Meld databrudd innen 72 timer – lav risiko er det snevre unntaket

Den behandlingsansvarlige skal etter personvernforordningen artikkel 33 melde brudd på personopplysningssikkerheten til tilsynsmyndigheten uten ugrunnet opphold og om mulig innen 72 timer etter å ha fått kjennskap til bruddet. For en norsk virksomhet som skal melde til Datatilsynet, betyr det at risikovurderingen må begynne straks bruddet er kjent. Unntaket gjelder bare når bruddet sannsynligvis ikke vil medføre risiko for fysiske personers rettigheter og friheter.

En lav, men reell risiko er dermed ikke nok til å la være å melde. Dersom bruddet sannsynligvis medfører høy risiko, må den behandlingsansvarlige også vurdere varsling av de berørte uten ugrunnet opphold. Det er en egen plikt med en høyere risikoterskel enn meldingen til tilsynet.

Avklar om personopplysninger er rammet

Begynn med hendelsen, ikke med betegnelsen den fikk i den interne avviksloggen. En feilsendt e-post kan ha gitt uvedkommende tilgang til opplysninger. En utilsiktet endring kan ha gjort dem uriktige, mens et systemutfall kan ha gjort dem utilgjengelige. Kartlegg hvilke opplysninger som er berørt, hvem de gjelder, hva som har skjedd med dem, og om virksomheten fortsatt har kontroll over dem.

Datatilsynets veiledning om meldeplikt beskriver unntaket som snevert: Den behandlingsansvarlige må være tilnærmet helt sikker på at bruddet ikke har medført eller vil medføre risiko for de berørte. Tilsynet nevner blant annet feil i tilgangsstyring, utilgjengelige opplysninger og brev eller e-post sendt til feil mottaker som hendelser som kan kreve melding. Hendelsestypen alene avgjør likevel ikke risikoen.

Vurder følgene for personene, ikke bare om virksomheten har fått driftsproblemer. Opplysningenes art, mulig mottaker, hvor lenge opplysningene var tilgjengelige eller utilgjengelige, og hva mottakeren kan gjøre med dem, er relevante forhold. Få ned den foreløpige konklusjonen skriftlig, også dersom den er at risiko er usannsynlig. Nye funn kan endre vurderingen.

Fastsett tidspunktet for kjennskap

Fristen starter når den behandlingsansvarlige får kjennskap til bruddet, som kan være senere enn selve hendelsen. Personvernrådets veiledning knytter kjennskap til en rimelig grad av sikkerhet for at en sikkerhetshendelse har skjedd og at personopplysninger er kompromittert. Et første varsel kan kreve en kort undersøkelse, men en full teknisk gransking er ikke nødvendig før fristen begynner å løpe.

Loggfør derfor både når mistanken kom inn, og når virksomheten hadde tilstrekkelig grunnlag for å fastslå et brudd. Noter hva som var kjent på hvert tidspunkt. Oppstår hendelsen hos en databehandler, skal denne varsle den behandlingsansvarlige uten ugrunnet opphold; den behandlingsansvarlige må deretter ta stilling til melding til tilsynet.

Fordel arbeidet frem til fristen

Intervallene nedenfor er foreslåtte interne arbeidsmål, ikke lovbestemte del-frister. En melding som er klar, skal sendes uten ugrunnet opphold; ingen skal vente på slutten av intervallet.

