Protokoll for meldeplikt ved datalekkasje

Vurderinger

• Dena Textile Productions B.V. legger vekt på god sikkerhet for sine (elektroniske) systemer der personopplysninger lagres og behandles.
• Det er umulig å forhindre fullstendig at et datalekkasje kan skje.
• Dena Textile Productions B.V. er etter personvernforordningen (GDPR) forpliktet til å melde (alvorlige) datalekkasjer til den nederlandske personvernmyndigheten (Autoriteit Persoonsgegevens) og til de berørte personene.
• Dena Textile Productions B.V. ønsker å oppfylle sine lovpålagte forpliktelser.
• Dena Textile Productions B.V. har derfor utarbeidet en policy for å handle så hensiktsmessig som mulig dersom det uventet likevel skulle skje en datalekkasje.

1. Definisjon av datalekkasje

Det foreligger en datalekkasje når et sikkerhetsbrudd skjer som utilsiktet eller på ulovlig måte fører til ødeleggelse, tap, endring eller uautorisert utlevering av, eller uautorisert tilgang til, overførte, lagrede eller på annen måte behandlede data.

2. Intern ansvarlig for melding av datalekkasjer

Dena Textile Productions B.V. har utnevnt en intern ansvarlig for behandling av datalekkasjer, som er ansvarlig for meldingen av en datalekkasje. Denne ansvarlige er avdelingen for Marketing, med følgende første kontaktperson: Rolf van Eden, telefonnummer +31 (0)318 588 596, e-postadresse sales@cheffix.eu, heretter kalt den interne ansvarlige.

3. Intern melding ved oppdagelse av en datalekkasje

Den som oppdager en datalekkasje hos Dena Textile Productions B.V., melder dette umiddelbart til den interne ansvarlige. Dersom det er mulig, sørger den som har oppdaget datalekkasjen samtidig for at de lekkede dataene slettes eller gjøres utilgjengelige på avstand.

4. Undersøkelse av den interne ansvarlige

Den interne ansvarlige undersøker blant annet:

• om personopplysninger har gått tapt eller kan misbrukes;
• hvem eller hvilke avdelinger i organisasjonen som er involvert i datalekkasjen;
• om en databehandler er involvert i hendelsen.

5. Begrensning av datalekkasjen

Den interne ansvarlige stanser datalekkasjen dersom dette fortsatt er mulig, og treffer videre de nødvendige tiltakene for å begrense datalekkasjen så godt som mulig.

6. Fastsettelse av konsekvensene av en datalekkasje

Den interne ansvarlige undersøker de mulige konsekvensene av datalekkasjen på grunnlag av art og omfang av de lekkede dataene, og fastslår hvilke negative konsekvenser det kan få for de berørte personene.

7. Medvirkning til opplysninger om datalekkasjen

Den som oppdaget/meldte datalekkasjen gir all nødvendig bistand til den interne ansvarlige ved så raskt og så godt som mulig å svare (skriftlig) på følgende spørsmål:

• Hva har skjedd? (beskrivelse av hendelsen)
• Skjedde det utilsiktet, eller var det forårsaket av ond vilje (f.eks. hacking av data)?
• Når skjedde det? (dato og klokkeslett)
• Når ble det oppdaget?
• Hvilke data (registre) er lekket?
• Er dataene kryptert, og i så fall hvordan?
• Kunne dataene slettes eller gjøres utilgjengelige på avstand, og i så fall: er det gjort?
• Hva er de mulige konsekvensene for de berørte personene?
• Hvilken(e) gruppe(r) personer er berørt?
• Hvor mange personer er berørt (omtrentlig)?
• Er det også berørt opplysninger om personer i andre EU-land?
• Kunne det allerede iverksettes tekniske og/eller organisatoriske tiltak som følge av hendelsen?

8. Tilgjengelighet for personell etter oppdagelse av datalekkasje

Ansvarlig leder for avdelingen der datalekkasjen har skjedd, samt den som oppdaget datalekkasjen, og alle som i kraft av sin stilling eller kunnskap er i stand til å iverksette organisatoriske og/eller tekniske tiltak for å begrense konsekvensene av datalekkasjen, holder seg tilgjengelige de første 24 timene etter oppdagelsen for drøftelser med den interne ansvarlige, eventuelt eksperter utpekt av denne, og for å utføre pålagte oppgaver som følge av datalekkasjen når det er nødvendig.

