De 72 timer i artikel 33 er det mest kendte tal i forordningen og det mest fejllæste. Virksomheder starter fristen på det forkerte tidspunkt, sender det forkerte indhold og forveksler databehandlerens pligt med den dataansvarliges. Denne artikel læser artikel 33 og 34 fra en softwarevirksomheds side og giver jer siden med brudfristen, som regner og skriver anmeldelsen.

Hvornår fristen begynder: kendskab, ikke alarmen

Artikel 33, stk. 1, kræver, at den dataansvarlige anmelder et brud på persondatasikkerheden til tilsynsmyndigheden uden unødig forsinkelse og om muligt senest 72 timer efter at være blevet bekendt med det, medmindre det er usandsynligt, at bruddet indebærer en risiko for fysiske personers rettigheder og frihedsrettigheder. Fristen begynder ved kendskab, og Det Europæiske Databeskyttelsesråds retningslinjer om brud siger, hvad det betyder: den dataansvarlige bør anses for at være blevet bekendt, når den har en rimelig grad af sikkerhed for, at der er sket en sikkerhedshændelse, som har kompromitteret personoplysninger. En overvågningsalarm kl. 03:00 er ikke kendskab; det øjeblik, hvor vagthavende ingeniør bekræfter, at kunderegistreringer er læst af nogen, der ikke burde have læst dem, er det. Undersøgelsen, der frembringer den sikkerhed, skal være kort, og betragtning 87 siger det: det bør sikres, at foranstaltningerne er på plads til omgående at fastslå, om et brud har fundet sted.

De 72 timer er ikke et mål, de er et loft. Hvor anmeldelsen ikke sker inden for 72 timer, kræver artikel 33, stk. 1, at den ledsages af en begrundelse for forsinkelsen. Siden med brudfristen beregner udløbet fra det tidspunkt, I indtaster, og siger, når det er overskredet, at reglen om begrundelse for forsinkelse nu gælder for alt, hvad I sender.

Hvad anmeldelsen indeholder, og faserne

Artikel 33, stk. 3, fastsætter mindsteindholdet i fire punkter: (a) bruddets karakter, herunder hvis muligt kategorierne og det omtrentlige antal berørte registrerede og registreringer; (b) navn på og kontaktoplysninger for databeskyttelsesrådgiveren eller et andet kontaktpunkt; (c) de sandsynlige konsekvenser af bruddet; (d) de trufne eller foreslåede foranstaltninger til håndtering af bruddet, herunder hvis relevant foranstaltninger til at begrænse dets mulige skadevirkninger. Artikel 33, stk. 4, fjerner derefter den undskyldning, de fleste virksomheder griber efter: når og for så vidt som det ikke er muligt at give oplysningerne samtidig, kan de gives trinvist uden unødig yderligere forsinkelse. En ufuldstændig anmeldelse til tiden slår en fuldstændig for sent.

Artikel 33, stk. 5, er den del, der overlever hændelsen: den dataansvarlige dokumenterer ethvert brud, de faktiske omstændigheder, dets virkninger og de trufne afhjælpende foranstaltninger, anmeldt eller ej, i en form, der gør det muligt for tilsynsmyndigheden at kontrollere overholdelsen. Den dokumentation er hændelsesregistreringen, og den er det første, en myndighed beder om efter en klage.

Databehandlerens egen frist

Artikel 33, stk. 2, giver databehandleren en anden pligt: den underretter den dataansvarlige uden unødig forsinkelse efter at være blevet bekendt med et brud på persondatasikkerheden. Der er ingen timetælling. For en SaaS-virksomhed er det den pligt, der tæller mest, for hver kunde, hvis oplysninger ligger i produktet, er en dataansvarlig, hvis 72 timer begynder med jeres underretning, og databehandleraftalen fastsætter som regel, hvor hurtigt den sendes; vilkår (f) i artikel 28, stk. 3 er der, hvor den bor. En databehandler, der venter med at fortælle kunden, til dens egen undersøgelse er færdig, bruger kundens timer.

De registrerede: artikel 34 og dens tre undtagelser

Artikel 34, stk. 1, kræver, at den dataansvarlige underretter de registrerede om bruddet uden unødig forsinkelse, når det sandsynligvis vil indebære en høj risiko for deres rettigheder og frihedsrettigheder: identitetstyveri, svig, økonomisk tab, forskelsbehandling, skade på omdømme, tab af fortrolighed for oplysninger under tavshedspligt, betragtning 85 opregner dem. Artikel 34, stk. 2, fastsætter indholdet: bruddets karakter i et klart og forståeligt sprog og mindst oplysningerne i artikel 33, stk. 3, litra b, c og d. Artikel 34, stk. 3, nævner de tre tilfælde, hvor underretningen ikke er påkrævet: oplysningerne var beskyttet af foranstaltninger som kryptering, der gør dem uforståelige for enhver, der ikke har autoriseret adgang; den dataansvarlige har truffet efterfølgende foranstaltninger, så den høje risiko sandsynligvis ikke længere er reel; eller underretningen ville kræve en uforholdsmæssig indsats, og i så fald informerer en offentlig meddelelse de registrerede lige så effektivt. Artikel 34, stk. 4, lader tilsynsmyndigheden kræve underretningen, hvor den dataansvarlige ikke har foretaget den.

Fristerne ved siden af: NIS2, CRA og DORA

En softwarevirksomhed under NIS2, CRA eller med en bankkunde under DORA lader en anden frist løbe fra det samme tidspunkt for kendskab, med en anden modtager og tærskel. NIS2 artikel 23 giver en væsentlig eller vigtig enhed 24 timer til den tidlige varsling, 72 timer til anmeldelsen og en måned til den endelige rapport, til CSIRT'en eller den kompetente myndighed, ved en væsentlig hændelse. CRA giver en fabrikant 24 timer til den tidlige varsling, 72 timer til anmeldelsen og 14 dage til den endelige rapport om en aktivt udnyttet sårbarhed, til ENISA's platform. DORA giver en finansiel enhed 4 timer fra klassificering og 24 timer fra kendskab til den første anmeldelse, 72 timer til den mellemliggende rapport og en måned til den endelige rapport om en større IKT-relateret hændelse, som når dens softwareleverandør gennem kontraktens klausul om hændelsesbistand. GDPR-fristen er den eneste af de fire, der udløses af personoplysninger alene; artiklen om NIS2- og CRA-fristerne læser de andre tærskler, og én procedure med to udløsere og to modtagere opfylder dem alle.

Bøden, og registreringen

Artikel 83, stk. 4, litra a, sætter loftet for en overtrædelse af artikel 33 og 34 til EUR 10 millioner eller 2 % af den samlede globale årlige omsætning. Myndighedernes offentliggjorte afgørelser om for sene anmeldelser drejer sig hver gang om de samme tre konstateringer: hvornår kendskabet begyndte, om anmeldelsen var rettidig eller begrundet, og om registreringen efter artikel 33, stk. 5, findes. Siden med brudfristen skriver de to første ned fra det tidspunkt, I indtaster, og den anmeldelse, den frembringer, er den tredje.