Databrudd og personvernbrudd: Hva gjør du når skaden har skjedd?

Ved et databrudd har virksomheten 72 timer på å melde fra til Datatilsynet, regnet fra det tidspunktet dere ble kjent med bruddet. Er risikoen for de berørte høy, må også de varsles uten ugrunnet opphold. Alle brudd skal dokumenteres internt, også de som ikke er meldepliktige.

Når personopplysninger kommer på avveie — enten det skyldes en teknisk feil, et hackerangrep eller en menneskelig glipp — snakker vi om et databrudd. Det er ikke bare et IT-problem. Det er et juridisk ansvar, og konsekvensene kan bli store både for virksomheten og for enkeltpersonene som rammes.

Under går vi gjennom hva du må gjøre når uhellet er ute, enten du sitter i en virksomhet som er behandlingsansvarlig, eller du er privatperson og lurer på hvilke rettigheter du har etter et brudd.

Hva regnes som et databrudd eller personvernbrudd?

Et databrudd er et brudd på sikkerheten som går ut over personopplysninger. Regelverket deler det i tre, og alle tre teller — det er en vanlig misforståelse at bare lekkasjer er meldepliktige.

Type brudd	Hva det betyr	Typisk eksempel
Konfidensialitetsbrudd	Uvedkommende får tilgang til opplysningene	E-post sendt til feil mottaker, eller dokument publisert med fødselsnummer synlig
Integritetsbrudd	Opplysningene blir endret eller ødelagt utilsiktet	Feil i en import overskriver riktige data i kunderegisteret
Tilgjengelighetsbrudd	Dere mister selv tilgangen til opplysningene	Løsepengevirus krypterer systemet, eller en backup viser seg å være tom

Det siste punktet overrasker flest. At ingen utenforstående har sett opplysningene betyr ikke at hendelsen faller utenfor. Mister dere tilgangen til pasientjournaler, personalmapper eller kunderegister, er også det et brudd.

Den tekniske definisjonen står i GDPR artikkel 4 nr. 12. Et personvernbrudd foreligger når hendelsen også innebærer et brudd på personopplysningsloven eller GDPR.

Du trenger ikke være et stort teknologiselskap for å oppleve dette. Vi har bistått alt fra små familiebedrifter til større offentlige aktører som har havnet i trøbbel på grunn av en feil i en e-postutsendelse eller en glemt tilgang til sensitive filer.

Hvem skal varsles, og når?

Det er to varslingsplikter, og de har ulike terskler. Mange blander dem sammen og varsler enten for mye eller for lite.

	Datatilsynet	De berørte personene
Terskel	Med mindre det er lite sannsynlig at bruddet medfører en risiko for personers rettigheter og friheter	Når bruddet sannsynligvis vil medføre en høy risiko
Frist	Innen 72 timer etter at dere ble kjent med bruddet	Uten ugrunnet opphold
Hjemmel	GDPR artikkel 33	GDPR artikkel 34
Hvis fristen ryker	Meld likevel, og begrunn forsinkelsen i meldingen	Ikke aktuelt — men forsinkelse svekker posisjonen ved et eventuelt tilsyn

Legg merke til forskjellen i terskel. Terskelen mot Datatilsynet er lav og formulert negativt: dere skal melde med mindre risikoen er usannsynlig. Terskelen mot de berørte er høyere og krever høy risiko. I praksis betyr det at langt flere hendelser skal meldes til tilsynet enn til enkeltpersonene.

Eksempel: en skole sender karakterer til feil foresatte. Det skal meldes både til Datatilsynet og til de berørte, fordi opplysningene er sensitive og kan få konsekvenser for den enkelte.

Slik melder du avviket til Datatilsynet

Meldingen leveres gjennom Datatilsynets eget skjema. Den kan sendes i flere omganger dersom dere ikke har full oversikt innen 72 timer — det er bedre å melde med forbehold enn å bomme på fristen mens dere undersøker.

