GDPR-Avviks-Sjekken™ PRO – Meldeplikt ved personvernbrudd

Hva er meldeplikt Datatilsynet – og hva mange overser

Når en virksomhet oppdager et brudd på personopplysningssikkerheten, er hovedregelen klar: bruddet skal meldes til Datatilsynet. Meldeplikt Datatilsynet inntrer med mindre det er usannsynlig at bruddet medfører en risiko for de berørte personenes rettigheter og friheter. I praksis betyr den lave terskelen at de fleste reelle personvernbrudd skal meldes – og at det er virksomheten selv som må kunne dokumentere det dersom den velger å la være.

Det mange overser er at vurderingen er sammensatt. For det første må man avklare om hendelsen i det hele tatt er et personvernbrudd etter art. 4 nr. 12 – altså et sikkerhetsbrudd som rammer personopplysninger, ikke bare et driftsavvik. For det andre må man skille mellom to ulike plikter med ulik terskel: meldeplikt til Datatilsynet og varslingsplikt til de berørte. For det tredje avhenger ansvaret av hvilken rolle virksomheten har – behandlingsansvarlig eller databehandler. GDPR-Avviks-Sjekken™ PRO er bygget for nettopp denne sammensatte vurderingen, og leder deg gjennom den steg for steg slik at konklusjonen blir både korrekt og dokumentert.

72-timersfristen – når begynner den å løpe?

Fristen for å melde til Datatilsynet er «uten ugrunnet opphold og om mulig senest 72 timer» etter at den behandlingsansvarlige ble kjent med bruddet. Det avgjørende ordet er kjent: fristen starter ikke da bruddet teknisk oppsto, men da virksomheten faktisk fikk kunnskap om det. Det betyr at klokken kan begynne å løpe en stund etter selve hendelsen – for eksempel når en logg gjennomgås eller en ansatt melder fra.

Fristen løper sammenhengende, også gjennom helger og helligdager. Skjedde bruddet hos en leverandør, starter virksomhetens egen frist når leverandøren varsler den. Verktøyet ber derfor eksplisitt om tidspunktet dere ble kjent med bruddet, og starter en 72-timers nedtelling slik at fristen blir synlig og styrende gjennom hele vurderingen.

Meldeplikt Datatilsynet og varslingsplikt til de berørte (art. 33 og 34)

De to pliktene har ulik terskel, og det er en vanlig feil å slå dem sammen. Meldeplikt Datatilsynet etter art. 33 utløses allerede ved en sannsynlig risiko – terskelen er lav. Varslingsplikt til de registrerte etter art. 34 utløses først ved høy risiko – terskelen er høyere.

Fjerner kryptering meldeplikt Datatilsynet?

Kryptering illustrerer forskjellen godt. Var de berørte dataene kryptert med en nøkkel som ikke er kompromittert, kan virksomheten etter art. 34 nr. 3 slippe å varsle de registrerte – opplysningene er da i praksis uforståelige for uvedkommende. Men kryptering fjerner som hovedregel ikke meldeplikten til Datatilsynet. Verktøyet behandler derfor de to pliktene hver for seg og gir et eget ja/nei for hver, med korrekt effekt av kryptering.

Hvem melder? Behandlingsansvarlig vs. databehandler (art. 33 nr. 2)

Reglene avgjøres ikke bare av hva som skjedde, men av hvem dere er i behandlingen. En behandlingsansvarlig er den som bestemmer formål og midler, og det er denne som melder til Datatilsynet. En databehandler behandler personopplysninger på vegne av en annen, og har ingen selvstendig meldeplikt til Datatilsynet – plikten er å varsle den behandlingsansvarlige uten ugrunnet opphold, slik at denne kan oppfylle sin meldeplikt.

Skjedde bruddet hos en av deres egne leverandører, er dere fortsatt behandlingsansvarlig og skal melde – men dere er avhengige av at databehandleren varsler dere og gir tilstrekkelig informasjon. Her er databehandleravtalen (art. 28) sentral: den bør fastsette en konkret varslingsfrist ved brudd. Verktøyet spør derfor om rollen deres og tilpasser både fristberegning og konklusjon til den.

Meldeplikt Datatilsynet som internkontroll og dokumentasjon (art. 33 nr. 5)

Selv når et brudd ikke meldes, gjelder en selvstendig plikt: alle personvernbrudd skal loggføres internt. Denne interne protokollføringen etter art. 33 nr. 5 er grunnlaget for å vise etterlevelse av ansvarlighetsprinsippet (art. 5 nr. 2) ved et tilsyn. Velger virksomheten å avstå fra å melde, må begrunnelsen for hvorfor risikoen er usannsynlig være reell og dokumentert – det holder ikke å anta at konsekvensene er små.

IS-modellen™ – instruksbasert styring – løfter håndtering av personvernbrudd fra ad hoc-reaksjon til et styringsobjekt med fast instruks. Verktøyets rapport er bygget for dette: den dokumenterer beslutningen, begrunnelsen, de utslagsgivende faktorene og fristen, slik at saken kan legges rett i avviksprotokollen. For videre arbeid kan vurderingen kobles til avviksbehandlingen og til revisjon av personverninstruksene.

Slik bruker du verktøyet – fem trinn og en arkivklar rapport

Verktøyet leder deg gjennom vurderingen i fem trinn, og samler fakta før det konkluderer.

Trinn 1 – Oppsett og rolle: ansvarlig, virksomhet, rolle (behandlingsansvarlig eller databehandler) og tidspunktet dere ble kjent med bruddet.

Trinn 2 – Hendelse: type brudd (konfidensialitet, tilgjengelighet eller integritet) og om dataene var kryptert.

Trinn 3 – Risikovurdering: datakategori, omfang, sårbarhet og sannsynlig konsekvens for de berørte.

Trinn 4 – Konklusjon: et rolle- og pliktbasert verdikt med ja/nei for meldeplikt til Datatilsynet og varslingsplikt til de berørte, og registrering av virksomhetens beslutning.

Trinn 5 – Rapport: en arkivklar PDF med ledelsessammendrag, begrunnelse, neste-steg-sjekkliste og et ferdig meldingsutkast med feltene Datatilsynet etterspør (art. 33 nr. 3). Saken kan i tillegg eksporteres som datafil til eget avvikssystem og legges som kalenderfrist.