — kräver också försiktighet. Tonen, innehållet och tidpunkten för denna kommunikation avgör till viss del hur människor reagerar, och ett felformulerat meddelande kan orsaka mer oro än själva incidenten. I dessa fall är det lämpligt att rådgöra en jurist eller kontakta Datainspektionen för att få vägledning om rätt väg att gå.
Vad GDPR föreskriver och inte föreskriver
Förordningen föreskriver en tidsfrist inom vilken ett rapporteringspliktig dataintrång måste rapporteras till tillsynsmyndigheten, och den förpliktar organisationer att dokumentera vilka dataintrång som har inträffat, även de intrång som inte behöver rapporteras. Vad GDPR inte föreskriver är vem som utför denna process inom din organisation. Det innebär att själv hantering är tillåtet, så länge resultatet uppfyller vad lagen kräver.
Ansvaret ligger kvar hos organisationen, även om en del av arbetet lägger ut på en rådgivare eller byrå. Det handlar alltså inte om att överlämna allt och sedan inte bry sig mer, utan om att veta vilka steg som har tagits och varför.
Dokumentation hör alltid till
Oavsett om du gör det själv eller får stöd, är dokumentation nödvändig i båda fallen: vad som hände, när du upptäckte det, hur du vägt risken, och vilka åtgärder som vidtagits för att förhindra att det händer igen. Denna dokumentation är inte bara användbar för tillsynsmyndigheten, utan också för dig själv, om ett liknande incident skulle inträffa senare.
Hur denna dokumentation bör se ut och vilka källor som används kan läsas på sidan där informationen kommer ifrån. Är du osäker på om din situation är anmälningspliktig, gör då först den kostnadsfria kontrollen och läs de relevanta avsnitten i kunskapsbasen innan du fattar ett beslut. Vill du få processen från identifiering till hantering strukturerad löpande, kan du registrera dig för ett affärskonto för att låta tidsfrister och dokumentation köras automatiskt.