Databrudd: hva bedriften må gjøre etter GDPR artikkel 33

Hva som faktisk er et databrudd

Et databrudd, også kalt personvernavvik, oppstår når personopplysninger utilsiktet eller ulovlig ødelegges, mistes, endres, utleveres eller gjøres tilgjengelig for uvedkommende. Det dekker tre situasjoner: at noen har fått se data de ikke skulle se, at data er endret eller borte, og at data ikke er tilgjengelige når de trengs. Hva som regnes som personopplysninger er forklart i GDPR artikkel 4.

I en liten bedrift ser det ofte slik ut: en e-post med kundeliste sendt til feil mottaker, en pc som blir stjålet, et skjemasvar som havner i feil innboks, en tidligere ansatt som fortsatt har tilgang, eller en nettbutikk der noen har kommet inn på kundekontoer. Det er ikke bare hacking som teller. De vanligste avvikene er menneskelige feil som enkle rutiner kunne fanget opp.

Et databrudd er en hendelse. Et brudd på GDPR-reglene er noe annet, for eksempel at du behandler opplysninger uten gyldig grunnlag eller mangler avtale med leverandøren. Hendelsen kan utløse meldeplikt, regelbruddet kan utløse tilsyn. Grunnmuren er den samme: oversikt over hvilke opplysninger du har, hvor de ligger og hvem som har tilgang. Regler for nettsider og netthandel gir deg den oversikten, og personvern og GDPR for nettsider går nærmere inn på nettsidedelen.

72 timer, og vurderingen som avgjør

Etter GDPR artikkel 33 skal bruddet meldes til tilsynsmyndigheten, i Norge Datatilsynet, uten ugrunnet opphold og senest 72 timer etter at virksomheten fikk kjennskap til det. Fristen gjelder ikke dersom bruddet sannsynligvis ikke medfører risiko for rettighetene og frihetene til personene det gjelder. Vurderingen er derfor det viktigste arbeidet du gjør, og den skal være skriftlig.

Kjennskap betyr ikke at du må ha full oversikt. Fristen løper fra det tidspunktet noen i virksomheten har nok informasjon til å forstå at et brudd har skjedd og kan begynne å vurdere det. En mistanke bør derfor behandles som et avvik med en gang, ikke som en intern sak som venter på nærmere undersøkelser.

I vurderingen ser du på hvilke typer opplysninger som er berørt, om de kan knyttes til personer, om de var kryptert, om de allerede er offentlig tilgjengelige, og hvem som kan ha fått tilgang. Kontoopplysninger, helseopplysninger og innloggingsdetaljer veier tyngre enn en e-postadresse. Du trenger ikke vente til du har alle detaljer: en første melding kan sendes innen fristen, og ytterligere opplysninger kan ettersendes etter hvert.

De første timene: en rekkefølge som virker

Stopp det som pågår. Sperr kontoen, bytt passord, trekk tilbake delt tilgang, fjern en feilpublisert fil. Ta vare på logger og e-poster, og slett ingenting før noen har gått gjennom hva som faktisk har skjedd.

Sett én person til å føre tidslinje. Noter når avviket ble oppdaget, av hvem, hva som er gjort og hva du fortsatt ikke vet. Denne loggen blir grunnlaget for både vurderingen og dokumentasjonen, og gjør det langt enklere å svare hvis Datatilsynet spør.

Ta deretter stilling til to spørsmål: skal bruddet meldes, og skal de berørte varsles? Lukk avviket med en konkret endring, for eksempel tofaktor på kontopanelet, en tilgangsliste som gjennomgås jevnlig, eller en mal for utsending av lister med mottakerkontroll. En rutine som bare finnes i hodet til én ansatt, forsvinner ved ferieavvikling.

Dokumentasjonsplikten gjelder også når du ikke melder

Mange tror saken er over når de har bestemt seg for ikke å melde. Det stemmer ikke. Etter artikkel 33 nummer 5 skal den behandlingsansvarlige dokumentere ethvert brudd, med de faktiske forholdene, virkningene og tiltakene som er iverksatt. Dokumentasjonen skal gjøre det mulig for tilsynsmyndigheten å kontrollere at du følger reglene.

En enkel mal er nok: hva skjedde, når skjedde det, hvilke opplysninger og hvor mange personer var berørt, hva var risikoen, hva besluttet du og hvorfor, hvem ble varslet, og hva er endret etterpå. Oppbevar den sammen med avviksloggen, ikke som en løs fil på en ansatts maskin.

Når kundene bør varsles

Melding til Datatilsynet og varsling til de berørte er to separate vurderinger. Når et brudd sannsynligvis medfører høy risiko for personene, skal de underrettes direkte og uten ugrunnet opphold. Du kan altså melde til Datatilsynet uten at kundene må varsles.

Varslingen skal være forståelig og si hva som har skjedd, hva det betyr for mottakeren, hva de kan gjøre selv, og hvem de kan kontakte. Korte, ærlige e-poster med ett konkret råd virker bedre enn lange redegjørelser. Kommer du til at risikoen er lav og lar være å varsle, skriv ned hvorfor. Det er nettopp den vurderingen som blir etterspurt i ettertid.

Leverandører, nettsiden og det som ofte glemmes

Er du databehandler for en annen virksomhet, skal du varsle den behandlingsansvarlige uten ugrunnet opphold etter at du ble kjent med bruddet. Avtalen må derfor si hvordan et avvik varsles, til hvem og hvor raskt. Uten det blir varslingen tilfeldig.

For nettbutikker og tjenestebedrifter ligger mye av risikoen i oppsettet på nettsiden: skjemaer som samler mer enn nødvendig, verktøy som deler data videre, gamle administratorbrukere og samtykkeløsninger som ikke fungerer som de skal. Behandling som er risikofylt fra før, bør ha en oppdatert konsekvensvurdering. Se også hva som gjelder for informasjonskapsler og samtykke.

Gå gjennom dette en gang i året: hvilke skjemaer samler personopplysninger, hvor lagres svarene, hvem har tilgang, og hvor lenge blir de liggende. Nettsaga bygger nettsider der skjemaer, samtykke og tilgang er satt opp ryddig fra starten. Vil du se hvordan det ser ut for din type bedrift, kan du booke en demo.

Vanlige spørsmål

Må jeg melde alle databrudd til Datatilsynet?

Nei. Du kan la være dersom bruddet sannsynligvis ikke medfører risiko for personene det gjelder. Du må fortsatt dokumentere bruddet, vurderingen og tiltakene.

Når regnes fristen fra?

Fra det tidspunktet virksomheten har nok informasjon til å forstå at et brudd har skjedd, ikke fra du har full oversikt. Derfor bør en mistanke behandles som et avvik med en gang.

Er en e-post sendt til feil mottaker et databrudd?

Ja, det er et typisk brudd på konfidensialitet. Om det skal meldes avhenger av hva som sto i e-posten og hvem som fikk den. En kundeliste må vurderes nøye.

Må vi varsle kundene selv om vi melder til Datatilsynet?

Ikke automatisk. Varsling til de berørte gjelder når bruddet sannsynligvis medfører høy risiko for dem. Mange saker meldes uten at kundene varsles.

Hva gjør vi hvis leverandøren vår har hatt brudd?

Databehandleren skal varsle deg uten ugrunnet opphold. Deretter er det din vurdering som behandlingsansvarlig som avgjør om bruddet skal meldes videre og om kundene skal varsles.