Protokoll för anmälningsplikt vid dataläckor

Överväganden

  • Dena Textile Productions B.V. lägger stor vikt vid en god säkerhet för sina (elektroniska) system där personuppgifter lagras och behandlas.
  • Det går aldrig helt att förhindra att en dataläcka uppstår.
  • Dena Textile Productions B.V. är enligt den allmänna dataskyddsförordningen (GDPR/AVG) skyldigt att anmäla (allvarliga) dataläckor till den nederländska dataskyddsmyndigheten (Autoriteit Persoonsgegevens) och till de berörda personerna.
  • Dena Textile Productions B.V. önskar uppfylla sina lagstadgade skyldigheter.
  • Dena Textile Productions B.V. har därför formulerat en policy för att agera så adekvat som möjligt om en dataläcka trots allt skulle inträffa.

1. Definition av dataläcka

Det föreligger en dataläcka när ett säkerhetsintrång sker som oavsiktligt eller på olagligt sätt leder till förstörelse, förlust, ändring eller obehörig vidarebefordran av eller obehörig åtkomst till överförda, lagrade eller på annat sätt behandlade uppgifter.

2. Intern ansvarig för anmälan av dataläckor

Dena Textile Productions B.V. har utsett en intern ansvarig för behandlingen av dataläckor som ansvarar för anmälan av en dataläcka. Denna ansvariga är avdelningen Marknadsföring, med följande första kontaktperson: Rolf van Eden, telefonnummer +31 (0)318 588 596, e-postadress sales@cheffix.eu, nedan kallad den interna ansvariga.

3. Intern anmälan vid upptäckt av en dataläcka

Den som upptäcker en dataläcka hos Dena Textile Productions B.V. anmäler detta omedelbart till den interna ansvariga. Om möjligt ser den som upptäckt läckan samtidigt till att de läckta uppgifterna omedelbart raderas på distans eller görs otillgängliga.

4. Utredning av den interna ansvariga

Den interna ansvariga utreder bland annat:

  • om personuppgifter har gått förlorade eller kan användas på olagligt sätt;
  • vilka personer eller avdelningar inom organisationen som är inblandade i dataläckan;
  • om en personuppgiftsbiträde är inblandat i incidenten.

5. Åtgärder mot dataläckan

Den interna ansvariga stoppar dataläckan om det fortfarande är möjligt och vidtar vidare nödvändiga åtgärder för att bekämpa dataläckan så väl som möjligt.

6. Fastställande av konsekvenserna av en dataläcka

Den interna ansvariga undersöker de möjliga konsekvenserna av dataläckan utifrån typ och omfattning av de uppgifter som läckt och fastställer vilka negativa följder det kan få för de berörda personerna.

7. Medverkan vid utlämnande av uppgifter om dataläckan

Den som upptäckt/anmält dataläckan ger all medverkan till den interna ansvariga genom att så snabbt och så väl som möjligt svara (skriftligen) på följande frågor:

  • Vad har hänt? (beskrivning av incidenten)
  • Skedde det av misstag eller orsakades det av ont uppsåt (t.ex. hackade uppgifter)?
  • När hände det? (datum och klockslag)
  • När upptäcktes det?
  • Vilka uppgifter (register) har läckt?
  • Är uppgifterna krypterade, och i så fall hur?
  • Kunde uppgifterna raderas på distans eller göras otillgängliga, och i så fall, har det skett?
  • Vilka är de möjliga konsekvenserna för de berörda personerna?
  • Vilken/vilka grupper av personer har drabbats?
  • Hur många personer har drabbats (ungefärligt)?
  • Har även uppgifter om personer i andra EU-länder berörts av dataläckan?
  • Kunde några tekniska och/eller organisatoriska åtgärder redan vidtas med anledning av incidenten?

8. Personalens tillgänglighet efter upptäckt av dataläcka

Den ansvariga för den avdelning där dataläckan skett, liksom den som upptäckt dataläckan och alla som utifrån sin funktion eller kunskap kan vidta organisatoriska och/eller tekniska åtgärder för att begränsa följderna av dataläckan, håller sig tillgängliga under de första 24 timmarna efter upptäckten för samråd med den interna ansvariga, eller vid behov med experter som denne utsett, samt för att vid behov utföra uppdragna arbetsuppgifter till följd av dataläckan.

