Pligter i forbindelse med sikkerhedsbrud (uanset om man har pligt til at anmelde bruddet)

Hvis man som myndighed eller virksomhed mv. bliver udsat for et sikkerhedsbrud, skal man altid være opmærksom på en række forhold – også selv om man ikke har pligt til at anmelde bruddet til Datatilsynet.

Det er efter Datatilsynets opfattelse en naturlig følge af princippet om god databehandlingsskik, at den dataansvarlige dokumenterer alle brud på persondatasikkerheden, herunder de faktiske omstændigheder ved bruddet, dets virkninger og de foranstaltninger, der er truffet for at afhjælpe bruddet.

Det skyldes, at et veldokumenteret overblik over brud på persondatasikkerheden og dermed også veldokumenteret stillingtagen til diverse risici, foranstaltninger mv., giver den dataansvarlige et godt fundament for at identificere eventuelle opmærksomhedspunkter, faldgruber, risici mv. i arbejdet med databeskyttelse i organisationen.

Underretning af de berørte fysiske personer

Når et brud på persondatasikkerheden sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder, skal den dataansvarlige underrette de berørte personer om bruddet. Det gælder, uanset om man har pligt til at anmelde sikkerhedsbruddet til Datatilsynet eller ej.

Pligten til at underrette de berørte personer gælder kun, når bruddet sandsynligvis indebærer en høj risiko for deres rettigheder og frihedsrettigheder. Det adskiller sig fra pligten til at anmelde et brud til Datatilsynet, hvor anmeldelse skal ske, medmindre det er usandsynligt, at bruddet indebærer en risiko.

Underretningen af de berørte fysiske personer skal i et klart og forståeligt sprog beskrive karakteren af bruddet på persondatasikkerheden og mindst indeholde følgende oplysninger:

  • navn på og kontaktoplysninger for databeskyttelsesrådgiveren eller et andet kontaktpunkt, hvor yderligere oplysninger kan indhentes
  • en beskrivelse af de sandsynlige konsekvenser af bruddet på persondatasikkerheden
  • en beskrivelse af de foranstaltninger, som den dataansvarlige har truffet eller foreslår at træffe for at håndtere bruddet på persondatasikkerheden, herunder, hvis det er relevant, foranstaltninger for at begrænse bruddets mulige skadevirkninger.

Hvis den dataansvarlige ikke underretter de registrerede, kan Datatilsynet efter omstændighederne påbyde den dataansvarlige at underrette dem korrekt.

Formålet med underretningen er bl.a. at give de berørte personer mulighed for at tage de nødvendige forholdsregler for at begrænse de mulige konsekvenser af, at deres personoplysninger er blevet kompromitteret.

Den dataansvarlige skal underrette de berørte personer uden unødig forsinkelse efter, at bruddet på persondatasikkerheden er konstateret.