Integritetsskydd på arbetsplatsen

Syfte

Denna färdighet ger dig en grundlig genomgång av integritetsskydd på arbetsplatsen enligt svensk och EU-rätt. Du kommer att kunna:

• Förstå arbetsgivarens skyldigheter enligt GDPR på arbetsplatsen
• Identifiera när kameraövervakning kräver tillstånd eller anmälan
• Bedöma lagligheten i elektronisk övervakning av anställda
• Veta vilka rättigheter anställda har till sina personuppgifter
• Förstå reglerna för biometrisk övervakning och särskilda personuppgifter
• Hantera personuppgiftsincidenter och anmälningsplikter
• Navigera mellan olika lagar som styr integritet på arbetsplatsen
• Ge råd om skyltning, informationsplikt och samtycke
• Förstå Integritetsskyddsmyndighetens (IMY) roll och sanktionsavgifter

Förutsättningar

För att kunna ge korrekta råd baserat på denna instruktion behöver du följande information från användaren:

1. Typ av arbetsplats — t.ex. kontor, butik, lager, restaurang, industri
2. Övervakningstyp — kamera, webbkamera, tangentbordsloggning, e-postloggning, biometrisk
3. Syfte med övervakningen — säkerhet, tidsstämpling, kontroll, effektivitet
4. Information till anställda - har de informerats? finns skyltar?
5. Antal anställda — påverkar riskbedömning och dokumentationskrav
6. Särskilda personuppgifter — hälsodata, facktillhörighet, politisk åsikt
7. Incidentdatum — vid personuppgiftsincident för bedömning av anmälningsplikt
8. Kameraplacering — inne i lokaler, utvändigt, entré, omklädningsrum

Instruktioner

Följ dessa steg för att analysera integritetsskyddsfrågor på arbetsplatsen:

1. Identifiera personuppgiftsansvaret

Avgör vem som är personuppgiftsansvarig enligt GDPR (Artikel 4.1):

• Vanligtvis arbetsgivaren (företaget/organisationen)
• Vid personaluthyrning kan uthyrningsföretaget vara delansvarig
• För underleverantörer (IT-system, kameraövervakning): kontrollera om de är personuppgiftsbiträden
• Dokumentera ansvarsfördelning skriftligt vid samarbete

2. Bedöm rättslig grund för behandling

Enligt GDPR Artikel 6.1 måste behandling ha rättslig grund. På arbetsplatsen gäller vanligen:

• Avtal (Artikel 6.1.b): Anställningsavtalet kan motivera viss behandling (lön, arbetstider)
• Rättslig förpliktelse (Artikel 6.1.c): Skattelag, bokföringslag, arbetsmiljölag
• Berättigat intresse (Artikel 6.1.f): Arbetsgivarens intresse av säkerhet, effektivitet
• Samtycke (Artikel 6.1.a): Endast om helt frivilligt, kan återkallas

Viktigt: Berättigat intresse gäller inte för särskilda personuppgifter (hälsa, biometrisk) enligt Artikel 9.

3. Bedöm om det är särskilda personuppgifter (Artikel 9 GDPR)

Särskilda personuppgifter kräver starkare rättslig grund:

• Hälsodata och sjukfrånvaro
• Biometrisk data för unik identifiering (fingeravtryck, ansiktsigenkänning)
• Facklig tillhörighet
• Politisk åsikt, religiös övertygelse
• Sexuell läggning

För sådana data gäller uttryckligt samtycke eller annan grund i Artikel 9.2 (t.ex. samtycke från facklig organisation).

4. Kameraövervakning — bedöm tillstånds- och anmälningsplikt

Kameraövervakningslagen (2018:1200) gäller för:

• Kameraövervakning i offentliga platser (butiker, restauranger, hotell)
• Arbetsplatser där allmänheten har tillträde

Tillståndskrav (2 § Kameraövervakningslagen):

• Tillstånd krävs från länsstyrelsen för övervakning i offentliga platser
• Undantag: övervakning som enbart syftar till att hindra inbrott/stöld (men kräver ändå anmälan)

Anmälningsplikt (7 § Kameraövervakningslagen):

• Alla kameror som används för övervakning ska anmälas till Integritetsskyddsmyndigheten
• Gäller även inom t.ex. lagerlokaler (inte offentliga)
• Anmälan görs innan driftstart

Skyltning (8-9 §§ Kameraövervakningslagen):

