Hovedreglen er, at et brud på persondatasikkerheden skal anmeldes til Datatilsynet. Undtagelsen gælder, når det er usandsynligt, at bruddet er en risiko for de berørtes rettigheder, jf. art. 33, stk. 1. Tærsklen er altså lav, og det er jer, der skal kunne vise, at I ligger under den. Vurderingen handler om de personer, det går ud over, og den skal laves straks. Denne artikel handler om vurderingen efter databeskyttelsesforordningen alene. Hvordan den spiller sammen med en NIS2-underretning, er gennemgået under persondatabrud og NIS2.
Hvad risiko betyder her
Datatilsynets vejledning fra maj 2025 beskriver risiko som to ting ganget sammen: hvor sandsynligt et negativt udfald er, og hvor alvorligt det vil være. Følgerne kan være identitetstyveri, økonomisk tab, skade på omdømme, diskrimination eller tab af fortrolighed om noget, der er omfattet af tavshedspligt.
Læg mærke til, hvem der vurderes. Virksomhedens eget tab, omtale og driftsstop hører til et andet regnskab. Spørgsmålet er, hvad bruddet kan betyde for kunden, medarbejderen eller patienten, på kort og lang sigt. Forskellen er uddybet i risikovurdering for de registrerede.
Faktorerne
Vejledningen opregner forhold, der bør indgå hver gang. De virker i kombination, og ingen af dem afgør sagen alene.
Typen af brud. Oplysninger, der er utilgængelige en periode, giver andre følger end oplysninger, der er lagt ud på nettet.
Oplysningernes art og mængde. Helbred, gæld og strafbare forhold vejer tungt. Et CV kan se harmløst ud, men rumme et personnummer eller afsløre, at en ansat søger væk. En mailadresse kan bruges til målrettet phishing, når angriberen også ved, hvem personen har talt med.
Hvor nemt personerne kan identificeres. Kryptering og pseudonymisering, hvor oplysninger ikke kan føres tilbage til en person uden en separat nøgle, mindsker risikoen.
Hvem der har fået oplysningerne. Er de endt hos kriminelle, må I regne med onde hensigter. Er de gået til en kendt samarbejdspartner, der normalt behandler den slags oplysninger, kan modtagerens troværdighed tælle med. En tavshedspligt hos modtageren fjerner ikke i sig selv risikoen.
Varigheden. Jo længere oplysninger har været fejlbehæftede, utilgængelige eller åbne, desto højere risiko, medmindre det kan vises, hvad der foregik imens.
Særligt sårbare personer. Børn, syge og socialt udsatte kan blive ramt hårdere og har sværere ved selv at beskytte sig.
Antallet. Flere berørte giver som udgangspunkt højere risiko, men det er ikke afgørende alene.
Fælden med gennemsnittet
Risikoen skal vurderes for den enkelte. Datatilsynet skriver i afsnit 3.2.8, at et brud som udgangspunkt skal anmeldes, selvom det kun indebærer en risiko for én ud af mange. En liste over tusind kunders adresser kan være ufarlig for de fleste og alvorlig for den ene med adressebeskyttelse. Derfor skal I spørge, om der er nogen på listen, for hvem det her er værre.
Når I ikke ved nok
Det svære brud er det, hvor I mangler viden. Vejledningen siger, at manglende kendskab til, hvor oplysningerne er endt, som udgangspunkt øger den mulige risiko, og at udgangspunktet er det værste scenarie.
Når I efter 72 timer stadig ikke har kunnet undersøge de mulige følger, kan I normalt heller ikke sige, at en risiko er usandsynlig. Så bør bruddet som udgangspunkt anmeldes. Hvad jeres logs betyder for netop den situation, står i artiklen om logs.
Bevisbyrden ligger hos jer. Hvis uvedkommende har haft adgang til jeres IT-miljø, skal I kunne vise, også ved tekniske midler, at adgangen ikke er blevet udnyttet. En mavefornemmelse hos IT-leverandøren er for lidt.
Et begrundet nej
Et nej er et lovligt resultat. Vejledningen nævner, at bruddet kan være uden følger for personerne på grund af jeres sikkerhed eller en hurtig indgriben. Det skal bare kunne dokumenteres.
Beslutningen om ikke at anmelde hører til dem, der kræver mest skriftlighed. Noter fakta, de faktorer I har vurderet, konklusionen, hvem der traf beslutningen, og hvornår. Det hører hjemme i brudloggen, for alle brud skal dokumenteres efter art. 33, stk. 5, og Datatilsynet kan bede om at se dokumentationen.
Er I i tvivl, kan I ringe til Datatilsynet og få vejledning. Vejledningen nævner selv den mulighed.
Hvem der gør hvad
Efter Datatilsynets side om DPO’er behøver DPO’en ikke deltage i hvert enkelt brud, og beslutningen om anmeldelse ligger normalt hos jer som dataansvarlig. DPO’en rådgiver og overvåger. I praksis giver det mening at inddrage DPO’en i tvivlstilfælde og, hvis I har valgt at gøre det, i alle afslag på anmeldelse. IT leverer fakta, DPO’en giver sin vurdering, og ledelsen eller en bemyndiget person beslutter.
Der findes også et næste spørgsmål: Skal personerne selv have besked? Det gælder ved høj risiko, og den vurdering er behandlet under underretning af de registrerede.
Foreslåede ændringer
Reglen ovenfor gælder. I sit mandat fra oktober 2026 har Rådet foreslået en højere tærskel, så kun sandsynlig høj risiko udløser anmeldelse. Intet er vedtaget, og pr. 5. november 2026 har Parlamentet ikke taget stilling. Vurder derfor efter den gældende tærskel.
Det skal I lade være med
- At måle på virksomhedens eget tab · det er følgerne for personerne, der tæller.
- At bruge gennemsnittet · enkelte personer kan være særligt udsatte.
- At vælge et nej uden skriftlig begrundelse · det kan I ikke forsvare bagefter.
- At vente på sikker viden · tiden løber imens.
Det skal I kræve af den eksterne
- ☐ En kort skabelon til risikovurdering med vejledningens faktorer.
- ☐ Rådgivning i tvivlstilfælde, med vurderingen skrevet ned.
- ☐ Gennemgang af jeres afslag på anmeldelse med faste mellemrum.
- ☐ Klar besked om, at beslutningen ligger hos jer.
Kilder
- Forordning (EU) 2016/679, dansk tekst: art. 33, stk. 1 og 5.
- Datatilsynet: Håndtering af brud på persondatasikkerheden, maj 2025: afsnit 3.2 til 3.2.8, 3.7 og 5.
- Datatilsynet: Databeskyttelsesrådgivere (DPO’er): spørgsmålet om DPO’ens inddragelse i brud.
- Rådets mandat, ST 14756/26: forslag til ændring af art. 33.
- Parlamentets procedurefil 2025/0360(COD): status læst 5. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: 72 timer: hvornår starter uret? · Er det et brud?
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
