§ 40-5. Avvik

Bruk av informasjonssystemet som er i strid med fastlagte rutiner, og brudd på personopplysningssikkerheten skal behandles som avvik. Avviksbehandlingen skal ha som formål å gjenopprette normal tilstand, fjerne årsaken til avviket og hindre gjentagelse. Resultat fra avviksbehandling skal dokumenteres. Ved brudd på personopplysningssikkerheten skal den behandlingsansvarlige gi melding til Datatilsynet snarest mulig og senest innen 72 timer etter at den behandlingsansvarlige ble kjent med bruddet på personopplysningssikkerheten, med mindre det er lite trolig at bruddet på personopplysningssikkerheten innebærer en risiko for den registrertes rettigheter og friheter. Dersom melding gis senere enn innen 72 timer, skal det gis en begrunnelse for forsinkelsen. Meldingen skal minst inneholde 1) informasjon om type brudd på personopplysningssikkerheten, 2) om mulig, kategorier av og antall registrerte som berøres, 3) om mulig, kategorier av og antall registreringer av personopplysninger som berøres, 4) personvernrådgivers kontaktinformasjon eller annet kontaktpunkt, 5) sannsynlige konsekvenser av bruddet på personopplysningssikkerheten, og 6) igangsatte eller foreslåtte tiltak for å håndtere bruddet på personopplysningssikkerheten, herunder tiltak for å begrense negative konsekvenser. Dersom det ikke er mulig å gi opplysninger som nevnt i femte ledd innen fristen, skal opplysningene gis så snart som mulig. Ved brudd på personopplysningssikkerheten som kan medføre stor risiko for den registrertes rettigheter og friheter, skal den registrerte informeres uten ugrunnet opphold. Informasjonen til den registrerte skal inneholde en beskrivelse av arten av bruddet på personopplysningssikkerheten og minst informasjonen og tiltakene som nevnt i tredje ledd nr. 4 til 6. Dette gjelder likevel ikke dersom opplysningene som påvirkes av bruddet på personopplysningssikkerheten er underlagt tilstrekkelige sikkerhetsmekanismer, for eksempel kryptering, det er igangsatt etterfølgende tiltak som reduserer risikoen for negative konsekvenser eller dersom unntakene i politiregisterloven § 48 annet ledd nr. 2 kommer til anvendelse. Dersom det ellers ville være uforholdsmessig arbeidskrevende, kan informasjon til den registrerte gis i form av en offentlig meddelelse eller lignende.