Et brud på persondatasikkerheden skal anmeldes til Datatilsynet uden unødig forsinkelse og om muligt senest 72 timer efter, at den dataansvarlige er blevet bekendt med bruddet, medmindre det er usandsynligt, at bruddet indebærer en risiko for fysiske personers rettigheder og frihedsrettigheder. Pligten følger af artikel 33 i databeskyttelsesforordningen (GDPR). Er der en høj risiko for de registreredes rettigheder, skal de også underrettes direkte efter artikel 34. Et brud er ikke kun et hackerangreb: det omfatter enhver hændelse, der fører til utilsigtet eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysninger — herunder en fejlsendt e-mail, en mistet USB-nøgle eller en fejlkonfigureret database.
Denne guide gennemgår, hvornår 72-timersfristen løber, hvad anmeldelsen skal indeholde, hvornår de registrerede skal underrettes, og hvad du skal dokumentere. For en operationel køreplan, se vores procedure for håndtering af brud med brudlog.
Hvornår løber 72-timersfristen?
Fristen løber fra det tidspunkt, hvor den dataansvarlige bliver bekendt med bruddet — ikke fra selve hændelsen. Man anses for at være bekendt, når man med rimelig sikkerhed har konstateret, at der er sket et sikkerhedsbrud, der involverer personoplysninger. En kort indledende undersøgelse for at afklare, om der faktisk er tale om et brud, er tilladt, men den må ikke bruges til at udskyde anmeldelsen unødigt.
Vigtige pointer om fristen:
- 72 timer er kalendertimer, ikke arbejdstimer — weekender og helligdage tæller med.
- Overskrider du fristen, skal anmeldelsen ledsages af en begrundelse for forsinkelsen (art. 33, stk. 1).
- Du kan foretage en etapevis anmeldelse (art. 33, stk. 4): anmeld inden fristen med de oplysninger, du har, og suppler efterfølgende.
Er databehandleren den, der opdager bruddet, skal denne underrette den dataansvarlige uden unødig forsinkelse (art. 33, stk. 2). Det er derfor, databehandleraftalen bør fastsætte en konkret intern frist — fx 24 eller 48 timer — så du som dataansvarlig kan nå din egen 72-timersfrist.
Hvornår skal du anmelde — og hvornår ikke?
Du skal anmelde, medmindre bruddet sandsynligvis ikke vil indebære en risiko for de registreredes rettigheder. Risikovurderingen er central. Er de berørte oplysninger fx stærkt krypteret med en nøgle, der ikke er kompromitteret, kan risikoen være så lav, at anmeldelse ikke er nødvendig. Men bevisbyrden ligger hos dig: du skal kunne dokumentere din vurdering, uanset om du anmelder eller ej.
Hvis oplysningerne er ufuldstændige, skal den dataansvarlige afklare hændelsen hurtigt og dokumentere den foreløbige risiko. En hændelse, der blot ser alvorlig ud teknisk, udløser ikke automatisk underretning; der skal vurderes, hvilke følger den kan have for berørte personer. Vurderes risikoen ikke at være usandsynlig, anmeldes bruddet. Senere oplysninger kan supplere anmeldelsen.
Hvad skal anmeldelsen indeholde?
Efter artikel 33, stk. 3, skal anmeldelsen til Datatilsynet mindst:
- Beskrive karakteren af bruddet, herunder kategorierne og det omtrentlige antal berørte registrerede og berørte registreringer.
- Angive navn og kontaktoplysninger på databeskyttelsesrådgiveren eller et andet kontaktpunkt.
- Beskrive de sandsynlige konsekvenser af bruddet.
- Beskrive de iværksatte eller foreslåede foranstaltninger for at håndtere bruddet og begrænse skadevirkningerne.
Anmeldelsen sker via Datatilsynets digitale anmeldelsesløsning. Selv om en oplysning mangler ved fristens udløb, skal du anmelde til tiden og supplere senere.
Hvornår skal de registrerede underrettes (art. 34)?
Underretning af de registrerede efter artikel 34 er kun påkrævet, når bruddet sandsynligvis vil indebære en høj risiko for deres rettigheder. Underretningen skal ske uden unødig forsinkelse og i et klart og enkelt sprog, og den skal indeholde de samme oplysninger som punkt 2-4 ovenfor.
Der er tre undtagelser (art. 34, stk. 3), hvor direkte underretning ikke er nødvendig:
- oplysningerne var beskyttet (fx krypteret), så de er uforståelige for uvedkommende,
- du har efterfølgende truffet foranstaltninger, der gør, at den høje risiko ikke længere er sandsynlig, eller
- direkte underretning ville kræve en uforholdsmæssig indsats — så kan der i stedet ske en offentlig meddelelse.
