Hva skal meldes som personvernbrudd?

Når må du melde personvernbrudd? En guide til varslingsplikt

Personvern er en grunnleggende rettighet, og håndtering av personopplysninger krever høy grad av ansvarlighet. I Norge reguleres dette blant annet gjennom personopplysningsloven (GDPR). En viktig del av denne lovgivningen er plikten til å melde personvernbrudd til Datatilsynet. Men hva defineres egentlig som et personvernbrudd, og når er varsling nødvendig?

Et personvernbrudd oppstår når personopplysninger blir behandlet på en måte som strider mot personopplysningsloven. Dette inkluderer et bredt spekter av situasjoner, og det er ikke alltid like lett å avgjøre om en hendelse faktisk kvalifiserer som et brudd. Hovedregelen er at enhver utilsiktet eller ulovlig ødeleggelse, tap, endring, uautorisert offentliggjøring av, eller uautorisert tilgang til personopplysninger, må vurderes.

Dette kan for eksempel omfatte:

• Uautorisert tilgang: En hacker som får tilgang til en database med personopplysninger. Dette kan være alt fra navn og adresse til sensitive opplysninger som helseopplysninger eller økonomiske data. Også internt uautorisert tilgang, f.eks. en ansatt som uten rettmessig grunn leser kollegers personopplysninger, regnes som brudd.

• Uautorisert bruk: Personopplysninger som blir brukt til et annet formål enn det de ble samlet inn for. Eksempelvis bruk av kundeopplysninger til direkte markedsføring uten samtykke.

• Uautorisert endring: Endring av opplysninger uten samtykke, f.eks. feilaktig endring av adresseopplysninger.

• Uautorisert sletting: Tap av opplysninger, enten ved utilsiktet sletting eller ved hacking.

• Data lekkasje: Uforsiktig håndtering av sensitive opplysninger, som å sende konfidensiell informasjon via usikret e-post.

Det er viktig å understreke at alvorlighetsgraden av bruddet avgjør handlingsmønsteret. Meldingsplikten avhenger nemlig av risikoen for den registrerte. Høy risiko for den registrerte, som for eksempel identitetstyveri, økonomisk tap eller alvorlig skade på omdømme, krever umiddelbar melding til Datatilsynet, gjerne innen 72 timer etter at organisasjonen fikk kjennskap til bruddet. Samtidig må de berørte personene informeres. Denne informasjonen må inneholde en beskrivelse av bruddet, mulige konsekvenser og tiltak som er iverksatt.

Mindretallige brudd, der risikoen for den registrerte er lav, krever fortsatt intern registrering og vurdering. Dette skal dokumenteres internt, og det er viktig å analysere hva som skjedde, og iverksette tiltak for å forhindre lignende hendelser i fremtiden. Selv om et brudd ikke krever melding til Datatilsynet, er det allikevel viktig å følge opp og lære av feilene.

Å ha klare rutiner for håndtering av personopplysninger og å gjennomføre regelmessige sikkerhetsvurderinger er avgjørende for å minimere risikoen for personvernbrudd. Usikkerhet rundt varslingsplikt bør ikke føre til unnlatelse. Ved tvil, kontakt Datatilsynet for veiledning. Det er bedre å melde et brudd som viser seg å være mindre alvorlig, enn å unnlate å melde et alvorlig brudd. Husk at åpenhet og proaktiv håndtering av personvernbrudd er avgjørende for å bygge tillit hos kundene og brukerne dine.