Det var länsstyrelsen i Jämtlands län som upptäckte att någon ändrat adressuppgifter på norska lodjursjägare. Ändringarna hade gjorts i den sekretessbelagda delen av databasen Rovbase.

– Länsstyrelsen måste se till att vem som helst inte kan läsa sekretessbelagda handlingar. Och enligt Dataskyddsförordningen är vi skyldiga att anmäla varje personuppgiftsincident till länsstyrelsernas gemensamma dataskyddsombud, Nod, förklarar Jon Paulsson.

”Länsstyrelsen måste se till att vem som helt inte kan läsa sekretessbelagda handlingar.”
Jon Paulsson

Men det är bara i undantagsfall som varningarna sedan går vidare till en anmälan till Dataskyddsinspektionen.

– Länsstyrelsen känner inte till omfattningen av den här personens slagningar. Men det är givetvis inte lyckat om sekretessbelagda personuppgifter hamnar i fel händer. Det kan även skada medborgarnas förtroende gentemot myndigheten, säger Jon Paulsson.

Gemensam organisation

Eftersom landets 21 länsstyrelser har likartade uppdrag har myndigheterna valt att ha en gemensam organisation, kallad Nod, för dataskydd och dataskyddsförordningen.
Organisationen sjösattes den 25 maj 2018 och sedan dess har Nod skickat in drygt 20 anmälningar till Datainspektionen om så kallade personuppgiftsincidenter.

– Men det är ovanlig med anmälningar som rör nationella databassystem, säger Mikael Norberg, ett av två dataskyddsombud vid Nod.

Näst högsta graden

Att incidenten anses vara allvarlig med hänsyn till de registrerades integritet ser man i myndighetens anmälan till Dataskyddsinspektionen. Där har länsstyrelsen kryssat i ”betydande”, alltså den nästa högsta graden på en fyrgradig skala.

– Bedömningen är att det inte är osannolikt att människor vars personuppgifter finns i Rovbase kan ha utsatts för stor risk. Då är vi enligt Dataskyddsförordningen skyldiga att anmäla till Datainspektionen, säger Mikael Norberg.

”Bedömningen är att det inte är osannolikt att människor vars personuppgifter finns i Rovbase kan ha utsatts för stor risk.”
Mikael Norberg

De tusentals personer som finns registrerade i Rovbase har än så länge inte underrättats om personuppgiftsincidenten där okrypterade personuppgifter kan ha hamnat i orätta händer.

– Normalfallet är att den som drabbas av en personuppgiftsincident ska underrättas om detta. Men det finns även undantag om det handlar om väldigt många människor, vilket det gör i det här fallet, säger Mikael Norberg.