Når skal et brudd på personopplysningssikkerheten meldes, og til hvem?

• EU

  Artikkel 33: 72 timer til tilsynsmyndigheten fra kunnskap, med begrunnelse ved forsinkelse. Artikkel 34: varsel til de enkelte uten ugrunnet opphold ved høy risiko.

  Regulation (EU) 2016/679 · Europeiska unionens publikationsbyrå

• USA

  California krever varsel til berørte innbyggere så raskt som mulig uten urimelig forsinkelse, og melding til justisministeren over 500 berørte.

  Cal. Civ. Code § 1798.82 · California Legislative Counsel

• Sverige

  Melding går til den svenske personvernmyndigheten via skjema, og internt avviksregister forventes ved tilsyn.

  IMY, anmälan av personuppgiftsincident · Integritetsskyddsmyndigheten

• Norge

  Melding går til Datatilsynet innen de samme 72 timene, gjennom tilsynets meldevei.

  Datatilsynet, avviksmelding · Datatilsynet

• Tyskland

  Melding går til kompetent delstatsmyndighet, eller til den føderale myndigheten for føderale organer og telekom.

  BfDI, Meldung nach Art. 33 DSGVO · Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit

• Artikkel 33 nr. 1: melding uten ugrunnet opphold og, når mulig, innen 72 timer fra kunnskap.
• Artikkel 33 nr. 5: den ansvarlige dokumenterer hvert brudd, med fakta, virkninger og tiltak.
• Artikkel 34 nr. 3: ingen varsling av de enkelte når opplysningene var kryptert eller risikoen er fjernet i ettertid.

Fastsett tidspunktet for kunnskap skriftlig, for klokken starter der og ikke ved hendelsen, og hold internt register også for avvik som ikke meldes.

Et varsel skal beskrive bruddet i klarspråk, oppgi et kontaktpunkt og angi sannsynlige følger og tiltak.

Les 72-timersplikten sammen med tidligvarselet på 24 timer i NIS2, for en virksomhet omfattet av begge melder to ganger, på to klokker.

Alle globale spørsmål