Selv med gode vaner går ting galt. Så gælder det om at reagere hurtigt. Reglerne står i artikel 33 og 34 i databeskyttelsesforordningen.
Hvad er et brud?
Et brud på persondatasikkerheden er et sikkerhedsbrud, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysninger (artikel 4, nr. 12). Det kan ramme tre ting:
- Fortroligheden: Uvedkommende får adgang. Eksempel: en e-mail med lønlister sendes til den forkerte modtager.
- Integriteten: Oplysninger ændres uden tilladelse eller ved en fejl.
- Tilgængeligheden: Oplysninger går tabt eller kan ikke bruges. Eksempel: ransomware krypterer filerne, eller en backup mangler.
Flere eksempler: en mistet bærbar computer eller mobil med oplysninger, et hackerangreb, papirer i en åben container, et regneark delt med for mange, en medarbejder, der kigger i systemet uden arbejdsmæssigt behov, og en fejlpost, hvor et brev ender hos en anden.
Dit ansvar: sig det med det samme
Som medarbejder skal du:
- Melde hændelsen straks til den kontaktperson eller det system, som virksomheden har udpeget. Vent ikke på, om det viser sig at være alvorligt.
- Fortælle, hvad du ved: hvad der skete, hvornår, og hvilke oplysninger og hvor mange personer det kan angå.
- Prøve at begrænse skaden, hvis du kan, f.eks. ved at bede en fejlagtig modtager om at slette mailen. Gør det dog kun efter aftale, og slet ikke selv beviser.
- Ikke skjule fejlen eller rette den i smug.
Det er virksomheden, ikke dig, der vurderer, om hændelsen skal anmeldes.
Virksomhedens pligter
- Anmeldelse til Datatilsynet (artikel 33, stk. 1): Når den dataansvarlige er blevet bekendt med et brud, skal den anmelde det til Datatilsynet uden unødigt ophold og om muligt inden for 72 timer. Undtagelsen er, hvis bruddet næppe medfører en risiko for personers rettigheder og frihedsrettigheder. Anmeldelsen sker digitalt via Datatilsynets blanket på virk.dk. Sker den senere end 72 timer, skal årsagen til forsinkelsen oplyses. Oplysninger kan gives i etaper.
- Underretning af de berørte (artikel 34): Hvis bruddet sandsynligvis medfører en høj risiko for personerne, skal de også have besked uden unødigt ophold på et klart og enkelt sprog.
- Databehandlere skal give den dataansvarlige besked uden unødigt ophold (artikel 33, stk. 2).
- Dokumentation (artikel 33, stk. 5): Virksomheden skal føre en oversigt over alle brud, også dem der ikke anmeldes, med fakta, følger og tiltag. Datatilsynet kan bede om at se den.
Fristen på 72 timer regnes fra det tidspunkt, hvor virksomheden bliver bekendt med bruddet, og den tæller også weekender. Det er et af de vigtigste argumenter for, at du melder hurtigt internt: Hver time, du venter, tager af virksomhedens tid.
Efter bruddet
Virksomheden bør lære af hændelsen: Hvad gik galt, og hvordan forhindrer vi det næste gang? En fejl, der meldes åbent, er en mulighed for at forbedre rutinerne.
Husk: 72 timer. Din hurtige melding er det første led i virksomhedens frist.