Kan jeg selv håndtere et databrud?
Ja, du kan selv håndtere en stor del af vurderingen og håndteringen af et datalek. GDPR'en foreskriver ikke, at du skal inddrage en jurist eller eksternt bureau. Hvad forordningen derimod kræver, er at du opdager leaket, vurderer, om det udgør en risiko for de personer, hvis data er påvirket, og — hvis det er tilfældet — melder det til Datatilsynet rettidigt og eventuelt til de pågældende selv.
Om du kan gøre det selvstændigt, afhænger især af omfanget og kompleksiteten af hændelsen. En forkert sendt e-mail med én kundes data er noget helt tredje end en hacket server med tusindvis af kundedossiers. Grænsen mellem selv at håndtere det og at outsource ligger ikke i loven, men i din egen evne til hurtigt og omhyggeligt at vurdere, hvad der er sket.
Hvad du selv kan vurdere
Det første spørgsmål ved enhver hændelse er, om der overhovedet er tale om et datalek i GDPR'ens forstand: er persondata gået tabt, set af nogen, der ikke havde ret til det, eller ved et uheld ændret eller slettet? Den vurdering kan du udmærket selv foretage med en klar spørgeskema. se på få spørgsmål, hvor du står giver en første indikation uden at du skal bruge en rådgiver med det samme.
Hvis der virkelig er et lek, følger risikovurderingen: udgør det fare for de pågældendes rettigheder og frihedssfærer, for eksempel fordi følsomme data ligger på gaden, eller svindel med identitet bliver mulig? Denne afvejning kan du også foretage i mange almindelige situationer ud fra EDPB's retningslinjer og den forklaring, som Datatilsynet giver herom. videnbanken med forklaringer emne for emne beskriver de kriterier, der spiller en rolle, med henvisningen til den officielle tekst inkluderet.
At melde selve leaket til Datatilsynet er i praksis også noget, mange virksomheder kan gøre selv. Tilsynsmyndigheden har en egen meldeformular, og de oplysninger, der spørges om — hvad der skete, hvilke data det drejer sig om, hvor mange personer der er påvirket, og hvilke foranstaltninger du har truffet — er oplysninger, du som organisation selv kender bedst.
Hvornår det er klogt at søge ekstra hjælp
I en del situationer bliver egenhåndtering vanskeligere. Hvis det drejer sig om et stort antal pågældende, følsomme persondata som helbredsoplysninger, eller en teknisk hændelse, hvis omfang stadig er uklart, er det tilrådeligt ikke blot at stole på din egen vurdering. Det samme gælder, hvis leaket muligvis også har konsekvenser i en anden medlemsstat, eller hvis det er uklart, hvilken tilsynsmyndighed der har kompetence.
Hvis du selv skal informere de pågældende — i stedet for blot tilsynsmyndigheden — kræver det også omhu. Tonen, indholdet og tidspunktet for kommunikationen bestemmer til dels, hvordan mennesker reagerer, og en dårligt formuleret besked kan skabe mere uro end selve hændelsen. I sådanne tilfælde er det klogt at rådspørge en jurist eller kontakte Datatilsynet for at finde den rette vej.
Hvad GDPR'en foreskriver og ikke foreskriver
Forordningen foreskriver en frist, inden for hvilken et indberetningspligtigt datalek skal meldes til tilsynsmyndigheden, og den forpligter organisationer til at dokumentere, hvilke datalekaks der har fundet sted, også de lekaks, der ikke skal indberettes. Hvad GDPR'en ikke foreskriver, er hvem der udfører denne proces i din organisation. Det betyder, at egenhåndtering er tilladt, så længe resultatet opfylder det, som loven kræver.
Ansvaret forbliver hos organisationen, selv hvis en del af arbejdet outsources til en rådgiver eller bureau. Det er således ikke et spørgsmål om at overdrage alt og så ikke tænke mere på det, men om at vide, hvilke skridt der er taget, og hvorfor.
Dokumentation hører altid med
Uanset om du gør det selv eller får support, er dokumentation nødvendig i begge tilfælde: hvad der er sket, hvornår du opdagede det, hvilken afvejning du gjorde vedrørende risikoen, og hvilke foranstaltninger der blev truffet for at forhindre gentagelse. Denne dokumentation er ikke kun nyttig for tilsynsmyndigheden, men også for dig selv, hvis et lignende incident senere skulle opstå igen.
Hvordan denne dokumentation skal se ud, og hvilke kilder der skal bruges, kan læses på siden hvor informationen stammer fra. Hvis du er i tvivl om, hvorvidt din situation er anmeldelsespligtig, skal du først foretage den gratis kontrol og læse de relevante emner i videnbanken, før du træffer en beslutning. Hvis du ønsker at få processen fra identificering til håndtering strukturelt på plads, kan du tilmelde dig en erhvervskonto for at få tidsfrister og dokumentation til automatisk at køre med.