Innan jul köpte Josefine, som egentligen heter något annat, en dator på Elgiganten i Västervik.
– Jag kan ingenting om datorer. De erbjöd sig att installera allt och skapade en ny mejladress åt mig, berättar Josefine.
En tid efter jul öppnade hon datorn och upptäckte att hennes dokument plötsligt hade flyttats till papperskorgen. I bildmappen fanns det bilder som inte var hennes, och bland dokumenten fanns uppsatser som tycktes tillhöra någon som studerade till läkare.
– Det var jätteobehagligt. Jag fick panik, jag visste inte vad som hänt, säger Josefine.
Hon lyckades få kontakt med två av personerna vars dokument dök upp i hennes dator. Det visade sig att de fått upp varandras filer, i varandras datorer. Datorer som de alla hade köpt på Elgiganten i Västervik. Båda personerna som Josefine pratat med bekräftar för oss vad som hänt.
Anton Kornehed, butiksägare på Elgiganten i Västervik, menar att man ser mycket allvarligt på händelsen.
– Det som har skett är att begränsad data har delats mellan ett fåtal datorer. Datorerna har konfigurerats på fel sätt trots att vi har tydliga rutiner på hur det ska genomföras. Vid det här enskilda fallet är det den mänskliga faktorn som påverkat utfallet, rutinerna har frångåtts vilket lett till den felaktiga konfigureringen, skriver Kornehed i ett mejl.
Han berättar också att man vidtagit åtgärder för att förhindra att felet begås igen.
– Vi kunde snabbt åtgärda problemet och har efter det gjort interna kartläggningar för att säkra att samma misstag inte upprepas. Vi omfattas av och följer lagstadgade krav i Dataskyddsförordningen, GDPR, när det gäller vår hantering och förvaltning av kunddata och annan känslig information, skriver han.
Per Lövgren, pressansvarig på Integritetsskyddsmyndigheten (IMY), förklarar att det är uppgifternas art som avgör hur pass allvarligt det inträffade är.
– Ju känsligare personuppgifter, desto allvarligare är intrånget, skriver han i ett mejl.
Vad kan det här få för konsekvenser för företaget?
– Vi kan inte kommentera specifikt den här händelsen. Om företaget gör en bedömning att det skett en så kallad personuppgiftsincident som kan leda till risker för personerna i fråga, så ska företaget göra en anmälan om personuppgiftsincident till IMY. Men, det är företaget självt som måste göra den bedömningen, svarar Lövgren.