Avvik og brudd på personopplysningssikkerheten

Kapitlet er for den som oppdager eller skal håndtere en sikkerhetshendelse hos en virksomhet som behandler personopplysninger, og for den som vil forstå hvilke plikter som gjelder hvis noe går galt. Det svarer på fire spørsmål: Er hendelsen et brudd? Skal det meldes til Datatilsynet? Skal de berørte varsles? Og hva skal dokumenteres uansett? «Avvik» er det vanlige norske ordet for et slikt brudd.

Hva loven krever

Hva et brudd er

Forordningen definerer et brudd på personopplysningssikkerheten som «et brudd på sikkerheten som fører til utilsiktet eller ulovlig tilintetgjøring, tap, endring, ulovlig spredning av eller tilgang til personopplysninger som er overført, lagret eller på annen måte behandlet»¹. Datatilsynet presiserer at dette omfatter både angrep utenfra og feil som skjer internt i virksomheten ².

Sikkerhet som forebygger brudd

Artikkel 32 nr. 1 krever at den behandlingsansvarlige og databehandleren gjennomfører «egnede tekniske og organisatoriske tiltak for å oppnå et sikkerhetsnivå som er egnet med hensyn til risikoen»³. Bestemmelsen nevner blant annet «pseudonymisering og kryptering av personopplysninger»³ og «en prosess for regelmessig testing, analysering og vurdering av hvor effektive behandlingens tekniske og organisatoriske sikkerhetstiltak er»³. En databehandler er den som behandler opplysninger på vegne av den behandlingsansvarlige ⁴.

Melding til Datatilsynet: 72 timer

Hovedregelen står i artikkel 33 nr. 1: den behandlingsansvarlige skal «uten ugrunnet opphold og når det er mulig, senest 72 timer etter å ha fått kjennskap til det, melde bruddet til vedkommende tilsynsmyndighet»⁵. Unntaket gjelder bare når «bruddet sannsynligvis ikke vil medføre en risiko for fysiske personers rettigheter og friheter»⁵. Kommer meldingen senere: «Dersom bruddet ikke meldes til tilsynsmyndigheten innen 72 timer, skal årsakene til forsinkelsen oppgis.»⁵

Fristen løper altså fra kjennskap, ikke fra når bruddet skjedde ⁶. Databehandleren har en egen plikt: den skal «uten ugrunnet opphold underrette den behandlingsansvarlige»⁷.

Hva meldingen skal inneholde

Meldingen skal minst «beskrive arten av bruddet på personopplysningssikkerheten, herunder, når det er mulig, kategoriene av og omtrentlig antall registrerte som er berørt, og kategoriene av og omtrentlig antall registreringer av personopplysninger som er berørt»⁸. Den skal inneholde navn og kontaktopplysninger til personvernombudet «eller et annet kontaktpunkt der mer informasjon kan innhentes»⁸, «beskrive de sannsynlige konsekvensene av bruddet»⁸ og beskrive tiltakene som er truffet eller foreslås ⁹. Mangler noe: informasjonen «kan den gis trinnvis uten ytterligere ugrunnet opphold»¹⁰.

Dokumentasjon av alle brudd

Uansett om bruddet meldes: «Den behandlingsansvarlige skal dokumentere ethvert brudd på personopplysningssikkerheten, herunder de faktiske forhold rundt nevnte brudd, virkningene av det og hvilke tiltak som er truffet for å utbedre det.»¹¹ Dokumentasjonen skal gjøre det mulig for tilsynsmyndigheten å kontrollere samsvar med artikkelen ¹².

Varsling av de berørte

Terskelen er høyere enn for melding til tilsynet: «Dersom det er sannsynlig at bruddet på personopplysningssikkerheten vil medføre en høy risiko for fysiske personers rettigheter og friheter, skal den behandlingsansvarlige uten ugrunnet opphold underrette den registrerte om bruddet.»¹³ Underretningen skal blant annet beskrive bruddet, kontaktpunktet, konsekvensene og tiltakene ¹⁴.

Underretning er ikke påkrevd i tre tilfeller. Opplysningene kan ha vært beskyttet med «tiltak som gjør personopplysningene uleselige for enhver person som ikke har autorisert tilgang til dem, f.eks. kryptering»¹⁵; den behandlingsansvarlige kan ha truffet «etterfølgende tiltak som sikrer at det ikke lenger er sannsynlig at den høye risikoen»¹⁵ vil oppstå; eller underretningen vil «innebære en uforholdsmessig stor innsats. Dersom dette er tilfellet, skal allmennheten isteden underrettes»¹⁵. Personopplysningsloven § 16 fjerde ledd gjør et nasjonalt unntak der underretningen «vil røpe opplysninger som nevnt i første ledd bokstav a, b og d»¹⁶.

