Et brudd på personopplysningssikkerheten (artikkel 4.12) er en sikkerhetshendelse som fører til utilsiktet eller ulovlig ødeleggelse, tap, endring, uautorisert utlevering av eller uautorisert tilgang til personopplysninger. Det kan skje med hvem som helst.
Eksempler
- En e-post med kundeopplysninger sendes til feil person.
- En bærbar datamaskin, telefon eller USB-pinne med personopplysninger forsvinner.
- Noen lurer en ansatt til å oppgi et passord, og en uvedkommende logger inn.
- En ansatt ser i journaler eller registre uten at det hører til jobben.
- En fil med personopplysninger legges ut åpent på nettet.
- Et løsepengevirus-angrep krypterer data slik at de ikke kan nås.
- Papirer med personopplysninger kastes i vanlig søppel.
At opplysninger går tapt eller blir utilgjengelige, er også et brudd, ikke bare når noen leser dem uten tillatelse.
Din første oppgave: rapporter med en gang
Du trenger ikke å avgjøre hvor alvorlig det er. Oppgaven din er å raskt si fra til lederen, IT-sikkerhet eller den funksjonen arbeidsgiveren har utpekt. Hver time teller, fordi arbeidsgiveren har en kort frist.
- Rapporter også når du tror at du selv har gjort en feil. Det er bedre å rapportere unødvendig.
- Ikke slett bevis. Ikke prøv å «rydde opp» i det skjulte.
- Skriv ned hva som har skjedd, når og hvilke opplysninger som berøres.
- Følg instruksjonene du får. Ikke be mottakere av en feilsendt melding om å spre den videre.
Arbeidsgiverens plikter
Varsling til IMY
Etter artikkel 33 skal den behandlingsansvarlige varsle et brudd til IMY uten ugrunnet opphold og om mulig innen 72 timer etter at den ble kjent med det. Unntak gjelder hvis det er lite sannsynlig at bruddet innebærer en risiko for folks rettigheter og friheter. Varslingen skjer på imy.se. Hvis varslingen skjer senere enn 72 timer, skal årsakene til forsinkelsen oppgis.
De 72 timene regnes i sammenhengende timer, altså også i helger og på helligdager. Fristen begynner når organisasjonen ble kjent med bruddet, og noen ganger er det når en ansatt la merke til det. Derfor er din raske rapport avgjørende.
Varslingen skal blant annet beskrive hva som har skjedd, hvilke opplysninger og hvor mange personer det gjelder, sannsynlige konsekvenser og hvilke tiltak organisasjonen har truffet. Hvis ikke alt er kjent ennå, kan informasjonen gis i etapper.
Informasjon til de registrerte
Hvis bruddet sannsynligvis fører til en høy risiko for folks rettigheter og friheter, skal også de berørte personene informeres uten ugrunnet opphold (artikkel 34). Det gjelder for eksempel når kontoopplysninger, helseopplysninger eller personnummer har kommet i gale hender.
Dokumentasjon
Alle brudd skal dokumenteres, også de som ikke varsles til IMY (artikkel 33.5). IMY kan be om å få se dokumentasjonen.
Databehandlere
En databehandler skal underrette den behandlingsansvarlige uten ugrunnet opphold etter å ha blitt kjent med et brudd (artikkel 33.2). Deretter begynner den ansvarliges 72 timer.
Etter bruddet
Organisasjonen lærer av det som skjedde: hvordan kunne det skje, og hva må endres? Målet er ikke å peke ut en skyldig, men å hindre at det skjer igjen.