min bærbare computer med kundedata er blevet stjålet – hvad skal jeg gøre nu

En stjålet bærbar computer med kundedata er som regel et databrud

En stjålet erhvervs-bærbar computer med kundedata er i de fleste tilfælde en overtrædelse af sikkerheden for personoplysninger, sådan som artikel 4 i GDPR definerer det. Oplysninger kommer ud af organisationens kontrol, og det er præcis hvad denne definition handler om — det er ligegyldigt, om den bærbare computer er blevet stjålet fra en bil, en taske eller et kontor. Hvad der præcist stod på den bærbare computer, og om disse oplysninger var krypteret eller på anden måde beskyttet, er med til at afgøre, hvor alvorligt dette er, men selve tyveriet er udgangspunktet for vurderingen. En mere omfattende forklaring af, hvad der falder ind under og ikke falder ind under denne definition, findes i siden i viden-basen om hvad et databrud præcist er.

Fra det øjeblik, det bliver opdaget, foregår der to ting samtidigt: at finde frem til fakta (hvilke oplysninger, fra hvem, hvor mange personer, og om der var kryptering på den) og spørgsmålet om dette skal anmeldes — til tilsynsmyndigheden og muligvis til de registrerede selv. Begge spørgsmål afhænger af den risiko, som de stjålne oplysninger udgør for mennesker, og denne risiko er præcist grunden til, at en tom eller korrekt krypteret bærbar computer bliver vurderet anderledes end en bærbar computer fuld af ukrypterede kundefiler. Hvordan denne afvejning fungerer for anmeldelse til tilsynsmyndigheden, er gennemgået på siden om hvornår et databrud skal anmeldes til Datatilsynet, og spørgsmålet om hvorvidt de registrerede selv også skal modtage en meddelelse på siden om informere registrerede ved databrud.

Hvor dette er baseret på: artikel 4, artikel 32 og artikel 33 i GDPR

Definitionen af en overtrædelse findes i artikel 4 i GDPR, pligten til at beskytte oplysninger passende — herunder risikoen for tab af udstyr — i artikel 32, og anmeldelsespligten til tilsynsmyndigheden i artikel 33. Disse tre artikler gælder direkte i hele EU, så vurderingen af, om en stjålet bærbar computer er et anmeldelsespligtigt databrud, forløber efter de samme regler overalt. Det, der varierer fra land til land, er tilsynsmyndigheden, hvor en anmeldelse skal gå til: i Danmark er det Datatilsynet, i andre medlemsstater den nationale tilsynsmyndighed for det pågældende land. EDPB's retningslinjer giver supplerende vejledning om, hvordan disse artikler anvendes i praksis, og Datatilsynet tilbyder på sin egen side om datalekager en dansk forklaring på de samme regler.