Melding til Datatilsynet når brudd på personopplysningssikkerheten har medført middels eller høy risiko for personers rettigheter og friheter. Informasjonsplikt til berørte ved høy risiko.
Beskriv tema/ areal/ arbeidsprosess:	Utført ved:	S= Sannsynlighet	K= Konsekvens
Avvik ID nr.:	1= Meget liten 2= Liten 3= Moderat 4= Stor 5= Kontinuerlig	1= Ingen/ubetydelig/meget liten 2= Liten 3= Moderat 4= Stor 5= Svært stor/meget alvorlig
Utført av:	Utført dato:
Navn på meldingsansvarlig
R=Risiko
R= S x K, se risikomatrisen siste side R skal fargelegges (grønn – gul – rød) Kontakt personvernombud@siv.no for hjelp til vurdering av meldeplikten(e) når restrisiko R ≥ 5 Melding til Datatilsynet innen 72 timer etter at bruddet er kjent.

Tabell 1

Nr.	Kartlegging - avvik	Risikoreduserende tiltak (forebyggende og skadebegrensende)	Risiko-vurdering (bruk matrisen nedenfor)	Risikoreduserende tiltak (forebyggende og skadebegrensende) Restrisikovurdering	Kommentar-felt
Hva har gått galt? Beskriv så godt som mulig. NB! Ikke noter personopplysninger	Hvilke tiltak er iverksatt?	S	K	R	Forslag til nye tiltak	S	K	R
1	Beskriv: (Hjelpetekst) hva har skjedd hvor oppsto avviket hvordan oppstod avviket antatt årsak tidsrom når avviket ble oppdaget antall berørte personer hva slags type personopplysninger ble berørt hvilken relasjon sykehuset har til de berørte personene hvor personopplysningene befinner seg etter avviket evt. navn på informasjonssystem f. eks. DIPS Mulige konsekvenser f eks. (Hjelpetekst) brudd/alvorlig brudd på pasientsikkerheten (personopplysningssikkerhet) forskjellsbehandling identitetstyveri/bedrageri økonomisk tap skade på omdømme (virksomheten/person) følsomme, fortrolige eller private personopplysninger er eksponert uautorisert oppheving av pseudonymisering annen betydelig ulempe for berørte personer	(Hjelpetekst) Beskriv tiltak som er iverksatt når avviksmeldingen behandles av meldingsansvarlig.	(Hjelpetekst) Beskriv hvilke rutiner som skal innføres eller endres, hva slags opplæring som skal gis, hvilke tekniske og fysiske tiltak som skal iverksettes etc.	(Hjelpetekst) Gi en begrunnelse for at avviket anses/ikke anses meldepliktig til Datatilsynet. Det samme gjelder vurdering av informasjonsplikt til berørte.
2
3
4
osv

Tabell 2

Handlingsplan – nye risikoreduserende tiltak
Nr.	Valgte tiltak	Ansvarlig	Medhjelper	Tidsfrist	Utført dato
1
2
3
4

Risikomatrisen	SANNSYNLIGHET Angi sannsynlighet for at sikkerhetsbruddet/-ene har medført risiko for personers rettigheter og friheter
R= S x K	1	2	3	4	5
KONSEKVENS Angi konsekvens(er) av sikkerhetsbruddet/-ene	Ingen/ meget liten	Liten	Moderat	Stor	Kontinuerlig
5	K = Svært stor/meget alvorlig	R=5	R=10	R=15	R=20	R=25
4	K = Stor	R=4	R=8	R=12	R=16	R=20
3	K = Moderat	R=3	R=6	R=9	R=12	R=15
2	K = Liten	R=2	R=4	R=6	R=8	R=10
1	K = Ingen/ubetydelig/meget liten	R=1	R=2	R=3	R=4	R=5

Forklaring på risikonivå ved brudd på personopplysningssikkerhet:

R= 1-4 Lav Utløser ingen meldeplikt til Datatilsynet

R= 5-9 Middels Meldeplikt til Datatilsynet (se prosedyren Avvik / uønsket hendelse - brudd på informasjonssikkerhet)

R= 10-14 Høy Meldeplikt til Datatilsynet og informasjonsplikt til berørte (se prosedyren Avvik / uønsket hendelse - brudd på informasjonssikkerhet)

R= 15-25 Kritisk Meldeplikt til Datatilsynet og informasjonsplikt til berørte (se prosedyren Avvik / uønsket hendelse - brudd på informasjonssikkerhet)

NB! Kontakt personvernombud@siv.no for hjelp til konkret vurdering av meldeplikten(e) når restrisiko R ≥ 5.