Nettsiden ble hacket: hvem har ansvaret, du eller webhotellet?

Du er ansvarlig, selv om andre drifter siden

Personvernforordningen (GDPR, som gjelder som norsk lov gjennom personopplysningsloven) skiller mellom den behandlingsansvarlige og databehandleren. Den behandlingsansvarlige bestemmer hvorfor opplysningene samles inn og hva de brukes til. For en vanlig bedriftsside er det bedriften selv. Webhotellet lagrer og behandler opplysningene på dine vegne, og er derfor databehandler. Rollen avgjøres av hvem som bestemmer formålet, ikke av hvem som har serverne. Se også forskjellen på behandlingsansvarlig og databehandler.

Det betyr at det er du som må kunne svare kunden som spør hva som er lagret om henne, og du som må forklare Datatilsynet hva som skjedde hvis opplysningene kommer på avveie. Derfor bør du vite hvilke opplysninger nettsiden samler inn, hvor lenge de lagres og hvem som har tilgang. Det samme skal stå i personvernerklæringen.

Databehandleravtalen med webhotellet

Når en leverandør behandler personopplysninger for deg, krever personvernforordningen artikkel 28 at dere har en databehandleravtale. Avtalen skal blant annet si at leverandøren bare behandler opplysningene etter dine instrukser, at den har tilstrekkelig sikkerhet, og hva som skjer med dataene når avtalen avsluttes. Artikkel 28 sier også at du bare skal bruke leverandører som gir tilstrekkelige garantier for at kravene blir oppfylt. Valget av webhotell er altså en del av ansvaret ditt.

Hos de fleste webhotell inngår databehandleravtalen i vilkårene du godtar når du bestiller. Det er likevel lurt å lese den. Sjekk hvilke underleverandører som brukes, hvor dataene lagres, og hvor raskt leverandøren varsler deg ved et sikkerhetsbrudd. Etter artikkel 33 nr. 2 skal databehandleren varsle deg uten ugrunnet opphold når den blir kjent med et brudd. Rettsregel har mer om hva en databehandleravtale bør inneholde.

Sikkerheten skal stå i forhold til risikoen

Artikkel 32 i personvernforordningen sier at sikkerheten skal være tilpasset risikoen. Loven gir ingen fast liste, men kravet er at du har tenkt gjennom hva som kan gå galt og gjort det som er rimelig for å hindre det. En enkel side med et kontaktskjema krever mindre enn en nettbutikk med kundekontoer.

I praksis betyr det noen få ting som gir mye beskyttelse. Siden bør bruke kryptert forbindelse (https med SSL-sertifikat), slik at skjemadata ikke sendes i klartekst. Publiseringsløsningen og tilleggene må oppdateres jevnlig, fordi kjente sårbarheter i gamle versjoner er en av de vanligste veiene inn. Og det må finnes sikkerhetskopier som kan hentes tilbake hvis noe blir slettet eller ødelagt.

Mye av dette avgjøres av hvilket webhotell du velger. Når du sammenligner pakker, for eksempel hos Uniweb, en norsk leverandør av domener og hosting, bør du se etter om SSL er inkludert, hvor ofte det tas sikkerhetskopi, og hvor raskt siden kan settes tilbake etter et angrep.

Hvor står serverne?

Personvernforordningen har egne regler for overføring av personopplysninger til land utenfor EU og EØS. Ligger nettsiden eller sikkerhetskopiene hos en leverandør utenfor EØS, må det være et gyldig grunnlag for overføringen. Det gjør avtaleforholdet mer komplisert for en liten bedrift.

Spør derfor webhotellet hvor serverne står, også for sikkerhetskopier og e-post. Står alt i Norge eller i EØS, og ingen underleverandør henter dataene ut derfra, slipper du de særskilte reglene om tredjelandsoverføring. Da blir det også enklere å svare Datatilsynet eller en kunde som spør.

Når uhellet er ute

Blir nettsiden hacket, og personopplysninger kommer på avveie, blir endret eller slettet, er det et brudd på personopplysningssikkerheten, et såkalt avvik. Etter artikkel 33 skal du melde avviket til Datatilsynet uten ugrunnet opphold, og om mulig innen 72 timer etter at du ble kjent med det. Unntaket er når det er lite sannsynlig at bruddet medfører en risiko for dem opplysningene gjelder. Ofte er det varselet fra webhotellet som setter klokken i gang. Hva meldingen skal inneholde, og når fristen begynner å løpe, står i artikkelen om 72-timersfristen til Datatilsynet.

Er risikoen høy, for eksempel fordi passord eller betalingsinformasjon kan være lekket, skal også de som er rammet varsles etter artikkel 34. Uansett skal du dokumentere hva som skjedde og hva du gjorde, også når du kommer til at bruddet ikke måtte meldes. Innbrudd i et datasystem er dessuten straffbart etter straffeloven § 204, og du kan anmelde det til politiet.

Her blir valget av leverandør viktig igjen. Et webhotell som merker angrepet tidlig, varsler deg raskt og har ferske sikkerhetskopier, gjør det mulig å rekke fristen og få siden opp igjen uten at du mister data.

Kan du kreve noe av webhotellet?

Overfor kundene er det normalt du som svarer. Etter artikkel 82 er den behandlingsansvarlige ansvarlig for skade som skyldes behandling i strid med forordningen. Databehandleren er bare ansvarlig når den har brutt pliktene som gjelder for databehandlere, eller har gått utenfor eller imot instruksene dine. Har webhotellet sviktet, for eksempel ved å la egne systemer stå uoppdatert eller ved å varsle deg for sent, kan du kreve tilbake den delen av erstatningen som skyldes webhotellet (artikkel 82 nr. 5).

Mellom deg og webhotellet gjelder også avtalen. Mange vilkår begrenser hva leverandøren svarer for, så les ansvarsbegrensningen før du velger leverandør, ikke etter et angrep. Driver du nettbutikk, kan kravene fra kunder og kortselskaper bli større. Se hvem som svarer for tapet når nettbutikken blir hacket.

Sjekkliste for deg som har nettside på webhotell

Gå gjennom disse punktene én gang i året, eller når du bytter leverandør:

• Du vet hvilke personopplysninger nettsiden samler inn, og det står i personvernerklæringen.
• Du har en databehandleravtale med webhotellet, og vet hvilke underleverandører som brukes.
• Avtalen sier hvor raskt webhotellet varsler deg ved et sikkerhetsbrudd.
• Siden har SSL-sertifikat, og alle skjemaer sendes kryptert.
• Publiseringsløsning, tema og tillegg oppdateres jevnlig.
• Det tas automatiske sikkerhetskopier, og du har testet at de kan hentes tilbake.
• Du vet hvor serverne står, også for sikkerhetskopier og e-post.
• Du har en plan for hvem som melder avvik til Datatilsynet, og hvem som varsler kundene.

Ingen av punktene krever teknisk spisskompetanse. De gjør det mulig å vise Datatilsynet at du har tatt ansvaret ditt på alvor hvis noe går galt.

Kort oppsummert

• Bedriften er behandlingsansvarlig for opplysningene på nettsiden, også når et webhotell drifter den.
• Webhotellet er databehandler. Det skal ha databehandleravtale med deg, sikre dataene og varsle deg om brudd.
• Avvik meldes til Datatilsynet uten ugrunnet opphold og om mulig innen 72 timer. Ved høy risiko varsles også de som er rammet.
• Webhotellet svarer bare når det har brutt egne plikter eller instruksene dine, og avtalen kan begrense ansvaret.