Et brudd på personopplysningssikkerheten kan skje i enhver virksomhet, uansett hvor gode rutiner dere har på plass. Det avgjørende er hvordan dere håndterer situasjonen når den først oppstår. Må bruddet rapporteres til Datatilsynet? Må de registrerte informeres? Og hvordan sikrer dere at alle krav i GDPR blir oppfylt?
Her får du en gjennomgang av reglene for rapportering, praktiske eksempler fra både offentlig og privat sektor, vanlige fallgruver og råd for hvordan dere håndterer hendelser korrekt og effektivt.
En personopplysning er informasjon som direkte eller indirekte kan knyttes til en levende person, for eksempel navn, personnummer eller e‑postadresse.
Ifølge GDPR er et brudd på personopplysningssikkerheten en sikkerhetshendelse som fører til utilsiktet eller ulovlig ødeleggelse, tap, endring av, eller uautorisert tilgang til personopplysninger.
Det spiller ingen rolle om det er et dataangrep, en menneskelig feil eller en teknisk svakhet – alle typer hendelser som truer beskyttelsen av personopplysninger kan utgjøre et brudd.
Eksempler på brudd:
Å forstå hva som faktisk regnes som et brudd, er første steg i å håndtere det riktig.
Nei, ikke alle. Bare de bruddene som sannsynligvis medfører en risiko for de registrertes rettigheter og friheter må rapporteres. Dette er imidlertid en lav terskel, og i praksis må derfor de fleste brudd rapporteres til Datatilsynet.
I henhold til GDPR må rapportering til Datatilsynet skje innen 72 timer fra bruddet ble oppdaget. Hvis dere venter lenger enn dette, må dere kunne begrunne hvorfor – og dere risikerer sanksjoner.
Eksempler på rapporteringspliktige brudd:
Eksempler på brudd som ofte ikke må rapporteres:
Selv om et brudd ikke må rapporteres til Datatilsynet, må det likevel dokumenteres internt.
I en kommunal virksomhet kan det for eksempel dreie seg om at et eksternt byggefirma ved en feil får tilgang til en mappe med taushetsbelagte personopplysninger om barn i barnevernet. En slik hendelse anses som høy risiko for de berørte og rapporteres til Datatilsynet samme dag, sammen med en tiltaksplan for å forhindre gjentakelse og informasjon til foresatte.
I privat sektor kan situasjonen se annerledes ut, men prinsippene er de samme. Et netthandelsfirma som oppdager at en hacker har lastet ned en liste med kundenes kontaktopplysninger og kredittkortnumre fra nettbutikkens server, må handle raskt. Hendelsen rapporteres til Datatilsynet, kundene varsles umiddelbart og får støtte til å kontrollere kontoene sine og bytte passord.
Risikovurderingen handler om å analysere både sannsynligheten for og alvorlighetsgraden av de negative konsekvensene for de berørte. Dette må gjøres raskt, men grundig.
Faktorer å vurdere:
En godt dokumentert risikovurdering hjelper både i dialogen med Datatilsynet og når dere informerer de registrerte.
Dersom bruddet medfører høy risiko for de registrertes rettigheter og friheter, må de også informeres – så snart som mulig. Hensikten er å gi dem mulighet til å beskytte seg.
Eksempler på når de registrerte må varsles:
Dersom dere raskt har gjennomført tiltak som reduserer risikoen betydelig – for eksempel sperret kontoer, tilbakekalt tilgang eller dokumentert at informasjonen var kryptert – kan det i noen tilfeller være tilstrekkelig å kun rapportere til Datatilsynet.
Dersom dere vurderer at bruddet er rapporteringspliktig, skal det meldes til Datatilsynet via det digitale skjemaet i Altinn.
Rapporten skal inneholde:
Skjemaet må sendes innen 72 timer etter at bruddet ble oppdaget. Hvis dere ikke har full oversikt ennå, kan dere sende en foreløpig rapport og ettersende utfyllende informasjon.
Viktig: Alle brudd – også de som ikke meldes – skal dokumenteres internt. Dette er en del av kravene til internkontroll etter GDPR og må kunne vises ved tilsyn.
Mange virksomheter gjør feil som forverrer situasjonen eller fører til kritikk eller sanksjoner. Vanlige feil er:
For å unngå disse feilene er det avgjørende å ha tydelige rutiner, kontinuerlig opplæring av ansatte og et støttesystem som hjelper dere å håndtere brudd strukturert.
Å håndtere et brudd på personopplysningssikkerheten krever både hurtighet og presisjon. For mange organisasjoner er det utfordrende å ha full kontroll på alle trinn: dokumentere hendelsen, gjøre en risikovurdering, vurdere rapporteringsplikt og eventuelt informere de registrerte – alt innen 72 timer.
Med et dedikert verktøy for hendelseshåndtering blir prosessen både enklere og mer pålitelig.
Et godt verktøy hjelper dere med å:
På den måten unngår dere stress og usikkerhet når noe skjer, og dere kan være trygge på at dere handler i tråd med GDPR. Dere sparer tid, minimerer feil og kan lettere vise tilsynsmyndigheten at dere har hatt kontroll.
Brudd på personopplysningssikkerheten skjer ofte plutselig og uventet – og krever raske, veloverveide beslutninger. Så snart et brudd oppdages, må det undersøkes internt og dere må vurdere om det skal rapporteres til Datatilsynet og om de registrerte må varsles.
Med vårt verktøy for hendelseshåndtering kan dere gjennomføre utredningen raskere, med korrekt og komplett dokumentasjon.
Privacy Incident hjelper deg med å:
Med tydelige rutiner og et verktøy for å oppdage og undersøke personvernbrudd, har dere allerede gjort halve jobben. Når et brudd først skjer, kan dere raskt kartlegge hva som har skjedd, hvor mange som er berørt, hvilke risikoer som finnes og hvilke tiltak som må iverksettes.
Privacy Incident er en del av et systematisk personvernarbeid som gjør håndteringen tryggere, mer effektiv og gir tydelig dokumentasjon og statistikk for læring og forbedring over tid.
Vil du vite mer?
Book en demo i dag og se hvordan dere kan håndtere personvernbrudd raskt, trygt og i full overensstemmelse med GDPR.