Hvem har pligt til at anmelde et sikkerhedsbrud til Datatilsynet?
Retshåndhævende myndigheder skal anmelde sikkerhedsbrud til Datatilsynet, hvis bruddet er opstået i forbindelse med behandling af personoplysninger med henblik på bl.a. at forebygge, efterforske, afsløre eller retsforfølge handlinger, der kan medføre et kriminalretligt ansvar, eller fuldbyrde kriminalretlige sanktioner.
De retshåndhævende myndigheder, som reglerne gælder for, er politiet, anklagemyndigheden, herunder den militære anklagemyndighed og rettergangschefer, Grønlands Fængsler, Den Uafhængige Politiklagemyndighed og domstolene.
Anmeldelse af sikkerhedsbrud skal ske uden unødig forsinkelse og om muligt senest 72 timer efter, at den dataansvarlige er blevet bekendt med bruddet.
Den dataansvarlige (myndigheden) bør udpege en eller flere medarbejdere i organisationen, som har bemyndigelse til at anmelde brud på persondatasikkerheden til Datatilsynet på vegne af den dataansvarlige. Det kan med fordel være en medarbejder, der i forvejen er involveret i håndteringen af brud på persondatasikkerheden som en del af sit arbejde.
En databehandler kan også anmelde et brud på persondatasikkerheden til Datatilsynet på vegne af den dataansvarlige. Det kræver dog, at databehandleren har fået bemyndigelse hertil. Ligeledes kan andre – som f.eks. advokater eller konsulenter – også anmelde brud på vegne af den dataansvarlige, hvis de er bemyndiget til det.
Det overordnede juridiske ansvar for at anmelde et brud på persondatasikkerheden – herunder at anmeldelsen sker rettidigt – forbliver dog altid hos den dataansvarlige myndighed, uanset om andre har fået bemyndigelse til at anmelde bruddet på den dataansvarliges vegne.
Hvilke brud skal anmeldes?
Brud på persondatasikkerheden skal anmeldes til Datatilsynet, medmindre det er usandsynligt, at bruddet indebærer en risiko for fysiske personers rettigheder eller frihedsrettigheder.
En risiko for fysiske personers rettigheder og frihedsrettigheder betyder, at der kan være en risiko for, at et sikkerhedsbrud kan have konsekvenser for fysiske personer. Det kan f.eks. være diskrimination, identitetstyveri eller -svindel, økonomisk tab, skade på omdømme, tab af fortrolighed for oplysninger, som er underlagt tavshedspligt, eller andre væsentlige økonomiske eller sociale ulemper for den registrerede.
At det vurderes, at et brud på persondatasikkerheden ikke vil få konsekvenser for de berørte personer, kan f.eks. skyldes de sikkerhedsforanstaltninger, som den dataansvarlige har truffet. Det kan dog også skyldes den dataansvarliges hurtige indgriben eller mulighed for at konstatere, om personoplysninger er kommet til uvedkommendes kendskab.
Det er den dataansvarlige, som har bevisbyrden for, at der foreligger omstændigheder, der gør, at det er usandsynligt, at et brud på persondatasikkerheden har eller kan få konsekvenser for de berørte personer. Det betyder, at man i forbindelse med vurderingen skal have afdækket alle muligheder for, at bruddet kan have eller have haft konsekvenser for de registrerede.
Hvordan anmeldes et sikkerhedsbrud?
Der er etableret en fælles indberetningsløsning, hvor virksomheder og myndigheder kan anmelde sikkerhedshændelser – herunder brud på persondatasikkerheden – på hjemmesiden virk.dk. Du kan også anmelde et brud på andre måder, f.eks. ved at sende en e-mail til Datatilsynet.
I den elektroniske blanket på virk.dk er de relevante felter for indberetning til Datatilsynet krydset af. Du kan derfor på forhånd se, hvilke spørgsmål du vil blive stillet, når du indberetter.