9. Beslutning om melding av datalekkasjer

Den interne ansvarlige avgjør så raskt som mulig, og i alle fall innen 60 timer etter oppdagelsen av datalekkasjen, enten i samråd med ansvarlig leder for avdelingen der datalekkasjen ble oppdaget og/eller eksperter utpekt av denne, eller ikke, om datalekkasjen må meldes til den nederlandske personvernmyndigheten og/eller de berørte personene. En datalekkasje meldes i utgangspunktet alltid til personvernmyndigheten, med mindre det er lite sannsynlig at datalekkasjen medfører en risiko for de berørte personenes rettigheter og friheter. Meldingen av datalekkasjen skal inneholde svar på spørsmålene beskrevet i punkt 7. En datalekkasje som er meldt til personvernmyndigheten, skal også meldes til de berørte personene dersom den medfører en høy risiko for fysiske personers rettigheter og friheter, med mindre det i mellomtiden er truffet egnede tiltak som har fjernet den høye risikoen.

10. Melding av datalekkasjer til personvernmyndigheten og/eller berørte personer

Den interne ansvarlige sørger ved behov for meldingen til personvernmyndigheten og/eller den/de berørte personene. Meldingen skjer så raskt som mulig etter oppdagelsen, og senest innen 60 timer etter oppdagelsen av datalekkasjen. Ingen andre arbeidstakere enn den interne ansvarlige har adgang til selv å melde den (mulige) datalekkasjen til personvernmyndigheten og/eller de berørte personene. Dersom en arbeidstaker er uenig i beslutningen til den interne ansvarlige om å melde eller ikke melde datalekkasjen til personvernmyndigheten og/eller de berørte personene, kan vedkommende fremme sine innvendinger overfor ledelsen. Dersom det kreves, gir en arbeidstaker all nødvendig bistand til den ansvarlige, slik at de berørte personene i samsvar med artikkel 34 i GDPR kan informeres om datalekkasjen.

11. Konsekvenser av melding av datalekkasjer

Dersom datalekkasjen får negative konsekvenser for de berørte personene, gjør den interne ansvarlige alt for å begrense disse konsekvensene mest mulig. Avhengig av datalekkasjens art og omfang for de berørte personene, bestemmer den interne ansvarlige:

• på hvilken måte de berørte personene skal informeres (herunder i alle fall opplysninger om hvilke typer personopplysninger som er berørt, hva de mulige konsekvensene er, hvilke tiltak Dena Textile Productions B.V. iverksetter, og hvordan de berørte personene selv kan forhindre eller begrense skaden);
• hvilken etteroppfølging de berørte personene skal få;
• hvilke tiltak som er nødvendige i organisasjonens interesse.

Dersom det har skjedd en datalekkasje, uavhengig av om den er meldt eller ikke, iverksettes så raskt som mulig egnede tekniske og/eller organisatoriske tiltak for å forhindre lignende datalekkasjer i fremtiden.

12. Oppbevaring av register over datalekkasjer

Den interne ansvarlige fører et register over alle datalekkasjer, der alle opplysninger om datalekkasjen registreres, blant annet:

• En beskrivelse av hendelsen.
• Dato og klokkeslett for datalekkasjen.
• Dato og klokkeslett for oppdagelsen av datalekkasjen.
• Beskrivelse av typen lekkede personopplysninger.
• Beskrivelse av kategorien/kategoriene av berørte personer.
• Beskrivelse av antall berørte personer (omtrentlig).
• Om opplysninger om personer i andre EU-land er lekket.
• Om hendelsen er meldt til personvernmyndigheten, og i så fall dato og klokkeslett for meldingen.
• Om hendelsen er meldt til de berørte personene, og i så fall dato og klokkeslett for meldingen.
• På hvilken måte de berørte personene er informert.
• Konsekvensene av datalekkasjen, med angivelse av dato og klokkeslett der det er mulig.
• Hvilke tekniske og/eller organisatoriske tiltak som er iverksatt etter datalekkasjen, med angivelse av dato og klokkeslett.

Dette protokollet for meldeplikt ved datalekkasjer er utarbeidet 1. mai 2020.