Et brud på persondatasikkerheden er et sikkerhedsbrud, der fører til utilsigtet eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysninger. Ikke alle hændelser skal anmeldes, men du skal kunne dokumentere, hvordan du er nået frem til denne konklusion.
Indholdsfortegnelse
Lovgrundlag
Definitionen findes i artikel 4(12) i GDPR. Artikel 33 kræver, at den dataansvarlige underretter den hollandske databeskyttelsesmyndighed uden unødig forsinkelse og senest inden for 72 timer efter at være blevet opmærksom på bruddet, medmindre det er usandsynligt, at det vil resultere i en risiko for fysiske personers rettigheder og friheder. Artikel 34 tilføjer en pligt til at underrette de fysiske personer selv, når risikoen er høj. Databehandlere underretter ikke tilsynsmyndigheden, men den dataansvarlige, og skal gøre det uden forsinkelse. Artikel 33(5) kræver et register over alle brud, herunder dem, der ikke er blevet anmeldt.
Sådan fungerer det i praksis
De 72 timer starter, når du har rimelig sikkerhed for, at der er indtruffet en sikkerhedshændelse, der involverer personoplysninger, og ikke når undersøgelsen er afsluttet. Underretning kan derfor ske i etaper: først hvad du ved, derefter tilføjelserne. Vurderingen afhænger af konsekvenserne for den enkelte: involverer det særlige kategoridata, kombinationer, der muliggør identitetssvindel, store tal eller personer i en sårbar position? En mistet bærbar computer med en krypteret disk er normalt ikke anmeldelsespligtig; en fejladresseret forsendelse, der indeholder sundhedsdata, er næsten altid.
Hvor det går galt
Det meste håndhævelse vedrører eftervirkningerne snarere end selve bruddet. Organisationer anmelder sent, fordi de først internt vil fastslå, hvem der er skyld i bruddet, eller de springer over at informere personerne af frygt for omdømmeskade, selvom risikoen var høj nok. En tredje faldgrube er det manglende interne register: uden det kan du ikke underbygge, hvorfor en hændelse ikke blev anmeldt, og din vurdering tæller simpelthen ikke.
Relaterede termer
Et brud er direkte forbundet med databehandleraftalen , som bør angive din leverandørs rapporteringsfrist, og med den hollandske cybersikkerhedslov , som pålægger visse sektorer sin egen kortere frist.
Er du usikker på, om en hændelse skal anmeldes? Vores IT-retsspecialister vil vurdere den sammen med dig, herunder inden for 72-timers vinduet.
