Datalekk og meldeplikten

Modul 8: Når noe går galt · Lesetid: 11 minutter

Læringsmål: Etter denne leksjonen kan du avgjøre om noe er et datalekk, om du må melde det til Datatilsynet innen 72 timer og om du må informere de berørte, og du kan føre det i et datalekkregister.

Nøkkelbegreper: personopplysninger, datalekk (brudd på personopplysningssikkerheten), behandlingsansvarlig, databehandler, GDPR artikkel 33 og 34, meldeskjema for datalekk, 72 timer, risiko og høy risiko, datalekkregister

Hva er et datalekk?

Når folk hører «datalekk», tenker de ofte på hackere som stjeler en database. Det er én form for det. GDPR bruker en bredere beskrivelse: et brudd på personopplysningssikkerheten er et brudd på sikkerheten som fører til utilsiktet eller ulovlig tilintetgjøring, tap, endring, ulovlig utlevering av eller tilgang til personopplysninger (artikkel 4, nr. 12).

Personopplysninger er alle opplysninger om en identifiserbar person: et navn, en e-postadresse som jan.jansen@..., et telefonnummer, en adresse, et kundenummer med bestillingshistorikk, et bilde, en IP-adresse kombinert med andre opplysninger. Opplysninger om en bedrift som sådan (organisasjonsnummer, generell adresse) er det ikke, men opplysninger om kontaktpersonen er det.

Dermed er alt dette datalekk:

• en e-post med en kundeliste som går til feil mottaker;
• et nyhetsbrev der alle mottakere er synlige i Til- eller Kopi-feltet;
• en mistet minnepinne eller bærbar PC med personalopplysninger, hvis den ikke var kryptert;
• løsepengevirus som krypterer kundeadministrasjonen (opplysningene er da ikke tilgjengelige, selv om ingenting er kopiert);
• en overtatt e-postkonto med fakturaer som inneholder navn og adresser;
• en delt lenke til en mappe med søknadsbrev som er åpen for alle.

Ordet «brudd på sikkerheten» viser at det ikke bare handler om konfidensialitet. Også tap (opplysningene er borte) og endring (noen har endret kontonumre) teller med.

Hvem har ansvaret: du eller leverandøren din?

GDPR opererer med to roller.

• Den behandlingsansvarlige bestemmer hvorfor og hvordan personopplysninger behandles. For kunde- og personalopplysningene dine er det du, som næringsdrivende.
• En databehandler behandler opplysninger på vegne av deg: webhotellet ditt, regnskapsprogrammet ditt i skyen, nyhetsbrevtjenesten din, IT-leverandøren din.

Lekker det noe hos en databehandler, må denne melde det til deg uten unødig opphold (artikkel 33 nr. 2). Du vurderer deretter om du må melde til Datatilsynet og til de berørte, og i prinsippet melder du selv (med mindre dere har avtalt at databehandleren gjør det på dine vegne). Plikten ligger altså fortsatt hos deg, selv om feilen lå hos en annen. Derfor bør en databehandleravtale inneholde avtaler om hvor raskt og hvordan en databehandler informerer deg (leksjon 7.2).

72-timersklokken

Artikkel 33 i GDPR sier at du skal melde et datalekk uten unødig opphold og om mulig innen 72 timer til Datatilsynet, etter at du ble kjent med det. Unntaket: det er ikke sannsynlig at lekket utgjør en risiko for folks rettigheter og friheter.

Fire punkter blir ofte misforstått:

1. Klokken starter når du blir kjent med det, ikke når lekket skjedde. «Å bli kjent med det» betyr: du er rimelig sikker på at det foreligger et brudd som involverer personopplysninger. En kort førstevurdering er tillatt, men den som bevisst unngår å se nærmere på saken, skyver ikke klokken fremover.
2. 72 timer er 72 timer, også i helger og på helligdager. Oppdager du et lekk fredag kl. 16.40, er fristen mandag kl. 16.40.
3. Ufullstendig melding er tillatt. Vet du ikke alt etter 72 timer, melder du med det du vet og supplerer senere. Melder du senere enn 72 timer, må forsinkelsen begrunnes.
4. Det handler om risiko for folk, ikke om skaden for din egen bedrift.

Oppdaget:  fredag    16:40   -> klokken starter
          lørdag              (teller med)
          søndag              (teller med)
Senest mandag       16:40   -> melding til Datatilsynet (eventuelt ufullstendig)

Melding sender du i regelen via det digitale meldeskjemaet til Datatilsynet. Du kan forberede meldingen på forhånd ved å gå gjennom hva som skjedde, når, hvilke og hvor mange opplysninger og personer det gjelder, hva konsekvensene kan bli og hvilke tiltak du iverksatte. Her lønner loggen fra leksjon 8.1 seg.

Når skal du melde, og når ikke: risikovurderingen

Du vurderer hvor sannsynlige og hvor alvorlige konsekvensene for de berørte er. Tenk på: identitetstyveri, økonomisk tap, diskriminering, omdømmetap, eller tap av kontroll over egne opplysninger. Spørsmål som hjelper:

To eksempler som ofte går igjen:

• En kryptert bærbar PC blir stjålet, sterkt passord, nøkkelen er ikke lekket, fersk sikkerhetskopi: sannsynligvis ingen risiko. Ikke meld til Datatilsynet, men før det i registeret ditt.
• Nettbutikken blir hacket, angriperen har fått tak i e-postadresser og svakt lagrede passord: risiko, så du må melde. Og siden folk ofte gjenbruker passord (leksjon 1.4), er det høy risiko: de berørte må informeres.

