Datainspektionen har utfärdat en sanktionsavgift på 200 000 kronor mot Statens servicecenter.
Detta efter att myndigheten dröjt för länge med att underrätta såväl Datainspektionen som berörda myndigheter om en personuppgiftsincident.
Det var efter att ha mottagit ett flertal anmälningar rörande en personuppgiftsincident som Datainspektionen beslutade att inleda en granskning av Statens servicecenter.
Vid granskningen upptäcktes en Felaktighet som innebar att obehöriga kunde komma åt dels personuppgifter från myndigheter som anlitar servicecentret för sin lönehantering, dels personuppgifter som rörde servicecentrets egen personal.
”Otillräcklig dokumentation”
Datainspektionen slår nu fast att myndigheten dröjt alldeles för länge, närmare bestämt fem respektive tre månader, med att underrätta andra berörda myndigheter samt sin egen incidentanmälan.
– Vår granskning visar att Statens servicecenter dröjt för länge med att underrätta de berörda myndigheterna samt att för egen del göra en incidentanmälan till Datainspektionen. Dessutom var dokumentationen av incidenten som drabbade den egna personalen otillräcklig, säger Elin Hallström som lett Datainspektionens granskning.
– När en incident av det här slaget upptäcks är det viktigt att snarast informera de personuppgiftsansvariga, så att de i sin tur kan göra en anmälan till Datainspektionen och vidta eventuella åtgärder för att minimera riskerna med incidenten. Här har servicecentret brustit.
Tvingas betala 200 000 kronor i sanktionsavgift
I sitt beslut förelägger Datainspektionen nu Statens servicecenter att ta fram rutiner för dokumentation av personuppgiftsincidenter och se till att rutinerna efterlevs.
Samtidigt utfärdar Datainspektionen även en sanktionsavgift på sammanlagt 200 000 kronor mot servicecentret.
