Er dette en datalekkasje, og må jeg melde det?
Som næringsdrivende er du ansvarlig for personopplysningene til kundene og de ansatte dine. I GDPR kalles du da behandlingsansvarlig. Her leser du når noe er et databrudd, når du må melde det og hva du gjør med en gang. Dette er en generell forklaring og ikke juridisk rådgivning. Er du i tvil, sjekk nettsiden til Autoriteit Persoonsgegevens (AP), det nederlandske datatilsynet, eller spør en jurist.
Hva er et databrudd?
Ifølge GDPR, den europeiske personvernforordningen, er det et sikkerhetsbrudd som fører til at personopplysninger går tapt, blir slettet eller endret, eller havner hos noen som ikke skal ha tilgang til dem (artikkel 4 nr. 12). Personopplysninger er opplysninger om en identifiserbar person, for eksempel navn, e-postadresse, adresse eller ordrehistorikk. Det handler altså ikke bare om hackere. Eksempler:
- en e-post eller et vedlegg med personopplysninger som sendes til feil mottaker;
- en mistet eller stjålet bærbar PC, telefon eller minnepinne med personopplysninger som ikke var kryptert;
- en hacket e-postkonto med fakturaer, tilbud eller jobbsøknader;
- et nettsted eller en nettbutikk der kundeopplysninger er stjålet;
- løsepengevirus som gjør at du ikke kommer inn i kunderegisteret ditt, også hvis ingenting er kopiert.
De første stegene
- Stopp lekkasjen. Be feil mottaker slette e-posten og bekrefte det. Bytt passordet til en overtatt e-postkonto fra en enhet du stoler på (se Sikre passord og hva du gjør ved et lekket passord).
- Kartlegg hva som skjedde. Hva er årsaken, når begynte det, hvilke opplysninger gjelder det, for hvor mange personer, hvem har tilgang og var opplysningene kryptert? Skriv ned alt, med dato og klokkeslett.
- Vurder risikoen for personene opplysningene gjelder (se nedenfor).
- Meld det til AP hvis det er nødvendig, innen 72 timer.
- Informer de berørte hvis risikoen for dem er høy.
- Før det inn i registeret over databrudd. Det gjør du alltid.
Må jeg melde fra til Autoriteit Persoonsgegevens?
Du melder et databrudd uten ugrunnet opphold og om mulig innen 72 timer etter at du oppdaget det. Det trenger du ikke hvis det sannsynligvis ikke medfører noen risiko for personene opplysningene gjelder (artikkel 33 i GDPR).
- Klokken starter når du får vite om det, ikke når bruddet skjedde. Helgen teller med: oppdager du det fredag kl. 16:40, melder du senest mandag kl. 16:40.
- Du kan sende en ufullstendig melding. Vet du ikke alt etter 72 timer, meld med det du vet og supplér meldingen senere.
- Kun på nett. Du melder via meldeskjemaet til AP, ikke per telefon, e-post eller brev. Med spørreskjemaet fra AP forbereder du meldingen.
- Er du i tvil? AP anbefaler at du da melder likevel.
Disse spørsmålene hjelper deg med vurderingen:
| Spørsmål | Lavere risiko | Høyere risiko |
|---|---|---|
| Hvilke opplysninger? | Bare kontaktopplysninger i jobbsammenheng | Personnummer (BSN), kopi av legitimasjon, bankopplysninger, passord, helseopplysninger, opplysninger om barn |
| Hvor mange personer? | Én eller noen få | Mange |
| Lesbart for den som har det? | Godt kryptert, nøkkelen er ikke lekket | Lesbart, eller passordet er også lekket |
| Hvem har det? | En kjent mottaker som bekrefter at han har slettet det | En ukjent, en kriminell, eller offentlig på internett |
Et eksempel: blir en godt kryptert bærbar PC stjålet, er det sannsynligvis ingen risiko. Da trenger du ikke melde, men du fører det likevel inn i registeret. På en ukryptert bærbar PC kan finneren lese alt; da er det vanligvis risiko.
Når informerer du de berørte?
Medfører bruddet sannsynligvis en høy risiko for personene opplysningene gjelder, informerer du dem uten ugrunnet opphold (artikkel 34 i GDPR). Fortell med enkle ord hva som skjedde, hva konsekvensene kan være, hva du gjør og hva de selv kan gjøre, for eksempel bytte passord eller være ekstra oppmerksom på phishing i ditt navn.
Det trenger du ikke hvis opplysningene var uleselige på grunn av god kryptering, eller hvis du i etterkant har satt inn tiltak som gjør at den høye risikoen ikke lenger er sannsynlig. Krever det en uforholdsmessig innsats å nå alle, gir du en offentlig kunngjøring.
Registeret over databrudd: før det alltid
Hvert databrudd dokumenterer du, også hvis du ikke melder det (artikkel 33 nr. 5). Noter fakta, konsekvensene, tiltakene og vurderingen din: hvorfor du har meldt eller ikke meldt, og hvorfor du har informert eller ikke informert de berørte. AP har et eksempel på et register over databrudd.
Og hvis bruddet skjer hos en leverandør?
Webhotellet ditt, regnskapsprogrammet ditt i skyen eller nyhetsbrevtjenesten din er ifølge GDPR en databehandler: en part som behandler personopplysninger på dine vegne. En databehandler må informere deg uten ugrunnet opphold hvis den oppdager et databrudd (artikkel 33 nr. 2). Deretter vurderer du om du må melde, og i utgangspunktet melder du også selv.
Det gjelder også hvis WebOké er databehandleren din. Avtalene om dette står i databehandleravtalen vår, se Databehandleravtale: hvor finner jeg den? Tror du at bruddet ligger hos oss, for eksempel på serverne våre? Kontakt oss med en gang via en sak i Supportsenteret, med hva du har sett og når.
Les mer
- WebOké Backups: se, gjenopprett eller last ned en sikkerhetskopi
- Autoriteit Persoonsgegevens: melde eller ikke melde
- Autoriteit Persoonsgegevens: slik melder du et databrudd
- Autoriteit Persoonsgegevens: spørreskjema for meldeskjemaet
- Autoriteit Persoonsgegevens: eksempel på register over databrudd
- GDPR, artikkel 4, 33 og 34 (EUR-Lex)
Vil du lære mer? Ta det gratis kurset Trygt på nett for næringsdrivende, leksjon 8.2 Databrudd og meldeplikten.