När ett företag förlorar kontrollen över personuppgifter börjar klockan ticka snabbt. Enligt EU:s och Storbritanniens GDPR sätter GDPR-reglerna för dataintrång inom 72 timmar en fast tidsfrist för att informera tillsynsmyndigheterna om vad som hänt. För de personer vars uppgifter exponerats spelar reglerna också roll, eftersom de formar vad du får höra, när du får höra det och vad du bör göra härnäst.

Den här guiden förklarar processen på klarspråk, både från företagets sida och från din.

När 72-timmarsklockan startar

72-timmarsfönstret är uppbyggt kring en enda idé: kännedom. Enligt artikel 33 i GDPR måste en personuppgiftsansvarig anmäla ett personuppgiftsincident till den relevanta tillsynsmyndigheten inom 72 timmar från det att den fick kännedom om den. I Storbritannien är den myndigheten Information Commissioner's Office (ICO). I EU är det dataskyddsmyndigheten i den relevanta medlemsstaten.

Två punkter orsakar ofta förvirring:

  • Klockan startar vid kännedom, inte vid attacken. En incident kan ha inträffat dagar eller veckor tidigare. Tidsfristen löper från det att organisationen har en rimlig grad av säkerhet att personuppgifter har komprometterats.
  • Tidsfristen är inte en paus för utredning. Organisationer förväntas agera snabbt. När fullständiga uppgifter ännu inte finns tillgängliga är det vanliga tillvägagångssättet att rapportera det som är känt och lämna ytterligare information i etapper.

Att missa tidsfristen utan rimlig motivering kan i sig utgöra ett brott mot artikel 33, vilket utsätter den personuppgiftsansvarige för tillsynsåtgärder, enligt juridisk kommentar till regeln.

En praktisk notering: de 72 timmarna inkluderar helger och allmänna helgdagar. Incidenter väntar inte på kontorstid, så en testad incidenthanteringsplan är viktigare än en god avsikt.

Vad företag måste berätta för ICO och drabbade personer

Att underrätta tillsynsmyndigheten och att underrätta enskilda personer är två separata skyldigheter med olika utlösande villkor.

Att underrätta ICO. En rapport krävs i allmänhet om inte incidenten sannolikt inte leder till en risk för människors rättigheter och friheter. Anmälan bör beskriva incidentens art, kategorierna och de ungefärliga antalen drabbade personer och register, de sannolika konsekvenserna samt de åtgärder som vidtagits eller föreslagits för att hantera den. Den bör också innehålla kontaktuppgifter till organisationens dataskyddskontakt.

Att underrätta enskilda personer. När en incident sannolikt leder till en hög risk för människor måste organisationen också informera de drabbade utan onödigt dröjsmål. Meddelandet bör vara skrivet på klarspråk och förklara vad som hänt, vilka de sannolika konsekvenserna är och vilka åtgärder människor kan vidta för att skydda sig.

Tröskeln för att kontakta enskilda personer är högre än tröskeln för att kontakta tillsynsmyndigheten. Stulna passskanningar, hälsoregister eller finansiella uppgifter ligger vanligtvis bekvämt över den. Fall som Deadlock-ransomware-läckan av LT Groups passuppgifter visar hur identitetshandlingar kan hamna i händerna på kriminella, vilket är precis den typ av exponering som pekar på hög risk.

Organisationer förväntas också föra en intern förteckning över varje incident, inklusive de som de beslutar att inte rapportera, tillsammans med motiveringen.

Vad du bör göra om dina uppgifter exponeras

Ett meddelande om dataintrång kan kännas abstrakt. Här är en konkret checklista som du kan gå igenom samma dag.

