Kundedata på avveie – 72-timersfristen til Datatilsynet

Tapt kryptert backup er noe annet enn en åpen kundedatabase

Ikke alt som går galt med data, skal meldes. Regelen i personvernforordningen er at bruddet er meldepliktig når det medfører en reell risiko for dem opplysningene gjelder, altså kundene, de ansatte eller andre registrerte. Har du mistet en kryptert sikkerhetskopi ingen har åpnet, og du kan dokumentere at nøkkelen aldri var på avveie, er risikoen typisk lav nok til at du slipper å melde fra i det hele tatt. Det samme gjelder ofte interne dokumenter uten personopplysninger, som et budsjettutkast eller en produktplan. Men da noen brøt seg inn i kundedatabasen og fikk tilgang til navn, adresser, e-post og ordrehistorikk for over tre tusen kunder, var det en helt annen sak. Jo mer sensitiv informasjonen er, og jo flere personer den gjelder, desto raskere bør du konkludere med at dette skal meldes.

Klokken starter når leverandøren ringer, ikke når angrepet faktisk skjedde

Fristen på 72 timer regnes fra det tidspunktet bedriften din fikk kunnskap om bruddet, eller burde ha skjønt at noe var galt. For Espen betydde det at klokken startet da hostingleverandøren varslet om unormal trafikk mot databasen, ikke uken før da angriperen faktisk brøt seg inn uoppdaget. Mange småbedrifter oppdager først bruddet via en ekstern varsling, en bank som stopper mistenkelige transaksjoner, eller en kunde som ringer og lurer på hvorfor noen har bestilt varer i navnet hans. Uansett hvor varselet kommer fra, er det tidspunktet du forsto alvoret, ikke det angrepet i etterkant viser seg å ha startet, som er utgangspunktet for fristen. Har du ingen fast rutine for hvem som varsler hvem internt, mister du fort timer du ikke har råd til å miste.

Skjemaet hos Datatilsynet tar imot et ufullstendig bilde, og det er meningen

Meldeskjemaet til Datatilsynet er laget for at du skal kunne melde fra selv om du ikke har hele bildet klart. Du beskriver hva som er skjedd så langt du vet det, hvor mange som er berørt, hvilke kategorier opplysninger det gjelder, og hvilke tiltak du allerede har satt i gang. Mangler tall eller detaljer, skriver du at undersøkelsen pågår og ettersender et tillegg når granskingen er ferdig. Espen sendte inn meldingen samme morgen med et anslag på antall berørte kunder, og korrigerte tallet nedover to dager senere da loggene viste at bare et undersett av databasen faktisk var eksponert. Det er bedre å melde tidlig med forbehold enn å vente til alt er avklart, for Datatilsynet ser langt strengere på en bedrift som tier og håper problemet forsvinner, enn på en som melder fra tidlig og oppdaterer saken underveis.

Kundene skal ofte varsles før tilsynet, ikke etter

Er risikoen for kundene høy, for eksempel fordi passord eller betalingsopplysninger er involvert, har du også plikt til å varsle dem direkte, og i praksis bør det skje raskere enn meldingen til Datatilsynet. Espen sendte ut en e-post til alle berørte kunder samme dag, med beskjed om hva som var lekket, hva han hadde gjort for å tette hullet, og en anbefaling om å bytte passord andre steder de hadde brukt det samme. Varselet bør være kort og konkret: hva som er skjedd, hvilke opplysninger som er berørt, hva bedriften har gjort, og hva kunden selv kan gjøre. Detaljerte tekniske forklaringer om hvordan angriperen kom seg inn, hører hjemme i den interne rapporten, ikke i kundevarselet. Åpenheten kostet Espen noen sinte telefoner den første dagen, men langt færre enn om kundene hadde funnet ut av lekkasjen på egen hånd. Har bedriften i tillegg personvernombud, bør nettopp den personen koordinere både varselet og den videre håndteringen.

Loggen du fører internt er det som redder deg om saken kommer opp igjen

Enten bruddet ender med å bli meldt eller du konkluderer med at det ikke var meldepliktig, skal du føre en intern oversikt over hva som skjedde, hvorfor du vurderte det som du gjorde, og hvilke tiltak som ble satt i verk. Denne loggen er det Datatilsynet ber om først hvis de åpner en sak i etterkant, og mangler du den, blir vurderingen din vanskelig å forsvare uansett hvor riktig konklusjonen faktisk var. Sørg også for at databehandleravtalen med leverandøren er oppdatert og beskriver hvem som varsler hvem ved neste hendelse, slik at du slipper å finne det ut midt i krisen. Blir saken alvorlig nok til at Datatilsynet varsler gebyr, er det nettopp denne dokumentasjonen som avgjør om beløpet blir stort eller lite. Ha også en fast rutine for hvor lenge du oppbevarer loggen og hvem som har tilgang til den, slik at dokumentasjonen selv ikke blir et nytt sikkerhetsproblem.

Kort oppsummert

• Bruddet er meldepliktig til Datatilsynet når det innebærer en reell risiko for kundenes eller de ansattes rettigheter, ikke ved ethvert datatap.
• Fristen på 72 timer løper fra bedriften fikk eller burde ha fått kunnskap om bruddet, ikke fra det faktisk skjedde.
• Er risikoen høy for de berørte, skal de varsles direkte, og det bør ofte skje raskere enn meldingen til Datatilsynet.
• Før alltid en intern logg over vurderingen, enten bruddet ender med å bli meldt eller ikke.
• Alvorlige brudd kan i ytterste konsekvens utløse et overtredelsesgebyr på inntil 20 millioner euro eller 4 prosent av selskapets globale årsomsetning.