Ved et brud på persondatasikkerheden skal virksomheden som udgangspunkt anmelde bruddet til Datatilsynet inden for 72 timer efter, at I er blevet opmærksomme på det, medmindre det er usandsynligt, at bruddet indebærer en risiko for de berørte. Alle brud skal dokumenteres internt, også dem, der ikke anmeldes. Det svære er sjældent selve anmeldelsen. Det er at have styr på, hvad der skete, før sporene forsvinder. Tjek altid reglerne og Datatilsynets vejledning i den konkrete sag.
De 72 timer går hurtigt. Samtidig er det i de timer, IT får lyst til at rydde op, nulstille og geninstallere. Det kan løse problemet, men det kan også fjerne den dokumentation, I skal bruge over for Datatilsynet, forsikringen og eventuelt i en senere tvist.
Hvad tæller som et brud?
Et brud på persondatasikkerheden er en sikkerhedshændelse, der fører til, at personoplysninger hændeligt eller ulovligt tilintetgøres, går tabt, ændres, videregives eller bliver tilgængelige for uvedkommende. Typiske eksempler:
- en mail med kundedata sendt til en forkert modtager,
- en mailkonto, der er overtaget af en ukendt, → Mailkontoen er overtaget
- en bærbar computer med kundedata, der er mistet,
- ransomware, der har krypteret systemer med personoplysninger,
- en medarbejder, der har slået op i oplysninger uden arbejdsmæssig grund.
Hvornår starter de 72 timer?
Fristen regnes fra det tidspunkt, hvor I er blevet opmærksomme på bruddet, det vil sige har en rimelig grad af sikkerhed for, at der er sket et brud. Det er derfor vigtigt at notere, hvornår mistanken opstod, og hvornår den blev bekræftet. Kan I ikke nå at få det fulde billede inden for fristen, kan oplysningerne typisk gives i etaper. Det skal dokumenteres, hvorfor anmeldelsen eventuelt sker senere.
Tidsplan for de første 72 timer
Time 0-4: Stop skaden, bevar sporene
- ☐ Notér tidspunktet for opdagelsen, og hvem der opdagede bruddet.
- ☐ Begræns skaden, for eksempel ved at spærre en konto, men slet den ikke.
- ☐ Bed IT om ikke at geninstallere, nulstille eller rydde op, før sporene er sikret.
- ☐ Sikr de logs, der udløber først, for eksempel login- og revisionslogs. → Logfiler og logrotation
- ☐ Giv besked til den, der ejer hændelsen, og til databeskyttelsesrådgiveren, hvis I har en.
Time 4-24: Find ud af, hvad der skete
- ☐ Hvilke systemer og hvilke data er berørt?
- ☐ Hvor mange personer drejer det sig om, cirka?
- ☐ Hvilke typer oplysninger? Er der følsomme oplysninger eller personnumre?
- ☐ Er data kopieret ud, eller kun gjort utilgængelige?
- ☐ Hvornår startede hændelsen, og er den stoppet?
Time 24-72: Vurder og anmeld
- ☐ Vurder risikoen for de berørte personer.
- ☐ Beslut, om bruddet skal anmeldes, og skriv begrundelsen ned.
- ☐ Anmeld via Datatilsynets formular, eventuelt med en foreløbig anmeldelse.
- ☐ Vurder, om de berørte personer skal underrettes.
- ☐ Underret forsikringsselskabet, hvis I har en relevant forsikring.
Hvad IT skal gemme
- Login- og revisionslogs · Viser, hvem der var inde, og hvad der blev gjort
- Firewall- og VPN-logs · Viser trafik ind og ud
- Mailserverens logs · Viser, hvad der er sendt og videresendt
- Berørte computere · Kan vise, hvordan angrebet kom ind
- Backup før hændelsen · Viser, hvordan data så ud før
Sikring er ikke det samme som undersøgelse. Det vigtigste i de første timer er, at intet slettes eller overskrives. Undersøgelsen kan ske bagefter. → Bevissikring efter et cyberangreb
Hvem gør hvad
- Ledelse · Ejer hændelsen og beslutter anmeldelse
- IT · Begrænser skaden og bevarer logs
- DPO eller persondataansvarlig · Vurderer risiko og anmeldelse
- Advokat · Rådgiver om ansvar og kommunikation
- IT-sagkyndig · Sikrer spor og dokumenterer forløbet
Det skal I lade være med
- At geninstallere eller nulstille, før loggen er sikret. Så kan I ikke vise, hvad der skete.