• Tydlig skyltning krävs där övervakning sker
• Skylten ska innehålla: att övervakning sker, vem som är ansvarig, kontaktuppgifter
• Ska vara synlig innan man kommer in i övervakat område

5. Elektronisk kommunikationsövervakning

E-kommunikationslagen (2003:389) gäller för:

• E-post, webbhistorik, chattmeddelanden på arbetsplatsen
• Arbetsgivaren får läsa e-post endast om:
  • Mottagaren har gett samtycke (kan vara i policy), ELLER
  • Mottagaren inte kan förvänta sig sekretess (t.ex. företagsadress)

Tangentbordsloggning och skärminspelning:

• Kräver särskild rättslig grund och starkt berättigat intresse
• Anställda ska informeras i förväg (ofta i policy)
• Endast för specifika, tidsbegränsade ändamål

Arbetsgivarens rätt att spara e-post:

• Får spara för säkerhet/kvalitetssystem (E-kommunikationslagen 6 kap. 8 §)
• Får spara för bokföring (3 år, Bokföringslagen)
• Måste gallra övriga mail regelbundet

6. Bedöm nödvändighet och proportionalitet

Gör en intresseavvägning (balanstest):

• Är åtgärden nödvändig för syftet?
• Är den proportionerlig i förhållande till intrånget?
• Finns mindre ingripande alternativ?

Exempel:

• Tidsstämpling vid in/utpassage: Okej (berättigat intresse, litet intrång)
• Webbkameraövervakning av hemarbetande: Oftast inte proportionerligt
• Fingeravtryck för stämpelur: Okej med samtycke och säker hantering

7. Informera anställda (Artikel 13-14 GDPR)

Arbetsgivaren ska informera om:

• Vem som är personuppgiftsansvarig
• Kontaktuppgifter till dataskyddsombud (om finns)
• Syfte med behandlingen
• Rättslig grund
• Vilka uppgifter som behandlas
• Mottagare av uppgifter (t.ex. IT-leverantör)
• Uppgifternas lagringstid
• Registrerades rättigheter (tillgång, rättelse, radering, klagomål)

Detta ska göras skriftligt, vanligen genom policy/integritetspolicy vid anställning.

8. Säkerhetsåtgärder och gallring

IT-säkerhet (Artikel 32 GDPR):

• Kameraupptagningar ska lagras säkert (lösenordsskyddat, krypterat)
• Åtkomst ska begränsas till behörig personal
• Regler för hur länge inspelningar sparas (vanligen 30 dagar)

Gallring (Artikel 5.1.e GDPR):

• Personuppgifter får inte lagras längre än nödvändigt
• Kameraupptagningar: gallra regelbundet, t.ex. efter 30 dagar
• E-post: gallra löpande, spara endast vad som behövs
• Åtkomstloggar: gallra efter 6-12 månader om inget annat krävs

9. Registrerades rättigheter (Artikel 15-22 GDPR)

Anställda har rätt att:

• Få tillgång (Artikel 15): Begära kopia av alla personuppgifter om dem
• Rättelse (Artikel 16): Felaktiga uppgifter ska rättas
• Radering (Artikel 17): "Rätten att bli glömd" — uppgifter ska raderas om inte längre nödvändiga
• Begränsning (Artikel 18): Begära att behandling begränsas
• Dataportabilitet (Artikel 20): Få uppgifter i maskinläsbart format
• Invändning (Artikel 21): Invända mot behandling baserad på berättigat intresse
• Klagomål (Artikel 77): Anmäla till Integritetsskyddsmyndigheten (IMY)

Arbetsgivaren ska svara inom en månad (kan förlängas till 3 månader vid komplexa ärenden).

10. Personuppgiftsincidenter och anmälningsplikt

Personuppgiftsincident (Artikel 4.72 GDPR) är en säkerhetsincident som leder till oavsiktlig/förbjuden förlust, åtkomst, röjande eller förstörelse.

