Incidentrapport till IMY Sverige (GDPR art. 33)

Incidentrapport till IMY i Sverige är den formella anmälan som en personuppgiftsansvarig måste lämna till Integritetsskyddsmyndigheten (IMY) när en personuppgiftsincident inträffar, i enlighet med artikel 33 i Europaparlamentets och rådets förordning (EU) 2016/679 (GDPR) och lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning (dataskyddslagen). Skyldigheten att anmäla gäller utan undantag när incidenten sannolikt leder till en risk för fysiska personers rättigheter och friheter.

Artikel 4.12 GDPR definierar personuppgiftsincident som 'en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust, ändring, obehörigt röjande av eller obehörig åtkomst till personuppgifter som överförts, lagrats eller på annat sätt behandlats'. Definitionen täcker ett brett spektrum av incidenter: ransomware-attacker som krypterar kunddata, phishing-attacker som komprometterar e-postkonton med personuppgifter, dataintrång via SQL-injektion eller autentiseringssvagheter, förlust eller stöld av laptop, USB eller mobiltelefon med personuppgifter, oavsiktlig publicering av en fil med personuppgifter på internet, felskickat e-post med känsliga uppgifter om fel mottagare, och konfigureringsfel som gör personuppgifter tillgängliga utan åtkomstkontroll.

Artikel 33.1 GDPR fastslår 72-timmarsregeln: personuppgiftsansvarig ska anmäla incidenten till tillsynsmyndigheten utan onödigt dröjsmål och om möjligt senast 72 timmar efter att ha fått vetskap om den. Om anmälan inte kan göras inom 72 timmar ska en motivering för förseningen bifogas. Begreppet 'vetskap' tolkas av EDPB som att den personuppgiftsansvarige fått tillräcklig visshet om att en incident inträffat och att personuppgifter berörts – inte från det att en misstanke uppstår, men inte heller att man behöver vänta till fullständig utredning.

Artikel 33.3 GDPR specificerar minimikraven för anmälans innehåll: (a) personuppgiftsincidentens karaktär inbegripet, om möjligt, kategorierna av och det ungefärliga antalet berörda registrerade och personuppgiftsposter, (b) namn på och kontaktuppgifter för dataskyddsombudet eller annan kontaktpunkt, (c) en beskrivning av de sannolika konsekvenserna av personuppgiftsincidenten, (d) en beskrivning av de åtgärder som vidtagits eller föreslagits av den personuppgiftsansvarige för att åtgärda personuppgiftsincidenten, inbegripet, i tillämpliga fall, åtgärder för att mildra dess potentiella negativa effekter.

Artikel 33.4 GDPR möjliggör stegvis information – om alla uppgifter inte är tillgängliga inom 72 timmar kan informationen lämnas i etapper. En tidig anmälan lämnas med tillgänglig information och kompletterande rapport lämnas sedan.

Artikel 34 GDPR om underrättelse till registrerade gäller parallellt: om incidenten sannolikt leder till hög risk för registrerades rättigheter och friheter ska de registrerade underrättas utan onödigt dröjsmål. IMY:s incidentportal på imy.se används för digital inlämning. Integritetsskyddsmyndigheten (IMY), Drottninggatan 29, 111 51 Stockholm, [email protected], telefon 08-657 61 00, är tillsynsmyndighet. På forms-legal.com finns kompletta mallar för cybersäkerhetspolicy och personuppgiftsbiträdesavtal som förebygger incidenter.

Incidentrapport till IMY i Sverige krävs i alla situationer där en personuppgiftsincident sannolikt leder till risk för fysiska personers rättigheter och friheter.

Ransomware-attacker. Ransomware krypterar eller exfiltrerar data och är en av de vanligaste orsakerna till incidentanmälan. Vid ransomware-angrepp kan personuppgifter ha exponerats för angriparen (exfiltrering) och/eller blivit otillgängliga (kryptering). IMY kräver anmälan oavsett om det betalats lösen eller inte. Svenska företag som Nynäshamns kommun (2023), Kalix kommun (2022) och Ellos Group har haft uppmärksammade ransomware-incidenter. CERT-SE publicerar regelbundna varningar om ransomware-kampanjer riktade mot svenska organisationer.

Dataintrång och obehörig åtkomst. Intrång via SQL-injektion, credential stuffing, utnyttjad sårbarhet eller insider-hot som leder till obehörig åtkomst till personuppgifter kräver anmälan. Intrång i CRM-system (kunddata), HR-system (personaldata), e-postsystem (kommunikation) och hälsojournaler (patientdata) är vanliga scenarier. IMY:s årsrapporter visar att dataintrång och obehörig åtkomst är de vanligaste incidentkategorierna.

