Efter Skolverkets miss – lärarna kan få skadestånd

Det var i fredags som Skolvärlden avslöjade att Skolverket spridit uppgifter om lärare med skyddad identitet.

Ett 30-tal personer med skyddad identitet drabbades när ett register uppdaterades gentemot Skatteverkets uppgifter den 24 april. Personuppgifterna fanns åtkomliga till den 20 augusti när en handläggare på Skolverket upptäckte misstaget.

– Enligt GDPR är man skyldig att anmäla vissa typer av personuppgiftsincidenter till oss inom 72 timmar efter det att personuppgiftsincidenten har upptäckts, säger Salli Fanaei, jurist på Integritetsskyddsmyndigheten, IMY, som tidigare hette Datainspektionen.

IMY tar emot 90 anmälningar om så kallade personuppgiftsincidenter varje vecka.

– Skolverket har lämnat in sin anmälan till oss och ärendet är under beredning. IMY har ännu inte fattat något beslut om tillsyn ska inledas eller inte med anledning av den anmälan som inkommit, säger Salli Fanaei.

Vad kan en tillsyn leda till?

– Skulle vi komma fram till att den ansvariga brustit i sin hantering av personuppgifter kan det leda till att vi fattar beslut om att utfärda en administrativ sanktionsavgift.

Det finns ingen prislapp för hur hög en sådan avgift kan bli. Maxbeloppet för en myndighet är dock satt till tio miljoner kronor om det handlar om en allvarlig överträdelse.

Kan de drabbade lärarna vända sig till er?

– Vår tillsyn riktar sig till verksamhetsutövare och IMY granskar om personuppgiftsbehandlingen som omfattas av tillsynen uppfyller kraven i GDPR. Man kan alltid vända sig till oss med ett klagomål om man tycker att någon har behandlat ens personuppgifter i strid med GDPR. Sedan kan de drabbade begära skadestånd, men det är en separat process som de får driva på egen hand och inget vi kan hjälpa till med, säger Salli Fanaei.