Din leverantör avgör när dina 72 timmar börjar

Hundra dagar mellan intrånget och beslutet

Den 30 juli 2026 började de första breven nå fram. I dem stod att namn, adress, födelsedatum, personnummer, körkort, offentliga identitetshandlingar, bankuppgifter, kortnummer och journaler kunde ha stulits. För en del av dessa människor omfattade de stulna kortuppgifterna även säkerhetskoden på baksidan. Avsändare var CareCloud, ett programvaruföretag inom vården vars system förvarar journaler åt läkarmottagningar.

Intrånget skedde i mars. Angripare befann sig i en av CareClouds sex miljöer för elektroniska patientjournaler, driftade hos Amazon Web Services, mellan den 10 och den 16 mars 2026. Miljön stördes den 16 mars och återställdes samma kväll. Bolaget offentliggjorde händelsen i slutet av månaden och påpekade samtidigt att utredningen av vad som faktiskt hade nåtts fortfarande pågick.

Den utredningen nådde sin slutsats den 24 juni, då CareCloud slog fast att personliga, finansiella och medicinska uppgifter hade komprometterats. Från den 16 mars till den 24 juni är det exakt hundra dagar. Fram till de första breven är det hundratrettiosex.

Fristen börjar inte där du antar

Amerikansk anmälningsplikt inom vården vilar på en sextiodagarsregel: underrätta de drabbade utan oskäligt dröjsmål och senast sextio kalenderdagar efter upptäckten av en överträdelse. Läst rakt av låter upptäckt som den dag man får veta att man blivit utsatt, här den 16 mars. Med den läsningen är breven mer än två månader försenade.

Den läsning som får förloppet att gå ihop är en annan. Den uppfattar upptäckt som den dag utredningen slår fast att skyddade uppgifter verkligen var berörda, det vill säga den 24 juni. Räknar man sextio dagar därifrån hamnar brev skickade den 30 juli med god marginal inom fristen. Det är den läsning som praxis brett stödjer sig på, och därför går förloppet att försvara i varje delstat där CareCloud anmälde, bland dem Kalifornien, Massachusetts, New Hampshire, Texas och Maine.

Vilken läsning som än är den riktiga, lägg märke till vad den andra gör. Den gör fristens början till ett utfall av utredningen, och ingen regel sätter något slutdatum för att avsluta en utredning. En skyldighet som börjar när du bestämmer att den börjar är en skyldighet vars tidpunkt du själv styr.

Europa skrev regeln åt andra hållet

Artikel 33 i dataskyddsförordningen kräver att den personuppgiftsansvarige anmäler en personuppgiftsincident till tillsynsmyndigheten utan onödigt dröjsmål och om möjligt inom 72 timmar från det att den fått kännedom om den. Kännedom är inte detsamma som en färdig forensisk rapport. Det är den punkt där det finns rimlig säkerhet för att en säkerhetsincident har komprometterat personuppgifter, och den punkten inträffar nästan alltid långt innan man vet vems uppgifter eller hur många.

Lagstiftaren förutsåg exakt det hål där CareCloud tillbringade hundra dagar. Artikel 33.4 anger att uppgifter som inte finns tillgängliga på en gång får lämnas i omgångar utan ytterligare onödigt dröjsmål. Konstruktionens antagande är att du anmäler medan du fortfarande famlar och kompletterar allteftersom du lär dig mer. Den amerikanska modellen låter dig vänta tills du vet; den europeiska ålägger dig att rapportera innan du vet och att fortsätta rapportera.

Följden för en verksamhetsägare är allt annat än abstrakt. Samma incident, på samma infrastruktur, ger en anmälan inom 72 timmar på ena sidan Atlanten och ett konstaterande efter hundra dagar på den andra. Om din leverantörs reflexer formats av den andra tidtabellen är det just de reflexerna som nu sitter mellan dig och din egen tidsfrist.

Bilden växte medan fristen sköts upp

Att skjuta upp fristens början hade vägt lättare om den tidiga redogörelsen hållit. Det gjorde den inte. CareClouds egen beskrivning i mars uppskattade den obehöriga åtkomsten till ungefär åtta timmar den 16 mars, begränsad till en enda miljö och utan andra affärssystem inblandade. Senare anmälningar till delstaterna beskriver angripare i den miljön från den 10 till den 16 mars, alltså sex dagar i stället för åtta timmar.

Den drabbade kretsen växte också. Anmälningarna anger minst 345 000 personer, därefter har mer än 350 000 rapporterats, och ytterligare inlämningar väntas flytta siffran igen. Bolaget har uppgett att en angripare påstod sig ha fört ut data ur dess databaser, att externa specialister säkrade miljön och bekräftade att ingen bestående obehörig åtkomst återstod, och att det inte finns några belägg för att de stulna uppgifterna missbrukats. Verkställande direktören Stephen Snyder avböjde att kommentera när journalister sökte honom.

Var och en av dessa revideringar gick åt samma håll, och var och en kom efter den första offentliga redogörelsen. En utredning som fortfarande vidgar sin egen uppskattning är inget skäl att låta de drabbade vänta. Det är skälet att berätta för dem tidigt och justera uppåt offentligt.

Den saknade siffran hör hemma i ditt avtal

Om en leverantör behandlar personuppgifter för din räkning är du personuppgiftsansvarig och de 72 timmarna är dina. Artikel 33.2 kräver att personuppgiftsbiträdet underrättar den ansvarige utan onödigt dröjsmål, och fäster ingen siffra vid den formuleringen. Artikel 28 kräver att ditt avtal binder biträdet att bistå dig med dina skyldigheter enligt artikel 33. Mellan de två bestämmelserna står ett hål format som en siffra, och fyller du det inte ärver du den tidtabell som din leverantörs egen tillsynsmyndighet tolererar.

Fyll det med två klausuler i stället för en. Den första sätter en fast frist, räknad i timmar, som löper från det ögonblick leverantören upptäcker en säkerhetsincident i en miljö som innehåller dina uppgifter, och inte från det ögonblick den fastställer vilka uppgifter som berördes, eftersom det är den andra händelsen som saknar tidsgräns. Den andra ger dig rätt till fakta allteftersom de framkommer, inklusive berörda miljöer, åtkomstfönster och riskutsatta kategorier, i stället för en enda färdig rapport på slutet.

Pröva den sedan som du skulle pröva en säkerhetskopia. Fråga skriftligen dina tre största biträden när de senast hade en säkerhetsincident i en miljö med dina uppgifter, vilket datum de upptäckte den och vilket datum de underrättade en kund. En leverantör som inte kan skilja de två datumen åt på förfrågan skiljer dem inte åt under press heller. I Sverige hamnar anmälan hos Integritetsskyddsmyndigheten, och den myndigheten frågar dig, inte din leverantör, varför den kom sent.

Läs vidare: Ett cookieklagomål från 2021 är tillbaka  |  Fyra amerikanska moln står nu under brittisk tillsyn