Et brev fra en kunde eller en kundes advokat: Kunden har lidt et tab efter jeres databrud og kræver erstatning. Måske er kundens data kommet ud, måske har kunden betalt til en falsk konto efter en mail fra jeres kompromitterede postkasse. Det første, I skal gøre, er ikke at svare på kravet. Det er at sikre, at al dokumentation om hændelsen bevares, og at give jeres forsikring og advokat besked. Svaret på kravet kommer bagefter og skal bygge på det, I kan dokumentere.
Artiklen handler om virksomhedens praktiske arbejde, når kravet rettes mod jer. Den juridiske side af erstatning efter persondatabrud er beskrevet for advokater her: → Erstatning efter persondatabrud: digitale beviser
Hvorfor dokumentationen er afgørende
Om I skal betale, afhænger af mange ting, som advokaten skal vurdere: om der er et tab, om I har handlet ansvarspådragende, og om tabet skyldes hændelsen. Men næsten alle de spørgsmål handler i sidste ende om fakta:
- Hvilke sikkerhedsforanstaltninger havde I, og var de rimelige?
- Hvornår opdagede I hændelsen, og hvad gjorde I?
- Hvilke data kom ud, og hvilke kom ikke?
- Hvornår og hvordan fik kunden besked?
Kan I dokumentere svarene, står I langt stærkere, både i en forhandling og i en eventuel sag. Kan I ikke, bliver det kundens fremstilling, der fylder.
Hvad gør I nu, i rækkefølge
- Bevar alt om hændelsen. Logs, sikrede kopier, rapporter, interne mails og chatbeskeder, notater og korrespondance med kunder, forsikring og Datatilsynet. Stop rutinesletning, der kan ramme materialet. → I har modtaget et krav om at bevare data
- Giv forsikringen besked. Et krav fra tredjemand kan være dækket af en anden police end selve hændelsen. → Underret forsikringsselskabet
- Kontakt jeres advokat, før I svarer. Send kun en kort kvittering for modtagelsen, hvis det er nødvendigt.
- Find dokumentationen fra hændelsen frem. Den vurdering af persondatabruddet, I lavede dengang, er et af de vigtigste dokumenter. → Persondatabrud: dokumentationen inden for 72 timer
- Lav en tidslinje. Hvornår skete hvad, og hvor kommer oplysningen fra? Marker, hvor I er usikre.
- Vurdér, om der mangler noget. Er der spørgsmål, I ikke kan svare på ud fra det, I har, kan en uvildig undersøgelse være nødvendig.
Det, I typisk skal kunne vise
- Hvordan var sikkerheden før hændelsen? · Politikker, konfiguration, backup, totrinslogin, opdateringer
- Hvad skete der? · Logs, sikrede kopier, rapport fra IT-leverandør eller IT-sagkyndig
- Hvilke data blev berørt? · Analyse af adgang og udtræk, afgrænsning
- Hvad gjorde I bagefter? · Logbog, underretninger, kommunikation med kunder
Hvis dokumentationen fra hændelsen er tynd
Mange virksomheder opdager først, når kravet kommer, at de ikke gemte ret meget, da hændelsen skete. Systemerne blev sat op igen, loggen er udløbet, og vurderingen af persondatabruddet er en kort mail. Det er ikke usædvanligt, og det er ikke nødvendigvis afgørende. Men det kræver, at I arbejder systematisk med det, der er tilbage.
Start med at kortlægge, hvor der stadig kan være spor:
- backup fra før og efter hændelsen,
- logs hos IT-leverandøren eller i skytjenester, der gemmes længere end jeres egne,
- mails og fakturaer fra den periode, hvor hændelsen blev håndteret,
- rapporter fra sikkerhedsværktøjer, som måske ligger hos leverandøren,
- kundens egen dokumentation, som advokaten kan bede om.
Skriv ærligt ned, hvad der ikke længere findes, og hvorfor. Et forklaret hul er bedre end et hul, modparten finder og forklarer for jer. Lad advokaten vurdere, hvordan det håndteres i sagen.
Hvem gør hvad
- Direktøren ejer sagen og har kontakten til advokaten og forsikringen.
- Den persondataansvarlige finder vurderingen og underretningerne fra hændelsen frem.
- IT eller IT-leverandøren finder logs, rapporter og konfiguration frem og sørger for, at intet slettes.
- Økonomi samler oplysninger om betalinger, hvis kravet handler om en falsk faktura.
- Advokaten svarer på kravet og vurderer ansvaret.
Det skal I lade være med
- Svar ikke på kravet uden advokat. Selv en venlig undskyldning kan blive læst som en indrømmelse.
- Slet eller ryd ikke op i noget, der handler om hændelsen. Kravet betyder, at I kan have pligt til at bevare. Sletning nu kan blive brugt mod jer.
- Skriv ikke nye interne vurderinger i mails. Alt, I skriver om sagen, kan blive et bilag. Tal hellere, og lad advokaten skrive. → Alt, I skriver om sagen, kan blive bevis
- Lad ikke IT-leverandøren alene forklare forløbet. Hvis leverandøren havde ansvaret for den sikkerhed, der svigtede, har leverandøren en egen interesse.
Når kravet handler om en falsk faktura
En almindelig variant er, at en kunde har betalt en faktura med et forkert kontonummer, efter at jeres postkasse var overtaget. Kunden mener, at I bærer tabet, fordi mailen kom fra jer. I mener måske, at kunden burde have tjekket kontonummeret.
Hvem der bærer tabet, er et juridisk spørgsmål, som afhænger af aftaler, praksis mellem parterne og den konkrete sikkerhed. Men begge sider vil bruge de tekniske spor: Kom mailen fra jeres server eller fra en efterligning? Var jeres postkasse kompromitteret, og hvor længe? Hvad var kundens egne rutiner? Bed kunden om at gemme den mail, de modtog, med headere, og sikr jeres egne logs.
Når I også har et krav mod andre
Ofte er I ikke den eneste part. Hvis hændelsen skyldtes en fejl hos jeres IT-leverandør eller en underleverandør, kan I have et krav mod dem. Det er vigtigt at sikre dokumentationen, før leverandøren rydder op, og at den sikres af en, der ikke er leverandøren selv. → Leverandøren blev hacket
Hvornår skal I have hjælp udefra?
Når kravet er stort, når kunden har en advokat, eller når I ikke selv kan svare på, hvad der skete, og hvilke data der blev berørt. En uvildig IT-sagkyndig kan sikre det, der stadig findes, og beskrive forløbet i en form, der kan bruges af jeres advokat. Det er bedst at gøre det tidligt, mens logs og systemer stadig findes.
Tal med kunden, men gennem den rigtige kanal
Kunden er måske en vigtig samarbejdspartner, og I vil gerne bevare forholdet. Det er forståeligt. Men lad den formelle dialog om kravet gå gennem advokaten. Den daglige kontakt om leverancer og drift kan fortsætte som normalt, så længe ingen kommer med vurderinger af hændelsen eller ansvaret. Aftal internt, hvem der må tale med kunden om hvad.
Lær af kravet
Uanset hvordan sagen ender, så brug den til at se på jeres dokumentation. Havde I den vurdering af hændelsen, I fik brug for? Kunne I vise, hvordan sikkerheden var? Svarene peger på, hvad der skal på plads, før den næste hændelse.
Læs også: Underret forsikringsselskabet: hvornår og med hvad? · NIS2: dokumentation, når hændelsen er sket
→ Hacket eller snydt? Hjælp til virksomheden · Haster det? Akut hjælp · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
