Hvornår skal der ske anmeldelse til Datatilsynet?

Hvornår skal der ske anmeldelse til Datatilsynet: Intern vs ekstern

Beslutningen om hvornår skal der ske anmeldelse til datatilsynet påvirker virksomhedens administrative arbejdsbyrde markant. Korrekt vurdering af sikkerhedshændelser beskytter organisationen mod unødigt bureaukrati og spildt arbejde i pressede situationer. Forståelse af de reelle krav sikrer den rette balance mellem intern håndtering og ekstern rapportering til myndighederne.

Hvornår skal der ske anmeldelse til Datatilsynet ved et sikkerhedsbrud?

Hvorvidt en hændelse kræver officiel indberetning afhænger fuldstændig af den konkrete kontekst og den potentielle risiko for de berørte personer. Den dataansvarlige bør i tilfælde af et brud på persondatasikkerheden uden unødig forsinkelse og om muligt inden 72 timer foretage anmeldelse af brud på persondatasikkerheden til Datatilsynet via Virk.dk, medmindre det er usandsynligt, at bruddet medfører en risiko for personers rettigheder eller frihedsrettigheder.

Uret tikker hurtigt. Siden reglerne trådte i kraft og frem til efteråret 2026 er der registreret 72.014 sager i Danmark, hvilket svarer til et gennemsnit på omkring 865 anmeldelser om måneden alene i 2026. ^[1] Mange virksomheder går i panik, når uheldet er ude. De tror fejlagtigt, at enhver lille fejl skal indberettes øjeblikkeligt. Men der er en afgørende detalje om selve tidsfristen, som de fleste overser i farten - jeg forklarer præcis, hvordan du undgår den fælde i afsnittet om 72 timers frist gdpr databrud længere nede.

Hvornår begynder 72-timers fristen for anmeldelse til Datatilsynet præcist at løbe?

Fristen for anmeldelse til Datatilsynet begynder først at løbe i det øjeblik, den dataansvarlige er blevet bekendt med, at et brud på persondatasikkerheden faktisk har fundet sted. En blotte mistanke eller en uafklaret teknisk alarm starter typisk ikke uret, før en kort, indledende undersøgelse bekræfter hændelsen.

Her er detaljen, jeg nævnte tidligere: Du har ret til en kortvarig undersøgelsesperiode til at fastslå, om der reelt er sket et brud under databeskyttelsesforordningen (GDPR - General Data Protection Regulation).

Lad os være ærlige - når man sidder fredag eftermiddag klokken 16.30 med svedige håndflader og en brændende fornemmelse i øjnene foran skærmen, føles reglerne i Artikel 33 voldsomt abstrakte.

Da jeg håndterede mit første mulige sikkerhedsbrud, anmeldte jeg alt i ren panik efter to timer. Det var en fejl. Vi vidste slet ikke, hvilke personoplysninger der var berørt, og måtte sende tre rettelser bagefter. Helligdage og weekender tæller dog med i de 72 timer. Går en databehandler først i gang med at orientere dig mandag morgen om et brud fra fredag, kan tidspresset blive ekstremt.

Hvornår skal man anmelde databrud, og hvornår kan man nøjes med intern dokumentation?

Når man vurderer, hvornår skal man anmelde databrud, ligger skillelinjen ved sandsynligheden for negative konsekvenser for de registrerede. Hvis det er usandsynligt, at hændelsen skaber risiko for eksempelvis identitetstyveri, økonomisk tab eller tab af fortrolighed, kræver loven normalt kun, at bruddet dokumenteres i virksomhedens interne fortegnelse.

De fleste vejledninger siger, at man skal anmelde for en sikkerheds skyld, men i praksis skaber overanmeldelse unødigt bureaukrati og fjerner fokus fra reel sikkerhed. Rigtige oplysninger sendt til en forkert modtager udgør 30,3% af alle registrerede hændelser i Danmark og er dermed den absolut hyppigste fejltype. ^[2] Ikke desto mindre kan mange af disse småfejl håndteres internt. Det kræver koldblodighed. Sjældent har jeg set så meget spildt arbejde som hos teams, der bruger hele weekenden på at skrive indberetninger om fuldstændig harmløse tastefejl.

Konkrete eksempler på brud der IKKE kræver anmeldelse

Tvivl om, hvorvidt mindre brud uden stor risiko overhovedet skal anmeldes, rammer næsten alle dataansvarlige. Hvis en krypteret USB-nøgle eller bærbar computer bliver stjålet, og krypteringsnøglen er opbevaret sikkert et andet sted, så data ikke kan tilgås, er risikoen for de registrerede i praksis ikke-eksisterende.

