Sikkerhetshull i nettsider og digitale systemer kan gi uvedkommende tilgang til personopplysninger og ramme både små og store virksomheter. Når data først kommer på avveie, er det ikke bare et IT-problem. Det er også et juridisk problem.
Kort fortalt
Oppdager dere at personopplysninger kan ha kommet på avveie, må hendelsen undersøkes med en gang. Dersom bruddet er meldepliktig, skal det meldes til Datatilsynet uten ugrunnet opphold og om mulig innen 72 timer etter at dere fikk kjennskap til det. Ved høy risiko skal også de berørte varsles. Alle brudd skal dokumenteres, også når dere vurderer at de ikke skal meldes.
Når er det et avvik?
Et avvik, eller brudd på personopplysningssikkerheten, oppstår når personopplysninger utilsiktet eller ulovlig blir ødelagt, mistet, endret, spredt eller gjort tilgjengelige for andre. Personopplysninger er opplysninger som kan knyttes til en person, for eksempel navn, telefonnummer, e-postadresse, fødselsdato eller kontonummer. Reglene gjelder ikke bare for store selskaper, men også for små virksomheter, idrettslag og foreninger.
Datatilsynet deler slike avvik inn i tre hovedtyper. Det kan være at uvedkommende har fått tilgang til opplysninger, for eksempel ved at noen har lastet ned et medlemsregister. Det kan være at opplysninger er blitt endret, for eksempel ved at et kontonummer er manipulert. Eller det kan være at opplysninger har gått tapt eller blitt utilgjengelige, som når et løsepengevirus krypterer filene.
Det trenger heller ikke å være snakk om et dataangrep utenfra. En e-post med personopplysninger som sendes til feil mottaker, kan også være et avvik. Oppdagede sårbarheter der opplysninger kan ha blitt hentet ut, kan også innebære et brudd som må vurderes nærmere. Det er derfor ikke nødvendigvis nok å konstatere at dere ikke har sett tegn til misbruk.
Hvem har ansvaret?
Det er den behandlingsansvarlige som har ansvaret for å håndtere bruddet og vurdere om det skal meldes til Datatilsynet. Den behandlingsansvarlige er den som bestemmer hvorfor og hvordan personopplysningene brukes. For medlemsregisteret vil det typisk være idrettslaget, mens det for kundelisten vil være bedriften. Ansvaret forsvinner ikke selv om den tekniske driften er satt ut til andre.
Har dere en ekstern leverandør som drifter nettsiden eller systemene, vil leverandøren normalt være en databehandler. Databehandleren skal varsle dere uten ugrunnet opphold dersom den oppdager et brudd, men det er den behandlingsansvarlige som har ansvaret for å vurdere og eventuelt melde bruddet til Datatilsynet.
72 timer: Når begynner klokken å gå?
72-timersfristen begynner å løpe når virksomheten får kjennskap til bruddet på personopplysningssikkerheten. Hovedregelen er at meldepliktige brudd skal meldes til Datatilsynet uten ugrunnet opphold og om mulig senest 72 timer etter dette. Helg og ferie stopper ikke fristen. Datatilsynets veiledning om digitale angrep peker også på at virksomheter kan være ekstra sårbare i høytider og ferier, når bemanningen gjerne er lavere og mindre erfarne medarbeidere kan være på jobb.
En vanlig feil er å vente med å melde til man har full oversikt over hva som har skjedd. Det trenger dere ikke. Datatilsynet understreker at den første meldingen kan inneholde midlertidig og ufullstendig informasjon, og at den kan suppleres når virksomheten får bedre oversikt. Dersom meldingen sendes senere enn 72 timer, må forsinkelsen begrunnes.
Dere slipper å melde dersom bruddet sannsynligvis ikke vil medføre risiko for personene det gjelder. Uansett om bruddet meldes eller ikke, skal det dokumenteres. Dere må kunne vise hva som skjedde, hvilke konsekvenser bruddet fikk og hvilke tiltak dere satte inn.
Må de berørte få vite det?
De berørte skal varsles dersom bruddet sannsynligvis medfører høy risiko for deres rettigheter og friheter. Det kan være medlemmer, kunder, ansatte eller andre personer virksomheten har opplysninger om. Hensikten er at den enkelte skal få mulighet til å beskytte seg, for eksempel ved å bytte passord eller være ekstra oppmerksom på forsøk på svindel.
Varslingen skal på en klar og tydelig måte beskrive hva som har skjedd, hvilke konsekvenser bruddet sannsynligvis kan få, hvilke tiltak dere har satt inn og hvem de berørte kan kontakte. Det finnes enkelte unntak, blant annet dersom opplysningene var beskyttet på en måte som gjør dem uleselige for uvedkommende. Dersom det vil kreve en uforholdsmessig stor innsats å varsle hver enkelt, kan offentlig informasjon i noen tilfeller brukes i stedet. Datatilsynet kan også pålegge virksomheten å varsle.
Ulike angrep kan gi ulik risiko
Ikke alle dataangrep innebærer den samme risikoen for personopplysninger. Datatilsynet peker i sin veiledning om digitale angrep blant annet på at vellykkede phishingangrep, e-postangrep og utpressingsangrep har høy risiko for alvorlige brudd på personopplysningssikkerheten, mens tjenestenektangrep og direktørsvindel i mindre grad har et slikt potensial.
