Hvornår skal man anmelde til Datatilsynet?

Hvornår skal du anmelde et databrud til Datatilsynet? En praktisk guide

Databeskyttelse er afgørende, og et databrud kan få alvorlige konsekvenser. Men hvornår er et databrud egentlig alvorligt nok til at kræve anmeldelse til Datatilsynet? Og hvad skal du gøre? Denne artikel giver dig en klar og præcis guide til, hvornår du skal anmelde, og hvordan du gør det.

Myten om den automatiske 72-timers deadline florerer, men virkeligheden er nuanceret. Det er rigtigt, at hurtig handling er essentielt. Dog er det ikke altid et krav at anmelde inden for 72 timer. Det afgørende er vurderingen af risikoen for de registrerede personers rettigheder og frihedsrettigheder.

Hvornår skal du anmelde?

Du skal anmelde et databrud til Datatilsynet, hvis det er sandsynligt, at bruddet medfører en risiko for:

• Identitetstyveri: Hvis personfølsomme oplysninger som CPR-nummer, pasnummer eller finansielle data er blevet kompromitteret.
• Diskrimination: Hvis oplysninger, der kan føre til diskrimination (fx race, religion, seksuel orientering), er blevet lækket.
• Helbredsskader: Hvis helbredsoplysninger er blevet kompromitteret.
• Økonomisk tab: Hvis bruddet kan føre til økonomisk tab for de registrerede personer.
• Reputationsbeskadigelse: Hvis bruddet kan skade en persons omdømme.
• Andre alvorlige krænkelser: Hvis bruddet på anden vis kan medføre alvorlige konsekvenser for de registrerede personer.

Hvad betyder “sandsynlig risiko”?

“Sandsynlig risiko” er ikke et entydigt begreb. Det kræver en konkret vurdering af situationen. Spørg dig selv: Er der en reel chance for, at de kompromitterede data kan bruges til at skade de registrerede? Hvis ja, skal du anmelde. Et enkelt mistet USB-drev med ubeskyttede data kan være tilstrækkeligt, mens et uautoriseret tilgang til et system med krypterede data måske ikke er det.

Hvad skal du gøre?

Hvis du vurderer, at et databrud medfører en sandsynlig risiko for de registrerede, skal du anmelde det via Virk.dk snarest muligt. Selvom der ikke er en absolut 72-timers deadline, er hurtig handling altid at foretrække. Jo før du anmelder, jo før kan du iværksætte de nødvendige foranstaltninger for at begrænse skaden og underrette de berørte personer.

Husk: Anmeldelsen til Datatilsynet skal indeholde detaljeret information om databruddet, herunder omfang, årsag og de iværksatte foranstaltninger.

I tvivl? Anmeld!

Det er altid bedre at anmelde et databrud, selvom du er i tvivl om alvorlighedsniveauet. Datatilsynet kan vejlede dig og hjælpe med at vurdere situationen. At undlade at anmelde et databrud, der burde være anmeldt, kan have alvorlige konsekvenser for din virksomhed.

Denne artikel giver en generel vejledning. For specifikke retningslinjer og yderligere information, henvises til Datatilsynets hjemmeside.