vi er ramt af ransomware – er det automatisk et dataindtrængning

Ransomware er som regel et datatilsyn, men ikke automatisk

Et ransomware-angreb er som regel et datatilsyn i henhold til GDPR, men forbindelsen mellem "ramt af ransomware" og "derfor skal det anmeldes" forløber ikke automatisk. Artikel 4 i GDPR definerer en krænkelse som enhver tilintetgørelse, tab, ændring eller ulovlig videregive af personoplysninger. Ved ransomware krypteres filer eller gøres utilgængelige, og det falder under "tab af tilgængelighed" — selvom oplysningerne ikke er blevet set eller kopieret. Dermed er definitionen på en krænkelse som regel opfyldt, hvilket i øvrigt er noget helt tredje end spørgsmålet hvad er et dataindcident præcis betyder for anmeldelsespligten i et konkret tilfælde.

Om der var personoplysninger blandt de krypterede filer, og om der faktisk er risiko for de personer, hvis oplysninger det drejer sig om, er fortsat et særskilt spørgsmål. Et ransomware-angreb på en server uden personoplysninger er ikke et datatilsyn i GDPR-forstand. Et angreb, hvor oplysninger vel er ramt, men der findes en velfungerende sikkerhedskopi og hurtig genopretning er mulig, kan udgøre en lavere risiko end et angreb, hvor oplysninger også er blevet stjålet (dobbelt afpresning). Denne risikovurdering afgør derefter hvornår et databrud skal anmeldes til Datatilsynet, og om også de berørte selv skal høre om det.

Hvad dette er baseret på

Definitionen på en krænkelse i artikel 4 i GDPR er udgangspunktet; artikel 33 i GDPR regulerer anmeldelsen til tilsynsmyndigheden, så snart en krænkelse finder sted, og artikel 32 i GDPR vedrører spørgsmålet om, hvorvidt sikkerheden var i orden, før angrebet fandt sted. EDPB-retningslinjerne arbejder eksplicit eksempler med ransomware ud, herunder skelnen mellem kryptering uden eksfiltrering og angreb, hvor oplysninger også er blevet stjålet. Forpligtelsen til at vurdere en krænkelse og eventuelt anmelde den gælder på samme måde i hele EU, fordi GDPR virker direkte; hvilken tilsynsmyndighed der modtager anmeldelsen, varierer pr. medlemsstat — i Danmark er det Datatilsynet om en anmeldelse fra en leverandør også udløser en egen anmeldelsespligt.