min virksomheds mailbox er blevet hacket – skal jeg rapportere det

En hacket mailbox er som regel et brud på datasikkerheden; hvorvidt du skal anmelde det, afhænger af konsekvenserne

En hacket forretnings-mailbox er i de fleste tilfælde et brud på datasikkerheden i henhold til GDPR: der er tale om uautoriseret adgang til personlige data, og denne adgang opstår næsten altid, så snart nogen udefra logger ind på en konto med kunde- eller kontaktoplysninger. Det betyder, at det er fastslået, at der er sket noget, som falder under definitionen af hvad er et databrud præcis? Af hensyn til anmeldelse til tilsynsmyndigheden.

Om anmeldelse til tilsynsmyndigheden er relevant, afhænger af den risiko, som brudet medfører for de personer, hvis data var i den pågældende mailbox — tænk på fakturaer med adresseoplysninger, tilbud med CPR-numre eller korrespondance med følsomt indhold. En mailbox med kun forretningstagskontaktoplysninger fra kollega-virksomheder medfører en anden risiko end en mailbox fuld af kundedossiers eller medicinsk korrespondance. Denne vurdering og de skridt, der hører til, er udfoldet på siden om hvornår skal jeg anmelde et databrud til Datatilsynet?. Udover anmeldelse til tilsynsmyndigheden stilles også spørgsmålet, om de berørte personer selv skal høre noget, hvilket har en separat vurderingsramme.

Grundlag i GDPR: definitionen af brud og anmeldelsespligten

Grundlaget ligger i artikel 4 i GDPR, som definerer et brud på datasikkerheden som adgang til eller tab, ændring eller ødelæggelse af data, der ikke skulle have fundet sted — en beskrivelse, som en hacket mailbox typisk falder ind under. Artikel 33 i GDPR knytter til dette betingelsen for anmeldelse til tilsynsmyndigheden: denne anmeldelsespligt gælder, når brudet udgør en risiko for de berørte personers rettigheder og frihed, med en undtagelse, hvis denne risiko kan antages at være fraværende. EDPB's retningslinjer udvikler dette risikobegreb yderligere, og Datatilsynet tilbyder på sin side om databrud en praktisk vejledning til denne vurdering. Det, der er ens i hele EU: definitionen og risikovurderingen fra forordningen. Det, der varierer fra land til land, er tilsynsmyndigheden, hvor anmeldelsen skal indsendes — i Danmark Datatilsynet, i andre medlemsstater den pågældende lands tilsynsmyndighed.