Felet: vänta tills allt är klart
Det vanligaste felet när man rapporterar ett dataintrång är inte själva intrånget, utan när en organisation beslutar sig för att rapportera. Många företag vill först veta exakt vad som hände, vilka uppgifter det gäller och hur många personer som påverkades, innan de informerar Integritetsmyndigheten. Det känns försiktigt, men GDPR kräver något annat: rapporteringsfristen på 72 timmar börjar löpa så snart du är medveten om dataintrånget, inte när du har alla fakta på plats.
Resultatet är att tiden redan i stor utsträckning har förflutit när alla internt är eniga om vad som exakt hände. Det är vanligtvis inte en fråga om ovilja, utan ovetskap om hur fristen fungerar: GDPR tillåter att en rapport fylls på stegvis, just för att fullständig säkerhet ofta inte kan erhållas inom tre dagar.
Varför detta fel förekommer så ofta
Förvirringen uppstår för att människor blandar samman ett dataintrång med ett anmälningspliktigt dataintrång. Inte varje incident med personuppgifter måste rapporteras till tillsynsmyndigheten; GDPR gör en skillnad på om det finns en risk för de registrerades rättigheter och friheter. Företag som inte har gjort denna distinktion skarp går ofta för långt i två riktningar: de rapporterar nästan inget av rädsla för besvär, eller så försöker de först få hela bilden komplett innan de vågar göra en anmälan. Båda reaktionerna härrör från osäkerhet om vad lagen exakt kräver, och denna osäkerhet kan ofta reduceras avsevärt med några få fasta frågor. Beslutsträdet på i fem frågor se var du står är gjord för detta: den visar baserat på några konkreta frågor om en händelse sannolikt faller under anmälningsplikten, utan att du först behöver juridisk kunskap.
Ett andra fel som ofta följer med
Närbesläktat med för sent rapportering är glömska om egen dokumentation. Även ett dataintrång som du i slutändan inte rapporterar till tillsynsmyndigheten bör dokumenteras internt: vad som hände, varför det rapporterades eller inte rapporterades, och vilka åtgärder som vidtogs. Många organisationer registrerar endast de incidenter de faktiskt har rapporterat och lämnar resten odokumenterad. Därmed saknas precis den översikt som behövs för att visa att en övervägning gjordes medvetet och baserat på rätt kriterier, om det senare skulle frågats om det.
Hur du får tiden att fungera för dig
Fristen på 72 timmar är inte avsedd att överfalla organisationer, utan för att kunna varna de registrerade snabbt om det är nödvändigt. Det fungerar bättre om det på förhand är klart vem inom organisationen som rapporterar en misstanke om ett intrång, till vem, och vilka basfrågor som då standardmässigt ställs. Utan dessa avtal går värdefull tid förlorad på att ta reda på vem som faktiskt ansvarar, medan klockan redan går.
Det hjälper också att på förhand veta vilka system och leverantörer som behandlar personuppgifter, så att du vid en rapport från en leverantör omedelbar kan bedöma vilka uppgifter och vilka registrerade det gäller. En aktuell översikt över de använda SaaS-verktygen och avtalen om dem, sådan den återkommer i behandlingsregistret på kunskapsbasen med förklaringar per ämne sparar i praktiken mycket utredningsarbete när det väl är dags.
Vad du kan fastställa på förhand
Kärnan är att en rapport inte behöver vara komplett för att vara i tid. En första rapport med de kända fakta, följd av ett tillägg när mer blir klart, passar inom vad GDPR tillåter. Organisationer som på förhand vet detta och har en fast, kort process för det, löper mindre risk att göra felet att vänta för länge. Det hjälper också att veta där känslig data lagras och hur den är säkrad, så att en misstanke om ett intrång snabbare kan bedömas med avseende på allvar; sidan om hur data skyddas inom systemet ger en uppfattning om detta.
Huruvida ett specifikt förfarande på din organisation är anmälningspliktig och hur du bäst dokumenterar det är i slutändan en bedömning som du själv gör, eventuellt med en jurist eller i samråd med Datatilsynsmyndigheten. gdpria.eu ger vägledning och en strukturerad första bedömning, inget juridiskt råd.
Vill du redan nu veta vilka fokusområden du har? Den kostnadsfria snabbkontroll och svar på frågor som återkommer oftare ger inom några minuter en första överblick, utan att något konto behövs.