Når en virksomhed mister kontrollen over personoplysninger, begynder uret hurtigt at tikke. I henhold til UK og EU's GDPR fastsætter GDPR-databrud: 72-timersreglerne en fast frist for at fortælle tilsynsmyndighederne, hvad der er sket. For de personer, hvis data blev eksponeret, betyder disse regler også noget, fordi de former, hvad du hører, hvornår du hører det, og hvad du bør gøre næste gang.

Denne guide forklarer processen i et letforståeligt sprog, fra virksomhedens side og fra din side.

Hvornår starter 72-timersuret

72-timersvinduet er bygget op omkring en enkelt idé: kendskab. I henhold til artikel 33 i GDPR skal en dataansvarlig anmelde et brud på personoplysninger til den relevante tilsynsmyndighed inden for 72 timer efter at være blevet bekendt med det. I Storbritannien er denne myndighed Information Commissioner's Office (ICO). I EU er det databeskyttelsesmyndigheden i den relevante medlemsstat.

To punkter skaber ofte forvirring:

  • Uret starter ved kendskab, ikke ved angrebet. Et brud kan være sket dage eller uger tidligere. Fristen løber fra det tidspunkt, hvor organisationen har en rimelig grad af sikkerhed for, at personoplysninger er kompromitteret.
  • Fristen er ikke en pause til undersøgelse. Organisationer forventes at handle hurtigt. Hvor fuldstændige detaljer endnu ikke er tilgængelige, er den sædvanlige tilgang at rapportere, hvad der er kendt, og give yderligere oplysninger i etaper.

At misse fristen uden en rimelig begrundelse kan i sig selv være et brud på artikel 33, hvilket udsætter den dataansvarlige for håndhævelsesforanstaltninger, ifølge juridisk kommentar til reglen.

En praktisk bemærkning: de 72 timer inkluderer weekender og helligdage. Databrud venter ikke på kontortid, så en testet plan for håndtering af hændelser betyder mere end en god intention.

Hvad virksomheder skal fortælle ICO og berørte personer

At underrette tilsynsmyndigheden og at underrette enkeltpersoner er to separate forpligtelser med forskellige udløsende betingelser.

At fortælle ICO. En anmeldelse er generelt påkrævet, medmindre bruddet sandsynligvis ikke vil resultere i en risiko for folks rettigheder og friheder. Anmeldelsen bør beskrive bruddets karakter, kategorierne og de omtrentlige antal berørte personer og registreringer, de sandsynlige konsekvenser og de foranstaltninger, der er truffet eller foreslået for at håndtere det. Den bør også indeholde kontaktoplysninger på organisationens databeskyttelseskontakt.

At fortælle enkeltpersoner. Når et brud sandsynligvis vil resultere i en høj risiko for personer, skal organisationen også underrette de berørte uden unødig forsinkelse. Denne meddelelse bør være skrevet i et klart sprog og forklare, hvad der skete, hvilke sandsynlige konsekvenser der er, og hvilke skridt folk kan tage for at beskytte sig selv.

Tærsklen for at kontakte enkeltpersoner er højere end tærsklen for at kontakte tilsynsmyndigheden. Stjålne pasScanninger, sundhedsjournaler eller finansielle oplysninger ligger typisk komfortabelt over den. Sager som Deadlock-ransomware-lækagen af LT Groups pasdata viser, hvordan identitetsdokumenter kan ende i hænderne på kriminelle, hvilket netop er den slags eksponering, der peger på høj risiko.

Organisationer forventes også at føre en intern registrering af hvert brud, herunder dem de beslutter ikke at anmelde, sammen med begrundelsen.

Hvad du bør gøre, hvis dine data er eksponeret

En underretning om databrud kan føles abstrakt. Her er en konkret tjekliste, du kan gennemgå samme dag.

