Avvik med personopplysninger: hva gjør du?

Kort svar

Hva regnes som et avvik?

GDPR artikkel 4 nr. 12 definerer et brudd på personopplysningssikkerheten som et sikkerhetsbrudd som fører til utilsiktet eller ulovlig tilintetgjøring, tap, endring, ulovlig spredning av eller tilgang til personopplysninger.

Datatilsynet deler bruddene i tre typer:

• Konfidensialitet: Noen har fått se eller fått opplysninger de ikke skulle ha.
• Integritet: Opplysninger er endret uten lov eller ved en feil.
• Tilgjengelighet: Opplysninger er borte eller utilgjengelige, for eksempel etter løsepengevirus.

Bruddet kan skyldes et angrep utenfra eller en vanlig feil internt. Datatilsynet nevner blant annet disse typiske avvikene:

• e-post, brev eller pakker sendt til feil mottaker
• en forsendelse til riktig mottaker som også inneholder opplysninger om andre
• tapt eller stjålet PC, mobil eller minnepinne uten kryptering
• dokumenter som er kastet i stedet for makulert
• personopplysninger som er publisert ved en feil
• uvedkommende som har fått tilgang fordi tilgangsstyringen sviktet

Et sikkerhetsbrudd som bare gjelder andre opplysninger enn personopplysninger, skal ikke meldes til Datatilsynet.

Hva gjør du som ansatt?

Datatilsynet skriver at melding av avvik er en formell prosess for virksomheter, ikke for enkeltpersoner. Din jobb er å si fra internt.

1. Begrens skaden. Be for eksempel mottakeren slette en feilsendt e-post.
2. Si fra straks til lederen eller den som har ansvaret etter rutinen. Vent ikke til neste dag.
3. Fortell hva du vet: hva skjedde, når, hvilke opplysninger og omtrent hvor mange personer.
4. Ta vare på sporene. Ikke slett e-poster eller logger som kan vise hva som skjedde.

Fristen på 72 timer løper fra virksomheten fikk kjennskap til bruddet. Hver time du venter, har virksomheten mindre tid.

Hva må virksomheten gjøre?

Vurdere risikoen

Virksomheten må vurdere om personopplysninger er berørt, og hvilken risiko bruddet gir for personene. Datatilsynet skriver at virksomheten må være tilnærmet helt sikker på at det ikke er risiko, for å la være å melde.

Melde til Datatilsynet

Meldingen sendes i Altinn. Den skal minst beskrive hva som har skjedd, omtrent hvor mange som er berørt, sannsynlige konsekvenser, tiltakene og en kontaktperson (artikkel 33 nr. 3). Er ikke alt kjent innen 72 timer, kan virksomheten melde trinnvis (artikkel 33 nr. 4). Kommer meldingen senere enn 72 timer, skal årsaken oppgis.

Bruker virksomheten en leverandør som behandler opplysningene for den, skal leverandøren si fra til virksomheten uten ugrunnet opphold (artikkel 33 nr. 2).

Dokumentere

Alle avvik skal dokumenteres, også de som ikke meldes (artikkel 33 nr. 5). Datatilsynet skriver at virksomheten skal begrunne i en intern rapport hvorfor et avvik ikke ble meldt, eller hvorfor de berørte ikke ble varslet.

Varsle de berørte ved høy risiko

Gir bruddet sannsynligvis høy risiko for personene, skal de få beskjed uten ugrunnet opphold (artikkel 34 nr. 1). Datatilsynet nevner identitetstyveri, økonomisk tap, skade på omdømmet og taushetsbelagte opplysninger på avveie som eksempler.

Varselet skal være klart og tydelig. Det skal beskrive hva som har skjedd, sannsynlige konsekvenser, tiltakene og hvem de kan kontakte (artikkel 34 nr. 2). Varsel er ikke nødvendig hvis opplysningene for eksempel var kryptert, eller hvis virksomheten har gjort tiltak som fjerner den høye risikoen (artikkel 34 nr. 3).

Lære av avviket

Datatilsynet skriver at avvik alltid skal følges opp internt. Virksomheten skal se om tiltakene virket, og nye tiltak skal følges opp med opplæring.

Slik kommer du i gang

1. Bestem hvem de ansatte skal melde avvik til, også kveld og helg.
2. Lag et enkelt skjema eller en logg for interne avviksmeldinger.
3. Sørg for at den som melder i Altinn, har fullmakt til tjenesten «Melding om brudd på personopplysningssikkerheten».
4. Lær alle ansatte å kjenne igjen et avvik og si fra med en gang. Kurset Personvern for ansatte (GDPR) har en egen leksjon om avvik.
5. Gå gjennom avvikene jevnlig og rett rutinene som ikke virker.

Vanlige spørsmål

Er en feilsendt e-post alltid et avvik?

Den er et brudd på personopplysningssikkerheten hvis den inneholder personopplysninger. Om den må meldes til Datatilsynet, avhenger av risikoen. Den skal uansett dokumenteres internt (artikkel 33 nr. 5).

Kan jeg som ansatt melde avviket direkte til Datatilsynet?

Melding av avvik er en formell prosess for virksomheten. Mener du at virksomheten bryter reglene, kan du tipse eller klage til Datatilsynet. Den vanlige veien er å si fra internt.

Hva hvis vi ikke rekker 72 timer?

Meld det dere vet, og gi resten trinnvis (artikkel 33 nr. 4). Er meldingen forsinket, skal dere oppgi hvorfor (artikkel 33 nr. 1).

Er kurset til Kurs.ing godkjent av Datatilsynet?

Nei. Kurs.ing er en privat og uavhengig tilbyder, og kurset er ikke godkjent av noen myndighet. Kursbeviset ligger på Min side når du har fullført, og dokumenterer opplæringen. Det er ikke en offentlig godkjenning.

Kilder

• Lovdata: GDPR artikkel 4 (definisjoner)
• Lovdata: GDPR artikkel 33
• Lovdata: GDPR artikkel 34
• Datatilsynet: hva er et brudd på personopplysningssikkerheten?
• Datatilsynet: hvilke brudd skal meldes?
• Datatilsynet: hvordan melde brudd på personopplysningssikkerheten
• Datatilsynet: informasjon til de berørte
• Datatilsynet: hvordan følge opp bruddet internt
• Datatilsynet: håndtering av avvik