Anmälningsplikt (Artikel 33 GDPR):

• Anmäl till IMY inom 72 timmar efter att incidenten upptäckts
• Gäller incidenter som kan leda till risk för fysiska, materiella eller ideella skador
• Anmälan ska innehålla: beskrivning, kategorier av personer, antal berörda, konsekvenser, åtgärder

Information till den registrerade (Artikel 34 GDPR):

• Om hög risk för den registrerade ska denne informeras "utan dröjsmål"
• Innehålla samma information som till IMY

Undantag från anmälningsplikt:

• Om data är krypterat och nyckel inte röjt
• Om åtgärder hindrat risk för den registrerade

11. Personuppgiftsimpactbedömning (DPIA)

Enligt Artikel 35 GDPR krävs en DPIA (Data Protection Impact Assessment) vid:

• Systematisk och omfattande övervakning (t.ex. kamera, GPS-spårning)
• Storskalig behandling av särskilda personuppgifter
• Bedömning av arbetsprestationer (t.ex. tidsstudier, loggning)

DPIA ska innehålla:

• Beskrivning av behandlingens ändamål
• Bedömning av nödvändighet och proportionalitet
• Risker för den registrerade
• Åtgärder för att hantera riskerna

12. Dataskyddsombud (Article 37-39 GDPR)

Krav på dataskyddsombud gäller om:

• Myndighet eller offentlig organ
• Kärnverksamhet innebär systematisk övervakning i stor skala
• Kärnverksamhet innebär stor skalig behandling av särskilda personuppgifter

Dataskyddsombudet ska:

• Kunna agera självständigt
• Rapportera till högsta ledningen
• Kontakta IMY vid frågor
• Inte utföra andra uppgifter som skapar intressekonflikter

13. Integritetsskyddsmyndighetens (IMY) roll

Tillsyn:

• IMY utför tillsyn av personuppgiftsbehandling
• Kan utföra inspektioner på plats
• Kan utfärda förelägganden och förbud

Sanktionsavgifter:

• Kan utfärda sanktionsavgifter upp till 20 miljoner EUR eller 4% av global omsättning
• Avgiftens storlek beroende på:
  • Incidentens allvar
  • Medvetenhet/negligens
  • Snabbhet att åtgärda
  • Tidigare överträdelser
  • Grad av samarbete

Anmälan till IMY:

• Personuppgiftsincidenter: blankett på imy.se
• Klagomål från allmänhet
• Konsultation inför ny behandling

14. Specifika situationer

Hemarbete:

• Arbetsgivaren får inte övervaka hemmet (inte ens via företagsdatorn)
• Tidsrapportering är okej om den inte spårar aktivitet
• Kamera i möten: informera om inspelning

Tandbordslogger och skärmloggning:

• Endast vid misstanke om brottslig verksamhet
• Anställd ska informeras i förväg (policy)
• Data ska raderas om inget brott uppdagas

Biometrisk stämpelur:

• Kräver Dataskyddsförordningens tillstånd om fingeravtryck/ansikte
• Särskilda personuppgifter enligt Artikel 9
• Samtycke kan vara rättslig grund men måste vara frivilligt

GPS-spårning av tjänstebilar:

• Okej under arbetstid för spårning av fordon
• Inte okej att spåra anställd utanför arbetstid
• Anställda ska informeras

Juridisk referens

Primära lagar och förordningar

1. Dataskyddslagen (2018:218) — Svensk implementering av GDPR, innehåller bl.a. regler om sanktionsavgifter och dataskyddsombud.

2. EU Dataskyddsförordningen (GDPR, 2016/679) — Gäller direkt i hela EU. Centrala artiklar:

   • Artikel 4: Definitioner (t.ex. personuppgiftsansvarig, personuppgiftsincident)
   • Artikel 5: Grundläggande principer (laglighet, korrekthet, öppenhet, ändamålsbegränsning, uppgiftsminimering, riktighet, lagringsminimering, integritet och konfidentialitet)
   • Artikel 6: Rättslig grund för behandling
   • Artikel 7: Villkor för samtycke
   • Artikel 9: Särskilda personuppgftskategorier
   • Artikel 13-14: Informationsplikt
   • Artikel 15: Rätt till tillgång ("registerutdrag")
   • Artikel 16: Rätt till rättelse
   • Artikel 17: Rätt till radering ("rätten att bli glömd")
   • Article 18: Rätt till begränsning
   • Artikel 20: Rätt till dataportabilitet
   • Artikel 21: Rätt att göra invändning
   • Artikel 22: Automatiserat beslutsfattande
   • Artikel 25: Dataskydd vid design och som standard
   • Artikel 32: Säkerhet vid behandling
   • Artikel 33: Anmälan av personuppgiftsincident till tillsynsmyndighet
   • Artikel 34: Information till registrerad vid personuppgiftsincident
   • Artikel 35: Personuppgiftsimpactbedömning (DPIA)
   • Artikel 37: Utseende av dataskyddsombud
   • Artikel 77: Rätt att lämna klagomål till tillsynsmyndighet

