Navid Gerayeli (enskild firma)
Fastställd den 14-06-2023
En personuppgiftsincident är enligt dataskyddsförordningens definition en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust ,ändring eller obehörig röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats.
Ett exempel är att en mobil enhet (t.ex. mobiltelefon eller bärbar dator) som innehåller organisationens kunddatabas stjäls eller tappas bort.
Det finns tre undergrupper av säkerhetsincidenter:
En personuppgiftsincident har inträffat om personuppgifter har:
En personuppgiftsincident skall alltid anmälas internt inom Gerayeli till Donya Salkhordeh, info@gexchange.se, 070-455 57 44.
En riskanalys av det inträffade skall göras och dokumenteras.
Riskanalys av incidenten innebär att en bedömning görs av potentiellt negativa konsekvenser för de registrerade personerna, baserat på hur allvarliga eller väsentliga dessa är och hur troligt det är att effekterna kan inträffa.
Hur anställda skall hantera personuppgifter finns beskrivet i Policy för hantering och skydd av personuppgifter.
Vid incident skriver Donya Salkhordeh en incidentrapport som sparas på nätverket. Donya Salkhordeh gör en riskanalys, beskrivning av händelsen samt en konsekvensbedömning av incidentens omfattning och skada för drabbade.
Om en personuppgiftsincident inträffar och en riskanalys är genomförd enligt avsnitt 2 i denna processbeskrivning med utfall som visar på att en anmälan bör göras, skall anmälan göras till Integritetsskyddsmyndigheten, IMY, inom 72 timmar. Om en handlare är personuppgiftsansvarig skall anmälan göras till kund.
Om den personuppgiftsansvarige i enlighet med ansvarsskyldighetsprincipen kan påvisa att det är osannolikt att personuppgiftsincidenten kommer att medföra risk för fysiska personers rättigheter och friheter har den personuppgiftsansvarige få längre tid på sig att anmäla händelsen och ska då ange skäl till fördröjningen. Om den drabbades fri- eller rättigheter inte riskeras att kränkas eller hotas gör Donya Salkhordeh en bedömning om huruvida rapportering till tillsynsmyndigheten är aktuellt eller inte.
Personuppgiftsansvarig skall dokumentera alla personuppgiftsincidenter. Dokumentationen skall omfatta:
Om den personuppgiftsansvarige i enlighet med ansvarsskyldighetsprincipen kan påvisa att det är osannolikt att personuppgiftsincidenten kommer att medföra risk för fysiska personers rättigheter och friheter har den personuppgiftsansvarige få längre tid på sig att anmäla händelsen och ska då ange skäl till fördröjningen. Om den drabbades fri- eller rättigheter inte riskeras att kränkas eller hotas gör Donya Salkhordeh en bedömning om huruvida rapportering till tillsynsmyndigheten är aktuellt eller inte.
I de fall ett underbiträde till Gerayeli råkar ut för en personuppgiftsincident skall incidenten rapporteras till Sileon som är att betrakta som Personuppgiftsansvarig i denna relation. Donya Salkhordeh bedömer händelsens omfattning samt påverkan och informerar Donya Salkhordeh.
Isolera felet så snabbt som möjligt och stäng av extern åtkomst.
Följande system och/eller applikationer samt arbetsutrustning bör beaktas:
Vid incident skall Gerayeli underrätta den personuppgiftsansvarige och samtliga personuppgiftsansvariga som berörs av personuppgiftsincidenten utan onödigt dröjsmål efter att ha fått vetskap om en personuppgiftsincident.
Finns inte all information tillgänglig vid rapporteringstillfället kan kompletterande uppgifter lämnas vid ett senare tillfälle. Dock skall detta göras senast två veckor efter inlämnad anmälan. Ange orsak till varför inte anmälan är komplett.
Bedöms personuppgiftsincidenten vara föremål för anmälan till IMY skall detta ske inom 72 timmar från det att personuppgiftsincidenten upptäckts. Anmälan görs via IMY’s hemsida och kan kompletteras inom 4 veckor.
Kontaktuppgifter IMY:
Integritetsskyddsmyndigheten, Box 8114, 104 20 Stockholm
Telefon: 08-657 61 00
Om personuppgiftsincidenten kommer att medföra risk för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige omedelbart informera den registrerade.
