Hvornår skal jeg anmelde et dataindbreak til Datatilsynet?

Indberetning er hovedreglen, medmindre en risiko er usandsynlig

Et dataleak indberetter du til tilsynsmyndigheden, så snart det er sandsynligt, at lækagen udgør en risiko for rettighederne og frihederne for de personer, hvis oplysninger er berørt. Det er kernen i artikel 33 i GDPR: indberetning er udgangspunktet, og kun når det er rimeligt at antage, at der ikke opstår nogen risiko, udelades indberetningen. I praksis betyder det, at de fleste lækager af personoplysninger — en forkert afsendt e-mail med kundedata, en stjålet computer, en hacket database — falder under indberetningspligten, mens en lækage, som det er aldeles klart, at ingen kan blive ramt af (for eksempel fordi oplysningerne var krypteret, og nøglen ikke blev stjålet), kan falde uden for.

Ved denne vurdering ser du på, hvad der præcist er sket, hvilke oplysninger det vedrører, og hvem der kan blive berørt. Særlige kategorier af oplysninger, finansielle oplysninger eller oplysninger om børn vejer tungere end en enkelt e-mailadresse. Fristen på 72 timer fra artikel 33 i GDPR starter fra det tidspunkt, hvor du bliver klar over lækagen, ikke fra det tidspunkt, hvor den opstod — de to ligger nogle gange uger fra hinanden. Et beslutningsflow, som gennemgår denne afvejning trin for trin, kan aldrig erstatte dit eget skøn over det konkrete dataleak, men hjælper til at gennemgå spørgsmålet »indberetningspligtig eller ej« struktureret.

Hvor dette følger af artikel 33 i GDPR og EDPB's retningslinjer

Indberetningspligten selv er fastsat i artikel 33 i GDPR; konkretiseringen af begreber som »risiko« og »uden unødigt ophold« kommer fra EDPB's retningslinjer om dataleakindbertninger, og Datatilsynet præciserer dette for den danske praksis. GDPR gælder direkte i hver medlemsstat, men hvor du indberetter til, varierer: I Danmark indberetter du til Datatilsynets indberetningssted, den eneste tilsynsmyndighed for hele landet. I Tyskland indberetter du til tilsynsmyndigheden i den delstat, hvor virksomheden er lokaliseret, da der findes seksten delatstilsynsmyndigheder ved siden af en føderal tilsynsmyndighed.