Anmeldelse af databrud
En anmeldelse af databrud er et lovkrav om at informere tilsynsmyndigheder og i visse tilfælde berørte personer, når personoplysninger er blevet kompromitteret gennem et sikkerhedsbrud. I henhold til GDPR skal dataansvarlige anmelde til deres tilsynsmyndighed inden for 72 timer efter at være blevet bekendt med et brud, der udgør en risiko for personers rettigheder og frihedsrettigheder, og direkte underrette berørte personer, hvis bruddet udgør en høj risiko.
Retsgrundlag
"I tilfælde af brud på persondatasikkerheden skal den dataansvarlige uden unødig forsinkelse og om muligt senest 72 timer efter at være blevet bekendt med bruddet underrette den kompetente tilsynsmyndighed, jf. artikel 55, om bruddet på persondatasikkerheden, medmindre det er usandsynligt, at bruddet på persondatasikkerheden indebærer en risiko for fysiske personers rettigheder og frihedsrettigheder."
— Artikel 33, stk. 1, forordning (EU) 2016/679 (GDPR)
"Hvis bruddet på persondatasikkerheden sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder, skal den dataansvarlige uden unødig forsinkelse underrette den registrerede om bruddet på persondatasikkerheden."
— Artikel 34, stk. 1, forordning (EU) 2016/679 (GDPR)
Hvorfor det betyder noget
Forpligtelser vedrørende anmeldelse af databrud berører enhver organisation, der behandler personoplysninger i forbindelse med politiske annonceringtjenester. For sponsorer, udgivere og udbydere af politiske annonceringtjenester i henhold til forordning 2024/900 betyder dette, at enhver uautoriseret adgang til, tab af eller ændring af personoplysninger, der anvendes til målretning eller annoncelancering, omgående skal anmeldes til den relevante databeskyttelsesmyndighed.
Anmeldelsesvinduet på 72 timer er strengt og begynder fra det tidspunkt, hvor organisationen bliver bekendt med bruddet, ikke når de har afsluttet undersøgelsen af det. Organisationer skal have interne processer til at opdage, undersøge og anmelde brud hurtigt. Manglende anmeldelse kan resultere i bøder på op til 10 millioner EUR eller 2 % af den globale årlige omsætning i henhold til GDPR.
Specifikt for politisk annoncering er brud, der involverer målretningsdata, vælgerprofiler eller politiske præferencer, særligt følsomme. Disse brud kan udsætte enkeltpersoner for manipulation, diskrimination eller gengældelsesmæssig skade, hvilket gør rettidig anmeldelse afgørende for at beskytte demokratiske processer og individuelle rettigheder.
Centrale punkter
- Dataansvarlige skal anmelde til deres tilsynsmyndighed inden for 72 timer efter at være blevet bekendt med et brud, medmindre bruddet er usandsynligt at udgøre en risiko for personers rettigheder og frihedsrettigheder
- Hvis bruddet udgør en høj risiko for enkeltpersoner, skal de underrettes direkte uden unødig forsinkelse
- Anmeldelser skal beskrive brudets karakter, kategorierne og det omtrentlige antal berørte personer og registreringer samt de foranstaltninger, der er truffet for at håndtere det
- Databehandlere skal underrette dataansvarlige øjeblikkeligt ved opdagelse af et brud, så dataansvarlige kan overholde deres egne anmeldelsesfrister
- Organisationer bør opretholde dokumentation af alle brud, herunder dem der ikke anmeldes, for at påvise overholdelse
- Sanktioner for manglende anmeldelse kan nå op på 10 millioner EUR eller 2 % af den globale årlige omsætning, alt efter hvad der er højest
Anmeldelse af databrud vs. gennemsigtighedsmeddelelse
Selvom begge involverer oplysningsforpligtelser, tjener anmeldelse af databrud og gennemsigtighedsmeddelelser forskellige formål. En anmeldelse af databrud er et reaktivt, hændelsesdrevet krav, der udløses, når persondatasikkerheden er kompromitteret. Den skal leveres til tilsynsmyndigheder inden for 72 timer og til berørte personer, når der foreligger høj risiko.
En gennemsigtighedsmeddelelse (såsom den fortrolighedsmeddelelse, der kræves i henhold til artikel 13-14 GDPR, eller gennemsigtighedsmeddelelsen for politisk annoncering i henhold til forordning 2024/900) er en proaktiv, løbende forpligtelse til at informere enkeltpersoner om, hvordan deres data behandles før eller på indsamlingstidspunktet. Gennemsigtighedsmeddelelser er forebyggende og informerende; anmeldelser af brud er afhjælpende og hastende.
| Aspekt | Anmeldelse af databrud | Gennemsigtighedsmeddelelse |
|---|---|---|
| Udløser | Sikkerhedshændelse | Dataindsamling/-behandling |
| Timing | 72 timer (til myndighed) | Før/ved indsamling |
| Målgruppe | Myndighed + berørte personer | Alle registrerede |
| Formål | Hændelsesrespons | Løbende gennemsigtighed |
Relaterede begreber
- Personoplysninger
- Databeskyttelsesmyndighed
- Dataansvarlig
- Databehandler
- GDPR-overholdelse
- Målretningsteknikker
- Sikkerhedsforanstaltninger
- Tilsynsmyndighed
- Fortrolighedsmeddelelse
- Registreredes rettigheder