Efter art. 33, stk. 5, skal alle brud på persondatasikkerheden dokumenteres. Det gælder den store hændelse og den enkelte mail til forkert modtager, og det gælder uanset, om bruddet er anmeldt. Pligten er enkel at leve op til, for der er ingen formkrav, og et regneark kan være nok. Det svære er at få skrevet tingene ned, mens de stadig huskes, og at få begrundelsen med, når svaret var nej. Brudloggen, som dokumentet ofte kaldes, er det sted, hvor en tilsynsførende ser, om jeres procedure virker.
Det, loven kræver
Art. 33, stk. 5, nævner tre ting: de faktiske omstændigheder ved bruddet, virkningerne og de afhjælpende foranstaltninger. Formålet er, at Datatilsynet kan kontrollere, om I har overholdt reglerne. Pligten hænger også sammen med ansvarligheden i art. 5, stk. 2, altså at I skal kunne påvise, at reglerne er fulgt.
Ordet “brudlog” står ikke i loven. Det er en praktisk betegnelse. Datatilsynet kalder det et dokumentationsregister.
Felterne
Datatilsynets vejledning fra maj 2025 giver et forslag i afsnit 5, som I kan bruge direkte:
- Dato og tidspunkt for bruddet.
- Hvad der er sket.
- Årsagen.
- Hvilken type personoplysninger der er berørt.
- Konsekvenserne for de berørte.
- De afhjælpende foranstaltninger.
- Om bruddet er anmeldt til Datatilsynet og hvornår, og hvis ikke, begrundelsen.
- Om de berørte er underrettet og hvornår, og hvis ikke, begrundelsen.
Tre felter mere gør loggen lettere at bruge: tidspunktet, I blev bekendt med bruddet, hvem der traf beslutningen, og et løbenummer. Det første er grundlaget for at kunne vise, at fristen er overholdt. Det andet gør, at en senere læser ved, hvem der kan spørges. Felterne er vores forslag og intet krav.
Begrundelsen er det vigtigste felt
Vejledningen beder om, at I også dokumenterer begrundelserne for væsentlige beslutninger under bruddet. Det gælder særligt, når I har besluttet ikke at anmelde. Så skal det fremgå, hvorfor I mener, at en risiko for personerne er usandsynlig. Samme krav gælder, hvis I har valgt ikke at underrette de berørte.
En linje som “lav risiko, ikke anmeldt” er derfor for lidt. Skriv i stedet, hvad der talte for det. En tænkt registrering kunne lyde sådan: Mail med et enkelt navn og en mødedato gik til en samarbejdspartner, der behandler den slags oplysninger i forvejen. Modtageren bekræftede samme dag at have slettet mailen. Ingen følsomme oplysninger, én berørt. Vurderet som usandsynlig risiko af økonomichefen med råd fra DPO’en.
Hvordan vurderingen laves, står i artiklen om anmeldelse. Bliver en anmeldelse sen, kan oplysningerne i loggen også bruges til at forklare forsinkelsen.
Hvem der fører den
Den dataansvarlige har pligten. Lovens tekst siger ikke, hvem der skal holde pennen. Det er ofte en medarbejder tæt på compliance, jura eller økonomi, gerne med en afløser, så registreringen ikke afhænger af ét menneske.
DPO’en bør have adgang og læse med, for art. 39, stk. 1, litra b, giver DPO’en til opgave at overvåge overholdelsen. Vi anbefaler, at DPO’en holder sig til det. Fører DPO’en selv loggen og vurderer bagefter dens kvalitet, kontrollerer vedkommende sit eget arbejde. EDPB, de europæiske tilsynsmyndigheders fælles råd, nævner dog i retningslinjer 9/2022, at registreringen kan lægges på DPO’en som ekstra opgave. Rollefordelingen skal altså vurderes hos jer, og den skal stå i rollebeskrivelsen.
IT og leverandører skal levere fakta. Lukker IT sager uden at give besked videre, bliver loggen ufuldstændig. Derfor skal proceduren ved brud sige, at alle mulige brud meldes til den, der fører loggen. Er noget anmeldt, så læg kopien ind. Erhvervsstyrelsen sletter anmeldelser efter 30 dage, så den kopi, I selv gemmer, er den, I har.
Hvad Datatilsynet kan bede om
Dokumentationen skal kun udleveres, hvis tilsynet anmoder om det. Der er ingen pligt til at sende loggen ind af sig selv. Datatilsynet kan efter databeskyttelseslovens § 29 kræve de oplysninger, der har betydning for dets arbejde, og det er naturligt at spørge til loggen ved et tilsyn eller i en sag om en anmeldelse.
Vejledningen siger, at det almindeligvis er hensigtsmæssigt at gemme dokumentationen i fem år efter bruddet, fordi forældelsesfristen er fem år. Loggen må heller ikke selv blive et problem. Hold navne på berørte personer ude, hvis kategorier og antal er nok.
Pligten står, også hvis reglerne ændres
Rådets mandat fra oktober 2026 foreslår en højere tærskel for anmeldelse og lader art. 33, stk. 5, stå uændret. Forslaget er ikke vedtaget. Bliver det vedtaget i den form, er det vores vurdering, at loggen får større vægt, for flere vurderinger vil så kun findes dér.
En rytme for loggen
Når loggen er fyldt ud, bør den også bruges. Gennemgå den et par gange om året, og læg mærke til mønstre. Går de samme fejl igen, er det ofte et tegn på, at en foranstaltning mangler, fx mod mails til forkert modtager. Resultatet kan indgå i DPO’ens rapport til den øverste ledelse.
Det skal I lade være med
- At registrere de anmeldte brud alene · pligten gælder alle brud.
- At nøjes med “ikke anmeldt” · begrundelsen er det vigtigste.
- At vente, til sagen er overstået · detaljerne forsvinder hurtigt.
- At gemme kundelister i loggen · loggen må ikke blive et nyt problem.
Det skal I kræve af den eksterne
- ☐ En skabelon med felterne og forklaring af dem.
- ☐ Rådgivning om begrundelsen i tvivlstilfælde.
- ☐ Stikprøver i loggen op imod IT’s sager.
- ☐ Opsummering af mønstre i rapporten til ledelsen.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 5, stk. 2, art. 33, stk. 5, og art. 39, stk. 1, litra b.
- Datatilsynet: Håndtering af brud på persondatasikkerheden, maj 2025: afsnit 5.
- EDPB: Retningslinjer 9/2022 om anmeldelse af brud: afsnittet om DPO’ens rolle.
- Databeskyttelsesloven, LBK nr. 289 af 8/3 2024: § 29 og § 41, stk. 7.
- Datatilsynet: Anmeld sikkerhedsbrud: sletning efter 30 dage.
- Rådets mandat, ST 14756/26: forslag af 22. oktober 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Skal bruddet anmeldes? · Er det et brud?
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
