GDPR art. 34

EDPB har vedtaget en fælles EU-skabelon for anmeldelse af brud på persondatasikkerheden. Danske organisationer vil kun se mindre ændringer, men opnår større ensartethed og lettere håndtering af grænseoverskridende sager. Beslutningen ledsages af tæt EU- og nordisk koordinering.

Indberetninger om persondatahændelser til IMY steg næsten 90 % i 2025 til 12.276 sager med omkring 1,5 mio. berørte. Stigningen drives af leverandørbrud og ransomware med dataeksfiltration. IMY har åbnet tilsyn i to omfattende læk. Fokus bør være på leverandørstyring og hurtig underretning.

Det norske Datatilsynet skærper praksis for brudsanmeldelser: “skal” bliver til “kan”, tvivlsreglen er fjernet, og forsendelsesfejl nedtones. GDPR art. 33–34 er uændrede, men organisationer bør dokumentere risikovurderinger og sikre en ensartet, risikobaseret incident triage.

Advokatfirmaer skal systematisere GDPR-arbejdet med en klar persondatapolitik, risikometode og dokumentation. Vurder leverandørers sikkerhed før databehandleraftaler, og foretag risikovurdering ved brud. Opdater løbende vurderinger og styrk beredskab mod cyberangreb.