I dataskyddsförordningen, GDPR, som trädde i kraft den 25 maj 2018 finns en skyldighet för företag, myndigheter och andra organisationer att anmäla personuppgiftsincidenter till Datainspektionen. En motsvarande skyldighet finns i brottsdatalagen för brottsbekämpande myndigheter.

Datainspektionen publicerar nu en rapport över de personuppgiftsincidenter som anmälts till myndigheten under perioden januari–september 2019. Rapporten visar att antalet anmälda personuppgiftsincidenter ökat under de första nio månaderna 2019. Totalt fick Datainspektionen under perioden in 3 410 incidentanmälningar, vilket motsvarar närmare 90 anmälda incidenter per vecka. Under 2018 anmäldes i genomsnitt 70 incidenter per vecka. Antalet anmälda incidenter har därmed ökat med närmare 30 procent under 2019 jämfört med 2018. Ökningen återfinns främst i offentlig sektor.

– Vår bedömning är att ökningen beror på en ökad medvetenhet och kunskap om anmälningsskyldigheten. Intrycket är att rutinerna för att anmäla incidenter nu blivit mer etablerade, i synnerhet inom offentlig sektor och större företag. Samtidigt bedömer vi att det fortfarande finns ett stort mörkertal i form av anmälningspliktiga incidenter som inte anmäls, säger Datainspektionens stabschef Karin Lönnheden.

Sammantaget står verksamheter inom offentlig sektor eller med offentligt uppdrag för nästan två tredjedelar, 64 procent, av alla incidentanmälningar som hittills inkommit under 2019. Under 2018 var motsvarande andel 46 procent.

– Att en organisation eller en bransch anmäler många incidenter behöver inte vara en indikation på bristande säkerhet. Tvärtom kan det tyda på att verksamheten har bra rutiner på plats för att upptäcka och rapportera personuppgiftsincidenter.