Personvernbrudd: slik rekker dere 72-timersfristen

En e-post med lønnsoversikten har gått til feil mottaker, en jobbtelefon er borte, eller skjermene viser et krav om løsepenger. Når personopplysninger er rammet, må virksomheten som hovedregel melde fra til Datatilsynet innen 72 timer, og noen ganger også gi beskjed til dem opplysningene gjelder. Plikten ligger hos den behandlingsansvarlige, altså virksomheten som bestemmer hva opplysningene skal brukes til og hvordan de behandles (personvernforordningen artikkel 4 nr. 7).

Er dette et brudd på personopplysningssikkerheten?

Etter personvernforordningen artikkel 4 nr. 12 er det et brudd på sikkerheten som fører til «utilsiktet eller ulovlig tilintetgjøring, tap, endring, ulovlig spredning av eller tilgang til personopplysninger». Bruddet kan like gjerne skyldes en e-post som er sendt til feil person, som et angrep utenfra. Datatilsynet deler bruddene inn i tre typer:

Type	Hva har skjedd	Eksempler
Konfidensialitet	Noen uten rett til det har sett eller fått opplysningene	E-post til feil mottaker, en mappe med personalsaker som alle ansatte kan åpne, innbrudd i en e-postkonto
Integritet	Opplysninger er endret uten at de skulle vært det	Noen har endret en ansatts kontonummer i lønnssystemet
Tilgjengelighet	Opplysninger er slettet eller ikke lenger tilgjengelige	Løsepengevirus har kryptert turnusplaner og beboerjournaler, en minnepenne uten kopi er mistet

Ett brudd kan være flere typer på en gang. En bærbar PC som er mistet er tap av tilgang, og kanskje også spredning hvis disken ikke var kryptert. Sikkerhetsbrudd som bare gjelder andre opplysninger, for eksempel tilbudspriser, trenger dere ikke å melde til Datatilsynet.

Når starter 72-timersfristen?

Bruddet skal meldes «uten ugrunnet opphold og når det er mulig, senest 72 timer etter å ha fått kjennskap til det» (artikkel 33 nr. 1). 72 timer er siste frist, ikke et mål.

Ifølge Det europeiske personvernrådet (EDPB) har virksomheten fått kjennskap til bruddet når den er rimelig sikker på at en sikkerhetshendelse har rammet personopplysninger (retningslinjer 9/2022, punkt 31–34). Dere kan bruke litt tid på å undersøke om det faktisk er et brudd, men undersøkelsen må starte med en gang. Retningslinjene har to eksempler. Hvis en minnepenne med ukrypterte opplysninger er mistet, starter fristen når dere skjønner at den er borte. Hvis det kommer et krav om løsepenger, starter fristen når dere har sjekket systemene og bekreftet angrepet.

Fristen er i timer, ikke arbeidsdager. Hvis meldingen kommer senere enn 72 timer, må dere forklare hvorfor. Alle ansatte må derfor vite at de skal si fra med en gang, og hvem de skal si fra til.

Steg 1: Stopp bruddet

Begrens skaden før dere gjør noe annet:

E-post til feil mottaker: Kontakt mottakeren, be om at e-posten blir slettet, og be om en skriftlig bekreftelse.
Mappe eller lenke som er delt med for mange: Steng tilgangen, og ta vare på tilgangsloggen.
Mistet PC eller telefon: Sperr kontoene, bytt passord og fjernslett enheten hvis det går.
Løsepengevirus eller innbrudd: Følg beredskapsplanen hvis dere har en, og hent inn hjelp hvis dere ikke har kompetansen selv. Nasjonal sikkerhetsmyndighet (NSM) har en liste over godkjente leverandører. Datatilsynet anbefaler å anmelde datakriminalitet til politiet, og å vurdere å varsle NSM.

Skriv ned klokkeslettet da dere fikk kjennskap til bruddet, og start registreringen. Hva den skal inneholde står lenger ned. Si fra til den som har ansvaret for personvern, og til personvernombudet hvis dere har et. Datatilsynet anbefaler å ta med ombudet tidlig.

