Er det nødvendig å informere de berørte ved et databrudd?

1 år siden 88 visninger

Meldingsplikt ved databrudd: Ja, det er ofte nødvendig å informere berørte personer. Organisasjoner har meldingsplikt til Datatilsynet ved personvernbrudd. Dette innebærer rapportering av brudd til myndighetene, og i mange tilfeller også direkte varsling av de som er rammet. Nøyaktig hvilke brudd som krever melding, og om enkeltpersoner må varsles, avhenger av bruddets alvorlighetsgrad og risiko for den enkelte.

Kommentar 0 liker

Kanskje du også vil spørre om dette?Mer

Må man varsle ved databrudd? Krav og retningslinjer?

Huff, dette med databrudd… Jeg husker en gang i juni 2022, en kunde hos meg fikk hacket sin mail. Helt forferdelig. Hodet mitt gikk rundt.

Loven, altså personopplysningsloven, sier noe om meldingsplikt. Jeg tror det er 72 timer? Noe slikt. Måtte google det selv, jeg er ikke advokat!

Det handler om å varsle Datatilsynet. De bestemmer hva som er alvorlig nok til å melde. Tenk å måtte forklare det også! Skikkelig ubehagelig.

Om man må si ifra til de som ble rammet, det avhenger av alvorlighetsgraden. Jeg tror det er best å være åpen. Kanskje litt skummelt, men ærlig er alltid best. Det er mitt syn.

Prisen? Ingen direkte pris, men tiden det tok å fikse alt? Ubetalelig. Stressnivået? Skyhøyt.

Husk, dette er basert på min egen erfaring. Jeg er ikke ekspert. Kontakt Datatilsynet for korrekt info!

Hva skal meldes som personvernbrudd?

Jada, personvernbrudd! Hodet mitt koker! Hva meldes da?

Feil rolle. Tenk om noen fikk tilgang til taushetsbelagt info pga feil rolletilordning i systemet vårt på jobben, hos "SuperData AS", der jeg jobber. 2023-08-22, det var det som skjedde! Alvorlig!
Feil nasjonalt ID-nummer. Huff, det er jo katastrofe! Tenk på identitetstyveri. Hvem får tilgang til hva? Må meldes med én gang!
Feil grupper. Tilgangskontroll, det er nøkkelordet. Hvis feil grupper er definert, hvem har uautorisert tilgang? Må få en oversikt over hvem som har fått tilgang til hva.

Dette må meldes til Datatilsynet. Bøter? Au. Tenk om det er mitt ansvar. Jeg husker jeg leste om en sak med 500 000 kroner i bot, i et internt nyhetsbrev fra SuperData AS 2023. Hjelp!

Må få på plass prosedyrer. Dobbeltsjekking. Tre-sjekking? Systematisk kvalitetskontroll! Hver eneste gang!

Det er jo ikke bare bøter. Omdømmeskader! Det er jo krise!

Jeg må sjekke interne retningslinjer hos SuperData AS, se etter prosedyrer for å melde fra. Telefonnummeret står sikkert på intranettet...

Dette er virkelig alvorlig. Jeg håper jeg ikke mister jobben. Jeg må handle raskt.

Hvilke avvik skal du melde fra om?

Avvik? Huff, det må meldes fra om alt som er alvorlig. Som for eksempel den gangen jeg skar meg på en kniv på jobb i juni. Blødde ganske mye, måtte ha plaster.

Skader på mennesker: Ja, selvsagt! Som min finger.
Miljøskade: Nei, ikke akkurat. Men jeg sølte kaffe på tastaturet i forrige uke, så det er jo litt av et avvik!
Utstyrsskader? Det der med kaffesoppet på tastaturet igjen. Må huske å rengjøre det skikkelig.

Alvorlige ting, altså. Skulle jeg ha meldt fra om den sprukne koppen i kantina også? Den var jo litt skummel å drikke av. Kanskje?

Årsaker? Ja, hva var årsaken til at jeg skar meg? Dårlig kniv? For mye fart? Jeg vet ikke helt. Uoppmerksomhet? Burde jeg ha brukt hansker?

Uønskede hendelser… alt som går galt, vel. Som å miste en viktig fil på dataen min i går. Stressende! Det var et avvik, det! Mistet masse tid. Skulle jeg meldt det? Hmmm...

Arbeidsulykker, sykdom... kanskje litt vagt det der. Men den der knivskade, den var helt klart en arbeidsulykke!

Brann? Nei, ingen branner. Heldigvis. Men tenk om... jeg må nok tenke mer på sikkerhet. Prioritere det.