Ved phishing kan en ansatt eller frivillig bli lurt til å oppgi passord eller annen innloggingsinformasjon. Ved innbrudd i en e-postkonto kan langt flere være berørt enn man først tror. Personer som omtales i e-postene, kontakter i adresseboken og eieren av kontoen kan alle være omfattet. Kontoen til en styreleder, trener eller daglig leder kan dessuten inneholde langt mer sensitive opplysninger enn man er klar over.
Ved løsepengevirus kan filene bli kryptert samtidig som det er uklart om opplysninger også er hentet ut. Dersom det er usikkert om personopplysninger har kommet på avveie, må dette avklares raskt samtidig som virksomheten vurderer meldeplikten. Det er ikke nødvendig å vente til hele den tekniske undersøkelsen er ferdig før et meldepliktig brudd meldes.
Hva kan det koste å gjøre det feil?
Brudd på kravene til informasjonssikkerhet, melding og varsling kan føre til betydelige overtredelsesgebyrer. Personer som blir påført skade som følge av bruddet, kan i tillegg ha krav på erstatning.
Når Datatilsynet fastsetter et eventuelt gebyr, kan blant annet tiltakene virksomheten har gjort for å begrense skaden og graden av samarbeid med tilsynsmyndigheten få betydning. Hvordan dere håndterer hendelsen etter at den er oppdaget, er derfor viktig. Den som har oversikt, dokumenterer det som skjer og reagerer raskt, står bedre rustet enn den som ikke har kontroll.
Dette bør dere gjøre når uhellet er ute
Når dere oppdager at personopplysninger kan ha kommet på avveie, er det viktig å handle raskt, men også systematisk:
- Begrens skaden og sikre systemene. Ved et pågående digitalt angrep anbefaler NSM å isolere berørte systemer fra internett, men ikke slå av systemene og enhetene. Hvordan hendelsen håndteres teknisk kan ha betydning både for videre håndtering og for å sikre spor.
- Få teknisk hjelp. Har dere ikke nødvendig kompetanse internt, bør dere hente inn fagfolk. NSM har en kvalitetsordning for leverandører som håndterer IKT-hendelser, der leverandørene er vurdert opp mot NSMs krav til kvalitet innen digital hendelseshåndtering.
- Kartlegg hendelsen. Finn ut hva som har skjedd, hvilke personopplysninger som kan være berørt, hvor mange personer det gjelder og hvilke konsekvenser hendelsen kan få.
- Vurder meldeplikten raskt. Dersom bruddet skal meldes til Datatilsynet, skal dette skje uten ugrunnet opphold og om mulig innen 72 timer etter at dere fikk kjennskap til det. Dere trenger ikke vente til alle undersøkelsene er ferdige.
- Varsle de berørte når risikoen er høy. Gi informasjon som gjør det mulig for dem å forstå hva som har skjedd og beskytte seg mot mulige konsekvenser.
- Vurder hvem andre som skal varsles. NSMs sjekkliste for håndtering av digitale angrep anbefaler blant annet varsling til relevante responsmiljøer, NSM og politiet ved digitale angrep. NSM anbefaler også virksomheter som rammes av datainnbrudd eller annen datakriminalitet å anmelde forholdet. Datakriminalitet kan anmeldes digitalt hos politiet.
- Dokumenter det dere gjør. Noter hva som skjedde, når dere oppdaget hendelsen, hvilke vurderinger som ble gjort og hvilke tiltak dere satte inn.
Det viktigste arbeidet gjøres før noe skjer
Et konkret og enkelt grep er å lage en beredskapsplan på én side før dere trenger den. Den bør si hvem som har ansvaret dersom noe skjer, hvem som kontakter leverandøren, hvem som vurderer og eventuelt sender melding til Datatilsynet, og hvor dere finner oversikten over medlemsregistre, kunderegistre og andre personopplysninger virksomheten behandler.
Samtidig bør dere vite hvem som faktisk har tilgang til hvilke opplysninger, hvilke leverandører dere skal kontakte og hvordan ansvaret er fordelt dersom noe skjer. Når et angrep først er oppdaget og fristene begynner å løpe, er det sent å begynne å finne ut hvem som skal gjøre hva.
Juss og teknologi må håndteres samtidig
Når et sikkerhetsbrudd oppstår, må den tekniske hendelsen og de juridiske pliktene håndteres parallelt. Hva som faktisk har skjedd i systemene, hvilke opplysninger som kan være berørt og hvem som kan ha fått tilgang, er avgjørende for vurderingen av risiko, meldeplikt og behovet for å varsle de berørte.
Det betyr også at IT-leverandøren og de som gjør de juridiske vurderingene må snakke sammen. Den tekniske undersøkelsen skal gi svar på hva som har skjedd og hvor omfattende hendelsen er, mens den juridiske vurderingen avgjør hvilke plikter hendelsen utløser. Jo bedre ansvar, rutiner og kontaktpunkter er avklart på forhånd, desto enklere er det å handle raskt når noe faktisk skjer.
Trenger dere hjelp med personvern og informasjonssikkerhet?
Advokatfirmaet Lippestad bistår virksomheter, idrettslag og foreninger både med å forberede seg på sikkerhetsbrudd og med å håndtere dem når de oppstår. Vi kan blant annet vurdere om et brudd på personopplysningssikkerheten skal meldes til Datatilsynet, om de berørte må varsles og hvordan melding og varsling bør utformes.
Vi bistår også med gjennomgang av avtaler med leverandører og rutiner for personvern og informasjonssikkerhet, slik at ansvaret og prosessen er avklart før noe skjer.
