Detta händer då en verksamhet anmält en personuppgiftsincident
Ett av de huvudsakliga syftena med IMY:s arbete med incidentanmälningar är att följa och identifiera trender, inte att avgöra om enskilda anmälningar ska ligga till grund för egeninitierad tillsyn eller vägledningsprojekt.
En incidentanmälan ska skickas in till IMY om den personuppgiftsansvarige gör bedömningen att incidenten lett till en integritetsrisk för registrerade. Inte alla av de anmälningar som IMY tar emot rör incidenter som behöver anmälas. Med det sagt bedömer IMY att det även finns ett mörkertal av incidenter som inte rapporteras in till myndigheten fast de borde rapporteras.
IMY handlägger de incidentanmälningar som kommer in till myndigheten i tur och ordning och arbetar efter en riskvärderingsmodell med syftet att analysera bland annat vilken integritetsrisk som incidenten medfört för de registrerade.
Om bedömning görs att det förelegat en allvarlig integritetsrisk för de registrerade kan information om anmälan lämnas till våra enheter för egeninitierad tillsyn. Det kan i vissa fall leda till att vi väljer att inleda en tillsyn. Det är dock värt att notera att en anmälan om en personuppgiftsincident som inte leder till en direkt åtgärd från IMY inte är detsamma som att IMY anser att allt har gått rätt till.
Även en anmälan som inte leder till tillsyn gör skillnad då vi kontinuerligt analyserar de incidentanmälningar som kommer in till oss. Denna informationen kan sedan användas i vår övriga verksamhet för att ta fram vägledning och rekommendationer samt ge vägledning till personuppgiftsansvariga för att i möjligaste mån förebygga och minimera integritetsrisker för de registrerade. Anmälningarna kan även ligga till grund för exempelvis utbildnings- eller samverkansinsatser.
Syftet med själva incidentanmälningarna är inte att bestraffa personuppgiftsansvariga i den mån en personuppgiftsincident har inträffat. Anmälningar om personuppgiftsincidenter utgör även endast ett av våra informationsflöden som kan ligga till grund för tillsyn eller andra insatser. I den mån vi exempelvis har mottagit ett eller flera klagomål eller tips om en incident, men även ser att vi har mottagit en incidentanmälan från den personuppgiftsansvariga kan detta komma att påverka de helhetsbedömningar som görs i de andra ärendena.
Skyldigheten i GDPR att anmäla vissa typer av personuppgiftsincidenter till IMY gör att verksamheter måste ha rutiner och processer för att upptäcka personuppgiftincidenter och även för att åtgärda eventuella incidenter. Det bidrar i sig positivt till skyddet av personuppgifter och den personliga integriteten.
Frågor från massmedia
Vissa personuppgiftsincidenter får stor uppmärksamhet i massmedia. IMY får då ofta frågor kort efter det att incidenten inträffat, om vi kommer att granska incidenten eller inte, vilket vi sällan kan ge besked om i ett initialt skede.
Ofta är den första incidentanmälan vi tar emot knapphändig vilket kan bero på att en incidentanmälan i normalfallet ska skickas in inom 72 timmar. Den verksamhet som råkat ut för en incident kan behöva mer tid för att analysera vilken risk som förelegat för att därefter komma in med en mer detaljerad beskrivning av vad som hänt och då komplettera sin incidentanmälan. Detta påverkar vår möjlighet att snabbt göra en bedömning av, och kommentera, det som inträffat. Även mängden incidenter som vi tar emot påverkar vår möjlighet att snabbt kommentera det inträffade.
Beroende på omständigheterna i det aktuella fallet kan det därför vara en stor variation i tid innan en eventuell tillsyn inleds. IMY fattar inte några beslut om att inte inleda tillsyn. Potentiellt kan en anmälan om personuppgiftsincident därmed leda till tillsyn längre fram, även efter det att ett ärende initialt har avslutats hos oss.
Skulle vi inleda en tillsyn kan den leda fram till olika åtgärder från vår sida då vi har ett antal så kallade korrigerande befogenheter. Det absoluta flertalet av incidentanmälningar som inkommer leder dock inte till tillsyn.