3. Kameraövervakningslagen (2018:1200) — Reglerar kameraövervakning i offentliga platser och arbetsplatser:

   • 2 §: Tillståndskrav för övervakning i offentliga platser
   • 7 §: Anmälningsplikt till Integritetsskyddsmyndigheten
   • 8 §: Informationsplikt till allmänheten
   • 9 §: Skyltning
   • 10-11 §§: Undantag för bostads-/hotellrum

4. Lagen (2019:617) om sekretess vid kameraövervakning — Sekretess för upptagningar som röjer uppgift om enskilds hälsa eller私livet. Sekretessen gäller "för all framtid" om inspelningen visar hälsodata.

5. Lagen om behandling av personuppgifter (SFS 2018:218) — Se punkten ovan om Dataskyddslagen.

6. Lagen (2003:389) om elektronisk kommunikation (E-kommunikationslagen) — Reglerar sekretess för elektronisk kommunikation:

   • 6 kap. 7 §: Förbud att läsa/övervaka e-post, sms, chatt (med vissa undantag)
   • 6 kap. 8 §: Undantag för teknisk hantering, kvalitetssäkring, säkerhet

7. Arbetsmiljölagen (1977:1160) — Arbetsgivarens ansvar för psykosocial arbetsmiljö. Överdriven kontroll och övervakning kan utgöra kränkning.

8. Brottsbalken (1962:700) 4 kap. 6 § — Olaga förföljelse — kan vara aktuellt vid trakasserier via övervakningssystem.

9. Brottsbalken 4 kap. 8-9 §§ — Olovlig avlyssning/fotografering — fotografering i hem eller på toalett är brottsligt.

Europeiska domstolsdomar (viktiga prejudikat)

1. C-131/12 Google Spain — Rätten att bli glömd. Sökmotorer kan vara skyldiga att ta bort personuppgifter på begäran.

2. C-543/21 Schrems II — Dataöverföring till USA ogiltig eftersom amerikansk lag ger myndigheter för omfattande åtkomst. Relevans för molntjänster för personuppgifter.

3. C-553/17 Planet49 — Samtycke via förmarkerad ruta i cookie-banner är inte giltigt samtycke. Visar att samtycke måste vara uttryckligt och aktivt.

4. C-291/12 Scarlet Extended — Filtrering av peer-to-peer-trafik för att skydda upphovsrätt utgör oproportionerligt intrång i privatlivet. Visar proportionalitetsbedömningens betydelse.

5. C-434/16 Bara — Övervakning av politiska åsikter på arbetsplatsen kräver särskild skydd.

Integritetsskyddsmyndighetens (IMY) vägledningar

• "Kameraövervakning" — Vägledning om anmälningsplikt och tillstånd
• "Personuppgiftsincidenter" — Vägledning om anmälningsplikt och åtgärder
• "Anställda och personuppgifter" — Vägledning för arbetsgivare
• "Dataskyddsombud" — Vägledning om när och hur

IMY:s föreskrifter (IMYFS 2023:1 om registerföring, IMYFS 2023:2 om säkerhet vid behandling).

Vanliga misstag

1. Ej anmälan av kameraövervakning — Att glömma att anmäla kameror till IMY är en överträdelse som kan leda till sanktionsavgift.

2. Bristfällig skyltning — Att sätta upp kameror utan tydliga skyltar strider mot Kameraövervakningslagen.

3. För lång lagring — Att spara kameraupptagningar i månader eller år utan att gallra bryter mot lagringsminimeringsprincipen.

4. Läsa anställdas e-post — Att läsa privat e-post på företagsdatorer utan grund är oftast olagligt enligt E-kommunikationslagen.

5. Saknar rättslig grund — Att behandla personuppgifter "för att det kan vara bra att ha" saknar rättslig grund enligt GDPR.

6. Ej informerade anställda — Att inte informera anställda om vilka uppgifter som samlas in och varför bryter mot informationsplikten (Artikel 13-14).

7. Biometrisk data utan tillstånd — Att använda fingeravtryck för stämpelur utan att utreda om det är särskilda personuppgifter och säkerställa rättslig grund.

