Hvad er præcis et dataindbreak?

Et datalek er enhver krænkelse, hvor personoplysninger er blevet eksponeret, mistet eller ændret

Et datalek er kort sagt en begivenhed, hvor personoplysninger ikke længere er sikre: de er væk, de er kommet i de forkerte hænder, eller de er blevet ændret eller slettet uden tilladelse. Det handler derfor ikke kun om hackerangreb. En e-mail sendt til forkert adresse med en kundedatabase som vedhæftning, en stjålet bærbar computer uden kryptering, en USB-stick, der ligger på gaden, et phishing-angreb, hvor loginoplysninger bliver stjålet, eller en systemfejl, der gør, at data utilsigtet bliver offentlig — det falder alt sammen under samme definition, så snart personoplysninger er involveret.

I praksis skelnes der mellem tre typer krænkelser: en tilgængelighedskrænkelse (data er væk eller utilgængelig, for eksempel på grund af et ransomware-angreb eller en defekt sikkerhedskopi), en integrititetskrænkelse (data er blevet ændret mod vilje) og en fortrolighedskrænkelse (data er blevet set eller delt af nogen, der ikke havde lov til det). En enkelt hændelse kan falde ind under flere af disse typer på samme tid. Om en begivenhed er et datalek, er uafhængigt af spørgsmålet om, hvorvidt det skal rapporteres — sidstnævnte afhænger af den risiko, som de registrerede løber ved det, og er et separat trin, der kommer efter fastsættelsen af lækagen.

Hvor dette stammer fra: artikel 4 i GDPR

Definitionen af et datalek kommer direkte fra artikel 4 i GDPR, hvor en "krænkelse af personoplysninger" beskrives som en krænkelse af sikkerheden, der ved et uheld eller på ulovlig vis fører til ødelæggelse, tab, ændring eller uautoriseret afgivelse af eller adgang til transmitterede, lagrede eller på anden måde behandlede data. Denne definition gælder direkte i hver medlemsstat uden national variation. Datatilsynet udbygger denne definition på sin side om datalekager yderligere med opdelingen i tilgængeligheds-, integriteits- og fortrolighedskrænkelser og med eksempler fra praksis.