Brud på persondatasikkerheden kræver hurtig og struktureret håndtering. Efter GDPR skal den dataansvarlige vurdere risikoen for de registreredes rettigheder og frihedsrettigheder og om nødvendigt indberette til tilsynsmyndigheden inden 72 timer. Databehandlere skal uden unødig forsinkelse underrette den dataansvarlige. Se forordningen her: GDPR.
Retlige krav ved brud
Et sikkerhedsbrud omfatter enhver hændelse, der fører til utilsigtet eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysninger. Indberetning efter art. 33 skal beskrive hændelsen, konsekvenser og trufne foranstaltninger. Hvis der er høj risiko for de registreredes rettigheder, skal de registrerede informeres klart og rettidigt efter art. 34.
Alle brud – også dem, der ikke indberettes – skal dokumenteres i en hændelseslog, så tilsynet kan efterprøve vurderingerne. Nationale regler supplerer GDPR, jf. databeskyttelsesloven på retsinformation.dk.
Operativ håndtering
En effektiv beredskabsproces bør være forankret i klare roller, beslutningsveje og skabeloner. Følgende trin kan understøtte en ensartet håndtering:
- Inddæm hændelsen teknisk og organisatorisk, og sikre beviser.
- Klassificér bruddet og foretag en risikovurdering af data, omfang og påvirkede registrerede.
- Afgør indberetning til Datatilsynet og eventuel underretning af registrerede.
- afhjælpende foranstaltninger.
- Kommunikér til registrerede i klart sprog og med praktiske råd.
- Registrér forløbet og gennemfør læring og forbedringer.
Test beredskabet via øvelser, og sikr at databehandlere og andre leverandører kan reagere inden for aftalte frister. Hold kontaktpunkter og eskalationsveje opdaterede. Se vejledning hos Datatilsynet.
Forebyggelse og dokumentation
Styrk sikkerheden med flerfaktorlogin, stærke adgangskoder, opdatering og patching, kryptering, mindst mulige rettigheder, segmentering og effektiv logning. Kombinér tekniske kontrolforanstaltninger med politikker, awareness-træning og klare retningslinjer for e-mail og mobiludstyr.
Sørg for ajourførte databehandleraftaler, leverandørtilsyn og DPIA, hvor risici er høje. Dokumentér beslutninger, vurderinger og foranstaltninger – det er kernen i robust compliance og styrker jeres position ved et eventuelt tilsyn.