Förlust eller stöld av enheter. Förlust av laptop med kunddata, stöld av mobiltelefon med e-postkonto, förlorad USB-minne med personuppgifter kräver anmälan om enheterna inte var krypterade. Krypterade enheter utan extra riskfaktorer behöver normalt inte anmälas (IMY:s vägledning). Okrypterade enheter med känsliga personuppgifter (hälsouppgifter, personnummer) kräver nästan alltid anmälan och underrättelse till registrerade.

Oavsiktligt röjande. Felskickat e-post med personuppgifter om fel mottagare, publicering av fil med personuppgifter på offentlig webbplats eller molntjänst, felkonfigurerad åtkomstkontroll som gör data tillgänglig utan autentisering. IMY:s statistik visar att mänskliga misstag orsakar en stor andel av anmälda incidenter. Även om skadan är begränsad kan anmälningsskyldigheten gälla.

Phishing-attacker med konsekvenser. Phishing som leder till att en anställds e-postkonto komprometteras med personuppgifter kräver anmälan. Business email compromise (BEC) som leder till obehörigt röjande av personuppgifter. Spear phishing mot privilegierade konton med tillgång till databaser med personuppgifter.

Leverantörsincidenter. Om en personuppgiftsbiträde drabbas av incident som påverkar den ansvariges personuppgifter, ska biträdet informera den ansvarige utan onödigt dröjsmål (praktiskt inom 24 timmar). Den ansvarige anmäler sedan till IMY inom 72 timmar från vetskap. Leverantörsincidenter hos stora molnleverantörer (Microsoft, Google, AWS) kan utlösa anmälningsskyldighet hos kunderna.

Hälso- och sjukvårdsincidenter. Incidenter som involverar patientjournaler, hälsouppgifter eller biometrisk data kräver nästan alltid anmälan och underrättelse till registrerade på grund av de känsliga uppgifternas natur per artikel 9 GDPR. IVO och IMY har gemensam tillsyn. Patientdatalagen (2008:355) ger ytterligare krav.

Incidentrapporten till IMY i Sverige ska enligt artikel 33.3 GDPR innehålla följande obligatoriska element. En ofullständig rapport kan leda till krav på komplettering och fördröjer IMY:s handläggning.

Personuppgiftsansvarigs identifikation. Fullständigt organisationsnamn och organisationsnummer (XXXXXX-XXXX). Registrerad adress. Kontaktperson (dataskyddsombud (DPO) om sådant finns, annars CISO eller annan ansvarig) med namn, titel, e-post och direkttelefon. DPO:ns kontaktuppgifter ska anges per artikel 33.3.b GDPR. IMY:s incidenthandläggare kontaktar kontaktpersonen vid kompletteringsbehov.

Incidentens karaktär. Typ av incident (ransomware, dataintrång, förlust av enhet, oavsiktligt röjande, phishing, systemfel). Datum och tid för incidenten, om känt. Datum och tid för vetskap (startpunkt för 72-timmarskravet). Datum för anmälan till IMY. Faktabaserad kronologisk beskrivning av händelseförloppet.

Berörda personuppgifter och registrerade. Ungefärligt antal berörda registrerade – exakt antal krävs inte om det är okänt. Kategorier av personuppgifter som berörts: namn, e-post, adress, personnummer, hälsouppgifter, finansiell information, lösenord (krypterade/okrypterade), betalkortsdata. Notera om känsliga personuppgifter per artikel 9 GDPR ingår, vilket påverkar riskbedömningen.

Konsekvensanalys. Sannolika konsekvenser för berörda registrerades rättigheter och friheter: identitetsstöld, finansiell skada, diskriminering, ryktessskada, förlust av konfidentialitet. Riskbedömning per IMY:s och EDPB:s vägledning. Slutsats om risknivå (låg/medel/hög) och om underrättelse till registrerade per artikel 34 GDPR krävs.

Vidtagna och planerade åtgärder. Tekniska åtgärder: patchning av sårbarhet, tvingat lösenordsbyte, isolering av komprometterade system, kriminalteknisk utredning. Kommunikationsåtgärder: underrättelse till registrerade, kommunikation med media om nödvändigt, samarbete med polisen. Organisatoriska åtgärder: uppdatering av processer, ytterligare utbildning. Tidplan för kompletterande rapport om fullständig information inte tillgänglig.

Underrättelse till registrerade. Bekräftelse om huruvida registrerade har underrättats per artikel 34 GDPR. Om underrättelse planeras: när och via vilken kanal. Om underrättelse bedöms inte nödvändig: motivering (risknivå ej hög). Om offentlig kommunikation används istället för individuell underrättelse (tekniskt omöjligt eller oproportionerlig ansträngning): hur. På forms-legal.com finns mallar för incidentrapport, cybersäkerhetspolicy och personuppgiftsbiträdesavtal.