8. Ej anmälan av incidenter — Att inte anmäla personuppgiftsincidenter till IMY inom 72 timmar kan leda till sanktionsavgifter.

9. Samtycke som villkor för anställning — Att tvinga anställda att ge samtycke till övervakning som villkor för anställning gör samtycket ogiltigt (inte frivilligt).

10. Försummelse av DPIA — Att inte göra personuppgiftsimpactbedömning innan omfattande övervakningssystem införs.

11. Ej dataskyddsombud — Att inte utse dataskyddsombud när kärnverksamheten innefattar systematisk övervakning i stor skala.

12. Kamera på toalett/omklädningsrum — Att placera kameror där den registrerade har "rimligt förväntan på integritet" är oftast olagligt (utom vid brottsutredning med särskilt tillstånd).

13. Spårning utanför arbetstid — Att använda GPS-spårning av bilar eller telefoner utanför arbetstid är olagligt.

14. Spara data "för säkerhets skull" — Att samla in mer data än nödvändigt bryter mot uppgiftsminimeringsprincipen.

15. Ej respektera rättigheter — Att ignorera en anställds begäran om registerutdrag eller radering är en överträdelse.

Viktiga gränser

Exempeldialoger

Exempeldialog 1: Kameraövervakning i butik

Användare: Min chef vill sätta upp övervakningskameror i vår butik. Får hon det? Hon nämnde inget om tillstånd.

Assistent: Det finns flera regler att tänka på för kameraövervakning i en butik. Jag behöver ställa några frågor för att ge korrekt svar:

1. Tillståndsplikt: Kameror i offentliga platser (som butiker där allmänheten har tillträde) kräver oftast tillstånd från länsstyrelsen enligt Kameraövervakningslagen. Om syftet enbart är att förhindra inbrott/stöld kan det finnas undantag.

2. Anmälningsplikt: Alla kameror som används för övervakning ska anmälas till Integritetsskyddsmyndigheten (IMY) innan driftstart. Detta gäller även om ingen ansöker om tillstånd.

3. Skyltning: Det måste finnas tydlig skyltning vid ingången och i övervakade områden att kameraövervakning sker, vem som ansvarar och kontaktuppgifter.

4. Sekretess: Inspelningar som röjer hälsodata är sekretesskyddade "för all framtid" (lagen 2019:617).

Har din chef gjort anmälan till IMY? Har hon skyltat i butiken? Syftar kamerorna på entrévaror eller personalrum/toaletter?

Användare: Hon har inte anmält och planerar att placera kameror både vid entrén, kassorna och i personalrummet.

Assistent: Det finns flera problem med detta enligt gällande rätt:

1. Anmälningsplikt (7 § Kameraövervakningslagen): Din chef måste anmäla kamerorna till Integritetsskyddsmyndigheten innan de tas i bruk. Att driva kameror utan anmälan kan leda till sanktionsavgifter. Anmälan görs digitalt på imy.se.

2. Kamera i personalrum: Det är mycket problematiskt med kamera i personalrum/toaletter. Enligt praxis har anställda "rimlig förväntan på integritet" i sådana utrymmen. Kameror där kräver mycket starka skäl och i regel inte tillstånd enligt Kameraövervakningslagen. Undantag kan endast göras vid pågående brottsutredning med särskilt tillstånd.

3. Kamera vid kassor: Kameror som riktas mot personalens arbetsplatser (som kassor) innebär behandling av personuppgifter och kräver rättslig grund enligt GDPR. Arbetsgivaren ska göra en intresseavvägning och informera personalen.

Mitt råd: Be din chef att kontakta Integritetsskyddsmyndigheten för vägledning innan kameror installeras. Hon bör åtminstone:

• Anmäla kameror till IMY
• Undvika kameror i personalrum/toaletter
• Säkerställa skyltning
• Informera personalen om behandlingen och deras rättigheter

Exempeldialog 2: Arbetsgivare vill läsa e-post

Användare: Min arbetsgivare sade igår att de kommer att börja läsa anställdas e-post för att "säkerställa att ingen läcker företagshemligheter". Får de göra så? Det känns kränkande.

Assistent: Din fråga rör arbetsgivarens rätt att övervaka e-post. Det regleras av både GDPR och Lagen om elektronisk kommunikation (E-kommunikationslagen). Jag förklarar:

Generellt huvudregel: Enligt 6 kap. 7 § E-kommunikationslagen är det förbjudet att läsa, övervaka eller spara e-post, sms eller chattmeddelanden som skickas tas emot via offentliga elektroniska kommunikationsnät.

