1. Formål
Denne procedure skal sikre, at FREMAD hurtigt opdager, begrænser, vurderer og dokumenterer brud på persondatasikkerheden samt foretager de nødvendige anmeldelser og underretninger.
Proceduren gælder alle personoplysninger, som FREMAD behandler digitalt eller på papir, herunder oplysninger om unge, støtteforløb, trivsel, familieforhold, uddannelse, beskæftigelse og helbred.
2. Hvad er et databrud?
Et databrud kan eksempelvis være:
- En e-mail med oplysninger om en ung sendes til den forkerte modtager.
- En telefon eller computer med klientoplysninger bliver stjålet.
- En uvedkommende får adgang til FREMADs e-mail eller dokumenter.
- En mappe med klientoplysninger deles offentligt ved en fejl.
- Papirer med personoplysninger mistes.
- En sikkerhedskopi eller et IT-system bliver kompromitteret.
- En leverandør oplyser, at uvedkommende har haft adgang til data.
Der skal reageres på både bekræftede brud og mistanker, som kan være reelle. Det skal efterfølgende undersøges, om hændelsen udgør et brud på persondatasikkerheden.
3. Hvem har ansvaret?
Da FREMAD er en enkeltmandsvirksomhed uden ansatte, er indehaveren ansvarlig for at aktivere proceduren, dokumentere hændelsen og sikre, at de nødvendige handlinger bliver udført.
Hvis FREMAD behandler oplysninger på vegne af en kommune eller en anden dataansvarlig, skal FREMAD straks informere den dataansvarlige i overensstemmelse med databehandleraftalen og dens instrukser.
4. Trin 1 – Reagér straks
Når et muligt databrud opdages:
- Notér dato og klokkeslæt for, hvornår hændelsen blev opdaget.
- Stop eller begræns hændelsen, hvis det kan gøres sikkert.
- Ved en forkert e-mail: Kontakt modtageren straks, bed vedkommende om ikke at åbne, kopiere eller videresende oplysningerne og om at slette dem. Bed om bekræftelse, men gå ikke ud fra, at sletning alene løser problemet.
- Ved en kompromitteret konto: Skift adgangskode fra en sikker enhed, afslut aktive sessioner, og kontakt IT-leverandøren efter behov.
- Ved en mistet eller stjålet enhed: Brug tilgængelig fjernsletning, hvis relevant, og kontakt udbyderen eller politiet, når omstændighederne tilsiger det.
- Gem relevante logs, e-mails og andre beviser. Slet eller ændr ikke dokumentation for at skjule hændelsen.
- Undgå at sende flere personoplysninger rundt, end det er nødvendigt for at håndtere hændelsen.
5. Trin 2 – Vurdér hændelsen
Registrér følgende:
- Hvad skete der, og hvornår?
- Hvilket system, dokument eller hvilken enhed er berørt?
- Hvilke typer personoplysninger kan være berørt?
- Hvor mange personer kan være berørt?
- Har uvedkommende faktisk fået adgang, eller er det alene muligt?
- Er oplysningerne beskyttet med kryptering eller andre effektive sikkerhedsforanstaltninger?
- Kan hændelsen medføre skade, stigmatisering, trusler, identitetsmisbrug eller andre negative konsekvenser for de berørte?
- Er en kommune eller anden organisation dataansvarlig for oplysningerne?
Oplysninger om unge i sårbare situationer, helbred, sociale forhold, familieforhold eller opholdssted kan kræve særlig opmærksomhed, fordi misbrug eller videregivelse kan få alvorlige følger.
6. Trin 3 – Kontakt relevant dataansvarlig
Hvis FREMAD behandler oplysninger på vegne af en kommune eller anden organisation, kontaktes organisationens udpegede kontaktperson straks og efter den aftalte procedure.
FREMAD skal ikke selv antage, at virksomheden har ansvaret for at anmelde bruddet til Datatilsynet i alle situationer. Det afhænger af, om FREMAD er dataansvarlig eller databehandler i den konkrete behandling.
