Et brud på persondatasikkerheden (på norsk »avvik«) er et sikkerhedsbrud, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysninger (artikel 4, nr. 12). Både uheld og angreb tæller.
Eksempler
- en e-mail med lønlister sendt til en forkert modtager
- en bærbar pc eller telefon med kundedata er mistet eller stjålet
- en phishing-e-mail har givet nogen adgang til en e-mailkonto
- en medarbejder har kigget i journaler eller kundekort uden tjenstligt behov
- en database er fejlkonfigureret og åben på internettet
- ransomware har krypteret filer med personoplysninger
- papirmapper er smidt i almindeligt affald
- en backup er slettet, uden at nogen har en kopi
Tre typer brud:
- fortrolighed: nogen uvedkommende får adgang
- integritet: oplysninger er ændret uden tilladelse
- tilgængelighed: oplysninger er væk eller utilgængelige
Din pligt: sig til med det samme
Som medarbejder skal du melde internt, så snart du opdager eller har mistanke om et brud. Brug virksomhedens rutine, for eksempel en hændelsesrapport, IT-support eller databeskyttelsesrådgiveren. Du skal ikke selv vurdere, om det er »stort nok«. Det afgør de, der har ansvaret. Slet ikke beviser, forsøg ikke at skjule fejlen, og forsøg ikke at rydde op alene.
Skriv ned, hvad du ved: hvad der skete, hvornår, hvilke oplysninger og hvem der kan være berørt.
Virksomhedens anmeldelsespligt til Datatilsynet
Efter artikel 33 skal den dataansvarlige anmelde bruddet til Datatilsynet uden unødig forsinkelse og om muligt senest 72 timer efter at have fået kendskab til det. Det gælder ikke, hvis bruddet næppe vil medføre en risiko for personers rettigheder og frihedsrettigheder. Sker anmeldelsen senere end 72 timer, skal forsinkelsen begrundes.
Fristen regnes i timer, og den løber også i weekender og på helligdage. Derfor tæller hver time, du bruger, før du melder fra.
Anmeldelsen skal blandt andet beskrive:
- bruddets karakter og omtrent hvor mange personer og oplysninger der er berørt
- kontaktpunkt for flere oplysninger
- sandsynlige følger
- foranstaltninger, der er truffet eller foreslået
Oplysninger kan gives i etaper, hvis alt ikke er klart med det samme.
Databehandlere
En databehandler, der opdager et brud, skal underrette den dataansvarlige uden unødig forsinkelse (artikel 33, stk. 2). Fristen på 72 timer gælder den dataansvarlige.
Underretning af de berørte
Er det sandsynligt, at bruddet medfører høj risiko for personerne, for eksempel økonomisk svindel, identitetstyveri eller afsløring af helbredsoplysninger, skal virksomheden også underrette dem direkte og i et klart sprog (artikel 34). Det kan undlades, hvis oplysningerne var forsvarligt krypteret, eller risikoen er afværget.
Alle brud skal dokumenteres
Selv dem, der ikke anmeldes til Datatilsynet, skal dokumenteres internt (artikel 33, stk. 5): fakta, virkninger og foranstaltninger. Datatilsynet kan bede om at se dokumentationen.
Hvad sker der bagefter?
Virksomheden vurderer risikoen, lukker hullet, anmelder om nødvendigt og forbedrer rutinerne. Målet er læring, ikke at finde syndebukke. Medarbejdere, der melder hurtigt og ærligt, gør deres arbejde.