Er det her et databrud, og skal jeg anmelde det?
Som virksomhedsejer er du ansvarlig for personoplysningerne om dine kunder og medarbejdere. I GDPR kaldes du så dataansvarlig. Her kan du læse, hvornår noget er et databrud, hvornår du skal anmelde det, og hvad du gør med det samme. Dette er en generel forklaring og ikke juridisk rådgivning. Er du i tvivl, så se på hjemmesiden for Autoriteit Persoonsgegevens (AP), den hollandske datatilsynsmyndighed, eller spørg en jurist.
Hvad er et databrud?
Ifølge GDPR, EU's databeskyttelsesforordning, er det et brud på sikkerheden, som fører til, at personoplysninger går tabt, bliver tilintetgjort eller ændret, eller havner hos nogen, der ikke må have adgang til dem (artikel 4, nr. 12). Personoplysninger er oplysninger om en person, der kan identificeres, fx et navn, en e-mailadresse, en adresse eller en ordrehistorik. Det handler altså ikke kun om hackere. Eksempler:
- en mail eller vedhæftet fil med personoplysninger, der bliver sendt til den forkerte modtager;
- en mistet eller stjålet bærbar, telefon eller USB-nøgle med personoplysninger, der ikke var krypteret;
- en hacket mailboks med fakturaer, tilbud eller ansøgninger;
- en hjemmeside eller webshop, hvorfra kundeoplysninger er blevet stjålet;
- ransomware, der gør, at du ikke længere kan komme til din kundeadministration, også selvom intet er blevet kopieret.
De første skridt
- Stop bruddet. Bed den forkerte modtager om at slette mailen og bekræfte det. Skift adgangskoden til en overtaget mailboks fra en enhed, du stoler på (se Sikre adgangskoder, og hvad du gør ved en lækket adgangskode).
- Kortlæg, hvad der skete. Hvad er årsagen, hvornår begyndte det, hvilke oplysninger drejer det sig om, hvor mange personer er berørt, hvem kan få adgang til dem, og var oplysningerne krypteret? Skriv alt ned med dato og klokkeslæt.
- Vurder risikoen for de personer, oplysningerne handler om (se nedenfor).
- Anmeld det til AP, hvis det er nødvendigt, inden for 72 timer.
- Informer de registrerede, hvis risikoen for dem er høj.
- Skriv det ind i dit register over databrud. Det gør du altid.
Skal jeg anmelde til Autoriteit Persoonsgegevens?
Du anmelder et databrud uden unødig forsinkelse og om muligt inden for 72 timer, efter at du har opdaget det. Det er ikke nødvendigt, hvis det sandsynligvis ikke indebærer en risiko for de personer, oplysningerne handler om (artikel 33 i GDPR).
- Uret starter, når du får kendskab til det, ikke når bruddet skete. Weekenden tæller med: opdager du det fredag kl. 16:40, anmelder du senest mandag kl. 16:40.
- Du må gerne anmelde ufuldstændigt. Ved du ikke alt efter 72 timer, så anmeld med det, du ved, og suppler anmeldelsen senere.
- Kun online. Du anmelder via AP's anmeldelsesformular, ikke pr. telefon, mail eller post. Med AP's spørgeliste forbereder du anmeldelsen.
- Er du i tvivl? AP anbefaler, at du så alligevel anmelder.
Disse spørgsmål hjælper dig med vurderingen:
| Spørgsmål | Lavere risiko | Højere risiko |
|---|---|---|
| Hvilke oplysninger? | Kun forretningsmæssige kontaktoplysninger | Personnummer (BSN), kopi af ID, bankoplysninger, adgangskoder, helbredsoplysninger, oplysninger om børn |
| Hvor mange personer? | Én eller få | Mange |
| Læsbart for den, der har det? | Godt krypteret, og nøglen er ikke lækket | Læsbart, eller adgangskoden er også lækket |
| Hvem har det? | En kendt modtager, der bekræfter at have slettet det | En ukendt, en kriminel eller offentligt på internettet |
Et eksempel: bliver en godt krypteret bærbar stjålet, er der sandsynligvis ingen risiko. Så behøver du ikke anmelde det, men du skriver det stadig ind i dit register. På en ukrypteret bærbar kan finderen læse alt; så er der som regel en risiko.
Hvornår informerer du de registrerede?
Indebærer bruddet sandsynligvis en høj risiko for de personer, oplysningerne handler om, informerer du dem uden unødig forsinkelse (artikel 34 i GDPR). Fortæl i almindeligt sprog, hvad der skete, hvilke følger det kan få, hvad du gør, og hvad de selv kan gøre, fx skifte en adgangskode eller være ekstra opmærksomme på phishing i dit navn.
Det er ikke nødvendigt, hvis oplysningerne var ulæselige på grund af god kryptering, eller hvis du bagefter har truffet foranstaltninger, så den høje risiko ikke længere er sandsynlig. Kræver det en uforholdsmæssig indsats at nå alle, laver du en offentlig meddelelse.
Registeret over databrud: hold det altid opdateret
Ethvert databrud skal registreres, også selvom du ikke anmelder det (artikel 33, stk. 5). Noter fakta, følgerne, foranstaltningerne og din vurdering: hvorfor du har eller ikke har anmeldt, og hvorfor du har eller ikke har informeret de registrerede. AP har et eksempel på et register over databrud.
Og hvis bruddet sker hos en leverandør?
Dit hostingfirma, dit regnskabsprogram i skyen eller din nyhedsbrevstjeneste er ifølge GDPR en databehandler: en part, der behandler personoplysninger på dine vegne. En databehandler skal informere dig uden unødig forsinkelse, hvis den opdager et databrud (artikel 33, stk. 2). Derefter vurderer du, om du skal anmelde, og som udgangspunkt anmelder du også selv.
Det gælder også, hvis WebOké er din databehandler. Aftalerne om det står i vores databehandleraftale, se Databehandleraftale: hvor finder jeg den? Tror du, at bruddet er sket hos os, fx på vores servere? Så kontakt os med det samme via en ticket i Supportcenteret, og fortæl, hvad du har set, og hvornår.
Læs mere
- WebOké Backups: se, gendan eller download en backup
- Autoriteit Persoonsgegevens: skal du anmelde eller ej
- Autoriteit Persoonsgegevens: sådan anmelder du et databrud
- Autoriteit Persoonsgegevens: spørgeliste til anmeldelsesformularen
- Autoriteit Persoonsgegevens: eksempel på et register over databrud
- GDPR, artikel 4, 33 og 34 (EUR-Lex)
Vil du lære mere? Tag det gratis kursus Sikker online for virksomheder, lektion 8.2 Databrud og anmeldelsespligten.