Her er tre typiske grænsetilfælde, hvor du som udgangspunkt blot skal notere hændelsen i dit interne databrudsregister: Krypteret udstyr mistes: En telefon med stærk adgangskode og fuld diskkryptering glemmes i toget, og der findes en opdateret backup af alle personoplysninger. Fejlsendt mail til betroet part: En liste med almindelige kontaktoplysninger (navn og arbejdsmail) sendes ved en fejl til en fast samarbejdspartner, der straks bekræfter på skrift, at mailen er permanent slettet. Kortvarigt systemnedbrud: Intern adgang til et kundesystem blokeres i få timer på grund af en opdateringsfejl, men ingen data er tabt, ændret eller tilgået af uvedkommende.

Trin-for-trin tjekliste til risikovurdering og hvad en anmeldelse skal indeholde

En struktureret risikovurdering før du vælger at anmelde et sikkerhedsbrud til Datatilsynet, bør gennemgå bruddets karakter, datatypernes følsomhed og antallet af berørte personer. Samtidig skal du have styr på, hvad en anmeldelse til datatilsynet skal indeholde, så selve indberetningen på Virk.dk ikke bremses af manglende stamdata.

Når du sidder midt i krisen, og telefonen ringer uafbrudt, mens it-afdelingen forsøger at lukke hullet i firewallen, og direktøren står i døråbningen for at spørge om vi kommer i medierne, mens du febrilsk leder efter den seneste version af databehandleraftalen i en uoverskuelig mappestruktur, så er et fast skema din bedste ven. Lad være med at gætte.

Brug denne tjekliste (og gem svarene som dokumentation, uanset hvad du ender med at gøre): 1. Identificer brudtypen: Er data lækket (fortrolighed), slettet uden backup (tilgængelighed) eller manipuleret (integritet)? 2. Vurder datakategorier: Indeholder materialet CPR-numre, helbredsdata, finansielle oplysninger eller blot almindelige navne?

3. Fastlæg omfanget: Hvor mange registrerede personer er ramt, og er der tale om sårbare grupper som børn? 4. Vurder modtageren: Er oplysningerne havnet hos en tilfældig borger, en professionel virksomhed med tavshedspligt eller en ondsindet hacker? 5. Afgør konsekvensen: Kan bruddet føre til fysisk, materiel eller immateriel skade - og kræver en høj risiko også direkte underretning af de registrerede?

Hvis vurderingen viser en reel risiko, går du til Virk.dk. Her skal du oplyse hvad der er sket, hvilke kategorier og omtrentlige antal registrerede der er berørt, kontaktoplysninger på jeres databeskyttelsesrådgiver (DPO - Data Protection Officer) eller kontaktperson, de sandsynlige konsekvenser af bruddet samt hvilke foranstaltninger I har truffet for at begrænse skaden. Hvis du ikke har alle detaljer inden for 72 timer, kan du indsende en foreløbig anmeldelse og supplere trinvist senere.

Risikoniveauer ved brud på persondatasikkerheden

Ingen eller ubetydelig risiko

• Ikke påkrævet
• Tab af fuldt krypteret arbejdstelefon hvor data er sikret med backup
• Ikke påkrævet hvis risiko for rettigheder er usandsynlig
• Skal registreres i intern fortegnelse med begrundelse for vurderingen

Almindelig til moderat risiko

• Typisk ikke nødvendigt medmindre risikoen vurderes som høj
• Uautoriseret adgang til ikke-følsomme kundedata eller større fejlsendelser
• Skal ske via Virk.dk uden unødig forsinkelse og senest inden 72 timer
• Fuld dokumentation af hændelsesforløb, afværgetiltag og korrespondance

Høj risiko for personer

• Skal ske direkte til de berørte personer uden unødig forsinkelse
• Hackerangreb med lækage af helbredsoplysninger, kodeord eller CPR-numre
• Obligatorisk anmeldelse inden 72 timer med detaljeret skadesbeskrivelse
• Omfattende logning, kriseplan og dokumentation af udsendte varslinger

Fejlsendt lønfil hos mellemstor virksomhed i Aarhus

Anders, HR-chef i en produktionsvirksomhed i Aarhus med 85 ansatte, opdagede en torsdag eftermiddag, at en mail med månedens bonusoversigt og CPR-numre på 12 medarbejdere var sendt til en ekstern leverandør med samme fornavn som direktøren.

I det første kvarter gik Anders i stå af frygt for store bøder og forsøgte blot at tilbagekalde mailen i Outlook, hvilket mislykkedes, fordi modtageren allerede havde åbnet beskeden på sin telefon.

Efter at have rådført sig med virksomhedens juridiske konsulent indså han, at tilbagekaldelsen var spildt arbejde. Han ringede direkte til leverandøren, fik en skriftlig erklæring om øjeblikkelig sletning i både indbakke og papirkurv, og gennemførte en risikovurdering inden for tre timer.

Fordi dokumentet indeholdt CPR-numre og løndata, indsendte Anders en anmeldelse via Virk.dk 18 timer efter opdagelsen og orienterede de 12 ansatte. Sagen blev afsluttet uden sanktioner efter fire uger, da håndteringen og den hurtige inddæmning var dokumenteret korrekt.