Ved et databrud har du grundlæggende brug for tre typer dokumenter: en intern dokumentation af hvad der skete, en vurdering af om indberetning til Datatilsynet er påkrævet, og — hvis det er tilfældet — indberetningen selv med dens begrundelse. Hvis der også kommer en meddelelse til de registrerede, tæller denne kommunikation også som et dokument, der skal dokumenteres.
Den detalje, der oftest overses ved dette emne, er den interne dokumentation. Selv hvis du efter vurdering beslutter, at et databrud ikke skal indberettes til Datatilsynet, kræver GDPR stadig, at du dokumenterer hændelsen selv: hvad der skete, hvilke data det påvirkede, hvad konsekvenserne kunne være, og hvorfor du nåede til din konklusion. Mange iværksættere tror, at der først skal være noget på papir, når der indberettes. Det er ikke hvad forordningen beskriver.
Den interne dokumentation af hændelsen
Dette er det dokument, der bør findes ved ethvert databrud, uanset resultatet af din vurdering. Det beskriver hvornår du opdagede hændelsen, præcis hvad der skete, hvilke datakategorier og hvilke registrerede det påvirkede, og hvilke foranstaltninger du traf for at begrænse konsekvenserne. Tilsynsmyndighederne ser ved en inspektion ikke kun på de indberetninger, der er givet, men også på om en organisation kan vise, hvordan tidligere hændelser blev vurderet. Uden dette dokument findes denne begrundelse ikke.
Vurderingen af om indberetning er nødvendig
Ved siden af den faktiske dokumentation er der brug for et andet dokument: vurderingen selv. Hvilke risici så du for de registrerede, og på hvilket grundlag konkluderede du, at indberetning var eller ikke var nødvendig? GDPR skelner mellem risikoen for de registreredes rettigheder og friheders som målestok. At dokumentere denne vurdering er ikke kun praktisk for dig selv senere, det er også det dokument, hvormed du kan vise, at der blev truffet et bevidst valg, ikke tilfældigt. Hvis du er i tvivl om, hvorvidt en konkret hændelse skal indberettes, finder du i beslutningstræet, der giver en første indikation på få spørgsmål et udgangspunkt, uden at det erstatter din egen vurdering.
Indberetningen til Datatilsynet
Hvis konklusionen er, at indberetning er nødvendig, kommer indberetningen selv som dokument: hvad du indberettede, hvornår, og med hvilke data. GDPR nævner for dette en frist på 72 timer efter, at du blev bekendt med databruddet. Gem ikke kun bekræftelsen af indberetningen, men også versionen af fakta som den var kendt på tidspunktet for indberetningen — den kan senere suppleres, hvis der bliver klarhed over omfanget.
Kommunikationen til de registrerede
I nogle tilfælde hører der også en meddelelse til de registrerede selv, for eksempel når risikoen for dem anses for betydelig. Denne meddelelse — præcis hvad der blev kommunikeret og til hvem — er også en del af dokumentationen. Det er ikke en fast skabelon, der er den samme ved ethvert databrud; indholdet afhænger af hvad der skete og hvilke data det drejer sig om.
Aftaler med leverandører og databehandlere
Hvis databruddet sker hos en part, der behandler data for dig, såsom et bogføringssystem eller en hostingudbyder, hører aftalen, der er fastsat herom i databehandleraftalen, også til: indberetter denne part hændelser til dig, og inden for hvilken frist? Hvis du ikke har dette klart, finder du i videnbanken, hvor dette er gennemarbejdet pr. situation et udgangspunkt til at gennemgå dine databehandleraftaler på dette punkt.
Hvorfor denne dokumentation står adskilt fra din sikkerhed
Dokumentationen omkring et databrud er anderledes end de foranstaltninger, som du traf på forhånd for at forhindre et databrud, men de to er relateret til hinanden: en tilsynsmyndighed kan spørge, hvordan din datasikkerhed så ud på tidspunktet for hændelsen. Hvordan datasikkerhed i praksis dokumenteres, kan du læse om via forklaringen på passende sikkerhedsforanstaltninger.
Have styr på dette allerede nu
Vidensdatabasen og beslutningstrættet er gratis at konsultere uden konto. Hvis du ønsker at have registreringen af hændelser, tidsfrister og skabeloner til dem struktureret på ét sted i stedet for at skulle søge hver gang forfra, er det det, abonnementet på gdpria.eu er indrettet til. En erhvervskonto opretter du under dit CVR-nummer og momsregistreringsnummer, knyttet til organisationen og ikke til en enkelt e-mailadresse.
Hvis du i øjeblikket skal vurdere et muligt databrud, gennemgår du først den gratis quick-scan eller læser artiklerne i vidensdatabasen. For forklaringen på, hvad der præcist hører til din situation, er en jurist eller Datatilsynet fortsat det rette kontaktpunkt.