Ifall ni identifierat att en personuppgiftsincident skett måste ni utreda om det föreligger dels en anmälningsskyldighet, dels en informationsplikt till de som drabbats. Ifall ni bedömer att det är osannolikt att incidenten medför en risk för de drabbades friheter och rättigheter, behöver en anmälan inte göras.
Omvänt, om ni bedömer att det inte är osannolikt ska anmälan av personuppgiftsincident ske senast 72 timmar efter ni fått vetskap om personuppgiftsincidenten, vilket framgår av artikel 33.1 i dataskyddsförordningen. Ifall anmälan inte kan göras inom 72 timmar ska den åtföljas av en motivering till försening när anmälan väl görs.
Tillse att ni har rutiner på plats som gör att ni kan hantera en incident inom 3 dagar. Att göra en anmälan för sent visar på brister som kan medföra åtgärder från tillsynsmyndigheten.
Tryggleg rekommenderar er att ha en mall för sådan personuppgiftsincidentrapport vilket kommer underlätta en korrekt hantering av personuppgiftsincidenter.
LAGSTÖD
| Artikel 33.1 i dataskydsförordningen |