Protokol for anmeldelse af databrud

Overvejelser

• Dena Textile Productions B.V. lægger vægt på en god sikkerhed for sine (elektroniske) systemer, hvor personoplysninger lagres og behandles.
• Det er umuligt helt at forhindre, at der sker et databrud.
• Dena Textile Productions B.V. er i henhold til den generelle databeskyttelsesforordning (GDPR) forpligtet til at anmelde (alvorlige) databrud til Autoriteit Persoonsgegevens (den hollandske databeskyttelsesmyndighed) og til de berørte personer.
• Dena Textile Productions B.V. ønsker at opfylde sine retlige forpligtelser.
• Dena Textile Productions B.V. har derfor formuleret en politik for at handle så hensigtsmæssigt som muligt, hvis der alligevel sker et databrud.

1. Definition af databrud

Der er tale om et databrud, når der sker et brud på sikkerheden, som utilsigtet eller ulovligt fører til tilintetgørelse, tab, ændring eller uautoriseret videregivelse af eller uautoriseret adgang til data, der er transmitteret, lagret eller på anden måde behandlet.

2. Intern ansvarlig for anmeldelse af databrud

Dena Textile Productions B.V. har udpeget en intern ansvarlig for behandlingen af databrud, som er ansvarlig for anmeldelsen af et databrud. Denne ansvarlige er afdelingen Marketing, med følgende første kontaktperson: Rolf van Eden, telefonnummer +31 (0)318 588 596, e-mailadresse sales@cheffix.eu, herefter benævnt den interne ansvarlige.

3. Intern anmeldelse ved opdagelse af et databrud

Den, der opdager et databrud hos Dena Textile Productions B.V., anmelder dette straks til den interne ansvarlige. Hvis det er muligt, sørger den, der har opdaget databruddet, samtidig for, at de lækkede data straks slettes eller gøres utilgængelige på afstand.

4. Undersøgelse af den interne ansvarlige

Den interne ansvarlige undersøger bl.a.:

• om der er tabt personoplysninger, eller om de kan anvendes ulovligt;
• hvem eller hvilke afdelinger i organisationen der er involveret i databruddet;
• om en databehandler er involveret i hændelsen.

5. Bekæmpelse af databruddet

Den interne ansvarlige stopper databruddet, hvis det stadig er muligt, og træffer desuden de nødvendige foranstaltninger for at bekæmpe databruddet så effektivt som muligt.

6. Fastlæggelse af konsekvenserne af et databrud

Den interne ansvarlige undersøger de mulige konsekvenser af databruddet på baggrund af karakteren og omfanget af de lækkede data og fastlægger, hvilke skadelige følger det kan have for de berørte personer.

7. Medvirken ved videregivelse af oplysninger om databruddet

Den, der opdager/anmelder databruddet, yder fuld medvirken til den interne ansvarlige ved så hurtigt og så godt som muligt at besvare følgende spørgsmål (skriftligt):

• Hvad er der sket? (beskrivelse af hændelsen)
• Skete det utilsigtet, eller er det forårsaget af ond hensigt (f.eks. hackede data)?
• Hvornår skete det? (dato og tidspunkt)
• Hvornår blev det opdaget?
• Hvilke data (registre) er blevet lækket?
• Er dataene krypteret, og i så fald hvordan?
• Kunne dataene slettes eller gøres utilgængelige på afstand, og i så fald, er det sket?
• Hvilke mulige konsekvenser har det for de berørte personer?
• Hvilken/hvilke persongruppe(r) er berørt?
• Hvor mange personer er (cirka) berørt?
• Er der også data om personer i andre EU-lande, der er berørt af databruddet?
• Kunne der allerede træffes tekniske og/eller organisatoriske foranstaltninger som følge af hændelsen?

8. Personalets tilgængelighed efter opdagelse af databruddet

Den ansvarlige for den afdeling, hvor databruddet er sket, samt den, der opdagede databruddet, og alle, som i kraft af deres funktion eller viden er i stand til at træffe organisatoriske og/eller tekniske foranstaltninger for at begrænse konsekvenserne af databruddet, står til rådighed i de første 24 timer efter opdagelsen af databruddet for drøftelser med den interne ansvarlige eller eventuelt af denne udpegede eksperter og for, om nødvendigt, at udføre de opgaver, der er pålagt som følge af databruddet.

