Anmeldelsen af et dataindtrængensstilfælde til Datatilsynet koster ikke noget i sig selv: der er ikke opkrævet gebyrer eller honorarer for det. Omkostningerne ligger i det, der sker omkring det: at finde ud af præcis hvad der gik galt, at informere de registrerede, eventuelle tekniske reparationer og den tid, som dette alt kræver af organisationen. Hvor højt det løber op, afhænger meget af omfanget af indtrængensstilfældet, typen af data og om der allerede var en proces på plads, før det gik galt.
Der findes ingen fast sum for "et dataindtrængensstilfælde", fordi ikke to dataindtrængensstilfælde er ens. En fejlsendt e-mail med kontaktoplysninger for én kunde kræver noget andet end et indbrud i et system med personaledossiers for hundrede medarbejdere. Omkostningsposterne er imidlertid altid de samme kategorier; kun omfanget varierer.
Hvor omkostningerne kommer fra
Den første omkostningspost er intern tid: nogen skal finde ud af hvad der skete, hvilke data der blev påvirket, og om den lovgivningsmæssige frist på tooghalvfems timer for anmeldelse til Datatilsynet er i sigte. Disse timer bliver ofte undervurderet, især hvis der ikke er noget fast kontaktpunkt eller proces, og flere mennesker samtidigt kigger på det samme hændelse.
Derudover kan ekstern bistand være nødvendig: en it-leverandør, der teknisk skal lukke et hul, en retsmedicinsk efterforsker ved et større indbrud, eller en jurist, der hjælper til med at vurdere, om og hvordan der skal anmeldes. Ikke alle dataindtrængensstilfælde kræver alle disse led, men ved et mere alvorligt hændelse løber disse omkostninger hurtigt op.
Det er også tidskrævende og til tider omkostningsfuldt at informere de registrerede: udarbejdelsen af et omhyggeligt, forståeligt brev eller e-mail, besvarelse af de spørgsmål, der følger efter, og i nogle tilfælde tilbydelse af en form for erstatning, såsom en ny adgangskode eller gratis serviceydelser. Besluttelsestræet på hjælper dig i nogle få spørgsmål med at afgøre, om og hvordan du skal anmelde sådan at du ikke udeværes tid til tvivl.
Hvad der bestemmer størrelsen
Den vigtigste faktor er omfanget: hvor mange mennesker er påvirket, og hvor følsomt er dataene. Et hul med navne og e-mailadresser vejer anderledes end et hul med finansielle data eller sundhedsdata. EDPB-retningslinjerne og persondataforordningen selv nævner denne slags risikofaktorer som udgangspunkt for vurderingen, ikke som beregningsformler for et beløb.
En anden faktor er, hvor hurtigt indtrængensstilfældet bliver opdaget, og hvor klart det er, hvem der er ansvarlig for hvad. Hvis der i en databehandleraftale allerede er fastsat, hvilken leverandør der skal underrettes, og inden for hvilken frist, spares det undersøgelsesarbejde på det tidspunkt, hvor det går galt. Hvis denne aftale ikke er til stede, koster hændelsen selv mere tid at forstå fuldt ud, før der går i gang med reparation.
En tredje faktor er, om organisationen allerede har en etableret proces: en fast handlingsplan, en liste over hvem der skal underrettes, og et sted hvor tidligere hændelser er registreret. Uden det skal der ved hver hændelse opfindes på ny, hvem der gør hvad, hvilket både koster tid og ro på et tidspunkt, hvor begge dele er knap.
Selve anmeldelsen er gratis, forberedelsen er det ikke
Det er godt at holde dette skel skarpt: meldepligten over for Datatilsynet medfører ingen omkostninger, men det at kunne udføre denne meldepligt ordentligt gør. Den, der skal afgøre, om en hændelse skal anmeldes inden for den lovgivningsmæssige frist, og hvad der præcis skal stå deri, har brug for tid til det. En oversigt over, hvad der skal være i en anmeldelse, og hvilke dokumenter, du typisk skal have med, beskrives i videnbanken med forklaringer emne for emne.
Mange af disse omkostninger er ikke engangsomkostninger, men tilbagevendende, simpelthen fordi databrud ikke er planlagt og også kan gentage sig efter år. Derfor vælger nogle organisationer at lade uret, trinene og registreringen køre i et system i stedet for at skulle rekonstruere dette manuelt hver gang. Hvad et sådant abonnement koster, og hvad der opvejer det, kan ses på prissiden med opdeling pr. komponent.
Dokumentation på forhånd sparer tid bagefter
Den største omkostningsbesparelse ligger normalt ikke i selve hændelsen, men i forberedelsen til den: et aktuelt behandlingsregister, klare aftaler med leverandører og et fastsat kontaktpunkt sikrer, at et databrud tager mindre tid at vurdere og håndtere. Ofte stillede spørgsmål om, hvad der er obligatorisk i den sammenhæng, og hvad der ikke er, er samlet på siden med svar på spørgsmål, som andre virksomhedsledere også stiller.
Vil du få et første billede af, hvor du står i din egen situation? Den gratis hurtigtest giver på få spørgsmål en indikation, uden at du behøver en konto.