Persondata og de registreredes rettigheder
Skal jeg anmelde det til Datatilsynet, hvis vi har et databrud?
Sidst efterset . Vi forklarer reglerne, som vi læser dem; det er ikke juridisk rådgivning.
Som hovedregel ja, uden unødig forsinkelse og om muligt inden for 72 timer via Virk.dk. Fristen løber, fra I bliver opmærksomme på bruddet. Er det usandsynligt, at nogen rammes, kan anmeldelse undlades. Ved høj risiko skal de berørte også have besked.
Sådan gør du
- Stop skaden: luk adgang, skift adgangskoder, og få overblik over, hvad der er ramt.
- Notér tidspunktet, I opdagede det. 72 timer tæller herfra.
- Vurdér risikoen for de berørte. Er den ikke usandsynlig, så anmeld på Virk.dk.
- Beskriv hvad der er sket, de sandsynlige følger, og hvad I gør for at begrænse skaden.
- Ved høj risiko: orientér de berørte direkte, ikke kun Datatilsynet. Overskrides fristen, så begrund forsinkelsen.
Tjekliste
Det kræver loven
Brud på persondatasikkerheden skal som hovedregel anmeldes til Datatilsynet uden unødig forsinkelse og om muligt inden for 72 timer via Virk.dk, regnet fra I bliver opmærksomme på bruddet. Anmeldelsen kan undlades, hvis det er usandsynligt at nogen rammes, og en forsinkelse skal begrundes. Anmeldelsen skal beskrive de sandsynlige konsekvenser og de tiltag, I har taget eller vil tage. Ved høj risiko skal de berørte også orienteres direkte.
Gælder det mig?
- Lægeklinik med patientdata
- Ja, som hovedregel inden 72 timer via Virk.dk. Helbred betyder ofte høj risiko, så patienterne skal også have besked.
- Webshop med stjålet kundeliste
- En lækket mailliste er typisk et brud. Anmeld, medmindre det er usandsynligt at nogen rammes, og beskriv hvad I gør for at begrænse skaden.
- Bogholder med lønfiler på USB
- En mistet nøgle med løn og CPR er et brud. Fristen løber fra I opdager det, ikke fra I er færdige med at undersøge.
Typiske fejl
- At vente på fuld klarhed, mens 72 timer løber.
- At glemme en mail sendt til forkert modtager som et muligt brud.
- At anmelde til tilsynet, men ikke fortælle de berørte ved høj risiko.
- At undlade anmeldelse uden at have vurderet risikoen.
Ordbog og definitioner
- Brud på persondatasikkerheden
- En hændelse, der fører til hændelig eller ulovlig ødelæggelse, tab, ændring eller uautoriseret adgang til personoplysninger.
- Høj risiko
- Når bruddet sandsynligt kan ramme de berørte hårdt, så de også skal have direkte besked, ikke kun tilsynet.