  1. Byt det drabbade lösenordet och alla återanvända lösenord. Om samma lösenord skyddar andra konton, byt även dem. Använd ett unikt lösenord för varje tjänst, helst lagrat i en lösenordshanterare.
  2. Aktivera flerfaktorsautentisering. Föredra en autentiseringsapp eller en hårdvarunyckel framför textmeddelanden när det är möjligt.
  3. Läs meddelandet noggrant. Notera vilka datatyper som berördes: kontaktuppgifter, identitetshandlingar, hälso- eller finansiell information. Detta berättar vilka risker du bör prioritera.
  4. Håll koll på dina konton. Kontrollera bank- och kontoutdrag och överväg en kreditövervakningstjänst om finansiella uppgifter eller identitetshandlingar berördes.
  5. Var skeptisk mot oväntade kontakter. E-post, sms eller samtal som hänvisar till incidenten kan vara äkta, eller de kan vara bedrägerier som använder den som lockbete.
  6. Gör en begäran om tillgång. Enligt EU:s och Storbritanniens GDPR kan du fråga en organisation vilka personuppgifter den har om dig, och i många fall hur de används. Detta hjälper dig att förstå din verkliga exponering och skapar ett spår.
  7. Känn till din klagomålsväg. Om du anser att företaget hanterade incidenten dåligt kan du lyfta det med ICO i Storbritannien eller din nationella dataskyddsmyndighet i EU.

Varför stulna uppgifter driver på uppföljningsbedrägerier

Det initiala intrånget är ofta bara det första steget. Stulna uppgifter har återförsäljnings- och utpressningsvärde, och angripare använder dem alltmer för att pressa enskilda personer direkt.

Rapporteringen om AnMed-ransomwareattacken och patientutpressningsbedrägeriet visar hur detta fungerar: rapporter tydde på att angripare kan ha använt stulna patientuppgifter för att genomföra personliga utpressningsförsök mot de personer uppgifterna tillhörde. Personuppgifter får ett hot att kännas trovärdigt, vilket är anledningen till att dessa meddelanden kan vara så effektiva.

Läckor kan också vara offentliga. I fallet med ShinyHunters som läckte 8,8 TB stulna One Medical-uppgifter publicerades uppgifterna efter utpressningstryck, vilket innebär att vem som helst potentiellt kunde komma åt dem. När information väl är ute kan den användas för nätfiske, identitetsutgivning och riktat bedrägeri långt efter att den ursprungliga incidenten glömts bort.

Det är därför snabb underrättelse spelar roll. Ju snabbare människor vet, desto snabbare kan de låsa sina konton och känna igen ett bedrägeri för vad det är. Små organisationer är inte heller undantagna, vilket Jaipur-ransomwarefallet illustrerar: ransomware gör ingen skillnad på företagsstorlek, och ett team utan dedikerad säkerhetspersonal behöver ändå en responsplan.

Vad detta innebär för dig

Lagen ger dig en rimlig förväntan att ett företag underrättar tillsynsmyndigheten inom 72 timmar från det att det fick kännedom om en incident, och informerar dig direkt om risken för dig är hög. Den garanterar inte att dina uppgifter förblir säkra, och den kan inte ogöra en läcka. Din egen respons är det som begränsar skadan.

Om du driver ett företag, behandla 72 timmar som en planeringsbegränsning: vet vem som beslutar om en incident är anmälningspliktig, vem som kontaktar ICO och hur du snabbt skulle nå drabbade kunder.

Viktiga slutsatser

  • 72-timmarsperioden startar när en organisation får kännedom om en incident, inte när den började.
  • ICO eller EU-myndigheten måste underrättas om inte risken för människor är osannolik; enskilda personer måste underrättas när risken är hög.
  • Byt lösenord, aktivera flerfaktorsautentisering och övervaka dina konton så snart du får ett meddelande.
  • Behandla alla meddelanden som nämner en incident med försiktighet, eftersom kriminella återanvänder stulna uppgifter för utpressning och nätfiske.
  • Använd din rätt att begära ut dina uppgifter för att se vad en organisation har.

Att förstå GDPR-reglerna för dataintrång inom 72 timmar hjälper dig att bedöma om ett företag agerar korrekt, men ditt bästa skydd är att agera snabbt själv. Säkra dina konton idag, var uppmärksam på uppföljningsbedrägerier och läs rapporteringen om AnMed och ShinyHunters ovan för att se hur läckta uppgifter missbrukas i praktiken.