Ett felaktigt skickat mejl, en stulen dator eller ett dataintrång kan snabbt bli mer än ett tekniskt problem. Här går jag igenom konkreta exempel på personuppgiftsincidenter, vad som skiljer olika typer åt och hur företag, myndigheter och privatpersoner bör agera när personuppgifter hamnar fel.
Så känner du igen en personuppgiftsincident
- Fel mottagare kan vara en incident även om uppgifterna bara skickats till en person.
- Förlust, ändring eller otillåten åtkomst omfattas av samma juridiska begrepp.
- 72 timmar är utgångspunkten för anmälan till IMY när incidenten innebär en risk.
- Alla incidenter ska dokumenteras, även de som inte behöver anmälas.
- Hög risk kan innebära att de berörda personerna måste informeras utan onödigt dröjsmål.
Vad räknas som en personuppgiftsincident
En personuppgiftsincident är en säkerhetshändelse som leder till att personuppgifter förstörs, förloras, ändras eller blir tillgängliga för obehöriga. Det spelar ingen avgörande roll om felet beror på ett misstag, ett tekniskt fel eller ett medvetet angrepp. Det viktiga är vad som har hänt med uppgifterna och vilken risk det skapar för de registrerade.
Med registrerad menas den person som uppgifterna handlar om, exempelvis en kund, patient, elev eller anställd. Den organisation som bestämmer varför och hur uppgifterna behandlas kallas personuppgiftsansvarig. En extern leverantör som behandlar uppgifter åt organisationen är i stället ett personuppgiftsbiträde.
Jag tycker att det är särskilt viktigt att inte likställa en personuppgiftsincident med ett stort dataintrång. Ett enda feladresserat mejl med ett personnummer kan vara en incident, medan ett tekniskt avbrott utan personuppgifter normalt inte är det.
Vanliga exempel som sker i praktiken
De mest användbara exemplen är ofta de vardagliga. Många incidenter börjar inte med en avancerad hackerattack, utan med ett fel i en adresslista, en bortglömd bilaga eller en åtkomst som aldrig stängdes.
| Situation | Vad som har hänt | Vad som gör den allvarlig |
|---|---|---|
| Fel mottagare | Ett mejl med löneuppgifter skickas till fel person. | Uppgifterna har röjts utan tillstånd. |
| Förlorad utrustning | En laptop eller USB-enhet med kundregister försvinner. | Obehöriga kan få tillgång till uppgifterna. |
| Dataintrång | En angripare tar sig in i ett system med medlems- eller kunddata. | Uppgifterna kan kopieras, säljas eller missbrukas. |
| Öppen databas | Personuppgifter ligger åtkomliga utan inloggning. | Exponeringen kan omfatta ett stort antal personer. |
| Felaktig ändring | En journal, adress eller betalningsuppgift ändras utan behörighet. | Felaktig information kan leda till ekonomisk eller fysisk skada. |
| Bristande tillgänglighet | Viktiga personuppgifter blir otillgängliga efter ransomware eller systemfel. | Personer kan inte få den service eller vård de behöver. |
Felaktigt mejl eller brev
Ett vanligt exempel är att en arbetsgivare skickar en lönespecifikation till fel mottagare. Samma sak kan hända när en skola bifogar en lista över elever, när en vårdgivare skickar patientinformation fel eller när flera mottagare syns i ett mejl i stället för att döljas med hemlig kopia.
Risken beror på innehållet. Namn och generell kontaktinformation innebär ofta en lägre risk än personnummer, ekonomiska uppgifter, hälsodata eller information om skyddad identitet. Det betyder dock inte att ett misstag med mindre känsliga uppgifter kan ignoreras.
Förlorad eller stulen utrustning
En borttappad mobiltelefon är inte automatiskt en personuppgiftsincident. Det blir mer relevant om telefonen innehåller personuppgifter och saknar tillräckligt skydd, exempelvis skärmlås eller kryptering. En krypterad dator som är korrekt låst kan därför innebära en betydligt lägre risk än ett oskyddat USB-minne.
Tekniska fel och dataintrång
Vid ett dataintrång kan angriparen läsa, kopiera eller radera uppgifter. Ransomware är ett tydligt exempel eftersom uppgifterna både kan bli otillgängliga och riskera att publiceras. Även ett fel i en molntjänst, en öppen lagringsyta eller en felkonfigurerad behörighet kan få samma juridiska betydelse.
Aktuella fall visar varför detaljerna spelar roll
Ett tydligt svenskt exempel är Sportadmin. Efter ett IT-angrepp i januari 2025 fick angripare tillgång till uppgifter om fler än 2,1 miljoner personer, däribland barn och unga. Uppgifterna omfattade bland annat namn, kontaktuppgifter, personnummer, föreningstillhörighet och i vissa fall hälsouppgifter.
I januari 2026 beslutade IMY om en administrativ sanktionsavgift på 6 miljoner kronor. Lärdomen är inte bara att dataintrång kan få stora konsekvenser. Den visar också att organisationer måste anpassa tekniska och organisatoriska säkerhetsåtgärder efter vilka uppgifter de hanterar och vilka personer som berörs.
