Hvornår skal vi anmelde et databrud til Datatilsynet, og hvornår kan vi nøjes internt?

Når der opstår et databrud, er det vigtigt først at registrere hændelsen internt. Dette indebærer at samle alle relevante oplysninger om bruddet, herunder hvordan det skete, hvilke data der er berørt, og hvilke foranstaltninger der er truffet for at afbøde skaderne. Denne interne registrering er essentiel for at kunne vurdere, om det er nødvendigt at anmelde bruddet til Datatilsynet.

Ifølge de gældende regler skal et databrud anmeldes til Datatilsynet uden unødig forsinkelse og om muligt inden 72 timer efter, at den dataansvarlige er blevet bekendt med bruddet. Anmeldelsen er kun nødvendig, hvis der er en risiko for de registreredes rettigheder og friheder. Hvis det vurderes, at risikoen er usandsynlig, kan anmeldelsen undlades, men det er stadig vigtigt at have en intern dokumentation.

I tilfælde af at risikoen for de registreredes rettigheder vurderes at være høj, skal de berørte personer også underrettes uden unødig forsinkelse. Det er her, DPO'en spiller en vigtig rolle ved at rådgive om, hvordan kommunikationen til de berørte skal foregå, men beslutningen om anmeldelsen træffes af den dataansvarlige.

Det anbefales at have klare procedurer for håndtering af databrud, så alle medarbejdere ved, hvad de skal gøre i tilfælde af en hændelse. Det kan også være en god idé at gennemføre regelmæssige træninger og opdateringer af sikkerhedspolitikker for at sikre, at alle er opmærksomme på deres ansvar i forhold til databeskyttelse.

Kilder: Datatilsynet - Håndtering af brud på persondatasikkerheden ↗