Uret starter, når I som dataansvarlig er blevet bekendt med bruddet. Det kan være længe efter, at fejlen skete, og før ledelsen hører om den, for Datatilsynet regner som udgangspunkt virksomheden for bekendt, når en medarbejder ved det. En løs formodning forpligter jer til at undersøge sagen hurtigt, og uret starter først, når I har rimelig vished. Ligger fejlen hos en leverandør, er I i princippet bekendt, når leverandøren har givet jer besked. Fristen er 72 timer pr. 5. november 2026, og den tæller også i weekender og ferier. Forslaget om 96 timer er kun et forslag, og det kommer vi tilbage til.
Fristen er to krav
Art. 33, stk. 1, kræver anmeldelse uden unødig forsinkelse, og fristen er om muligt 72 timer fra det øjeblik, I fik kendskab til bruddet. De 72 timer er altså det yderste mål. Kan I anmelde efter en dag, skal I gøre det, for Datatilsynet læser kravet sådan, at anmeldelse skal ske, så snart det er muligt, selv om det er før udløbet.
Hvad der er en unødig forsinkelse, afgøres blandt andet af bruddets alvor og følgerne for personerne.
Fra formodning til bekendt
Vejledningen fra maj 2025 tegner et forløb i tre trin.
Først kommer formodningen. Noget ser forkert ud, en kunde ringer, en leverandør skriver, eller en journalist spørger. Formodningen kan stamme fra hvem som helst, og alle sådanne meldinger bør undersøges.
Så kommer den indledende undersøgelse. Den skal ske hurtigst muligt og inddrage de relevante parter, også leverandører. Målet er med en rimelig grad af sikkerhed at fastslå, om der er sket et brud.
Til sidst har I rimelig grad af vished om, at sikkerheden er brudt og personoplysninger ramt. Nu er I bekendt, og uret går.
Vejledningen forventer, at de to første trin går hurtigt. Noter derfor tidspunkterne, så I bagefter kan vise forløbet.
Og hvis I efter de første undersøgelser stadig er i tvivl og ikke kan afvise bruddet? Så bør tvivlen som udgangspunkt føre til anmeldelse. Viser det sig senere, at der ikke var et brud, kan I meddele det til Datatilsynet.
En tænkt situation: En supportmedarbejder ser fredag kl. 16 en sag, hvor en kunde har fået en anden kundes faktura. Han aftaler at tage den mandag. Hvis fakturaen tydeligt viser fejlen, kan virksomheden allerede være bekendt fredag, for medarbejderen kender den. Så er uret løbet ud mandag eftermiddag.
Weekender, helligdage og ferie
Datatilsynet er tydeligt her. Fristen skal overholdes, selvom I først får kendskab uden for normal kontortid. Fravær af dem, der plejer at stå for anmeldelsen, er generelt ingen undskyldning, heller ikke ferie og sygdom. Tilsynet forventer, at I har taget højde for det i jeres procedurer.
Det betyder, at en virksomhed med fem kontordage skal kunne reagere på en lørdag. Det kræver navne, afløsere og adgang til anmeldelsen, og det kan klares uden en vagtordning. Det hører hjemme i proceduren ved brud.
Hvis I ikke når det
Sker anmeldelsen efter 72 timer, skal der følge en begrundelse med. Datatilsynet vurderer altid, om begrundelsen holder.
Vejledningen nævner to situationer, hvor en vis forsinkelse kan forsvares. Den ene er et alvorligt brud, der endnu ikke er standset, hvor kræfterne går til at stoppe det. Den anden er, at oplysninger er tilgået af personer med kriminelle hensigter, og at I prioriterer at forhindre misbrug, fx i dialog med Styrelsen for Samfundssikkerhed eller politiet.
Manglende overblik er ikke en grund til at vente. En ufuldstændig anmeldelse kan sendes til tiden og suppleres trinvis.
Når fejlen ligger hos leverandøren
Databehandleren, altså den leverandør, der behandler oplysninger på jeres vegne, har sin egen regel i art. 33, stk. 2. Den skal underrette jer uden unødig forsinkelse, og Datatilsynet understreger, at det gælder i alle tilfælde. Leverandøren må ikke selv vurdere, at risikoen er for lille, og den må ikke gå ud fra, at I allerede ved det. Har den flere kunder, skal hver enkelt have besked.
Art. 33, stk. 2, har ingen frist i timer. EDPB, de europæiske tilsynsmyndigheders fælles råd, skriver i retningslinjer 9/2022, at den dataansvarlige i princippet bør anses for bekendt, når databehandleren har informeret den. Jeres 72 timer begynder altså som hovedregel, når beskeden når frem.
En langsom leverandør kan alligevel koste jer tid. Alt, I har brug for til anmeldelsen, ligger hos den. Datatilsynet anbefaler, at pligten og proceduren står i databehandleraftalen. Skriv, hvem hos jer beskeden skal til, hvilken kanal der bruges, og hvad den første besked skal indeholde. En almindelig driftsmail til en fælles postkasse, der ikke læses i weekenden, er en dårlig løsning.
Leverandøren må gerne anmelde på jeres vegne, hvis I har givet fuldmagt, men ansvaret bliver hos jer.
Forslaget om 96 timer
72 timer gælder. Rådets mandat til Digital Omnibus af 22. oktober 2026 foreslår, at anmeldelse skal ske om muligt senest 96 timer og kun ved sandsynlig høj risiko, via et nationalt indgangspunkt. Efter mandatet ville brudreglerne først gælde 18 måneder efter ikrafttræden. Parlamentets procedurefil viste den 5. november 2026, at sagen ventede på udvalgsbeslutning, og at Parlamentet ikke havde en stilling. Teksten kan ændre sig, så byg ikke procedurer på den.
Det skal I lade være med
- At regne fristen fra ledelsens besked · en medarbejders viden tæller som udgangspunkt.
- At lade en mulig fejl ligge til mandag · weekenden tæller med.
- At vente på leverandørens fulde rapport · anmeld det, I ved, og suppler bagefter.
- At tilpasse proceduren til 96 timer · forslaget er ikke vedtaget.
Det skal I kræve af den eksterne
- ☐ Rådgivning om, hvornår I er bekendt, med tidspunktet skrevet ned.
- ☐ Gennemgang af brudklausulerne i databehandleraftalerne.
- ☐ Kontrol af, at proceduren dækker weekender og fravær.
- ☐ Besked, hvis reglerne om brud ændres.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 33, stk. 1, 2 og 4.
- Datatilsynet: Håndtering af brud på persondatasikkerheden, maj 2025: afsnit 3.3 til 3.5.
- EDPB: Retningslinjer 9/2022 om anmeldelse af brud: om databehandleren og kendskabet.
- Rådets mandat, ST 14756/26: forslag af 22. oktober 2026.
- Parlamentets procedurefil 2025/0360(COD): status læst 5. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Skal bruddet anmeldes? · Digital Omnibus og GDPR
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
