Databrud og anmeldelsespligten

Modul 8: Når det går galt · Læsetid: 11 minutter

Læringsmål: Efter denne lektion kan du afgøre om noget er et databrud, om du skal anmelde det til Datatilsynet inden 72 timer, og om du skal informere de berørte personer, og du kan registrere det i et databrudsregister.

Nøglebegreber: personoplysninger, databrud (brud på persondatasikkerheden), dataansvarlig, databehandler, GDPR artikel 33 og 34, anmeldelse til Datatilsynet, 72 timer, risiko og høj risiko, databrudsregister

Hvad er et databrud?

Ved "databrud" tænker folk på hackere der stjæler en database. Det er én form for det. GDPR bruger en bredere beskrivelse: et brud på persondatasikkerheden er et brud på sikkerheden, der ved et uheld eller ulovligt fører til tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysninger (artikel 4, nr. 12).

Personoplysninger er alle oplysninger om en genkendelig person: et navn, en e-mailadresse som jan.jansen@..., et telefonnummer, en adresse, et kundenummer med ordrehistorik, et foto, en IP-adresse kombineret med andre oplysninger. Oplysninger om en virksomhed som sådan (CVR-nummer, generel adresse) er det ikke, men oplysninger om kontaktpersonen er det.

Dermed er alt dette databrud:

• en mail med en kundeliste der sendes til den forkerte modtager;
• et nyhedsbrev hvor alle modtagere er synlige i Til- eller CC-feltet;
• en mistet USB-nøgle eller bærbar med medarbejderoplysninger, hvis den ikke var krypteret;
• ransomware der krypterer kundeadministrationen (oplysningerne er så ikke tilgængelige, selv hvis intet er kopieret);
• en overtaget mailboks med fakturaer der indeholder navne og adresser;
• et delt link til en mappe med ansøgninger der er åben for alle.

Ordene "brud på sikkerheden" viser at det ikke kun handler om fortrolighed. Også tab (oplysningerne er væk) og ændring (nogen har ændret kontonumre) tæller med.

Hvem har ansvaret: dig eller din leverandør?

GDPR kender to roller.

• Den dataansvarlige bestemmer hvorfor og hvordan personoplysninger behandles. For dine kunde- og medarbejderoplysninger er det dig, som virksomhedsejer.
• En databehandler behandler oplysninger på din vegne: dit hostingfirma, dit regnskabsprogram i skyen, din nyhedsbrevstjeneste, din it-leverandør.

Sker der et brud hos en databehandler, skal denne underrette dig uden unødig forsinkelse (artikel 33, stk. 2). Du vurderer så om du skal anmelde til Datatilsynet og informere de berørte, og som udgangspunkt anmelder du også selv (medmindre I har aftalt at databehandleren gør det på dine vegne). Forpligtelsen ligger altså hos dig, selv hvis fejlen lå hos en anden. Derfor indeholder en databehandleraftale aftaler om hvor hurtigt og hvordan en databehandler informerer dig (lektion 7.2).

72-timers fristen

Artikel 33 i GDPR siger at du skal anmelde et databrud uden unødig forsinkelse og om muligt inden 72 timer til Datatilsynet, efter du er blevet bekendt med det. Undtagelsen: det er usandsynligt at bruddet indebærer en risiko for menneskers rettigheder og frihedsrettigheder.

Fire punkter bliver ofte misforstået:

1. Uret starter når du bliver bekendt med det, ikke når bruddet skete. "Bekendt med det" betyder: du er med rimelig sikkerhed klar over at der er et brud der involverer personoplysninger. En kort første vurdering er tilladt, men den der bevidst undlader at kigge, udskyder ikke uret.
2. 72 timer er 72 timer, også i weekenden og på helligdage. Opdager du et brud fredag kl. 16:40, er fristen mandag kl. 16:40.
3. Ufuldstændig anmeldelse er tilladt. Ved du efter 72 timer stadig ikke alt, anmelder du med det du ved, og supplerer senere. Anmelder du senere end 72 timer, skal du forklare hvorfor (artikel 33 i GDPR).
4. Det handler om risiko for mennesker, ikke om skaden for din virksomhed.

Opdaget:  fredag    16:40   -> uret starter
          lørdag              (tæller med)
          søndag              (tæller med)
Senest mandag       16:40   -> anmeldelse til Datatilsynet (eventuelt ufuldstændig)

Anmeldelse sker i den regel digitalt til Datatilsynet. Datatilsynet har en vejledning der hjælper dig med at forberede anmeldelsen på forhånd. Du angiver blandt andet hvad der skete, hvornår, hvilke og hvor mange oplysninger og personer det drejer sig om, hvad konsekvenserne kan være, og hvilke tiltag du har taget. Her betaler loggen fra lektion 8.1 sig tilbage.

Hvornår skal du anmelde, og hvornår ikke: risikovurderingen

Du vurderer hvor sandsynlige og hvor alvorlige konsekvenserne er for de berørte personer. Tænk på: identitetstyveri, økonomisk skade, diskrimination, omdømmeskade, eller tab af kontrol over deres oplysninger. Spørgsmål der hjælper:

To eksempler der ofte går igen:

• En krypteret bærbar bliver stjålet, med en stærk adgangskode, nøglen er ikke lækket, og der findes en nylig backup: sandsynligvis ingen risiko. Ikke anmeld til Datatilsynet, men registrér det i dit register.
• En webshop bliver hacket, angriberen har fået e-mailadresser og svagt opbevarede adgangskoder: risiko, så det skal anmeldes. Og fordi folk ofte genbruger deres adgangskode (lektion 1.4), er der høj risiko: informer de berørte.

