jeg har mistet en USB-stik med kundedata – er det et dataindtrængning

En bortkommet USB-stik er normalt set et dataindcident

En USB-stik med kundedata, der er væk, er i de fleste tilfælde et dataindbrud i henhold til GDPR. Definitionen i artikel 4 i GDPR omhandler et brud på sikkerheden, som fører til tab af personoplysninger, og det er præcis, hvad der sker, når en stik med navne, adresser eller andre kundedata ikke kan findes igen: dataene er ikke ødelagt, men de er kommet uden for virksomhedens kontrol. Om de også havner i forkerte hænder, er ikke kernen i spørgsmålet — tab af kontrol er allerede nok til at falde ind under definitionen.

Hvad der sker derefter, afhænger af, hvad der var på stikken, og hvordan den var sikret. En krypteret stik med et begrænset sæt data viser et andet billede end en usikret stik med mange kundedata eller følsomme oplysninger. Denne sondring er relevant for spørgsmålet hvornår skal jeg anmelde et dataindcident til Datatilsynet, og også for spørgsmålet om kunderne selv skal høre noget — det spørgsmål er beskrevet på siden om skal jeg underrette de berørte personer selv ved et dataindcident. For sondringen mellem en hændelse og et dataindcident i bredere forstand er siden hvad er et dataindcident præcis et naturligt udgangspunkt.

Hvad dette er baseret på

Definitionen af et brud er angivet i artikel 4 i GDPR, og artikel 33 i GDPR regulerer anmeldelsen til tilsynsmyndigheden, når betingelserne herfor er opfyldt. Datatilsynet udarbejder dette nærmere på sin side om anmeldelse af dataindcidenter, og EDPB har udgivet retningslinjer med eksempler på typer af dataindcidenter, herunder tab af datamedier. Anmeldelsespligten gælder overalt i EU på grundlag af forordningen, men stedet, hvor der anmeldes, varierer fra land til land: i Danmark er det Datatilsynet, i andre medlemsstater den tilsynsmyndighed, der er udpeget der.