- At vente med at notere tidspunktet, til I er sikre. Notér, når mistanken opstår.
- At skrive spekulationer i mails om, hvem der har skylden. Hold jer til fakta.
- At skjule et brud, fordi det var en medarbejders fejl. Fokus er på håndteringen, ikke på skyld.
- At glemme den interne dokumentation af brud, der ikke anmeldes.
Den interne dokumentation
Alle brud skal dokumenteres, også de små. Dokumentationen bør beskrive, hvad der skete, hvilke data der var berørt, hvilke følger bruddet havde, og hvad I gjorde. Brug en fast skabelon, så det ikke skal opfindes, når det sker. Datatilsynet kan bede om den, og den viser, at I har styr på jeres håndtering. Den juridiske og dokumentationsmæssige side over for tilsynet er beskrevet for advokater. → Sager hos Datatilsynet: dokumentation fra IT-siden
Skal de berørte personer underrettes?
Ud over anmeldelsen til Datatilsynet kan I have pligt til at underrette de berørte personer, hvis bruddet sandsynligvis indebærer en høj risiko for dem. Det kan for eksempel være, når personnumre, helbredsoplysninger eller adgangskoder er kommet i forkerte hænder. Underretningen skal være i et klart sprog og fortælle, hvad der er sket, hvad følgerne kan være, og hvad I gør. Den skal ske uden unødig forsinkelse.
Underretningen er også kommunikation, der kan blive læst af mange og citeret bagefter. Lad den, der ejer hændelsen, godkende teksten, og lad advokaten læse den, hvis bruddet kan føre til krav. Skriv ikke noget om årsagen, som I ikke ved endnu. → Kommunikation efter et cyberangreb
Når en medarbejder står bag
Nogle brud skyldes ikke et angreb udefra, men en medarbejder, der har slået op i oplysninger uden grund eller sendt data ud. Så er bruddet både en databeskyttelsessag og en personalesag. Anmeldelsen til Datatilsynet følger de samme regler, men sporene skal også kunne bruges i den interne sag. Bevar logs og konti, før medarbejderen konfronteres, og hold de to spor adskilt i dokumentationen.
En fast skabelon
Hav en skabelon klar til brudloggen, før der sker noget. Den bør have felter for tidspunkt for opdagelse, beskrivelse, berørte data og personer, risikovurdering, beslutning om anmeldelse med begrundelse, underretning af berørte og de tiltag, der er sat i gang. Når skabelonen findes, er det lettere at holde fristen, fordi ingen skal begynde fra et blankt ark midt i en krise.
Forsikringen
Har I en cyberforsikring, kræver den typisk, at hændelsen meldes hurtigt, og at bestemte skridt aftales med forsikringsselskabet. Nogle forsikringer har deres egne hændelseshold. Tjek betingelserne, før I sætter eksterne i gang, og notér, hvornår forsikringen blev underrettet. Den dokumentation, I samler til Datatilsynet, er ofte den samme, som forsikringen vil se.
Hvornår skal I have hjælp udefra
Få en IT-sagkyndig ind med det samme, hvis bruddet skyldes et angreb, en overtaget konto eller mistanke om, at en medarbejder har misbrugt data. Sporene forsvinder hurtigt, og de 72 timer er korte. Haster det, så sig det, når I ringer. Hastesager koster ekstra hos de fleste rådgivere, også hos Nielco IT.
Læs også: AI til gennemgang af medarbejderes mails: hvad skal I overveje? · Datatilsynet varsler tilsyn: hvad skal kunne fremvises?
→ Gennemgang af en medarbejders mailkonto · Tlf. 70 13 63 23 · Digital bevissikring hos Nielco IT
