# Personuppgiftsincident: så anmäler du ett dataintrång till IMY *2026-11-13* > Upptäcker du en personuppgiftsincident i din organisation har du skyldighet att anmäla den till Integritetsskyddsmyndigheten. Så här gör du steg för steg. Personuppgiftsincident är den juridiska termen för ett dataintrång eller en annan händelse som leder till att personuppgifter förstörs, förloras, ändras eller obehörigen avslöjas. Om din organisation drabbas av en sådan händelse har du en skyldighet att anmäla den till Integritetsskyddsmyndigheten (IMY), som är Sveriges tillsynsmyndighet för dataskydd. Den här artikeln går igenom vad som räknas som en incident, hur du anmäler och vad du ska tänka på innan, under och efter. ## Vad räknas som en personuppgiftsincident? En personuppgiftsincident inträffar när säkerheten kring personuppgifter bryts. Det kan handla om en dator som stjäls, ett e-postmeddelande som skickas till fel mottagare, en hacker som tar sig in i ett system eller ett pappersdokument som hamnar i fel händer. Gemensamt för alla incidenter är att personuppgifter riskerar att komma obehöriga tillgång eller förstöras. Inte alla säkerhetshändelser är personuppgiftsincidenter. För att det ska vara en incident måste det finnas en risk för att enskildas rättigheter och friheter påverkas. Förlorar du till exempel ett USB-minne med kunduppgifter är det en incident. Förlorar du ett USB-minne med tomma formulär som inte innehåller några personuppgifter är det inte det. ## Så här gör du när en incident upptäcks När du upptäcker en personuppgiftsincident ska du agera snabbt. Din organisation har skyldighet att anmäla incidenten till IMY utan onödigt dröjsmål, så snart som möjligt efter att ni har blivit medvetna om den. Ju tidigare ni börjar, desto bättre kan ni begränsa skadan och uppfylla era skyldigheter enligt EU:s dataskyddsförordning. Gör så här: 1. Säkra läget. Stäng av det drabbade systemet, byt lösenord eller ta bort den offentliga länken så att fler uppgifter inte riskerar att komma ut. 2. Utred vad som har hänt. Kartlägg vilka personuppgifter som berörs, hur många registrerade det handlar om och hur incidenten gick till. 3. Bedöm riskerna. Tänk på vad som kan hända de personer vars uppgifter har läckt. Kan det leda till identitetsstöld, diskriminering, ekonomisk skada eller skada på ryktet? 4. Anmäl till IMY. Använd IMY:s e-tjänst för anmälan av personuppgiftsincidenter. Beskriv vad som har hänt, vilka uppgifter som berörs och vilka åtgärder ni har vidtagit. 5. Informera de berörda om det behövs. Om incidenten innebär en hög risk för de registrerades rättigheter och friheter ska ni också berätta för de personerna själva. ## Vad anmälan till IMY ska innehålla När du anmäler en personuppgiftsincident till IMY ska anmälan beskriva händelsens natur. Det innebär att du berättar vad som har hänt, hur ni upptäckte det och vilka personuppgifter som är inblandade. Du ska också ange vilka kategorier av registrerade som berörs, till exempel kunder, anställda eller medlemmar, samt en uppskattning av hur många personer det handlar om. Anmälan ska vidare innehålla namn och kontaktuppgifter till den som svarar på frågor om incidenten, vanligtvis dataskyddsombudet eller en annan ansvarig i organisationen. Du ska beskriva vilka sannolika följer incidenten kan få för de registrerade, och vilka åtgärder organisationen har vidtagit eller planerar för att hantera incidenten och minska skadan. IMY använder informationen för att bedöma om organisationen har uppfyllt sina skyldigheter och om något mer behöver göras. En väl underbyggd anmälan gör det lättare för myndigheten att hjälpa er. ## När de registrerade också ska informeras Alla personuppgiftsincidenter behöver inte leda till att de registrerade informeras. Skyldigheten träder in först när incidenten medför en hög risk för de registrerades rättigheter och friheter. Det kan till exempel handla om uppgifter som kan leda till ekonomisk bedrägeri, hälsorisker eller allvarlig integritetsintrång. Om ni bedömer att risken är hög ska ni informera de berörda personerna utan onödigt dröjsmål. Berätta vad som har hänt, vilka uppgifter som berörs, vilka konsekvenser det kan få och vad de själva kan göra för att skydda sig. Ni ska också ange vem de kan kontakta för mer information. Bedömningen görs fall för fall. Dokumentera era resonemang oavsett vad ni kommer fram till, så att ni kan visa att ni har tagit ansvar. ## Dokumentera och lär av incidenten Även om en incident inte behöver anmälas till IMY ska organisationen dokumentera den. Anteckna vad som hände, vilka uppgifter som berördes, vilka risker ni såg och vilka åtgärder ni vidtog. Dokumentationen är viktig både för er egen uppföljning och om IMY senare frågar efter den. Använd varje incident som ett tillfälle att förbättra ert dataskydd. Uppdatera rutiner, skola om personalen och se över så att liknande händelser inte kan upprepas. Ett systematiskt arbete med personuppgiftshantering minskar risken för framtida incidenter. ## Vanliga misstag att undvika - Vänta för länge med att anmäla. En incident som upptäcks i fredags bör inte vänta till nästa vecka. - Tro att ett litet läckage inte räknas. Även ett fåtal personuppgifter kan vara en anmälningspliktig incident. - Glöm bort att dokumentera. Utan anteckningar är det svårt att visa att ni har hanterat händelsen korrekt. - Berätta inte för de registrerade när risken är hög. De har rätt att veta om deras uppgifter är i fara. ## FAQ **Vem ska anmäla?** Den organisation som är ansvarig för behandlingen av personuppgifterna, så kallade personuppgiftsansvarige. **Vart ska anmälan göras?** Till Integritetsskyddsmyndigheten via deras e-tjänst på https://www.imy.se/. **Måste alla incidenter anmälas?** Ja, om de kan påverka enskildas rättigheter och friheter. Oavsett ska dokumenteras. **Vad händer om man inte anmäler?** IMY kan ingripa och i vissa fall utdöma sanktioner om organisationen inte uppfyller sina skyldigheter. Läs mer om grunderna i personuppgiftshantering i vår artikel om ansvarsfull personuppgiftshantering.