Hændelsen kan ændre karakter undervejs
En mistet laptop kan først se ud som et rent tilgængelighedsproblem. Hvis den havde en lokal kopi af oplysninger og ingen effektiv adgangsbeskyttelse, opstår også et fortrolighedsspørgsmål. Omvendt kan dokumentation for effektiv kryptering og en ukompromitteret nøgle mindske risikoen. Vurderingen skal bygge på bekræftede fakta og tydeligt markerede usikkerheder.
Hvis hændelsen viser sig at omfatte flere personer end først antaget, skal den dataansvarlige opdatere dokumentation og eventuel anmeldelse uden unødig forsinkelse. Det samme gælder, hvis efterfølgende undersøgelser viser, at data faktisk blev kopieret. At en tidlig risikovurdering var rimelig på det daværende grundlag, fritager ikke for at reagere på nye oplysninger.
Dokumentation og brudlog
Artikel 33, stk. 5, kræver, at du dokumenterer alle brud — også dem, du vurderer ikke skal anmeldes. Dokumentationen skal omfatte de faktiske omstændigheder, virkningerne og de trufne afhjælpende foranstaltninger. Det gør du i en brudlog, som Datatilsynet kan bede om at se. Forordningen kræver dokumentation for bruddene, men fastsætter ikke én bestemt logform. En log er et praktisk middel til at opfylde kravet.
En registrering af hændelsens fakta, tidslinje, risikovurdering og beslutninger gør det muligt at følge op og påvise, hvorfor den blev anmeldt eller ikke anmeldt.
De tre typer brud og databehandlerens rolle
Et brud kan ramme en eller flere af tre grundlæggende sikkerhedsegenskaber, og typen har betydning for risikovurderingen:
- Brud på fortroligheden — uvedkommende får adgang til oplysninger (fejlsendt e-mail, hackerangreb, tabt enhed, fejlkonfigureret database).
- Brud på integriteten — oplysninger ændres utilsigtet eller uautoriseret, så de bliver forkerte.
- Brud på tilgængeligheden — oplysninger går tabt eller bliver utilgængelige (ransomware, sletning ved fejl, nedbrud uden brugbar backup).
Samme hændelse kan ramme flere egenskaber på én gang: et ransomwareangreb kan både kryptere data (tilgængelighed) og kopiere dem (fortrolighed). Et tab af tilgængelighed er også et brud — selv hvis ingen uvedkommende har set oplysningerne. Kan du fx ikke gendanne journaler efter et nedbrud, kan det have alvorlige konsekvenser for de registrerede og udløse både anmeldelse og underretning.
Databehandleren spiller en central rolle. Efter artikel 33, stk. 2, skal databehandleren underrette den dataansvarlige uden unødig forsinkelse, når databehandleren bliver bekendt med et brud. Som udgangspunkt er det den dataansvarlige, der har anmeldelsespligten efter artikel 33, stk. 1; en databehandler kan efter aftale hjælpe eller indsende på den dataansvarliges vegne uden at flytte ansvaret. Derfor er det afgørende, at din databehandleraftale fastsætter en konkret intern frist (fx 24 eller 48 timer) og en pligt til at give dig de oplysninger, du skal bruge til din egen anmeldelse. Bruger du mange underdatabehandlere, kan kæden af underretninger blive lang — så jo kortere fristerne er aftalt, jo bedre kan du overholde de 72 timer. Kortlæg via din fortegnelse over behandlingsaktiviteter, hvilke leverandører der behandler hvilke oplysninger, så du ved bruddet ved, hvem der skal kontaktes.
Begynd med to adskilte spørgsmål
Først: er der sket et brud på persondatasikkerheden efter artikel 4, nr. 12? En fejlsendt mail med personoplysninger, en utilsigtet overskrivning af patientdata eller en bortkommet sikkerhedskopi kan alle være brud, selv uden hackerangreb. En afværget scanning uden påvirkning af personoplysninger er derimod ikke nødvendigvis et brud. Dernæst: er det usandsynligt, at det konstaterede brud indebærer en risiko for fysiske personers rettigheder og frihedsrettigheder? Hvis dette ikke kan fastslås, skal bruddet anmeldes efter artikel 33. Underretning af personerne efter artikel 34 kræver et yderligere niveau: sandsynlig høj risiko.
