Er en e-mail til den forkerte modtager et dataindbreak?

En forkert sendt e-mail kan være et databrud

En e-mail, der sendes til den forkerte modtager, falder under definitionen af et databrud, som GDPR anvender: der er tale om en overtrædelse af sikkerheden, der fører til uønsket indsigt i personoplysninger af nogen, der ikke har ret til det. Uanset om det drejer sig om et CV, en faktura med en adresse eller en intern note med navne — så snart personoplysninger kommer til den forkerte person, er klassificeringen "databrud" i princippet relevant.

At noget er et databrud betyder ikke automatisk, at det skal anmeldes. Artikel 33 i GDPR knytter anmeldelsespligten til tilsynsmyndigheden til den risiko, som overtrædelsen medfører for den registreredes rettigheder og frihed: hvor følsomme er oplysningerne, hvor mange mennesker er berørt, og er e-mailen blevet tilbagekald eller forblevet uåbnet. En forkert sendt e-mail med kun et navn og et mødetidspunkt vægtes anderledes end en e-mail med finansielle oplysninger eller sundhedsoplysninger til en stor gruppe forkerte modtagere. Denne afvejning foretages af den organisation, der begik fejlen selv, og den bestemmer også selv, om den anmelder.

Dette følger af artikel 33 i GDPR

Definitionen af en overtrædelse af sikkerheden for personoplysninger og forbindelsen med anmeldelsespligten inden for 72 timer findes i artikel 33 i GDPR; Datatilsynet præciserer på sin side om anmeldelse af databrud, hvordan denne risikovurdering foretages i praksis. GDPR gælder som en forordning direkte i hver medlemsstat, så denne kerne er overalt den samme — hvad der varierer, er hvor der anmeldes. I Danmark er det Datatilsynet som den eneste nationale tilsynsmyndighed. I Tyskland er det anderledes: der anmelder en organisation til tilsynsmyndigheden for det land, hvor virksomheden er etableret, og der er seksten regionale tilsynsmyndigheder ved siden af den forbundsrepublikanske BfDI.