Vad kostar en personuppgiftsincident?
När en attack exfiltrerar personuppgifter är det inte längre enbart en IT-händelse. Det är en regulatorisk händelse med anmälningsplikt, tillsyn och böter under GDPR. Räkna på er exponering nedan.
av total global årsomsättning kan dömas ut för allvarliga brott.
Den högre summan av 4 % och 20 M EUR är taket.
Räkna på er exponering.
Ange omsättning, antal drabbade och omständigheter. Resultatet är en indikativ uppskattning baserad på Art. 83 GDPR och praxis från IMY, CNIL och Ireland DPC.
Företagets storlek
Sätter det lagliga taket
- 1
Formel 1 - Statutärt takHögre av 4 % av 250 M eller 20 M EUR230 000 000 kr
- 2
Formel 2 - BasbeloppOmsättning × 0,3 % × skala för 25 000 drabbade3 298 455 kr
- 3
Formel 3 - DatakategoriVanliga personuppgifter · ×1.03 298 455 kr
- 4
Formel 4 - Försvårande och förmildrande+35 % · ±0 %4 452 914 kr
- 5
Sannolikt utfallUnder statutärt tak4 452 914 kr
Det här har faktiskt dömts ut.
Två kategorier av sanktioner.
Av total global årsomsättning. Den högre summan gäller.
- - Brister i säkerhet (Art. 32)
- - Bristfällig anmälan av incident (Art. 33-34)
- - Saknad konsekvensbedömning (Art. 35)
- - Saknad eller felaktig DPO (Art. 37-39)
Av total global årsomsättning. Den högre summan gäller.
- - Olaglig behandling (Art. 5-7, 9)
- - Kränkning av registrerades rättigheter (Art. 12-22)
- - Olagliga överföringar till tredje land (Art. 44-49)
- - Brott mot tillsynsbeslut
Så här räknar kalkylatorn.
Modellen är en transparent uppskattning - inte en juridisk prognos. Varje siffra är en kalibrering mot praxis från IMY, CNIL, Ireland DPC och CNPD, inte ett officiellt riktvärde.
Taket är det högre av 4 % av total global årsomsättning eller 20 M EUR (Art. 83(5) GDPR)[1]. Vi använder växelkursen 11.5 kr/EUR för att jämföra de två i SEK[5].
cap = max(omsättning × 0,04, 20 000 000 × 11.5)Basen utgår från 0,3 % av omsättningen, multiplicerat med en logaritmisk skala på antal drabbade[2]. 100 drabbade ger ~0,3×, 10 000 ger ~1×, 1 miljon ger ~1,5× av basfaktorn. Den totala basfaktorn skalas med 4 så typiska realistiska utfall hamnar i samma härad som faktiska tillsynsbeslut.
skala = max(0,3, log10(max(100, drabbade)) / 4)
bas = omsättning × 0,003 × skala × 4Känsliga uppgifter (Art. 9) och barns uppgifter väger tyngre i tillsynens bedömning[3]. Multiplikatorerna är kalibrerade mot publicerade beslut.
- Vanliga personuppgifter×1.0
- Känsliga uppgifter (Art. 9)×1.7
- Barns uppgifter×1.4
Försvårande omständigheter adderar till basen. Förmildrande omständigheter drar av[4]. Förmildrande kan aldrig sänka utfallet under 40 % av basen.
agg = 1 + Σ(försvårande %)
mit = max(0,4, 1 - Σ(förmildrande %))
utfall = min(cap, bas × agg × mit)- Sannolikt: resultatet av formeln ovan, klampat till statutärt tak.
- Lägsta troliga: 55 % av sannolikt utfall - speglar att tillsyn ofta landar lägre vid första överträdelsen.
- Värsta fall: det statutära taket enligt Art. 83(5).
- - Statisk växelkurs 11.5 kr/EUR, ingen daglig uppdatering.
- - Vi använder högre kategorin (Art. 83(5)) som tak, eftersom exfiltrering av personuppgifter i praktiken hanteras där.
- - Modellen tar inte hänsyn till koncernstruktur, sektor (vård, finans), eller om incidenten är upprepad.
- - Skadestånd enligt Art. 82, civilrättsliga krav och indirekta kostnader ingår inte.
- - Svenska sanktioner från IMY har historiskt legat under EU-snittet - utfallet kan vara lägre i Sverige.
- - Resultatet är indikativt och ersätter inte juridisk rådgivning.
Klicka på ett antagande för att se exakta hänvisningar till GDPR, EDPB och IMY. Fotnoterna [1]-[7] i texten ovan länkar hit.
Undvik boten: en incidenthantering som tillsynsmyndigheten godkänner
Dokumenterad inneslutning, notifieringstider och bevisspår. Välj utgåvan som matchar din jurisdiktion.
Sänk risken innan IMY ringer.
Acronis-stacken stoppar exfiltrering i tidigt skede och Skyddad arbetsplats ger er den dokumentation tillsynen frågar efter. Boka en genomgång så går vi igenom er nuläge.