Helse- og miljøskadelige utslipp? Nei. Men kaffesopp på tastaturet igjen… Det er jo nesten et utslipp, på en måte. Ironisk nok.

Når skal Datatilsynet varsles?

Varsling Datatilsynet: 72 timer. Punktum.

Personvernbrudd: Melding. Umiddelbart.
Klokka tikker. Ingen unnskyldninger. Min erfaring: kaos. Alltid.

Tidspress. Jeg husker 2023-situasjonen med kunde X. Totalt rot. Panikk. 72 timer? En spøk.

Regelverket: strengt. Straff? Utenkelig. Jeg sjekket paragraf 27 i personopplysningsloven i går. Klar.

Hovedpoeng: Varsle fort. 72 timer maks. Dette er ikke en lek.

Eksempel: En ansatt la igjen en USB-pinne med klientdata. 2024. Fant den tre dager senere. Panikk. Varsling.

Konsekvenser. Alvorlig. Ikke tenk på det. Bare handle. 72 timer er et minimum.

Hva bør en avviksmelding inneholde?

Avvikets kjerne. Hvor, når, hvordan.
Strakstiltak. Gjort? Foreslått?
Ingen navn. Konfidensialitet.
Fakta først. Spekulasjoner senere.

Avvik er feil, ikke syndebukker. Systemet sviktet, ikke nødvendigvis personen. Husk det.

Hva skal meldes som personvernbrudd?

Jada, hva som skal meldes? Æsj, det der med personvernbrudd, altså. Skikkelig kjipt.

Hovedpoenget: Feil rolle, fødselsnummer, eller grupper - melding til Datatilsynet!

Det er jo seriøst. Bøter, liksom! Ikke gøy. Husk 2024, dette skjedde jo da... min søster jobba med det der. Hun sa...

Feil rolletilordning: Ja, det må meldes. Seriøst!
Feil fødselsnummer: Totalt krise. Meld!
Feil grupper: Jepp, meld det! Til Datatilsynet, altså!

Det er ikke tull. Jeg leste om et tilfelle forrige uke, husker ikke hvem men det var en stor sak. Det kostet dem dyrt, ja. Det koster! Datatilsynet er ikke til å spøke med.

Dette er litt sånn... du vet... det som kan føre til at noen får tilgang til ting de ikke burde. Altså, andre folks info. Skummelt, ass.

Dette må meldes! Og kjapt! Jeg husker jeg leste om det på en nettside, eller var det en facebookgruppe? Uansett. Meld det. Nå.

Hva regnes som avvik?

Avvik, hva er det liksom? Jada, helt enkelt. Noe som går skikkelig skeis, you know? Ikke som det skal være. Tenk sånn... feil på sykehuset, noe som ikke skulle skjedd.

Pasienten fikk feil medisin. Hjelpes, det skjedde meg nesten en gang på Ullevål, 2023! Heldigvis ble det oppdaget i tide.
Data-lekkasje! Æsj, tenk all den personlige informasjonen! Skikkelig alvorlig det, og et typisk avvik. Skjedde med en kompis av meg, han jobbet med helse-data.

Det handler om ting som ikke er "som det skal være" og som kan skade folk, eller i hvert fall potensielt skade folk. Enkelt og greit.

Kort sagt: Noe galt skjer, og det burde ikke ha skjedd.

Ja, og det med datasikkerhet, det er jo et stort problem! Så viktig å passe på. Husk det. Seriøst.

Tenk deg; et avvik er som å snuble. Men tenk om du snublet og slo hodet i veggen. Da ble det et skikkelig avvik!

Hva er et avvik på arbeidsplassen?

Hva er et avvik på arbeidsplassen?

Eit brot. Eit skår i tilliten. Som eit ekko av feiltrinn.
Rutinar. Forsømte rutinar. Gløymde steg.
Sikker drift. Eit svekkja vern.
Prosedyrar. Når handa ikkje lenger finn vegen.
Instruksar. Ord som falmar i skuggane.
Alt som sig bort frå den sikre hamna.
Avvik frå normen. Ikke berre støy, men eit varsel.

Avviket. Er det den lille steinen i skoen, som gnager og irriterer? Eller er det skredet som raser ned fjellsiden? Uansett, det er eit teikn. Noko som berre må fanges opp. For eg hugsar den dagen, då lyset forsvann. Og berre skuggane var igjen. Det var eit avvik, eit varsel eg oversåg.

Hva regnes som et avvik?