Kernen: anmeldelsespligten selv ændrer sig ikke
Anmeldelsespligten ved et databrud er fastsat i selve GDPR'en, med den kendte frist på 72 timer efter konstatering over for Tilsynsmyndigheden for Datasikring, og en separat vurdering af, om de registrerede selv skal informeres. Denne tekst er en del af en europæisk forordning og ændres ikke hvert år. Så vidt det nu er kendt, er der i år ingen ændring af selve forordningen, som påvirker anmeldelsespligten eller fristen. Hvad der derimod ændrer sig, er fortolkningen heraf: hvordan Europa-Dataværnebyrået og Tilsynsmyndigheden for Datasikring udfylder de åbne normer i loven, og hvordan anden lovgivning kommer til at ligge ved siden af GDPR'en. For en lille eller mellemstor virksomhed er det ofte mere relevant end selve lovteksten, fordi netop denne fortolkning afgør, hvornår en hændelse betragtes som anmeldelsespligtig.
Det handler således ikke om en ny dato eller et nyt artikelnummer at huske, men om tre forskyldninger, som påvirker praksis: strengere retningslinjer for, hvad der tæller som databrud, mere sammenfald med sektorlovgivning såsom NIS2, og en anden virkelighed, fordi hændelser i stigende grad opstår hos en SaaS-leverandør i stedet for hos virksomheden selv.
Retningslinjer som flytter grænserne
GDPR'en selv definerer et databrud i generelle termer: en overtrædelse af sikkerheden, der fører til ødelæggelse, tab, ændring eller ulovlig videregivelse af personoplysninger. Hvad der konkret falder herunder, udfyldes år efter år yderligere af retningslinjer fra Europa-Dataværnebyrået og Tilsynsmyndighedens egen fortolkning. Således er der de seneste år kommet større klarhed over grænsefald: en e-mail sendt til forkert modtager med en vedhæftning, en medarbejder, der logger på en forkert konto, eller en sikkerhedskopi, der midlertidigt ikke er tilgængelig. Sådanne situationer blev tidligere oftere afgjort som en intern sag; linjen i retningslinjerne er, at selv uden illoyalitet fra en medarbejders side kan der være tale om en anmeldelsespligtig hændelse. For en direktør eller kontorchef betyder det, at vurderingen mindre ofte kan foretages efter mavefornemmelse og mere efter en fastsat handlingsplan. Hvis man er i tvivl om, hvorvidt et konkret tilfælde falder under anmeldelsespligten, kan man få det udfyldt i et par spørgsmål via beslutningstrættet på gdpria.eu, se i et par spørgsmål, om noget er et anmeldelsespligtigt databrud.
Sammenfald med anden lovgivning
En anden forskydning ligger ikke i selve GDPR'en, men i lovgivning, som kommer til at ligge ved siden af. For organisationer, der er en del af, eller leverer til, sektorer, som falder ind under lovgivning såsom NIS2, kan en sikkerhedshændelse samtidig falde under to anmeldelsesordninger: GDPR'en for personoplysningerne og en sektorspecifik anmeldelsespligt for tjenesten selv. Det rører ikke enhver lille eller mellemstor virksomhed, men vel installationsfirmaer, it-tjenesteudbydere og andre parter, der som leverandør arbejder for en større, reguleret organisation. Det er for denne gruppe fornuftigt at kontrollere, om en kunde eller opdragsgiver i mellemtiden har tilføjet yderligere anmeldelsesaftaler i kontrakten, udover hvad der allerede står i databehandleraftalen. Hvis man gerne vil kontrollere, hvad der præcist står i sådan en aftale om anmeldelsesterminer og ansvar, finder man baggrund i vidensbasen med forklaringer pr. emne.
Praksis forskydes mod SaaS-leverandøren
Den tredje ændring er mindre et spørgsmål om regulering og mere om faktisk udvikling: en voksende del af de hændelser, som danske virksomheder står over for, opstår ikke hos dem selv, men hos en softwareleverandør, som de bruger til regnskabsføring, personaleadministration eller kundekontakt. Ansvaret for at vurdere, om det resulterer i et anmeldelsespligtigt brud, ligger dog stadig hos den virksomhed, der lader oplysningerne behandle, ikke automatisk hos leverandøren. En leverandør, der selv anmelder en hændelse, fritager ikke opgavegiveren fra egen vurdering. Det gør det desto vigtigere at fastsætte på forhånd, hvordan og hvornår en leverandør anmelder en hændelse, og at finde denne aftale igen i ens eget oversigt over brugte værktøjer. Virksomheder, der endnu ikke har fuldført dette oversigt, kan opbygge det ved hjælp af en forklaring på, hvordan systemet udfyldes fra kendte værktøjer.
Hvad det betyder for dig
For de fleste små og mellemstore virksomheder ændres der intet i selve den lovbestemte frist i år. Det, som er fornuftigt: at teste egen tilgang til hændelser med jævne mellemrum i forhold til de seneste retningslinjer, at kontrollere, om en opgavegiver stiller supplerende anmeldelsesaftaler, og at have klare aftaler med leverandører om, hvem der først vurderer en hændelse. Ingen af disse punkter kræver en juridisk analyse, men vel et fast tidspunkt for at se på dem.
Vil du hurtigt se, hvor din virksomhed står på dette punkt? Spørgsmålene i den gratis hurtigcheck fra gdpria.eu giver en første indikation, og i de ofte stillede spørgsmål om datalekker og anmeldelsespligt finder du de kortere svar på relaterede spørgsmål.