Kort svar
Begränsa incidenten omedelbart, bevara fakta och rapportera den internt till dataskydds- och säkerhetsfunktion. Organisationen behöver snabbt bedöma riskerna och om incidenten ska anmälas.
Gör detta först
De första åtgärderna
- Stoppa fortsatt spridning och återkalla åtkomst där det går.
- Dokumentera vilka uppgifter, personer och system som berörs.
- Aktivera incidentrutinen och kontakta dataskyddsombud eller motsvarande.
Kontroll före nästa steg
Chefens checklista
- 01Vilka kategorier av uppgifter och registrerade berörs?
- 02Har uppgifterna blivit lästa eller kopierade?
- 03Vilka skyddsåtgärder fanns, exempelvis kryptering?
- 04Vilken risk innebär incidenten för de registrerade?
- 05Är beslut om anmälan och information dokumenterat?
Undvik detta
- Att radera bevis eller loggar i försök att städa upp.
- Att vänta på full teknisk analys innan incidenten rapporteras internt.
- Att tona ned incidenten eftersom mottagaren verkar pålitlig.
När ska specialist kopplas in?
- När känsliga eller skyddsvärda uppgifter berörs.
- När många personer, barn eller utsatta grupper berörs.
- När incidenten även kan vara en cyberattack eller säkerhetsskyddsincident.
Vanliga frågor om situationen
Vad ska en chef göra först när personuppgifter har skickats eller publicerats fel?
Stoppa fortsatt spridning och återkalla åtkomst där det går. Dokumentera vilka uppgifter, personer och system som berörs. Aktivera incidentrutinen och kontakta dataskyddsombud eller motsvarande.
Vilka kontroller är viktigast före nästa beslut?
Vilka kategorier av uppgifter och registrerade berörs? Har uppgifterna blivit lästa eller kopierade? Vilka skyddsåtgärder fanns, exempelvis kryptering? Vilken risk innebär incidenten för de registrerade?
När ska specialist eller högre ledning kopplas in?
När känsliga eller skyddsvärda uppgifter berörs. När många personer, barn eller utsatta grupper berörs. När incidenten även kan vara en cyberattack eller säkerhetsskyddsincident.
Rättsliga utgångspunkter
Fördjupa bedömningen i de relaterade juridikguiderna och kontrollera alltid aktuell lydelse i primärkällan.
- IMY: Myndigheters behandling av personuppgifterOfficiell källa
- IMY: Myndigheter och känsliga personuppgifterOfficiell källa
- Säkerhetsskyddslag (2018:585)Officiell källa
- Cybersäkerhetslag (2025:1506)Officiell källa
- Arkivlag (1990:782)Officiell källa
- Offentlighets- och sekretesslag (2009:400)Officiell källa
Avgränsning: Guiden är generell information och praktiskt beslutsstöd. Den ersätter inte bedömning av omständigheterna i det enskilda ärendet.
