En personuppgiftsincident är en säkerhetsincident som rör personuppgifter. Genom dataskyddsförordningen (GDPR) är vi skyldiga att rapportera vissa personuppgiftsincidenteter till Integritetsskyddsmyndigheten.

En personuppgiftsincident kan till exempel handla om att personuppgifter har blivit förstörda eller ändrade, förlorats eller kommit i orätta händer. Det spelar ingen roll om det skett oavsiktligt eller med avsikt. En personuppgiftsincident kan innebära risker för den vars personuppgifter det handlar om. Riskerna kan till exempel handla om identitetsstöld, bedrägeri, finansiell försluts, diskriminering eller skadlig ryktesspridning.

Alla personuppgiftsincidenter som sker i verksamheten ska rapporteras. 

Hur rapporterar jag att en personuppgiftsincident inträffat?

Incidenter som gäller personuppgifter följer ordinarie rutin för informationssäkerhet och ska rapporteras så fort som möjligt till IT via serviceportalen. Informera också din närmsta chef om det inträffade.

Servicedesk IT dokumenterar att en personuppgiftsincident inträffat och kontaktar den personuppgiftsansvariga verksamheten samt IT- och kommunikationschef Peter Legendi. Det är alltid den personuppgiftsansvarige verksamheten som är ansvarig för att utreda incidenten, och till hjälp finns dataskyddsombudet i Skövde kommun.

När ska anmälan göras till Integritetsskyddsmyndigheten?

Om det inte är osannolikt att personuppgiftsincidenten medför en risk för fysiska personers fri- och rättigheter ska den anmälas till Integritetsskyddsmyndigheten inom 72 timmar från att den upptäckts. Detta avgörs i diskussion med dataskyddsombudet.

Utöver anmälan till Integritetsskyddsmyndigheten är den ansvariga verksamheten också skyldig att informera de registrerade om att incidenten inträffat. Detta för att ge den enskilde möjlighet att vidta egna åtgärder.