Er er tale om et databrud, og skal du anmelde det?
Som erhvervsdrivende er du ansvarlig for persondata om dine kunder og medarbejdere. I GDPR kaldes du så for dataansvarlig. Her kan du læse, hvornår noget er et databrud, hvornår du skal anmelde det, og hvad du gør med det samme. Dette er en generel forklaring og ikke juridisk rådgivning; er du i tvivl, så se på hjemmesiden for Autoriteit Persoonsgegevens (AP, den hollandske tilsynsmyndighed) eller spørg en jurist.
Hvad er et databrud?
Ifølge GDPR, den europæiske databeskyttelseslov, er det et brud på sikkerheden, der medfører, at persondata går tabt, bliver ødelagt eller ændret, eller havner hos nogen, der ikke må have adgang til dem (artikel 4, punkt 12). Persondata er oplysninger om en genkendelig person, som et navn, en e-mailadresse, en adresse eller en ordrehistorik. Det handler altså ikke kun om hackere. Eksempler:
- en mail eller vedhæftning med persondata, der sendes til den forkerte modtager;
- en mistet eller stjålet bærbar computer, telefon eller usb-nøgle med persondata, der ikke var krypteret;
- en hacket mailboks med fakturaer, tilbud eller ansøgninger;
- en hjemmeside eller webshop, hvorfra kundedata er blevet stjålet;
- ransomware, der gør, at du ikke længere kan komme til din kundeadministration, også selvom intet er blevet kopieret.
De første skridt
- Stop bruddet. Bed den forkerte modtager om at slette mailen og bekræfte det. Skift adgangskoden på en overtaget mailboks fra en enhed, du stoler på (se Sikre adgangskoder, og hvad du gør ved en lækket adgangskode).
- Kortlæg, hvad der skete. Hvad er årsagen, hvornår startede det, hvilke data drejer det sig om, hvor mange personer er berørt, hvem har adgang, og var dataene krypteret? Skriv alt ned med dato og klokkeslæt.
- Vurder risikoen for de personer, hvis data det drejer sig om (se nedenfor).
- Anmeld det til AP, hvis det er nødvendigt, inden for 72 timer.
- Informer de berørte personer, hvis risikoen for dem er høj.
- Registrer det i dit databrudsregister. Det gør du altid.
Skal jeg anmelde det til Autoriteit Persoonsgegevens?
Du anmelder et databrud uden unødig forsinkelse og om muligt inden for 72 timer, efter du har opdaget det. Det er ikke nødvendigt, hvis det sandsynligvis ikke udgør en risiko for de personer, hvis data det drejer sig om (artikel 33 i GDPR).
- Tiden begynder at løbe, når du opdager det, ikke når bruddet skete. Weekenden tæller med: opdager du det fredag kl. 16:40, skal du senest anmelde det mandag kl. 16:40.
- Ufuldstændig anmeldelse er tilladt. Ved du ikke alt efter 72 timer, så anmeld med det, du ved, og suppler anmeldelsen senere.
- Kun online. Du anmelder via APs anmeldelsesformular, ikke pr. telefon, mail eller post. Med APs spørgeskema forbereder du anmeldelsen.
- Er du i tvivl? AP anbefaler, at du alligevel anmelder det.
Disse spørgsmål hjælper med vurderingen:
| Spørgsmål | Lavere risiko | Højere risiko |
|---|---|---|
| Hvilke data? | Kun erhvervsmæssige kontaktoplysninger | CPR-nummer, kopi af ID, bankoplysninger, adgangskoder, helbredsoplysninger, oplysninger om børn |
| Hvor mange personer? | En eller få | Mange |
| Læsbart for den, der har det? | Godt krypteret, nøglen er ikke lækket | Læsbart, eller adgangskoden er også lækket |
| Hvem har det? | En kendt modtager, der bekræfter, at vedkommende har slettet det | En ukendt person, en kriminel, eller det er offentligt tilgængeligt på internettet |
Et eksempel: bliver en godt krypteret bærbar computer stjålet, er der sandsynligvis ingen risiko. Så er anmeldelse ikke nødvendig, men du registrerer det stadig i dit register. På en ukrypteret bærbar computer kan den, der finder den, læse alt; så er der som regel risiko.
Hvornår informerer du de berørte personer?
Medfører bruddet sandsynligvis en høj risiko for de personer, hvis data det drejer sig om, skal du informere dem uden unødig forsinkelse (artikel 34 i GDPR). Fortæl i almindeligt sprog, hvad der skete, hvad konsekvenserne kan være, hvad du gør, og hvad de selv kan gøre, fx skifte en adgangskode eller være ekstra opmærksomme på phishing i dit navn.
Det er ikke nødvendigt, hvis dataene var ulæselige på grund af god kryptering, eller hvis du bagefter har truffet foranstaltninger, der gør, at den høje risiko ikke længere er sandsynlig. Kræver det en uforholdsmæssig stor indsats at nå alle, kan du i stedet udsende en offentlig meddelelse.
Databrudsregistret: skal altid føres
Hvert databrud registrerer du, også selvom du ikke anmelder det (artikel 33, stk. 5). Notér fakta, konsekvenserne, foranstaltningerne og din vurdering: hvorfor du anmeldte det eller ej, og hvorfor du informerede de berørte eller ej. AP har et eksempel på et databrudsregister.
Hvad hvis bruddet sker hos en leverandør?
Dit hostingfirma, dit regnskabsprogram i skyen eller din nyhedsbrevstjeneste er ifølge GDPR en databehandler: en part, der behandler persondata på dine vegne. En databehandler skal informere dig uden unødig forsinkelse, hvis vedkommende opdager et databrud (artikel 33, stk. 2). Derefter vurderer du, om du skal anmelde det, og som udgangspunkt anmelder du det selv.
Det gælder også, hvis WebOké er din databehandler. Tror du, at bruddet er sket hos os, fx på vores servere? Kontakt os straks via en sag i Supportcentret med, hvad du har set, og hvornår.
Læs mere
- WebOké Backups: se, gendan eller download en backup
- Autoriteit Persoonsgegevens: skal du anmelde eller ej
- Autoriteit Persoonsgegevens: sådan anmelder du et databrud
- Autoriteit Persoonsgegevens: spørgeskemaet til anmeldelsesformularen
- Autoriteit Persoonsgegevens: eksempel på databrudsregister
- GDPR, artikel 4, 33 og 34 (EUR-Lex)