Statens servicecenter får 200.000 kr i sanktionsavgift

Statens servicecenter får böta 200.000 kr för att ha dröjt över 5 månader med att rapportera en personuppgiftsincident till Datainspektionen. Personuppgiftsincidenten uppkom i ett system för lönehantering, vilket innebar att obehöriga kunde ta del av information gällande servicecentrets personal och anställda hos myndigheter som anlitade servicecentret.

Datainspektionen konstaterar i sitt beslut att Statens servicecenter, som bl.a. levererar administrativa tjänster till andra myndigheter, därmed överträtt artikel 33 i GDPR. 

Personuppgiftsincidenten berörde ca 282.000 registrerade, varav 1800 var anställda hos Statens servicecenter. De personuppgifter som berördes rör namn, kön, personnummer, uppgift om förekomst av skyddad adressuppgift, ekonomisk och finansiell information, anställningstid m.m. 

Av artikel 33.1 i dataskyddsförordningen framgår att den personuppgiftsansvarige vid en personuppgiftsincident ska anmäla denna till Datainspektionen inom 72 timmar efter att ha fått vetskap om den. Om det är osannolikt att personuppgiftsincidenten medför en risk för fysiska personers rättigheter och friheter behöver den inte anmälas.

Läs mer om digital trygghets tjänster kring kamerabevakning här. Vi erbjuder utbildning, rådgivning och framtagande av nödvändiga bedömningar och dokument.