GDPR bestemmer, at et dataindbryd, der kan udgøre en risiko for de registrerede, skal indberettes til Datatilsynet, så snart du bliver bekendt med det. Tidsfristen herfor er kort: 72 timer. Hvis du ikke indberetter, eller hvis du indberetter for sent, opfylder du ikke en forpligtelse efter GDPR på dette punkt. Hvad det konkret betyder, afhænger af situationen, og det er præcis det, vi som redaktion ikke udtaler os om: det er op til dig, din jurist eller tilsynsmyndigheden.
Hvad der derimod kan beskrives, er: GDPR giver Datatilsynet beføjelser til at undersøge et dataindbryd, der ikke eller for sent er indberettet, og til at reagere herpå. Hvilken reaktion det er, og om den kommer, er ikke fastsat og ikke til at forudsige. For dig som erhvervsdrivende er spørgsmålet således ikke så meget "hvad er straffen", men "hvad skal jeg regulere, så jeg til tiden kan vurdere, om en indberetning er nødvendig".
Hvad indberetningspligten præcist kræver
GDPR skelner mellem en indberetning til tilsynsmyndigheden og en indberetning til de registrerede selv. Det første er på tale ved et datalæk, der kan udgøre en risiko; det andet, sværere tilfælde er på tale ved høj risiko. Begge vurderinger skal ske hurtigt, og 72-timersfristen til tilsynsmyndigheden løber fra det tidspunkt, du opdager lækagen, ikke fra det tidspunkt, det opstod. Hvis man ikke endnu har denne skelnen helt klar, kan man gennemgå det i nogle få spørgsmål: ses hvor du står i fem spørgsmål giver straks en indikation af, om en indberetning er på tale.
Kernen i problemet ved en for sen indberetning er normalt ikke manglende vilje, men tid, der går tabt på uklarhed: hvem skal tage sig af det, er det overhovedet et dataindbryd i GDPRs forstand, og har vi egentlig overblik over, hvilke systemer der indeholder personoplysninger. Det sidste er præcis der, hvor et register over behandlingsaktiviteter beviser sin værdi: uden overblik over dine behandlinger koster det unødigt lang tid af de 72 timer, du har, at finde ud af omfanget af en læk.
Også manglende indberetning skal du kunne begrunde
Et mindre kendt punkt er, at GDPR også kræver, at du dokumenterer, når du beslutter ikke at indberette en læk, og hvorfor. Begrundelsespligten gælder nemlig for vurderingen selv, ikke kun for indberetningen, hvis den kommer. En læk, som du vurderer som "ingen risiko for de registrerede", og som du ikke dokumenterer denne vurdering af, er svær at begrunde bagefter, hvis der bliver spørgt til det. EDPBs retningslinjer behandler dette udførligt; kildehenvisningen og forklaringen heraf kan findes i vidensbancen efter emne.
Konsekvenser, der går længere end tilsynsmyndigheden
Ud over forholdet til Datatilsynet er der endnu to steder, hvor en glemt indberetning kan blive relevant. Det ene er databehandleraftalen: hvis du behandler personoplysninger for en kunde, står der ofte en egen indberetningsfrist i den, nogle gange kortere end de lovpligtige 72 timer, og denne frist gælder så ved siden af GDPR. Det andet er den registrerede selv: hvis en persons data er lækket, og vedkommende selv finder ud af det uden at du har indberettet, kan denne person ikke få tilliden tilbage, hvilket er uafhængigt af enhver juridisk vurdering.
Også en forsikringsselskab eller en indkøbende myndighed, som efterfølgende spørger, hvordan en læk er håndteret, ser på, om der blev vurderet til tiden og indberettet, hvor det var nødvendigt. Det er noget andet end en bøde, men det vedrører alligevel, hvad der ofte er anledningen til at få privatlivsbeskyttelsen i orden: at kunne påvise, at der er en proces, ikke kun at der aldrig er gået noget galt.
Hvorfor klokken ofte er flaskehalsen
I praksis er det sjældent viljen til at melde, som mangler, men hastigheden, hvormed en organisation kan fastslå, hvad der er sket, hvilke data det påvirker, og hvem der er involveret. Et system, der lader 72-timers-fristen løbe, så snart et muligt datalæk registreres, forhindrer, at denne tid går tabt i intern debat. Hvordan sådan et system er opbygget, og hvor informationen er baseret på, er beskrevet på siden om hvor oplysningerne kommer fra.
Hvorvidt et specifikt hændelse hos jer er underlagt meldepligt, hvilken præcis frist der gælder i jeres tilfælde, og hvad konsekvenserne er, hvis en melding er blevet overset, kan ikke besvares på generel basis. For denne vurdering er en jurist eller Datatilsynet selv det rette kontaktpunkt.
Ønsker I først selv at få et billede af, hvor I står, uden forpligtelser? Den gratis quick-scan og videnbanken giver en første indikation pr. emne, inklusive kildehenvisningen i den officielle tekst.