Personuppgiftsincident: vad gör ni de första 72 timmarna?

Publicerad 28 oktober 2026

Sammanfattning: När ni har fått vetskap om en personuppgiftsincident ska ni anmäla den till Integritetsskyddsmyndigheten (IMY) utan onödigt dröjsmål och om möjligt inom 72 timmar, om det inte är osannolikt att den medför en risk för de registrerade. Klockan startar när ni med rimlig säkerhet vet att personuppgifter har drabbats, inte när utredningen är klar, och det som ännu inte är känt får lämnas i omgångar. Leder incidenten sannolikt till en hög risk ska de registrerade också informeras utan onödigt dröjsmål. Alla incidenter dokumenteras, även de som inte anmäls.

Vad räknas som en personuppgiftsincident?

Enligt artikel 4.12 är en personuppgiftsincident ”en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till” personuppgifter. Det spelar ingen roll om det har skett av misstag eller med avsikt. Europeiska dataskyddsstyrelsen (EDPB) skiljer på tre typer, som kan förekomma samtidigt:

• Konfidentialitet: obehöriga får del av uppgifterna, till exempel genom ett mejl till fel mottagare.
• Riktighet: uppgifter ändras utan behörighet.
• Tillgänglighet: uppgifter förstörs eller går inte att nå, till exempel efter en ransomwareattack.

Alla säkerhetsincidenter är inte personuppgiftsincidenter, så fråga först om personuppgifter faktiskt har berörts.

När startar klockan?

Anmälan ska göras ”utan onödigt dröjsmål och, om så är möjligt, inte senare än 72 timmar efter att ha fått vetskap om den” (artikel 33.1). Enligt EDPB har ni fått vetskap när ni med en rimlig grad av säkerhet vet att en säkerhetsincident har drabbat personuppgifter. En kort inledande utredning är tillåten, men den ska börja direkt. Två exempel ur EDPB:s riktlinjer:

• Ett USB-minne med okrypterade personuppgifter tappas bort. Klockan startar när ni förstår att det är borta, även om ni inte vet om någon har läst uppgifterna.
• En angripare kräver lösensumma. Klockan startar när ni har kontrollerat att systemet faktiskt har angripits.

Ett personuppgiftsbiträde, till exempel en molntjänst, ska underrätta er utan onödigt dröjsmål (artikel 33.2), och enligt EDPB har ni i princip fått vetskap när biträdet har informerat er. De 72 timmarna räknas i timmar, med lördagar, söndagar och helgdagar inräknade. Skriv därför ner tidpunkten direkt.

Ska IMY och de registrerade få veta?

GDPR har två trösklar. En incident ska anmälas till IMY om det inte är osannolikt att den medför en risk för fysiska personers rättigheter och friheter. De registrerade ska informeras när incidenten sannolikt leder till en hög risk (artikel 34.1).

Er bedömning av risken	Anmälan till IMY	Information till de registrerade
Osannolikt att den medför en risk	Nej, men dokumentera bedömningen	Nej
Risk	Ja, om möjligt inom 72 timmar	Inget krav
Sannolikt hög risk	Ja, om möjligt inom 72 timmar	Ja, utan onödigt dröjsmål

IMY och EDPB lyfter samma faktorer i riskbedömningen: typ av incident, vilka uppgifter som berörs och hur känsliga och omfattande de är, hur lätt personerna kan identifieras, hur allvarliga följderna kan bli, om personerna är särskilt sårbara, till exempel barn, och hur många som berörs. Vid tvekan rekommenderar EDPB att ni anmäler.

Kryptering kan ändra bedömningen. En förlorad mobil som är krypterad med en stark metod, där nyckeln inte har röjts, behöver enligt EDPB inte alltid anmälas, förutsatt att det finns en kopia av uppgifterna.

Vad anmälan till IMY ska innehålla

Enligt artikel 33.3 ska anmälan åtminstone innehålla:

• incidentens art och, om möjligt, ungefär hur många registrerade och personuppgiftsposter som berörs,
• kontaktuppgifter till dataskyddsombudet eller en annan kontaktpunkt,
• de sannolika konsekvenserna,
• vidtagna eller föreslagna åtgärder, även för att mildra skadan.

Anmälan görs i IMY:s e-tjänst och blir en allmän handling. Om någon begär ut den prövar IMY om uppgifterna omfattas av sekretess enligt offentlighets- och sekretesslagen, och i formuläret kan ni beskriva vilka uppgifter ni anser bör omfattas av sekretess. Ta ändå inte med fler uppgifter än nödvändigt. Ungefärliga siffror räcker; enligt EDPB ska exakta uppgifter inte fördröja anmälan.

