Att anmäla ett dataintrång till Datainspektionen kostar ingenting i sig: det finns ingen avgift eller ersättning för detta. Kostnaderna ligger i det som händer runt omkring: att ta reda på exakt vad som gick fel, att informera de registrerade, eventuell teknisk reparation och den tid som allt detta kräver av din organisation. Hur höga kostnaderna blir beror starkt på omfattningen av intrånget, vilken typ av data det handlar om och om du redan hade en process på plats innan något gick fel.
Det finns ingen fast kostnad för "ett dataintrång" eftersom inga två dataintrång är identiska. Ett felskickat e-postmeddelande med kontaktuppgifter för en kund kräver något annat än ett intrång i ett system med personalpärmar för hundra anställda. Kostnadsposter är dock alltid samma kategorier; bara omfattningen skiljer sig.
Var kostnaderna kommer ifrån
Den första kostnadsposten är intern tid: någon måste ta reda på vad som hände, vilka data som påverkades och om den lagstadgade tidsfristen på sjuttitvå timmar för anmälan till Datainspektionen närmar sig. Dessa timmar underskattas ofta, särskilt om det inte finns en fast kontaktpunkt eller process och flera personer tittar på samma incident samtidigt.
Dessutom kan extern hjälp behövas: en IT-leverantör som måste tekniskt täppa till ett intrång, en forensisk utredare vid ett större intrång, eller en jurist som medverkar i bedömningen av om och hur anmälan ska göras. Inte varje dataintrång kräver alla dessa länkar, men vid ett allvarligare incident löper dessa kostnader snabbt upp.
Att informera de registrerade kostar också tid och ibland pengar: att skriva ett omsorgsfullt, begripligt brev eller e-postmeddelande, att svara på frågor som följer och i vissa fall att erbjuda någon form av gottgörelse, såsom en ny inloggningskod eller gratis tjänst. Beslutsträdet på gör att du på ett par frågor kan se om och hur du måste anmäla hjälper till att få det första steget tydligt, så att du inte förlorar onödig tid på osäkerhet.
Vad som bestämmer storleken
Den viktigaste faktorn är omfattningen: hur många människor påverkas och hur känslig är informationen. Ett intrång med namn och e-postadresser väger annorlunda än ett intrång med finansiell information eller hälsoupplysningar. EDPB:s riktlinjer och GDPR själva nämner denna typ av riskfaktorer som utgångspunkt för bedömningen, inte som en räkneformel för ett belopp.
En andra faktor är hur snabbt intrånget upptäcks och hur tydligt är vem som är ansvarig för vad. Om det redan är fastställt i ett databehandlingsavtal vilken leverantör som måste varnas och inom vilken tid, sparar det utredningsarbete när något går fel. Om denna överenskommelse inte finns där, tar incidenten själv mer tid att förstå innan reparationen börjar.
En tredje faktor är om din organisation redan har en etablerad process: en fast handlingsplan, en lista över vem som ska varnas och en plats där tidigare incidenter är registrerade. Utan det måste varje incident på nytt återuppfinna vem som gör vad, vilket både tar tid och ro på ett ögonblick när båda är sällsynta.
Själva anmälan är gratis, förberedelsen är det inte
Det är bra att hålla detta skiljemål tydligt: anmälningsplikten till Datainspektionen medför inga kostnader, men att kunna genomföra anmälan ordentligt gör det. Den som måste avgöra om ett incident måste anmälas inom den lagstadgade tidsfristen och vad som exakt ska ingå i anmälan behöver tid för detta. En översikt över vad som hör till en anmälan och vilka dokument du vanligtvis behöver bifoga finns beskriven i kunskapsbanken med förklaringar per ämne.
Många av dessa kostnader är inte engångskostnader utan återkommande, helt enkelt för att dataintrång inte är planerade och kan inträffa igen även efter år. Därför väljer vissa organisationer att låta klockan, stegen och anteckningarna köra i ett system istället för att rekonstruera detta manuellt varje gång. Vad ett sådant abonnemang kostar och vad som står emot det kan ses på prissidan med uppdelningen per del.
Att fastställa i förväg sparar senare
Den största kostnadsbesparingen ligger vanligtvis inte i själva incidenten utan i förberedelsearbetet: ett aktuellt register över databehandling, tydliga avtal med leverantörer och en fast kontaktpunkt gör att ett dataintrång tar mindre tid att bedöma och hantera. Vanliga frågor om vad som är obligatoriskt och vad som inte är det samlas på sidan med svar på frågor som andra företagare också ställer.
Vill du få en första bild av var du står för din egen situation? Den kostnadsfria snabbsökningen ger en indikation på ett par frågor, utan att du behöver ett konto för det.