Hvordan håndterer jeg en databeskyttelseshændelse i en offentlig institution?

Når en databeskyttelseshændelse opstår i en offentlig institution, er det afgørende at følge institutionens beredskabsplan. Start med at isolere hændelsen for at minimere skaden og sikre, at ingen yderligere data kompromitteres. Det er vigtigt at indsamle beviser, såsom logfiler og dokumentation af hændelsen, da disse vil være nødvendige for den efterfølgende analyse og rapportering.

Næste skridt er at vurdere, om hændelsen udgør et brud på persondatasikkerheden. Her gælder to regler med hver sin tærskel: Bruddet skal anmeldes til Datatilsynet uden unødig forsinkelse og om muligt inden 72 timer, medmindre det er usandsynligt, at det medfører en risiko for personernes rettigheder eller frihedsrettigheder. De berørte personer skal derimod kun underrettes direkte, hvis bruddet sandsynligvis indebærer en høj risiko for deres rettigheder — underretningen skal gøre dem i stand til at træffe deres egne forholdsregler.

Dokumentation er en central del af håndteringen. Det anbefales at føre en detaljeret log over alle skridt, der tages i forbindelse med hændelsen, herunder beslutninger, kommunikation og handlinger. Dette vil ikke kun hjælpe med at opfylde kravene fra Datatilsynet, men også være nyttigt i den efterfølgende evaluering.

Samarbejd tæt med institutionens Data Protection Officer (DPO) og eventuelt juridiske rådgivere for at sikre, at alle aspekter af lovgivningen overholdes. Efter hændelsen er det vigtigt at gennemføre en grundig analyse for at identificere årsagerne og implementere foranstaltninger, der kan forhindre lignende hændelser i fremtiden.

Kilder: Datatilsynet — håndtering af brud på persondatasikkerheden ↗ · Datatilsynet — anmeld brud på persondatasikkerheden ↗