Et brudd på personopplysningssikkerheten skal meldes til kompetent tilsynsmyndighet uten ugrunnet opphold og, når det er mulig, innen 72 timer etter at den behandlingsansvarlige ble kjent med bruddet. Unntaket er når bruddet sannsynligvis ikke medfører risiko for personers rettigheter og friheter. Ved sannsynlig høy risiko skal virksomheten også informere de berørte uten ugrunnet opphold, med unntakene i artikkel 34 nr. 3.
Dette er to forskjellige avgjørelser. Et brudd kan måtte meldes til Datatilsynet uten at hver berørt person må varsles. Alle brudd skal dokumenteres, også når de ikke meldes. Guiden nedenfor forklarer tersklene og innholdet i meldingene. For en ferdig arbeidsstruktur og loggfelter, bruk den separate rutinen for avviksbehandling og avvikslogg.
Hva regnes som et brudd på personopplysningssikkerheten?
Definisjonen i artikkel 4 nr. 12 omfatter sikkerhetsbrudd som fører til utilsiktet eller ulovlig tilintetgjøring, tap, endring, utlevering av eller tilgang til personopplysninger. Brudd kan ramme konfidensialitet, integritet eller tilgjengelighet. Det trenger derfor ikke foreligge dokumentert nedlasting fra en angriper før reglene blir aktuelle. Også tap av nødvendige opplysninger kan skade mennesker.
En feiladressert e-post med personopplysninger, en offentlig lenke til en personalmappe eller et angrep som gjør pasientopplysninger utilgjengelige kan omfattes. En sårbarhet som oppdages før den har ført til et slikt resultat er ikke automatisk et meldepliktig personopplysningsbrudd. Den må likevel håndteres som et sikkerhetsproblem. Skill mellom mistanke, bekreftede funn og det dere ennå undersøker.
Vurder om opplysningene faktisk er personopplysninger i situasjonen. Et internt kundenummer kan identifisere en person gjennom andre tilgjengelige opplysninger, selv om navnet mangler. Veiledningen om personopplysninger gir støtte til denne avgrensningen. Unngå en konklusjon om «ingen persondata» bare fordi filen hovedsakelig inneholder tekniske identifikatorer.
De sentrale reglene er GDPR artikkel 33 og 34, som gjelder i Norge gjennom personopplysningsloven. Datatilsynets side om melding av brudd gir den aktuelle norske meldingskanalen. Kontroller at den som skal sende meldingen, faktisk har tilgang før en hendelse oppstår.
Når må bruddet meldes til Datatilsynet?
Melding kan unnlates når det er sannsynlig at bruddet ikke medfører risiko for personers rettigheter og friheter. Det er risikoen for menneskene, ikke først og fremst driftskostnaden eller omdømmet til virksomheten, som skal vurderes. At tjenesten er tilbake i normal drift, betyr derfor ikke at vurderingen er ferdig. Kopierte dokumenter kan fortsatt brukes til svindel eller press.
Beskriv hvilke skader som er mulige: identitetstyveri, økonomisk tap, diskriminering, tap av fortrolighet, sosial belastning eller manglende tilgang til nødvendige tjenester. Se deretter på sannsynlighet og alvor. Antall berørte er relevant, men en hendelse som gjelder én person kan gi høy risiko, særlig hvis helseopplysninger, beskyttet adresse eller opplysninger om vold og trusler blir avslørt.
Ta med faktiske beskyttelsestiltak. Var opplysningene kryptert på en måte som gjør dem uforståelige for uvedkommende, og var nøklene beskyttet? Fantes offentlig tilgang bare i kort tid, og hva viser tilgangsloggene? Skill dokumenterte forhold fra antakelser. Fravær av logger er ikke dokumentasjon på at ingen fikk tilgang. Kryptering og nøkkelhåndtering bør vurderes sammen.
Når opplysningene fortsatt er usikre, må undersøkelsen prioriteres. Usikkerhet gir ikke grunn til å vente til en fullstendig teknisk rapport foreligger. Hvis virksomheten ikke kan begrunne at risiko er usannsynlig, må den vurdere en foreløpig melding med tydelig angivelse av hva som gjenstår. «Vi vet ikke ennå» er relevant informasjon i en melding, men ingen varig erstatning for risikovurderingen.