9. Beslutning om anmeldelse af databrud

Den interne ansvarlige træffer så hurtigt som muligt, og under alle omstændigheder inden for 60 timer efter opdagelsen af databruddet, og i samråd med den ansvarlige for den afdeling, hvor databruddet er opdaget, og/eller de af denne udpegede eksperter, en beslutning om, hvorvidt databruddet skal anmeldes til Autoriteit Persoonsgegevens og/eller de berørte personer. Et databrud anmeldes principielt altid til Autoriteit Persoonsgegevens, medmindre det ikke er sandsynligt, at databruddet udgør en risiko for de registreredes rettigheder og frihedsrettigheder. Anmeldelsen af databruddet ledsages af besvarelsen af de spørgsmål, der er beskrevet i punkt 7. Et databrud, der er anmeldt til Autoriteit Persoonsgegevens, anmeldes ligeledes til de berørte personer, hvis det udgør en høj risiko for fysiske personers rettigheder og frihedsrettigheder, medmindre der i mellemtiden er truffet passende foranstaltninger, som har afværget den høje risiko.

10. Anmeldelse af databrud til Autoriteit Persoonsgegevens og/eller de berørte personer

Den interne ansvarlige sørger om nødvendigt for anmeldelsen til Autoriteit Persoonsgegevens og/eller de berørte personer. Anmeldelsen sker så hurtigt som muligt efter opdagelsen og senest inden for 60 timer efter opdagelsen af databruddet. Ingen anden medarbejder end den interne ansvarlige må selv anmelde det (mulige) databrud til Autoriteit Persoonsgegevens og/eller de berørte personer. Hvis en medarbejder er uenig i den interne ansvarliges beslutning om, hvorvidt databruddet skal anmeldes til Autoriteit Persoonsgegevens og/eller de berørte personer, kan han/hun fremsætte sine indvendinger over for direktionen. Hvis det anmodes om, yder en medarbejder fuld medvirken til den ansvarlige for at kunne informere de berørte personer i henhold til artikel 34 i GDPR om databruddet.

11. Konsekvenser af anmeldelse af databrud

Hvis databruddet har negative konsekvenser for de berørte personer, gør den interne ansvarlige alt for at begrænse disse konsekvenser mest muligt. Afhængigt af databruddets karakter og omfang for de berørte personer bestemmer den interne ansvarlige:

• på hvilken måde de berørte personer informeres (herunder under alle omstændigheder meddelelse om, hvilke typer personoplysninger der er berørt, hvilke mulige konsekvenser der er, hvilke foranstaltninger Dena Textile Productions B.V. træffer, og hvordan de berørte personer selv kan forhindre eller begrænse skaden);
• hvilken efterbehandling de berørte personer får;
• hvilke handlinger der er nødvendige i organisationens interesse.

Hvis der er sket et databrud, uanset om det er anmeldt eller ej, træffes så hurtigt som muligt passende tekniske og/eller organisatoriske foranstaltninger for at forhindre fremtidige lignende databrud.

12. Opbevaring af register over databrud

Den interne ansvarlige fører et register over alle databrud, hvor alle oplysninger om databruddet registreres, herunder:

• En beskrivelse af hændelsen.
• Dato og tidspunkt for databruddet.
• Dato og tidspunkt for opdagelsen af databruddet.
• Beskrivelse af typen af lækkede personoplysninger.
• Beskrivelse af kategorien/kategorierne af berørte personer.
• Beskrivelse af antallet af berørte personer (cirka).
• Om der er lækket data om personer i andre EU-lande.
• Om hændelsen er anmeldt til Autoriteit Persoonsgegevens, og i så fald dato og tidspunkt for anmeldelsen.
• Om hændelsen er anmeldt til de berørte personer, og i så fald dato og tidspunkt for anmeldelsen.
• På hvilken måde de berørte personer er blevet informeret.
• Konsekvenserne af databruddet, med angivelse af dato og tidspunkt, hvis muligt.
• Hvilke tekniske og/eller organisatoriske foranstaltninger der er truffet efter databruddet, med angivelse af dato og tidspunkt.

Dette protokol for anmeldelse af databrud er udarbejdet den 1. maj 2020.