GDPR föreskriver att ett dataintrång som kan utgöra en risk för registrerade personer måste anmälas till Datainspektionen så snart du får kännedom om det. Tidsfristen för detta är kort: 72 timmar. Om du inte anmäler, eller anmäler för sent, uppfyller du inte en skyldighet enligt GDPR på denna punkt. Vad det betyder konkret beror på situationen, och det är precis där vi som redaktion inte uttalar oss: det är upp till dig själv, din jurist eller tillsynsmyndigheten.
Det som går att beskriva är: GDPR ger Datainspektionen befogenhet att undersöka ett dataintrång som inte eller för sent har anmälts, och att reagera på det. Vilken reaktion det är och om den följer ligger inte fast och kan inte förutsägas. För dig som företagare är frågan alltså mindre "vad är straffet" utan snarare "vad måste jag ordna för att i tid kunna bedöma om en anmälan är nödvändig".
Vad anmälningsplikten kräver exakt
GDPR skiljer mellan en anmälan till tillsynsmyndigheten och en anmälan till de registrerade personerna själva. Den första är aktuell vid ett intrång som kan utgöra en risk; den andra, tyngre varianten är aktuell vid högt risiko. Båda bedömningarna måste ske snabbt, och 72-timmarstidsfristen för tillsynsmyndigheten börjar löpa från det ögonblick då du upptäckte intränget, inte från när det uppstod. Den som ännu inte har denna skillnad helt klar kan gå genom den i några frågor: i fem frågor se var du står ger direkt en indikation på om en anmälan är aktuell.
Kärnproblemet vid en sen anmälan är vanligtvis inte ovillighet utan tid som går förlorad på oklarheter: vem ska ta hand om detta, är det verkligen ett dataintrång i GDPR:s mening, och har vi överhusen en överblick över vilka system som innehåller personuppgifter. Det senare är precis där ett register över behandlingsaktiviteter visar sitt värde: utan överblick över dina behandlingar kostar det att ta reda på omfattningen av ett intrång i onödan mycket av de 72 timmar som du har.
Du måste också kunna försvara icke-anmälan
En mindre känd punkt är att GDPR också kräver att du dokumenterar när du beslutar att inte anmäla ett intrång, och varför. Dokumentationsplikten gäller nämligen själva bedömningen, inte bara anmälan om den kommer. Ett intrång som du bedömer som "ingen risk för registrerade personer" och vars bedömning du inte dokumenterat någonstans är svårt att försöka försvara efteråt, om det skulle frågas om det. EDPB:s riktlinjer behandlar detta ingående; källan och förklaringen till det återfinns i kunskapsbasen per ämne.
Konsekvenser som sträcker sig längre än tillsynsmyndigheten
Utanför relationen med Datainspektionen finns det ännu två ställen där en missad anmälan kan orsaka problem. Det första är behandlaravtalet: om du behandlar personuppgifter för en kund står där ofta en egen anmälningsfrist, ibland kortare än den lagstadgade 72 timmar, och den gränsen gäller då tillsammans med GDPR. Det andra är den registrerade personen själv: någon vars data har läckt och som själv få reda på det utan att du har anmält kan det förtroendet inte återfås, vilket är oberoende av någon juridisk bedömning.
Även en försäkringsgivare eller en beställande myndighet som senare frågar hur ett intrång hanterades tittar på om det bedömdes i tid och, där det är nödvändigt, anmäldes. Det är något annat än en böter, men det berör väl det som ofta är anledningen till att ordna dataskyddet: kunna visa att det finns en process, inte bara att ingenting någonsin har gått fel.
Varför klockan ofta är flaskhalsen
I praktiken är det sällan viljan att anmäla som saknas, utan snarare den hastighet med vilken en organisation kan fastställa vad som hänt, vilka uppgifter det berör och vem som är inblandad. Ett system som låter 72-timmarsklockan löpa så snart ett möjligt datalopp registreras förhindrar att denna tid försvinner i intern diskussion. Hur ett sådant system är uppbyggt och vad informationen baseras på beskrivs på sidan om där informationen kommer från.
Huruvida ett specifikt inträffade fall hos er är anmälningspliktig, exakt vilken tidsfrist som gäller i er situation och vilka konsekvenserna är om en anmälan har missats kan inte besvaras på allmän basis. För denna bedömning är en jurist eller själva Myndigheten för dataskydd det lämpligaste kontaktportalet.
Vill ni först få en egen bild av var ni står, utan förpliktelser? Den kostnadsfria snabbgranskningen och kunskapsbanken ger en första indikation per ämne, inklusive källhänvisningen i den officiella texten.