Din leverandør bestemmer, hvornår dine 72 timer løber

Hundrede dage mellem indbruddet og afgørelsen

Den 30. juli 2026 begyndte de første breve at nå frem. Der stod, at navn, adresse, fødselsdato, personnummer, kørekort, offentlige identitetsdokumenter, bankoplysninger, kortnumre og helbredsjournaler kunne være stjålet. For nogle af disse mennesker omfattede de stjålne kortoplysninger også sikkerhedskoden på bagsiden. Afsenderen var CareCloud, et softwarefirma i sundhedssektoren, hvis systemer opbevarer journaler på vegne af lægepraksisser.

Indbruddet fandt sted i marts. Angribere befandt sig i et af CareClouds seks miljøer til elektroniske patientjournaler, hostet hos Amazon Web Services, mellem den 10. og den 16. marts 2026. Miljøet blev forstyrret den 16. marts og genoprettet samme aften. Selskabet offentliggjorde hændelsen sidst på måneden og bemærkede samtidig, at undersøgelsen af, hvad der reelt var tilgået, stadig kørte.

Den undersøgelse nåede sin konklusion den 24. juni, hvor CareCloud fastslog, at personlige, finansielle og helbredsmæssige oplysninger var kompromitteret. Fra den 16. marts til den 24. juni er der præcis hundrede dage. Frem til de første breve er der hundrede og seksogtredive.

Fristen begynder ikke, hvor du går ud fra

Amerikansk underretning i sundhedssektoren følger en regel om tres dage: underret de berørte uden urimelig forsinkelse og senest tres kalenderdage efter opdagelsen af et brud. Læst ligefremt lyder opdagelse som den dag, man opdager at være brudt ind hos, her den 16. marts. Efter den læsning er brevene mere end to måneder forsinkede.

Den læsning, der får forløbet til at hænge sammen, er en anden. Den forstår opdagelse som den dag, undersøgelsen konkluderer, at beskyttede oplysninger faktisk var berørt, altså den 24. juni. Tæller man tres dage derfra, ligger breve sendt den 30. juli komfortabelt inden for fristen. Det er den læsning, praksis i vid udstrækning støtter sig til, og derfor kan forløbet forsvares i hver delstat, hvor CareCloud har indberettet, blandt dem Californien, Massachusetts, New Hampshire, Texas og Maine.

Uanset hvilken læsning der er rigtig, så læg mærke til, hvad den anden gør. Den gør fristens begyndelse til et resultat af undersøgelsen, og ingen regel sætter en frist for at afslutte en undersøgelse. En pligt, der begynder, når du beslutter at den begynder, er en pligt, hvis tidspunkt du selv styrer.

Europa skrev reglen den modsatte vej

Artikel 33 i databeskyttelsesforordningen kræver, at den dataansvarlige anmelder et brud på persondatasikkerheden til tilsynsmyndigheden uden unødig forsinkelse og om muligt senest 72 timer efter at være blevet bekendt med det. At blive bekendt er ikke det samme som at have færdiggjort en teknisk rapport. Det er det punkt, hvor der er rimelig sikkerhed for, at en sikkerhedshændelse har kompromitteret personoplysninger, og det punkt indtræffer næsten altid længe før, man ved hvis oplysninger eller hvor mange.

Lovgiver forudså præcis det hul, CareCloud tilbragte hundrede dage i. Artikel 33, stk. 4, siger, at oplysninger, der ikke foreligger på én gang, kan gives i etaper uden yderligere unødig forsinkelse. Designforudsætningen er, at du anmelder, mens du stadig famler, og supplerer, efterhånden som du bliver klogere. Den amerikanske model lader dig vente, til du ved det; den europæiske pålægger dig at anmelde, før du ved det, og blive ved med at anmelde.

Konsekvensen for en driftsherre er alt andet end abstrakt. Den samme hændelse på den samme infrastruktur giver en anmeldelse på 72 timer på den ene side af Atlanten og en konstatering efter hundrede dage på den anden. Er din leverandørs reflekser formet af den anden tidsplan, er det de reflekser, der nu sidder mellem dig og din egen frist.

Billedet voksede, mens fristen blev udskudt

At udskyde fristens start ville veje mindre, hvis den tidlige fremstilling havde holdt. Det gjorde den ikke. CareClouds egen beskrivelse i marts satte den uautoriserede adgang til cirka otte timer den 16. marts, afgrænset til ét miljø og uden andre forretningssystemer involveret. Senere indberetninger til delstaterne beskriver angribere i det miljø fra den 10. til den 16. marts, altså seks dage frem for otte timer.

Den berørte kreds voksede også. Indberetningerne angiver mindst 345.000 personer, siden er der berettet om mere end 350.000, og yderligere indberetninger ventes at flytte tallet igen. Selskabet har oplyst, at en angriber hævdede at have trukket data ud af dets databaser, at eksterne specialister sikrede miljøet og bekræftede, at der ikke var vedvarende uautoriseret adgang tilbage, og at der ikke er tegn på misbrug af de stjålne data. Den administrerende direktør, Stephen Snyder, ønskede ikke at kommentere, da journalister henvendte sig.

Hver eneste af de rettelser gik i samme retning, og hver eneste kom efter den første offentlige fremstilling. En undersøgelse, der stadig udvider sit eget skøn, er ikke en grund til at lade de berørte vente. Det er grunden til at fortælle dem det tidligt og korrigere opad i offentlighed.

Det manglende tal hører hjemme i din kontrakt

Behandler en leverandør personoplysninger på dine vegne, er du den dataansvarlige, og de 72 timer er dine. Artikel 33, stk. 2, kræver, at databehandleren underretter den dataansvarlige uden unødig forsinkelse, og knytter ikke noget tal til den formulering. Artikel 28 kræver, at din kontrakt forpligter databehandleren til at bistå dig med dine pligter efter artikel 33. Mellem de to bestemmelser står et hul i form af et tal, og fylder du det ikke, arver du den tidsplan, som din leverandørs egen myndighed tolererer.

Fyld det med to bestemmelser i stedet for én. Den første fastsætter en fast frist, målt i timer, som løber fra det øjeblik, leverandøren opdager en sikkerhedshændelse i et miljø med dine data, og ikke fra det øjeblik, den fastslår hvilke data der var berørt, for netop den anden begivenhed har ingen frist. Den anden giver dig ret til fakta, efterhånden som de dukker op, herunder berørte miljøer, adgangsvindue og udsatte datakategorier, i stedet for én færdig rapport til sidst.

Afprøv den derefter, som du ville afprøve en sikkerhedskopi. Spørg skriftligt dine tre største databehandlere, hvornår de sidst havde en sikkerhedshændelse i et miljø med dine data, hvilken dato de opdagede den, og hvilken dato de underrettede en kunde. En leverandør, der ikke kan skille de to datoer ad på forespørgsel, skiller dem heller ikke ad under pres. I Danmark lander anmeldelsen hos Datatilsynet, og den myndighed vil spørge dig, ikke din leverandør, hvorfor den kom for sent.

Læs videre: En cookieklage fra 2021 er tilbage  |  Fire amerikanske skyer er nu under britisk tilsyn