Håndtering af brud på persondatasikkerheden

RETNINGSLINJER FOR HÅNDTERING AF BRUD PÅ PERSONDATASIKKERHEDEN

VERSION 1.0 Revised 13/11/2024

INDHOLD 01.

Indledning ..........................................................................................................................

page 04

02.

Hvornår er der tale om et sikkerhedsbrud? .......................................................................

page 04

03.

Beredskabsteam ................................................................................................................

page 04

04.

Anmeldelse til Datatilsynet og/eller underretning af den/de berørte registrerede ...............

page 04

05.

Nærmere om anmeldelse til Datatilsynet ...........................................................................

page 05

06.

Nærmere om underretning af den/de berørte registrerede ................................................

page 06

07.

Vurdering af risiko ...............................................................................................................

page 06

08.

Hvad gælder for databehandlere .......................................................................................

page 07

09.

Dokumentation af sikkerhedsbrud .....................................................................................

page 07

10.

Opfølgning ..........................................................................................................................

page 08

RETNINGSLINJER / BRUD PÅ PERSONDATASIKKERHEDEN 1. INDLEDNING 1.1 Disse retningslinjer fastsætter de interne procedurer

RETNINGSLINJER / BRUD PÅ PERSONDATASIKKERHEDEN

ning af Datatilsynet og den/de berørte registrerede. Lars

•

Ovesen kan udpege en eller få medarbejdere, der kan

modtaget personoplysninger om en anden person

bistå med håndtering af Sikkerhedsbruddet.

•

Henvendelse om, at en person ved en fejl har At en it-leverandør (fx en databehandler)

opdager en mulig indtrængen, og en undersøgelse

for håndtering af brud på personda-tasikkerheden (”Sik-

5.5 Hvad skal anmeldelsen indeholde?

5.5.1 Anmeldelsen skal så vidt muligt beskrive karakteren af Sikkerhedsbruddet i forhold til:

kerhedsbrud”).

3.2 Hvis en medarbejder bliver opmærksom på et Sikker-

bekræfter dette

1.2 Vurdering af et Sikkerhedsbrud, herunder evt. under-

hedsbrud, eller hvis Fiberpartner på anden måde bliver

•

retning af Datatilsynet samt den/de berørte registrerede,

opmærksom på et potentielt Sikkerhedsbrud, skal Lars

personoplysninger fra et it-system

registrerede personer og

skal ske i overensstemmelse med disse retningslinjer.

Ovesen orienteres straks. Dette er også tilfældet, hvis

•

•

der er begrundet formodning for, at et Sikkerhedsbrud er

mistet en ukrypteret USB-nøgle med personoplysninger

registreringer af personoplysninger

At en hacker anmoder om løsesum for at frigive At en medarbejder oplyser, at han/hun har

•

Kategorierne af og det omtrentlige antal berørte Kategorierne og det omtrentlige antal berørte

umiddelbart forestående.

2.0 HVORNÅR ER DER TALE OM SIKKERHEDSBRUD? 2.1 Der er tale om et Sikkerhedsbrud, hvis et brud på

4.5 En mistanke om et Sikkerhedsbrud eller en

5.5.2 Anmeldelsen skal beskrive de sandsynlige konse-

3.3 Underretning af Lars Ovesen skal ledsages af et tele-

udokumenteret hændelse medfører normalt ikke an-

kvenser af Sikkerhedsbruddet1.

fonopkald eller en anmodning om at modtage bekræftelse

meldelsespligt. En sådan mistanke kan dog føre til, at

på, at Lars Ovesen har set underretningen.

Fiberpartner skal overveje, om de tekniske og organisa-

5.5.3 Anmeldelsen skal beskrive de foranstaltninger, som

toriske sikkerhedsforanstaltninger er tilstrækkelige.

Fiberpartner har truffet eller foreslår truffet for at håndtere

sikkerheden fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til

3.4 De skridt, der skal foretages i forbindelse med et

personoplysninger, der er transmitteret, opbevaret eller på

muligt Sikkerhedsbrud, er beskrevet i disse retningslinjer.

anden måde behandlet.