Incidentrapporten till IMY i Sverige upprättas och lämnas korrekt enligt följande steg.

Steg 1 - Bekräfta att en personuppgiftsincident föreligger. Kontrollera mot artikel 4.12 GDPR: är det en säkerhetsincident som rör personuppgifter? Bedöm om incidenten sannolikt leder till risk för registrerades rättigheter och friheter. Lågriskincidenter (krypterad enhet förloras, ingen data tillgänglig) kräver normalt inte anmälan men ska dokumenteras internt per artikel 33.5 GDPR. EDPB:s riktlinjer 9/2022 om anmälan av personuppgiftsincidenter ger detaljerad vägledning och fallstudier.

Steg 2 - Starta klockan. Notera exakt datum och tidpunkt för vetskap om incidenten. 72-timmarsfristen startar från detta ögonblick. 'Vetskap' innebär att tillräcklig visshet finns om att incident inträffat och personuppgifter berörts. Vänta inte med att kontakta IMY tills utredningen är komplett – stegvis information tillåts per artikel 33.4 GDPR.

Steg 3 - Aktivera incident response-planen. Aktivera er cybersäkerhets-incidentplan. Isolera påverkade system om möjligt. Säkra loggar och bevis för forensisk utredning. Informera ledning och dataskyddsombud (DPO). Kontakta CERT-SE om NIS 2-skyldig: [email protected], telefon 010-240 40 40.

Steg 4 - Samla information för anmälan. Dokumentera incidentens karaktär och tidslinje. Identifiera berörda personuppgiftskategorier och antal registrerade. Gör initial riskbedömning. Dokumentera omedelbart vidtagna åtgärder.

Steg 5 - Lämna tidig anmälan till IMY. Lämna anmälan via IMY:s incidentportal på imy.se. Om digital inlämning inte möjlig, kontakta [email protected] eller telefon 08-657 61 00. Lämna tillgänglig information och ange att kompletterande information följer. IMY:s incidentportal begär specifik strukturerad information.

Steg 6 - Komplettera med ytterligare information. Skicka kompletterande rapport när mer information finns tillgänglig. Slutrapport med fullständig incidentanalys, rotorsaksbedömning och vidtagna permanenta åtgärder lämnas vanligtvis inom en till två veckor.

Steg 7 - Bedöm underrättelse till registrerade. Om incidenten sannolikt leder till hög risk för registrerades rättigheter och friheter per artikel 34.1 GDPR, underrätta de registrerade utan onödigt dröjsmål via lämplig kanal (e-post, SMS, brev, webbplats). Underrättelse ska ges på ett klart och tydligt språk.

Steg 8 - Dokumentera internt. Dokumentera alla incidenter internt per artikel 33.5 GDPR, inklusive incidenter som inte anmälts och skälen för att inte anmäla. Dokumentationen kan begäras av IMY vid tillsyn.

Incidentrapporten till IMY i Sverige regleras av ett preciserat rättsligt ramverk med strikta tidsfrister och innehållskrav.

Artikel 33 GDPR – anmälan till tillsynsmyndighet. Artikel 33.1 GDPR: 72-timmarsfristen från vetskap. Artikel 33.2 GDPR: personuppgiftsbiträde informerar personuppgiftsansvarig utan onödigt dröjsmål. Artikel 33.3 GDPR: obligatoriskt innehåll (incidentens karaktär, kontaktuppgifter DPO, konsekvenser, åtgärder). Artikel 33.4 GDPR: stegvis information tillåts. Artikel 33.5 GDPR: intern dokumentationsskyldighet för alla incidenter.

Artikel 34 GDPR – underrättelse till registrerade. Om incidenten sannolikt leder till hög risk för registrerades rättigheter och friheter ska de underrättas utan onödigt dröjsmål. Artikel 34.1 GDPR kräver klart och tydligt språk. Artikel 34.2 GDPR specificerar vad underrättelsen ska innehålla. Artikel 34.3 GDPR listar undantag (kryptering, åtgärder vidtagna, oproportionerlig ansträngning).

EDPB:s riktlinjer 9/2022 om anmälan av personuppgiftsincidenter. Europeiska dataskyddsstyrelsen (EDPB) antog riktlinjer 9/2022 (uppdatering av WP250 rev.01) med detaljerade fallstudier och vägledning för bedömning av anmälningsskyldighet och riskbedömning. Riktlinjerna beskriver 18 typfall (ransomware, credential compromise, förlust av enhet, feldirigerade e-postmeddelanden, social engineering, etc.) med rekommenderade åtgärder.

Lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning. Dataskyddslagen fastslår IMY som tillsynsmyndighet och reglerar IMY:s befogenheter att begära information och genomföra inspektioner. IMY:s incidentportal på imy.se är den officiella kanalen för incidentanmälan.

