Avviksrutine for personopplysninger (72 timer)
1. Når et avvik oppdages
Den som oppdager at personopplysninger er kommet på avveie, endret eller slettet ved en feil, sier straks fra til [Hvem leder avvikshåndteringen (rolle)?], eller [Stedfortreder (rolle)] ved fravær.
2. Vurdering
Ansvarlig stanser bruddet så langt det går, og vurderer hvilke opplysninger og hvor mange personer som er berørt, og hvor stor risikoen er for dem.
3. Melding til Datatilsynet
Er det sannsynlig at bruddet medfører risiko for de berørte, meldes det til Datatilsynet uten ugrunnet opphold og om mulig innen 72 timer etter at vi ble kjent med det, jf. personvernforordningen artikkel 33.
4. Varsel til de berørte
Er risikoen høy, varsles de berørte direkte og i et klart språk, jf. personvernforordningen artikkel 34.
5. Avvikslogg
Alle brudd føres i avviksloggen med fakta, virkninger og tiltak, også når de ikke meldes til Datatilsynet.