I personvernsammenheng er et databrudd en sikkerhetshendelse som fører til at personopplysninger blir tilgjengelige for uvedkommende, endret, slettet eller utilgjengelige. Det juridiske begrepet er brudd på personopplysningssikkerheten. Har du fått beskjed om et brudd, bør du først kontrollere varselet og finne ut hvilke opplysninger som er berørt.
Et databrudd trenger ikke være hacking
Datatilsynet skiller mellom tre typer brudd. Flere kan forekomme samtidig, og hendelsen kan skyldes både et angrep og en intern feil.
| Type brudd | Hva som rammes | Illustrerende eksempel |
|---|---|---|
| Konfidensialitet | Hvem som får se opplysningene | En e-post med personopplysninger sendes til feil mottaker. |
| Integritet | Om opplysningene er riktige og uendret | En uvedkommende endrer informasjon i et kunderegister. |
| Tilgjengelighet | Om autoriserte brukere har tilgang | Personopplysninger slettes utilsiktet og er ikke lenger tilgjengelige. |
Eksemplene viser kategoriene, ikke dokumenterte enkelthendelser. En sikkerhetshendelse som bare rammer andre opplysninger, er ikke et personopplysningsbrudd som skal meldes til Datatilsynet. Se tilsynets forklaring av begrepet.
Hvis du har fått et varsel om dine opplysninger
- Kontroller at varselet er ekte. Åpne tjenestens app eller skriv inn den kjente nettadressen selv. Be kundeservice bekrefte hendelsen hvis du er usikker.
- Finn ut hva som er berørt. Spør om det gjelder kontaktinformasjon, innloggingsopplysninger, betalingsinformasjon eller andre personopplysninger.
- Bytt berørte passord. Har du brukt samme passord andre steder, bytt også der. Velg forskjellige passord for forskjellige kontoer.
- Aktiver sterkere innlogging. Bruk tofaktorautentisering der tjenesten tilbyr det.
- Reager på mulig misbruk. Kontakt banken raskt ved mistenkelig pengebruk. Ta vare på varselet og kommunikasjonen, og anmeld datakriminalitet.
Datatilsynet beskriver hvordan lekkede brukernavn og passord kan brukes til å angripe andre kontoer når innloggingsopplysninger er gjenbrukt. Tofaktorautentisering gjør angrep vanskeligere, men gir ikke full beskyttelse mot nettfiske.
Ikke oppgi passord eller gjennomfør en betaling bare fordi en melding hevder å handle om et databrudd. Les hvordan du kan gjenkjenne phishing, og kontroller saken gjennom tjenestens vanlige kontaktkanal.
Hvem skal melde bruddet – og når?
Det er den behandlingsansvarlige virksomheten som vurderer og melder personopplysningsbruddet. En databehandler melder som utgangspunkt til den behandlingsansvarlige. Privatpersoner som er berørt, overtar ikke virksomhetens meldeansvar.
Hovedregelen er melding uten ugrunnet opphold og, når det er mulig, senest 72 timer etter at virksomheten har fått kjennskap til bruddet. Unntaket gjelder når bruddet sannsynligvis ikke vil medføre risiko for de berørtes rettigheter og friheter. Vurderingen handler om konsekvensene for mennesker, ikke bare om systemet er kommet i drift igjen.
Ved sannsynlig høy risiko skal de berørte også informeres uten ugrunnet opphold. Dette er en egen plikt, ikke en ny 72-timersfrist. Det finnes unntak, blant annet når beskyttelsestiltak gjør opplysningene uleselige for uvedkommende eller etterfølgende tiltak fjerner den høye risikoen.
Se Datatilsynets forklaring av meldeplikten og tilsynets gjennomgang av frister og varsling.
Handlingsplan for virksomheten
- Begrens hendelsen. Ta i bruk beredskapsplanen og involver sikkerhetsansvarlige og eventuelt personvernombudet. Hent faglig hjelp hvis nødvendig.
- Kartlegg omfanget. Undersøk systemer og logger, hvilke opplysninger som er rammet, hvem som er berørt, og hvilke konsekvenser hendelsen kan få.
- Vurder melding og informasjon. Skill vurderingen av melding til Datatilsynet fra vurderingen av informasjon til de berørte.
- Dokumenter og følg opp. Noter hendelsesforløpet, usikkerhetene, risikovurderingene og tiltakene. Dokumenter også begrunnelsen dersom de berørte ikke informeres.
Dere trenger ikke ha full oversikt før første melding. Datatilsynet åpner for trinnvis melding: Gi opplysningene dere har, forklar hva som mangler, og følg opp så snart mer informasjon foreligger. Tilsynet anbefaler å bruke Altinn gjennom siden for melding av personopplysningsbrudd.
En rangering er ikke et sikkerhetsbevis
Når du vurderer hvor du vil opprette konto eller dele personopplysninger, bør du skille kommersiell omtale fra dokumentasjon om sikkerhet. En omtale på Casino Mobil, et kommersielt sammenligningsnettsted i samme nettverk, er ikke en uavhengig bekreftelse på hvordan en tjeneste beskytter personopplysninger eller håndterer databrudd.
Se etter hvem som står bak tjenesten, hva personvernerklæringen forklarer, og hvilken informasjon virksomheten selv gir om hendelsen. Guiden til å vurdere sammenligningssider hjelper deg å skille utvalg og rangering fra dokumentasjon. Flere sikkerhetsveiledninger finnes under Digitalt.
Kilder og videre lesning
- Datatilsynet: hva et personopplysningsbrudd er
- Datatilsynet: hvilke brudd som skal meldes
- Datatilsynet: håndtering av personvern ved digitale angrep
- Datatilsynet: hvordan brudd meldes, og hvordan trinnvis melding følges opp
- Datatilsynet: presentasjon om sikkerhetshendelser, frister og informasjon til berørte