Datalæk: håndtering og anmeldelse

Et datalæk kaldes i lovteksten et brud på persondatasikkerheden, og definitionen er bredere, end de fleste tror. Det dækker enhver hændelse, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring eller uautoriseret videregivelse af eller adgang til personoplysninger.

Der er altså tre slags brud, og de to sidste bliver ofte overset:

• Fortrolighedsbrud — nogen har fået adgang til oplysninger, de ikke måtte se. Den klassiske hackersag, men også mailen sendt til den forkerte modtager.
• Integritetsbrud — oplysninger er blevet ændret uautoriseret.
• Tilgængelighedsbrud — I kan ikke selv komme til oplysningerne. Et ransomwareangreb er et brud på persondatasikkerheden, også selv om intet er kopieret ud af huset.

Fristen starter, når I bliver bekendt med bruddet

Anmeldelsen til Datatilsynet skal ske uden unødig forsinkelse og om muligt senest 72 timer efter, at I er blevet bekendt med bruddet. Tre præciseringer afgør, om I overholder fristen:

Fristen starter ikke, når undersøgelsen er færdig. Den starter, når I med rimelig sikkerhed ved, at der er sket et sikkerhedsbrud, som involverer personoplysninger. Et kort tidsrum til at verificere en indberetning er accepteret — dage til at grave er det ikke.

Fristen løber i kalendertimer. Weekender og helligdage tæller med. Et brud opdaget fredag eftermiddag skal anmeldes mandag morgen.

En ufuldstændig anmeldelse er bedre end en forsinket. I må anmelde med det, I ved, og supplere bagefter. Anmelder I efter fristen, skal forsinkelsen begrundes i selve anmeldelsen.

Er I databehandler for en anden virksomhed, anmelder I ikke til Datatilsynet. I underretter den dataansvarlige uden unødig forsinkelse, og det er dem, der anmelder — og deres frist begynder at løbe, når I giver besked.

De første timer

1. 1Meld hændelsen ind ét sted. Der skal være ét telefonnummer eller én postkasse, som alle i organisationen kender. En hændelse, der ligger i en enkelt medarbejders indbakke i to døgn, er den dyreste variant.
2. 2Stands blødningen. Luk den kompromitterede konto, isoler maskinen fra netværket, træk delingslinket tilbage. Sluk ikke serveren — hukommelsen indeholder spor, der forsvinder ved en nedlukning.
3. 3Bevar bevismaterialet. Sikr logfiler, før de roterer. Netop de logs, der kan svare på, hvad angriberen tilgik, er ofte dem med den korteste opbevaringstid.
4. 4Kortlæg hvilke oplysninger der er berørt. Hvor mange registrerede, hvilke kategorier, og er der følsomme oplysninger, CPR-numre eller oplysninger om børn imellem.
5. 5Sæt uret. Noter tidspunktet for, hvornår I blev bekendt med bruddet, og hvem der konstaterede det. Det tidspunkt skal kunne dokumenteres bagefter.
6. 6Involver ledelsen og eventuelt jeres databeskyttelsesrådgiver med det samme. Beslutningen om at anmelde er ikke IT-afdelingens alene.
7. 7Skriv en logbog undervejs. Hvem gjorde hvad hvornår. Den bliver til dokumentationen, og den kan ikke rekonstrueres troværdigt en uge senere.

Skal det anmeldes?

Anmeldelsespligten gælder, medmindre det er usandsynligt, at bruddet indebærer en risiko for de registreredes rettigheder og frihedsrettigheder. Formuleringen er bevidst stram: tvivl fører til anmeldelse.

I vurderingen indgår typen af oplysninger, hvor mange der er berørt, hvor let de kan misbruges, og hvor svært det er for de registrerede at afbøde skaden. Et CPR-nummer vejer tungt, fordi det ikke kan skiftes ud. Det samme gør helbredsoplysninger, oplysninger om børn og alt, der kan bruges til identitetstyveri.

Uanset udfaldet skal bruddet dokumenteres internt i en fortegnelse med de faktiske omstændigheder, virkningerne og de trufne afhjælpende foranstaltninger. Vælger I ikke at anmelde, er det den fortegnelse, der skal bære begrundelsen, hvis Datatilsynet senere spørger.

Underretning af de berørte

Er der høj risiko for de registrerede, skal de også underrettes direkte og uden unødig forsinkelse. Det er en skarpere tærskel end anmeldelsespligten, og formålet er et andet: at sætte dem i stand til at beskytte sig selv.

Underretningen skal være i et klart og enkelt sprog og indeholde, hvad der er sket, hvilke oplysninger der er berørt, konsekvenserne, hvad I gør ved det, og hvor de kan henvende sig. Er der lækket betalingsoplysninger, skal der stå, at kortet skal spærres — ikke at I "tager sagen alvorligt".

Underretning kan undlades, hvis oplysningerne var krypteret på en måde, der gør dem ulæselige for uvedkommende, eller hvis I efterfølgende har gjort risikoen usandsynlig. Er det uforholdsmæssigt vanskeligt at nå alle direkte, kan der i stedet udsendes en offentlig meddelelse.

Sådan anmelder I i Danmark

Anmeldelsen sker digitalt til Datatilsynet via virk.dk. Formularen beder blandt andet om, hvornår bruddet skete og blev opdaget, hvad der er sket, hvilke kategorier og hvor mange registrerede der er berørt, de sandsynlige konsekvenser og de foranstaltninger, I har truffet eller vil træffe.

Kan I ikke svare på det hele inden for fristen, anmelder I alligevel og markerer, at der følger supplerende oplysninger. Gem kvitteringen sammen med logbogen.

Når NIS2 også gælder

Er organisationen omfattet af NIS2, kan en hændelse udløse to sæt frister ad gangen, over for to forskellige myndigheder. NIS2 kræver en tidlig varsling inden for 24 timer, en egentlig hændelsesanmeldelse inden for 72 timer og en endelig rapport senest en måned efter. De frister gælder væsentlige hændelser i driften, uanset om der er personoplysninger involveret, og de går til den kompetente myndighed for sektoren og til CSIRT-funktionen, som i Danmark varetages af Center for Cybersikkerhed.

De to spor skal håndteres parallelt. En anmeldelse til Datatilsynet erstatter ikke en varsling efter NIS2, og omvendt.

Politianmeldelse og forsikring

Er bruddet resultatet af en kriminel handling, anmeldes forholdet til politiet. Uberettiget adgang til andres oplysninger er strafbar efter straffelovens § 263, og en politianmeldelse er ofte en forudsætning for, at en cyberforsikring dækker. Kontakt forsikringsselskabet tidligt — mange policer stiller krav om, at selskabet godkender de eksterne rådgivere, I bruger.

Bagefter

Hold en gennemgang, når driften er genoprettet, og hold den på processen frem for på personerne. Hvad gjorde bruddet muligt, hvor lang tid gik der, før det blev opdaget, og hvad forsinkede reaktionen. Opdater derefter jeres beredskabsplan med det, I lærte.

Den vigtigste erkendelse ligger som regel før selve hændelsen: 72 timer er rigeligt, hvis rollerne er fordelt på forhånd, og alt for lidt, hvis de skal fordeles undervejs. Aftal på forhånd, hvem der træffer beslutningen om at anmelde, hvem der taler med de registrerede og med pressen, og hvilken ekstern hjælp I ringer til. Prøv det igennem én gang om året som et skrivebordsforløb — det tager to timer og er den billigste del af hele beredskabet.