L'Autorité suédoise de protection de la vie privée (Integritetsskyddsmyndigheten) a publié des recommandations pour les responsables de traitement suite à la publication de données personnelles sur le Darknet, consécutive à une cyberattaque contre la société Miljödata.

L'autorité déconseille formellement aux responsables de traitement de rechercher ou de télécharger les données publiées, ce qui constituerait un nouveau traitement et pourrait propager des logiciels malveillants. Elle recommande de se tourner vers le sous-traitant pour identifier les données concernées. Cet événement impose de réévaluer le risque pour les personnes physiques. S'il s'avère élevé, une notification aux personnes concernées est obligatoire, décrivant la nature de l'incident, les conséquences probables et les mesures prises, conformément à l'article 34 du RGPD. Une communication publique reste une exception en cas d'effort disproportionné pour une information individuelle.

La responsabilité principale incombe au responsable de traitement, qui doit s'assurer de n'employer que des sous-traitants offrant des garanties suffisantes et de mettre en œuvre des mesures de sécurité adaptées au risque. Il est précisé qu'un incident de sécurité n'implique pas nécessairement une défaillance de la part du responsable de traitement ou du sous-traitant. L'autorité suédoise indique qu'elle collecte actuellement des informations sur cet incident et ne peut se prononcer sur d'éventuels manquements. L'accent est mis sur l'accompagnement des acteurs concernés et sur la nécessité de tirer des leçons de l'événement, notamment en matière de minimisation et de durée de conservation des données.