Er dette et datainnbrudd, og må jeg melde fra om det?
Som næringsdrivende er du ansvarlig for personopplysningene til kundene og de ansatte dine. I GDPR kalles du da behandlingsansvarlig. Her kan du lese når noe er et personopplysningsbrudd, når du må melde det, og hva du gjør med en gang. Dette er generell informasjon og ikke juridisk rådgivning. Er du i tvil, kan du se på nettsiden til Autoriteit Persoonsgegevens (AP) eller spørre en jurist.
Hva er et personopplysningsbrudd?
I henhold til GDPR, den europeiske personvernforordningen, er det et brudd på sikkerheten som fører til at personopplysninger går tapt, blir ødelagt eller endret, eller havner hos noen som ikke skal ha tilgang til dem (artikkel 4, punkt 12). Personopplysninger er opplysninger om en identifiserbar person, som navn, e-postadresse, adresse eller bestillingshistorikk. Det handler altså ikke bare om hackere. Eksempler:
- en e-post eller et vedlegg med personopplysninger som sendes til feil mottaker,
- en mistet eller stjålet bærbar PC, telefon eller minnepinne med personopplysninger som ikke var kryptert,
- en hacket e-postkonto som inneholder fakturaer, tilbud eller søknadsbrev,
- et nettsted eller en nettbutikk hvor kundeopplysninger er stjålet,
- løsepengevirus (ransomware) som gjør at du ikke lenger får tilgang til kundeadministrasjonen din, selv om ingenting er kopiert.
De første trinnene
- Stopp bruddet. Be feil mottaker om å slette e-posten og bekrefte dette. Endre passordet til en overtatt e-postkonto fra en enhet du stoler på (se Sikre passord og hva du gjør ved et lekket passord).
- Kartlegg hva som skjedde. Hva er årsaken, når startet det, hvilke opplysninger dreier det seg om, hvor mange personer gjelder det, hvem har tilgang, og var opplysningene kryptert? Skriv ned alt, med dato og klokkeslett.
- Vurder risikoen for personene opplysningene gjelder (se nedenfor).
- Meld det til AP hvis det er nødvendig, innen 72 timer.
- Informer de berørte personene hvis risikoen for dem er høy.
- Før det inn i registeret over personopplysningsbrudd. Det gjør du alltid.
Må jeg melde det til Autoriteit Persoonsgegevens?
Du melder et personopplysningsbrudd uten unødig opphold, og om mulig innen 72 timer etter at du oppdaget det. Det er ikke nødvendig hvis bruddet sannsynligvis ikke medfører risiko for personene opplysningene gjelder (GDPR artikkel 33).
- Klokken starter når du blir klar over det, ikke når bruddet skjedde. Helgen telles med: oppdager du det fredag klokken 16:40, melder du det senest mandag klokken 16:40.
- Det er lov å melde ufullstendig. Vet du ikke alt etter 72 timer, melder du med det du vet, og supplerer meldingen senere.
- Kun på nett. Du melder via meldeskjemaet til AP, ikke per telefon, e-post eller post. Med spørreskjemaet til AP forbereder du meldingen.
- Er du i tvil? AP anbefaler at du melder det uansett.
Disse spørsmålene hjelper deg med vurderingen:
| Spørsmål | Lavere risiko | Høyere risiko |
|---|---|---|
| Hvilke opplysninger? | Kun forretningsmessige kontaktopplysninger | Fødselsnummer, kopi av legitimasjon, bankopplysninger, passord, helseopplysninger, opplysninger om barn |
| Hvor mange personer? | Én eller noen få | Mange |
| Lesbart for den som har det? | Godt kryptert, nøkkelen er ikke lekket | Lesbart, eller passordet er også lekket |
| Hvem har det? | En kjent mottaker som bekrefter at vedkommende har slettet det | En ukjent person, en kriminell, eller offentlig tilgjengelig på internett |
Et eksempel: blir en godt kryptert bærbar PC stjålet, er det sannsynligvis ingen risiko. Da trenger du ikke å melde det, men du fører det likevel inn i registeret. På en ukryptert bærbar PC kan finneren lese alt, og da er det som regel risiko.
Når informerer du de berørte?
Medfører bruddet sannsynligvis høy risiko for personene opplysningene gjelder, informerer du dem uten unødig opphold (GDPR artikkel 34). Fortell i vanlig språk hva som skjedde, hva konsekvensene kan bli, hva du gjør, og hva de selv kan gjøre, for eksempel endre et passord eller være ekstra oppmerksomme på phishing i ditt navn.
Det er ikke nødvendig hvis opplysningene var ulesbare på grunn av god kryptering, eller hvis du i ettertid har iverksatt tiltak som gjør at den høye risikoen ikke lenger er sannsynlig. Krever det en uforholdsmessig stor innsats å nå alle, gir du i stedet en offentlig melding.
Registeret over personopplysningsbrudd: før det alltid
Du registrerer hvert personopplysningsbrudd, også når du ikke melder det (GDPR artikkel 33 nr. 5). Noter faktaene, konsekvensene, tiltakene og vurderingen din: hvorfor du meldte det eller ikke, og hvorfor du informerte de berørte eller ikke. AP har et eksempelregister for personopplysningsbrudd.
Hva hvis bruddet skjer hos en leverandør?
Hostingselskapet ditt, regnskapsprogrammet i skyen eller nyhetsbrevtjenesten din er i henhold til GDPR en databehandler: en part som behandler personopplysninger på oppdrag fra deg. En databehandler må informere deg uten unødig opphold hvis vedkommende oppdager et personopplysningsbrudd (GDPR artikkel 33 nr. 2). Deretter vurderer du om du må melde det, og i prinsippet melder du det også selv.
Dette gjelder også hvis WebOké er din databehandler. Tror du at bruddet skjer hos oss, for eksempel på serverne våre? Ta da umiddelbart kontakt med oss via en sak i Supportsenteret, med hva du har sett og når.
Les mer
- WebOké Backups: vise, gjenopprette eller laste ned en sikkerhetskopi
- Autoriteit Persoonsgegevens: melde eller ikke melde
- Autoriteit Persoonsgegevens: hvordan du melder et personopplysningsbrudd
- Autoriteit Persoonsgegevens: spørreskjema for meldeskjemaet
- Autoriteit Persoonsgegevens: eksempelregister for personopplysningsbrudd
- GDPR, artiklene 4, 33 og 34 (EUR-Lex)