Et avvik (i loven kalt «brudd på personopplysningssikkerheten») er et brudd som fører til utilsiktet eller ulovlig tilintetgjøring, tap, endring, ulovlig utlevering av eller tilgang til personopplysninger (artikkel 4 nr. 12). Både uhell og angrep teller.
Eksempler
- en e-post med lønnslister sendt til feil mottaker
- en bærbar pc eller telefon med kundedata er mistet eller stjålet
- en phishing-e-post har gitt noen tilgang til en e-postkonto
- en ansatt har sett i journaler eller kundekort uten tjenstlig behov
- en database er feilkonfigurert og åpen på internett
- løsepengevirus har kryptert filer med personopplysninger
- papirmapper er kastet i vanlig søppel
- en backup er slettet uten at noen har en kopi
Tre typer brudd:
- konfidensialitet: noen uvedkommende får tilgang
- integritet: opplysninger er endret uten tillatelse
- tilgjengelighet: opplysninger er borte eller utilgjengelige
Din plikt: si fra umiddelbart
Som ansatt skal du melde fra internt så snart du oppdager eller mistenker et avvik. Bruk virksomhetens rutine, for eksempel en avviksmelding, IT-support eller personvernombudet. Du skal ikke vurdere selv om det er «stort nok». Det avgjør de som har ansvaret. Ikke slett bevis, ikke prøv å skjule feilen og ikke forsøk å rydde opp alene.
Skriv ned det du vet: hva som skjedde, når, hvilke opplysninger og hvem som kan være berørt.
Virksomhetens meldeplikt til Datatilsynet
Etter artikkel 33 skal den behandlingsansvarlige melde bruddet til Datatilsynet uten ugrunnet opphold og om mulig senest 72 timer etter at virksomheten ble kjent med det. Det gjelder ikke hvis bruddet neppe vil medføre risiko for personers rettigheter og friheter. Skjer meldingen senere enn 72 timer, må forsinkelsen begrunnes.
Fristen regnes i timer, og den løper også i helger og på helligdager. Derfor teller hver time du bruker før du melder fra.
Meldingen skal blant annet beskrive:
- arten av bruddet, og omtrent hvor mange personer og opplysninger som er berørt
- kontaktpunkt for flere opplysninger
- sannsynlige følger
- tiltak som er iverksatt eller foreslått
Opplysninger kan gis i etapper hvis alt ikke er klart med en gang.
Databehandlere
En databehandler som oppdager et brudd, skal varsle den behandlingsansvarlige uten ugrunnet opphold (artikkel 33 nr. 2). Fristen på 72 timer gjelder den behandlingsansvarlige.
Melding til de berørte
Er det sannsynlig at bruddet medfører høy risiko for personene, for eksempel økonomisk svindel, identitetstyveri eller avsløring av helseopplysninger, skal virksomheten også varsle dem direkte og på et klart språk (artikkel 34). Det kan unntas hvis opplysningene var forsvarlig kryptert, eller risikoen er avverget.
Alle avvik skal dokumenteres
Selv de som ikke meldes til Datatilsynet, skal dokumenteres internt (artikkel 33 nr. 5): fakta, virkninger og tiltak. Datatilsynet kan be om å se dokumentasjonen.
Hva skjer etterpå?
Virksomheten vurderer risiko, stenger hullet, melder om nødvendig og forbedrer rutinene. Målet er læring, ikke å finne syndebukker. Ansatte som melder raskt og ærlig, gjør jobben sin.