Kort fortalt: Mistanke om et databrud kræver hurtig og struktureret håndtering. Først skal virksomheden begrænse hændelsen og finde ud af, hvilke oplysninger der er berørt. Ansvaret og de videre skridt afhænger af hændelsens konkrete karakter.
Indhold
- Undersøg om virksomhedens anmeldelse er relevant
- Informér berørte personer når reglerne kræver det
- Brug hændelsen til at lukke hullet
- Koordinér med leverandører og ansvarlige
- Lav et dokumenteret sagsforløb
- Visuelt overblik
- Før du sender din næste henvendelse
- Stop eller begræns adgangen
- Lav et overblik over data og personer
- Vurdér anmeldelse og information
- Overblik: næste skridt
Stop eller begræns adgangen
Sikr systemer og konti uden at ødelægge spor, der kan forklare hændelsen. Notér hvornår den blev opdaget, hvem der blev involveret, og hvilke systemer eller filer der kan være berørt.
Lav et overblik over data og personer
Undersøg hvilke kategorier af oplysninger og hvor mange personer der kan være påvirket. Gem logfiler, mails og beslutninger. Hold en kronologi, også hvis omfanget endnu ikke er fuldt kendt.
Vurdér anmeldelse og information
Der kan gælde krav om at dokumentere, anmelde eller informere berørte personer afhængigt af risiko og reglerne. Få databeskyttelsesfaglig eller juridisk hjælp hurtigt, og dokumentér begrundelsen for de beslutninger, virksomheden træffer.
Lav et dokumenteret sagsforløb
Opret en tidslinje med dato, hændelse, afsender og bilag. Gem mails og breve i deres oprindelige form, og skriv kun en kort note om hvorfor hvert dokument er relevant. Hvis du taler med en virksomhed, arbejdsgiver eller myndighed i telefon, så send bagefter en neutral opsummering af det vigtigste. Det giver dig et samlet overblik, hvis sagen senere skal vurderes af en rådgiver eller klageinstans.
Undersøg om virksomhedens anmeldelse er relevant
En dataansvarlig skal vurdere om et brud indebærer risiko for personers rettigheder. Datatilsynet beskriver, at anmeldelse normalt skal ske uden unødig forsinkelse og om muligt inden 72 timer, medmindre risikoen er usandsynlig. Hvis virksomheden har brug for mere tid til at samle alle oplysninger, skal den stadig følge tilsynets aktuelle vejledning og dokumentere, hvad den ved og hvorfor anmeldelsen eventuelt suppleres senere.
Informér berørte personer når reglerne kræver det
Ved høj risiko kan der være behov for at informere de registrerede uden unødig forsinkelse. Beskeden bør forklare hændelsen i forståeligt sprog, hvilke oplysninger der kan være berørt, og hvilke handlinger personerne kan tage. Undgå at love, at der ikke er nogen risiko, hvis undersøgelsen ikke er færdig. Få juridisk og sikkerhedsfaglig hjælp til at vurdere både risiko og indholdet af beskeden.
Brug hændelsen til at lukke hullet
Når hændelsen er under kontrol, undersøg hvordan den kunne ske. Var det en fejl i adgangsstyring, forkert modtager, manglende kryptering, phishing eller en leverandør? Planlæg konkrete ændringer, sæt en ansvarlig og en dato, og test at løsningen virker. Opdater instrukser og beredskabsplan, så medarbejdere ved hvem de skal kontakte næste gang.
Koordinér med leverandører og ansvarlige
Hvis en databehandler eller ekstern IT-leverandør er involveret, så læs databehandleraftalen og få oplysninger om hændelsestidspunkt, data og afhjælpning. Aftal en fast kontaktperson, og bed om logs og dokumentation via sikker kanal. Den dataansvarlige skal selv kunne foretage vurderingen, selv om en leverandør leverer de tekniske oplysninger. Opbevar en samlet hændelsesmappe med beslutninger, bilag og opfølgning.
Visuelt overblik
| Situation | Ansvarlig handling | Dokumentér |
|---|---|---|
| Databrud opdaget | Inddæm og vurder risiko | Tidspunkt og første tiltag |
| Risiko for personer | Overvej anmeldelse og information | Beslutning og begrundelse |
| Leverandør involveret | Indhent fakta og logfiler | Aftale, tidslinje og kontakt |
| Efter hændelsen | Ret årsag og test løsning | Ansvarlig og deadline |
Før du sender din næste henvendelse
Kontrollér at du skriver til den rigtige modtager, at datoer og beløb stemmer, og at du tydeligt beskriver hvad du ønsker svar på. Vedlæg kun nødvendige bilag, men gem resten sikkert. Hvis du ikke kan afgøre, hvilken regel eller klagevej der gælder, så spørg konkret om netop den del. Det sparer tid og mindsker risikoen for, at en vigtig oplysning drukner i en lang tekst.
Overblik: næste skridt
| Start med | Gør dette |
|---|---|
| Dokumentation | Saml aftaler, breve, billeder og relevante datoer. |
| Frister | Læs vejledningen i brevet eller aftalen, og notér frister. |
| Uenighed | Forklar skriftligt, hvad du bestrider, og hvorfor. |
Tjekliste
- Gem alle originale dokumenter
- Lav en kort tidslinje
- Søg konkret rådgivning, hvis der er store beløb eller korte frister
Har du brug for at komme videre?
Læs mere om de relevante regler, eller beskriv kort din situation, så du kan finde næste skridt.