NIS 2-direktivet artikel 23 – parallell rapporteringsskyldighet. NIS 2-skyldiga organisationer (väsentliga och viktiga entiteter) rapporterar därtill väsentliga incidenter till CERT-SE (MSB): tidig varning inom 24 timmar, komplett anmälan inom 72 timmar, slutrapport inom en månad. Informationssäkerhetsincidenter som drabbar nätverks- och informationssystem rapporteras parallellt till CERT-SE och IMY (om personuppgifter berörts).

Administrativa sanktionsavgifter artikel 83 GDPR. Underlåtenhet att anmäla personuppgiftsincident till IMY per artikel 33 GDPR kan leda till sanktionsavgifter per artikel 83.4 GDPR på upp till 10 miljoner euro eller 2% av global omsättning. Underlåtenhet att underrätta registrerade per artikel 34 kan leda till sanktionsavgifter per artikel 83.5 GDPR på upp till 20 miljoner euro eller 4% av global omsättning. IMY beaktar om anmälan gjordes frivilligt och skyndsamt som förmildrande omständighet.

IMY:s praxis och vägledning. IMY publicerar riktlinjer och statistik om incidentanmälningar på imy.se/tillsyn. IMY hanterar tusentals incidentanmälningar per år. Vanliga brister: sen anmälan, otillräcklig riskbedömning, saknad kontaktperson, bristfällig beskrivning av personuppgiftskategorier. IMY samarbetar med europeiska tillsynsmyndigheter via EDPB:s one-stop-shop-mekanism för gränsöverskridande incidenter.

Vanliga misstag vid incidentrapportering till IMY i Sverige.

Misstag 1 - Anmälan för sent eller inte alls. Den vanligaste bristen är att 72-timmarsfristen missas på grund av osäkerhet om anmälningsskyldigheten, sen vetskap (incidenten oupptäckt länge) eller interna beslutsprocesser som tar för lång tid. IMY påminner om att stegvis information tillåts – en tidig anmälan med begränsad information är bättre än en sen fullständig rapport. Definiera internt vem som beslutar om IMY-anmälan och säkerställ att beslutet fattas inom timmar, inte dagar.

Misstag 2 - Felanmälan (för bred eller för smal). Incidenter som inte är personuppgiftsincidenter anmäls till IMY (t.ex. systemavbrott utan dataexponering) eller incidenter som borde anmälts anmäls inte (t.ex. förlust av okrypterad enhet med personuppgifter bedöms felaktigt som lågriskhändelse). EDPB:s riktlinjer 9/2022 med fallstudier är det primära verktyget för bedömning. IMY:s vägledning på imy.se kompletterar.

Misstag 3 - Otillräcklig riskbedömning. Riskbedömningen är ytlig och justifierar inte slutsatsen om risknivå. IMY kräver konkreta argument om sannolikhet och konsekvenser baserade på incidentens specifika karaktär. 'Risken bedöms vara låg' utan motivering är otillräckligt. Specificera: vilka uppgiftstyper exponerades, vilken skada kan registrerade drabbas av, hur stor är sannolikheten för skadan.

Misstag 4 - Saknad kontaktperson med rätt kompetens. Kontaktpersonen i anmälan har inte tillgång till incidentdetaljer och kan inte svara på IMY:s uppföljningsfrågor. Utse dataskyddsombudet (DPO) eller cybersäkerhetsansvarig (CISO) som kontaktperson. Säkerställ att kontaktpersonen är tillgänglig under IMY:s handläggning.

Misstag 5 - Intern dokumentation saknas. Organisationer dokumenterar inte incidenter per artikel 33.5 GDPR, inklusive incidenter som inte anmälts och skälen. IMY kan vid tillsyn begära ta del av intern incidentlogg. Saknad dokumentation kan försämra försvaret mot sanktioner. Implementera ett incidentregister.

Misstag 6 - Underrättelse till registrerade försummas. Incidenter med hög risk bedöms felaktigt som medel- eller lågrisk och registrerade underrättas inte. Artikel 34 GDPR och IMY:s vägledning ger tydliga kriterier för 'hög risk': känsliga uppgifter (hälsa, finansiell, autentiseringsuppgifter), stort antal registrerade, identitetsstöldrisken, icke-krypterade uppgifter. Felaktig bedömning kan leda till separata sanktioner.

Misstag 7 - Anmälan är slutgiltig när komplettering behövs. Organisationer tror att den initiala anmälan är slutgiltig och lämnar inte kompletterande information. Artikel 33.4 GDPR möjliggör och förväntar sig stegvis information vid komplexa incidenter. En tidig tidig-anmälan följs av komplettering när utredningen fortskrider. IMY förväntar sig komplettering vid aktiv utredning.