Når en virksomhet mister kontrollen over personopplysninger, starter klokken raskt. Under GDPR i Storbritannia og EU setter GDPR-reglene for datainnbrudd med 72-timersfristen en streng frist for å varsle tilsynsmyndighetene om hva som har skjedd. For personene hvis data ble eksponert, er disse reglene også viktige, fordi de former hva du får høre, når du får høre det, og hva du bør gjøre videre.

Denne guiden forklarer prosessen i klartekst, både fra virksomhetens side og fra din side.

Når 72-timersklokken starter

72-timersvinduet er bygget rundt én idé: kjennskap. I henhold til artikkel 33 i GDPR må en behandlingsansvarlig varsle relevante tilsynsmyndighet om et personopplysningsbrudd innen 72 timer etter at de ble kjent med det. I Storbritannia er denne myndigheten Information Commissioner's Office (ICO). I EU er det datatilsynsmyndigheten i den relevante medlemsstaten.

To punkter skaper ofte forvirring:

  • Klokken starter ved kjennskap, ikke ved angrepet. Et brudd kan ha skjedd dager eller uker tidligere. Fristen løper fra det tidspunktet organisasjonen har en rimelig grad av sikkerhet for at personopplysninger ble kompromittert.
  • Fristen er ikke en pause for etterforskning. Organisasjoner forventes å handle raskt. Der fullstendige detaljer ennå ikke er tilgjengelige, er den vanlige tilnærmingen å rapportere det som er kjent og gi ytterligere informasjon trinnvis.

Å overse fristen uten rimelig begrunnelse kan i seg selv være et brudd på artikkel 33, noe som utsetter den behandlingsansvarlige for håndhevingstiltak, ifølge juridisk kommentar til regelen.

En praktisk merknad: de 72 timene inkluderer helger og helligdager. Brudd venter ikke på kontortid, så en testet hendelsesresponsplan er viktigere enn gode intensjoner.

Hva virksomheter må fortelle ICO og berørte personer

Å varsle tilsynsmyndigheten og å varsle enkeltpersoner er to separate plikter med ulike utløsere.

Å fortelle ICO. En rapport er generelt påkrevd med mindre bruddet sannsynligvis ikke vil føre til risiko for folks rettigheter og friheter. Varselet bør beskrive bruddets art, kategoriene og omtrentlige antall berørte personer og poster, de sannsynlige konsekvensene, og tiltakene som er iverksatt eller foreslått for å håndtere det. Det bør også inneholde kontaktopplysninger for organisasjonens personvernkontakt.

Å fortelle enkeltpersoner. Når et brudd sannsynligvis vil føre til høy risiko for personer, må organisasjonen også varsle de berørte uten unødig forsinkelse. Denne meldingen bør være skrevet i klart språk og forklare hva som skjedde, hvilke sannsynlige konsekvenser det har, og hvilke tiltak folk kan iverksette for å beskytte seg selv.

Terskelen for å kontakte enkeltpersoner er høyere enn terskelen for å kontakte tilsynsmyndigheten. Stjålne passkopier, helsejournaler eller finansielle opplysninger ligger vanligvis komfortabelt over den. Saker som Deadlock-løsepengeviruslekkasjen av LT Groups passdata viser hvordan identitetsdokumenter kan havne i hendene på kriminelle, noe som er akkurat den typen eksponering som peker mot høy risiko.

Organisasjoner forventes også å føre en intern oversikt over hvert brudd, inkludert de de bestemmer seg for ikke å rapportere, sammen med begrunnelsen.

Hva du bør gjøre hvis dine data er eksponert

Et bruddsvarsel kan føles abstrakt. Her er en konkret sjekkliste du kan gå gjennom samme dag.