Er du i tvil? Da er melding som regel det trygge valget. Også Datatilsynet anbefaler å melde ved tvil. Ny informasjon gir du senere i en oppfølgingsmelding.

Informere de berørte: ved høy risiko

Artikkel 34 handler om menneskene opplysningene gjelder. Innebærer lekket sannsynligvis en høy risiko, informerer du dem uten ugrunnet opphold: så raskt som rimelig mulig. Her gjelder ingen 72-timersfrist, men å vente til alt er ferdig utredet er heller ikke meningen.

I meldingen beskriver du i klart språk hva som skjedde, hva de sannsynlige konsekvensene er, hva du gjør og hva de selv kan gjøre (for eksempel endre passordet sitt andre steder, være oppmerksom på phishing i ditt navn, varsle banken sin), pluss en kontaktperson.

Du trenger ikke informere hvis du hadde iverksatt egnede tiltak som gjør opplysningene uleselige (som god kryptering), hvis du i etterkant iverksatte tiltak som gjør at den høye risikoen ikke lenger er sannsynlig, eller hvis det krever en uforholdsmessig stor innsats: da gir du i stedet ut en offentlig melding (artikkel 34 nr. 3).

Merk: phishing følger ofte etter et datalekk. Kriminelle vet da hvem kundene dine er og sender en e-post «fra deg». Advar kundene dine om dette også.

Datalekkregisteret: alltid

Artikkel 33 nr. 5 forplikter deg til å føre hvert datalekk, også når du ikke melder det. Før opp: fakta, konsekvenser, tiltak, og vurderingen din (hvorfor du meldte eller ikke, hvorfor du informerte eller ikke). Du kan velge formen selv. En enkel tabell holder:

Nr | Oppdaget (dato/tid) | Hva skjedde | Hvilke opplysninger, hvor mange personer
   | Konsekvenser | Tiltak | Meldt til Datatilsynet? (ja/nei + hvorfor, dato)
   | Berørte informert? (ja/nei + hvorfor) | Avsluttet (dato)

Registeret hjelper deg også selv: ser du «e-post til feil mottaker» tre ganger i året, vet du hvor forbedringen bør skje (for eksempel en forsinkelse på utsending, eller ikke lenger kundelister som vedlegg, leksjon 7.3).

Datalekk og digitalsikkerhetsloven: to ulike meldinger

Omfattes organisasjonen din av digitalsikkerhetsloven (NIS2, leksjon 9.1), gjelder det i tillegg en meldeplikt for betydelige hendelser: et første varsel innen 24 timer, en melding innen 72 timer og en sluttrapport innen en måned, via registrering hos NSM. Det er en annen melding, med et annet formål (kontinuiteten i tjenestene) og til en annen myndighet. Et løsepengevirusangrep kan derfor omfattes av begge deler. De fleste små bedrifter omfattes ikke av digitalsikkerhetsloven; GDPR-meldeplikten gjelder derimot for alle. Merk: Norge er ikke EU-medlem. Digitalsikkerhetsloven trådte i kraft 1. oktober 2025 og gjennomfører NIS1; NIS2 er ennå ikke gjennomført i Norge. Terskler og meldefrister fra NIS2 beskrives her som EU-regler.

Denne leksjonen gir generell informasjon og er ikke juridisk rådgivning. Er du i tvil, bør du sjekke nettsiden til Datatilsynet eller kontakte en jurist.

Oppsummering

• Et datalekk er ethvert brudd som fører til at personopplysninger går tapt, endres, eller havner hos noen som ikke skal ha tilgang; også en e-post til feil mottaker eller en ukryptert bærbar PC som er mistet.
• Melding til Datatilsynet: uten unødig opphold og om mulig innen 72 timer etter at du oppdaget det, også i helger, med mindre det sannsynligvis ikke er noen risiko. Ufullstendig melding er tillatt.
• Informere de berørte: uten ugrunnet opphold, hvis det sannsynligvis er høy risiko.
• Lekker det hos databehandleren din, må denne informere deg; beslutningen om melding ligger hos deg.
• Før hvert datalekk i datalekkregisteret ditt, med din vurdering.

Quiz

Oppgave

Oppgave A8.2: Regn ut fristen. Du får fire oppdagelsestidspunkt. Fyll inn, for hvert tidspunkt, siste dato og klokkeslett for melding til Datatilsynet. Programmet kontrollerer svaret.

Oppgave A8.2b: Melde eller ikke? Du får åtte korte casuser. Velg for hver casus om du må melde til Datatilsynet, om du må informere de berørte, og om du skal føre den i datalekkregisteret ditt. Programmet kontrollerer svaret og gir en forklaring for hver casus.

Les mer

Trinnene i WebOké-artiklene gjelder for miljøet til WebOké; hos andre leverandører fungerer det på lignende måte.

• Hjelp! Nettstedet mitt er hacket. Hvordan løser eller forebygger jeg det?
• Datatilsynet, meldeskjema for avvik: https://www.datatilsynet.no/
• Datatilsynet, om meldeplikten ved avvik: https://www.datatilsynet.no/
• Datatilsynet, forberedelse av melding om avvik: https://www.datatilsynet.no/
• GDPR (forordning (EU) 2016/679), artikkel 4, 33 og 34: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• Det nederlandske NCSC, om melding av datalekk (nederlandsk kilde): https://www.ncsc.nl/wet-en-regelgeving/melden-van-een-datalek