Brud på persondatasikkerheden
Et brud er mere end et hackerangreb. En mail til forkert modtager, en tabt bærbar, et nedbrud og en mappe, der står åben for for mange, kan alle være brud, for reglerne dækker både fortrolighed, integritet og tilgængelighed. Datatilsynet modtog 9.849 anmeldelser i 2025. Siden her er bygget til to situationer: I står med et muligt brud nu, eller I vil være klar, før det sker.
Står I med et muligt brud nu?
Tag det i denne rækkefølge. Listen er vores, og vejledningen fra Datatilsynet går i detaljer.
- Skriv tidspunktet ned. Noter, hvornår en medarbejder blev bekendt med sagen. Fristen regnes herfra, og en formodning skal undersøges hurtigst muligt.
- Stands bruddet, og bevar sporene. IT eller driftsleverandøren lukker adgangen uden at slette logs.
- Saml fakta. Hvilke oplysninger, hvor mange personer, hvem kan have set dem, og hvor længe?
- Vurder risikoen. Et brud skal anmeldes, medmindre det er usandsynligt, at det indebærer en risiko for personerne. Efterlader de indledende undersøgelser jer i tvivl, bør I som udgangspunkt anmelde.
- Anmeld om muligt inden for 72 timer. Det sker på Virk. Mangler I noget, kan oplysningerne gives trinvis efter art. 33, stk. 4.
- Skriv det hele i brudloggen. Art. 33, stk. 5, gælder alle brud, også dem, der ikke skal anmeldes.
Beslutningen om at anmelde ligger hos den dataansvarlige. Fristen løber også i weekender og på helligdage. Er der tale om et angreb, handler de første timer også om ledelse og drift, og det er beskrevet under de første timer efter en hændelse.
Er det et brud, og skal det anmeldes?
- Er det et brud på persondatasikkerheden? De tilfælde, mange overser Definitionen brugt på nedbrud, åbne mapper og andet, der sjældent bliver meldt.
- Skal bruddet anmeldes? Sådan vurderer I risikoen Tærsklen, vurderingsfaktorerne og det, et begrundet nej skal kunne stå på.
- 72 timer: hvornår starter uret, også når fejlen er hos leverandøren? Hvad det vil sige at være bekendt med bruddet, også ved ferie og fejl hos en databehandler.
72 timer er reglen. Rådets mandat til Digital Omnibus foreslår 96 timer og anmeldelse alene ved sandsynlig høj risiko. Det er et forslag, som Digital Omnibus og GDPR gennemgår, og det ændrer intet i dag.
Sådan håndterer I det
- Anmeld et brud til Datatilsynet: det, der skal stå, og hvordan I gør Blanketten på Virk, hvem der må anmelde, og hvorfor I skal gemme en kopi selv.
- Brudloggen: alle brud skal skrives ned, også dem, I ikke anmelder Felterne, hvem der fører loggen, og hvorfor begrundelsen vejer tungest.
- Procedure ved brud på én side: hvor DPO’en kommer ind Roller mellem jer, IT og leverandøren, skrevet, så siden kan bruges en lørdag aften.
De brud, der fylder mest
- Mail til forkert modtager: brud, anmeldelse og autofuldførelse Det typiske brud, vurderingen af det og Datatilsynets skærpede praksis om auto-complete.
- Ransomware som persondatabrud: tilgængelighed, læk og anmeldelse Krypterede data er et brud i sig selv, og spørgsmålet om læk afgør resten.
- Kan I vise, hvad angriberen så? Derfor afgør jeres logs bruddet Logs er jeres bevis, og de skal være slået til, før noget går galt.
Personerne og andre myndigheder
Ved høj risiko skal de berørte have besked efter art. 34. Det emne er behandlet under underretning af de registrerede. Er I også omfattet af NIS2, kan samme hændelse skulle meldes to steder, som det står i Én hændelse, to underretninger.
DPO’ens plads
Det er ikke et krav, at DPO’en altid er direkte involveret. Datatilsynets FAQ peger på en klar og veldefineret procedure for, hvornår DPO’en skal orienteres. DPO’en rådgiver, og den dataansvarlige beslutter. Når I aftaler en ekstern DPO, bør det stå i aftalen, hvordan brud håndteres uden for den faste ramme. Et brud følger ingen månedsplan, så rollerne skal være fordelt, før det sker. Hvor det hører til i samarbejdet, står på Sådan foregår det.
Det skal I lade være med
- At vente på fuld vished · 72 timer løber, mens I undersøger, og oplysningerne kan eftersendes.
- At slette spor for at komme videre · de samme logs skal vise, hvad der skete.
- At lade et lille brud gå uden om loggen · alle brud skal skrives ned.
Det skal I kræve af den eksterne
- ☐ En aftale om, hvornår og hvordan DPO’en bliver orienteret.
- ☐ Rådgivning om vurderingen, mens beslutningen bliver hos jer.
- ☐ En skriftlig aftale om håndtering af brud uden for den faste ramme.
- ☐ Læsning af brudloggen som en del af den faste kontrol.
Kilder
- Databeskyttelsesforordningen (EU) 2016/679: art. 4, nr. 12, og art. 33 og 34.
- Datatilsynet: Håndtering af brud på persondatasikkerheden, opdateret 14/5 2025.
- Datatilsynet: Anmeld sikkerhedsbrud.
- Datatilsynet: Årsberetning 2025.
- Datatilsynet: Databeskyttelsesrådgivere (DPO’er), FAQ.
- Rådets mandat, ST 14756/26.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Brudloggen · Anmeld et brud til Datatilsynet
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
Mangler I en DPO?
Fortæl kort, hvad der fylder: et kundekrav, en konsekvensanalyse, et brud eller en DPO, der stopper. Rådgivningen er uvildig og uden bindinger til leverandører, så svaret tager udgangspunkt i jeres situation.