Er du i tvivl? Så er anmeldelse som regel det sikre valg. Også Datatilsynet anbefaler at anmelde ved tvivl. Ny information giver du senere videre med en opfølgende anmeldelse.

Informer de berørte: ved høj risiko

Artikel 34 handler om de personer hvis oplysninger det drejer sig om. Udgør bruddet sandsynligvis en høj risiko, skal du informere dem uden unødig forsinkelse: så hurtigt som det med rimelighed kan lade sig gøre. Her gælder ingen frist på 72 timer, men at vente til alt er udredt er heller ikke meningen.

I beskeden skal der i klart sprog stå hvad der skete, hvad de sandsynlige konsekvenser er, hvad du gør, og hvad de selv kan gøre (for eksempel skifte deres adgangskode andre steder, være opmærksomme på phishing i dit navn, advare deres bank), plus en kontaktperson.

Du behøver ikke informere, hvis du havde truffet passende foranstaltninger der gør oplysningerne ulæselige (som god kryptering), hvis du efterfølgende har truffet foranstaltninger så den høje risiko ikke længere er sandsynlig, eller hvis det kræver en uforholdsmæssig stor indsats: så gør du i stedet en offentlig meddelelse (artikel 34, stk. 3).

Vær opmærksom på: phishing følger ofte efter et databrud. Kriminelle ved så hvem dine kunder er, og sender en mail "fra dig". Advar også dine kunder om det.

Databrudsregisteret: altid

Artikel 33, stk. 5 forpligter dig til at registrere hvert databrud, også selvom du ikke anmelder det. Registrér: fakta, konsekvenserne, foranstaltningerne, og din vurdering (hvorfor anmeldt eller ej, hvorfor informeret eller ej). Formen kan du selv vælge; Datatilsynet har et eksempel på et databrudsregister. En simpel tabel er tilstrækkelig:

Nr | Opdaget (dato/tid) | Hvad skete der | Hvilke oplysninger, hvor mange personer
   | Konsekvenser | Foranstaltninger | Anmeldt til Datatilsynet? (ja/nej + hvorfor, dato)
   | Berørte informeret? (ja/nej + hvorfor) | Afsluttet (dato)

Registeret hjælper også dig selv: ser du tre gange om året "mail til forkert modtager", ved du hvor du skal forbedre dig (for eksempel en forsinkelse ved afsendelse, eller ikke længere kundelister som vedhæftning, lektion 7.3).

Databrud og NIS 2-loven: to forskellige anmeldelser

Hører din organisation under NIS 2-loven (lektion 9.1), gælder der desuden en anmeldelsespligt for betydelige hændelser: en første advarsel inden 24 timer, en anmeldelse inden 72 timer og en slutrapport inden en måned, via registrering hos de relevante myndigheder (koordinerende myndighed: Styrelsen for Samfundssikkerhed, https://samsik.dk/). Det er en anden anmeldelse, med et andet formål (kontinuiteten af tjenester) og hos en anden instans. Et ransomwareangreb kan derfor høre under begge dele. De fleste små virksomheder hører ikke under NIS 2-loven; GDPR-anmeldelsespligten gælder dog for alle.

Denne lektion giver en generel forklaring og er ikke juridisk rådgivning. Rådfør dig ved tvivl med Datatilsynets hjemmeside eller en jurist.

Opsummering

• Et databrud er ethvert brud hvorved personoplysninger går tabt, ændres, eller havner hos nogen der ikke må have dem; også en mail til den forkerte modtager eller en ukrypteret bærbar der er mistet.
• Anmeldelse til Datatilsynet: uden unødig forsinkelse og om muligt inden 72 timer efter opdagelse, også i weekenden, medmindre der sandsynligvis ikke er nogen risiko. Ufuldstændig anmeldelse er tilladt.
• Informer de berørte: uden unødig forsinkelse, hvis der sandsynligvis er høj risiko.
• Sker bruddet hos din databehandler, skal denne informere dig; beslutningen om anmeldelse ligger hos dig.
• Registrér hvert databrud i dit databrudsregister, med din vurdering.

Quiz

Opgave

Opgave A8.2: Beregn fristen. Du får fire opdagelsestidspunkter. Udfyld for hvert tidspunkt den seneste dato og det seneste klokkeslæt for anmeldelse til Datatilsynet. Programmet retter det.

Opgave A8.2b: Anmelde eller ej? Du får otte korte sager. Vælg for hver sag om du skal anmelde til Datatilsynet, om du skal informere de berørte personer, og om du skal registrere det i dit databrudsregister. Programmet retter det og giver forklaring for hver sag.

Læs mere

Trinene i WebOké-artiklerne gælder for WebOkés miljø; hos andre udbydere fungerer det tilsvarende.

• Hjælp! Mit websted er blevet hacket. Hvordan løser eller forebygger jeg det?
• Datatilsynet, Eksempel på databrudsregister: https://www.datatilsynet.dk/
• Datatilsynet, Anmeldelsespligt for databrud: https://www.datatilsynet.dk/
• Datatilsynet, Vejledning til anmeldelse af databrud: https://www.datatilsynet.dk/
• GDPR (Forordning (EU) 2016/679), artikel 4, 33 og 34: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• Styrelsen for Samfundssikkerhed (SAMSIK), Anmeldelse af databrud: https://samsik.dk/