Hvordan beregnes 72-timersfristen?
Fristen knytter seg til når den behandlingsansvarlige blir kjent med bruddet. Et første varsel om en mulig feil kan kreve en kort undersøkelse for å avklare om personopplysninger er rammet. Virksomheten kan ikke utsette kjent-tidspunktet ved å vente på godkjenning fra ledelsen eller ferdig dokumentasjon. Registrer både første signal, bekreftende funn og begrunnelsen for tidspunktet som legges til grunn.
72 timer er løpende timer, ikke tre arbeidsdager. Hvis virksomheten blir kjent med et meldepliktig brudd fredag klokken 15, er 72 timer gått mandag klokken 15. Kravet om å handle uten ugrunnet opphold gjelder samtidig; fristen er ikke en tillatelse til alltid å vente til siste time. Dette hypotetiske eksemplet forutsetter at fredagstidspunktet faktisk er det relevante tidspunktet for kjennskap.
Når meldingen sendes senere enn 72 timer, skal forsinkelsen begrunnes. «Når det er mulig» i artikkel 33 gjør ikke travle medarbeidere eller en ordinær helg til generelle unntak. Forklar konkret hva som hindret tidligere melding, hva som ble gjort underveis og når opplysningene ble tilgjengelige. Send meldingen selv om fristen allerede er overskredet; en forsinkelse fjerner ikke plikten.
Hva om bruddet skjer hos en databehandler?
Databehandleren skal varsle den behandlingsansvarlige uten ugrunnet opphold etter å ha blitt kjent med bruddet. Databehandleren skal ikke vente på sin egen endelige risikovurdering for de registrerte før den varsler kunden. Den behandlingsansvarlige må få opplysninger som gjør det mulig å vurdere egne plikter og følge undersøkelsen videre.
Det er feil å beregne kundens frist mekanisk som «72 timer minus tiden leverandøren brukte». Kjennskap hos de forskjellige aktørene må vurderes, inkludert om kunden allerede visste om bruddet på annen måte. Leverandørens forsinkelse kan likevel gi vesentlig skade og gjøre kundens håndtering vanskeligere. Dokumenter hvem som visste hva, og når informasjonen ble formidlet.
En kort avtalt varslingsfrist kan støtte plikten, men et vilkår om 24 eller 48 timer er ikke GDPRs lovbestemte databehandlerfrist. Det må heller ikke forstås som adgang til å vente unødvendig. Databehandleravtalen bør angi kontakter, minimumsinformasjon og løpende oppdateringer. Den behandlingsansvarlige kan gi databehandleren fullmakt til å sende melding på sine vegne, men beholder ansvaret for at plikten oppfylles.
Hva må meldingen inneholde?
Artikkel 33 nr. 3 krever beskrivelse av bruddets art, om mulig kategorier og omtrentlige antall berørte personer og registreringer, kontaktinformasjon til personvernombud eller annet kontaktpunkt, sannsynlige konsekvenser og tiltak som er iverksatt eller foreslått. Tiltak for å begrense skadevirkningene skal også beskrives når det er relevant. Skill personantall fra antall dokumenter eller dataposter.
Skriv slik at en utenforstående kan forstå hendelsen. «Tilgangsproblem i CRM» sier lite. En mer anvendelig beskrivelse forklarer hvilke brukergrupper som fikk tilgang, hvilke felt de kunne se, hvilken periode feilen varte og om tilgangene nå er stengt. Hvis personantallet er et anslag, angi grunnlaget og hva som kan endre anslaget.
Et kontaktpunkt må kunne følge opp spørsmål. Personvernombudet kan gi råd og være kontaktperson, men virksomheten bør ikke legge hele håndteringen på ombudet. Teknisk undersøkelse, beslutning om melding og kommunikasjon med personer krever ofte flere roller. Sørg for stedfortredere og en kanal som fungerer selv om det vanlige e-postsystemet er rammet.
Hvordan fungerer trinnvis melding?
