Även med goda vanor går saker fel. Då gäller det att reagera snabbt. Reglerna står i artikel 33 och 34 i dataskyddsförordningen.
Vad är en incident?
En personuppgiftsincident (på danska "brud på persondatasikkerheden") är en säkerhetsincident som leder till oavsiktlig eller olaglig förstöring, förlust, ändring, obehörigt röjande av eller obehörig åtkomst till personuppgifter (artikel 4.12). Den kan drabba tre saker:
- Konfidentialiteten: Obehöriga får tillgång. Exempel: ett e-postmeddelande med lönelistor skickas till fel mottagare.
- Integriteten: Uppgifter ändras utan tillstånd eller av misstag.
- Tillgängligheten: Uppgifter förloras eller kan inte användas. Exempel: ransomware krypterar filerna, eller en säkerhetskopia saknas.
Fler exempel: en borttappad bärbar dator eller mobil med uppgifter, ett hackerangrepp, papper i en öppen container, ett kalkylblad som delats med för många, en anställd som tittar i systemet utan arbetsmässigt behov, och en felsändning där ett brev hamnar hos någon annan.
Ditt ansvar: säg till direkt
Som anställd ska du:
- Anmäla händelsen genast till den kontaktperson eller det system som företaget har utsett. Vänta inte och se om det visar sig vara allvarligt.
- Berätta vad du vet: vad som hände, när, och vilka uppgifter och hur många personer det kan gälla.
- Försöka begränsa skadan om du kan, till exempel genom att be en felaktig mottagare att radera meddelandet. Gör det dock bara efter överenskommelse, och radera inte bevis själv.
- Inte dölja felet eller rätta det i smyg.
Det är företaget, inte du, som bedömer om händelsen ska anmälas.
Företagets skyldigheter
- Anmälan till Datatilsynet (artikel 33.1): När den personuppgiftsansvariga har fått kännedom om en incident ska den anmäla den till Datatilsynet utan onödigt dröjsmål och om möjligt inom 72 timmar. Undantaget är om incidenten sannolikt inte medför någon risk för personers rättigheter och friheter. Anmälan görs digitalt via Datatilsynets blankett på virk.dk. Sker den senare än 72 timmar ska skälen till dröjsmålet anges. Uppgifter kan lämnas i etapper.
- Underrättelse till de berörda (artikel 34): Om incidenten sannolikt medför en hög risk för personerna ska de också få besked utan onödigt dröjsmål på ett tydligt och enkelt språk.
- Personuppgiftsbiträden ska underrätta den personuppgiftsansvariga utan onödigt dröjsmål (artikel 33.2).
- Dokumentation (artikel 33.5): Företaget ska föra en förteckning över alla incidenter, också de som inte anmäls, med fakta, effekter och åtgärder. Datatilsynet kan be att få se den.
Fristen på 72 timmar räknas från den tidpunkt då företaget fick kännedom om incidenten, och den räknar också helger. Det är ett av de viktigaste skälen till att du anmäler snabbt internt: Varje timme du väntar tar av företagets tid.
Efter incidenten
Företaget bör lära sig av händelsen: Vad gick fel, och hur förhindrar vi det nästa gång? Ett misstag som anmäls öppet är en möjlighet att förbättra rutinerna.
Kom ihåg: 72 timmar. Din snabba anmälan är första ledet i företagets frist.