Et brud på persondatasikkerheden, i daglig tale et databrud, er et brud på sikkerheden, der fører til, at personoplysninger går tabt, bliver ødelagt, ændret eller kommer i forkerte hænder. De fleste tænker på hackere, når ordet falder. Datatilsynets vejledning fra maj 2025 er langt bredere. Et systemnedbrud, en pc på afveje, en mappe med for vide adgange og en mail til den forkerte kan alle være brud, også selvom ingen udefra har set noget. Spørgsmålet her kommer før alle andre, for et brud skal altid skrives ned, også når det aldrig når frem til Datatilsynet.
De to betingelser
Art. 4, nr. 12, i databeskyttelsesforordningen definerer bruddet. Datatilsynet læser definitionen som to led.
Det første led er selve sikkerhedsbruddet: noget har afveget fra de foranstaltninger, I har etableret. Det kan være en angriber, der kommer forbi firewallen, eller en medarbejder, der handler imod jeres retningslinjer.
Det andet led er følgen for oplysningerne. Hændelsen skal, ved et uheld eller ulovligt, have ført til tilintetgørelse, tab, ændring, uautoriseret videregivelse eller adgang.
Et par ord i det andet led er værd at læse langsomt. Tab dækker også det midlertidige, altså den adgang, der forsvinder og kommer igen. Adgang dækker også det, der kun har været muligt. Har en person uden lov kunnet åbne oplysningerne, regnes det som uautoriseret adgang, selvom ingen tegn viser, at det er sket.
De tre typer
Vejledningen sorterer brud efter tre risici. Et brud på fortrolighed betyder, at nogen har fået oplysninger, de ikke skulle have. Et brud på integritet betyder, at oplysninger er ændret uden lov eller ved en fejl. Et brud på tilgængelighed betyder, at I har mistet adgangen til oplysningerne eller mistet selve oplysningerne.
Samme hændelse kan ramme alle tre. Den tredje type er den, mange glemmer, for IT-afdelingen kalder det en driftsforstyrrelse, og ingen tænker på persondata.
Det, der ofte overses
Vejledningen har 17 nummererede eksempler, og flere af dem overrasker.
Et nedbrud er et brud (eksempel 9). Selv med en brugbar backup er der tale om et midlertidigt tab, indtil oplysningerne er tilbage. Vejledningen tilføjer, at et kortvarigt udfald uden konsekvens for personerne ikke nødvendigvis er et brud, så varighed og følger skal vurderes.
For bred adgang er et brud (eksempel 13). Ligger lønsedlerne på et fællesdrev, alle kan åbne, er forholdet et brud, også når loggen viser, at ingen har kigget. Loggen påvirker vurderingen af risikoen, mens bruddet består.
En sårbarhed kan være et brud (eksempel 5). En kendt fejl i en firewall, der er nem at udnytte, tæller med, uanset om nogen har brugt den.
Papir tæller (eksempel 7). Et stjålet register er et brud på samme måde som en stjålet fil.
En medarbejder med lovlig adgang kan begå bruddet (eksempel 11). Slår vedkommende oplysninger op uden arbejdsbetinget grund og sender dem videre, er adgangen brugt ulovligt.
Fejl mellem systemer tæller (eksempel 16). Hvis en integration overfører forkerte oplysninger, er det en ændring af data, som kan ramme personerne hårdt.
Mail uden kryptering over internettet er med som eksempel 15. Mail til forkert modtager har sin egen gennemgang.
Det, der ikke er et brud
Afgrænsningen er lige så nyttig, for den sparer jer for at skrive alt ned som brud.
Forgæves angreb er ikke brud (eksempel 4). Mislykkede login og phishing, der ikke giver adgang, er informationssikkerhedshændelser. Lykkes forsøget, er det en anden sag.
Planlagt nedetid er ikke et brud (eksempel 10), for I har selv valgt at lukke systemet.
Kraftig kryptering kan afgøre sagen (eksempel 1). Bliver en pc stjålet, og er data sikret med en stærk kryptering, som tyven ikke kan komme uden om, regnes det ikke som et brud. Er krypteringen svag, eller var nøglen dårligt beskyttet, skal det vurderes nærmere. Hvis pc’en samtidig rummede de eneste eksemplarer af data, er tabet derimod et brud (eksempel 2).
En bevidst handling er som klart udgangspunkt heller ikke et brud. Videregiver virksomheden oplysninger i den tro, at det er lovligt, og viser det sig forkert, kan handlingen være ulovlig, men den hører ikke under reglerne om brud. Det afgørende er, om medarbejderne fulgte jeres arbejdsgange.
Eksempler på brud på persondatasikkerheden
Datatilsynet offentliggjorde i januar 2024 en liste over ti typiske brud. Den er en god øvelse til et ledelsesmøde. Listen tæller bl.a. fletning af forkert adressat i udgående post, fejl ved sagsbehandling, manglende sletning i digitale værktøjer, auto-complete, tab af ukrypterede enheder, for bred adgang til netværksdrev, oplysninger gemt i skabeloner og ransomware. Gennemgå listen og spørg, hvor det kunne ske hos jer.
Hvad I gør, når I er i tvivl
Bliver hændelsen vurderet som et brud, er der to spørgsmål til. Det første er, om bruddet skal anmeldes. Det andet er, hvordan I skriver det ned. Pligten til at dokumentere gælder alle brud, jf. art. 33, stk. 5.
En tænkt situation: Økonomisystemet er nede en formiddag, og IT får det op igen fra backup. IT lukker sagen som drift. Ingen spørger, om der lå personoplysninger, eller om data fra morgenen er væk. Det spørgsmål skal stilles hver gang, og derfor skal IT og leverandøren kende betingelserne.
Tvivl er også en grund til at spørge DPO’en, der kan rådgive om vurderingen. Beslutningen hører til hos jer som dataansvarlig, altså den virksomhed, der bestemmer, hvad oplysningerne bruges til.
Det skal I lade være med
- At kalde et nedbrud for drift · spørg altid, om personoplysninger er ramt.
- At afvise et brud på grund af loggen · en for bred adgang er et brud, selvom ingen brugte den.
- At stole på krypteringen uden kontrol · styrken og nøglen skal undersøges.
- At lade leverandøren afgøre det alene · vurderingen er jeres.
Det skal I kræve af den eksterne
- ☐ En kort definition af brud, skrevet til medarbejdere og IT.
- ☐ En gennemgang af Datatilsynets ti typiske brud op imod jeres forhold.
- ☐ Rådgivning om afgrænsningen, når hændelsen ligger i et gråt område.
- ☐ Kontrol af, at driftshændelser også bliver set med persondataøjne.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 4, nr. 12, og art. 33, stk. 5.
- Datatilsynet: Håndtering af brud på persondatasikkerheden, maj 2025: afsnit 2.1 til 2.3 og eksempel 1 til 17.
- Datatilsynet: De 10 typiske brud, 8. januar 2024.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Brudloggen · Procedure ved brud
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
