Sådan håndteres et brud på persondatasikkerhed efter gældende regler

Et brud på persondatasikkerheden kan have konsekvenser for både de personer, hvis oplysninger er berørt, og for den dataansvarlige. Et brud opstår, når personoplysninger enten bliver ødelagt, mistet, ændret eller videregivet uden tilladelse. Lovgivningen stiller krav om hurtig og korrekt håndtering for at beskytte de berørte personer og sikre overholdelse af reglerne. Datatilsynet skelner mellem brud på fortroligheden, integriteten og tilgængeligheden af personoplysninger, og en enkelt hændelse kan ramme flere af dem på én gang.

Hvad et brud på persondatasikkerhed er og hvorfor det er vigtigt

Et brud på persondatasikkerheden indtræffer, når en sikkerhedshændelse resulterer i, at personoplysninger enten går tabt, bliver ændret eller havner hos uvedkommende parter. Det kan opstå ved eksempelvis fejl i fremsendelse af følsomme oplysninger eller hvis personer uden rette adgang får adgang til systemer. Disse episoder kan have indflydelse på privatlivets fred for de involverede. Datatilsynets vejledning fremhæver desuden eksempler som ransomware, tyveri af fysiske papirer med personoplysninger samt utilsigtet offentliggørelse.

Korrekt håndtering har stor betydning. Manglende overholdelse kan medføre krav om erstatning samt økonomiske sanktioner. Reglerne skal beskytte individers rettigheder og skabe åbenhed omkring behandlingen af persondata. I Danmark kan Datatilsynet ikke selv udstede bøder, men tilsynet kan politianmelde en virksomhed eller myndighed og indstille til en bøde, som domstolene derefter tager stilling til.

Undlader den dataansvarlige at dokumentere et sikkerhedsbrud eller at anmelde det, når reglerne kræver det, er det i sig selv et brud på GDPR.

Hvordan du bør handle ved et sikkerhedsbrud

Når et muligt brud opdages, skal situationen straks vurderes. Det er nødvendigt at dokumentere alle brud med oplysninger om hændelsen, dens konsekvenser og de tiltag, der iværksættes for at begrænse skaderne. Kan bruddet indebære en risiko for de registreredes rettigheder, skal det anmeldes til Datatilsynet uden unødig forsinkelse og om muligt senest 72 timer efter, at man er blevet bekendt med det. Sker anmeldelsen senere, skal forsinkelsen begrundes, og mangler der oplysninger, kan anmeldelsen ske trinvist, så resten eftersendes uden unødig forsinkelse.

Det er ikke alle brud, der kræver anmeldelse til Datatilsynet. Er det usandsynligt, at bruddet indebærer en risiko for de berørte, skal det ikke anmeldes, men alle brud skal stadig registreres internt sammen med vurderingen og eventuelle tiltag.

Indebærer bruddet sandsynligvis en høj risiko for de berørtes rettigheder, for eksempel ved tab af følsomme oplysninger, skal de også underrettes uden unødig forsinkelse. Det giver dem mulighed for selv at tage forholdsregler. Her gælder ingen særskilt frist på 72 timer, men underretningen skal blandt andet beskrive de sandsynlige konsekvenser og de tiltag, der er sat i gang, og oplyse et kontaktpunkt.

Hvad reglerne betyder i praksis

Reglerne indebærer blandt andet, at procedurer og beredskab løbende bør gennemgås for at beskytte persondata bedst muligt. Det kan være hensigtsmæssigt at fastlægge interne retningslinjer for både forebyggelse og håndtering af sikkerhedshændelser. Tydelige procedurer gør det lettere hurtigt at identificere og reagere på et eventuelt brud. Da fristen på 72 timer også løber i weekender og på helligdage, bør beredskabet afklare, hvem der kan vurdere og anmelde et brud uden for normal kontortid. Ifølge Datatilsynet kan ferie eller sygdom blandt de ansvarlige medarbejdere generelt ikke begrunde en forsinket anmeldelse.

Anvendes eksterne databehandlere, eksempelvis IT-leverandører, skal de underrette den dataansvarlige uden unødig forsinkelse, når de bliver bekendt med et brud, også selv om databehandleren vurderer, at bruddet næppe indebærer en risiko. På den måde kan man hurtigt vurdere situationen og afgøre, om anmeldelse eller orientering af berørte personer er nødvendig.

Dokumentation bør være en central del af arbejdet med datasikkerhed. Alle hændelser noteres med relevante detaljer om både hændelsen og de efterfølgende handlinger. Grundig dokumentation gør det enklere at imødekomme krav fra myndigheder samt styrke tilliden hos de registrerede.

Datatilsynet har samlet regelsættet i en vejledning om håndtering af brud på persondatasikkerheden, som senest blev opdateret i sin helhed i maj 2025.