Meldingen skal etter artikkel 33 blant annet inneholde:

• En beskrivelse av bruddets art, og så langt det er mulig hvilke kategorier og omtrent hvor mange registrerte og opplysninger som er berørt.
• Navn og kontaktopplysninger til personvernombudet, eller til et annet kontaktpunkt der mer informasjon kan innhentes.
• En beskrivelse av de sannsynlige konsekvensene av bruddet.
• En beskrivelse av tiltakene dere har iverksatt eller foreslår, inkludert tiltak for å begrense skadevirkningene.

Har virksomheten personvernombud, er det ombudet som normalt står som kontaktpunkt. Se siden om personvernombud for hvem som må ha det.

Dokumentasjonsplikten gjelder også når dere ikke melder

Dette er punktet flest virksomheter tar feil på. Alle personvernbrudd skal dokumenteres internt, uavhengig av om de er meldepliktige. Vurderer dere at et brudd ikke medfører risiko og derfor ikke skal meldes, er det nettopp den vurderingen som må skrives ned.

Dokumentasjonen skal omfatte faktum, virkningene og tiltakene som ble truffet, og den skal gjøre det mulig for Datatilsynet å kontrollere at reglene er fulgt. En avviksprotokoll med disse feltene er som regel nok:

• Når hendelsen skjedde, og når dere ble kjent med den.
• Hva som skjedde, og hvilke opplysninger og hvor mange personer som er berørt.
• Risikovurderingen, med begrunnelsen for om det ble meldt eller ikke.
• Hvilke tiltak som ble iverksatt, og når.
• Hvem som besluttet hva.

Ved et tilsyn er det denne protokollen som avgjør hvordan virksomheten framstår. En dokumentert vurdering som viste seg å være feil, stiller langt bedre enn ingen vurdering.

Når bruddet skjer hos en leverandør

Skjer bruddet hos en databehandler — skytjenesten, regnskapsføreren, systemleverandøren — er det fortsatt dere som er behandlingsansvarlig og som må melde til Datatilsynet. Databehandleren skal varsle dere uten ugrunnet opphold, og 72-timersfristen deres begynner å løpe når dere blir kjent med bruddet.

Det gjør varslingsklausulen i databehandleravtalen til et praktisk viktig punkt, ikke en formalitet. Er den vag på frist og innhold, mister dere tid dere ikke har. Se siden om databehandleravtaler for hva avtalen må regulere.

Hvordan håndterer man et brudd, steg for steg

Handle raskt og metodisk. Rekkefølgen under er den vi bruker selv når vi kommer inn i en pågående hendelse.

1. Stans bruddet. Sikre systemer, steng tilganger, koble fra nett om nødvendig.
2. Kartlegg. Hva har skjedd, hvilke opplysninger er rammet, og hvem er berørt?
3. Start klokka. Noter tidspunktet dere ble kjent med bruddet. Det er dette som utløser 72-timersfristen, ikke tidspunktet bruddet skjedde.
4. Dokumenter alt. Også hvis dere konkluderer med at det ikke er meldepliktig.
5. Vurder varslingsplikten. To separate vurderinger: Datatilsynet og de berørte.
6. Informer riktig. Ikke bare hva som har skjedd, men hva dere gjør med det og hva den enkelte bør gjøre selv.
7. Få bistand tidlig. En vurdering av risiko og varslingsplikt er vanskelig å gjøre om i ettertid.

Vi hjelper ofte virksomheter med å skrive varselbrevet, stå i kontakten med tilsynet og vurdere hvordan skaden kan begrenses, både teknisk og juridisk.

Hva skjer etter at dere har meldt?

De fleste meldinger fører ikke til noe mer enn en registrering. Datatilsynet mottar flere tusen avviksmeldinger i året og følger opp et mindretall av dem nærmere. At dere har meldt, er i seg selv et argument i deres favør.

