Hvad er et brud på persondatasikkerheden?
GDPR definerer et brud som en sikkerhedshændelse, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysninger. Det lyder juridisk, men dækker meget hverdagsagtige situationer:
- En mail med en lønseddel sendes til den forkerte modtager.
- En bærbar pc uden kryptering bliver stjålet fra en bil.
- En medarbejder falder for phishing, og en angriber læser med i postkassen.
- Ransomware krypterer en server med kundedata, så de ikke kan tilgås.
- En mappe med CV'er bliver ved en fejl delt med et offentligt link.
Et brud handler altså ikke kun om hackere. Det handler om fortrolighed, integritet og tilgængelighed. Også et midlertidigt tab af adgang til data kan være et brud.
Hvornår skal I anmelde brud på persondatasikkerheden?
Efter GDPR artikel 33 skal den dataansvarlige anmelde bruddet til Datatilsynet uden unødig forsinkelse og om muligt senest 72 timer efter at være blevet bekendt med det. Undtagelsen er, hvis det er usandsynligt, at bruddet indebærer en risiko for de registreredes rettigheder og frihedsrettigheder.
Vurderingen afhænger især af typen af oplysninger, hvor mange personer der er berørt, og om oplysningerne kan misbruges.
| Situation | Risiko for de registrerede | Typisk handling |
|---|---|---|
| Mail med navn og arbejdsmail sendt til forkert kollega i samme virksomhed, som straks sletter den | Lav | Dokumentér internt, ingen anmeldelse |
| Stjålet pc med fuld diskkryptering og stærkt login | Lav | Dokumentér internt, ingen anmeldelse |
| Lønsedler med CPR-nummer sendt til forkert ekstern modtager | Høj | Anmeld til Datatilsynet og underret de berørte |
| Angriber har haft adgang til en postkasse med kundekorrespondance i flere uger | Risiko, ofte høj | Anmeld til Datatilsynet, vurdér underretning |
| Ransomware har krypteret patientjournaler, og det er uklart, om data er kopieret | Høj | Anmeld til Datatilsynet og underret de berørte |
Hvis bruddet sandsynligvis indebærer en høj risiko, skal I efter artikel 34 også underrette de berørte personer uden unødig forsinkelse, i et klart og enkelt sprog.
Er I i tvivl, så anmeld. En anmeldelse, der viser sig at være unødvendig, har ingen konsekvenser. En manglende anmeldelse af et brud, der burde være anmeldt, kan derimod få det.
Hvornår begynder de 72 timer?
Fristen løber fra det tidspunkt, hvor I med rimelig sikkerhed ved, at der er sket en sikkerhedshændelse, som har ramt personoplysninger. Ikke fra det tidspunkt, hvor I kender hele omfanget. Det betyder:
- Fristen løber også i weekender og på helligdage.
- I må ikke vente med at anmelde, til undersøgelsen er færdig. Artikel 33 giver mulighed for at anmelde i etaper, hvor I supplerer med flere oplysninger, efterhånden som I får dem.
- Anmeldes bruddet senere end 72 timer, skal I begrunde forsinkelsen.
Er I databehandler for en anden virksomhed, fx et lønbureau eller en IT-leverandør, skal I underrette den dataansvarlige uden unødig forsinkelse. Det er den dataansvarlige, der anmelder til Datatilsynet. Tjek jeres databehandleraftaler for, hvilken frist leverandøren har forpligtet sig til.
Hvad skal anmeldelsen indeholde?
Anmeldelsen foretages via Datatilsynets formular, som I finder på datatilsynet.dk. Den skal mindst beskrive:
- Bruddets karakter, herunder kategorier og omtrentligt antal berørte personer og registreringer.
- Navn og kontaktoplysninger på en kontaktperson, fx en databeskyttelsesrådgiver.
- De sandsynlige konsekvenser af bruddet.
- De foranstaltninger, I har truffet eller vil træffe, for at håndtere bruddet og begrænse skaden.
Hav oplysningerne samlet på ét sted, før I går i gang med formularen. Det sparer tid, når uret tikker.
En tidsplan for de første 72 timer
Time 0-4: Stop blødningen. Spær kompromitterede konti, tilbagekald et offentligt delingslink, bed modtageren af en fejlsendt mail om at slette den, eller isolér en inficeret maskine. Gem logfiler, før de overskrives.
Time 4-24: Fastlæg fakta. Hvilke data er berørt? Hvor mange personer? Hvor længe har bruddet stået på? Er data kopieret, eller kun tilgået? Her er logning afgørende. Uden logs fra Microsoft 365, firewall og servere er det svært at svare på andet end »vi ved det ikke«.
Time 24-48: Vurdér risikoen og beslut. Ledelsen og den, der har ansvaret for databeskyttelse, beslutter på baggrund af fakta, om der skal anmeldes, og om de berørte skal underrettes.
Time 48-72: Anmeld og kommunikér. Indsend anmeldelsen, også selv om billedet ikke er komplet, og forbered teksten til de berørte, hvis der skal underrettes.
Et eksempel: phishing i bogholderiet
En medarbejder i bogholderiet hos en tandlægeklinik i Aalborg indtaster sit login på en falsk Microsoft-side fredag eftermiddag. Mandag morgen opdager en kollega, at der er sendt mails fra postkassen til ukendte modtagere.
Klinikken spærrer kontoen og tilbagekalder sessionerne inden for en time. Loggen i Microsoft 365 viser, at angriberen har haft adgang siden fredag og har søgt efter fakturaer. Postkassen indeholder mails med patientnavne og behandlingsoplysninger. Da der er tale om helbredsoplysninger, vurderes risikoen som høj. Klinikken anmelder bruddet tirsdag, supplerer anmeldelsen torsdag, da gennemgangen af loggen er færdig, og underretter de berørte patienter.
Det, der gjorde forløbet muligt, var, at logningen var slået til og gemt længe nok, og at der fandtes en navngiven person med ansvar for at beslutte.
Dokumentér alle brud, også dem I ikke anmelder
Artikel 33 kræver, at I dokumenterer ethvert brud: hvad der skete, virkningerne og hvad I gjorde. Det gælder også de små hændelser, der ikke anmeldes. Et simpelt register med dato, beskrivelse, berørte data, risikovurdering, beslutning og begrundelse er tilstrækkeligt. Det er jeres bevis på, at I har vurderet sagen ordentligt, hvis Datatilsynet spørger.
Forbered jer, før det sker
Tre ting gør den største forskel, når et brud rammer: en kort, skriftlig procedure med navne og telefonnumre, logning, der er slået til og gemt i tilstrækkelig tid, og nogen, der holder øje med advarslerne. Med SOC-overvågning døgnet rundt opdages mistænkelig aktivitet tidligere, så I har mere af de 72 timer til rådighed. Og vil I have procedure, register og risikovurdering på plads, kan vi hjælpe med GDPR og persondatasikkerhed som en del af jeres samlede arbejde med GDPR-compliance.
Apply-redaktionen
IT-sikkerhed