En personuppgiftsincident är när personuppgifter blir tillgängliga för dem som inte är berörda, till exempel att någon annan får veta dina lösenord eller att någon får se en hälsouppgift som borde vara skyddad.
En personuppgiftsincident kan vara allt ifrån en liten enstaka händelse till en väldigt omfattande incident. Oavsett hur allvarlig du bedömer att händelsen är så är det viktigt att du rapporterar incidenten så att den blir dokumenterad.
En personuppgiftsincident kan vara av olika slag och exempelvis handla om att personuppgifter obehörigen röjs, förstörs eller att de inte längre är tillgängliga. Här följer några praktiska exempel på vad som skulle kunna vara en personuppgiftsincident.
Oavsiktlig eller olaglig förstöring av personuppgift
Förlust och obehörigt röjande av personuppgift
Obehörig ändring av personuppgift
Obehörig åtkomst
Misstänker du att en incident med personuppgifter har inträffat ska du alltid rapportera det direkt till din närmaste chef så snart du får kännedom om en sådan händelse. Du hittar exempel på personuppgiftsincidenter överst i denna rutin.
Därefter ska chef rapportera personuppgiftsincidenten direkt till förvaltningens samordnare för personuppgiftsfrågor. Det är viktigt att informationen om händelsen inte fastnar på vägen utan går vidare i organisationen. Vi kan behöva begränsa ett eventuellt pågående förlopp för att minska skador för individer, vår organisation eller andra parter.
Skol- och fritidsförvaltningen behöver också bedöma händelser då vi har skyldighet enligt dataskyddsförordningen att rapportera personuppgiftsincidenter vidare till datainspektionen inom 72 timmar.
För att vi ska kunna avgöra hur allvarlig incidenten är, är det viktigt att du tar reda på och dokumenterar fakta om händelsen, till exempel vilka personuppgifter som röjts, vilka som har blivit drabbade och hur samt exakt när incidenten inträffade. Notera också när du själv fick reda på händelsen. Undvik att hantera specifika personuppgifter relaterat till händelsen genom e-post, ta detaljer över telefon istället eller genom fysiska möten.
Vi ska dokumentera alla personuppgiftsincidenter i stadens gemensamma e-tjänst. Antingen hjälper vår samordnare för personuppgiftsfrågor dig med att registrera händelsen i e-tjänsten eller så gör du det själv. När du registrerat personuppgiftsincidenten i e-tjänsten skickar systemet automatiskt en rapport till förvaltningens registrator för vidare behandling i organisationen.
Här hittar du alla frågor som du ska besvara i e-tjänsten och som du kan behöva förbereda svaren på.
När organisationen fått kännedom om personuppgiftsincidenter kommer vi att snabbt bedöma hur allvarliga de är och vilka åtgärder som behöver sättas in för att begränsa eventuella skador.
Om det är sannolikt att incidenter medför en risk för fysiska personers fri- och rättigheter enligt dataskyddsförordningen (GDPR) måste de anmälas till datainspektionen inom 72 timmar. Riskerna kan innebära att någon förlorar kontrollen över sina uppgifter eller att incidenten leder till att rättigheterna inskränks genom exempelvis diskriminering, identitetsstöld, bedrägeri, finansiell förlust, brott mot sekretess/tystnadsplikt eller skadlig ryktesspridning.
Förvaltningens samordnare för personuppgiftsfrågor tillsammans med stadsjuridiska enheten på stadsledningsförvaltningen samt dataskyddsombudet för barn- och utbildningsnämnden (BUN) och idrott- och fritidsnämnden (IFN) tar gemensamt ställning till om incidenter ska anmälas till Datainspektionen eller om andra åtgärder ska genomföras. Det kan till exempel vara att meddela dem som är drabbade eller andra berörda när en incident har inträffat med uppgifter, som vi behandlar för deras räkning.