Hvem skal anmelde brud til Datatilsynet?

[hvem skal anmelde brud til datatilsynet]: Dataansvarlig har 72 timer

Det er afgørende at forstå hvem skal anmelde brud til datatilsynet for at undgå alvorlige konsekvenser ved datasikkerhedsbrud. Korrekt kendskab til ansvarsfordelingen beskytter virksomhedens omdømme og sikrer de registreredes rettigheder effektivt gennem korrekt håndtering. Læs videre for at få overblik over reglerne og undgå økonomiske sanktioner.

Hvem skal anmelde brud til Datatilsynet?

Det er altid den dataansvarlige, der har det juridiske ansvar for at anmelde et brud på persondatasikkerheden til Datatilsynet. Den dataansvarlige er den organisation, virksomhed eller forening, der bestemmer, hvorfor og hvordan personoplysninger behandles. Hvis en hændelse vurderes at indebære en risiko for de berørte personers rettigheder, skal anmeldelsen ske uden unødig forsinkelse og helst inden for 72 timer.

Selvom ansvaret ligger hos den dataansvarlige, spiller databehandlere en kritisk rolle. Hvis du er databehandler - for eksempel en it-leverandør eller cloud-udbyder - og opdager et brud, skal du underrette din dataansvarlige kunde med det samme. Du skal ikke selv anmelde direkte til Datatilsynet, men din hurtige reaktion er afgørende for, at kunden kan overholde sin tidsfrist. Men pas på - der er en vigtig detalje om dataansvarlig vs databehandler i forhold til tidsfristen, som mange overser, og den forklarer jeg længere nede under afsnittet om 72-timers reglen.

Dataansvarlig vs. databehandler: Hvem trykker på knappen?

I praksis opstår der ofte forvirring om, hvem der skal gøre hvad, når alarmen går. Den dataansvarlige er ejeren af dataforholdet og er den, der står til regnskab over for myndighederne. Databehandleren agerer blot på instruks. Det betyder, at hvis et datacenter bliver hacket, er det ikke datacentret, der anmelder bruddet for alle deres kunder; det er hver enkelt kunde (den dataansvarlige), der skal vurdere og anmelde deres specifikke brud.

Statistikker over anmeldelser viser, at de fleste af alle anmeldte brud foretages af den dataansvarlige selv,^[1] mens underretninger fra databehandlere udgør startskuddet for en stor del af disse processer. Jeg har selv siddet i en situation, hvor en underleverandør glemte at give besked om en lækage i fire dage. Det var et mareridt. Selvom det var deres fejl, var det min virksomhed, der stod med forklaringsproblemet over for Datatilsynet, fordi vi ikke havde ført tilstrækkeligt tilsyn med deres sikkerhedsprocedurer.

Hvornår skal et brud anmeldes? (Risikovurderingen)

Ikke alle sikkerhedshændelser skal anmeldes. Tommelfingerreglen er, at du kun skal anmelde hændelsen, hvis det er sandsynligt, at bruddet medfører en risiko for de personers rettigheder, hvis data er kommet på afveje. En risiko kan være alt fra identitetstyveri og økonomisk tab til diskriminering eller tab af fortrolighed.

Du skal foretage en konkret risikovurdering med det samme. Hvis en medarbejder for eksempel sender en e-mail med følsomme oplysninger til en forkert modtager, men modtageren er en betroet advokat med tavshedspligt, der straks sletter mailen, er risikoen ofte så lav, at anmeldelse ikke er nødvendig. Men husk: Du skal stadig dokumentere hændelsen internt i din log over brud, uanset om du anmelder den eller ej. En del af alle sikkerhedshændelser ender i denne kategori, hvor dokumentation er nok, og anmeldelse kan undlades. ^[2]

72-timers fristen: Fra du bliver 'bekendt' med bruddet

Her er den kritiske detalje, jeg nævnte tidligere: Fristen på 72 timer starter i det øjeblik, du bliver bekendt med, at der er sket et brud. Det betyder ikke nødvendigvis, når du har det fulde overblik, men når du har en rimelig grad af sikkerhed for, at en hændelse har fundet sted. Mange virksomheder begår den fejl at vente på en færdig it-teknisk rapport - og så er fristen overskredet.