Steg 2: Vurder risikoen for de berørte

Om dere må melde og til hvem avhenger av risikoen for de berørtes rettigheter og friheter (artikkel 33 og 34):

Vurdering	Melde til Datatilsynet	Informere de berørte
Bruddet vil sannsynligvis ikke medføre risiko	Nei, men dokumenter internt	Nei
Risiko	Ja, innen 72 timer	Nei
Høy risiko	Ja, innen 72 timer	Ja, uten ugrunnet opphold

Unntaket i første rad er smalt. Ifølge Datatilsynet må dere være «tilnærmet helt sikker» på at bruddet ikke gir noen risiko. EDPB sier at den som er i tvil bør melde.

Spørsmålene som avgjør

Hvilke opplysninger er rammet? Helseopplysninger, personnummer, lønns- og bankopplysninger og opplysninger som er underlagt taushetsplikt veier tyngst. Flere opplysninger om samme person veier tyngre enn én.
Hvem gjelder det, og hvor mange? Barn, pasienter, beboere og andre sårbare personer kan bli hardere rammet. Ved innbrudd i en e-postkonto regner Datatilsynet alle som det finnes opplysninger om i kontoen som berørt.
Hvem har opplysningene nå? En kjent mottaker som har slettet e-posten og bekreftet det gir lavere risiko enn en ukjent mottaker eller en angriper.
Var opplysningene kryptert, og er nøkkelen trygg? EDPB påpeker at en enhet kan være beskyttet av kryptering når den er slått av, men ikke når den står i hvilemodus.
Finnes det en kopi? Tap av tilgang er mindre alvorlig når opplysningene kan hentes tilbake raskt.
Hva kan skje med de berørte? Ifølge Datatilsynet kan risikoen være høy hvis bruddet kan føre til for eksempel forskjellsbehandling, identitetstyveri eller -bedrageri, økonomisk tap, skade på omdømme eller tap av liv eller helse. Risikoen kan være høy selv om sannsynligheten er lav, hvis konsekvensen er alvorlig.

Eksempler

Eksemplene er tenkte. Utfallet avhenger av detaljene, og vurderingen skal skrives ned uansett.

Hendelse	Typisk vurdering
På et kontor sender HR et notat fra en sykefraværsoppfølging til feil kollega. Kollegaen sletter det og bekrefter det skriftlig.	Kan falle inn under unntaket, fordi mottakeren er kjent og har slettet notatet. Men det er helseopplysninger, så vær sikre før dere lar være å melde.
Lønnsoversikten med personnummer og kontonummer for alle ansatte i et byggefirma går til en feilstavet adresse utenfor virksomheten, og ingen svarer.	Meld. Opplysningene kan misbrukes til bedrageri, så vurder også å informere de ansatte.
En sjåfør i et transportfirma mister et ukryptert nettbrett med kundenes navn, adresser og telefonnummer.	Meld. Innholdet kan leses av den som finner nettbrettet.
En bærbar PC blir stjålet fra en barnehage. Disken er kryptert, PC-en var slått av, ingen andre kjenner passordet, og alle filene ligger også i skyen.	Trolig ikke meldepliktig, fordi opplysningene er uleselige for andre og kan hentes fram igjen.
En mappe med personalsaker i en butikkjede har vært åpen for alle ansatte i flere uker.	Sjekk tilgangsloggen. Hvis den viser at bare HR har åpnet mappen, kan risikoen være lav. Hvis dere ikke kan utelukke at andre har lest den, bør dere melde.
Løsepengevirus krypterer serverne i en produksjonsbedrift, også lønns- og personalsystemet.	Hvis det er uklart om opplysninger er kopiert ut, skal angrepet meldes «i påvente av ytterligere avklaring», ifølge Datatilsynet. Hvis dere raskt gjenoppretter fra kopi, og loggene viser at ingenting er kopiert ut, kan det være unødvendig å melde.