Anmälan i omgångar

Det som inte är känt får lämnas ”i omgångar utan onödigt ytterligare dröjsmål” (artikel 33.4). Skriv i den första anmälan att komplettering kommer. Enligt IMY kan myndigheten fatta beslut på befintligt underlag om ingen komplettering har kommit in efter 4 veckor. Görs anmälan senare än 72 timmar ska förseningen motiveras. Visar det sig att det inte var en personuppgiftsincident kan anmälan uppdateras; enligt EDPB medför det ingen påföljd att ha anmält.

Så informerar ni de registrerade

Informationen ska på ett klart och tydligt språk beskriva incidentens art samt kontaktpunkten, de sannolika konsekvenserna och åtgärderna (artikel 34.2). EDPB råder er att skicka ett eget meddelande i stället för en rad i ett nyhetsbrev, att använda direkta kanaler som mejl, sms eller brev men inte en kanal som angriparen kan nå, och att ge konkreta råd, till exempel att byta lösenord.

Information behövs inte om uppgifterna var oläsbara för obehöriga, till exempel genom kryptering, om senare åtgärder gör att den höga risken sannolikt inte längre uppstår, eller om det skulle kräva en oproportionell ansträngning. I det sista fallet informeras allmänheten eller vidtas en liknande åtgärd i stället (artikel 34.3).

Dokumentera varje incident

Artikel 33.5 kräver att ni dokumenterar alla personuppgiftsincidenter, ”inbegripet omständigheterna kring personuppgiftsincidenten, dess effekter och de korrigerande åtgärder som vidtagits”. Det gäller även incidenter som inte anmäls. IMY och EDPB rekommenderar att ni också skriver ner skälen för era beslut, särskilt varför en incident inte anmäldes. I vår indelning av GDPR i 15 delar är detta del 15, personuppgiftsincidenter.

När cybersäkerhetslagen också gäller

Omfattas ni av cybersäkerhetslagen (2025:1506), som gäller sedan den 15 januari 2026, kan samma händelse vara en betydande incident. Den rapporteras till Nationellt cybersäkerhetscenter (NCSC) via Cyberportalen, i tre steg:

• Upplysning så snart det kan ske, dock senast 24 timmar efter att ni har fått kännedom om incidenten (2 kap. 5 §).
• Incidentanmälan senast 72 timmar efter kännedom, eller 24 timmar för den som tillhandahåller betrodda tjänster (2 kap. 6 §).
• Slutrapport senast en månad efter incidentanmälan, eller en lägesrapport om incidenten fortfarande pågår (2 kap. 8 §).

Det ersätter inte anmälan enligt GDPR. NCSC anger att en incident som också är en personuppgiftsincident ska rapporteras till både NCSC och IMY. Fristerna löper var för sig, så låt incidentprocessen ta ställning till båda i samma beslutspunkt. Läs mer i vår insikt om GDPR och cybersäkerhetslagen samtidigt.

Checklista för de första 72 timmarna

1. Skriv ner när och hur ni fick vetskap om incidenten.
2. Begränsa skadan: stäng åtkomst, byt lösenord och be en felaktig mottagare radera uppgifterna.
3. Samla den som leder hanteringen, IT och dataskyddsombudet om ni har ett.
4. Ta reda på vilka uppgifter och ungefär hur många personer som berörs.
5. Gör riskbedömningen och dokumentera den, även om ingen anmälan behövs.
6. Begär en rapport från inblandade personuppgiftsbiträden.
7. Gäller cybersäkerhetslagen: lämna upplysningen till NCSC inom 24 timmar.
8. Anmäl till IMY inom 72 timmar om det krävs, även om allt inte är känt.
9. Informera de registrerade i ett eget meddelande om risken sannolikt är hög.
10. För in fakta, effekter, åtgärder och beslut i incidentloggen.

När rutinen är på plats har ni en utsedd ansvarig, en känd intern rapportväg, en mall för riskbedömningen, biträdesavtal med snabb rapportering och en logg över varje incident.

Vill ni ha en incidentrutin som fungerar när det väl händer? Kristensson i Skåne AB hjälper organisationer med dataskydd och integritet. I vårt löpande GDPR-stöd ingår stöd vid personuppgiftsincidenter, från bedömningen av anmälningsplikten till dokumentationen efteråt.

Källor: GDPR, förordning (EU) 2016/679, artiklarna 4.12, 33 och 34 (EUR-Lex); EDPB:s riktlinjer 9/2022 om anmälan av personuppgiftsincidenter; IMY:s vägledning om personuppgiftsincidenter; cybersäkerhetslag (2025:1506) 2 kap. 5–8 §§ (riksdagen.se); NCSC om incidentrapportering enligt cybersäkerhetslagen; förordning (EEG, Euratom) nr 1182/71 om tidsfrister. Verifierat 2026-10-03.

Den här texten är allmän information och inte juridisk rådgivning. Varje incident måste bedömas utifrån sina egna omständigheter.