Selv med gode vaner går ting galt. Da gjelder det å reagere raskt. Reglene står i artikkel 33 og 34 i databeskyttelsesforordningen.
Hva er et brudd?
Et brudd på personopplysningssikkerheten er et sikkerhetsbrudd som fører til utilsiktet eller ulovlig tilintetgjøring, tap, endring, uautorisert utlevering av eller tilgang til personopplysninger (artikkel 4 nr. 12). Det kan ramme tre ting:
- Konfidensialiteten: Uvedkommende får tilgang. Eksempel: en e-post med lønnslister sendes til feil mottaker.
- Integriteten: Opplysninger endres uten tillatelse eller ved en feil.
- Tilgjengeligheten: Opplysninger går tapt eller kan ikke brukes. Eksempel: løsepengevirus krypterer filene, eller en sikkerhetskopi mangler.
Flere eksempler: en mistet bærbar datamaskin eller mobil med opplysninger, et hackerangrep, papirer i en åpen container, et regneark delt med for mange, en ansatt som ser i systemet uten arbeidsmessig behov, og en feilsendt post der et brev havner hos en annen.
Ditt ansvar: si fra med en gang
Som ansatt skal du:
- Melde hendelsen straks til kontaktpersonen eller systemet virksomheten har utpekt. Ikke vent og se om det viser seg å være alvorlig.
- Fortelle hva du vet: hva som skjedde, når, og hvilke opplysninger og hvor mange personer det kan gjelde.
- Prøve å begrense skaden hvis du kan, for eksempel ved å be en feil mottaker om å slette e-posten. Gjør det likevel bare etter avtale, og slett ikke bevis selv.
- Ikke skjule feilen eller rette den i det stille.
Det er virksomheten, ikke du, som vurderer om hendelsen skal meldes.
Virksomhetens plikter
- Melding til Datatilsynet (artikkel 33 nr. 1): Når den behandlingsansvarlige har fått kjennskap til et brudd, skal den melde det til Datatilsynet uten unødig opphold og om mulig innen 72 timer. Unntaket er hvis bruddet neppe fører til noen risiko for personers rettigheter og friheter. Meldingen sendes digitalt via Datatilsynets skjema på virk.dk. Skjer den senere enn 72 timer, må årsaken til forsinkelsen oppgis. Opplysninger kan gis i etapper.
- Underretning av de berørte (artikkel 34): Hvis bruddet sannsynligvis fører til en høy risiko for personene, skal de også få beskjed uten unødig opphold på et klart og enkelt språk.
- Databehandlere skal gi den behandlingsansvarlige beskjed uten unødig opphold (artikkel 33 nr. 2).
- Dokumentasjon (artikkel 33 nr. 5): Virksomheten skal føre en oversikt over alle brudd, også de som ikke meldes, med fakta, følger og tiltak. Datatilsynet kan be om å få se den.
Fristen på 72 timer regnes fra det tidspunktet virksomheten får kjennskap til bruddet, og den teller også helger. Det er et av de viktigste argumentene for at du melder raskt internt: Hver time du venter, tar av virksomhetens tid.
Etter bruddet
Virksomheten bør lære av hendelsen: Hva gikk galt, og hvordan hindrer vi det neste gang? En feil som blir meldt åpent, er en mulighet til å forbedre rutinene.
Husk: 72 timer. Din raske melding er det første leddet i virksomhetens frist.