1. Time 0–4: Den som oppdager hendelsen, varsler den som leder hendelseshåndteringen. Sikkerhetsansvarlig begrenser videre eksponering og bevarer relevante spor. Beslutningstakeren registrerer tidspunktet for kjennskap og avklarer om personopplysninger kan være rammet.
2. Time 4–24: Fagansvarlige kartlegger opplysningstyper, berørte grupper, mulig tilgang og sannsynlige følger. Personvernombudet trekkes inn dersom virksomheten har et. Den behandlingsansvarlige avgjør om risiko er usannsynlig, om tilsynet skal ha melding, og om mulig høy risiko krever rask informasjon til berørte.
3. Time 24–48: Ved meldeplikt samler virksomheten bekreftede fakta, begrunnede anslag, kontaktpunkt og tiltak. Den som skal sende meldingen, sjekker at vedkommende har tilgang til innsendingstjenesten. Ved sannsynlig høy risiko utformes informasjonen til de berørte parallelt.
4. Time 48–72: Kontroller at en påkrevd melding er sendt, og ta vare på innsendingsbekreftelsen. Mangler det fortsatt opplysninger, send det som er kjent og angi at en tilleggsmelding kommer. Går fristen ut før meldingen sendes, må årsaken til forsinkelsen oppgis.

Send det dere vet, og suppler senere

Datatilsynets innsendingveiledning viser til melding gjennom Altinn. Den som sender på virksomhetens vegne, må ha fullmakt til tjenesten og kunne logge inn med elektronisk ID. Avklar tilgangen tidlig i hendelsen, slik at et administrativt hinder ikke forsinker en ferdig vurdert melding.

Beskriv bruddets art og når det ble oppdaget. Ta med kategorier og omtrentlig antall berørte personer og oppføringer når dette kan anslås, sannsynlige konsekvenser, tiltak som er gjennomført eller planlagt, og et kontaktpunkt. Skill mellom det dere vet, det dere anslår, og det som fortsatt undersøkes. Det gjør meldingen nyttig selv om hendelsens fulle omfang ennå er uklart.

Kan ikke alle opplysninger gis innen fristen, skal den første meldingen inneholde det virksomheten vet og opplyse om at mer informasjon kommer. Tilleggsopplysninger må sendes så snart de foreligger. Behold en oversikt over åpne spørsmål og hvem som undersøker dem, slik at den trinnvise meldingen faktisk blir fulgt opp.

Vurder varsel til berørte for seg

Når bruddet sannsynligvis medfører høy risiko for personers rettigheter og friheter, skal de berørte informeres uten ugrunnet opphold. Regjeringens omtale av artikkel 34 forklarer at terskelen for å varsle personene er høyere enn terskelen for å melde til tilsynet. En innsendt melding til Datatilsynet avgjør derfor ikke alene om personene skal kontaktes.

Vurder konkret hva bruddet kan føre til for dem som er rammet: for eksempel misbruk av identitet, økonomisk tap eller bortfall av en viktig tjeneste. Ved varslingsplikt bør informasjonen forklare hva som har skjedd, sannsynlige følger, hvilke tiltak virksomheten har gjort eller planlegger, og hvor mottakeren kan få svar. Bruk en kanal som gir de berørte en reell mulighet til å få informasjonen raskt.

En høy risiko kan i noen tilfeller være avverget gjennom tiltak som allerede beskyttet de berørte opplysningene, eller gjennom etterfølgende tiltak som fjerner den sannsynlige høye risikoen. En slik konklusjon krever en konkret begrunnelse. Dersom direkte varsling ville kreve uforholdsmessig stor innsats, må virksomheten i stedet sikre like effektiv informasjon på annen måte.

Dokumenter beslutningene underveis

Samle hendelsesforløp, risikovurdering, tiltak, beslutning om melding og vurdering av varsling til berørte i samme interne sak. Registrer tidspunktet for hver beslutning, hvem som tok den, og hvilke opplysninger den bygget på. Dokumentasjonsplikten gjelder også brudd som etter vurderingen ikke skal meldes.

Oppdater saken når nye fakta kommer frem. Dersom andre opplysningstyper eller flere berørte avdekkes, kan både meldingen til tilsynet og vurderingen av informasjon til personene måtte endres. Den opprinnelige begrunnelsen bør bli stående, slik at det er mulig å se hvorfor virksomheten handlet som den gjorde ut fra det den visste på beslutningstidspunktet.

Les også:

• Jira eller Linear: lav startpris skjuler kostnaden ved SSO