Steg 3: Meld til Datatilsynet

Datatilsynet kaller dette å melde avvik. Meldingen sendes i et skjema i Altinn, som dere finner på Datatilsynets side om å melde brudd. Den som melder trenger elektronisk ID og fullmakt i Altinn til enkelttjenesten «Melding om brudd på personopplysningssikkerheten». Gi fullmakten til minst to personer allerede nå, så det alltid er noen som kan melde, også i helger og ferier. Hvis det ikke går an å bruke Altinn, tar Datatilsynet imot meldingen på e-post eller brev.

Hva meldingen skal inneholde

Artikkel 33 nr. 3 krever minst

hva slags brudd det er, og når det er mulig, hvilke kategorier og omtrent hvor mange personer og registreringer som er berørt
navn og kontaktopplysninger til personvernombudet eller et annet kontaktpunkt
de sannsynlige konsekvensene av bruddet
tiltakene dere har satt inn eller foreslår, også for å begrense skaden.

Skjemaet spør også om blant annet hovedårsaken, når bruddet startet og ble oppdaget, hvordan det oppsto, hvem de berørte er for dere (ansatte, kunder, brukere), hvor opplysningene er nå, og om de berørte har fått beskjed. Merk to ting fra Datatilsynets veiledning. «Menneskelig svikt» skal bare oppgis som årsak hvis dere kan dokumentere at dere hadde rutiner som kunne ha hindret hendelsen, og at de ansatte hadde fått god nok opplæring i dem. Og hvis dere ikke har gitt beskjed til de berørte, må dere begrunne det.

Meld det dere vet, og fyll ut senere

Hvis dere ikke har all informasjonen med en gang, kan dere gi den i flere omganger (artikkel 33 nr. 4). Send den første meldingen innen fristen med det dere vet, og skriv at mer kommer. Mer informasjon sender dere i det samme skjemaet ved å velge «Tilleggsmelding» i punkt 1.2. Det er dere som har ansvaret for å følge opp meldingen.

Steg 4: Informer de berørte ved høy risiko

Hvis det er sannsynlig at bruddet gir høy risiko, skal de berørte få vite om det uten ugrunnet opphold (artikkel 34 nr. 1). Beskjeden skal beskrive bruddet klart og tydelig, og ha med kontaktpunktet, de sannsynlige konsekvensene og tiltakene, som i punkt 2 til 4 over. Fortell også hva de kan gjøre selv, for eksempel sperre seg mot kredittvurdering eller si fra til banken.

Datatilsynet ber dere så langt det går om å kontakte de berørte direkte, for eksempel på telefon, SMS, e-post eller brev. Ikke legg beskjeden i et nyhetsbrev eller sammen med annen informasjon der den kan bli oversett.

Dere trenger ikke å informere hvis (artikkel 34 nr. 3)

opplysningene var gjort uleselige for uvedkommende, for eksempel med kryptering
dere i ettertid har satt inn tiltak som gjør at den høye risikoen ikke lenger er sannsynlig
det ville kreve en uforholdsmessig stor innsats, for eksempel fordi kontaktopplysningene er tapt. Da skal dere i stedet informere offentlig eller på en annen like effektiv måte.

Plikten gjelder heller ikke så langt beskjeden ville røpe opplysninger som er underlagt lovbestemt taushetsplikt, som må holdes hemmelige for å forebygge eller etterforske straffbare handlinger, eller som har betydning for Norges utenrikspolitiske interesser, forsvarsinteresser eller sikkerhetsinteresser (personopplysningsloven § 16 fjerde ledd).

Når bruddet skjer hos en leverandør

Mange brudd skjer hos en databehandler, for eksempel leverandøren av lønnssystemet eller fagsystemet. Databehandleren skal varsle dere uten ugrunnet opphold (artikkel 33 nr. 2), men det er dere som vurderer risikoen og melder. Ifølge EDPB har dere normalt fått kjennskap til bruddet når leverandøren har varslet dere, så fristen løper fra da.

