Klockan börjar när ni fick veta.
Inte när det hände, inte när utredningen är klar, inte när någon har hunnit ringa juristen. Från kännedomen har ni 72 timmar på er att anmäla en personuppgiftsincident till IMY – om den kan leda till risk för de registrerade.
Det är den mest missförstådda delen av reglerna, och den som kostar mest tid: en fredagseftermiddag är värd två tredjedelar av tidsfristen. Måndag morgon är för sent, även om ingen lidit någon skada.
Är det ens en incident?
En incident är varje händelse som leder till att personuppgifter förstörs, förloras, ändras, röjs eller blir åtkomliga för någon som inte ska ha dem.
-
Röjda
En elevakt mejlas till fel vårdnadshavare. En adress skrivs fel med autofyll. En fil delas med länk till hela skolan.
-
Förlorade
En USB-sticka med akter blir kvar på ett skrivbord. En bärbar dator försvinner ur ett klassrum.
-
Åtkomliga
Ett konto utan tvåstegsverifiering, eller en mapp som råkat bli delad med "alla i organisationen".
Låter det som vardag? Det är det. De flesta incidenter i skolor är inte intrång – de är ett mejl till fel person.
Vad anmälan ska innehålla.
-
Vad som hänt
Beskrivningen av incidenten, vilka kategorier av uppgifter det gäller och ungefär hur många personer som berörs.
-
Vem som svarar
Dataskyddsombud eller den kontakt som IMY ska nå med frågor.
-
Vad det kan leda till
Troliga konsekvenser för de registrerade: identitetsmissbruk, att känsliga uppgifter om ett barn blir kända, att en adress röjs.
-
Vad ni gjort
Åtgärderna för att begränsa skadan, och de ni vidtar för att det inte ska hända igen.
Hinner ni inte allt: en anmälan får kompletteras efteråt. Det är bättre att skicka en ofullständig anmälan i tid än en fullständig efter 72 timmar.
Det svåra är inte blanketten.
Det svåra är att veta vad som faktiskt stod i filen som gick ut.
"En elevakt" räcker inte som svar till IMY. De vill veta vilka kategorier av uppgifter det gällde, och hur många som berördes. Har ni ingen dokumentation blir den frågan en gissning – och gissningen hamnar i anmälan.
Därför räknar DocMasker varje körning och sparar resultatet, utan att spara numren: vilken fil, vilken sida, hur många. Det är samma rapport som visar att en utlämnad kopia var rensad.
Alla incidenter ska dokumenteras, även de som inte anmäls. En rad i ett register är billigare än en efterhandskonstruktion.
Färre filer som kan gå fel.
En kopia utan personnummer kan skickas till fel person utan att bli en incident. Det är hela poängen.
Ladda ner för Windows Se vad licensen kostar
Version 1.2.0 · cirka 41 MB · Windows 10 och 11. Provperioden är fjorton dagar och startar i programmet.