Vid ett dataintrång behöver du i huvudsak tre typer av dokument: en intern dokumentation av vad som hände, en bedömning av huruvida anmälan till Datainspektionen är obligatorisk, och — om så är fallet — själva anmälan tillsammans med dess underlag. Om du kommunicerar med de registrerade individerna måste denna kommunikation också dokumenteras.
Den detalj som oftast glöms bort när det gäller detta ämne är den interna dokumentationen. Även om du efter bedömning besluter att dataintrånget inte behöver anmälas till Datainspektionen, kräver GDPR fortfarande att du dokumenterar själva incidenten: vad som hände, vilka data som påverkades, vilka följder det kunde ha haft och varför du kom fram till ditt slutsats. Många företagare tror att något bara behöver dokumenteras när det anmäls. Det är inte vad förordningen beskriver.
Den interna dokumentationen av incidenten
Detta är det dokument som bör finnas för varje dataintrång, oavsett utgången av din bedömning. Det beskriver när du upptäckte incidenten, exakt vad som hände, vilka datakategorier och vilka registrerade individer som påverkades, och vilka åtgärder du vidtog för att begränsa följderna. Tillsynsmyndigheter granskar under en inspektion inte bara anmälningar som gjorts, utan också huruvida organisationen kan visa hur tidigare incidenter bedömdes. Utan detta dokument finns denna dokumentation inte.
Bedömningen av huruvida anmälan är nödvändig
Förutom den faktiska dokumentationen behövs ett andra dokument: själva bedömningen. Vilka risker såg du för de registrerade individerna, och på vilken grund kom du fram till att anmälan var eller inte var nödvändig? GDPR använder risken för de registrerade individernas rättigheter och friheter som måttstock. Att dokumentera denna bedömning är inte bara behändigt för dig senare, det är också det dokument med vilket du kan visa att ett medvetet val gjordes, inte en slump. Den som är osäker på om ett konkret incident är anmälningspliktig hittar i beslutsträdet som ger en första vägledning i ett par frågor en utgångspunkt, utan att detta ersätter din egen bedömning.
Anmälan till Datainspektionen
Om slutsatsen är att anmälan är nödvändig, läggs själva anmälan till som dokument: vad du anmälde, när, och med vilka uppgifter. GDPR anger för detta en tidsfrist på 72 timmar från det att du fick kännedom om dataintrånget. Spara inte bara bekräftelsen på anmälan, utan också versionen av fakta såsom den var känd vid tidpunkten för anmälan — den kan senare kompletteras när mer framkommer om omfattningen.
Kommunikationen till de registrerade individerna
I vissa fall ska det också finnas ett meddelande till de registrerade individerna själva, till exempel när risken för dem bedöms som betydande. Detta meddelande — vad som exakt kommunicerades och till vem — är också en del av dokumentationen. Det är ingen fast mall som är densamma för varje dataintrång; innehållet beror på vad som hände och vilka data som påverkades.
Avtal med leverantörer och databehandlare
Om dataintrånget inträffar hos en part som behandlar data för dig, såsom ett bokföringsprogram eller en hostingleverantör, ska avtalet som dokumenterar detta, omfattat av databehandlaravtalet, också ingå: rapporterar denna part incidenter till dig, och inom vilken tidsfrist? Den som ännu inte har detta klart hittar i kunskapsbanken där detta är utarbetat för varje situation en utgångspunkt för att granska databehandlaravtal på denna punkt.
Varför denna dokumentation skiljs från din säkerhet
Dokumentationen kring ett dataintrång skiljer sig från de åtgärder du vidtog i förväg för att förhindra ett dataintrång, men de två är relaterade: en tillsynsmyndighet kan fråga hur din datasäkerhet såg ut vid tidpunkten för incidenten. Hur datasäkerheten praktiskt dokumenteras kan du läsa mer om via förklaringen om lämpliga datasäkerhetssäkerhet.
Se till att detta är ordnat redan nu
Kunskapsbasen och beslutsträdet är gratis att konsultera, utan konto. Om du vill att registreringen av incidenter, tidsfristerna och mallarna därför strukturellt ska finnas på ett ställe istället för att sökas upp på nytt varje gång, är det vad prenumerationen på gdpria.eu är utformad för. Ett affärskonto skapar du på namn av ditt KvK- och momsregistreringsnummerkopplat till organisationen och inte till en enda e-postadress.
Om du just nu har ett möjligt dataintrång att bedöma, gå först igenom den kostnadsfria snabbkontrollen eller läs igenom ämnena i kunskapsbasen. För förklaringen av vad som exakt gäller för din situation är en jurist eller Integritetsskyddsmyndigheten fortfarande den lämpliga kontaktpunkten.