Hvis FREMAD er databehandler, skal FREMAD underrette den dataansvarlige uden unødig forsinkelse. Den dataansvarlige vurderer som udgangspunkt, om der skal anmeldes til Datatilsynet og underrettes berørte personer.
7. Trin 4 – Vurdér anmeldelse til Datatilsynet
Hvis FREMAD er dataansvarlig, skal der ske anmeldelse til Datatilsynet uden unødig forsinkelse og om muligt inden for 72 timer efter, at FREMAD er blevet bekendt med bruddet, medmindre det er usandsynligt, at bruddet indebærer en risiko for de berørte personers rettigheder og frihedsrettigheder.
Hvis der er tvivl, skal hændelsen vurderes hurtigt og grundigt. Fristen må ikke sættes på pause, blot fordi alle detaljer endnu ikke er kendt. En indledende anmeldelse kan suppleres efterfølgende.
Anmeldelse foretages via Datatilsynets løsning på Virk.dk: indberet.virk.dk
Hvis anmeldelsen sker efter 72 timer, skal årsagen til forsinkelsen oplyses.
8. Trin 5 – Vurdér, om de berørte personer skal underrettes
Hvis FREMAD er dataansvarlig, skal de berørte personer underrettes uden unødig forsinkelse, hvis bruddet sandsynligvis indebærer en høj risiko for deres rettigheder og frihedsrettigheder, medmindre en lovlig undtagelse gælder.
Underretningen skal være forståelig og beskrive:
- Hvad der er sket.
- Hvilke mulige konsekvenser hændelsen kan have.
- Hvad FREMAD har gjort for at begrænse risikoen.
- Hvad personen selv eventuelt kan gøre.
- Hvordan personen kan kontakte FREMAD for yderligere oplysninger.
Ved kommunale forløb koordineres underretningen med den dataansvarlige organisation, så den følger den aftalte rollefordeling.
9. Trin 6 – Dokumentér hændelsen
Alle brud på persondatasikkerheden skal dokumenteres internt, også hvis hændelsen ikke skal anmeldes til Datatilsynet.
Dokumentationen skal som minimum indeholde:
- Sagsnummer.
- Dato og tidspunkt for hændelsen og opdagelsen.
- Hændelsens karakter og årsag, hvis kendt.
- Typer af oplysninger og omtrentligt antal berørte personer.
- Vurdering af risiko og mulige konsekvenser.
- Tiltag for at stoppe hændelsen og begrænse skade.
- Kontakt til kommune, leverandør eller andre relevante parter.
- Beslutning om anmeldelse og underretning samt begrundelse.
- Tidspunkt for afslutning og eventuelle forebyggende tiltag.
Dokumentationen opbevares sikkert og med begrænset adgang. Undgå at medtage unødvendige klientoplysninger i hændelsesloggen.
10. Trin 7 – Forebyg gentagelse
Efter hændelsen skal FREMAD vurdere, hvad der kan forhindre gentagelse. Det kan eksempelvis være:
- At aktivere multifaktorgodkendelse.
- At ændre adgangsrettigheder.
- At indføre kontrol af modtager før afsendelse af e-mails.
- At forbedre kryptering, sikkerhedskopiering eller adgangskoder.
- At ændre arbejdsgange for opbevaring og deling af dokumenter.
- At indhente en redegørelse fra relevant IT-leverandør.
- At opdatere denne procedure.
Tiltag og ansvar registreres, og det kontrolleres, at de er gennemført.
11. Tjekliste ved mistanke om databrud
- Hændelsen er registreret med dato og tidspunkt.
- Hændelsen er begrænset, hvor det er muligt.
- Beviser og relevante logs er sikret.
- Dataansvarlig kommune eller organisation er kontaktet, hvis relevant.
- Risikoen for de berørte er vurderet.
- Anmeldelsespligt og eventuel 72-timersfrist er vurderet.
- Behovet for at underrette berørte personer er vurderet.
- Beslutninger og begrundelser er dokumenteret.
- Forebyggende tiltag er besluttet og fulgt op.