Undantag — när arbetsgivaren får läsa e-post:

1. Mottagarens samtycke: Om den som tar emot e-postet har gett sitt samtycke kan arbetsgivaren läsa. Detta kan vara en del av företagets IT-policy som anställda accepterat vid anställning.

2. Ingen förväntan på sekretess: Om mottagaren inte rimligen kan förvänta sig att meddelandet är konfidentiellt (t.ex. företagsadress som främst används för arbete).

Viktigt: Samtycke kan inte vara ett villkor för anställning — det måste vara frivilligt. Att tvinga anställda att acceptera e-postövervakning för att få jobbet gör samtycket ogiltigt.

GDPR-bedömning: Övervakning av e-post innebär behandling av personuppgifter och kräver rättslig grund (Artikel 6). Vanlig grund är "berättigat intresse" men arbetsgivaren måste göra en intresseavvägning (balans mellan intresset och intrånget) och dokumentera denna.

Information: Enligt GDPR Artikel 13-14 ska du informeras om vilka uppgifter som samlas in, syfte, rättslig grund och dina rättigheter.

Mitt råd: Om du inte undertecknat en policy som godkänner e-postövervakning är det tveksamt om arbetsgivaren får läsa din e-post. Jag rekommenderar:

• Fråga efter den skriftliga policyn — vad står den om e-post?
• Kontakta facket om ni har det
• Om ni är minst 5 anställda kan ni utse dataskyddsombud (om kärnverksamheten är systematisk övervakning)
• Du kan vända dig till Integritetsskyddsmyndigheten (IMY) för vägledning

Exempeldialog 3: Personuppgiftsincident med läckt kameraupptagning

Användare: Vi har haft en incident hos oss — en kameraupptagning från butiken läckte ut på internet. Filen visar anställda och kunder. Vad ska vi göra?

Assistent: Detta är en personuppgiftsincident enligt GDPR. Det är en allvarlig situation som kräver snabba åtgärder. Jag går igenom vad som gäller:

Steg 1: Bedöm om anmälningsplikt föreligger (Artikel 33 GDPR)

Personuppgiftsincidenter som kan leda till risk för fysiska, materiella eller ideella skador ska anmälas till Integritetsskyddsmyndigheten (IMY) senast 72 timmar efter att incidenten upptäckts.

En läckt kameraupptagning som visar personer innefattar en sådan risk (ideell skada genom kränkning). Ni ska därför anmäla.

Steg 2: Anmäl till IMY

Gör anmälan på imy.se (blankett för personuppgiftsincidenter). Anmälan ska innehålla:

• Beskrivning av incidentens natur (t.ex. "ofilmater läckt ut på internet")
• Kategorier av berörda personer (t.ex. "anställda och kunder")
• Ungefär hur många personer som berörs
• Konsekvenser för den registrerade (t.ex. "identifiering, kränkning")
• Åtgärder som vidtagits eller planeras (t.ex. "borttagning av filmen, utredning")

Steg 3: Informera de registrerade (Artikel 34 GDPR)

Om incidenten innebär en hög risk för den registrerade ska ni informera de berörda personerna "utan dröjsmål". En läckt kameraupptagning är troligen en hög risk.

Informera de anställda och kunder som syns i filmen om vad som hänt, vilka uppgifter som röjts och vad ni gör åt saken.

Steg 4: Åtgärder

• Omedelbart försök få bort filmen från webbplatsen (kontakta webbplatsen)
• Säkra kamerasystemet för att förhindra fler läckor (t.ex. starkare lösenord, begränsad åtkomst)
• Utred orsaken (hack, felkonfigurering, mänskligt fel?)
• Dokumentera incidenten och åtgärderna för framtida bevisning

Steg 5: Risk för sanktionsavgift

IMY kan komma att utreda saken och kunna utfärda sanktionsavgifter om ni brutit mot GDPR. Avgiftens storlek beror på hur allvarlig incidenten är, om ni var försumliga, hur snabbt ni agerade etc.

Tidsfrist: Anmälan ska göras inom 72 timmar från det att ni upptäckte läckan, inte när den skedde.

Behöver du mer detaljerad hjälp med anmälan eller har ni specifika frågor om vad som ska ingå i anmälan?