Hvordan håndterer jeg en GDPR-anmeldelse til Datatilsynet?

Først en vigtig afklaring: Under GDPR skal almindelige behandlinger af personoplysninger ikke længere anmeldes til Datatilsynet — den gamle anmeldelsesordning blev afskaffet, da GDPR trådte i kraft i 2018. I stedet fører man selv en fortegnelse over sine behandlingsaktiviteter. Det, man anmelder i dag, er brud på persondatasikkerheden — hændelser, hvor personoplysninger fx er lækket, mistet eller tilgået af uvedkommende.

Et brud anmeldes via den fælles blanket på Virk.dk, som automatisk sendes videre til Datatilsynet. Du bliver bedt om at beskrive bruddets karakter, oplyse et kontaktpunkt (typisk databeskyttelsesrådgiveren), beskrive de sandsynlige konsekvenser og de foranstaltninger, du har truffet eller foreslår for at håndtere bruddet. Husk at gemme en kopi af den indsendte blanket — den er dit bevis for anmeldelsen.

Fristen er stram: anmeldelsen skal ske uden unødig forsinkelse og om muligt inden 72 timer efter, at du er blevet bekendt med bruddet — medmindre det er usandsynligt, at bruddet medfører en risiko for personers rettigheder. Indebærer bruddet sandsynligvis en høj risiko for de berørte, skal de desuden underrettes direkte. Datatilsynet kan efterfølgende bede om flere oplysninger.

Dokumentér hele forløbet internt — også brud, du vurderer ikke skal anmeldes, og begrundelsen for den vurdering. Det er den dokumentation, Datatilsynet ser på, hvis sagen senere bliver aktuel.

Kilder: Datatilsynet — anmeld brud på persondatasikkerheden ↗ · Datatilsynet — håndtering af brud på persondatasikkerheden ↗