Leverandøren kan melde til Datatilsynet på deres vegne hvis dere har gitt fullmakt til det. Dere må likevel selv vurdere hvordan bruddet rammer dere, og sende en egen melding hvis det trengs. Sjekk at databehandleravtalen sier hvem hos dere leverandøren skal varsle, og hvordan.

Hvis det er dere som er databehandler, for eksempel som regnskapsbyrå eller IT-leverandør, skal dere varsle kundene uten ugrunnet opphold når dere har slått fast at et brudd har skjedd. Dere trenger ikke å vurdere risikoen først. Den vurderingen gjør kundene.

Dokumenter alle brudd, også dem dere ikke melder

Artikkel 33 nr. 5 krever at dere dokumenterer alle brudd, med hva som skjedde, hvilke virkninger bruddet fikk, og hvilke tiltak dere satte inn. Dokumentasjonen skal gjøre det mulig for Datatilsynet å kontrollere at dere har fulgt reglene. EDPB anbefaler også at dere skriver ned begrunnelsen for beslutningene, for eksempel hvorfor dere ikke meldte, hvorfor en melding kom sent, og hvordan de berørte fikk beskjed.

Bruk gjerne det vanlige avviksskjemaet når bruddet meldes internt. Feltene under kommer i tillegg når et avvik gjelder personopplysninger.

Hva registreringen bør inneholde

Fyll ut registreringen fortløpende fra den første timen. Ikke skriv flere personopplysninger om de berørte enn dere trenger, siden registeret også må beskyttes.

Felt	Fyll inn
Saksnummer	Intern referanse
Oppdaget	Dato, klokkeslett og hvem som oppdaget det
Fått kjennskap	Når dere var rimelig sikre på at personopplysninger var rammet. 72-timersfristen regnes fra da
Hva skjedde	Hendelsesforløpet
Årsak	Hvordan bruddet oppsto
Tidsrom	Når bruddet startet, og når det ble stoppet
Type brudd	Konfidensialitet, integritet og/eller tilgjengelighet
Opplysninger	Kategorier, for eksempel kontaktopplysninger, personnummer, lønn, helse
Berørte	Hvem de er (ansatte, kunder, elever, beboere) og omtrent hvor mange
Hvor opplysningene er nå	Hvem som har dem, og om dere har kontroll over dem
Beskyttelse	Kryptering, kopi, og om nøkler og passord er trygge
Konsekvenser	Hva som kan skje med de berørte
Risiko	Ingen sannsynlig risiko, risiko eller høy risiko, med begrunnelse
Strakstiltak	Hva dere gjorde for å stoppe bruddet og begrense skaden, og når
Melding til Datatilsynet	Dato, klokkeslett, referanse og tilleggsmeldinger, eller begrunnelse for ikke å melde
Forsinkelse	Hvorfor meldingen kom etter 72 timer, hvis den gjorde det
Informasjon til berørte	Når og hvordan, med kopi av teksten, eller begrunnelse for ikke å informere
Databehandler	Leverandørens navn og når de varslet dere
Tiltak mot gjentakelse	Hva, hvem som er ansvarlig, og frist
Ansvarlig	Hvem som har ansvaret for saken og er kontaktpunkt
Lukket	Dato og hvem som lukket saken

Etterpå

Datatilsynet ber virksomheten vurdere om de tekniske og organisatoriske tiltakene virket, og få på plass nye tiltak der de sviktet. De nye tiltakene skal dokumenteres og følges opp med opplæring. Hvordan dere skiller mellom å rette opp og å forebygge står i Slik følger du opp avvik som leder. Skriv stegene over inn i en rutine, så den som oppdager neste brudd vet hva som skal gjøres.

I Maretto er «Personvern og informasjonssikkerhet» en av kategoriene for avvik som virksomheten får fra start.