Er integritetspolicy är godkänd. Er incidentplan är det inte

De flesta tech-bolag har någon gång låtit en jurist gå igenom integritetspolicyn. Den känns i regel klar, godkänd och avprickad. Långt färre bolag har testat vad som faktiskt händer inne i organisationen den dag en personuppgiftsincident inträffar. Det är den delen som avgör hur dyr en incident blir, inte texten på hemsidan.

IMY tog emot 56 procent fler ärenden under 2025 än året innan, den största ökningen som uppmätts. Källa: IMY:s sammanfattning av året. Bakom siffran ligger fler anmälningar från privatpersoner som blivit mer medvetna om sina rättigheter, och fler tillfällen där ett bolags faktiska hantering av en incident granskas i detalj.

Tidsfristen gäller från det att bolaget borde ha upptäckt incidenten, snarare än enbart från när den faktiskt uppmärksammades. Ett bolag som har svaga loggningsrutiner och därför upptäcker en incident sent kan inte använda den sena upptäckten som ursäkt för en sen anmälan. Det gör att kvaliteten på den tekniska övervakningen indirekt påverkar hur mycket tid bolaget faktiskt har på sig, även om regeln formellt räknas från upptäcktstillfället.

GDPR ger ett bolag 72 timmar på sig att anmäla en allvarlig personuppgiftsincident till IMY, från det att incidenten upptäcktes. Klockan börjar ticka innan någon i ledningen hunnit förstå vad som hänt. Det är i de timmarna som skillnaden mellan ett hanterbart ärende och ett kostsamt ärende avgörs.

Frågan blir extra känslig när en tredje part är inblandad, till exempel ett verktyg för analys, marknadsföring eller kundsupport som bolaget inte själv utvecklat. Ansvaret för att anmäla och informera ligger fortfarande på det bolag som samlat in uppgifterna från sina kunder, även om den underliggande tekniska bristen finns hos leverantören. Ett avtal med leverantören som reglerar hur och när den ska informera sin kund om en incident är därför en förutsättning för att den egna 72-timmarsklockan ska kunna hållas.

Det som gör de första timmarna svåra är sällan tekniken. De flesta IT-avdelningar kan identifiera vad som läckt och stänga hålet. Det som saknas är en tydlig kedja för vem som bedömer om incidenten är anmälningspliktig, vem som formulerar anmälan, och vem som beslutar om drabbade individer behöver informeras direkt.

Tänk dig ett fintech-bolag där en felkonfigurerad integration av misstag exponerar kunduppgifter under ett par timmar innan felet upptäcks och rättas. Den tekniska lösningen är klar samma dag. Men ingen i bolaget vet vem som ska skriva anmälan till IMY, och juristen som normalt sköter sådant är på semester. Anmälan skickas till slut på dag fyra, en dag för sent, formulerad i all hast av en person utan erfarenhet av att skriva den typen av text. Förseningen i sig blir en egen brist utöver den ursprungliga incidenten.

Storleken på bolaget spelar mindre roll än man kan tro. Ett mindre SaaS-bolag med begränsade resurser kan lika gärna hamna i IMY:s granskning som ett stort etablerat bolag, särskilt om verksamheten hanterar känsliga uppgifter eller stora datamängder. Skillnaden ligger sällan i vem som blir granskad, utan i hur väl förberedd organisationen är den dag granskningen inleds, oavsett hur många anställda som finns att fördela ansvaret på.

Många bolag lägger stor vikt vid att texten på hemsidan ska vara juridiskt vattentät, men ägnar betydligt mindre tid åt att öva på det som händer efter att texten redan är godkänd. Den obalansen är begriplig, eftersom texten är konkret och avprickningsbar, medan en beredskapsövning kräver att flera personers tid avsätts för något som förhoppningsvis aldrig behöver användas på riktigt.

En integritetspolicy är en engångstext som kan skrivas rätt en gång och sedan underhållas med jämna mellanrum. En fungerande incidentplan är något annat. Den kräver att flera personer vet sin roll innan de behöver spela den, att det finns en mall för anmälan redo att fyllas i, och att ansvaret inte ligger på en enda person som kan vara sjuk eller bortrest den dag det verkligen gäller.

Skillnaden mellan de bolag som klarar sig lindrigt och de som får en stor sanktionsavgift ligger sällan i hur allvarlig den ursprungliga incidenten var. Den ligger i hur strukturerat och snabbt bolaget agerade efteråt.

Gör den här övningen den här veckan. Skriv ner namnet på personen som idag skulle fatta beslutet om en anmälan till IMY vid en incident imorgon. Skriv sedan ner namnet på en andra person som kan ta över om den första är otillgänglig. Saknas ett av namnen är det den luckan som bör täppas till före allt annat i GDPR-arbetet.