Det er derfor upræcist at sige, at alle brud skal anmeldes, eller at kun brud med bekræftet identitetstyveri tæller. Vurdér mulige følger såsom tab af fortrolighed, økonomisk skade, diskrimination, omdømmeskade eller tab af kontrol over data. Datatypen, antallet af berørte, hvem der fik adgang, hvor længe det varede, og om adgang faktisk blev afskåret, ændrer vurderingen. Datatilsynets anmeldelsesvejledning beskriver tærsklen og den digitale blanket.
En tidslinje, der kan holde ved senere kontrol
Brug relevante sikkerhedslogs som hjælp til at fastlægge forløbet. Notér tidspunktet for selve hændelsen, første interne varsel, det tidspunkt hvor den dataansvarlige med rimelig sikkerhed blev bekendt med et persondatabrud, og tidspunktet for beslutning og anmeldelse. De kan være forskellige. Hvis en leverandør varsler om et muligt nedbrud uden at vide, om personoplysninger er ramt, er en kort undersøgelse nødvendig. Når der er rimelig sikkerhed for et brud, skal yderligere forensics ikke bruges til at udsætte fristen. Opdater risikovurderingen, når nye oplysninger kommer frem.
Et tænkt eksempel: Fredag kl. 17 opdager support, at en kunderapport er sendt til en forkert modtager. Modtageren bekræfter hurtigt, at vedkommende har åbnet filen. Virksomheden skal sikre filen og vurdere indholdet og modtagerens situation; den kan ikke vente til mandag alene fordi privatlivsteamet har fri. Hvis det står klart, at rapporten indeholder identificerbare kundedata, bør tidspunktet for bekendtskab registreres. Ufuldstændig viden om præcis antal berørte kan håndteres med en foreløbig anmeldelse og senere supplement efter artikel 33, stk. 4.
Vurder risikoen for personer, ikke kun hændelsens størrelse
En fejlsendt mail med en almindelig mødetid kan være et brud, men i en konkret situation kan risiko være usandsynlig. En mail med oplysninger om behandling i en klinik kan på grund af indhold og modtager indebære risiko eller høj risiko, selv om kun én person er berørt. Kryptering og nøglehåndtering kan mindske risikoen, hvis beskyttelsen er effektiv og nøglen ikke er kompromitteret; en ukendt status for nøglen kan ikke behandles som bevis for, at data er uforståelige. Hurtig tilbagekaldelse kan være relevant, men kontrollér om filen blev åbnet eller kopieret.
Ved et tab af tilgængelighed skal du vurdere varighed og konsekvens. En kort driftsafbrydelse af et duplikat kan have andre følger end utilgængelige oplysninger, der er nødvendige for akut behandling. Backup ændrer udfaldet, hvis den faktisk kan gendannes sikkert og rettidigt. Et ransomwareangreb skal således undersøges for både tilgængelighed, integritet og mulig kopiering; selve betegnelsen afgør ikke tærsklen for artikel 33 eller 34. Datatilsynets risikovejledning knytter vurderingen til de berørtes rettigheder og frihedsrettigheder.
Underretning: gør personen i stand til at handle
Når høj risiko er sandsynlig, skal de berørte underrettes uden unødig forsinkelse. Skriv hvad der skete i forståelige ord, hvilke sandsynlige følger det kan få, hvordan DPO eller andet kontaktpunkt nås, og hvilke foranstaltninger der er truffet eller foreslået. Hvis det hjælper mod konkrete følger, kan brevet også forklare, hvad personen selv kan gøre, fx ændre et kompromitteret kodeord. Undgå en ren teknisk hændelsesrapport, som ikke fortæller modtageren, om vedkommende skal handle. Datatilsynets gennemgang af underretninger viser betydningen af detaljer nok til at beskytte den registrerede.
Undtagelserne i artikel 34, stk. 3, skal vurderes konkret. Effektiv kryptering før hændelsen kan gøre oplysningerne uforståelige for uvedkommende. Senere foranstaltninger kan fjerne den høje risiko. Kræver direkte kontakt en uforholdsmæssig indsats, skal en offentlig eller tilsvarende effektiv meddelelse bruges i stedet. En offentlig pressemeddelelse er altså ikke en fri genvej, blot fordi der er mange berørte. Datatilsynet kan pålægge underretning eller vurdere, om undtagelserne er opfyldt.
