Dataintrång och personuppgiftsincident — måste företaget anmäla?
När uppgifter läcker, försvinner eller hamnar hos fel person kallas det en personuppgiftsincident. Då gäller särskilda regler — både om anmälan till myndigheten och om information till de drabbade.
Senast uppdaterad 2026-08-15. Allmän information, inte juridisk rådgivning.
Vad räknas som en incident?
- Dataintrång eller hackerattack där uppgifter kommer ut.
- Utskick där mottagarnas adresser syns för alla.
- En borttappad telefon eller dator med kunduppgifter.
- Uppgifter som raderats av misstag utan säkerhetskopia.
- Fel person får tillgång till ett konto eller ett ärende.
Företagets skyldigheter
Den som är ansvarig för uppgifterna ska anmäla incidenten till IMY utan onödigt dröjsmål och som huvudregel inom 72 timmar, om det inte är osannolikt att incidenten medför risk för de drabbade.
Är risken hög ska de drabbade personerna dessutom informeras direkt, i klarspråk och utan onödigt dröjsmål. Alla incidenter ska dokumenteras internt, även de som inte anmäls.
Vad du kan göra som drabbad
- Spara informationen du fått om incidenten, med datum.
- Byt lösenord och aktivera tvåstegsverifiering där det går.
- Var uppmärksam på bedrägeriförsök som utnyttjar de läckta uppgifterna.
- Begär ut vilka uppgifter om dig som omfattades.
- Anmäl till IMY om företaget tigit eller lämnat undermålig information.
Skadestånd är en separat fråga
Har du lidit skada av en incident kan du begära ersättning av företaget. Det är inte något IMY beslutar om — den frågan drivs mot företaget direkt eller i allmän domstol.
Vanliga frågor
- Inom hur lång tid måste en personuppgiftsincident anmälas?
- Som huvudregel inom 72 timmar från att företaget fick kännedom om incidenten, om den kan innebära en risk för de drabbade.
- Måste jag som kund få veta att uppgifter läckt?
- Ja, om incidenten sannolikt medför hög risk för dig ska du informeras direkt och begripligt.
- Kan jag anmäla att ett företag inte berättat om en läcka?
- Ja, det kan du anmäla till IMY. Spara det du vet om incidenten och den information du fått eller inte fått.
Granska policyn du har framför dig
Ladda upp policyn som PDF eller länk och få en gratis sammanfattning. I den fullständiga rapporten ingår åtgärden som förbereder en saklig anmälan till IMY.