Kärnan: själva anmälningsplikten förändras inte
Anmälningsplikten vid ett dataintrång står i själva GDPR, med den välkända fristen på 72 timmar efter upptäckt till Datainspektionen, och en separat bedömning av om även de registrerade själva måste informeras. Den texten är en del av en europeisk förordning och ändras inte varje år. Så långt som det är känt finns det i år ingen ändring av själva förordningen som påverkar anmälningsplikten eller fristen. Det som förändras är däremot tolkningen av den: hur EDPB och Datainspektionen fyller i de öppna normerna i lagen, och hur annan lagstiftning kommer att ligga vid sidan av GDPR. För ett litet eller medelstort företag är det ofta mer relevant än själva lagtexten, eftersom just denna tolkning avgör när en incident anses vara anmälningspliktig.
Det handlar alltså inte om ett nytt datum eller ett nytt artikelnummer att komma ihåg, utan om tre förskjutningar som påverkar praktiken: strängare riktlinjer för vad som räknas som dataintrång, mer överlapning med sektorspecifik lagstiftning såsom NIS2, och en annan verklighet eftersom incidenter alltmer ofta uppstår hos en SaaS-leverantör snarare än hos företaget självt.
Riktlinjer som flyttar gränsen
GDPR definierar ett dataintrång i allmänna ordalag: en överträdelse av säkerheten som leder till förstöring, förlust, ändring eller obehörig utlämnande av personuppgifter. Vad som konkret faller under detta specificeras år för år genom riktlinjer från EDPB och Datainspektionens egen tolkning. Det har kommit mer klarhet under de senaste åren om gränsfallen: ett felskickat e-postmeddelande med en bilaga, en anställd som loggar in på ett felaktigt konto, eller en säkerhetskopia som tillfälligt inte är tillgänglig. Sådana situationer avskrevs tidigare oftare som en intern fråga; linjen i riktlinjerna är att även utan illvillig avsikt från en anställd kan det föreligga en anmälningspliktig incident. För en direktör eller kontorschef innebär detta att bedömningen mindre ofta kan göras på magkänsla och oftare måste följa en fastställd procedur. Den som är osäker på om en konkret händelse faller under anmälningsplikten kan få det utrett genom några få frågor via beslutsträdet på gdpria.eu, se på ett par frågor om något är ett anmälningspliktig dataintrång.
Överlapning med annan lagstiftning
En andra förskjutning ligger inte i själva GDPR, utan i lagstiftning som kommer att ligga vid sidan av det. För organisationer som är en del av, eller tillhandahåller tjänster till, sektorer som omfattas av lagstiftning såsom NIS2, kan en säkerhetshändelse samtidigt omfattas av två anmälningsregimer: GDPR för personuppgifterna och en sektoriell anmälningsplikt för själva tjänsteförvaltningen. Detta påverkar inte varje litet eller medelstort företag, men väl installationsföretag, IT-tjänstleverantörer och andra parter som är leverantörer till större, reglerade organisationer. För denna grupp är det klokt att kontrollera om en kund eller uppdragsgivare nu har infört ytterligare anmälningsöverenskommelser i kontraktet, utöver det som redan finns i databehandlingsavtalet. Den som vill kontrollera vad som exakt står i ett sådant avtal om anmälningsfrister och ansvar hittar bakgrund i kunskapsbasen med förklaringar per ämne.
Praktiken förändras mot SaaS-leverantören
Den tredje förändringen är mindre en fråga om reglering och mer om faktisk utveckling: en växande del av de incidenter som nederländska företag möter uppstår inte hos dem själva, utan hos en mjukvarusleverantör som de använder för bokföring, personaladministration eller kundkontakt. Ansvaret att bedöma om det utgör en rapporteringspliktig dataintrång ligger dock kvar hos det företag som låter uppgifterna behandlas, inte automatiskt hos leverantören. En leverantör som själv rapporterar en incident fritar inte uppdragsgivaren från den egna bedömningen. Det gör det desto viktigare att i förväg fastslå hur och när en leverantör rapporterar en incident, och att få denna överenskommelse att återspeglas i sin egen överblick över använda verktyg. Företag som ännu inte har en fullständig överblick kan bygga denna med hjälp av en förklaring av hur systemet fylls från kända verktyg.
Vad detta betyder för er
För de flesta små och medelstora företag förändras själva den lagstadgade tidsfristen inte i år. Det som är klokt: att regelbundet pröva er egen hantering av incidenter mot de senaste riktlinjerna, kontrollera om en uppdragsgivare ställer ytterligare rapporteringsöverenskommelser och ha klart för sig med leverantörer vem som först bedömer en incident. Ingen av dessa punkter kräver en juridisk utredning, men väl ett fast tillfälle att titta på dem.
Vill ni snabbt se var ert företag står på denna punkt? Frågorna i gdpria.eu:s kostnadsfria snabbkontroll ger en första indikation, och i de vanliga frågorna om dataintrång och rapporteringskrav hittar ni de kortare svaren på närliggande frågor.