Hvad en foreløbig anmeldelse kan indeholde
Hvis antallet af berørte endnu ikke er kendt, kan den dataansvarlige give det bedste tilgængelige skøn og forklare usikkerheden. Beskriv allerede kendte datakategorier, hændelsens karakter, sandsynlige følger og de første afhjælpende skridt. Angiv et kontaktpunkt, som kan besvare opfølgning. Artikel 33, stk. 4, tillader oplysninger i etaper uden yderligere unødig forsinkelse; den tilladelse er en løsning på reel informationsmangel, ikke en grund til at indsende en helt tom blanket.
Efter indsendelsen bør virksomheden have en ansvarlig for opdateringer, også hvis tekniske undersøgelser udføres af en leverandør. Gem kopi af hver version, tidspunktet for indsendelse og hvorfor vurderingen ændrede sig. Hvis en foreløbig vurdering var, at høj risiko ikke forelå, men senere fakta viser adgang til følsomme oplysninger, skal underretning af de registrerede tages op på ny. En afsluttet anmeldelse er ikke nødvendigvis en afsluttet hændelse.
Leverandørens varsel og den dataansvarliges beslutning
Databehandleren skal underrette den dataansvarlige uden unødig forsinkelse efter at være blevet bekendt med et brud. Aftalen kan angive kontaktvej, opdateringsrytme og et internt mål, der giver den dataansvarlige tid til risikovurdering. Et eksempel på 24 timer er en mulig kontraktløsning, ikke en selvstændig GDPR-frist. Den dataansvarlige træffer beslutningen om anmeldelse og underretning, selv om en leverandør hjælper med oplysninger eller praktisk indsendelse. Kontroller databehandleraftalens bistand og varsling før hændelsen.
Dokumentér også brud, som ikke blev anmeldt: fakta, virkninger og afhjælpende foranstaltninger som artikel 33, stk. 5, kræver. Gem beslutningsgrundlaget, herunder hvad man vidste på hvilket tidspunkt. En procedure og brudlog kan strukturere dette arbejde, mens denne artikel forklarer de retlige tærskler. Hvis risikoen ændrer sig, skal den tidligere beslutning revurderes og eventuelle nødvendige skridt tages uden unødig forsinkelse.
Ofte stillede spørgsmål
Tæller weekender og helligdage med i 72-timersfristen?
Ja. Fristen er 72 kalendertimer regnet fra det tidspunkt, du bliver bekendt med bruddet, og weekender og helligdage tæller med. Derfor bør din procedure for håndtering af brud fungere uden for normal arbejdstid, og databehandleraftalerne bør pålægge leverandørerne en kort intern underretningsfrist.
Skal jeg anmelde et brud, hvis oplysningerne var krypteret?
Ikke nødvendigvis. Er oplysningerne beskyttet med stærk kryptering, og er nøglen ikke kompromitteret, kan risikoen være så lav, at anmeldelse ikke er påkrævet. Men du skal dokumentere vurderingen i din brudlog. Er risikoen endnu ikke afklaret, bør den dataansvarlige hurtigt indhente de manglende fakta og tage stilling inden for fristen.
Hvad er forskellen på artikel 33 og artikel 34?
Artikel 33 handler om anmeldelse til Datatilsynet inden for 72 timer og gælder, medmindre bruddet sandsynligvis ikke indebærer en risiko. Artikel 34 handler om direkte underretning af de berørte registrerede og gælder kun, når bruddet sandsynligvis indebærer en høj risiko for dem. Et brud kan altså udløse anmeldelse til tilsynet uden at udløse underretning af de registrerede.
Er et ransomwareangreb altid et brud, der skal anmeldes?
Ikke automatisk. Undersøg om personoplysninger er blevet utilgængelige, ændret eller videregivet, om der er en brugbar backup, og hvilke følger hændelsen sandsynligvis får for personer. Anmeld, hvis risiko ikke er usandsynlig; underret de berørte, hvis høj risiko er sandsynlig. Supplér en rettidig anmeldelse, hvis undersøgelsen endnu ikke er færdig.
Konklusion
Når den dataansvarlige bliver bekendt med et brud på persondatasikkerheden, skal vedkommende vurdere personrisikoen straks. Bruddet anmeldes uden unødig forsinkelse og om muligt senest 72 timer efter bekendtskab, medmindre risiko er usandsynlig. Ved høj risiko skal de registrerede også underrettes efter artikel 34. Alle brud skal dokumenteres, også dem der ikke anmeldes; en brudlog er en praktisk form. Byg en procedure for håndtering af brud, aftal brugbare varselsveje med databehandlere, og udpeg et kontaktpunkt, fx en DPO hvor organisationen har en. Dokumentér både det tekniske forløb og den konkrete vurdering af følger for de berørte.