Dataintrång: begär ut incidentanmälan

När ska en incident anmälas?

Enligt GDPR (artiklarna 33–34) måste en organisation anmäla allvarliga personuppgiftsincidenter till IMY, oftast inom 72 timmar, och i vissa fall även informera de personer som drabbats. Anmälan och IMY:s efterföljande beslut är i regel allmänna handlingar.

Vissa uppgifter kan dock vara sekretessbelagda – till exempel tekniska detaljer som skulle kunna avslöja säkerhetsbrister och leda till nya intrång, eller känsliga uppgifter om andra personer.

Så begär du ut informationen

Chydenius hjälper dig skriva en begäran till IMY:s registrator om anmälan, beslut och relevant korrespondens i tillsynsärendet. Du behöver inte känna till ärendets diarienummer – det räcker att beskriva vilken organisation och incident du menar.

Så gör du steg för steg

Beskriv incidenten

Berätta vilken myndighet eller organisation du misstänker har läckt eller obehörigt hanterat dina personuppgifter.

Vi begär ut handlingarna

Chydenius formulerar en begäran om incidentrapporten och anmälan till IMY, med rätt lagrum.

Skicka och invänta svar

Begäran skickas anonymt; allmänna handlingar ska lämnas ut skyndsamt.

Gå vidare

Vill du anmäla incidenten eller kräva rättelse hjälper Chydenius dig med nästa steg mot IMY.

Det här kan du inte begära

Uppgifter som kan avslöja säkerhetsbrister om det skulle innebära risk för nya incidenter.

Känsliga personuppgifter om andra individer som nämns i anmälan.

Företagshemligheter eller annan information som kan skada företaget om den röjs.

Information som är del av en pågående brottsutredning.

Vanliga frågor

Kan jag få ut ett företags anmälan om dataintrång?

Ja, i regel. Anmälan till IMY är oftast en allmän handling. Delar som avslöjar säkerhetsarrangemang eller känsliga personuppgifter om andra kan dock vara sekretessbelagda.

Till vilken myndighet vänder jag mig?

Till Integritetsskyddsmyndigheten (IMY), som tar emot anmälningar om personuppgiftsincidenter och bedriver tillsyn. Insyna riktar din begäran till IMY:s registrator.

Måste jag själv ha drabbats av dataintrånget för att begära ut anmälan?

Nej. Precis som vid andra begäranden om allmän handling behöver du varken vara berörd eller ange varför du vill ha handlingen. Anmälan till IMY är i regel offentlig oavsett vem som begär ut den.

Får jag veta om just mina uppgifter fanns med i intrånget?

Inte nödvändigtvis genom anmälan till IMY, som sällan namnger enskilda. Vid en incident med hög risk för dig är organisationen som drabbats i regel skyldig enligt artikel 34 GDPR att informera dig direkt.

Så här ser mejlet ut

Ett exempel på det mejl Chydenius skriver och skickar åt dig – på korrekt myndighetssvenska, anonymt (aldrig i ditt namn) och alltid med begäran om svar via e-post.

Bästa Handläggare,

Jag önskar ta del av den anmälan om personuppgiftsincident som en av mina tidigare tjänsteleverantörer har lämnat till Integritetsskyddsmyndigheten, samt myndighetens beslut och yttranden i tillsynsärendet.

Denna begäran grundar sig på offentlighetsprincipen enligt tryckfrihetsförordningen (1949:105) 2 kap.

Jag önskar ta del av handlingarna digitalt (via e-post) i första hand. Vid helt eller delvis avslag begär jag ett skriftligt, överklagbart beslut med besvärshänvisning.

I avvaktan på Ert svar,
En Medborgare

Begära ut handlingar om dataintrång