Et brud på persondatasikkerheden (artikel 4.12) er en sikkerhedshændelse, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller uautoriseret adgang til personoplysninger. Det kan ske for alle.
Eksempler
- En e-mail med kundeoplysninger sendes til den forkerte person.
- En bærbar computer, telefon eller USB-stik med personoplysninger forsvinder.
- Nogen snyder en ansat til at udlevere en adgangskode, og en uvedkommende logger ind.
- En ansat kigger i journaler eller registre uden at det hører til arbejdet.
- En fil med personoplysninger lægges ud åbent på nettet.
- Et ransomware-angreb krypterer data, så de ikke kan tilgås.
- Papirer med personoplysninger smides i det almindelige affald.
At oplysninger går tabt eller bliver utilgængelige, er også et brud, ikke kun når nogen læser dem uden tilladelse.
Din første opgave: rapportér med det samme
Du behøver ikke afgøre, hvor alvorligt det er. Din opgave er hurtigt at fortælle det til lederen, IT-sikkerhed eller den funktion, arbejdsgiveren har udpeget. Hver time tæller, fordi arbejdsgiveren har en kort frist.
- Rapportér også, når du tror, at du selv har lavet en fejl. Det er bedre at rapportere unødigt.
- Slet ikke beviser. Forsøg ikke at "rydde op" i det skjulte.
- Skriv ned, hvad der er sket, hvornår, og hvilke oplysninger der er berørt.
- Følg de instrukser, du får. Bed ikke modtagere af en forkert sendt besked om at sprede den videre.
Arbejdsgiverens forpligtelser
Anmeldelse til IMY
Efter artikel 33 skal den dataansvarlige anmelde et brud til IMY uden unødig forsinkelse og om muligt inden for 72 timer efter at være blevet bekendt med det. Der er en undtagelse, hvis det er usandsynligt, at bruddet indebærer en risiko for fysiske personers rettigheder og frihedsrettigheder. Anmeldelsen sker på imy.se. Sker anmeldelsen senere end 72 timer, skal årsagerne til forsinkelsen oplyses.
De 72 timer regnes i løbende timer, altså også i weekender og på helligdage. Fristen begynder, når organisationen blev bekendt med bruddet, og nogle gange er det, når en ansat har bemærket det. Derfor er din hurtige rapport afgørende.
Anmeldelsen skal blandt andet beskrive, hvad der er sket, hvilke oplysninger og hvor mange personer det vedrører, sandsynlige konsekvenser og hvilke foranstaltninger organisationen har truffet. Hvis ikke alt er kendt endnu, kan oplysningerne gives i etaper.
Underretning af de registrerede
Hvis bruddet sandsynligvis indebærer en høj risiko for fysiske personers rettigheder og frihedsrettigheder, skal de berørte personer også underrettes uden unødig forsinkelse (artikel 34). Det gælder for eksempel, når kontooplysninger, helbredsoplysninger eller personnummer er kommet i forkerte hænder.
Dokumentation
Alle brud skal dokumenteres, også dem, der ikke anmeldes til IMY (artikel 33.5). IMY kan bede om at se dokumentationen.
Databehandlere
En databehandler skal underrette den dataansvarlige uden unødig forsinkelse, efter at den er blevet bekendt med et brud (artikel 33.2). Derefter begynder den ansvarliges 72 timer.
Efter bruddet
Organisationen lærer af det, der skete: hvordan kunne det ske, og hvad skal ændres? Målet er ikke at udpege en skyldig, men at forhindre, at det sker igen.