Region Uppsala visar en annan typ av problem. IMY granskade bland annat hur känsliga personuppgifter och personnummer skickades via e-post. Även om själva e-postöverföringen var krypterad var uppgifterna i meddelandena inte tillräckligt skyddade. Resultatet blev sanktionsavgifter på 300 000 kronor respektive 1,6 miljoner kronor i två delar av ärendet.
För mig är den praktiska poängen tydlig. Det räcker inte att säga att ett system är säkert i allmänhet. Organisationen måste kunna visa att skyddet passar informationens känslighet, mottagarnas behörighet och den skada som kan uppstå om uppgifterna hamnar fel.
Så bedömer man risken efter en incident
En incident ska inte bedömas enbart utifrån hur många personer som berörs. Riskbedömningen behöver också ta hänsyn till vilka uppgifter som läckt, vem som kan ha fått tillgång till dem och vilka konsekvenser som är möjliga.
- Rör det sig om kontaktuppgifter eller om känsliga personuppgifter?
- Har uppgifterna skickats till en känd mottagare eller publicerats öppet?
- Gäller incidenten barn, patienter, personer med skyddad identitet eller andra särskilt sårbara grupper?
- Hur länge var uppgifterna åtkomliga?
- Har organisationen kunnat radera, återkalla eller blockera uppgifterna?
- Kan händelsen leda till bedrägeri, identitetsstöld, diskriminering eller skadat anseende?
Om det inte är osannolikt att incidenten innebär en risk för fysiska personers rättigheter och friheter ska den som utgångspunkt anmälas till IMY. Anmälan ska göras inom 72 timmar från det att den personuppgiftsansvariga fått vetskap om incidenten, inte nödvändigtvis från den minut då händelsen inträffade.
Alla uppgifter behöver inte vara färdigutredda inom 72 timmar. Det går att lämna in en första anmälan och komplettera senare. Däremot bör organisationen dokumentera vad som är känt, vilka risker som har bedömts och varför vissa beslut fattats.
Vad måste organisationen göra
Det första steget är att begränsa skadan. Återkalla ett felaktigt mejl om det går, stäng av ett komprometterat konto, blockera en öppen länk och säkra loggar innan informationen försvinner. Samtidigt behöver organisationen utse någon som leder hanteringen och involvera dataskyddsombudet när ett sådant finns.
Den personuppgiftsansvariga bör sedan dokumentera tidpunkt, omfattning, berörda uppgifter, antal personer och vidtagna åtgärder. Om ett personuppgiftsbiträde upptäcker incidenten ska leverantören informera den ansvariga organisationen utan onödigt dröjsmål. Ansvaret för bedömning och eventuell anmälan ligger normalt kvar hos den personuppgiftsansvariga.
Om incidenten sannolikt leder till en hög risk måste de berörda personerna informeras utan onödigt dröjsmål. Informationen bör förklara vad som har hänt, vilka konsekvenser som kan uppstå, vem som kan svara på frågor och vad organisationen gör för att minska skadan.
Ett vanligt misstag är att vänta på fullständig teknisk klarhet innan man agerar. Jag anser att en snabb och tydlig första bedömning nästan alltid är bättre än flera dagars tystnad, särskilt när de registrerade själva kan behöva byta lösenord, bevaka sina konton eller kontakta sin bank.
Vanliga missförstånd om personuppgiftsincidenter
Det krävs inte alltid ett dataintrång
Ett dataintrång är bara en av flera möjliga orsaker. Även ett administrativt misstag, en felaktig behörighet eller en förstörd fil kan omfattas av reglerna. Att händelsen var oavsiktlig gör den inte juridiskt irrelevant.
Alla incidenter ska inte anmälas till IMY
Alla incidenter ska dokumenteras, men anmälan till IMY beror på riskbedömningen. Om det är osannolikt att händelsen innebär en risk för de registrerade kan organisationen avstå från anmälan. Den måste ändå kunna motivera och dokumentera varför.
Läs också: Analogisk tolkning: Så använder du den rätt i juridiken
En liten incident kan vara allvarlig
Antalet berörda personer säger inte allt. Ett felaktigt utskick till en enda mottagare kan få större konsekvenser än ett större läckage av mindre känsliga uppgifter. Personnummer, hälsodata, ekonomisk information och uppgifter om skyddad identitet kräver särskild försiktighet.
När ett litet misstag kräver en stor reaktion
Det viktigaste jag tar med mig från exemplen är att organisationer bör reagera på själva risken, inte på hur dramatisk händelsen först verkar. Ett felaktigt mejl, en borttappad dator och ett omfattande dataintrång ska bedömas med samma grundfrågor: vilka uppgifter berörs, vem kan påverkas och vad kan göras omedelbart?
För privatpersoner är det klokt att spara informationen från organisationen, ställa frågor om vilka uppgifter som läckt och vara extra uppmärksam på ovanliga mejl, telefonsamtal och kreditupplysningar. För företag och myndigheter är den mest praktiska åtgärden att ha en fungerande incidentrutin innan något händer. Snabb upptäckt, tydlig dokumentation och rätt riskbedömning gör störst skillnad när personuppgifter har hamnat fel.