9. Beslut om anmälan av dataläckor

Den interna ansvariga beslutar så snart som möjligt, dock senast inom 60 timmar efter upptäckten av dataläckan, efter samråd eller inte med den ansvariga för avdelningen där dataläckan upptäcktes och/eller med experter som denne utsett, om dataläckan ska anmälas till dataskyddsmyndigheten (Autoriteit Persoonsgegevens) och/eller till de berörda personerna. En dataläcka anmäls i princip alltid till dataskyddsmyndigheten, såvida det inte är osannolikt att dataläckan medför en risk för de berördas rättigheter och friheter. Anmälan av dataläckan åtföljs av svar på de frågor som anges i punkt 7. En dataläcka som anmälts till dataskyddsmyndigheten anmäls även till de berörda personerna om den medför en hög risk för fysiska personers rättigheter och friheter, såvida inte lämpliga åtgärder redan vidtagits som avvärjt den höga risken.

10. Anmälan av dataläckor till dataskyddsmyndigheten och/eller berörda personer

Den interna ansvariga ser vid behov till att anmälan görs till dataskyddsmyndigheten och/eller den/de berörda personerna. Anmälan sker så snart som möjligt efter upptäckten och senast inom 60 timmar efter upptäckten av dataläckan. Ingen annan anställd än den interna ansvariga får själv anmäla den (eventuella) dataläckan till dataskyddsmyndigheten och/eller den/de berörda personerna. Om en anställd inte håller med om den interna ansvariges beslut om huruvida dataläckan ska anmälas till dataskyddsmyndigheten och/eller den/de berörda personerna, kan han framföra sina invändningar till styrelsen. Om det begärs, lämnar en anställd all medverkan till den ansvariga för att de drabbade personerna i enlighet med artikel 34 GDPR (AVG) ska kunna informeras om dataläckan.

11. Följder av anmälan av dataläckor

Om dataläckan får negativa följder för berörda personer gör den interna ansvariga allt för att begränsa dessa följder så mycket som möjligt. Beroende på dataläckans typ och omfattning för de berörda bestämmer den interna ansvariga:

  • på vilket sätt de berörda personerna ska informeras (där det under alla omständigheter ska meddelas vilka typer av personuppgifter som berörs, vilka de möjliga följderna är, vilka åtgärder Dena Textile Productions B.V. vidtar och på vilket sätt de berörda personerna själva kan förhindra eller begränsa skadan);
  • vilken uppföljning de berörda personerna ska få;
  • vilka åtgärder som är nödvändiga i organisationens intresse.

Om en dataläcka har inträffat, oavsett om den har anmälts eller inte, vidtas så snart som möjligt adekvata tekniska och/eller organisatoriska åtgärder för att förhindra framtida liknande dataläckor.

12. Förande av register över dataläckor

Den interna ansvariga för ett register över alla dataläckor, där alla uppgifter kring dataläckan registreras, såsom:

  • En beskrivning av incidenten.
  • Datum och klockslag för dataläckan.
  • Datum och klockslag för upptäckten av dataläckan.
  • Beskrivning av typen av läckta personuppgifter.
  • Beskrivning av kategorin/kategorierna av berörda personer som drabbats.
  • Beskrivning av antalet berörda personer (ungefärligt).
  • Om uppgifter om personer i andra EU-länder har läckt.
  • Om incidenten har anmälts till dataskyddsmyndigheten och i så fall datum och klockslag för anmälan.
  • Om incidenten har anmälts till de berörda personerna och i så fall datum och klockslag för anmälan.
  • På vilket sätt de berörda personerna har informerats.
  • Dataläckans följder, med angivande av datum och klockslag där så är möjligt.
  • Vilka tekniska och/eller organisatoriska åtgärder som vidtagits efter dataläckan, med angivande av datum och klockslag.

Detta protokoll om anmälningsplikt vid dataläckor upprättades den 1 maj 2020.