Det er Lars Ovesen, der har det overordnede ansvar for, at de nødvendige personoplysninger indhentes, og at

2.2 Følgende eksempler kan udgøre Sikkerhedsbrud: •

oplysninger •

Sikkerhedsbrud på en server eller manglende

skade-virkninger. Dette inkluderer også foranstaltninger,

5.0 NÆRMERE OM ANMELDELSE TIL DATATILSYNET

som databehandlere har truffet eller som Fiberpartner

5.1 Fiberpartner skal anmelde et Sikkerhedsbrud uden

5.5.4 Andre relevante oplysninger kan fx være identiteten

unødig forsinkelse, og hvor det er muligt, inden 72 timer

på en databehandler, hvis bruddet er sket hos databe-

fra Fiberpartner er blevet bekendt med Sikkerhedsbrud-

handleren.

4.0 ANMELDELSE AF DATATILSYNET OG/ELLER UNDRETNING AF DEN/DE BERØRTE REGISTREREDE

kryptering af en bærbar computer, hvorved uvedkom-

det. Der anmeldes via https://indberet.virk.dk/myndigheder/stat/ERST/Indberetning_af_brud_paa_sikkerhed. Der

5.5.5 De ovenfor anførte oplysninger skal bidrage til,

logges på med Fiberpartners erhvervs-NemID.

at Datatilsynet får mulighed for at følge og vurdere, om Fiberpartners håndtering af Sikkerhedsbruddet sker på en

4.1 Udgangspunktet er, at et Sikkerhedsbrud skal an-

•

meldes til Datatilsynet, medmindre det er usandsynligt, at

5.2Overskrides fristen på 72 timer, skal anmeldelsen

bevidst videregiver personoplysninger til uvedkommende,

Sikkerhedsbruddet indebærer en risiko for de

ledsages af en begrundelse for forsinkelsen.

fx ved fremsendelse af en e-mail til den forkerte modtager

registreredes rettigheder eller frihedsrettigheder (jf. afsnit

•

5).

Personoplysninger er utilgængelige, fx på grund

tilstrækkelig måde.

5.6 Hvornår behøver der ikke ske anmeldelse til Datatil-

5.3 Hvis Fiberpartner ikke har fuldt overblik til at foretage

synet?

en fuldstændig anmeldelse inden for 72 timer, er det

af en mistet krypteringsnøgle, strømsvigt eller denial of 4.2 Hvis det er sandsynligt, at Sikkerhedsbruddet vil

registreredes rettigheder eller frihedsrettigheder

indebære en høj risiko for de registreredes rettigheder og

•

frihedsrettigheder, skal Fiberpartner også underrette den/

5.4 Der kan også være behov for at opdatere en indlev-

hvis det er usandsynligt, at Sikkerhedsbruddet indebærer

de berørte registrerede om Sikkerhedsbruddet (jf. afsnit

eret anmeldelse efterfølgende, hvis nærmere undersøgel-

risiko for den/de berørte registreredes rettigheder eller

6).

ser fx viser, at der alligevel ikke har været et Sikkerheds-

frihedsrettigheder.

4.3 Input til vurderingen af Sikkerhedsbruddets risici kan

brud, eller at Sikkerhedsbruddet ikke har medført risiko

__________________________

findes i afsnit 7.

for registreredes rettigheder eller frihedsret-tigheder

4.4 Fiiberpartner forpligtelser i relation til Sikkerhedsbrud

– eller hvis Sikkerhedsbruddet viser sig at have haft større

at der samtidig alene skal oplyses om dokumenterede forhold, som specifikt

3.1 Det er besluttet, at Lars Ovesen er overordnet ans-

indtræder, når Fiberpartner er blevet bekendt med, at der

konsekvenser end først antaget.

er relaterede til sikkerhedsbruddet. Der skal ikke oplyses om formodninger.

varlig for at håndtere et Sikkerhedsbrud, herunder evt.

er sket et Sikkerhedsbrud. Det kan fx være på baggrund

underret

af:

Fiberpartners medarbejdere ændrer eller sletter

personoplysninger ved et uheld

3.0 BEREDSSKABSTEAM

muligt at anmelde trinvist til Datatilsynet.

5.6.1 Fiberpartner kan efter en nærmere vurdering af

service-attack, og det indebærer en risiko for

Sikkerhedsbruddet helt undlade at foretage anmeldelse,

Note: Vær opmærksom på, at der skal gives tilstrækkelige oplysninger, men

1

|5|

RETNINGSLINJER / BRUD PÅ PERSONDATASIKKERHED

mende har fået adgang til personoplysninger Fiberpartners medarbejdere ubevidst eller

agter at træffe over for databehandlere.

vurderinger foretages i den forbindelse.

