Fejlen: at vente til alt er klart
Den mest almindelige fejl ved indberetning af et databrud er ikke bruddet selv, men det tidspunkt, hvor en organisation beslutter at indberette. Mange virksomheder ønsker først at vide præcist, hvad der er sket, hvilke gegevens det drejer sig om, og hvor mange personer der er berørt, før de orienterer Datatilsynet. Det føles omhyggeligt, men GDPR stiller andre krav: indberetningsfristen på 72 timer begynder at løbe, så snart du bliver bevidst om databruddet, ikke når du har alle fakta på plads.
Resultatet er, at klokken allerede er løbet væsentligt ned på det tidspunkt, hvor alle internt er enige om, hvad der præcis skete. Det skyldes som regel ikke mangel på vilje, men ukendt kendskab til, hvordan denne frist fungerer: GDPR tillader, at en indberetning suppleres i faser, netop fordi fuldstændig sikkerhed ofte ikke kan opnås inden for tre dage.
Hvorfor denne fejl forekommer så ofte
Forvirringen opstår, fordi mennesker blander databrud og indberetningspligtigt databrud sammen. Ikke alle hændelser med persondata skal indberettes til tilsynsmyndigheden; GDPR skelner her mellem, om der er en risiko for rettighederne og frihederne for de registrerede. Virksomheder, der ikke har denne sondring klar, handler ofte i to retninger for ekstremt: de indberetter næsten ingenting af frygt for besvær, eller de forsøger først at få hele billedet komplet, før de tør at indberette. Begge reaktioner skyldes usikkerhed om, hvad loven præcist kræver, og denne usikkerhed kan ofte fjernes i høj grad med nogle få faste spørgsmål. Beslutningstræet på ses hvor du står i fem spørgsmål er blevet lavet til det formål: det viser baseret på nogle få konkrete spørgsmål, om en begivenhed sandsynligvis falder ind under indberetningspligten, uden at du først behøver juridisk viden.
En anden fejl, der ofte følger med
Nært beslægtet med for sen indberetning er glemte egne optegnelser. Også et databrud, som du i sidste ende ikke indberetter til tilsynsmyndigheden, skal dokumenteres internt: hvad der skete, hvorfor der blev indberettet eller ikke, og hvilke foranstaltninger der blev truffet. Mange organisationer optegner kun de hændelser, de faktisk har indberettet, og lader resten være udokumenteret. Dermed mangler præcis det overblik, der er nødvendigt for at vise, at en afvejning var bevidst og baseret på de rigtige kriterier, hvis der senere bliver spurgt til det.
Sådan får du klokken til at virke for dig
Fristen på 72 timer er ikke til for at overfalde organisationer, men for hurtigt at kunne advare de registrerede, hvis det er nødvendigt. Det fungerer bedre, hvis det på forhånd er klart, hvem inden for organisationen der melder et mistanke om et brud, til hvem, og hvilke grundspørgsmål der standardmæssigt stilles i den forbindelse. Uden disse aftaler går værdifuld tid tabt på at finde ud af, hvem der egentlig beslutter, mens klokken løber.
Det hjælper også at vide på forhånd, hvilke systemer og leverandører der behandler persondata, så du ved en meddelelse fra en leverandør straks kan vurdere, hvilke gegevens og hvilke registrerede det drejer sig om. Et aktuelt overblik over de brugte SaaS-værktøjer og aftalerne derom, som det fremgår af behandlingsregisteret på vidensbasen med forklaringer pr. emne spare i praksis meget efterforskning på det tidspunkt, hvor det tæller.
Hvad du på forhånd kan fastlægge
Kernen er, at en indberetning ikke behøver være fuldstændig for at være rettidig. En første indberetning med de kendte fakta, efterfulgt af en supplement, så snart der bliver mere klart, passer inden for, hvad GDPR tillader. Organisationer, der ved det på forhånd og har en fast, kort procedure for det, løber mindre risiko for fejlen at vente for længe. Det hjælper også med klarhed om, hvor følsomme gegevens befinder sig, og hvordan de er sikret, så en mistanke om et brud hurtigere kan vurderes på alvor; siden om hvordan gegevens beskyttet inden for systemet giver et billede af det.
Om et specifikt forhold i din organisation er anmeldelsespligtigt, og hvordan du bedst dokumenterer det, er i sidste ende en vurdering, som du selv træffer, eventuelt med hjælp fra en juridisk rådgiver eller efter høring af Datatilsynet. gdpria.eu giver vejledning og en struktureret første vurdering, ikke juridisk rådgivning.
Vil du gerne vide, hvor opmærksomhedspunkterne ligger i din organisation? Det gratis hurtigscan og svar på hyppigt stillede spørgsmål giver inden for et par minutter et første overblik, uden at du har behov for en konto.