Når I opdager et brud på persondatasikkerheden, skal I handle i fire trin: begræns skaden øjeblikkeligt, vurdér risikoen for de registrerede, anmeld til Datatilsynet via virk.dk uden unødig forsinkelse og om muligt inden 72 timer, medmindre det er usandsynligt, at bruddet medfører en risiko for personers rettigheder, og tag stilling til, om de berørte personer selv skal underrettes. Dokumentér alt undervejs. Reglerne er gengivet efter Datatilsynets side, læst 24. september 2026; ved tvivl bør I tale med jeres databeskyttelsesrådgiver eller en advokat.
Trin 1: Begræns skaden med det samme
Det første mål er at stoppe bruddet fra at vokse. Afhængigt af typen kan det betyde forskellige handlinger:
- Fejlsendt mail med persondata: Kontakt modtageren og bed om at slette mailen. Hvis I kan tilbagekalde den teknisk, gør det straks.
- Stjålet eller mistet computer/telefon: Fjernlås eller fjernslet enheden, hvis I har et system til at administrere enhederne. Skift adgangskoder til de konti, der var logget ind.
- Ransomware: Få jeres IT-ansvarlige eller leverandør til at begrænse angrebet. Som udgangspunkt bør I aldrig betale løsesummen, men undersøge andre muligheder for at få data igen, fx ved at indlæse den seneste backup. Betaling giver ingen garanti for, at I får data tilbage.
- Uautoriseret adgang: Deaktivér de kompromitterede brugerkonti og gennemgå adgangslogfiler.
Dokumentér alle handlinger med tidspunkt og ansvarlig person, mens I udfører dem. Det bliver afgørende for den senere vurdering og eventuelle anmeldelse.
Trin 2: Vurdér risikoen for de registrerede
Inden I kan afgøre, om bruddet skal anmeldes, skal I vurdere konsekvenserne for de personer, hvis data er berørt. Stil jer selv disse spørgsmål:
- Hvilke typer persondata er omfattet? Oplysninger som helbredsdata eller CPR-numre vejer tungere end kontaktoplysninger.
- Hvor mange personer er berørt?
- Kan oplysningerne bruges til identitetstyveri, økonomisk tab eller andre skader?
- Er data krypteret, så uvedkommende reelt ikke kan læse dem?
- Er der risiko for, at oplysningerne allerede er spredt videre?
Konklusionen afgør jeres næste skridt: Anmeldelsespligten gælder, medmindre det er usandsynligt, at bruddet medfører en risiko for personers rettigheder eller frihedsrettigheder. Er I i tvivl, så tal med jeres databeskyttelsesrådgiver.
Eksempel: Risikovurdering af en fejlsendt mail (sitets eget illustrative eksempel med fiktive tal)
En medarbejder sender ved en fejl en Excel-fil med navn, adresse og CPR-nummer på 35 kunder til en forkert ekstern modtager. Modtageren er en kendt samarbejdspartner, som bekræfter telefonisk, at han har slettet mailen uden at åbne filen. I vurderer:
- Datatype: CPR-numre kan misbruges, fx til identitetstyveri.
- Omfang: 35 personer er berørt.
- Spredning: Modtageren bekræfter sletning, men I kan ikke verificere det teknisk.
Konklusion: Selvom modtageren virker troværdig, kan I ikke udelukke risikoen. I vælger at anmelde til Datatilsynet og beskrive modtagerens bekræftelse i anmeldelsen.
Trin 3: Anmeld til Datatilsynet inden fristen
Når I vurderer, at bruddet indebærer en risiko for de registreredes rettigheder, skal I uden unødig forsinkelse og om muligt inden 72 timer anmelde bruddet til Datatilsynet via virk.dk. Sørg derfor for, at alle medarbejdere ved, at et mistænkt brud skal meldes internt med det samme.
Ifølge Datatilsynet bliver I i blanketten på virk.dk bl.a. bedt om at:
- beskrive karakteren af bruddet
- angive navn og kontaktoplysninger på databeskyttelsesrådgiveren eller et andet kontaktpunkt
- beskrive de sandsynlige konsekvenser af bruddet
- beskrive de foranstaltninger, I har truffet eller foreslår truffet for at håndtere bruddet
Datatilsynet kan efterfølgende bede om flere oplysninger. Husk at downloade en kopi af blanketten, når I har sendt den — den er jeres bevis for, at I har anmeldt.
Trin 4: Underret de berørte personer
Ud over anmeldelsen kan I have pligt til at underrette de registrerede selv, og Datatilsynet kan tage stilling til spørgsmålet om underretning, hvis det ikke er sket. Hvornår pligten gælder, beskriver Datatilsynets vejledning om håndtering af brud på persondatasikkerheden; få jeres databeskyttelsesrådgiver eller advokat til at vurdere det. En underretning bør være i et klart sprog og fortælle:
- Hvad der er sket
- Hvilke data der er berørt
- Hvad I gør for at håndtere situationen
- Hvad de selv kan gøre for at beskytte sig
- Kontaktoplysninger til jeres kontaktperson
Særligt for NIS2-virksomheder
Er jeres virksomhed omfattet af NIS2-loven, har I en yderligere underretningspligt ved væsentlige hændelser. Underretningen skal ske via virk.dk og sendes automatisk videre til de relevante myndigheder og CSIRT’en. Denne pligt kommer oven i anmeldelsen til Datatilsynet, hvis hændelsen også involverer persondata. Læs mere om, hvem der er omfattet, i guiden NIS2: Er jeres virksomhed omfattet, og hvad kræver loven?
Dokumentér forløbet løbende
Dokumentér bruddet internt, også hvis I beslutter ikke at anmelde. Datatilsynets vejledning om håndtering af brud beskriver kravene. Notér som minimum:
- Omstændighederne ved bruddet (hvad skete, hvornår, hvordan)
- Virkningerne af bruddet
- De afhjælpende foranstaltninger
- Jeres risikovurdering og begrundelse for, om I anmeldte eller ej
Så kan I vise, hvordan I vurderede bruddet, og lære af hændelsen.
Hvad skal en IT-serviceaftale dække ved beredskab?
Hvis I bruger en ekstern IT-leverandør eller en leverandør af administrerede IT-tjenester, bør jeres serviceaftale fastlægge, hvem der gør hvad ved en hændelse. Tjek at aftalen dækker:
- Hvem der kontaktes, og hvornår (responstider)
- Hvem der har ansvar for at isolere ramte systemer
- Backup-frekvens og tid til gendannelse
- Hvordan leverandøren underretter jer, så I kan overholde 72-timers fristen
Gennemgå aftalen, inden uheldet sker — ikke midt i et angreb.
Hvad guiden ikke dækker
Denne guide handler om de første timer og døgn efter et brud. Den dækker ikke:
- Forebyggelse af brud — se Sikkerheds- og compliancetjek for virksomheder for grundlæggende punkter
- Juridisk rådgivning om erstatning eller konkrete sager
- Teknisk efterforskning (forensics) af et angreb — det kræver specialister
- Anmeldelse af cyberangreb til politiet — Sikkerdigital.dk beskriver, hvordan I gør
Ved alvorlige hændelser eller tvivl om vurderingen bør I kontakte en advokat med erfaring i databeskyttelse eller læse Datatilsynets vejledning om håndtering af brud på persondatasikkerheden.