Andre end autoriserede personer hos

Fiberpartner eller en databehandler får adgang til person-

Sikkerhedsbruddet, herunder begrænsning af mulige

RETNINGSLINJER / BRUD PÅ PERSONDATASIKKERHEDEN

RETNINGSLINJER / BRUD PÅ PERSONDATASIKKERHEDEN

5.6.2 Der kan fx være tale om, at uvedkommende

foranstaltning, hvorved de registrerede underrettes

En sådan vurdering skal tage følgende omstæn-

vedrørende de registrerede, som har indflydelse på

har haft adgang til personoplysninger, som er lagret

på en tilsvarende effektiv måde.

digheder i betragtning:

påvirkningsniveauet, som Sikkerhedsbruddet har

i krypteret form. Hvis det kan lægges til grund, at

på de registrerede.

der er tale om en stærk kryptering, som ikke kan

6.3 Fiberpartner skal kunne påvise over for Data-

Sikkerhedsbrudets art

brydes eller omgås inden for en tilstrækkelig lang

tilsynet, at Fiberpartner opfylder en eller flere af de

Sikkerhedsbruddets art vil kunne påvirke det risiko-

Antallet af berørte registrerede

årrække, kan det ud fra en konkret vurdering være

ovenstående betingelser.

niveau, som de registrerede udsættes for. Fx vil en

Jo større antal af berørte registrerede personer, de-

krænkelse af retten til fortrolighed, hvor helbreds-

sto større konsekvens kan et Sikkerhedsbrud have.

6.4 I det omfang at der er krav om underretning,

oplysninger er blevet videregivet til uautoriserede

Et Sikkerhedsbrud kan dog få alvorlige

skal Lars Ovesen underrette den/de berørte regis-

parter, have andre konsekvenser for en registre-

konsekvenser for selv én registreret person,

trerede uden unødigt ophold.

ret end Sikkerhedsbrud, hvor den registreredes

afhængig af karakteren og indholdet af de

helbredsoplysninger er tabt og ikke længere er

personoplysninger, der er blevet kompromitteret.

usandsynligt, at der er risiko for den/de berørte registreredes ret-tigheder eller frihedsrettigheder.

6. NÆRMERE OM UNDERRETNING AF DEN/DE BERØRTE REGISTREREDE

6.5 Underretning efter afsnit 6.4 skal som mini-

tilgængelige.

mum: 6.1 Fiberpartner skal underrette de registrerede,

8. HVAD GÆLDER FOR DATABEHANDLERE?

Typen, følsomheden og mængden af

der berøres af Sikkerhedsbruddet, fx medarbej-

•

dere, kunder, leverandører og forretningspartnere,

klart og forståeligt sprog

Jo mere følsomme personoplysningerne om de

i det omfang det er sandsynligt, at Sikkerheds-

•

berørte registrerede personer er, desto højere risiko

bruddet vil udgøre en høj risiko for den/de berørte

for en kontaktperson, hvor yderligere oplysninger

registreredes ret-tigheder og frihedsrettigheder. Der

kan indhentes

henvises til afsnit 7 nedenfor for nærmere oplys-

•

ninger om de forhold, der skal tages højde for ved

Sikkerhedsbruddet

Det er vigtigt at overveje, hvor let det vil være for en

en sådan risikovurdering.

•

part, der har adgang til kompromitterede person-

Beskrive Sikkerhedsbruddets karakter i et Meddele navn på og kontaktoplysninger

Beskrive de sandsynlige konsekvenser af Beskrive de foranstaltninger, der er

personoplysninger

8.1 Hvis en af Fiberpartner databehandlere bliver opmærksom på, at der er sket et Sikkerhedsbrud, skal den pågældende databehandler underrette Fiberpartner uden unødig forsinkelse.

vil et Sikkerhedsbrud udgøre for de pågældende.

