vi har drabbats av ransomware är det automatiskt ett dataintrång

Ransomware är vanligtvis en dataintrång, men inte automatiskt

En ransomware-attack är vanligtvis ett dataintrång enligt GDPR, men länken mellan "drabbad av ransomware" och "därför måste anmälan göras" är inte automatisk. Artikel 4 GDPR definierar ett dataintrång som varje destruktion, förlust, ändring eller obehörig upplysning av personuppgifter. Vid ransomware-attacker krypteras filer eller görs otillgängliga, vilket omfattas av "förlust av tillgänglighet" — även om uppgifterna inte har visats eller kopierats. Därmed uppfylls definitionen av ett dataintrång vanligtvis, vilket för övrigt är något annat än frågan vad är ett dataintrång exakt betyder för anmälningsplikten i ett konkret fall.

Huruvida personuppgifter fanns i dessa krypterade filer, och om det verkligen finns risk för de personer vars uppgifter det gäller, är fortfarande en separat fråga. En ransomware-attack på en server utan personuppgifter är inte ett dataintrång enligt GDPR. En attack där uppgifter faktiskt drabbades, men där det finns en väl fungerande säkerhetskopia och snabb återställning är möjlig, kan medföra en lägre risk än en attack där uppgifter också har tagits (dubbel utpressning). Denna riskvärdering avgör sedan när ett dataintrång måste rapporteras till Integritetsmyndigheten, och om även de registrerade personerna själva måste underrättas.

Vad detta baseras på

Definitionen av ett dataintrång i artikel 4 GDPR är utgångspunkten; artikel 33 GDPR reglerar anmälan till tillsynsmyndigheten när ett dataintrång inträffar, och artikel 32 GDPR rör frågan om säkerheten var i ordning innan attacken ägde rum. EDPB:s riktlinjer utvecklar uttryckligen exempel med ransomware, inklusive skillnaden mellan kryptering utan exfiltrering och attacker där uppgifter också har stulits. Skyldigheten att bedöma ett dataintrång och eventuellt anmäla det gäller på samma sätt i hela EU, eftersom GDPR tillämpas direkt; vilken tillsynsmyndighet som tar emot anmälan varierar per medlemsstat — i Sverige är det Datainspektionen, i andra länder tillsynsmyndigheten i den medlemsstaten. När en IT-leverantör eller hostingleverantör drabbas av ransomware, uppstår dessutom frågan om en anmälan från en leverantör också väcker en egen anmälningsplikt.