Et ransomwareangreb, hvor angribere krypterer data og holder dem som gidsel, er et brud på persondatasikkerheden, når personoplysninger er ramt. Det gælder også, hvis I får alt tilbage fra backup, og hvis intet tyder på, at noget er stjålet. Datatilsynet skelner i eksempel 6 i vejledningen fra maj 2025 mellem tre scenarier, og forskellen ligger i, hvad der er sket med oplysningerne, og hvad I kan bevise. Denne artikel holder sig til vurderingen efter databeskyttelsesreglerne. Ledelsens beslutninger under selve angrebet står i de første timer efter en hændelse.
Tre scenarier
Kryptering uden læk. Skadelig software har krypteret oplysningerne uden menneskelig indgriben, og det kan dokumenteres, fx via logs, at ingen har haft adgang, og at intet er trukket ud. Det er stadig et brud. Krypteringen er en ændring af data, og oplysningerne er midlertidigt tabt, indtil backuppen er taget i brug. Det er et brud på integritet og tilgængelighed.
Læk og kryptering. Oplysninger er trukket ud og gjort tilgængelige for uvedkommende, før krypteringen kørte. Her er der ud over ændring og tab sket ulovlig, uautoriseret adgang, så fortroligheden er også brudt.
Ødelæggelse uden backup. Oplysninger er ødelagt, og backuppen kan ikke genskabe dem. Det er ulovlig tilintetgørelse og et brud på tilgængeligheden. For dem, oplysningerne handler om, kan det være alvorligt, hvis en sag, en journal eller en lønhistorik er væk. Kravet om, at data kan genskabes, står i art. 32.
Ransomware står også som det tiende punkt på Datatilsynets liste over typiske brud fra januar 2024.
Det svære spørgsmål: blev der taget noget?
Scenarierne forudsætter, at I ved, hvilket I står i. Det gør I sjældent de første dage. Kryptering sætter sig på filerne og er synlig med det samme. Et udtræk sker stille, måske flere uger tidligere.
Vejledningens eksempel forudsætter, at fraværet af adgang kan dokumenteres. Har I den dokumentation, kan I placere jer i det første scenarie. Har I den ikke, gælder det almindelige udgangspunkt: manglende viden om, hvem der har haft adgang, øger den mulige risiko, og I bør tage afsæt i det værst tænkelige. Bevisbyrden ligger hos jer. Et angreb, hvor logs er krypteret eller slettet sammen med alt andet, efterlader jer i det tilfælde med få argumenter. Det er emnet i artiklen om logs.
De spørgsmål, IT eller den tekniske ekspert skal besvare for DPO-vurderingens skyld, er konkrete:
- Hvilke systemer og mapper var ramt, og hvilke personoplysninger lå der?
- Hvornår kom angriberen ind, og hvad kunne kontoen nå?
- Viser logs eller netværksdata store udgående overførsler?
- Dækker logs hele perioden, og kan de være manipuleret?
- Har angriberen selv hævdet at have data?
- Hvor gammel er den backup, I kan genskabe fra, og hvad går tabt?
Det sidste spørgsmål overses. Oplysninger, der er tilføjet efter seneste backup, kan være tabt for altid, og så er sagen delvist et brud efter det tredje scenarie.
Anmeldelsen
Fristen følger de almindelige regler. I er bekendt, når I med rimelig grad af sikkerhed ved, at sikkerheden er brudt, og personoplysninger er ramt. Ved ransomware er det ofte hurtigt, for skærmen fortæller det.
Vurderingen ser på følgerne for personerne. Er systemerne nede en time og backup frisk, kan risikoen være lille. Rammer det patienter, klienter eller ansatte, der ikke kan få hjælp, eller er der tegn på, at oplysninger er ude, ser det anderledes ud. Gå faktorerne igennem én for én. Når I ikke kan undersøge følgerne inden for 72 timer, bør bruddet som udgangspunkt anmeldes.
Vejledningen accepterer en vis forsinkelse, mens et alvorligt brud stadig kører, eller mens I sammen med myndighederne arbejder på at undgå, at oplysningerne bliver brugt kriminelt. Forsinkelsen skal begrundes. Et sikrere valg er ofte at sende en delvis anmeldelse og supplere trinvis. Under NIS2 gælder egne frister, som er behandlet under persondatabrud og NIS2.
Viser det sig, at oplysninger er stjålet, skal der tages stilling til, om personerne skal have besked. Den vurdering ligger under underretning af de registrerede.
Når leverandøren er ramt
Mange angreb sker hos en driftsleverandør eller et system i skyen. Er leverandøren databehandler for jer, skal den give jer besked uden unødig forsinkelse og må ikke selv afgøre, om det er relevant for jer. Bed om det samme materiale, som I selv ville samle: hvad var ramt, hvornår, og hvad viser logs? Datatilsynets katalog over foranstaltninger siger, at den dataansvarlige skal kunne få logs fra databehandlere uden besvær, og det kan med fordel afklares i aftalen.
DPO’ens plads i sagen
DPO’en driver hverken beredskab eller genopretning. Rollen er at rådgive om, hvorvidt der er et brud, om det skal anmeldes, og hvordan det dokumenteres, og at overvåge, at det sker. Beslutningen er jeres. Under pres er det særligt værdifuldt, at nogen med sans for både data og jura stiller spørgsmålene ovenfor, mens det stadig er muligt at gemme spor.
Hele forløbet skal i brudloggen, også det, I ikke kunne afklare.
Det skal I lade være med
- At afvise et brud, fordi backuppen virkede · kryptering er stadig en ændring af data.
- At antage, at intet er stjålet · I skal kunne vise det.
- At geninstallere, før spor er sikret · sporene er jeres dokumentation.
- At lade IT afgøre persondatadelen alene · vurderingen hører til hos den dataansvarlige.
Det skal I kræve af den eksterne
- ☐ En liste over de spørgsmål, der skal besvares for at vurdere bruddet.
- ☐ Rådgivning om anmeldelse, også med ufuldstændige oplysninger.
- ☐ Kontrol af, at logs og backup kan bruges som dokumentation.
- ☐ Klar adskillelse mellem rådgivning og teknisk håndtering.
Kilder
- Datatilsynet: Håndtering af brud på persondatasikkerheden, maj 2025: eksempel 6, afsnit 3.2.5, 3.3.2, 3.5 og 3.7.
- Datatilsynet: De 10 typiske brud, 8. januar 2024.
- Datatilsynet: Logning af brugernes anvendelser af personoplysninger, opdateret 20. oktober 2025.
- Forordning (EU) 2016/679, dansk tekst: art. 33.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Skal bruddet anmeldes? · Procedure ved brud på én side
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
