Ett personuppgiftsintrång är ett säkerhetsbrott som leder till oavsiktlig eller olaglig förstörelse, förlust, ändring, obehörigt utlämnande av eller åtkomst till personuppgifter. Alla incidenter behöver inte anmälas, men du måste kunna visa hur du kom fram till den slutsatsen.
Innehållsförteckning
Rättslig grund
Definitionen finns i artikel 4(12) i GDPR. Artikel 33 kräver att den registeransvarige utan onödigt dröjsmål och senast inom 72 timmar efter att ha blivit medveten om intrånget anmäler till den nederländska dataskyddsmyndigheten, såvida det inte är sannolikt att det leder till en risk för enskilda personers rättigheter och friheter. Artikel 34 lägger till en skyldighet att informera de enskilda personerna själva om risken är hög. Personuppgiftsbehandlare anmäler inte tillsynsmyndigheten utan den registeransvarige, och måste göra det utan dröjsmål. Artikel 33(5) kräver ett register över alla intrång, inklusive de som inte anmälts.
Hur det fungerar i praktiken
72-timmarsperioden börjar när du har rimlig säkerhet om att en säkerhetsincident som rör personuppgifter har inträffat, inte när utredningen är klar. Anmälan kan därför göras i etapper: först vad du vet, sedan tilläggen. Bedömningen riktar sig mot konsekvenserna för individen: rör det sig om uppgifter av särskilda kategorier, kombinationer som möjliggör identitetsbedrägerier, stora siffror eller personer i en utsatt position? En förlorad bärbar dator med en krypterad disk är vanligtvis inte anmälningspliktig; ett feladresserat utskick som innehåller hälsouppgifter är det nästan alltid.
Var det går fel
Det mesta av verkställigheten handlar om efterdyningarna snarare än själva intrånget. Organisationer anmäler sent eftersom de först vill fastställa internt vem som är skyldig, eller så hoppar de över att informera individerna av rädsla för ryktesskada trots att risken var tillräckligt hög. En tredje fallgrop är det saknade interna registret: utan det kan du inte underbygga varför en incident inte anmäldes, och din bedömning räknas helt enkelt inte.
relaterade termer
Ett intrång kopplas direkt till databehandlingsavtalet , som bör ange din leverantörs rapporteringsfrist, och till den nederländska cybersäkerhetslagen , som inför en egen kortare tidsfrist för vissa sektorer.
Är du osäker på om en incident måste anmälas? Våra IT-juridikspecialister kommer att utvärdera den tillsammans med dig, inklusive inom 72-timmarsfönstret.