Identifikation af de registrerede

8.2 Databehandleren kan ikke undlade at underrette Fiberpartner om Sikkerhedsbruddet med henvisning til, at databehandleren selv har vurderet, at det er usandsynligt, at bruddet indebærer en risiko for den/de berørte registreredes rettigheder eller frihedsret-tigheder.

oplysninger, at identificere specifikke registrerede

6.2 Fiberpartner er imidlertid undtaget fra at skulle

med henblik på at håndtere Sikkerhedsbruddet,

personer eller at sammenstille personoplysninger

underrette de registrerede, hvis:

herunder, hvis det er muligt, foranstaltninger for at

med andre oplysninger for at kunne identificere

begrænse mulige skadevirkninger, som fx nul-

registrerede personer.

9. DOKUMENTATION AF SIKKERHEDSBRUD

Konsekvensernes alvorsgrad for de registrerede

9.1 Uanset om Sikkerhedsbruddet er underlagt an-

•

Fiberpartner har gennemført passende

stilling af kodeord i de tilfælde hvor de registrere-

tekniske og organisatoriske foranstaltninger, og

des brugeroplysninger er blevet kompromitteret

disse foranstaltninger er blevet anvendt på de per-

I det omfang de af Sikkerhedsbruddet berørte

sonoplysninger, som er blevet berørt af

6.6 I tilfælde, hvor Fiberpartner vurderer, at den/de

personoplysninger er følsomme personoplysninger,

Sikkerhedsbruddet, navnlig foranstaltninger, der

berørte registrerede skal underrettes om Sikker-

kan en potentiel skadevirkning mod de registrerede

gør personoplysninger uforståelige for enhver, der

hedsbruddet, skal der også ske anmeldelse til

være særlig alvorlig, navnlig hvis Sikkerhedsbrud-

ikke har autoriseret adgang hertil, som fx

Datatilsynet.

det medfører identitetstyveri, svig, fysisk skade,

kryptering.

psykologisk forstyrrelse, tort eller skade af omdøm-

•

me.

Fiberpartner har truffet efterfølgende

foranstaltninger, der sikrer, at den høje risiko for

7. VURDERING AF RISIKO

de registreredes rettigheder og frihedsrettigheder

Særlige forhold ved de registrerede

sandsynligvis ikke længere er reel.

7.1 Når Fiberpartner vurdere risikoen for de

Hvis Sikkerhedsbruddet vedrører personoplysnin-

•

registrerede som følge af et Sikkerhedsbrud, skal

ger om børn eller andre særligt udsatte, vil disse

I et sådant tilfælde skal der i stedet foretages en

der tages højde for specifikke omstændigheder,

være udsat for en større risiko for

offentlig meddelelse eller tilsvarende

herunder bruddets alvor og potentielle betydning

skadevirkninger. Der kan være andre faktorer

Det vil kræve en uforholdsmæssig indsats.

meldelseskrav, skal Lars Ovesen altid dokumentere Sikkerhedsbruddet, herunder de forhold, der vedrører Sikkerhedsbruddet og dens følger og de trufne afværgeforanstaltninger.

9.2 Dokumentationskravet opfyldes ved at føre en intern liste over Sikkerhedsbrud, der doku-menterer følgende omstændigheder: • Dato og tidspunkt for Sikkerhedsbruddet • Hvor og hvordan opstod Sikkerhedsbruddet?

• Hvem konstaterede Sikkerhedsbruddet?

• Hvilke (typer) personoplysninger og kategorier af registrerede er omfattet af Sikkerhedsbruddet?

|7|

RETNINGSLINJER / BRUD PÅ PERSONDATASIKKERHED

truffet, eller som Fiberpartner har foreslået truffet,

RETNINGSLINJER / BRUD PÅ PERSONDATASIKKERHEDEN •

Hvilke konsekvenser har

Sikkerhedsbruddet for den/de berørte registrerede?

•

Hvilke afhjælpende foranstaltninger er

truffet?

•

Skal der ske anmeldelse til Datatilsynet?

10. OPFØLGNING 10.1 Lars Ovesen tilser, at de forhold, der førte til Sikkerhedsbruddet, er blevet afhjulpet, og at driften er normaliseret. I samarbejde med fx leverandøren/ databehandleren skal det sikres i størst muligt omfang, at lignende fejl ikke forekommer fremover.

FIBERPARTNER APS | HAVNEGADE 23 | 7100 VEJLE | DENMARK + 45 79 44 77 22