Personvernbrudd: når må du varsle Datatilsynet?

Uten ugrunnet opphold, og når det er mulig senest 72 timer etter at dere fikk kjennskap til bruddet — med mindre det sannsynligvis ikke vil medføre en risiko for de berørtes rettigheter og friheter. Er risikoen høy, skal også de berørte personene varsles. Og ethvert brudd skal dokumenteres, også de som ikke meldes.

72 timer er kort. Det er derfor rutinen må finnes før bruddet, ikke skrives mens det pågår.

Denne guiden er del av temaet personvern og GDPR for små bedrifter.

Hva sier loven?

Reglene står i personvernforordningen, som gjelder som norsk lov gjennom personopplysningsloven § 1.

Melding til Datatilsynet. Artikkel 33 nr. 1: ved brudd på personopplysningssikkerheten skal den behandlingsansvarlige «uten ugrunnet opphold og når det er mulig, senest 72 timer etter å ha fått kjennskap til det», melde bruddet til tilsynsmyndigheten — «med mindre bruddet sannsynligvis ikke vil medføre en risiko for fysiske personers rettigheter og friheter». Meldes det ikke innen 72 timer, skal årsakene til forsinkelsen oppgis.

Nr. 2: databehandleren skal uten ugrunnet opphold underrette den behandlingsansvarlige etter å ha fått kjennskap til et brudd.

Nr. 3: meldingen skal minst beskrive arten av bruddet, herunder når det er mulig kategoriene av og omtrentlig antall berørte registrerte og registreringer; inneholde kontaktopplysninger til personvernombud eller annet kontaktpunkt; beskrive de sannsynlige konsekvensene; og beskrive de tiltakene som er truffet eller foreslås, herunder tiltak for å redusere skadevirkninger.

Nr. 4: er det ikke mulig å gi all informasjon samtidig, kan den gis trinnvis uten ytterligere ugrunnet opphold.

Nr. 5: den behandlingsansvarlige skal dokumentere ethvert brudd, herunder de faktiske forholdene, virkningene og tiltakene. Dokumentasjonen skal gjøre det mulig for tilsynsmyndigheten å kontrollere samsvar.

Underretning av de registrerte. Artikkel 34 nr. 1: er det sannsynlig at bruddet vil medføre høy risiko for fysiske personers rettigheter og friheter, skal de registrerte underrettes uten ugrunnet opphold. Nr. 2: underretningen skal inneholde en klar og tydelig beskrivelse av bruddets art, og minst opplysningene i artikkel 33 nr. 3 bokstav b, c og d.

Nr. 3 gir tre unntak: opplysningene var beskyttet med egnede tekniske og organisatoriske tiltak som gjør dem uleselige for uvedkommende, «f.eks. kryptering»; det er truffet etterfølgende tiltak som gjør at den høye risikoen ikke lenger er sannsynlig; eller underretning vil innebære en uforholdsmessig stor innsats — og da skal allmennheten i stedet underrettes eller et lignende tiltak treffes.

Nr. 4: har den behandlingsansvarlige ikke underrettet, kan tilsynsmyndigheten kreve det, eller beslutte at et av unntakene er oppfylt.

Hva betyr det i praksis?

To terskler, ikke én. «Risiko» utløser melding til Datatilsynet. «Høy risiko» utløser i tillegg varsling av de berørte. De er ikke det samme, og vurderingen må gjøres separat.

Fristen løper fra kjennskap, ikke fra hendelsen. Noter klokkeslettet dere ble kjent med bruddet. Oppdages en feilsending fem dager etter at den skjedde, løper de 72 timene fra oppdagelsen.

Dokumentasjonsplikten gjelder alt. Også bruddene dere konkluderer med ikke skal meldes. Vurderingen — hva skjedde, hvilken risiko, hvorfor ikke meldt — er en del av det tilsynet kan kontrollere.

Trinnvis melding er tillatt. Vent ikke med å melde til dere har full oversikt. Meld det dere vet innen fristen, og suppler.

De vanligste bruddene er hverdagslige. En e-post med vedlegg til feil mottaker, en mistet telefon, en feilkonfigurert delingslenke, en tidligere ansatt med tilgang som ikke ble stengt. Det siste henger sammen med rutinen for å avslutte kontoer — se innsyn i ansattes e-post.

**Oversikten fra GDPR-grunnarbeidet er det som gjør vurderingen rask.** Vet dere hvilke opplysninger som ligger hvor, tar det minutter å avgjøre hva et brudd omfatter. Vet dere det ikke, går ett av de tre døgnene med til å finne ut av det.

Et eksempel

En bedrift sender ut lønnsslipper og legger ved feil fil: hele lønnslisten for alle 22 ansatte går til én ansatt. Feilen oppdages neste morgen kl. 08.30.

Er det et brudd? Ja — uautorisert tilgang til personopplysninger.

Melding til Datatilsynet? Lønnsopplysninger om navngitte personer til en uvedkommende innebærer risiko. Meld innen 72 timer fra kl. 08.30, altså senest kl. 08.30 tre dager senere.

Varsling av de berørte? Her må høy-risiko-terskelen vurderes konkret. Mottakeren er en kollega, ikke en fremmed; opplysningene er lønn, ikke helse eller passord. Har bedriften fått bekreftet at filen er slettet og ikke videresendt, kan unntaket i artikkel 34 nr. 3 bokstav b være aktuelt — etterfølgende tiltak som fjerner den høye risikoen.

Uansett konklusjon: dokumenter hendelsen, vurderingen og tiltakene. Det er den dokumentasjonen artikkel 33 nr. 5 krever, og det er den Datatilsynet ber om hvis saken kommer opp.

Vanlige feil

• Å vente med å melde til alt er kartlagt. Meld trinnvis.
• Å ikke notere tidspunktet dere fikk kjennskap til bruddet.
• Å blande sammen de to tersklene for melding og varsling.
• Å ikke dokumentere brudd dere konkluderte med ikke skulle meldes.
• **Å ikke ha varslingsplikt i databehandleravtalen.** Får leverandøren bruddet, må dere få vite det raskt nok til å rekke fristen.
• Å ikke ha en navngitt ansvarlig. Uten det går ett av de tre døgnene med til å finne ut hvem som skal håndtere saken.
• Å behandle det som en IT-sak alene. Vurderingen av risiko for de registrerte er ikke teknisk.

Når bør du kontakte advokat?

72 timer fra kjennskap. Det er hele saken. Er dere i tvil om noe, meld heller innenfor fristen og suppler etterpå — forsinket melding krever begrunnelse, og «vi var usikre» er en dårlig en.

Ta kontakt med advokat når:

• Bruddet omfatter særlige kategorier — helse, biometri — eller mange berørte.
• Bruddet skyldes et angrep utenfra, eller opplysninger er på avveie hos en tredjepart.
• Dere vurderer å ikke melde, og beløpet eller antallet gjør vurderingen viktig.
• Datatilsynet har fulgt opp meldingen med spørsmål.
• Berørte personer krever erstatning.

Du finner advokater med personvern som fagfelt i oversikten vår.