hvad er konsekvenserne, hvis jeg ikke rapporterer et dataindtrængning til AP

Ikke at anmelde kan have konsekvenser, der strækker sig længere end selve bruddet

Hvis nogen ikke anmelder et anmeldelsespligtigt databrud til tilsynsmyndigheden, risikerer de, at tilsynsmyndigheden opdager det selv og griber ind på grundlag af artikel 33 i GDPR, som regulerer anmeldelsespligten inden for den deri nævnte frist. Datatilsynet og de øvrige europæiske tilsynsmyndigheder har beføjelse til at foretage undersøgelser, stille spørgsmål og pålægge sanktioner, når en overtrædelse konstateres. At et brud ikke er blevet anmeldt, kommer ofte netop frem, fordi en registreret selv klager, fordi data dukker op andre steder, eller fordi en databehandler eller leverandør anmelder bruddet og tilsynsmyndigheden følger op derfra — se også hvad du skal gøre, hvis en leverandør anmelder et databrud.

Ud over risikoen over for tilsynsmyndigheden spiller der endnu noget ind: manglende anmeldelse af et brud er adskilt fra spørgsmålet om, hvorvidt de personer, hvis data det drejer sig om, skal underrettes. Denne forpligtelse følger af artikel 34 i GDPR og kan bestå selv, hvis anmeldelsen til tilsynsmyndigheden er udeblevet — med alle de imagoskader og tillidssvigt, der kan følge, hvis det senere kommer frem. Selv et brud, der ikke er anmeldelsespligtigt, skal indgå i egen dokumentation; se hvorfor også ikke-anmeldte databrud bør dokumenteres.

Hvad reglerne siger herom

Forpligtelsen til at anmelde fremgår af artikel 33 i GDPR, og denne forpligtelse gælder direkte i hver EU-medlemsstat. Hvor anmeldelsen skal sendes, varierer fra land til land: i Danmark er det Datatilsynet, i andre medlemsstater den nationale tilsynsmyndighed i det pågældende land — EDPB opretholder et oversigt over disse tilsynsmyndigheder og offentliggør retningslinjer om fortolkningen af anmeldelsespligten. Den præcise udformning af hvornår noget skal eller ikke skal anmeldes, er beskrevet på siden om vurdering af, om et databrud skal anmeldes.