  1. Endre det berørte passordet og eventuelle gjenbrukte passord. Hvis det samme passordet beskytter andre kontoer, endre dem også. Bruk et unikt passord for hver tjeneste, ideelt sett lagret i en passordbehandler.
  2. Slå på flerfaktorautentisering. Foretrekk en autentiseringsapp eller en maskinvarenøkkel fremfor tekstmeldinger der det er mulig.
  3. Les varselet nøye. Noter hvilke datatyper som var involvert: kontaktopplysninger, identitetsdokumenter, helse- eller finansopplysninger. Dette forteller deg hvilke risikoer du bør prioritere.
  4. Overvåk kontoene dine. Sjekk bank- og kortutskrifter og vurder en kredittovervåkingstjeneste hvis finansielle data eller identitetsdokumenter var involvert.
  5. Vær skeptisk til uventet kontakt. E-poster, tekstmeldinger eller samtaler som refererer til bruddet kan være ekte, eller de kan være svindel som bruker det som agn.
  6. Send en innsynsforespørsel. Under GDPR i Storbritannia og EU kan du spørre en organisasjon om hvilke personopplysninger den har om deg, og i mange tilfeller hvordan de brukes. Dette hjelper deg å forstå din reelle eksponering og skaper et papirspor.
  7. Kjenn klageveien din. Hvis du føler at selskapet håndterte hendelsen dårlig, kan du ta det opp med ICO i Storbritannia eller din nasjonale datatilsynsmyndighet i EU.

Hvorfor stjålne data driver oppfølgingssvindel

Det opprinnelige bruddet er ofte bare første fase. Stjålne data har videresalgs- og utpresningsverdi, og angripere bruker dem i økende grad til å presse enkeltpersoner direkte.

Dekningen av AnMed-løsepengevirusangrepet og pasientutpresningssvindelen viser hvordan dette fungerer: rapporter antydet at angripere kan ha brukt stjålne pasientdata til å gjennomføre personlige utpresningsforsøk mot personene de tilhørte. Personlige detaljer får en trussel til å føles troverdig, og det er derfor disse meldingene kan være så effektive.

Lekkasjer kan også være offentlige. I tilfellet med ShinyHunters som lekket 8,8 TB stjålne One Medical-data, ble data publisert etter utpresningspress, noe som betyr at hvem som helst potensielt kan få tilgang til dem. Når informasjon først er ute, kan den brukes til phishing, identitetstyveri og målrettet svindel lenge etter at den opprinnelige hendelsen er glemt.

Dette er grunnen til at rask varsling er viktig. Jo før folk vet, jo før kan de låse kontoene sine og gjenkjenne en svindel for det den er. Små organisasjoner er heller ikke unntatt, slik Jaipur-løsepengevirsussaken illustrerer: løsepengevirus diskriminerer ikke etter selskapsstørrelse, og et team uten dedikert sikkerhetspersonale trenger fortsatt en responsplan.

Hva dette betyr for deg

Loven gir deg en rimelig forventning om at en virksomhet vil varsle tilsynsmyndigheten innen 72 timer etter at den ble kjent med et brudd, og varsle deg direkte hvis risikoen for deg er høy. Den garanterer ikke at dataene dine forblir trygge, og den kan ikke reversere en lekkasje. Din egen respons er det som begrenser skaden.

Hvis du driver en virksomhet, behandle 72 timer som en planleggingsbegrensning: vit hvem som bestemmer om et brudd er rapporteringspliktig, hvem som kontakter ICO, og hvordan du raskt ville nå berørte kunder.

Viktige punkter

  • 72-timersperioden starter når en organisasjon blir kjent med et brudd, ikke når det begynte.
  • ICO eller EU-myndigheten må varsles med mindre risikoen for personer er usannsynlig; enkeltpersoner må varsles når risikoen er høy.
  • Endre passord, aktiver flerfaktorautentisering og overvåk kontoene dine så snart du mottar et varsel.
  • Vær forsiktig med alle meldinger som nevner et brudd, siden kriminelle gjenbruker stjålne data til utpresning og phishing.
  • Bruk retten din til å be om dine data for å se hva en organisasjon har.

Å forstå GDPR-reglene for datainnbrudd med 72-timersfristen hjelper deg å vurdere om en virksomhet handler riktig, men din beste beskyttelse er å handle raskt selv. Sikre kontoene dine i dag, vær årvåken for oppfølgingssvindel, og les AnMed- og ShinyHunters-dekningen ovenfor for å se hvordan kompromitterte data misbrukes i praksis.