Hva Datatilsynet sier

Datatilsynets oversiktsside oppsummerer hovedregelen: «Dersom det skjer et brudd på personopplysningssikkerheten (også kalt avvik), skal det som hovedregel meldes til Datatilsynet så snart som mulig.»¹⁷

Er det et brudd? «Et brudd på personopplysningssikkerheten består av tre elementer:»¹⁸ et sikkerhetsbrudd, at bruddet fører til tap, endring, spredning eller tilgang, og at det berører personopplysninger ². Tilsynet deler bruddene inn i brudd på konfidensialitet, integritet og tilgjengelighet ². Og: «Sikkerhetsbrudd som bare berører andre typer opplysninger er altså ikke meldepliktige til Datatilsynet.»¹⁹

Skal det meldes? Unntaket fra meldeplikten er snevert: «Den behandlingsansvarlige må være tilnærmet helt sikker på at bruddet ikke vil medføre eller har medført noen risiko for de berørte, for at unntaket skal være oppfylt.»²⁰ Blant tilsynets eksempler på brudd som kan meldes, er «Uautorisert eller utilsiktet publisering av personopplysninger som ikke skulle ha vært publisert»²¹. Om databehandlere: «Databehandleren skal i utgangspunktet kun melde til den behandlingsansvarlige, men kan under visse vilkår melde til Datatilsynet på vegne av den behandlingsansvarlige.»²² Og om dokumentasjon: «Uavhengig av om bruddet skal meldes til Datatilsynet, har den behandlingsansvarlige plikt til å dokumentere bruddet.»²³

Hvordan meldes det? Når en virksomhet oppdager et brudd, «skal det meldes til Datatilsynet av den behandlingsansvarlige gjennom Altinn»²⁴. «Den som skal melde må ha myndighet til å rapportere inn bruddet på vegne av virksomheten.»²⁵ Den som melder, trenger fullmakt til enkelttjenesten i Altinn og elektronisk ID ²⁶. Ved trinnvis melding: «Dere har selv plikt til å følge opp en trinnvis melding.»²⁷

Skal de berørte varsles? Risiko vurderes som sannsynlighet ganger konsekvens, og tilsynet presiserer: «Det er verdt å merke seg at risikoen kan være høy selv om sannsynligheten for at en hendelse inntreffer er lav, hvis den mulige konsekvensen er svært alvorlig.»²⁸ Som eksempel på når varsling vil kreve uforholdsmessig stor innsats, nevner tilsynet: «Eksempler på dette er når kontaktopplysninger har blitt borte som et resultat av bruddet eller i utgangspunktet ikke har vært kjent for den behandlingsansvarlige.»²⁹ Varselet skal skille seg ut: «Informasjonen om bruddet bør ikke gis sammen med annen informasjon, slik som nyhetsbrev eller andre oppdateringer.»³⁰

Forebygging. Tilsynets side om informasjonssikkerhet begynner med kravet: «Personopplysninger skal beskyttes tilfredsstillende.»³¹ Tilsynet knytter dette til internkontroll, det vil si virksomhetens egne rutiner for å sikre og dokumentere at regelverket følges ³².

Ved et mulig brudd

Et mulig brudd må undersøkes og dokumenteres. Det må avklares hva som skjedde, hvilke opplysninger og personer som er berørt, og hvilken risiko hendelsen innebærer. Dokumentasjonsplikten gjelder også brudd som ikke skal meldes til tilsynsmyndigheten. ^{12 33}

Meldeplikten etter artikkel 33 og informasjonsplikten overfor berørte etter artikkel 34 har ulike terskler. Ikke alle sikkerhetshendelser er brudd på personopplysningssikkerheten, og ikke alle brudd skal varsles til hver enkelt. Vurderingen må bygge på hendelsens faktiske konsekvenser og risiko. ³⁴

Har du oppdaget en mulig eksponering av personopplysninger hos Byggsikt, kan du kontakte [email protected]. Beskriv hvilken side eller funksjon det gjelder uten å sende flere personopplysninger enn nødvendig. Se personvernerklæringen for kontakt og rettigheter.

Kilder

• Personopplysningsloven med personvernforordningen i norsk EØS-tekst ³⁵
• Datatilsynet — Avvikshåndtering ³⁶
• Datatilsynet — Hva er et brudd på personopplysningssikkerheten? ²
• Datatilsynet — Hvilke brudd skal meldes til Datatilsynet? ³³
• Datatilsynet — Informasjon til de berørte ³⁷
• Datatilsynet — Hvordan melde brudd på personopplysningssikkerheten (avvik) ²⁶
• Datatilsynet — Informasjonssikkerhet og internkontroll ³²