Du vil blive bedt om at:
- beskrive karakteren af bruddet på persondatasikkerheden
- angive navn på og kontaktoplysninger for databeskyttelsesrådgiveren eller et andet kontaktpunkt, hvor yderligere oplysninger kan indhentes
- beskrive de sandsynlige konsekvenser af bruddet på persondatasikkerheden
- beskrive de foranstaltninger, som du har truffet eller foreslår at træffe for at håndtere bruddet på persondatasikkerheden, herunder – hvis det er relevant – foranstaltninger for at begrænse bruddets mulige skadevirkninger
Når du udfylder blanketten, kan du finde korte hjælpetekster til en del af spørgsmålene.
De oplysninger, anmeldelsen som minimum skal indeholde, skal bidrage til, at Datatilsynet får mulighed for at følge og vurdere, om det anmeldte brud på persondatasikkerheden bliver håndteret på en hensigtsmæssig måde. Datatilsynet kan også anvende oplysningerne til at vurdere, om der er behov for, at tilsynet træffer en afgørelse om underretning af de berørte personer (hvis underretning endnu ikke er sket). Oplysningerne kan også danne grundlag for Datatilsynets vurdering af, om sagen skal undersøges nærmere.
Det kan være en hjælp for Datatilsynet, hvis anmeldelsen suppleres med alle relevante oplysninger relateret til bruddet. Datatilsynet vil også kunne bede om yderligere oplysninger efterfølgende, hvis tilsynet finder det nødvendigt i forbindelse med vurderingen af anmeldelsen.
Bemærk: Husk ikke at angive personoplysninger om de berørte personer i blanketten – ud over de personer, der udtrykkeligt spørges til, f.eks. anmelderens navn og kontaktoplysninger.
HUSK at downloade en kopi af blanketten, når du har sendt den. Alle anmeldelser slettes i Erhvervsstyrelsens systemer efter 30 dage. Den kopi, du downloader, er derfor din dokumentation for, at du har indsendt anmeldelsen.
Sådan forholder Datatilsynet sig til anmeldelser om brud på persondatasikkerheden
Datatilsynet screener alle anmeldte brud på persondatasikkerheden for at vurdere, om der er grundlag for at foretage sig yderligere i anledning af anmeldelsen. Datatilsynet foretager f.eks. en vurdering af hændelsens karakter og omfang, typerne af de omfattede personoplysninger, de foranstaltninger, som den dataansvarlige (og evt. databehandleren) har truffet både før og efter hændelsen, og om de berørte personer er blevet underrettet eller bør underrettes.
Det er vigtigt at understrege, at Datatilsynet ikke kan afhjælpe et sikkerhedsbrud.
Datatilsynets opgave er at efterse, om den dataansvarlige og evt. dennes databehandler har overholdt databeskyttelsesreglerne, både før bruddet skete og efterfølgende i forbindelse med håndteringen af bruddet.
I mange tilfælde er det ikke nødvendigt, at Datatilsynet foretager sig yderligere i anledning af et anmeldt sikkerhedsbrud. Behandlingen af anmeldelsen afsluttes derfor telefonisk eller med et afsluttende brev, som ikke er en formel afgørelse. I disse afsluttende breve tager Datatilsynet ikke stilling til, om der er sket en overtrædelse af databeskyttelsesreglerne. Brevet kan bl.a. indeholde anbefalinger, som vurderes relevante i forhold til det anmeldte brud.
Hvis Datatilsynet vurderer, at der er sket en overtrædelse af databeskyttelsesreglerne, kan tilsynet imidlertid også vælge at træffe en afgørelse, hvor der udtales kritik eller alvorlig kritik.
Tilsynet vil også kunne meddele påbud om, at den dataansvarlige eller databehandleren skal iværksætte bestemte foranstaltninger og/eller underrette de påvirkede personer.
Hvis mange dataansvarlige har anmeldt sikkerhedsbrud vedrørende den samme hændelse hos en databehandler, kan Datatilsynet vælge at indlede en sag af egen drift over for databehandleren. Det kan også ske, at en sag indledes af egen drift, hvis samme dataansvarlige har anmeldt mange ensartede brud over en længere periode.