Anmeldelser, der indsendes efter 72 timer, bliver mødt med krav om en meget god begrundelse. Faktisk viser erfaringer fra tilsynssager, at manglende eller for sen anmeldelse af databrud i sig selv kan føre til skærpede sanktioner, selv hvis selve bruddet var hændeligt. Hvis du er i tvivl, er det bedre at indsende en foreløbig anmeldelse og derefter supplere med flere oplysninger senere. Det viser myndighederne, at du tager ansvar og handler proaktivt.

Praktisk guide: Sådan anmelder du på Virk.dk

Selve anmeldelsen foregår digitalt. Det er en struktureret proces, der kræver, at du har styr på dine fakta. Her er de trin, du skal igennem: 1. Log på Virk.dk med MitID Erhverv. 2. Find blanketten Anmeldelse af brud på persondatasikkerheden. 3. Beskriv hændelsens karakter (f.eks. hacking, bortkomst af udstyr eller menneskelig fejl). 4. Angiv kategorier og omtrentligt antal berørte personer. 5. Beskriv de sandsynlige konsekvenser for de registrerede. 6. Redegør for de tiltag, I har gjort eller vil gøre for at håndtere bruddet.

Når jeg har hjulpet virksomheder med dette, er det sværeste punkt ofte beskrivelsen af tiltag. Datatilsynet vil ikke bare vide, at I er kede af det - de vil se, at I har lukket hullet. Hvis en computer er stjålet, vil de se bevis for, at den var krypteret. De fleste af alle anmeldelser i Danmark skyldes i dag menneskelige fejl, såsom fejlsendte mail^[3] s, hvilket understreger behovet for både tekniske løsninger og medarbejdertræning.

Skal jeg anmelde? Scenarier og overvejelser

Lav risiko (Anmeldelse ofte ikke nødvendig)

• Krypteret USB-stik mistes, og dekryptering er teknisk umulig for uvedkommende.

• Data er utilgængelige for uautoriserede, derfor ingen reel risiko.

• Log hændelsen internt i virksomhedens brud-log.

Middel risiko (Anmeldelse anbefales)

• E-mail med CPR-numre sendt til en privatperson ved en fejl.

• Risiko for identitetsmisbrug kræver myndighedernes kendskab.

• Anmeld til Datatilsynet inden for 72 timer.

⭐ Høj risiko (Anmeldelse + Underretning påkrævet)

• Database med adgangskoder og helbredsoplysninger er hacket og lagt online.

• Høj sandsynlighed for alvorlig skade på de registreredes privatliv.

• Anmeld straks til Datatilsynet OG underret de berørte personer direkte.

Helle og den fejlsendte medlemsliste

Helle, der er sekretær i en mellemstor idrætsforening i Odense, kom til at sende en komplet medlemsliste med navne, adresser og betalingsinfo til alle 400 medlemmer i stedet for kun til bestyrelsen. Hun opdagede fejlen fem minutter efter og gik i panik.

Hendes første indskydelse var at ignorere det, da det 'jo bare var medlemmer imellem'. Men foreningens formand mindede hende om, at listen indeholdt oplysninger om nedsat kontingent pga. økonomisk trang, hvilket er følsomt.

Breakthrough-øjeblikket kom, da de indså, at foreningen som dataansvarlig havde pligten. De besluttede at anmelde det på Virk.dk med det samme og sendte samtidig en ærlig undskyldning til alle medlemmer med instruks om at slette mailen.

Datatilsynet kvitterede for anmeldelsen efter to uger uden yderligere krav, da foreningen havde handlet hurtigt og gennemsigtigt. Helle lærte, at ærlighed og hurtig dokumentation er den bedste kur mod bøder.

Denne artikel er til oplysende brug og udgør ikke juridisk rådgivning. Lovgivningen om persondata kan være kompleks og variere efter specifikke omstændigheder. Kontakt altid Datatilsynet eller en juridisk rådgiver for vejledning i din konkrete sag.