Blir saken fulgt opp, går den som regel gjennom disse trinnene:

Trinn	Hva det innebærer
Bekreftelse	Meldingen registreres, og dere får en kvittering med saksnummer
Eventuelle spørsmål	Tilsynet ber om utfyllende opplysninger, ofte om risikovurderingen og tiltakene
Tilsyn	I mer alvorlige saker åpnes et tilsyn, der internkontroll og dokumentasjon gjennomgås
Reaksjon	Fra veiledning og pålegg om retting til overtredelsesgebyr i de mest alvorlige tilfellene

Størrelsen på en eventuell reaksjon henger tett sammen med hvordan virksomheten har opptrådt: om bruddet ble oppdaget selv eller av andre, om det ble meldt i tide, om det fantes rutiner, og om tiltakene var egnede. Det er også derfor dokumentasjonen har så mye å si — den er beviset for at det ble gjort en vurdering.

Manglende melding er et selvstendig brudd på regelverket. En virksomhet som lot være å melde, står dårligere enn en som meldte et alvorlig brudd.

Har privatpersoner krav på erstatning?

Ja. Etter GDPR artikkel 82 har den registrerte rett til erstatning for økonomisk eller ikke-økonomisk tap når reglene er brutt. Det kan handle om tap av kontroll over egne opplysninger, konkret økonomisk skade eller psykisk belastning.

Et konkret eksempel vi har hjulpet med: en privatperson fikk sensitive helseopplysninger lekket av en offentlig instans. Etter vår bistand fikk vedkommende økonomisk kompensasjon og en formell beklagelse.

Det er likevel ikke alltid lett å dokumentere skaden, og mange gir opp før saken er prøvd. Ønsker du i stedet å få opplysningene fjernet, er det en annen vei — se siden om retten til å bli glemt.

Typiske saker

• En kommune legger ut et dokument på nettsidene med fødselsnummer synlig. Feilen oppdages for sent, og flere opplever misbruk.
• En virksomhet sender nyhetsbrev til hundrevis av mottakere uten blindkopi. Navn og e-postadresser lekkes.
• En tidligere ansatt har fortsatt tilgang til HR-systemet og logger seg inn etter fratreden.
• En laptop med lokalt lagrede kundedata blir borte på reise, uten diskkryptering.

Flere av disse skyldes svikt i rutiner, ikke i teknologien. Det er også der forebyggingen ligger — en gjennomgang av tilganger og en personvernkonsekvensvurdering før nye systemer tas i bruk, fanger opp mye. For mindre virksomheter har vi samlet minstekravene i en egen GDPR-guide for småbedrifter.

Hvordan Judicia kan hjelpe

Vi har bred erfaring med databrudd og personvernbrudd, både i akutte situasjoner og med forebygging i forkant. Hos oss får du:

• En tydelig vurdering av om det foreligger et brudd, og hva det betyr i praksis.
• Hjelp med varsling til Datatilsynet og til de berørte.
• Juridisk støtte i kontakten med myndigheter og media.
• Vurdering av erstatningskrav, både fra og mot virksomheten.
• Plan for videre tiltak og dokumentasjon, slik at dere står tryggere neste gang.

Databrudd: advokat i Ålesund

Ved et databrudd har dere 72 timer på å melde fra til Datatilsynet. Det er kort tid til å finne ut hva som faktisk har skjedd og hvem som er berørt, og det meste av jobben må gjøres mens hendelsen fortsatt pågår.

Vi bistår virksomheter i Ålesund og på Sunnmøre gjennom hele forløpet, fra første kartlegging og melding til dialog med tilsynet og eventuelle erstatningskrav. Se også fagområdesiden vår om personvern og GDPR.

Ofte stilte spørsmål om databrudd

Står dere midt i en hendelse?

De første timene avgjør både omfanget og hvordan saken vurderes senere. Er dere usikre på om noe er meldepliktig, er det i seg selv en god grunn til å få en rask vurdering.

Ta kontakt for en uforpliktende samtale, så går vi gjennom hendelsen og hva som må gjøres innen fristen.