Hva skal varsles til Datatilsynet?

Hva skal varsles til datatilsynet: 72-timers frist

Å forstå hva skal varsles til datatilsynet ved sikkerhetsbrudd beskytter virksomheten mot juridiske konsekvenser og ivaretar personvernet. Feil håndtering eller forsinket rapportering øker risikoen for administrative reaksjoner. Lær prosessen for å sikre korrekt etterlevelse av regelverket og unngå unødvendig ansvar når personopplysninger blir eksponert eller utilgjengelige i en travel hverdag.

Hva skal varsles til Datatilsynet?

Du skal varsle Datatilsynet ved brudd på personopplysningssikkerheten dersom hendelsen medfører risiko for de registrertes rettigheter og friheter.
Dette gjelder avvik som fører til utilsiktet tilgang, tap, endring eller at personopplysninger blir utilgjengelige.
Det er viktig å huske at terskelen for å melde fra er lav for å sikre at personvernet ivaretas.

Typiske hendelser som utløser meldeplikt

Når sensitive personopplysninger kommer på avveie, oppstår det nesten alltid en meldeplikt.

Eksempler på slike avvik inkluderer når uautoriserte får tilgang til pasientjournaler eller kundedatabaser, eller hvis taushetsbelagte opplysninger ved et uhell publiseres på nett.

Faktisk viser erfaringer fra avvikshåndtering at risikoen ofte undervurderes i første fase av en hendelse.

Sensible helseopplysninger: Personnumre eller medisinske diagnoser som havner hos uvedkommende.

Uautorisert systemtilgang: Hackere eller uvedkommende som bryter seg inn i e-postsystemer.

Utilsiktet publisering: Informasjon som ved en feil blir tilgjengelig for allmennheten.

Frist og fremgangsmåte ved avviksmelding

Dersom du oppdager et avvik, må varselet sendes elektronisk via Altinn innen 72 timer.

Denne fristen er streng, og det lønner seg ikke å vente til man har full oversikt over alle detaljer.

Begynn heller prosessen med det du vet, og suppler informasjonen senere om nødvendig.

Selve meldingen skal inneholde en beskrivelse av bruddet, hvilke konsekvenser det kan ha, og hvilke tiltak virksomheten har iverksatt for å begrense skadevirkningene.

Det er virksomhetens behandlingsansvarlige som har ansvaret for at denne prosessen følges i tråd med gjeldende regelverk.

Hva betyr egentlig sannsynlig risiko?

Begrepet sannsynlig risiko er sentralt, men kan oppleves som vagt.

Mange virksomheter sitter med en usikkerhet om hvor grensen går for å melde fra.

Min erfaring er at det er bedre å melde fra en gang for mye enn en gang for lite.

Hvis det er usikkerhet rundt om hendelsen kan påvirke enkeltpersoners personvern negativt, bør du ta kontakt med Datatilsynet for veiledning.

Vurdering av meldeplikt: Melde eller ikke melde?

Meldepliktig avvik

- Sannsynlig risiko for registrertes rettigheter og friheter

- Må sendes til Datatilsynet innen 72 timer

- Sensitive data som helseopplysninger eller personnumre

Ikke meldepliktig avvik

- Ingen sannsynlig risiko for de registrerte

- Loggføres internt i virksomhetens avvikssystem

- Ikke-sensitive opplysninger eller krypterte data uten nøkkel

Håndtering av pasientliste på avveie

En lokal helseklinikk i Oslo oppdaget at en ansatt ved et uhell hadde sendt en e-post med en ubeskyttet liste over 50 pasienter til feil mottaker. Klinikken sto i en krise.

De prøvde først å kontakte mottakeren direkte for å få dem til å slette e-posten, men mottakeren svarte ikke. Stresset økte raskt da de skjønte at pasientene kunne bli eksponert.

Klinikklederen innså at de ikke kunne løse dette alene og valgte å bruke Datatilsynets skjema i Altinn som en sikkerhetsventil. De dokumenterte hendelsen grundig.

Etter 72 timer hadde de full kontroll. De fikk bekreftet sletting hos mottaker, og Datatilsynet lukket saken uten sanksjoner fordi klinikken hadde handlet raskt og åpent.

Informasjonen her er for generell veiledning og erstatter ikke juridisk rådgivning. Ved usikkerhet om konkrete personvernbrudd bør virksomheten kontakte egen personvernombud eller juridisk ekspertise.