Dersom alle opplysningene ikke kan gis samtidig, tillater artikkel 33 nr. 4 at de gis trinnvis uten ytterligere ugrunnet opphold. Send tilgjengelige fakta innenfor fristen og identifiser manglende opplysninger. Angi hvordan de undersøkes og når dere forventer å kunne oppdatere. Dette gjelder ufullstendig informasjon; det er ikke et generelt fritak fra å sende første melding i tide.
Knytt oppdateringene til samme sak. Forklar hva som er endret siden forrige melding og hvorfor. Hvis første anslag var 100 personer og gjennomgangen viser 800, må både tallet og risikovurderingen oppdateres. Nye funn kan også utløse varsling til personer selv om dette ikke var vurdert nødvendig i første fase. Bevar tidligere vurderinger slik at utviklingen kan etterprøves.
Når skal de berørte personene varsles?
Ved sannsynlig høy risiko skal de berørte få informasjon uten ugrunnet opphold. Artikkel 34 har ingen egen 72-timersfrist. Varslingen skal gi personene mulighet til å forstå situasjonen og beskytte seg. Ikke vent på Datatilsynets svar hvis vilkårene allerede er oppfylt. Melding til myndigheten og informasjon til personene kan måtte skje parallelt.
Varslet skal bruke et klart og enkelt språk, beskrive bruddets art og inneholde relevant kontaktinformasjon, sannsynlige konsekvenser og tiltak. Tilpass råd til opplysningene som faktisk er rammet. Passordbytte hjelper ved kompromitterte passord, men løser ikke lekkasje av en beskyttet adresse. Unngå standardråd som skaper inntrykk av at personen alene kan fjerne all risiko.
Velg en kanal som faktisk når de berørte og ikke øker eksponeringen. En e-post med alle mottakere synlig kan skape et nytt brudd. En offentlig liste over berørte personer er normalt heller ikke en forsvarlig måte å informere på. Ved svindelfare kan virksomheten forklare hvordan mottakeren kan bekrefte at informasjonen er ekte uten å følge en ukjent lenke.
Når kan individuell varsling unnlates?
Artikkel 34 nr. 3 åpner for unntak når egnede beskyttelsestiltak gjør opplysningene uforståelige for uvedkommende, eller når etterfølgende tiltak gjør at den høye risikoen sannsynligvis ikke lenger vil oppstå. Det tredje tilfellet er uforholdsmessig innsats; da kreves offentlig informasjon eller et tilsvarende tiltak som når personene like effektivt. Unntakene må begrunnes konkret.
Kryptering er ikke en automatisk begrunnelse hvis nøkkelen også er kompromittert eller angriperen hadde en aktiv brukersesjon med tilgang til klartekst. At en mottaker lover å slette en fil kan være relevant, men vurder om løftet er troverdig og om filen er delt videre. Tiltaket må redusere den konkrete risikoen, ikke bare gi virksomheten et dokument å arkivere.
Tre hypotetiske hendelser og avgjørelsen de krever
En lønnsfil sendes til feil ekstern mottaker. Virksomheten må undersøke innholdet, hvem mottakeren er, om filen er åpnet og om den kan tilbakekalles eller slettes. En bekreftet sletting kan redusere risikoen, men lønnsopplysninger og identifikatorer krever fortsatt en konkret vurdering. Det er ikke tilstrekkelig å bruke kategorien «feilsendt e-post» som fast begrunnelse for å la være å melde.
En bærbar datamaskin blir stjålet. Dersom lagringen er godt kryptert, nøkkelen er utilgjengelig og ingen annen tilgang er eksponert, kan risikoen for utlevering være lav. Virksomheten må også undersøke tap av tilgjengelighet og eventuelle åpne innlogginger. Kontroll av sikkerhetskopier og kontotilganger kan gi et annet bilde enn en vurdering som bare ser på harddisken.
Et løsepengeangrep stanser et tjenestesystem, men det finnes foreløpig ingen bevis for uthenting. Virksomheten må undersøke både tilgjengelighet, integritet og mulig utlevering. Hvis personer ikke får nødvendig oppfølging, kan fraværet av dokumentert uthenting ikke alene begrunne lav risiko. Gjenopprettingsplanen hjelper med driften, mens vurderingen etter artikkel 33 og 34 tar utgangspunkt i konsekvensene for personene.