  1. Skift den berørte adgangskode og eventuelle genbrugte. Hvis den samme adgangskode beskytter andre konti, skal du også skifte dem. Brug en unik adgangskode til hver tjeneste, ideelt set gemt i en adgangskodeadministrator.
  2. Slå multifaktor-godkendelse til. Foretræk en autentificeringsapp eller en hardwarenøgle frem for sms-beskeder, hvor det er muligt.
  3. Læs underretningen omhyggeligt. Noter, hvilke datatyper der var involveret: kontaktoplysninger, identitetsdokumenter, sundheds- eller finansielle oplysninger. Dette fortæller dig, hvilke risici du skal prioritere.
  4. Hold øje med dine konti. Tjek bank- og kreditkortudtog og overvej en kreditovervågningstjeneste, hvis finansielle data eller identitetsdokumenter var involveret.
  5. Vær skeptisk over for uventet kontakt. E-mails, sms'er eller opkald, der henviser til bruddet, kan være ægte, eller de kan være svindel, der bruger det som lokkemad.
  6. Indsend en anmodning om indsigt. I henhold til UK og EU's GDPR kan du spørge en organisation, hvilke personoplysninger den har om dig, og i mange tilfælde hvordan de bruges. Dette hjælper dig med at forstå din reelle eksponering og skaber et spor.
  7. Kend din klagevej. Hvis du føler, at virksomheden håndterede hændelsen dårligt, kan du rejse det med ICO i Storbritannien eller din nationale databeskyttelsesmyndighed i EU.

Hvorfor stjålne data driver opfølgende svindel

Det oprindelige brud er ofte kun første fase. Stjålne data har videresalgs- og afpresningsværdi, og angribere bruger i stigende grad dem til at lægge direkte pres på enkeltpersoner.

Dækningen af AnMed-ransomwareangrebet og patientafpresningssvindlen viser, hvordan dette fungerer: rapporter antydede, at angribere muligvis havde brugt stjålne patientdata til at gennemføre personlige afpresningsforsøg mod de personer, dataene tilhørte. Personlige oplysninger får en trussel til at føles troværdig, hvilket er grunden til, at disse beskeder kan være så effektive.

Lækager kan også være offentlige. I tilfældet med ShinyHunters, der lækkede 8,8 TB stjålne One Medical-data, blev data offentliggjort efter afpresningspres, hvilket betyder, at enhver potentielt kunne få adgang til dem. Når information først er ude, kan den bruges til phishing, identitetssvindel og målrettet svindel længe efter, at den oprindelige hændelse er glemt.

Det er derfor, hurtig underretning er vigtig. Jo før folk ved det, jo før kan de låse deres konti og genkende en svindel for, hvad den er. Små organisationer er heller ikke undtaget, som Jaipur-ransomwaresagen illustrerer: ransomware diskriminerer ikke efter virksomhedsstørrelse, og et team uden dedikeret sikkerhedspersonale har stadig brug for en beredskabsplan.

Hvad det betyder for dig

Loven giver dig en rimelig forventning om, at en virksomhed vil underrette tilsynsmyndigheden inden for 72 timer efter at være blevet bekendt med et brud, og fortælle dig det direkte, hvis risikoen for dig er høj. Den garanterer ikke, at dine data forbliver sikre, og den kan ikke gøre en lækage ugjort. Din egen reaktion er det, der begrænser skaden.

Hvis du driver en virksomhed, skal du behandle 72 timer som en planlægningsbegrænsning: vid, hvem der beslutter, om et brud er anmeldelsespligtigt, hvem der kontakter ICO, og hvordan du hurtigt ville nå berørte kunder.

Vigtige pointer

  • 72-timersperioden starter, når en organisation bliver bekendt med et brud, ikke når det begyndte.
  • ICO eller EU-myndigheden skal underrettes, medmindre risikoen for personer er usandsynlig; enkeltpersoner skal underrettes, når risikoen er høj.
  • Skift adgangskoder, aktivér multifaktor-godkendelse, og overvåg dine konti, så snart du modtager en underretning.
  • Behandl enhver besked, der nævner et brud, med forsigtighed, da kriminelle genbruger stjålne data til afpresning og phishing.
  • Brug din ret til at anmode om dine data for at se, hvad en organisation har.

At forstå GDPR-databrud: 72-timersreglerne hjælper dig med at vurdere, om en virksomhed handler korrekt, men din bedste beskyttelse er selv at handle hurtigt. Sikr dine konti i dag, vær opmærksom på opfølgende svindel, og læs dækningen af AnMed og ShinyHunters ovenfor for at se, hvordan kompromitterede data misbruges i praksis.