Datatilsynet kalder det helt afgørende, at virksomheden har procedurer for sikkerhedshændelser, og tilsynet anbefaler faste regler for, hvornår DPO’en får besked. En sådan procedure behøver ikke være lang. Hvis den skal bruges en lørdag aften af en, der aldrig har prøvet det før, er én side et godt mål. Den skal svare på, hvem der melder, hvem der vurderer, hvem der beslutter, og hvem der gør det, når den første er væk. Hvordan selve hændelsesprocessen ejes og vedligeholdes, er gennemgået under ejerskab af hændelseshåndtering. Her handler det om persondatadelen og DPO’ens plads.
Hvad Datatilsynet forventer
Vejledningen om brud fra maj 2025 siger i afsnit 7, at en procesbeskrivelse bør adressere fem ting: intern rapportering og ansvarsfordeling, stop af bruddet, risikovurderingen, anmeldelse og underretning til tiden og dokumentationen. Procedurerne skal også tage højde for brud hos databehandlere og underdatabehandlere. Medarbejderne skal i nødvendigt omfang kende dem, og de relevante skal kunne genkende og håndtere et brud.
Uden en procedure kan fristen være brugt, før nogen har reageret. Datatilsynet regner en medarbejders viden som virksomhedens, og ferie er generelt ingen grund til at være for sen.
Hvor DPO’en kommer ind
Datatilsynet stiller ingen krav om, at DPO’en deltager direkte hver gang, og peger på, at det kan være upraktisk, hvor brud er hyppige. I stedet skal det være aftalt på forhånd, hvornår DPO’en får besked, og tilsynet nævner tvivlstilfælde og behov for råd som eksempler. EDPB, de europæiske tilsynsmyndigheders fælles råd, går længere og anbefaler i retningslinjer 9/2022, at DPO’en orienteres hurtigt og er med i hele forløbet. Mange mindre virksomheder har få brud, og så er det enkleste at orientere DPO’en om alle.
Beslutningen om anmeldelse ligger normalt hos jer. DPO’en rådgiver og følger op. Tre ting gør rollen tydelig i en procedure:
Orientering sker tidligt. DPO’en skal have besked, mens der stadig kan rådgives, og ikke når sagen er afgjort.
Råd og beslutning står hver for sig. Noter, hvad DPO’en anbefalede, og hvad I besluttede. Følger I ikke rådet, skrives grunden ned.
DPO’en udfører ikke. Skal DPO’en bagefter kunne vurdere håndteringen, må vedkommende ikke have stået for den.
Forslag til siden
Her er et forslag, I kan tilpasse. Opbygningen er vores, og den er intet officielt skema.
1. Hvad er et muligt brud? To linjer og et link til definitionen. Eksempler fra jeres hverdag, også systemer, der er låst af ransomware.
2. Sådan melder du. Én kanal, fx et telefonnummer og en postkasse, der bliver læst. Hellere for meget end for lidt. Ingen bliver kritiseret for at melde en fejl.
3. Første tiltag. Standse bruddet uden at slette spor. IT eller driftsleverandøren står for det.
4. Hvem vurderer. Navn og afløser på den, der samler fakta og laver risikovurderingen. Tidspunktet for kendskab noteres med det samme.
5. Hvornår DPO’en orienteres. Skriv en konkret regel, fx alle brud, eller alle brud med følsomme oplysninger og alle tvivlstilfælde. Med kontaktoplysninger.
6. Hvem beslutter. Navn og afløser, normalt i ledelsen. Personen må beslutte alene, når de andre ikke kan nås.
7. Hvem anmelder. Navn og afløser med bemyndigelse og adgang til anmeldelsen på Virk. Datatilsynet anbefaler, at I udpeger bemyndigede.
8. Personerne. Hvem der vurderer, om de berørte skal have besked. Reglerne er gennemgået under underretning af de registrerede.
9. Leverandører. En liste over databehandlere med kontakt, og hvem hos jer deres meddelelser går til.
10. Dokumentation. Alt i brudloggen, også det, der ikke blev anmeldt. Kopi af anmeldelsen gemmes.
11. Andre myndigheder. Er I omfattet af NIS2 eller anden særlovgivning, så link til den plan, der gælder.
12. Efterpå. Hvad ændrer vi, så fejlen ikke gentager sig?
Rollerne i kort form
- Opdage og melde · Hvem: Alle medarbejdere, leverandører · DPO’ens rolle: Træning og kommunikation
- Standse og undersøge · Hvem: IT og driftsleverandør · DPO’ens rolle: Stiller spørgsmål om persondata
- Vurdere risiko · Hvem: Ansvarlig medarbejder · DPO’ens rolle: Rådgiver
- Beslutte anmeldelse · Hvem: Ledelsen eller bemyndiget · DPO’ens rolle: Rådgiver, får besked
- Anmelde · Hvem: Bemyndiget medarbejder · DPO’ens rolle: Kan stå som kontaktpunkt
- Dokumentere · Hvem: Den, der fører brudloggen · DPO’ens rolle: Kontrollerer
- Følge op · Hvem: Ledelsen · DPO’ens rolle: Overvåger og rapporterer
Står samme person i flere kolonner, så vurder, om det holder. Det gælder særligt, hvis DPO’en også har en rolle i sikkerhedsarbejdet. Kombinationen er gennemgået under ekstern CISO og DPO i samme person.
Hold den levende
En procedure, ingen har prøvet, er en antagelse. Gennemgå den med en tænkt sag en gang om året. Lad fx en medarbejder melde en mail til forkert modtager en fredag eftermiddag, og se, om det virker. Tjek navne og telefonnumre, når nogen stopper, og når en leverandør skiftes. DPO’en kan overvåge, at det sker, og rapportere til ledelsen.
Hos Nielco IT ligger akutte brud uden for det faste månedlige forløb, så aftal på forhånd, hvordan I får fat i rådgivning, når det haster. Resten af forløbet står på Sådan foregår det. Hvad der påvirker prisen, og hvordan I får et tilbud, står under pris og tilbud.
Det skal I lade være med
- At skrive den for lang · ingen læser ti sider under pres.
- At gøre DPO’en til beslutningstager · rollen er at rådgive og overvåge.
- At bygge på én person · alle funktioner skal have en afløser.
- At udelade leverandørerne · brud sker også hos dem.
Det skal I kræve af den eksterne
- ☐ Rådgivning om indholdet af proceduren og en gennemlæsning af udkastet.
- ☐ En skriftlig regel for, hvornår DPO’en orienteres.
- ☐ Klar besked om, hvad der er aftalt ved akutte brud.
- ☐ Kontrol af, at proceduren er kendt og afprøvet.
Kilder
- Datatilsynet: Håndtering af brud på persondatasikkerheden, maj 2025: afsnit 3.3, 3.4 og 7.
- Datatilsynet: Databeskyttelsesrådgivere (DPO’er): spørgsmålet om DPO’ens inddragelse i brud.
- EDPB: Retningslinjer 9/2022 om anmeldelse af brud: afsnittet om DPO’ens rolle.
- Forordning (EU) 2016/679, dansk tekst: art. 33 og art. 39, stk. 1.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Anmeld et brud til Datatilsynet · Brudloggen
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