Dokumentasjon når virksomheten ikke melder
Artikkel 33 nr. 5 krever dokumentasjon av bruddet, virkningene og tiltakene. Ved beslutning om ikke å melde bør dokumentasjonen også vise hvorfor risiko ble vurdert som usannsynlig. Registrer dato, beslutningstaker, tilgjengelige fakta og forutsetninger. Dersom vurderingen bygger på at en bestemt beskyttelse fungerte, legg ved et egnet bevis på dette.
En slik vurdering må kunne åpnes igjen. Hvis leverandøren senere bekrefter at flere kontoer var rammet, eller at en slettet fil likevel ble delt, må risiko og melding vurderes på nytt. Det opprinnelige utfallet er ikke bindende når faktagrunnlaget endrer seg. Forklar også hvordan nye opplysninger påvirker tidligere antakelser om når virksomheten ble kjent med bruddet.
Begrens innholdet i selve hendelsesloggen. Den trenger ikke en ukryptert kopi av alle lekkede helseopplysninger for å dokumentere hendelsen. Bruk referanser til et sikret bevisområde med begrenset tilgang der detaljer må bevares. Fastsett lagringstid også for hendelsesdokumentasjonen etter prinsippet om lagringsbegrensning.
Flere regelverk og riktig mottaker
For norske behandlinger er Datatilsynet normalt kontaktpunktet, men grenseoverskridende behandling kan kreve en vurdering av ledende tilsynsmyndighet og reglene om samarbeid. Et konsern må ikke automatisk anta at morselskapets myndighet håndterer alle datterselskapenes brudd. Kartlegg behandlingsansvar, hovedetablering og hvilke personer og behandlinger som er rammet før meldingsansvaret fordeles.
En hendelse kan samtidig berøre DORA i Norge, digitalsikkerhetsloven eller avtalte varslingsplikter. Hvert regelverk har eget virkeområde, terskel og mottaker. En rapport til Finanstilsynet eller NSM erstatter ikke automatisk GDPR-meldingen. Bruk samme faktagrunnlag, men dokumenter separate avgjørelser slik at én ferdig innsendt rapport ikke skjuler en annen frist.
Ofte stilte spørsmål
Må alle avvik meldes til Datatilsynet?
Nei. Skill først mellom generelle sikkerhetsavvik og personopplysningsbrudd. For sistnevnte kan melding unnlates når bruddet sannsynligvis ikke medfører risiko for personers rettigheter og friheter. Alle personopplysningsbrudd skal dokumenteres, også når virksomheten bruker dette unntaket.
Hva skjer hvis vi melder for sent?
Forsinkelsen skal begrunnes, og manglende eller sen melding kan føre til reaksjoner. Meld uten ytterligere ugrunnet opphold selv om 72 timer er passert. Dokumenter tidslinjen og korriger svakheter i eskalering eller tilgang til meldingskanalen.
Regnes en e-post til feil mottaker som et brudd?
Når feilsendingen innebærer uvedkommendes tilgang til personopplysninger, er det et konfidensialitetsbrudd. Innhold, mottaker, videre spredning og skadebegrensende tiltak avgjør den videre risikovurderingen. Én enkelt e-post kan være alvorlig.
Hva er forskjellen på melding til Datatilsynet og varsling av de berørte?
Meldingen til myndigheten følger artikkel 33 og terskelen risiko, med unntaket for usannsynlig risiko. Informasjon til personer etter artikkel 34 utløses av sannsynlig høy risiko og skal hjelpe dem å beskytte seg. Begge krever handling uten ugrunnet opphold.
Konklusjon
Fastslå hva som har skjedd, dokumenter når virksomheten ble kjent med bruddet, og vurder konsekvensene for mennesker. Send en trinnvis melding når fakta mangler, og avgjør varsling til personer separat. En etterprøvbar tidslinje og tydelige risikovurderinger gjør det mulig å korrigere kursen når undersøkelsen gir nye opplysninger.
Sist faglig gjennomgått: 27. september 2026. Hendelsene ovenfor er hypotetiske eksempler, ikke omtale av tilsynsavgjørelser.